802.1x是基于端口的二层网络接入控制协议，通过客户端、认证器（交换机/ap）和radius服务器三方协作，在认证通过前仅允许eapol报文通行，成功后才开放数据通信并可动态下发vlan、acl等授权策略。
网络接入认证协议本身不直接控制物理访问权限，它管的是设备“连进来”这一步——也就是逻辑层面的入网控制。真正加固物理访问，需要把802.1X这类协议和硬件、管理策略联动起来，形成“人-设备-端口”三重绑定。关键不是单独配一个协议，而是让认证结果能驱动交换机端口行为，并限制谁能在哪台设备上插线。
用802.1X把有线接入变成“门禁系统”
802.1X工作在二层，天然适合管控物理端口。终端插上网线后，对应交换机端口默认关闭数据通道，只放行EAP报文。只有用户通过后台RADIUS服务器认证成功，端口才放开通信。
- 必须启用基于端口的认证模式（而非MAC地址），避免一台设备认证后其他设备随意接入
- 交换机需配置Guest VLAN：认证失败或超时的设备，统一导向隔离网段，禁止访问任何业务资源
- 配合RADIUS服务器下发VLAN ID，不同角色（如运维、访客、IoT设备）自动划分到不同广播域，从物理链路层就做隔离
把物理位置信息嵌入认证流程
单纯账号密码无法区分“张三在家连”和“张三在机房插线”。要加固物理访问，就得让认证系统知道“从哪个端口、哪个交换机、哪个楼层来的请求”。
- RADIUS属性中启用NAS-Port-ID和NAS-IP-Address，后台可据此记录每次接入的精确物理位置
- 对核心机房、配电间等敏感区域的交换机端口，配置ACL+时间范围：例如仅允许工作日8:00–18:00，且只接受来自指定运维终端IP的802.1X认证请求
- 结合电子巡检系统，在交换机端口贴RFID标签，扫码登记后才允许开启该端口的认证服务——物理动作触发逻辑授权
SSH远程管理也得守住“最后一米”
即使网络接入层做了802.1X，管理员仍可能绕过它直连服务器带外管理口（如iDRAC、iLO）。这部分必须单独加固：
- 服务器BMC管理界面强制启用HTTPS + 客户端证书双向认证，禁用默认账户与弱密码
- 通过交换机ACL严格限制BMC管理IP的访问源：只允许可信网管工作站IP段，且仅开放443/623端口
- 为BMC账户配置独立的RADIUS认证，与内网账号体系分离，避免域账号泄露导致带外沦陷
日志与响应必须关联物理坐标
所有认证日志不能只记“用户A登录成功”，而要包含：接入交换机名称、机柜编号、端口号、MAC地址、IP分配结果。这样一旦发现异常，能立刻定位到具体机架甚至U位。
- 在RADIUS服务器上启用详细审计日志，字段至少包括Calling-Station-ID（终端MAC）、NAS-Identifier（交换机主机名）、Framed-IP-Address
- 对接CMDB系统，自动将NAS-Identifier映射到机房拓扑图，点击日志即可跳转查看该交换机所在物理位置
- 设置告警规则：同一账号10分钟内在不同机房的交换机端口完成认证，自动触发高风险告警并临时锁定该账号
