三亩地 三亩地SAN MU DI · CODE DIARY
交流投稿
ARTICLE DETAIL

日记详情

真实记录编程学习的某一天，欢迎挑你感兴趣的翻一翻。

首页/学习日记/日记详情

802.1x与RADIUS网络准入控制：原理、部署与实战指南

发布时间：2026/8/5 2:16:31 三亩地 编程学习日记
802.1x与RADIUS网络准入控制：原理、部署与实战指南

1. 项目概述：从“谁在用”到“怎么管”的网络准入革命

如果你在公司连过Wi-Fi，或者在学校、酒店插上网线，大概率已经和802.1x与RADIUS打过交道，只是你没意识到。这听起来像是一串神秘代码，但它的核心逻辑其实很朴素：在允许你的设备接入网络并开始上网之前，先搞清楚“你是谁”，以及“你是否有权进来”。这就像进公司大楼，光有门禁卡（密码）不行，还得把卡在刷卡器上验证一下（802.1x），而刷卡器需要去后台的权限系统（RADIUS）查询这张卡是否有效、能去哪些楼层。没有这套流程，任何人都能随意进出，网络世界就乱套了。

802.1x和RADIUS这对组合，就是现代企业网、校园网乃至运营商网络实现“网络准入控制”的黄金标准。它解决的痛点非常明确：在传统的网络里，一旦你物理上连上了交换机端口或者连上了Wi-Fi的SSID，基本上就获得了网络层的通行证，IP地址一拿，防火墙策略如果没拦住，内部网络就对你敞开了。这对于需要严格区分访客、员工、不同部门权限的场景来说，是巨大的安全隐患。802.1x定义了“在门口验证”的协议框架，而RADIUS则是那个权威的“后台权限数据库”和认证决策中心。

我接触这套体系超过十年，从早期命令行里密密麻麻的配置，到现在云化、与AD/LDAP深度集成的方案都部署过。它的价值远不止于“不让外人进”，更是实现动态策略下发、终端合规检查、访客自动化管理的基石。比如，市场部的笔记本和研发部的台式机，即使接入同一个交换机，通过802.1x认证后，RADIUS可以指令交换机将它们划分到不同的VLAN，实现自然的网络隔离。接下来，我会把这套机制的里里外外、从原理到踩坑实录，掰开揉碎了讲清楚。

2. 核心原理深度拆解：协议握手与角色分工

要理解802.1x和RADIUS，必须先把参与其中的几个角色搞清楚。整个流程是一个典型的客户端-服务器模型，但中间多了一个“守门人”。

2.1 核心角色四重奏

整个认证体系涉及四个关键角色，它们各司其职，缺一不可：

  1. Supplicant（客户端）： 试图接入网络的设备。它可以是笔记本电脑、手机、IP电话、打印机，甚至是物联网传感器。客户端上必须运行支持802.1x协议的软件，在Windows/macOS上通常叫“Wired AutoConfig”或“802.1X”服务，在手机上就是Wi-Fi设置里的“企业级WPA2/WPA3-Enterprise”选项。它的核心任务是响应认证请求，提供身份凭证（如用户名密码、数字证书）。

  2. Authenticator（认证者）： 网络接入设备。这是整个流程的物理执行点和控制点。在有线网络中，它是以太网交换机；在无线网络中，它是无线接入点。它的角色非常关键：控制端口的逻辑状态。在认证成功前，认证者将连接客户端的端口置于“未授权”状态，此时该端口只能收发802.1x认证报文（EAPOL），其他所有数据流量（如DHCP、HTTP）一律被阻断。认证成功后，端口切换为“授权”状态，正常网络流量才被放行。

  3. Authentication Server（认证服务器）： 这就是RADIUS服务器。它是做出最终认证决策的大脑。认证者（交换机/AP）并不判断用户名密码对不对，它只负责把客户端提交的认证信息，通过RADIUS协议转发给认证服务器。RADIUS服务器核查凭证的有效性，并回复认证者“接受”或“拒绝”。高级功能如动态VLAN分配、ACL下发等，也由RADIUS服务器在认证接受报文中一并指示给认证者。

  4. RADIUS Server（RADIUS服务器）： 通常与认证服务器是同一台实体服务器。它运行着RADIUS服务进程，维护着用户数据库（可能是本地，也可能连接AD、LDAP、SQL数据库），并处理来自众多认证者的认证、授权、计费请求。

注意： 初学者最容易混淆Authenticator和Authentication Server。记住一个简单的比喻：Authenticator（交换机）是公司前台的保安，他只负责拦住你、检查工牌（触发认证）、并把工牌信息传给后台HR系统；Authentication Server（RADIUS）就是HR系统，它才知道你的工牌是不是真的、你有没有离职。

2.2 802.1x与EAP：承载与内容的分离

802.1x本身不定义具体的认证方法（比如怎么验证密码）。它定义的是一个封装和传输的框架，这个框架叫做EAP over LAN。真正定义“如何认证”的，是EAP协议。

  • 802.1x (EAPoL)： 它规定了Supplicant和Authenticator之间如何通信。它就像是一个专用的、受控的“认证通道”，在端口未授权时，只有这种格式的包能被放行。
  • EAP (可扩展认证协议)： 它才是认证信息的“内容”或“方法”。EAP是一个灵活的框架，其下有很多具体的“子方法”，例如：
    • EAP-MD5： 简单的挑战-响应，安全性低，基本已淘汰。
    • EAP-TLS： 基于数字证书的认证，安全性最高，客户端和服务器端都需要证书，部署复杂。
    • EAP-PEAP： 最流行的方式之一。它先建立一个TLS加密隧道（服务器端需要证书），然后在隧道内进行认证（如MS-CHAPv2），保护了用户密码等敏感信息。
    • EAP-TTLS： 与PEAP类似，但隧道内可承载的认证协议更丰富。
    • EAP-FAST： 思科推广的协议，无需证书，通过预共享的密钥建立隧道。

在实际的802.1x流程中，Authenticator就像一个“透传”或“中继”设备。它收到客户端的EAP报文，就原样封装到RADIUS协议的属性里，发给RADIUS服务器；收到RADIUS服务器的EAP回复，就解封装出来发给客户端。这个过程称为EAP中继。另一种方式是EAP终结，即Authenticator自己终结EAP会话，将提取出的用户名密码用传统的PAP/CHAP方式发给RADIUS，这种方式现在较少用。

2.3 RADIUS协议：认证、授权、计费的三位一体

RADIUS协议是承载整个认证流程的“运输协议”。它运行在UDP之上（端口1812用于认证，1813用于计费），采用客户端-服务器模型，这里的“客户端”指的是网络设备（Authenticator）。

RADIUS的核心功能体现在三个词上，这也是其名称的由来：

  1. 认证： 验证用户的身份。通过Access-Request报文发起，服务器回复Access-Accept或Access-Reject。
  2. 授权： 决定用户被允许做什么。授权信息通常就包含在Access-Accept报文中。RADIUS服务器可以通过一系列属性来通知网络设备为用户应用特定的策略。最关键的几个属性包括：
    • Tunnel-Private-Group-ID： 用于指定动态VLAN。例如，值为“10”，交换机就会把该用户所在的端口划入VLAN 10。
    • Filter-Id： 引用一个在交换机上预定义的ACL（访问控制列表），对用户的流量进行过滤。
    • Session-Timeout： 指定会话超时时间，到期后需要重新认证。
  3. 计费： 记录用户使用网络资源的情况。认证成功后，设备会发送Accounting-Start报文，会话结束时发送Accounting-Stop报文，其中包含会话时长、流量等数据，用于审计或计费。

RADIUS通信的安全性依赖于共享密钥。设备（交换机）和RADIUS服务器之间必须配置一个相同的、复杂的共享密钥。这个密钥用于对报文中的部分敏感信息（如用户密码）进行加密，并计算报文摘要以防止篡改。共享密钥是安全的核心，必须妥善保管并定期更换。

3. 典型应用场景与方案选型考量

理解了原理，我们来看看这套技术具体用在哪儿，以及在不同场景下该如何选择具体的实现方案。这绝不是一套“放之四海而皆准”的配置，选型错误会导致部署困难、用户体验差甚至安全漏洞。

3.1 核心应用场景剖析

  1. 企业有线网络准入：

    • 需求： 防止非授权设备接入内网，实现基于身份的访问控制，动态分配网络权限（如不同部门入不同VLAN）。
    • 实现： 在接入层交换机全局及端口下启用802.1x认证。员工电脑使用域账号密码或电脑证书认证。打印机、IP电话等哑终端可采用MAC地址旁路认证，将其MAC地址在RADIUS服务器上备案，免除其认证流程。
    • 挑战： 需要全网交换机支持，部署和排错复杂度高。必须处理好认证前VLAN，让未认证的设备至少能获取IP地址并与RADIUS服务器通信。

  2. 企业无线网络安全加固：

    • 需求： 替代简单的预共享密钥，实现分部门、分角色的精细化管理，访客网络与内部网络隔离。
    • 实现： 无线控制器或AP上配置WPA2/WPA3-Enterprise模式，指定RADIUS服务器。员工连接SSID时，弹出窗口要求输入域账号密码。
    • 优势： 比有线部署更常见。每个用户的会话密钥独立生成，一人泄露密码不影响整体安全。结合动态VLAN，市场部连接“Corp-WiFi”和研发部连接“Corp-WiFi”后，实际处于不同的广播域。

  3. 运营商与校园网计费管理：

    • 需求： 对接入用户进行身份认证，并记录时长和流量用于计费。
    • 实现： PPPoE + RADIUS 或 802.1x + RADIUS。校园网常采用Web认证作为门户，但其后台的认证核心依然是RADIUS。RADIUS的计费报文提供了标准化的数据采集接口。

  4. 零信任网络架构的基石：

    • 需求： 在零信任“永不信任，持续验证”的理念下，网络接入点成为第一个验证关口。
    • 实现： 802.1x作为网络层准入控制，可以与终端安全状态（是否安装杀毒软件、补丁是否更新）结合。通过RADIUS与终端检测与响应系统联动，只有符合安全策略的终端才能获得Access-Accept及相应的网络权限。

3.2 认证方法选型指南

选择哪种EAP方法，是部署前最重要的决策之一，它平衡了安全性、复杂度和用户体验。

认证方法安全性部署复杂度用户体验适用场景
EAP-PEAP (MS-CHAPv2)高中好最主流的企业部署方案。服务器需证书，客户端无需证书。Windows、macOS、iOS、Android原生支持。用户只需输入用户名密码。
EAP-TLS极高高中对安全性要求极高的环境（金融、政府）。客户端和服务器双向证书认证，几乎无法破解。但需要为每个用户和设备颁发管理客户端证书，运维负担重。
EAP-TTLS高中好与PEAP类似，更灵活，隧道内可支持更多认证方式。在某些非Windows生态或需要对接特殊认证系统时使用。
EAP-FAST中高中好思科环境常见。无需服务器证书，通过PAC文件建立信任。在纯思科设备环境中部署相对方便。

实操心得： 对于90%以上的普通企业，EAP-PEAPv0 (MS-CHAPv2)是起点和首选。它的安全性足够抵御常见的中间人攻击（因为建立了TLS隧道），且所有主流操作系统开箱即用。先把它跑通，理解整个流程，再考虑更复杂的EAP-TLS。千万不要因为觉得“证书更安全”就盲目上马EAP-TLS，客户端证书的生命周期管理（颁发、部署、更新、吊销）会成为一个运维噩梦。

3.3 服务器与设备选型考量

  • RADIUS服务器软件：

    • Windows Network Policy Server： 对于已部署Active Directory的Windows环境，NPS是自然之选。它与AD无缝集成，管理界面友好，是入门和中小型部署的绝佳选择。
    • FreeRADIUS： 开源领域的王者，功能极其强大和灵活，跨平台。但配置主要靠文本文件，学习曲线陡峭，适合有Linux运维能力、需要高度定制化的大型环境。
    • 商用解决方案： 如Cisco ISE, Aruba ClearPass, Fortinet FortiAuthenticator等。这些是集成的网络策略平台，除了基础的RADIUS，还提供终端分析、访客管理、合规检查等高级功能，适用于大型、复杂的企业网络。

  • 网络设备要求：

    • 并非所有交换机都支持完整的802.1x功能。需要确认设备支持所需的EAP中继、动态VLAN下发、多主机模式等功能。企业级接入交换机基本都支持，但具体命令和特性可能有差异。
    • 无线AP和控制器必须支持WPA-Enterprise或WPA2/WPA3-Enterprise。

4. 基于ENSP的802.1x与RADIUS实验全流程

理论说再多，不如动手做一遍。我以华为ENSP模拟器为例，搭建一个最经典的实验环境：一台客户端，一台接入交换机，一台RADIUS服务器（用一台路由器模拟），并让客户端通过802.1x认证后，被动态分配到指定的VLAN。这个实验能帮你彻底打通任督二脉。

4.1 实验拓扑与基础配置

拓扑： PC (Supplicant) —— [GE0/0/1] S5700 Switch (Authenticator) [GE0/0/24] —— [GE0/0/0] AR2200 Router (RADIUS Server)。

  1. IP地址规划：

    • RADIUS服务器环回口：1.1.1.1/32
    • 交换机与服务器互联接口：192.168.100.1/30(交换机)，192.168.100.2/30(服务器)
    • 认证前VLAN（供客户端获取地址和发现服务器）：VLAN 100, 地址池10.0.100.0/24
    • 动态下发的业务VLAN：VLAN 10， 地址池10.0.10.0/24

  2. 交换机基础配置：

    sysname SW vlan batch 10 100 # 配置与服务器互联 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 100 # 配置认证前VLAN的接口地址 interface Vlanif100 ip address 10.0.100.1 24 # 配置DHCP服务器，为未认证客户端分配地址 dhcp enable ip pool pre-auth gateway-list 10.0.100.1 network 10.0.100.0 mask 255.255.255.0 excluded-ip-address 10.0.100.1 interface Vlanif100 dhcp select global # 配置到达RADIUS服务器的路由 ip route-static 1.1.1.1 32 192.168.100.2

4.2 配置RADIUS服务器（以路由器模拟）

我们用路由器的AAA功能模拟一个简单的RADIUS服务器。实际生产环境请使用NPS或FreeRADIUS。

sysname RADIUS-Server # 启用AAA aaa # 创建本地用户数据库，用户`test`密码`Test@123` local-user test password irreversible-cipher Test@123 local-user test service-type 8021x # 配置RADIUS服务器组 radius-server group radius-group radius-server authentication 1.1.1.1 1812 weight 80 radius-server shared-key cipher Huawei@123 # 与交换机配置的密钥一致 # 配置认证方案，引用RADIUS服务器组 authentication-scheme radius-scheme authentication-mode radius # 配置授权方案 authorization-scheme radius-scheme authorization-mode if-authenticated # 配置计费方案 accounting-scheme radius-scheme accounting-mode radius # 创建域，并应用以上方案 domain radius-domain authentication-scheme radius-scheme authorization-scheme radius-scheme accounting-scheme radius-scheme radius-server group radius-group

4.3 配置交换机作为认证者

这是配置的核心部分，每一步都有其用意。

# 1. 配置RADIUS服务器模板，指向我们的模拟服务器 radius-server template radius-template radius-server shared-key cipher Huawei@123 # 必须与服务器端一致 radius-server authentication 1.1.1.1 1812 weight 80 radius-server retransmit 2 # 重传次数 # 2. 配置认证方案，指定使用RADIUS aaa authentication-scheme radius-scheme authentication-mode radius # 3. 配置授权方案 authorization-scheme radius-scheme authorization-mode if-authenticated # 4. 配置计费方案 accounting-scheme radius-scheme accounting-mode radius # 5. 创建AAA域，绑定以上模板和方案 domain radius-domain authentication-scheme radius-scheme authorization-scheme radius-scheme accounting-scheme radius-scheme radius-server radius-template # 6. 配置802.1x的接入模板，这是控制认证行为的关键 dot1x-access-profile name dot1x-profile dot1x authentication-method eap # 采用EAP中继方式 dot1x retry 3 # 客户端重试次数 dot1x timer handshake-period 15 # 握手周期，认证成功后定期检测客户端是否在线 # 7. 在连接客户端的接口上应用802.1x interface GigabitEthernet0/0/1 port link-type hybrid # Hybrid口更灵活 port hybrid pvid vlan 100 # 未认证时，属于VLAN 100（认证前VLAN） port hybrid untagged vlan 100 # 以Untagged方式放行VLAN 100 dot1x enable # 启用802.1x dot1x port-method port-based # 端口控制模式，此端口下第一个设备认证成功，则整个端口开放 authentication-mode multi-authen # 允许多个客户端独立认证（如接了一个小交换机） dot1x access-profile dot1x-profile # 应用接入模板 authentication domain radius-domain # 指定认证域 # 8. 配置动态授权VLAN模板（关键！） vlan-group permit-vlan 10 # 定义一个VLAN组，包含允许下发的VLAN 10 authentication authorized-vlan vlan-group permit-vlan # 授权VLAN引用该组

4.4 配置客户端与抓包分析

  1. 客户端配置： 在ENSP的PC上，进入“配置”->“802.1X认证”选项卡。启用802.1x，EAP方法选择“MD5”（因为我们的模拟服务器配置了最简单的本地用户名密码，对应EAP-MD5。生产环境请勿使用MD5）。输入用户名test，密码Test@123，域名留空或填写radius-domain。

  2. 启动认证： 点击“连接”。如果一切配置正确，PC会从VLAN 100的DHCP池（10.0.100.0/24）获得一个IP地址，然后发起802.1x认证。成功后，交换机会根据RADIUS服务器下发的属性（我们在服务器配置了授权模式，但未指定VLAN，这里为了演示，我们假设服务器会下发VLAN 10），将端口G0/0/1的PVID从100改为10，并以Tagged或Untagged方式允许VLAN 10通过。此时，PC需要重新发起DHCP请求（或续约），从VLAN 10的地址池（10.0.10.0/24）获得新的业务地址。

  3. 抓包分析（至关重要）：

    • 在交换机连接客户的端口（G0/0/1）上抓包，过滤eapol，你会看到清晰的EAPOL-Start, EAP-Request/Identity, EAP-Response/Identity, EAP-Request/MD5-Challenge, EAP-Response/MD5-Challenge, EAP-Success 交互过程。
    • 在交换机连接服务器的端口（G0/0/24）上抓包，过滤radius，你会看到Access-Request和Access-Accept的RADIUS报文交换。在Access-Accept报文中，可以查看是否有Tunnel-Private-Group-ID = 10这样的属性，这就是动态VLAN下发的指令。

踩坑实录： 实验中最常见的问题是“认证失败”。请按以下顺序排查：① 物理/链路层通不通？② 交换机与RADIUS服务器的IP路由和UDP 1812端口通信是否正常？③ RADIUS共享密钥是否两端完全一致（包括大小写）？④ 交换机上配置的服务器IP和端口是否正确？⑤ RADIUS服务器上的用户账号、密码、服务类型是否正确？⑥ 客户端的用户名、密码、域名是否正确？使用display dot1x interface GigabitEthernet 0/0/1和display access-user interface GigabitEthernet 0/0/1命令查看认证状态和在线用户信息，是定位问题的利器。

5. 无线网络RADIUS认证接入实战要点

无线网络的802.1x认证原理与有线一致，但配置集中在无线控制器或AP上，且客户端配置更为用户可见。这里以常见的“WPA2-Enterprise”为例说明关键点。

5.1 无线控制器侧配置

在AC上，你需要创建几个关键组件：

  1. RADIUS服务器模板： 与交换机配置类似，指定RADIUS服务器的IP、端口、共享密钥。
  2. AAA方案与域： 引用上述RADIUS服务器模板。
  3. 安全模板： 这是无线特有的。创建一个安全模板，安全策略选择“WPA2/WPA3-Enterprise”，加密套件选择“AES”，并绑定之前创建的AAA域。
  4. SSID模板与VAP模板： 创建SSID（如“Corp-Net”），然后创建VAP模板，在VAP模板中绑定SSID模板、安全模板，并指定业务VLAN（或允许动态VLAN下发）。

5.2 客户端连接体验与证书问题

当用户设备搜索到“Corp-Net”这个SSID，选择连接时，会弹出要求输入用户名和密码的界面。对于EAP-PEAP，通常还会遇到一个关键步骤：服务器证书验证。

  • 服务器证书： RADIUS服务器必须向客户端出示一个证书，用于建立TLS隧道。这个证书可以是：
    • 公共CA签发： 如DigiCert, GlobalSign等。客户端操作系统默认信任这些CA，连接时无警告，体验最好，但需要购买。
    • 私有CA签发： 企业自建CA颁发。成本低，但需要将企业CA的根证书提前部署到所有终端设备（可通过组策略、MDM等），否则客户端会弹出“证书不受信任”的严重警告，影响用户体验和安全意识。
    • 自签名证书： 最不推荐。每台客户端都会弹出警告，用户容易养成“点击继续”的坏习惯，降低了安全性。

重要提示： 在配置无线EAP-PEAP时，务必在客户端设置或服务器端策略中，验证服务器证书。这可以防止攻击者伪造一个无线网络来钓鱼你的用户凭证。可以指定确切的服务器证书名称或颁发者，增加安全性。

5.3 动态VLAN在无线的应用

无线动态VLAN的实现比有线更普遍也更有价值。在RADIUS服务器的用户或组策略中，返回Tunnel-Private-Group-ID属性（例如值为“VLAN10”或“10”）。无线控制器在收到这个属性后，并不会像交换机那样改变端口的PVID，而是为用户单独创建一个虚拟的、基于VLAN的转发实例。这意味着，同一个AP、同一个SSID下，用户A和用户B可以被隔离在不同的VLAN中，实现了极致的网络分权。

6. 高级特性与生产环境部署经验

当基础认证跑通后，为了网络的健壮性和可管理性，必须考虑以下高级特性和部署细节。

6.1 MAC地址旁路认证

不是所有设备都支持802.1x客户端。打印机、网络摄像头、IP电话、某些IoT设备怎么办？使用MAC地址旁路认证。

  • 原理： 交换机在端口上检测到不支持802.1x的设备（不会发送EAPOL-Start），会等待一个超时时间（如30秒），然后自动将该设备的MAC地址通过RADIUS进行认证。RADIUS服务器上预先录入了这些哑终端的MAC地址，并配置了对应的返回属性（如固定的VLAN）。
  • 配置关键：
    interface GigabitEthernet0/0/1 dot1x mac-bypass # 启用MAC旁路认证 dot1x timer mac-bypass-delay 30 # 设置延迟时间
  • 注意事项： MAC地址容易被伪造，因此MAC旁路认证的安全性较低。应将其限制在特定的、安全的端口，并定期审计MAC地址白名单。

6.2 多主机模式与认证控制方向

  • 端口控制模式：
    • port-based： 端口维度。第一个设备认证成功，整个端口开放。适合单独接PC的端口。
    • mac-based： MAC维度。每个MAC地址需要单独认证。适合连接了小型交换机的端口，其下多个设备需要独立控制。
  • 认证控制方向：
    • both（默认）： 同时对入方向和出方向的流量进行控制。最严格。
    • inbound： 仅控制进入交换机的流量。这是最常用、最推荐的模式。因为我们的目的是防止非法设备访问网络，出方向控制意义不大，且能避免一些兼容性问题。

6.3 逃生机制与高可用

认证系统故障会导致全网无法接入，必须有逃生机制。

  1. Critical VLAN / Critical Voice VLAN： 在交换机上配置。当检测到RADIUS服务器无响应时，端口会自动被放入一个预先设置的“逃生VLAN”。这个VLAN通常只允许访问有限的资源，如服务器故障排查页面或一个备用的本地认证门户。
  2. RADIUS服务器高可用： 在交换机或AC的RADIUS服务器模板中，配置多个服务器地址，并设置权重和超时。主服务器故障时，自动切换到备服务器。
  3. 本地逃生用户： 在交换机本地AAA配置一个备用用户。当RADIUS服务器不可达时，可以启用本地认证作为后备（需谨慎，管理负担重）。

6.4 排错命令与日志分析

生产环境排错，日志和诊断命令是你的眼睛。

  • 交换机端：
    • display dot1x interface [interface]： 查看端口802.1x状态、认证方法、在线用户数。
    • display access-user interface [interface]： 查看端口的在线用户详细信息，包括IP、MAC、VLAN、接入时间。
    • display radius-server configuration： 查看RADIUS服务器配置。
    • debugging radius packet/debugging dot1x all： 开启调试信息（仅在排错时临时开启，会大量消耗CPU）。通过terminal monitor和terminal debugging查看实时日志。
  • RADIUS服务器端：
    • FreeRADIUS： 查看日志文件/var/log/radius/radius.log，使用radtest命令模拟认证请求。
    • Windows NPS： 在“事件查看器” -> “Windows日志” -> “安全”中，筛选事件ID为6272（网络策略服务器已授予访问权限）和6273（网络策略服务器已拒绝访问）的事件，查看详细原因。

部署802.1x是一场“持久战”，从规划、测试、小范围试点到全面推广，每一步都要稳。尤其是在全面推广前，务必在实验室模拟所有可能的终端类型和操作系统进行兼容性测试。一旦上线，它将成为你网络中最坚实的一道安全大门。

编程学习 学习日记 实战经验
← 返回列表