IEEE 802.1X(端口访问控制)

IEEE 802.1X 是一种基于端口的网络访问控制(PNAC)标准,规定设备接入有线交换机端口或无线网络时,必须先通过身份认证,认证通过后端口才开放数据转发。它把认证前的端口视为受控状态,有效阻止未授权设备接入内网。

概述

802.1X 由 IEEE 于 2001 年首次发布并多次修订。它定义了三个角色:请求方(Supplicant,即待接入的客户端)、认证方(Authenticator,通常是交换机或无线接入点)和认证服务器(Authentication Server,通常运行 RADIUS)。认证方在端口上区分两条逻辑通道,认证通过前只允许 EAP 报文通过,通过后才放行普通数据。

核心原理

• 受控/非受控端口:未认证时数据被阻断,只有认证流量可达服务器。
• EAPOL 封装:在局域网上用 EAP over LAN(EAPOL)承载认证消息,认证方将其转换为 RADIUS 报文转发给服务器。
• 基于结果放行:服务器返回接受或拒绝,认证方据此打开或保持关闭端口,并可下发 VLAN、ACL 等策略。
• 动态密钥:无线场景下认证成功后可派生加密密钥,实现 WPA2/WPA3 企业模式。

应用场景

企业与校园网络普遍用 802.1X 做网络准入控制,只有经过认证的员工设备才能上网;结合动态 VLAN 下发,还能按用户身份自动划入不同网段。它也是企业 Wi-Fi 安全接入的标准做法。

常见问题

问:802.1X 认证失败会怎样?答:端口保持关闭,设备无法收发普通数据;许多交换机可配置 Guest VLAN,让认证失败的设备进入受限的访客网络。

问:802.1X 能防止私接设备吗?答:能在很大程度上阻止,因为任何接入端口的设备都必须先认证;但需配合防 MAC 旁路等措施防止绕过。