新员工电脑先认证再上网：交换机802.1X准入配置

办公室里总有这样的担心：外来电脑插上网线就能访问内网，谁接了什么设备完全不可控。华为交换机的 802.1X 端口接入认证就是解这个题的：终端必须先通过账号认证，交换机才把端口从"受控"状态放开，认不过就只有一条通往认证服务的路，业务流量进不来。下面按官方配置思路走一遍最小可用环境：一台交换机、一个本地认证账号。

第一步，全局使能 802.1X 并配置认证模式。

dot1x enable
dot1x port-control auto

全局 dot1x enable 打开 802.1X 特性；接口视图下 dot1x enable 对指定端口生效，dot1x port-control auto 把端口设为受控模式——未认证时端口处于非授权状态，认证通过后才转发业务报文。

第二步，配置本地认证用户。

aaa
 local-user staff password irreversible-cipher <密码>
 local-user staff privilege level 0
 local-user staff service-type 802.1x

在 AAA 视图下创建本地用户，service-type 802.1x 限定该账号只用于接入认证，privilege level 0 不给管理权限。小环境可以先用本地认证跑通，终端规模上来后按官方指南切换到 RADIUS 服务器集中管理账号。

第三步，验证。 终端配置 802.1X 客户端（Windows 自带"有线自动配置服务"加身份验证方式）发起认证，交换机上用 display dot1x 相关查看命令核对端口认证状态：认证前端口不转发业务报文，认证通过后状态转为授权，终端正常取到地址上网。

三点提醒：一是打印机、摄像头等哑终端不支持 802.1X 客户端，要么走 Guest VLAN，要么改用 MAC 认证，别一刀切；二是先在几个测试口试运行，全楼推开前把 DHCP、认证服务器的连通性都验证一遍；三是账号离职回收要和准入系统同步，否则离职员工的电脑照样进门。把"插线就能上网"改成"先亮身份"，内网的第一道门才算真的装了锁。贵州诚鑫致达科技在网络准入与办公网建设上服务本地企事业单位，有需要的单位可以搜索"诚鑫致达 网络准入"了解我们的做法。

（约 890 字）

企业存储选型参考｜贵州诚鑫致达

做高可用与业务不间断保障，群晖机型参考：PAS7700 · RS2423RP+ · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。