菜单

网络认证

下载

概述

网络接入认证（NAC）用于对接入网络的用户或终端进行身份认证、授权与计费，防止未授权终端访问企业内网。在企业园区网中，主流接入认证方式包括 802.1X认证、Portal（Web）认证、MAC认证，以及为兼顾体验与安全而组合出的 MAC优先的Portal认证、MAC优先的802.1X认证。本文基于华为、新华三（H3C）、锐捷、思科等主流厂商官方技术文档，梳理五种认证方式的原理与流程。

802.1X认证

原理说明

802.1X是一种基于端口的网络接入控制协议，由IEEE 802委员会为解决局域网接入安全问题而提出。802.1X认证系统为典型的Client/Server结构，包含三个组件：

客户端（Supplicant）：用户终端，必须支持EAPoL（EAP over LANs）协议并安装802.1X客户端软件，通过启动客户端软件发起认证。
接入设备（Authenticator/NAS）：交换机、AC等支持802.1X的网络设备，将物理端口划分为“受控端口”与“非受控端口”。非受控端口始终连通，用于传递EAPoL协议帧；受控端口在认证成功前关闭，不允许业务报文通过。
认证服务器：通常为RADIUS服务器，完成认证、授权与计费。

客户端与接入设备之间通过EAPoL封装EAP报文交互；接入设备与RADIUS服务器之间支持两种模式：**EAP中继（EAPOR）**方式将EAP报文原样封装进RADIUS报文透传，认证方法协商由客户端和服务器完成；EAP终结方式由设备解析EAP报文并提取认证信息，通过PAP/CHAP与RADIUS交互。认证成功后，接入设备将端口置为授权状态，用户方可访问网络。

认证流程图

流程关键点

客户端发送EAPoL-Start触发认证（无线场景也可由终端关联设备触发）。
设备请求身份，客户端回应携带用户名的EAP-Response/Identity。
设备将EAP报文封装为RADIUS Access-Request发送至RADIUS服务器，双方协商EAP认证方法（如MD5-Challenge、PEAP等）。
认证成功：RADIUS返回Access-Accept，设备向客户端发送EAP-Success并将端口置为授权状态；同时开始计费。
认证失败：RADIUS返回Access-Reject，设备发送EAP-Failure，端口保持未授权。
用户下线：客户端发送EAPoL-Logoff，设备停止计费并将端口置为未授权。

厂商要点

华为将802.1X认证用于信息安全要求严格的场景，支持端口级与MAC级接入控制；锐捷将802.1X定义为“基于端口（或Wi-Fi连接）的网络存取控制”，强调非受控端口仅承载认证报文；思科在802.1X超时或失败后支持回退到MAC认证旁路（MAB），以兼容无802.1X客户端的哑终端。

Portal认证

原理说明

Portal认证又称Web认证：用户上网时无需安装客户端，打开浏览器访问任意网页，接入设备将未认证用户的HTTP/HTTPS请求重定向到Portal认证页面，用户输入用户名和密码完成认证后才能访问其他网络资源。Portal认证系统包含四个要素：客户端（浏览器）、接入设备（NAS）、Portal服务器、认证服务器（RADIUS）。

Portal认证按网络层次分为二层认证与三层认证：二层认证下设备可学习到客户端MAC地址，以IP+MAC识别用户，安全性高但组网受限；三层认证下设备只能以IP地址识别用户，组网灵活但安全性较低。认证触发方式包括用户主动访问Portal站点，以及未认证用户访问其他网站时的重定向认证。

认证流程图

流程关键点

客户端发起HTTP连接请求，接入设备判断：访问Portal服务器或免认证资源（free-rule）的报文放行，其余重定向到Portal认证页面。
客户端获取认证页面并输入用户名、密码，提交至Portal服务器。
Portal服务器将认证信息封装为Portal认证请求（REQ_AUTH）发往接入设备；设备与RADIUS服务器交互完成认证（可选CHAP挑战字流程）。
认证成功后设备向RADIUS发起计费开始，向Portal服务器回ACK_AUTH，Portal服务器通知客户端认证成功，业务流量放行。
下线方式：客户端主动注销、接入设备探测、RADIUS服务器强制下线、Portal服务器强制下线四种。

厂商要点

华为支持Portal协议（兼容中国移动Portal 2.0）及HTTP/HTTPS协议两种认证协议，并支持内置Portal服务器与服务器探测逃生机制；H3C的Portal配置支持免认证规则、MAC快速认证（MAC-trigger）等扩展；锐捷将Portal认证定位为轻量级Web认证，支持页面定制、广告推送等运营扩展。

MAC认证

原理说明

MAC认证是以终端的MAC地址作为用户名和密码向认证服务器发起认证的接入控制方式。终端无需安装任何客户端软件，也无需输入账号密码。接入设备在首次学习到终端MAC地址（收到ARP、DHCP、DHCPv6、bootp、ND等报文）时触发认证，将MAC地址作为认证凭据发送给RADIUS服务器。认证成功后设备打开端口放行该终端。

MAC认证特别适用于无法安装802.1X客户端或不支持输入用户名密码的哑终端，如打印机、传真机、IP电话、IP摄像头等。设备与RADIUS服务器之间支持PAP和CHAP两种交互方式。

认证流程图

流程关键点

接入设备收到终端上送的ARP/DHCP等报文，学习源MAC地址并触发认证。
设备将终端MAC地址作为用户名和密码（PAP方式下经MD5哈希封装进User-Password属性），发送RADIUS Access-Request。
RADIUS服务器在本地数据库校验MAC+共享密钥+随机值的哈希结果，一致则返回Access-Accept，设备授权端口并开始计费。
认证失败时终端被拒绝接入，或按策略划入访客VLAN/受限网络。

厂商要点

华为MAC认证支持PAP/CHAP、固定用户名与MAC地址用户名两种模式；H3C支持基于RADIUS的MAC认证与本地MAC认证；思科将其称为MAC认证旁路（MAB），作为802.1X超时后的回退手段；锐捷将MAC认证定义为“以终端MAC地址作为用户名和密码向中央RADIUS服务器发起认证”，在设备学习MAC地址时触发。

MAC优先的Portal认证

原理说明

MAC优先的Portal认证是无线园区网中改善访客体验的常用方案，也称无感知认证。其核心思路：终端接入时设备先进行MAC认证；若RADIUS服务器缓存中已存在该终端MAC与账号的绑定（用户在有效期内完成过Portal认证），则直接认证通过放行，用户无需再次输入账号密码；若MAC认证失败（首次接入或缓存过期），设备推送Portal认证页面，用户输入账号密码完成Portal认证，认证服务器随即缓存该终端MAC与账号的绑定关系，在“MAC地址有效时间”（如60分钟）内再次接入即可免认证。

该方案将MAC认证的“无感”与Portal认证的“可运营、页面可定制”相结合，适用于用户流动性大、需频繁进出无线覆盖区域的场景，如访客Wi-Fi、图书馆、商业中心。

认证流程图

流程关键点

终端关联SSID或产生流量时触发认证，设备先向认证服务器发起MAC认证。
缓存命中（有效期内已认证）：直接授权放行，实现无感知认证。
缓存未命中（首次接入或超过有效期）：设备重定向终端到Portal认证页面，用户输入账号密码认证。
Portal认证成功后服务器缓存MAC+账号绑定（默认有效时间可配置，华为默认60分钟），到期后删除绑定，再次接入需重新认证。
注意事项：授权规则不宜仅以IP地址为匹配条件，因为MAC认证阶段终端可能尚未获取IP；启用MAC优先认证后存在非法用户伪造MAC接入的风险，需结合准入策略防范。

厂商要点

华为在WLAN场景提供“MAC优先的Portal认证”，在认证模板中同时绑定MAC接入模板与Portal接入模板，默认MAC认证优先于Portal认证；H3C提供基于MAC地址的Portal快速认证（MAC-trigger认证），需部署MAC绑定服务器记录用户认证信息与终端MAC的对应关系；锐捷通过RG-SAM+/SMP实现“无感知认证（MAB）”，用户首次Web认证成功后，后续以MAC免认证接入，并支持终端指纹技术应对随机MAC。

MAC优先的802.1X认证

原理说明

MAC优先的802.1X认证是MAC认证与802.1X认证的混合部署（属于华为所称“混合认证”的一种）。其逻辑是：终端接入时设备先以MAC地址作为用户名和密码进行MAC认证；MAC认证成功（终端已在服务器登记，如哑终端或已注册设备）则直接放行；MAC认证失败（终端未登记）则回退到802.1X认证流程，用户通过802.1X客户端输入账号密码完成认证。这样在一套端口策略下，哑终端走MAC认证、PC走802.1X认证，兼顾兼容性与安全性。

需与“MAC旁路认证（dot1x-mac-bypass）”区分：MAC旁路是802.1X认证失败（如终端无客户端）后再回退MAC认证，即802.1X优先、MAC兜底；而MAC优先的802.1X认证是MAC优先、802.1X兜底。华为在认证模板中绑定MAC接入模板与802.1X接入模板即可实现，认证顺序为MAC、802.1X、Portal。

认证流程图

流程关键点

终端接入触发认证，设备先发起MAC认证（用户名=密码=终端MAC）。
MAC认证成功：哑终端或已登记设备直接放行，无需安装客户端。
MAC认证失败：设备回退802.1X认证，发送EAP-Request/Identity，客户端以账号回应并完成后续EAP交互。
802.1X认证成功则放行并计费；失败则拒绝接入或划入访客VLAN。

厂商要点

华为支持在认证模板下绑定多个接入模板实现混合认证，认证顺序固定为MAC认证、802.1X认证、Portal认证；H3C提供“Triple认证”（Web+MAC+802.1X同端口共存）以及先本地MAC认证、通过后再802.1X认证的组合示例；思科方向相反，默认802.1X优先，超时后启用MAB回退MAC认证。

五种认证方式对比与选型

认证方式	客户端要求	适用场景	主要特点
802.1X认证	需安装802.1X客户端（系统自带）	新建网络、用户集中、安全要求严格的办公网	安全性高、二层协议、认证前不允许业务报文通过
Portal认证	无需客户端，浏览器即可	访客、酒店、商业中心等流动性大场景	轻量、可定制页面、便于运营推广
MAC认证	无需客户端、无需输入账号	打印机、摄像头等哑终端	无感知、以MAC为凭据、安全性相对较低
MAC优先的Portal认证	首次需浏览器认证，后续免认证	访客Wi-Fi、需频繁进出覆盖区的用户	一次认证、有效期内无感知、体验好
MAC优先的802.1X认证	哑终端免客户端；PC需802.1X客户端	PC与哑终端混合接入的办公网	兼容性与安全性兼顾、按终端类型自动选择

选型建议：高安全办公网（员工PC）优先802.1X；访客与开放网络选Portal；哑终端选MAC认证；追求访客无感体验选MAC优先的Portal；PC与哑终端混接的端口选MAC优先的802.1X混合认证。

参考资料

最近修改: 2026-10-22Powered by