问

S5310S配置802.1X认证和动态vlan划分

VLAN

2026-09-09提问

0关注
0收藏，216浏览

zhiliao_3BnelC

zhiliao_3BnelC 零段

粉丝：0人关注：1人

问题描述：

现在命令配置好了，终端接入通过准入软件接入，认证不成功，也不划分vlan怎么排查

组网及组网描述：

[H3C]dis cur # version 7.1.070, Release 6328P03 # sysname H3C # irf mac-address persistent timer irf auto-update enable undo irf link-delay irf member 1 priority 1 # dot1x dot1x authentication-method eap # lldp global enable # password-recovery enable # vlan 1 # vlan 18 # vlan 1016 # vlan 1107 # stp global enable # interface NULL0 # interface Vlan-interface1 ip address dhcp-alloc dhcp client identifier ascii bcd0ebc36d48-VLAN0001 # interface Vlan-interface18 ip address 192.168.18.11 255.255.255.0 # interface GigabitEthernet1/0/1 dot1x undo dot1x handshake dot1x mandatory-domain imc-dot1x mac-authentication domain imc-dot1x # interface GigabitEthernet1/0/2 # interface GigabitEthernet1/0/3 # interface GigabitEthernet1/0/4 port access vlan 1016 # interface GigabitEthernet1/0/5 # interface GigabitEthernet1/0/6 # interface GigabitEthernet1/0/7 # interface GigabitEthernet1/0/8 # interface GigabitEthernet1/0/9 # interface GigabitEthernet1/0/10 # interface GigabitEthernet1/0/11 # interface GigabitEthernet1/0/12 # interface GigabitEthernet1/0/13 # interface GigabitEthernet1/0/14 # interface GigabitEthernet1/0/15 # interface GigabitEthernet1/0/16 # interface GigabitEthernet1/0/17 # interface GigabitEthernet1/0/18 # interface GigabitEthernet1/0/19 # interface GigabitEthernet1/0/20 # interface GigabitEthernet1/0/21 # interface GigabitEthernet1/0/22 # interface GigabitEthernet1/0/23 # interface GigabitEthernet1/0/24 # interface GigabitEthernet1/0/25 # interface GigabitEthernet1/0/26 # interface GigabitEthernet1/0/27 # interface GigabitEthernet1/0/28 # interface GigabitEthernet1/0/29 # interface GigabitEthernet1/0/30 # interface GigabitEthernet1/0/31 # interface GigabitEthernet1/0/32 # interface GigabitEthernet1/0/33 # interface GigabitEthernet1/0/34 # interface GigabitEthernet1/0/35 # interface GigabitEthernet1/0/36 # interface GigabitEthernet1/0/37 # interface GigabitEthernet1/0/38 # interface GigabitEthernet1/0/39 # interface GigabitEthernet1/0/40 # interface GigabitEthernet1/0/41 # interface GigabitEthernet1/0/42 # interface GigabitEthernet1/0/43 # interface GigabitEthernet1/0/44 # interface GigabitEthernet1/0/45 # interface GigabitEthernet1/0/46 # interface GigabitEthernet1/0/47 # interface GigabitEthernet1/0/48 port link-type trunk port trunk permit vlan all # interface GigabitEthernet1/0/49 # interface GigabitEthernet1/0/50 # interface GigabitEthernet1/0/51 # interface GigabitEthernet1/0/52 # scheduler logfile size 16 # line class aux user-role network-admin # line class vty user-role network-operator # line aux 0 user-role network-admin # line vty 0 63 user-role network-operator # ip route-static 0.0.0.0 0 192.168.18.254 # radius scheme imc-dot1x primary authentication 10.20.102.14 primary accounting 10.20.102.14 key authentication cipher $c$3$o33on+WlzwILf2+P8vSeHMl4A1bbL1kFYtLc key accounting cipher $c$3$7GFDH/JmawduQSl+JvaYtnSx76qeTw9z9giV # radius scheme system user-name-format without-domain # domain dot1x-domain authentication lan-access radius-scheme imc-dot1x authorization lan-access radius-scheme imc-dot1x accounting lan-access radius-scheme im-dot1x # domain system # domain default enable system # role name level-0 description Predefined level-0 role # role name level-1 description Predefined level-1 role # role name level-2 description Predefined level-2 role # role name level-3 description Predefined level-3 role # role name level-4 description Predefined level-4 role # role name level-5 description Predefined level-5 role # role name level-6 description Predefined level-6 role # role name level-7 description Predefined level-7 role # role name level-8 description Predefined level-8 role # role name level-9 description Predefined level-9 role # role name level-10 description Predefined level-10 role # role name level-11 description Predefined level-11 role # role name level-12 description Predefined level-12 role # role name level-13 description Predefined level-13 role # role name level-14 description Predefined level-14 role # user-group system # return [H3C]

3 个回答

按时间按赞数

zhiliao_Gixe

zhiliao_Gixe 九段

粉丝：16人关注：9人

请按照以下步骤排查，注意收集每一步的Debug和Log信息：
一、基础配置检查
1. 接口配置：确认物理口下是否已使能802.1X。
display current configuration interface GigabitEthernet1/0/X
关键检查项：port access vlan 1 (初始vlan)，dot1x enable，dot1x port-method macbased (或portbased)。
2. AAA配置：
确认是否配置了RADIUS方案、ISP域，并引用了正确的方案。
确认接口下是否应用了ISP域（dot1x domain xxx）或使用了默认域。
3. 动态VLAN授权：
RADIUS服务器上必须下发标准属性 Tunnel-Type=VLAN，Tunnel-Medium-Type=802，以及 Tunnel-Private-Group-ID=VLAN ID（必须是字符串形式）。
确认设备上已创建了下发的VLAN（例如VLAN 1016, 1107）。
二、连通性与调试
1. RADIUS连通性：
ping
确认RADIUS Key一致。
2. 开启Debug：
terminal debugging
terminal monitor
debugging dot1x all
debugging radius all
重新插拔终端，观察交互流程。
三、常见排障命令
display dot1x connection
display radius statistics
display aaa online-fail-record
*注：由于您提供的配置信息不全（缺失接口和AAA部分），请先补充检查接口配置。*

暂无评论

zhiliao_GeOM0O

zhiliao_GeOM0O 九段

粉丝：39人关注：2人

一、配置里明显错误（优先修复）

ISP 域计费 scheme 名字写错

domain dot1x-domain
 authentication lan-access radius-scheme imc-dot1x
 authorization lan-access radius-scheme imc-dot1x
 accounting lan-access radius-scheme im-dot1x   ←这里名字错：im-dot1x，正确应为imc-dot1x

后果：认证、授权走 imc-dot1x，计费引用了不存在的 radius 方案，RADIUS 交互异常，会导致认证失败、授权 VLAN 不下发。

全局没有开启 dot1x！！ display cur看不到dot1x全局使能命令，V7 交换机全局必须输入 dot1x 开启 802.1X，只在接口下敲 dot1x 不生效。

system-view
dot1x

接入端口 G1/0/1 配置缺陷

interface GigabitEthernet1/0/1
 dot1x
 undo dot1x handshake
 dot1x mandatory-domain imc-dot1x
 mac-authentication domain imc-dot1x

缺少dot1x port-method portbased（端口模式，动态 VLAN 推荐 portbased）
端口链路类型：接入终端的口，必须配置 port link-type access；当前没配链路类型，默认是 access，但规范建议显式配置。

注意：上行口 G1/0/48 为 trunk，允许所有 vlan，这部分没问题。

域名称不匹配 接口强制域写的imc-dot1x，但实际创建的 domain 名字叫dot1x-domain。 dot1x mandatory-domain imc-dot1x 引用了一个不存在的域！ ✅ 二选一修改：方案 A：接口改成 dot1x mandatory-domain dot1x-domain（推荐）方案 B：把 domain 名称改为 imc-dot1x

这个是核心故障点：端口强制认证域名称和实际创建的域不一致，认证报文找不到 AAA 域，直接认证失败。

二、完整修正命令

system-view
# 全局开启802.1X
dot1x
# 修改ISP域，修正计费scheme名称
domain dot1x-domain
 authentication lan-access radius-scheme imc-dot1x
 authorization lan-access radius-scheme imc-dot1x
 accounting lan-access radius-scheme imc-dot1x
quit
# 修正接入端口G1/0/1
interface GigabitEthernet1/0/1
 port link-type access
 dot1x
 dot1x port-method portbased
 undo dot1x handshake
 dot1x mandatory-domain dot1x-domain
 mac-authentication domain dot1x-domain
quit

三、排查顺序（改完配置之后）

1、RADIUS 连通性

display radius scheme imc-dot1x

确认服务器 IP：10.20.102.14，交换机能 ping 通 IMC 服务器；
IMC 上添加接入设备，设备 IP、共享密钥和交换机 radius key 必须完全一致，密钥大小写、特殊字符不能错。

2、IMC EIA 服务器侧检查（动态 VLAN 不下发重点）

iNode 账号的接入服务配置里，下发 Tunnel 属性： Tunnel-Type=VLAN (13), Tunnel-Medium-Type=802 (6), Tunnel-Private-Group-ID=VLAN 号
交换机上必须提前预先创建好需要动态下发的 VLAN（比如 vlan1107，配置里已经创建），交换机不存在的 VLAN，RADIUS 下发无效。
IMC 的接入设备模板：认证协议 EAP，和交换机dot1x authentication-method eap保持匹配。

3、交换机查看认证会话 & 调试命令

display dot1x interface GigabitEthernet 1/0/1
display connection
display dot1x connection

有连接、但是无授权 VLAN：IMC 没有下发 Tunnel VLAN 属性；
完全没有 EAP 报文：全局 dot1x 没开 / 域名称错误 /iNode 客户端配置错；

调试抓报文（故障定位）

debugging dot1x packet
debugging radius packet
terminal monitor
terminal debugging

4、其他坑

上行 Trunk 口 G1/0/48 必须允许所有动态 VLAN 通过，当前port trunk permit vlan all是没问题；
终端 iNode 客户端：EAP 类型 PEAP，用户名不要携带 @域名，或者和强制域匹配；
交换机 VLANIF：动态 VLAN 的 VLAN 接口 IP（网关）必须存在，终端认证拿到 VLAN 后才能获取 IP。

四、简短总结

3 个核心问题：①全局未开启 dot1x；②接口 mandatory-domain 域名写错，引用不存在域；③domain 下 accounting 的 radius 方案名称拼写错误。 先修复这三条配置，保存，重新测试 iNode 认证。认证成功后仍然不划分 VLAN，去 IMC EIA 检查用户接入服务是否配置 Tunnel VLAN 授权属性，并且交换机提前建好目标 VLAN。

暂无评论

山山而川

山山而川九段

粉丝：34人关注：1人

根据你提供的配置，问题很可能出在接口模式、认证方式冲突以及RADIUS服务器属性下发这三个环节。下面我帮你逐一分析，并给出排查步骤。

问题一：接口链路类型错误（最可能的原因）

你的接口 GigabitEthernet1/0/1 没有显式配置链路类型，默认是 Access。而 Access 口只允许一个 VLAN 通过，无法支持 802.1X 动态 VLAN 下发。动态 VLAN 要求接口在认证成功后能灵活切换所属 VLAN，这必须依赖 Hybrid 或 Trunk 类型。

排查与解决：检查接口配置，将其改为 Hybrid 模式，并确保目标 VLAN 以 untagged 方式允许通过。

bash

interface GigabitEthernet1/0/1 port link-type hybrid undo port hybrid vlan 1 # 移除默认VLAN 1，防止未授权流量 port hybrid vlan 1016 1107 untagged # 允许动态VLAN和默认VLAN通过 port hybrid pvid vlan 1016 # 设置默认PVID mac-vlan enable # 关键！开启MAC-VLAN映射，支持动态VLAN下发 quit

注意：mac-vlan enable 在 Hybrid 口下是动态 VLAN 生效的关键，很多配置漏掉这一步会导致 VLAN 不下发。

问题二：MAC认证与802.1X认证冲突

你的接口同时配置了 dot1x 和 mac-authentication。如果两者并行运行，且未正确配置并行模式，MAC认证可能会“抢先”处理，导致802.1X认证无法完成，从而不触发动态VLAN下发。

排查与解决：根据你的准入软件类型，调整配置。

如果准入软件只使用802.1X：建议移除MAC认证配置，避免干扰：
bash
interface GigabitEthernet1/0/1 undo mac-authentication domain imc-dot1x quit
如果确实需要MAC认证作为备用：需显式配置两者并行：
bash
interface GigabitEthernet1/0/1 mac-authentication parallel-with-dot1x quit

问题三：RADIUS服务器未下发VLAN属性

即使交换机配置正确，如果RADIUS服务器没有在认证成功响应中下发VLAN属性，交换机也不知道该把用户划分到哪个VLAN。

排查步骤：

登录RADIUS服务器（iMC/EIA或第三方服务器），检查该用户的授权属性配置。确保下发了 Tunnel-Private-Group-Id 属性（对应VLAN ID）和 Tunnel-Type（值为VLAN）。
如果服务器下发的是字符串形式的VLAN名称（如“VLAN25”），交换机上必须预先静态创建同名VLAN，否则无法识别。
如果下发的是数字形式VLAN ID，交换机通常可以自动创建。

🛠️ 问题四：认证域配置存在笔误

检查你的 domain dot1x-domain 配置，发现一处拼写错误：

text

accounting lan-access radius-scheme im-dot1x # 应为 imc-dot1x

im-dot1x 缺少字母 “c”，这会导致计费方案指向不存在的RADIUS方案，可能影响认证流程。请修正为：

text

accounting lan-access radius-scheme imc-dot1x

完整排查流程

建议按以下顺序操作，每步完成后测试认证：

第一步：修正配置

bash

# 修正 domain 拼写错误 domain dot1x-domain accounting lan-access radius-scheme imc-dot1x quit # 修正接口配置 interface GigabitEthernet1/0/1 port link-type hybrid undo port hybrid vlan 1 port hybrid vlan 1016 1107 untagged port hybrid pvid vlan 1016 mac-vlan enable undo mac-authentication domain imc-dot1x # 如准入软件仅用802.1X quit

第二步：开启Debug观察认证过程
在业务低峰期，开启802.1X和RADIUS调试，观察认证报文交互：

bash

terminal monitor terminal debugging debugging dot1x all debugging radius all

然后让终端重新认证，观察输出中是否出现 “Authorization failure” 或 “VLAN assignment” 相关日志。

第三步：查看关键状态命令

bash

display dot1x # 确认全局和接口802.1X已开启 display dot1x connection # 查看在线用户及所属VLAN display radius scheme imc-dot1x # 确认RADIUS方案配置正确 display domain dot1x-domain # 确认认证域引用正确

第四步：服务器侧确认
在RADIUS服务器上，查看该用户的认证日志和授权属性，确认：

认证是否成功（返回Access-Accept）
响应报文中是否包含 Tunnel-Private-Group-Id 属性
属性值是否与交换机上已创建的VLAN匹配

暂无评论

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 隐私政策; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

S5310S配置802.1X认证和动态vlan划分

问题描述：

组网及组网描述：

一、配置里明显错误（优先修复）

二、完整修正命令

三、排查顺序（改完配置之后）

1、RADIUS 连通性

2、IMC EIA 服务器侧检查（动态 VLAN 不下发重点）

3、交换机查看认证会话 & 调试命令

4、其他坑

四、简短总结

问题一：接口链路类型错误（最可能的原因）

问题二：MAC认证与802.1X认证冲突

问题三：RADIUS服务器未下发VLAN属性

🛠️ 问题四：认证域配置存在笔误

完整排查流程

编辑答案

提出建议