本文指导您如何为企业内的哑终端（如打印机、摄像头、IoT 设备等不支持 802.1X 或 Portal 认证的设备）配置 MAB（MAC Authentication Bypass，MAC 地址认证旁路）认证方案。

前置准备 #

1. 在配置前，请确保已参考教程概览与接入准备（必看），完成基础对接配置。
2. 可参考哑终端入网管理，了解更多认证原理。

1. 飞连管理后台配置 #

步骤一：增加哑终端设备信息 #

1. 登录飞连管理后台。
2. 在左侧导航栏，网络准入 > 哑终端入网页面。
3. 在设备列表页签，单击右侧 + 添加设备。
4. 在添加哑终端设备弹窗，参考添加哑终端完成配置。其中，MAC 地址需配置为 xx:xx:xx:xx:xx:xx 格式的哑终端设备 MAC 地址。其他配置项根据实际需要自定义配置即可。
   
5. 点击完成完成添加。

步骤二：配置哑终端授权 #

1. 返回哑终端入网页面，切换至使用授权页签。
2. 在右侧单击 + 添加策略。
   
3. 在添加权限组页面，参考设置哑终端使用权限完成配置。其中网络权限配置项：
   1. 勾选基于网络。
   2. 选择 Tunnel-Pvt-Group-ID。
   3. 值输入网络设备的 VLAN ID，格式为纯数字。
      
      其他配置项根据实际需要自定义配置即可。

2. 无线控制器（AC）配置 #

步骤一：配置 ISP 域，绑定 RADIUS 方案 #

1. 登录 H3C AC Web 管理界面。
2. 进入网络安全 > AAA > ISP 域。
   
3. 配置 ISP 域名，并绑定 RADIUS 方案。
   
   • 接入方式：选择 LAN 接入。
   • 认证、授权、计费：均选择 RADIUS，方案选择教程概览与接入准备（必看）中已配置好的基础 RADIUS 方案。

步骤二：创建无线服务并绑定 AP #

1. 进入无线配置 > 无线服务 > 无线服务配置。
   
2. 在 WLAN 页签完成以下配置。
   
   • 基础设置
     • 无线服务名称：自定义。
     • SSID：哑终端 Wi-Fi SSID
     • 无线服务：勾选开启，​默认为关闭。
     • 缺省VLAN：如果通过飞连授权下发 VLAN，可置空；如果飞连仅做认证，VLAN 由 AC 控制，则需填写明细的 VLAN ID。
   • 安全认证
     • 认证模式：选择 MAC 地址认证。
     • 认证位置：选择 Local AC。
     • 域名：选择已经配置好的 ISP 域名。
   • 其他参数按需配置或者保存默认配置。
3. 切换至绑定页签，绑定对应的 AP。
   
4. 点击确定后，可查看已完成的无线服务配置。
   

步骤三（可选）：配置动态授权（Radius CoA） #

如果您需要使用飞连的动态控制功能（如终端基线不合规时降级 VLAN），则需要开启 AC 动态授权。

使用 SSH 登录到 H3C AC 命令行，配置 AC 动态授权：

system-view
radius dynamic-author server
client ip {Radius_ip} key simple {secret}
port 3799

其中 {Radius_ip} 为 Radius Server IP，{secret} 为共享密钥。

步骤四：保存 AC 配置 #

在配置页面点击右上角保存按钮保存 AC 的配置，以防止设备重启配置丢失。

3. 验证测试 #

终端入网验证 #

在哑终端上连接对应的 SSID。

飞连管理后台查看在线信息 #

1. 登录飞连管理后台，进入网络准入 > 哑终端入网 > 设备列表，搜索对应设备的入网记录。
   
2. 进入日志审计 > 哑终端网络连接日志，查看对应哑终端的网络连接日志详细信息。
   

检查 AC 上的用户在线信息 #

• 方式一：命令行
  执行 display mac-authentication connection 命令查看对应哑终端的认证信息
  
• 方式二：AC Web 界面
  登录 AC 管理页面，依次进入监控 > 客户端 > 客户端信息 > 客户端详情，查看在线终端信息。
  

查看 RADIUS 节点认证日志**（仅限私有化部署）** #

对于私有化部署的用户，如果通过后台日志无法定位问题，可以登录 RADIUS 节点服务器，查看更详细的协议级原始认证日志。

1. 登录 RADIUS 节点服务器。

2. 执行以下命令检索对应认证信息：

   grep {session-id} /opt/feilian/radius/log/radius.event.log
   

   
   其中 session-id 来自飞连管理后台员工 Wi‑Fi 连接日志详情，用于唯一标识一次认证流程，可作为关键字精准定位原始认证日志。
   

说明：SaaS 版用户如遇复杂入网问题，请记录管理后台的 session-id 并联系技术支持人员。

#