用途
本技能用于实现基于 802.1X 的端口级网络访问控制（NAC），通过 RADIUS 认证、PacketFence NAC 平台和交换机配置，强制只有经过身份认证且符合合规要求的设备才能接入网络。典型用途包括：在接入层实施零信任网络、根据用户角色动态分配 VLAN、隔离未通过终端合规检查（如缺少补丁、杀毒软件被禁用）的设备、满足 PCI-DSS、HIPAA、SOC 2 等合规要求，以及为 BYOD 设备提供自动化准入与受限网络访问。
主要能力
- 安装与配置 FreeRADIUS，包括 RADIUS 客户端、LDAP/Active Directory 集成。
- 配置基于用户组身份的动态 VLAN 分配策略（Tunnel-Type、Tunnel-Medium-Type、Tunnel-Private-Group-ID）。
- 配置 EAP（PEAP、EAP-TLS）以支持 802.1X 认证。
- 在 Cisco 交换机上启用 AAA、802.1X、MAB（MAC 认证旁路）、来宾 VLAN、隔离 VLAN 和关键 VLAN 回退。
- 部署 PacketFence NAC 进行终端合规评估（posture assessment）、隔离与修复。
- 配置 Windows、Linux（wpa_supplicant）、macOS 终端 supplicant。
- 通过交换机命令测试和验证认证、VLAN 分配、故障回退等场景。
使用方式
工作流分为六个步骤：
- 安装并配置 FreeRADIUS：安装 freeradius、freeradius-utils、freeradius-ldap，配置交换机作为 RADIUS 客户端，配置 LDAP 模块对接 Active Directory。
- 配置 VLAN 分配策略：在 policy.d 中定义基于 LDAP 组的 VLAN 分配逻辑，配置 EAP 模块，启动调试模式并测试认证。
- 在 Cisco 交换机上配置 802.1X：启用 AAA、配置 RADIUS 服务器、全局启用 dot1x、为接入端口配置认证顺序（dot1x mab）、MAB、来宾 VLAN、隔离 VLAN 和关键 VLAN 回退。
- 部署 PacketFence NAC：安装 PacketFence、运行配置器、通过 Web 管理界面配置连接配置文件与合规检查、配置交换机信息。
- 配置终端 supplicant：Windows 通过组策略配置 PEAP/EAP-MSCHAPv2，Linux 使用 wpa_supplicant 配置文件，macOS 通过网络设置配置。
- 测试与验证：验证已认证设备获得正确 VLAN、未认证设备进入来宾 VLAN、认证失败进入隔离 VLAN、RADIUS 故障时进入关键 VLAN、MAB 认证等场景。
适用场景
- 医院网络部署 802.1X NAC 以满足 HIPAA 要求，包含临床工作站、不支持 802.1X 的医疗设备、医生 BYOD 设备和访客 WiFi，并确保 RADIUS 不可用时不影响患者护理。
- 企业接入层零信任网络建设。
- 合规驱动的网络访问控制（PCI-DSS、HIPAA、SOC 2）。
- BYOD 设备自动化准入与受限访问。
限制
- 不应作为独立安全解决方案使用，需配合其他控制措施。
- 不适用于不支持 802.1X supplicant 的设备网络（除非使用 MAB 等回退机制）。
- 关键基础设施必须配置适当的回退机制。
- 前置条件包括：配置了用户/设备认证的 RADIUS 服务器（FreeRADIUS、Microsoft NPS 或 Cisco ISE）、支持 802.1X 端口认证的受管交换机、用于 EAP-TLS 证书分发的证书颁发机构（可选但推荐）、PacketFence 或类似 NAC 平台、Active Directory 或 LDAP 目录、DHCP 服务器集成。
关键概念
- 802.1X：IEEE 基于端口的网络访问控制标准，通过 EAP 和 RADIUS 在授予网络访问前认证设备。
- RADIUS：网络设备用于认证用户并接收授权属性（VLAN、ACL）的协议。
- MAB：使用设备 MAC 地址作为凭据的回退认证方法，适用于无法运行 802.1X supplicant 的设备。
- EAP-PEAP：将 EAP 封装在 TLS 隧道中的受保护可扩展认证协议，常与 MSCHAPv2 配合使用。
- Posture Assessment：在授予完整网络访问前评估终端合规状态（操作系统补丁、杀毒软件、加密）。
- Dynamic VLAN Assignment：由 RADIUS 驱动的自动 VLAN 分配，基于用户身份、组成员关系或设备类型。
工具与系统
- FreeRADIUS：开源 RADIUS 服务器，支持 EAP-TLS、PEAP、LDAP 集成和动态 VLAN 分配。
- PacketFence：开源 NAC 解决方案，提供 802.1X 集成、合规评估、强制门户和设备注册。
- Cisco ISE：企业 NAC 平台，具有设备画像、合规、访客管理和 TrustSec 集成。
- wpa_supplicant：Linux 和嵌入式系统的开源 802.1X supplicant，支持 EAP-TLS、PEAP 和 TTLS。
- Microsoft NPS：Windows Server RADIUS 实现，与 Active Directory 原生集成。
常见陷阱
- 未配置关键 VLAN 回退，导致 RADIUS 不可用时设备失去网络访问。
- MAB MAC 地址数据库随设备更换或移动而过时。
- 802.1X 超时导致工作站登录延迟，尤其是 RADIUS 响应缓慢时。
- 未在 IP 电话与工作站菊花链连接的端口上测试多主机模式。