802.1X 是端口级认证：插上网线先证明自己是谁，通过了才放行。 没通过之前，除了认证报文，什么都不通。
上一节讲 MAC 过滤挡不住伪造，这一节讲真正的认证。 802.1X 是「准入控制」的标准做法，比 MAC 过滤强的地方在于「要凭据」。
一、三个角色
申请者（Supplicant）：终端上的客户端。认证者（Authenticator）：交换机端口。 认证服务器：RADIUS。
交换机在中间「转交」：它自己不验身份，把终端的 EAP 报文包进 RADIUS 转给服务器。
所以交换机是「守门的」，服务器是「查证的」。分工清楚， 也意味着服务器挂了谁也进不来——这是要提前想好的风险。
二、流程只有四步
一、端口插上，交换机发现链路起来，这时端口在未授权状态，只放行 EAP。 二、终端发 EAP，交换机包进 RADIUS 转给服务器。 三、服务器回 Accept 或 Reject。 四、Accept 就打开端口，并可以顺手下发 VLAN 或 ACL。
第四步那半句才是 802.1X 最值钱的地方：不只是「通不通」，还能「通了之后你在哪个 VLAN、 能访问什么」。
三、两个代价
一、要一台 RADIUS 服务器，还要维护账号（通常对接 AD／LDAP）。
二、哑设备麻烦：打印机、摄像头、老工控机装不了客户端，只能配 MAC 旁路（MAB）。 而 MAB 又回到了「MAC 可以伪造」的老问题——所以它的定位是「方便」，不是「安全」。
失败的设备通常给一个隔离 VLAN：让它能拿到 IP、弹出「请认证」的页面。 完全不通的话，用户根本不知道为什么上不了网。
四、动手 Demo：认证结果对应的 VLAN 与权限
这段列四种身份下发到哪个 VLAN、能访问什么，再看认证失败时为什么还要给一个隔离 VLAN。
for a, b, c in ((u"员工笔记本", u"VLAN 10", u"全部办公网"),
(u"访客手机", u"VLAN 90", u"只有互联网"),
(u"打印机", u"VLAN 20", u"只有打印服务器"),
(u"认证失败的设备", u"隔离 VLAN 99", u"只有 DHCP")):
T([a, b, c], [0, 0, 0])
实跑输出：
--------------------------------------------------------------------
802.1X，认证之前什么都不通
--------------------------------------------------------------------
**802.1X 是「端口级认证」**：设备插上网线，先证明自己是谁，通过了才放行。
**没通过之前，除了认证报文，什么都不通。**
**三个角色，缺一不可**：
角色 是谁 干什么
-------------------------------------------------------------------------
Supplicant（申请者） 终端上的客户端 提交身份
Authenticator（认证者） 交换机端口 拦住流量、转发认证报文
认证服务器 RADIUS 服务器 验身份、返回权限
**流程只有四步**：
1. 端口插上，交换机发现链路起来，**这时端口在「未授权」状态，只放行 EAP 报文**。
2. 终端发 EAP 报文，交换机把它包进 RADIUS 转给服务器。
3. 服务器验证通过，回一个「Accept」或「Reject」。
4. Accept 就把端口打开，并**可以顺手下发 VLAN 或 ACL**。
**第 4 步那半句才是 802.1X 最值钱的地方**：不只是「通不通」，还能「通了之后你在哪个 VLAN、
能访问什么」。
身份 下发 VLAN 能访问什么
------------------------------------------------------
员工笔记本 VLAN 10 全部办公网
访客手机 VLAN 90 只有互联网
打印机 VLAN 20 只有打印服务器
认证失败的设备 隔离 VLAN 99 只有 DHCP
**认证失败的设备为什么还给一个隔离 VLAN**：为了让它能拿到 IP、弹出「请认证」的页面；
**完全不通的话，用户根本不知道为什么上不了网。**
**代价有两个**：
1. **要一台 RADIUS 服务器**，还要维护账号（通常对接 AD／LDAP）。
2. **哑设备麻烦**：打印机、摄像头、老工控机装不了客户端，只能配 MAC 旁路（MAB）。
**而 MAB 又回到了「MAC 可以伪造」的老问题**——所以它的定位是「方便」，不是「安全」。
这张表就是 802.1X 的真正价值：不是「拦人」，是「按身份给不同待遇」。 传统做法要按端口划 VLAN，换个座位就得改配置；802.1X 是跟着人走的。
最后一行「只有 DHCP」很关键：隔离 VLAN 里只放行 DHCP 与 DNS， 这样设备能拿到地址、能弹页面，但什么也访问不了。这是「可用性」与「隔离」的平衡点。
打印机那一行说明 MAB 的现实：它用 MAC 当凭据，安全性等于「谁都能冒充」。 所以 MAB 端口应该另外用端口安全再限一层——两层叠加，比单用一层强。
30 秒实验
- 查你所在网络有没有做 802.1X（插上网线看要不要认证）。
- 看交换机支持不支持 MAB。
- 问一下网络管理员认证服务器是什么。
常见误区
- 以为 802.1X 只要交换机支持就行。要 RADIUS。
- 给哑设备全开 MAB 不做限制。等于没有认证。
- 认证失败就完全不通。用户不知道原因。
自测三问（点开对答案）
1. 802.1X 的三个角色是什么？ —— 申请者、认证者（交换机端口）、认证服务器（RADIUS）。 2. 认证未通过时端口放行什么？ —— 只放行 EAP 认证报文，其他全不通。 3. MAB 的安全性如何？ —— 用 MAC 当凭据，可伪造，只能算「方便」不是「安全」。下一节：最后一个功能是「怎么管」——网络管理。
- ☐ （本节完，下一节 02.08.10 网络管理）