802.1X 提供基於端口的網絡準入控制（NAC），需交換機與客戶端雙向支持。核心流程：端口檢測到設備 → 未認證狀態僅允許 EAPOL/CDP/STP 流量 → 客戶端運行 802.1X 憑證程序（Windows 原生支持） → RADIUS 認證通過 → 端口轉發數據 → 用戶注銷/超時 → 端口回未認證狀態。

配置命令詳解

(config)# aaa new-model                          ! 啟用 AAA
(config)# radius-server host 192.168.1.100 key netdigedu  ! RADIUS 服務器 IP/共享密鑰
(config)# aaa authentication dot1x default group radius   ! 802.1X 默認認證方式用 RADIUS
(config)# dot1x system-auth-control                     ! 全局啟用 802.1X
(config)# interface fa0/24
(config-if)# switchport mode access
(config-if)# dot1x port-control auto                    ! 關鍵：auto 狀態才啟用認證
(config-if)# dot1x host-mode multi-host                 ! 端口下接 Hub/交換機多設備時需開啟

關鍵狀態說明

• force-authorized：始終授權（默認），不做認證。
• force-unauthorized：始終未授權，阻斷所有流量。
• auto：根據 802.1X 交換動態切換，**必須使用此模式**。

驗證命令

# show dot1x all          ! 查看所有端口 802.1X 狀態
# show dot1x interface fa0/24  ! 查看單端口詳細信息

注意：802.1X 僅支持 RADIUS，不支持 TACACS+。部署前確保客戶端 OS/網卡驅動支持 802.1X，RADIUS 服務器（如 Cisco ACS、NPS、FreeRADIUS）已配置對應策略。