网络准入认证系统，准入系统和交换机AC的联动怎么配

网络准入认证系统不是独立工作的，它要和网络里的交换机、无线控制器（AC）联动，才能真正控制设备的接入。准入系统负责身份认证和策略判断，交换机和AC负责执行准入控制，把不符合要求的设备拦在外面或放到隔离区。两者的联动配置是否正确，直接决定了准入系统能不能生效。

802.1X是最常见的联动协议。交换机和AC作为认证者（Authenticator），把终端的认证请求转发给准入系统（RADIUS服务器），准入系统验证通过后返回接受或拒绝，交换机根据结果开放或关闭端口。802.1X的配置涉及交换机端口模式、RADIUS服务器地址、共享密钥、认证超时等参数，每台交换机都要配。如果网络里交换机品牌和型号多，配置的一致性要特别注意，不同厂商的命令行和默认参数可能不一样。

RADIUS协议的参数要配准。准入系统和交换机之间的共享密钥必须一致，否则认证请求会被丢弃。RADIUS的认证端口和计费端口（通常是1812和1813，有些老设备用1645和1646）要对应。超时和重试参数要合理，网络延迟大的环境里超时设太短会导致认证失败重试，增加服务器负载。建议先在一台交换机上测试通过，再批量推广到其他设备。

VLAN下发是联动的重要功能。准入系统认证通过后，可以告诉交换机把这个端口放到哪个VLAN。比如员工认证通过放到办公VLAN，访客认证通过放到访客VLAN，终端不合规放到隔离VLAN。VLAN下发要求交换机支持RADIUS属性里的Tunnel-Private-Group-ID，而且交换机上要预先创建好对应的VLAN和三层接口。VLAN下发的配置要测试，确认认证后端口确实切到了正确的VLAN，用户能获取到对应网段的IP地址。

ACL（访问控制列表）下发是更细粒度的控制。除了VLAN，准入系统还可以给交换机下发ACL，限制该端口的访问范围。比如只允许访问特定服务器和端口，禁止访问其他网段。ACL下发对交换机的要求更高，不是所有型号都支持RADIUS下发ACL，而且ACL的格式和数量有限制。部署前要确认交换机的ACL下发能力，避免方案设计了但设备不支持。

无线侧的联动和有线侧类似但有区别。AC上要配置RADIUS认证，SSID绑定802.1X或Portal认证。无线用户的漫游是个特殊问题，用户在AP之间移动时，认证状态要能保持，不能每次漫游都重新认证。AC和准入系统之间要支持快速漫游或PMK缓存，减少漫游时的认证延迟。无线环境的联动测试要包含漫游场景，不能只测静态连接。

联动的监控和排障工具要准备好。准入系统和交换机之间的RADIUS通信是否正常、认证请求有没有到达服务器、返回了什么结果，这些都要能查到。建议在准入系统上开启RADIUS日志，在交换机上开启调试信息，出问题时能快速定位是网络不通、配置错误还是认证失败。联动配置完成后，要做全面的测试：正常认证、拒绝认证、VLAN切换、ACL生效、漫游切换，都验证通过才能上线。

CoA（Change of Authorization）是联动中一个重要但容易出问题的功能。准入系统在用户认证后如果需要改变权限（比如终端检查发现不合规，要把用户从办公VLAN移到隔离VLAN），需要通过CoA消息通知交换机变更端口状态。CoA要求交换机支持RFC 5176，而且不同厂商的CoA实现有差异，有的支持Disconnect Message，有的支持CoA Request。部署前要确认交换机的CoA能力，测试动态VLAN切换和ACL变更是否正常生效。CoA如果不工作，准入系统的动态策略就没法执行。

准入系统和网络设备的时间同步不能忽略。RADIUS计费报文里的时间戳、日志里的认证时间，都依赖设备和准入服务器的时间一致。如果时间不同步，日志分析和计费对账会出问题，安全事件溯源也会对不上。建议所有网络设备和准入服务器都配置NTP时间同步，用同一个时间源。时间同步看起来是小事，但在排障和审计时经常因为时间不一致导致混乱。

联动配置的文档化和自动化也很重要。网络规模大了以后，靠人工逐台配置交换机容易出错，也没法保证一致性。建议用网络自动化工具批量下发准入配置，配置模板统一管理，变更时通过自动化工具推送。配置文档要和实际网络同步，新设备上线时按文档配置，避免因为配置遗漏导致准入失效。自动化和文档化能大幅降低联动配置的出错率。

准入联动的故障排查要有方法论。遇到认证失败，按链路逐层排查：终端到交换机通不通、交换机到准入服务器通不通、RADIUS请求有没有发出、准入服务器有没有收到、返回了什么结果、交换机有没有执行。每层都有对应的排查命令和日志，按顺序查能快速定位问题。建议把常见故障的排查步骤整理成手册，运维人员遇到问题时按手册操作，不用每次都从头摸索。

联动配置的质量直接决定准入系统能不能真正发挥作用，前期多花时间测试和验证，后期能省去大量排障精力。