基于 RADIUS 的 MAC 身份验证（802.1X）允许您使用 MAC 地址数据库，对连接到网络的有线和无线客户端进行身份验证。

注意： 如果您尚未配置包含 MAC 地址的 RADIUS 服务器，或设备数量较少，请考虑使用 MAC 访问控制列表选项。

802.1x 身份验证类型

在端口上启用 802.1x 后，可以设置不同模式，以决定如何处理已连接客户端的身份验证。

  • 凭据： 要求客户端运行 802.1X 请求方并通过 RADIUS 身份验证。端口在一个客户端完成身份验证后，将允许所有客户端访问（仅限 EAP）。
  • 多个凭据： 要求客户端运行 802.1X 请求方并通过 RADIUS 身份验证（仅限 EAP）。只有 已通过身份验证的客户端 才能访问端口。
  • MAC 地址： 交换机使用客户端的 MAC 地址作为用户名和密码，在 RADIUS 数据库中进行验证；此模式也支持 EAP 身份验证。
  • 始终未授权： 拒绝所有客户端流量；端口的行为就像已在逻辑上关闭。

配置 RADIUS 配置文件

  1. 导航至 设置 > 网络 > RADIUS 服务器。
    1. 如果使用 UniFi Gateway，请启用/恢复 默认 RADIUS 配置文件。
    2. 如果使用第三方 RADIUS 服务器，请选择 新建。
  2. 使用以下设置创建新的 RADIUS 用户（对于 UniFi 原生 RADIUS 服务器，请使用 本地凭据）：
    1. 用户名和密码： 设备的 MAC 地址
      1. 每个用户的 MAC 地址必须采用相同格式： AABBCCDDEEFF（不含分隔符）
    2. VLAN ID： 可选择添加 VLAN ID 以分配客户端。如果留空，客户端将被分配到与其连接的交换机端口或 WiFi 关联的 VLAN。
      1. 如果添加 VLAN：
        1. 隧道类型： 13
        2. 隧道介质类型： 6
      2. 如果未添加 VLAN：
        1. 隧道类型： 无
        2. 隧道介质类型： 无
  3. 导航至 设置 > 网络。
    1. 勾选 802.1X 控制 旁的复选框。
    2. 在 RADIUS 配置文件 下，选择您在步骤 1 中配置的配置文件。
    3. 点击 应用更改。

注意： 基于 MAC 身份验证的账户只能用于无线和有线客户端。不适用于 L2TP 远程访问。

应用配置文件

无线设备

  1. 导航至 设置 > WiFi，然后选择您的 WiFi。
  2. 在 WiFi 设置中，启用 RADIUS MAC 身份验证。
    1. 选择与您使用的格式匹配的 MAC 地址格式（请参阅上面的第 2.a.i 点）。

有线设备

要全局应用此设置， 请前往 设置 > 网络 > 全局交换机设置。要单独配置端口，请按照以下步骤操作：

  1. 导航至 设置 > 配置文件 > 以太网端口。
  2. 使用以下设置 创建新配置文件：
    1. 主要网络： 默认网络或其他指定网络
    2. 802.1X 控制： 基于 MAC
  3. 导航至 UniFi 交换机的端口管理器。
    1. UniFi 设备 > 选择交换机 > 端口管理器
  4. 选择您的端口。
  5. 选择 以太网端口配置文件，然后选择刚刚创建的配置文件。
  6. 应用更改。