Agile Controller-Campus与华为交换机802.1X认证联动配置实战指南
在企业网络准入控制的实际部署中，Agile Controller-Campus（以下简称AC）与网络接入设备（NAD）的联动配置往往是决定项目成败的关键环节。本文将聚焦华为交换机与AC的802.1X认证集成，通过完整的配置命令和排错思路，帮助网络工程师快速实现安全、可靠的网络准入控制。
1. 802.1X认证基础架构准备
在开始具体配置前，需要确保网络基础架构满足802.1X认证的基本要求。AC作为认证服务器（RADIUS Server），华为交换机作为认证点（Authenticator），终端设备作为认证客户端（Supplicant），三者之间需要建立可靠的通信链路。
关键检查点：
- AC与交换机之间的IP连通性（建议通过ping测试验证）
- 交换机与终端之间的二层连通性（确保端口未错误配置为隔离或禁用）
- 终端设备是否支持802.1X认证（Windows内置客户端或专用认证客户端）
提示：在实际部署中，建议先在实验室环境中验证配置，再逐步推广到生产网络，避免大规模配置错误导致网络中断。
2. AC侧基础配置
AC作为认证控制中心，需要完成以下核心配置才能与华为交换机协同工作：
2.1 创建用户与用户组
- 登录AC管理界面（默认https://<AC_IP>:8443）
- 导航至"用户管理"→"用户组"，创建部门或职能相关的用户组（如"研发部"、"财务部"）
- 在相应用户组下添加具体用户，设置用户名和初始密码
示例用户组结构： - 研发部 - 用户1 (user1) - 用户2 (user2) - 财务部 - 用户3 (user3)2.2 配置准入控制设备
- 进入"策略管理"→"准入控制设备"
- 添加华为交换机作为准入控制设备，关键参数包括：
- 设备名称（如SW1）
- 设备IP地址
- RADIUS共享密钥（需与交换机配置一致）
- 设备类型选择"交换机"
2.3 设置认证与授权规则
- 创建认证规则，关联相应用户组和准入控制设备
- 配置授权规则，定义认证成功后的访问权限（如VLAN分配、ACL控制）
- 设置动态ACL，控制不同用户组的网络访问范围
3. 华为交换机配置详解
华为交换机作为网络接入设备，需要正确配置RADIUS通信和802.1X认证参数才能与AC协同工作。
3.1 RADIUS模板配置
RADIUS模板定义了交换机与AC之间的认证通信参数：
[SW1]radius-server template AC_RADIUS [SW1-radius-AC_RADIUS]radius-server authentication 192.168.1.100 1812 [SW1-radius-AC_RADIUS]radius-server accounting 192.168.1.100 1813 [SW1-radius-AC_RADIUS]radius-server shared-key cipher Huawei@123 [SW1-radius-AC_RADIUS]quit参数说明：
192.168.1.100：AC的IP地址1812/1813：RADIUS认证/计费标准端口Huawei@123：共享密钥（必须与AC配置一致）
3.2 AAA认证方案配置
AAA（认证、授权、计费）框架是802.1X认证的核心：
[SW1]aaa [SW1-aaa]authentication-scheme AC_SCHEME [SW1-aaa-authen-AC_SCHEME]authentication-mode radius [SW1-aaa-authen-AC_SCHEME]quit [SW1-aaa]accounting-scheme AC_ACCOUNTING [SW1-aaa-accounting-AC_ACCOUNTING]accounting-mode radius [SW1-aaa-accounting-AC_ACCOUNTING]accounting realtime 3 [SW1-aaa-accounting-AC_ACCOUNTING]quit [SW1-aaa]domain default [SW1-aaa-domain-default]authentication-scheme AC_SCHEME [SW1-aaa-domain-default]accounting-scheme AC_ACCOUNTING [SW1-aaa-domain-default]quit [SW1-aaa]quit3.3 802.1X全局与接口配置
启用全局802.1X功能并配置认证方法：
[SW1]dot1x enable [SW1]dot1x authentication-method eap在接入终端的具体接口上启用802.1X：
[SW1]interface GigabitEthernet 0/0/1 [SW1-GigabitEthernet0/0/1]dot1x enable [SW1-GigabitEthernet0/0/1]quit4. 端到端测试与排错
完成配置后，需要进行全面的测试验证，确保802.1X认证流程正常工作。
4.1 认证测试命令
在交换机上可以预先测试AAA认证是否正常：
[SW1]test-aaa user1 Password123 radius-template AC_RADIUS成功响应应显示Account test succeed!，否则需要检查配置。
4.2 查看在线用户
认证成功后，可以通过以下命令查看已认证用户：
[SW1]display access-user输出示例：
UserID Username IP address MAC 34 user1 10.1.2.100 00-11-22-33-44-554.3 常见故障排查
认证失败的可能原因及解决方案：
| 故障现象 | 可能原因 | 排查方法 |
|---|---|---|
| 用户无法发起认证 | 交换机端口未启用802.1X | 检查接口配置display current-configuration interface GigabitEthernet 0/0/1 |
| 认证超时 | AC不可达或共享密钥不匹配 | 检查AC与交换机之间的网络连通性和共享密钥一致性 |
| 认证被拒绝 | 用户不存在或密码错误 | 在AC上验证用户凭证是否正确 |
| 认证成功但无网络访问 | 授权规则配置错误 | 检查AC上的授权规则和动态ACL配置 |
关键诊断命令：
display radius-server configuration：查看RADIUS服务器配置display dot1x：查看802.1X全局状态debugging radius all：开启RADIUS调试（谨慎使用，会影响性能）
5. 高级配置与优化
基础认证工作后，可以考虑以下高级配置提升安全性和管理效率：
5.1 多AC冗余配置
为提高可靠性，可以配置主备AC服务器：
[SW1-radius-AC_RADIUS]radius-server authentication 192.168.1.100 1812 weight 80 [SW1-radius-AC_RADIUS]radius-server authentication 192.168.1.101 1812 weight 205.2 认证超时参数调整
根据网络状况优化超时参数：
[SW1-radius-AC_RADIUS]radius-server retry 3 [SW1-radius-AC_RADIUS]radius-server timeout 105.3 端口安全联动
结合端口安全功能，防止MAC地址欺骗：
[SW1-GigabitEthernet0/0/1]port-security enable [SW1-GigabitEthernet0/0/1]port-security max-mac-num 16. 实际部署经验分享
在企业网络中部署802.1X认证时，有几个容易忽视但非常重要的细节：
共享密钥管理：建议使用专用工具管理和分发共享密钥，确保AC和所有交换机配置一致。曾经遇到过一个案例，因为密钥中的大小写不一致导致认证失败，排查了整整一天。
网络时间同步：确保AC和所有交换机时间同步，否则可能导致证书验证失败。配置NTP服务是必要的：
[SW1]ntp-service unicast-server 192.168.1.5认证失败回退策略：对于关键业务端口，可以配置认证失败后的回退策略，避免网络完全中断：
[SW1-GigabitEthernet0/0/1]dot1x auth-fail vlan 100终端兼容性测试：不同操作系统和版本的802.1X客户端行为可能不同，特别是macOS和Linux系统，需要提前做好兼容性测试。
