802.1X 与网络准入

它解决什么问题

前面所有基线都有一个隐含假设：接入网络的设备是已知的。VLAN 分区假设设备在正确的段里，ACL 假设源地址可信，审计假设日志来自登记过的机器。

802.1X 网络准入（NAC）补上这个假设的最后一块：没登记的设备，插上网线也拿不到业务网段的地址。一根网线 + 一台笔记本就想进内网的日子，到这一层结束。

为什么放最后上线

802.1X 是这套基线里最容易一开始就翻车的组件，原因是认证环节对「不完美设备」零容忍：

• 打印机 —— 很多型号的 802.1X 支持一塌糊涂，认证失败就离线
• NAS —— 同上，存储设备掉线是业务事故
• IoT 设备 —— 摄像头、考勤机，几乎没有一台支持 802.1X
• 员工自带笔记本 —— 认证配置下发不到位就是「上不了网」

不要一开始就全网启用 802.1X。正确顺序是：先把 VLAN、ACL、AD、日志平台做完并稳定运行——那时候打印机连不上网，你知道去查什么，因为有日志——再上 NAC。

硬件到位（支持 802.1X 的交换机与 AP）后，它可以提前到身份域、终端遥测阶段同步推进，但全网启用永远放在最后一步。

实现方式

推荐组合：AD + NPS + 交换机 / AP。

终端接入网口
    │
    ▼
交换机（802.1X 认证端口）── 认证请求 ──► NPS（RADIUS 服务器，跑在管理区 VM）
    │                                        │
    │                           查询 AD：账号有效？设备登记？
    │                                        │
    ▼                                        ▼
认证通过 → 分配业务 VLAN          认证失败 → 隔离区（只有修复通道）

三个组件各管一段：

• 交换机 / AP —— 执行准入：认证通过才放行，并分配对应 VLAN
• NPS（Windows 网络策略服务器） —— RADIUS 服务，跑在域控 VM 上，做认证裁决
• AD —— 账号与设备登记的来源

动态 VLAN

NAC 最有价值的衍生能力是动态 VLAN：同一个网口，不同身份接入后落在不同网段：

接入身份	落到网段
员工域账号	办公网（VLAN 10）
IT 运维账号	管理区（VLAN 99）
认证失败 / 未登记	隔离区（只有补丁与注册通道）

这件事在物理端口固定的环境里特别有用：一个会议室网口，上午接员工的电脑是办公网，下午接访客的电脑是访客网，不需要换端口、不需要换配置——身份决定网段，而不是位置决定网段。

上线路径

1. 管理区网口先启用 —— IT 自己的设备，认证失败影响最小，还能验证整条链路
2. 办公网口分批启用 —— 按部门推，每批观察一个工作日
3. 打印机 / NAS 等哑设备走 MAC 旁路（MAB） —— 不支持 802.1X 的设备按 MAC 地址登记放行，不要为了它们关掉准入
4. 隔离区配套 —— 落进隔离区的设备必须能看到「怎么修」：补丁服务器、注册指引。只有死路的隔离区会被人为关掉准入

隔离区的设计是 NAC 的良心：它拦住不受控设备，但不应该拦住想变合规的人。修不了、注册不了的隔离区，一周之内就会被绕过——网线直插、私接小路由器，什么都可能发生。