本文指导您如何配置员工 Wi-Fi 的 802.1X 认证，使用飞连账号进行身份验证。

前置准备 #

在配置前，请确保已参考教程概览与接入准备（必看），完成基础对接配置。

1. 飞连管理后台配置 #

步骤一：添加认证方式 #

1. 登录飞连管理后台。
2. 在左侧导航栏，选择网络准入 > 员工入网，并单击进入通用配置页签。
3. 在页面右上角单击选择认证方式，确保已选中 802.1x 认证，并单击确定。
   

步骤二：添加员工 Wi-Fi SSID #

1. 在左侧导航栏，选择使用配置 > SSID。
2. 在员工 Wi-Fi 区域单击 + 添加。
   
3. 输入 SSID。SSID 为用户终端设备显示的 Wi-Fi 名称，需与步骤三：创建无线服务并绑定 AP 中 AC 上配置的 SSID 保持一致。
   

步骤三：添加员工 Wi-Fi 入网权限 #

1. 在左侧导航栏，选择网络准入 > 员工入网，进入权限配置页签。

2. 选择 802.1x 协议认证，并单击 + 添加策略。
   

3. 在添加 802.1x 权限组配置页，完成以下配置，并单击保存生效。

   配置项	配置说明
   基本信息	权限组名称：自定义即可。 绝对优先级：设置当前权限组的优先级。取值范围为 0~100，数值越大表示优先级越高。您可以同时生效多条权限组，飞连在对终端检测时，按优先级数值大小依次匹配策略，命中后停止匹配，如果一直未命中，则执行完所有权限组后停止检测。如果存在两条优先级数值相同的策略，则优先执行策略修改时间最新的一条。
   权限组策略	勾选基于网络。选择 Tunnel-Pvt-Group-ID。值输入网络设备的 VLAN ID，格式为纯数字。比如，员工 Wi-Fi 授权的 VLAN ID 为100，则值直接填写 100。
   生效范围	权限类型：勾选员工 Wi-Fi。 生效对象：按实际需要选择员工授权或者设备授权，并选择指定范围的员工或设备。
   高级配置	RADIUS 服务器：用于响应认证请求的 Radius 服务器，根据实际需求选择。 网络设备：指定权限组策略生效的网络设备范围，根据实际需求选择。 SSID：指定权限组策略生效的 SSID 范围，根据实际需求选择。需确保认证 RADIUS 报文中的 Called-Station-Id 字段格式为 xx-xx-xx-xx-xx-xx:{SSID}。部分设备需在 AC 控制器上手动配置该格式，否则将影响 SSID 识别。 RADIUS 属性：依据配置的 RADIUS 属性值进行准入匹配，仅当用户属性满足全部条件时，才会下发对应权限组；配置多个属性值时，需同时满足所有条件方可生效。

关于 802.1x 认证权限配置更为详细的说明，请参看管理 802.1x 认证员工入网的“配置网络权限策略”章节说明。

2. 无线控制器（AC）配置 #

步骤一：配置 ISP 域，绑定 RADIUS 方案 #

1. 登录 H3C AC Web 管理界面。
2. 进入网络安全 > AAA > ISP 域。
   
3. 配置 ISP 域名，并绑定 RADIUS 方案。
   
   • 接入方式：选择 LAN 接入。
   • 认证、授权、计费：均选择 RADIUS，方案选择教程概览与接入准备（必看）中已配置好的基础 RADIUS 方案。

步骤二：选择 802.1X 认证方法 #

1. 选择网络安全 > 接入认证 > 802.1X，进入802.1x 认证配置页。
   
2. 单击右上角的设置图标。
   
3. 在认证方法下拉框中选择 EAP。
   

步骤三：创建无线服务并绑定 AP #

1. 进入无线配置 > 无线服务 > 无线服务配置。
   
2. 在 WLAN 页签完成以下配置。
   
   • 基础设置
     • 无线服务名称：自定义。
     • SSID：需与步骤二：添加员工 Wi-Fi SSID 中在飞连管理后台配置的员工 Wi-Fi SSID 保持一致。
     • 无线服务：勾选开启，​默认为关闭。
     • 缺省VLAN：如果通过飞连授权下发 VLAN，可置空；如果飞连仅做认证，VLAN 由 AC 控制，则需填写明细的 VLAN ID。
   • 安全认证
     • 认证模式：选择 802.1X 认证。
     • 安全模式：选择 WPA2。注意，如果选择 WPA 或 WPA3，部分终端无线网卡 Wi-Fi 连接可能会存在问题。
     • 域名：选择已经配置好的 ISP 域名。
   • 其他参数按需配置或者保存默认配置。
3. 切换至绑定页签，绑定对应的 AP。
   
4. 点击确定后，可查看已完成的无线服务配置。
   

步骤四（可选）：配置动态授权（Radius CoA） #

如果您需要使用飞连的动态控制功能（如终端基线不合规时降级 VLAN），则需要开启 AC 动态授权。

使用 SSH 登录到 H3C AC 命令行，配置 AC 动态授权：

system-view
radius dynamic-author server
client ip {Radius_ip} key simple {secret}
port 3799

其中 {Radius_ip} 为 Radius Server IP，{secret} 为共享密钥。

步骤五：保存 AC 配置 #

在配置页面点击右上角保存按钮保存 AC 的配置，以防止设备重启配置丢失。

3. 验证测试 #

客户端认证测试 #

1. 在 PC 端打开 Wi‑Fi 列表，确认对应员工 Wi‑Fi SSID 已正常发布。
   
2. 登录飞连客户端，进入网络 > Wi‑Fi 页面，选择目标 Wi‑Fi 名称，点击一键连接，稍候即可查看认证是否成功。
   

飞连管理后台查看在线信息 #

1. 登录飞连管理后台，进入网络准入 > 员工入网 > 入网详情，搜索对应员工的设备入网记录。
   
2. 进入日志审计 > 员工 Wi‑Fi 连接日志，查看该员工的 Wi‑Fi 连接详细日志。
   

检查 AC 上的用户在线信息 #

• 方式一：命令行
  执行 display dot1x connection user-name {用户名}命令查看指定用户的 802.1X 认证信息：
  
• 方式二：AC Web 界面
  登录 AC 管理页面，依次进入监控 > 客户端 > 客户端信息 > 客户端详情，查看在线终端信息。
  

查看 RADIUS 节点认证日志**（仅限私有化部署）** #

对于私有化部署的用户，如果通过后台日志无法定位问题，可以登录 RADIUS 节点服务器，查看更详细的协议级原始认证日志。

1. 登录 RADIUS 节点服务器。

2. 执行以下命令检索对应认证信息：

   grep {session-id} /opt/feilian/radius/log/radius.event.log
   

   
   其中 session-id 来自飞连管理后台员工 Wi‑Fi 连接日志详情，用于唯一标识一次认证流程，可作为关键字精准定位原始认证日志。
   

说明：SaaS 版用户如遇复杂入网问题，请记录管理后台的 session-id 并联系技术支持人员。