目  录

1 Web认证

1.1 Web认证配置命令

1.1.1 display web-auth

1.1.2 display web-auth free-ip

1.1.3 display web-auth server

1.1.4 display web-auth user

1.1.5 ip (Web authentication local Web server view)

1.1.6 ip (Web authentication remote Web server view)

1.1.7 ipv6 (Web authentication local Web server view)

1.1.8 ipv6 (Web authentication remote Web server view)

1.1.9 redirect-wait-time

1.1.10 server-type oauth

1.1.11 url

1.1.12 url-parameter

1.1.13 web-auth apply portal mac-trigger-server

1.1.14 web-auth auth-fail vlan

1.1.15 web-auth domain

1.1.16 web-auth enable

1.1.17 web-auth free-host

1.1.18 web-auth free-ip

1.1.19 web-auth host-mode multi-vlan

1.1.20 web-auth max-user

1.1.21 web-auth offline-detect

1.1.22 web-auth proxy port

1.1.23 web-auth server

 

1 Web认证

1.1  Web认证配置命令

1.1.1  display web-auth

display web-auth命令用来显示接口上Web认证的配置信息和运行状态信息。

【命令】

display web-auth [ interface interface-type interface-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

mdc-admin

mdc-operator

【参数】

interface interface-type interface-number：显示指定接口上Web认证的配置信息。其中interface-type interface-number表示接口类型和接口编号。若不指定本参数，则显示设备上所有Web认证的配置信息。

【举例】

# 显示接口Ten-GigabitEthernet1/0/1上Web认证的配置信息。

<Sysname> display web-auth interface ten-gigabitethernet 1/0/1

 Global Web-auth parameters:

   HTTP proxy port numbers    : Total 4 ports

     1, 10, 100-101

   HTTPS proxy port numbers   : Total 5 ports

     201, 203, 205, 207, 2011

 Total online web-auth users  : 1

 

 Ten-GigabitEthernet1/0/1  is link-up

   Port role                  : Authenticator

   Web-auth domain            : my-domain

   Auth-Fail VLAN             : Not configured

   Offline-detect             : Not configured

   Max online users           : 1024

   Web-auth enable            : Enabled

   Host mode                  : Multiple-VLAN

   Primary Web server         : wbs1

   Secondary Web server       : wbs2

   Portal mac trigger server  : mts1

 

   Total online web-auth users: 1

# 显示M-LAG接口Bridge-Aggregation1上Web认证的配置信息。

<Sysname> display web-auth interface bridge-Aggregation1

 Global Web-auth parameters:

   HTTP proxy port numbers    : Total 4 ports

     1, 10, 100-101

   HTTPS proxy port numbers   : Total 5 ports

     201, 203, 205, 207, 2011

 Total online web-auth users  : 1

 

 Bridge-Aggregation1 is link-up

   Port role                           : Authenticator

   Web-auth domain                     : my-domain

   M-LAG member configuration conflict : Not conflicted

   Auth-Fail VLAN                      : Not configured

   Offline-detect                      : Not configured

   Max online users                    : 1024

   Web-auth enable                     : Enabled

   Host mode                           : Multiple-VLAN

   Primary Web server                  : wbs1

   Secondary Web server                : wbs2

 

   Total online web-auth users: 1

表1-1 display web-auth命令显示信息描述表

字段	描述
Global Web-auth parameters	全局Web认证参数
HTTP proxy port numbers	Web代理服务器HTTP端口
HTTPS proxy port numbers	Web代理服务器HTTPS端口
Total online web-auth users	全局Web认证的在线用户数
Ten-GigabitEthernet1/0/1 is link-up	接口Ten-GigabitEthernet1/0/1的状态，包括如下取值： ·     link-up：接口管理状态和物理状态均为开启 ·     link-down：接口处于关闭状态
Port role	该端口担当认证端的作用，目前仅支持作为认证端
Web-auth domain	Web认证用户使用的ISP域
M-LAG member configuration conflict	两台M-LAG设备配置检查结果： ·     Conflicted：两台M-LAG设备上的配置不匹配 ·     Not conflicted：两台M-LAG设备上配置的相匹配 ·     Unknown：无法检测两台M-LAG设备上的配置是否匹配
Auth-fail VLAN	Web认证的认证失败VLAN，如果没有配置，则显示Not configured
Offline-detect	Web认证用户在线检测的时间间隔，Not configured表示Web认证用户在线检测功能处于关闭状态
Max online users	允许同时接入的Web认证最大用户数
Web-auth enable	Web认证功能的开启状态，包括如下取值： ·     Enabled：开启 ·     Disabled：关闭
Host mode	相同MAC地址用户的工作模式 ·     Multiple-VLAN：多VLAN模式 ·     Single-VLAN：单VLAN模式
Primary Web server	Web认证主Web服务器名称
Secondary Web server	Web认证从Web服务器名称
Portal mac trigger server	Web认证应用的Portal MAC绑定服务器名称
Total online web-auth users	接口下Web认证的在线用户数

 

1.1.2  display web-auth free-ip

display web-auth free-ip命令用来显示所有Web认证用户免认证的目的IP地址。

【命令】

display web-auth free-ip

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

mdc-admin

mdc-operator

【举例】

# 显示所有Web认证用户免认证的目的IP地址。

<Sysname> display web-auth free-ip

       Free IP          

: 1.1.0.0        255.255.0.0

                         : 1.2.0.0        255.255.0.0

【相关命令】

·     web-auth free-ip

1.1.3  display web-auth server

display web-auth server命令用来显示Web认证Web服务器信息。

【命令】

display web-auth server [ server-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

mdc-admin

mdc-operator

【参数】

server-name：本地或远程Web服务器的名称，为1～32个字符的字符串，区分大小写。若不指定此参数，则显示设备上所有Web服务器的信息。

【举例】

# 显示Web认证本地Web服务器aaa的信息。

<Sysname> display web-auth server aaa

Web server: aaa

  Type                  : Local

  IP address            : 8.8.8.8

  Port                  : 80

  IPv6 address          : 8:8::8:8

  IPv6 port             : 1

  URL                   : http://abc/portal/

  Redirect-wait-time    : 5

  URL parameters        : Not configured

  Server type           : OAuth

# 显示Web认证远程Web服务器bbb的信息。

<Sysname> display web-auth server bbb

Web server: bbb

  Type                  : Remote

  IP address            : 7.7.7.7

  IPv6 address          : 7:7::7:7

  URL                   : http://abc/portal/

     Track ID           : 123

     Server state       : Active

  URL parameters        : Not configured

# 显示全部Web认证Web服务器的信息。

<Sysname> display web-auth server

Web server: aaa

  Type                  : Local

  IP address            : 8.8.8.8

  Port                  : 80

  IPv6 address          : 8:8::8:8

  IPv6 port             : 1

  URL                   : http://abc/portal/

  Redirect-wait-time    : 5

  URL parameters        : Not configured

  Server type           : OAuth

 

Web server: bbb

  Type                  : Remote

  IP address            : 7.7.7.7

  IPv6 address          : 7:7::7:7

  URL                   : http://abc/portal/

     Track ID           : 123

     Server state       : Active

  URL parameters        : Not configured

表1-2 display web-auth server命令显示信息描述表

字段	描述
Type	Web认证Web服务器类型： ·     Local：本地Web服务器 ·     Remote：远程Web服务器
Web server	Web认证Web服务器名称
IP address	Web认证Web服务器的IPv4地址
Port	Web认证本地Web服务器IPv4地址对应的端口号 本字段仅存在于Web认证本地Web服务器的显示信息中
IPv6 address	Web认证Web服务器IPv6地址
IPv6 port	Web认证本地Web服务器IPv6地址对应的端口号 本字段仅存在于Web认证本地Web服务器的显示信息中
URL	Web认证Web服务器的重定向URL
Track ID	Track项序号，若未配置Web服务器与Track模块关联，则显示为Not configured 本字段仅存在于Web认证远程Web服务器的显示信息中
Server state	Web认证远程Web服务器的状态 ·     Active：远程Web服务器当前可达 ·     Inactive：远程Web服务器当前不可达 本字段仅存在于Web认证远程Web服务器的显示信息中
Server type	是否配置Web认证本地Web服务器执行绿洲平台标准： ·     OAuth：已配置 ·     Not configured：未配置
Redirect-wait-time	Web认证成功后，认证页面跳转的时间间隔
URL parameters	设备重定向给用户的URL中携带的参数信息

 

1.1.4  display web-auth user

display web-auth user命令用来显示在线Web认证用户的信息。

【命令】

（独立运行模式）

display web-auth user [ m-lag [ local | peer ] ] [ interface interface-type interface-number | slot slot-number ]

（IRF模式）

display web-auth user [ m-lag [ local | peer ] ] [ interface interface-type interface-number | chassis chassis-number slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

mdc-admin

mdc-operator

【参数】

m-lag [ local | peer ]：显示M-LAG组网中在线Web认证用户的信息。如果不指定该参数，则显示所有的在线Web认证用户的信息。

·     local：显示本端M-LAG设备上在线Web认证用户的信息。

·     peer：显示对端M-LAG设备上在线Web认证用户的信息。

如果不指定local和peer参数，则显示所有M-LAG设备上在线Web认证用户的信息。

interface interface-type interface-number：显示指定接口上在线Web认证用户的信息。其中interface-type interface-number表示接口类型和接口编号。若不指定该参数，则表示设备上所有接口上在线用户的信息。

slot slot-number：显示指定单板上所有接口在线Web认证用户的信息。slot-number表示单板所在的槽位号。若不指定该参数，则表示所有单板上在线Web认证用户的信息。（独立运行模式）

chassis chassis-number slot slot-number：显示指定成员设备的指定单板上所有接口在线Web认证用户的信息。chassis-number表示设备在IRF中的成员编号，slot-number表示单板所在的槽位号。若不指定该参数，则表示所有单板上在线Web认证用户的信息。（IRF模式）

【举例】

# 显示接口Ten-GigabitEthernet1/0/1上在线用户的信息。

<Sysname> display web-auth user interface ten-gigabitethernet 1/0/1

  Total online web-auth users: 1

 

User name: user1

  MAC address: 0000-2700-b076

  Access interface: Ten-GigabitEthernet1/0/1

  Initial VLAN: 1

  Authorization VLAN: N/A

  Authorization ACL ID: N/A

  Authorization user profile: N/A

  Authorization microsegment ID: N/A

# 显示M-LAG接口Bridge-Aggregation1上在线Web认证用户的信息。

<Sysname> display web-auth user interface Bridge-Aggregation1

  Total online web-auth users: 2

 

User name: user1

  MAC address: 0000-2700-b013

  M-LAG NAS-IP type: Local

  M-LAG user state: Active

  Access interface: Bridge-Aggregation1

  Initial VLAN: 1

  Authorization VLAN: N/A

  Authorization ACL ID: N/A

  Authorization user profile: N/A

  Authorization microsegment ID: N/A

User name: user1

  MAC address: 0000-2710-b321

  M-LAG NAS-IP type: Peer

  M-LAG user state: Inactive

  Access interface: Bridge-Aggregation2

  Initial VLAN: 1

  Authorization VLAN: N/A

  Authorization ACL ID: N/A

  Authorization user profile: N/A

  Authorization microsegment ID: N/A

表1-3 display web-auth user命令显示信息描述表

字段	描述
Total online web-auth users	在线用户总数
User name	在线用户的用户名
MAC address	在线用户的MAC地址
M-LAG NAS-IP type	M-LAG组网中，M-LAG接口上的用户认证时采用的NAS-IP地址类型： ·     Local：本地NAS-IP地址，即使用本端M-LAG设备上的IP地址作为发送RADIUS报文使用的源IP地址 ·     Peer：对端NAS-IP地址，使用对端M-LAG设备上的IP地址作为发送RADIUS报文使用的源IP地址
M-LAG user state	M-LAG组网中，M-LAG接口上的用户状态： ·     Active：激活状态，此时由本端M-LAG设备与AAA服务器交互用户认证信息 ·     Inactive：未激活状态，此时由对端M-LAG设备与AAA服务器交互用户认证信息
Access interface	在线用户接入的接口
Initial VLAN	初始的VLAN
Authorization VLAN	授权的VLAN
Authorization ACL ID	授权ACL编号
Authorization user profile	（暂不支持）Web认证用的授权User profile名称。若未授权User profile，则显示为N/A。授权状态包括如下： ·     active： AAA授权User profile成功 ·     inactive：AAA授权User profile失败或者设备上不存在该User profile
Authorization microsegment ID	授权的微分段ID

 

1.1.5  ip (Web authentication local Web server view)

ip命令用来配置Web认证本地Web服务器的IP地址。

undo ip命令用来恢复缺省情况。

【命令】

ip ipv4-address port port-number

undo ip

【缺省情况】

不存在Web认证本地Web服务器的IP地址。

【视图】

Web认证本地Web服务器视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

ipv4-address：表示本地Web服务器的IPv4地址，该地址为接入设备上一个与Web认证用户路由可达的三层接口IP地址。

port port-number：指定本地Web服务器的端口。port-number是端口号，取值范围为1～65535。

【使用指导】

配置本地Web服务器的IP地址，建议使用设备上空闲的Loopback接口的IP地址，使用LoopBack接口有如下优点：

·     状态稳定，可避免因为接口故障导致用户无法打开认证页面的问题。

·     由于发送到LoopBack接口的报文不会被转发到网络中，当请求上线的用户数目较大时，可减轻对系统性能的影响。

此命令配置的端口号必须与本地Portal Web服务中配置的侦听端口号保持一致。有关本地Portal Web服务的详细介绍请参见“安全配置指导”中的“Portal”。

同一个本地Web服务器视图下可以配置1个IPv4地址和1个IPv6地址。

同一个本地Web服务器视图下多次执行本命令，最后一次执行的命令生效。

【举例】

# 进入Web认证本地Web服务器视图。

<Sysname> system-view

[Sysname] web-auth server wbls

# 配置Web认证本地Web服务器wbls的IP地址为192.168.1.1，端口为8080。

[Sysname-web-auth-server-wbls] ip 192.168.1.1 port 8080

【相关命令】

·     tcp-port（安全命令参考/Portal）

1.1.6  ip (Web authentication remote Web server view)

ip命令用来配置Web认证远程Web服务器的IPv4地址。

undo ip命令用来恢复缺省情况。

【命令】

ip ipv4-address

undo ip

【缺省情况】

未指定Web认证远程Web服务器的IPv4地址。

【视图】

Web认证远程Web服务器视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

ipv4-address：表示远程Web服务器的IPv4地址。

【使用指导】

远程Web服务器的IPv4地址必须与所使用的Portal Web服务器的IPv4地址相同。

同一个远程Web服务器视图下可以配置1个IPv4地址和1个IPv6地址。

同一个远程Web服务器视图下多次执行本命令，最后一次执行的命令生效。

【举例】

# 进入Web认证远程Web服务器视图。

<Sysname> system-view

[Sysname] web-auth remote server wbrs

# 配置Web认证远程Web服务器wbrs的IPv4地址为1.2.3.4。

[Sysname-web-auth-remote-server-wbrs] ip 1.2.3.4

1.1.7  ipv6 (Web authentication local Web server view)

ipv6命令用来配置Web认证本地Web服务器的IPv6地址。

undo ipv6命令用来恢复缺省情况。

【命令】

ipv6 ipv6-address port port-number

undo ipv6

【缺省情况】

不存在Web认证本地Web服务器的IPv6地址。

【视图】

Web认证本地Web服务器视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

ipv6-address：表示本地Web服务器的IPv6地址，该地址为接入设备上一个与Web认证用户路由可达的三层接口IPv6单播地址。

port port-number：指定本地Web服务器的端口。port-number是端口号，取值范围为1～65535。

【使用指导】

配置本地Web服务器的IPv6地址，建议使用设备上空闲的Loopback接口的IPv6地址，使用LoopBack接口有如下优点：

·     状态稳定，可避免因为接口故障导致用户无法打开认证页面的问题。

·     由于发送到LoopBack接口的报文不会被转发到网络中，当请求上线的用户数目较大时，可减轻对系统性能的影响。

此命令配置的端口号必须与本地Portal Web服务中配置的侦听端口号保持一致。有关本地Portal Web服务的详细介绍请参见“安全配置指导”中的“Portal”。

同一个本地Web服务器视图下可以配置1个IPv4地址和1个IPv6地址。

同一个本地Web服务器视图下多次执行本命令，最后一次执行的命令生效。

【举例】

# 进入Web认证本地Web服务器视图。

<Sysname> system-view

[Sysname] web-auth server wbls

# 配置Web认证本地Web服务器wbls的IPv6地址为1:2::3:4，端口为8080。

[Sysname-web-auth-server-wbls] ipv6 1:2::3:4 port 8080

【相关命令】

·     tcp-port（安全命令参考/Portal）

1.1.8  ipv6 (Web authentication remote Web server view)

ipv6命令用来配置Web认证远程Web服务器的IPv6地址。

undo ipv6命令用来恢复缺省情况。

【命令】

ipv6 ipv6-address

undo ipv6

【缺省情况】

不存在Web认证远程Web服务器的IPv6地址。

【视图】

Web认证远程Web服务器视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

ipv6-address：表示远程Web服务器的IPv6地址。

【使用指导】

远程Web服务器的IPv6地址必须与所使用的Portal Web服务器的IPv6地址相同。

同一个远程Web服务器视图下可以配置1个IPv4地址和1个IPv6地址。

同一个远程Web服务器视图下多次执行本命令，最后一次执行的命令生效。

【举例】

# 进入Web认证远程Web服务器视图。

<Sysname> system-view

[Sysname] web-auth remote server wbrs

# 配置Web认证远程Web服务器wbrs的IPv6地址为1:2::3:4。

[Sysname-web-auth-remote-server-wbrs] ipv6 1:2::3:4

1.1.9  redirect-wait-time

redirect-wait-time命令用来配置认证页面跳转的时间间隔。

undo redirect-wait-time命令用来恢复缺省情况。

【命令】

redirect-wait-time period

undo redirect-wait-time

【缺省情况】

Web认证用户认证成功后认证页面跳转的时间间隔为5秒。

【视图】

Web认证本地Web服务器视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

period：表示自Web认证用户认证成功后，当前认证页面开始跳转到其他页面的时间间隔，取值范围为1～90，单位为秒。

【使用指导】

在某些应用环境中，客户端在Web认证成功后需要更新IP地址，为了避免客户端IP地址还未完成更新而无法打开跳转的网站页面，需要适当增加页面跳转的时间间隔，保证认证页面跳转的时间间隔大于客户端更新IP地址的时间。

【举例】

# 配置Web认证用户认证成功后认证页面跳转的时间间隔10秒。

<Sysname> system-view

[Sysname] web-auth server wbls

[Sysname-web-auth-server-wbls] redirect-wait-time 10

1.1.10  server-type oauth

server-type oauth命令用来配置本地Web认证服务器支持绿洲平台标准。

undo server-type命令用来恢复缺省情况。

【命令】

server-type oauth

undo server-type

【缺省情况】

本地Web认证服务器不支持绿洲平台标准。

【视图】

Web认证本地Web服务器视图

【缺省用户角色】

network-admin

mdc-admin

【使用指导】

当使用绿洲服务器作为本地Web认证服务器时，需要通过此命令将服务器配置成支持绿洲平台标准。

【举例】

# 配置本地Web认证服务器支持绿洲平台标准。

<Sysname> system-view

[Sysname] web-auth server wbls

[Sysname-web-auth-server-wbls] server-type oauth

【相关命令】

·     display web-auth server

1.1.11  url

url命令用来配置Web认证Web服务器的重定向URL。

undo url命令用来恢复缺省情况。

【命令】

url url-string [ track track-entry-number ]

undo url

【缺省情况】

未配置Web认证Web服务器的重定向URL。

【视图】

Web认证本地Web服务器视图

Web认证远程Web服务器视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

url-string：表示Web服务器的重定向URL，为1～256个字符的字符串，区分大小写。URL必须以http://或者https://开头，且携带的IP地址和端口号必须与Web认证本地Web服务器的IP地址和端口号保持一致。URL地址可以包括“?”字符，在命令行接口输入<?>无法获得本参数的在线帮助。

track track-entry-number：表示Web服务器与Track模块关联来检测服务器状态。track-entry-number表示与Web服务器关联的Track项序号，取值范围为1～1024。本参数仅在远程Web服务器视图下可配置。

【使用指导】

缺省情况下，重定向URL中指定的Web服务器状态一直为active，设备并不能感知到服务器的真实状态。在需要部署从服务器的组网环境中，需要一种探测机制使得设备可以及时获取主服务器的状态，在主服务器不可达时，及时完成主从服务器切换，从而保证认证服务不中断。

通过配置Web服务器与Track项关联，并由Track项联动NQA测试组，可以实现设备通过NQA测试组周期性地探测该服务器是否可达：

·     NQA探测期间，服务器的状态仅由探测结果决定。Track模块基于NQA探测的结果改变Track项的状态，设备依据Track项的状态设置Web服务器的状态。

·     若NQA探测到服务器状态变为可达，服务器状态将被置为active；若NQA探测到服务器状态变为不可达，服务器状态将被置为inactive。

关于Track的详细介绍，请参见“可靠性配置指导”中的“Track”。

如果需要同时对IPv4和IPv6 Web认证用户推出认证页面，请配置Web服务器的重定向URL携带服务器域名，例如http://abc.com表示携带了服务器域名abc.com的重定向URL。

如果组网中部署了Web认证从Web服务器，请同时配置主Web服务器与Track模块关联，否则设备无法感知到主Web服务器的状态，从而无法在主Web服务器不可达时实现主从Web服务器切换。

一个Web服务器最多只能关联一个Track项，新配置将覆盖已有配置。

对Web服务器的可达性探测是通过在设备上执行nqa schedule命令，对与Track联动的NQA测试组进行调动启动的，因此请结合实际情况确定探测时间和探测参数。

【举例】

# 配置Web认证本地Web服务器wbls的重定向URL为http://192.168.1.1:80/portal/。

<Sysname> system-view

[Sysname] web-auth server wbls

[Sysname-web-auth-server-wbls] url http://192.168.1.1:80/portal/

# 配置Web认证远程Web服务器wbrs的重定向URL为http://192.168.1.1:80/portal/，并将该服务器与Track项1关联。

[Sysname] web-auth remote server wbrs

[Sysname-web-auth-remote-server-wbrs] url http://192.168.1.1:80/portal/ track 1

【相关命令】

·     ip

·     nqa schedule（网络管理和监控命令参考/NQA）

·     tcp-port（安全命令参考/Portal）

·     track nqa （可靠性命令参考/Track）

·     web-auth enable

1.1.12  url-parameter

url-parameter命令用来配置设备重定向给用户的URL中携带的参数信息。

undo url-parameter命令用来删除配置的设备重定向给用户的URL中携带的参数信息。

【命令】

url-parameter parameter-name { original-url | source-address | source-mac | value expression }

undo url-parameter parameter-name

【缺省情况】

未配置设备重定向给用户的URL中携带的参数信息。

【视图】

Web认证本地Web服务器视图

Web认证远程Web服务器视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

parameter-name：表示URL中携带参数的名称，为1～32个字符的字符串，区分大小写。URL参数名对应的参数内容由parameter-name后的参数指定。

original-url：用户初始访问的Web页面的URL。

source-address：用户的IP地址。

source-mac：用户的MAC地址。

value expression：自定义字符串，为1～256个字符的字符串，区分大小写。URL地址可以包括“?”字符，在命令行接口输入<?>无法获得本参数的在线帮助。

【使用指导】

可以通过多次执行本命令配置多条参数信息。

多次执行本命令且参数名parameter-name都相同，则最后一次执行的命令生效

该命令用于配置用户访问Web认证Web服务器时，要求携带的一些参数，比较常用的是要求携带用户的IP地址、MAC地址、用户原始访问的URL信息。用户也可以手工指定，携带一些特定的字符信息。配置完成后，在设备给用户强制推送重定向URL时会携带这些参数，例如用户的源IP地址的1.1.1.1，配置Web认证Web服务器的URL为：http://192.168.1.1/portal，若同时配置如下两个参数信息：url-parameter userip source-address和url-parameter userurl value http://www.abc.com/welcome，则设备给该用户重定向的URL格式即为：http://192.168.1.1/portal?userip=1.1.1.1&userurl=http://www.abc.com/welcome。

URL中携带的参数名称必须与浏览器所接受的参数名称保持一致，请根据具体情况配置URL中携带的参数名称。

【举例】

# 为设备重定向给用户的本地Web服务器wbls的URL中配置两个参数userip和userurl，其值分别为用户IP地址和自定义字符串http://www.abc.com/welcome。

<Sysname> system-view

[Sysname] web-auth server wbls

[Sysname-web-auth-server-wbls] url-parameter userip source-address

[Sysname-web-auth-server-wbls] url-parameter userurl value http://www.abc.com/welcome

1.1.13  web-auth apply portal mac-trigger-server

web-auth apply portal mac-trigger-server命令用来应用Portal MAC绑定服务器。

undo web-auth apply portal mac-trigger-server命令用来恢复缺省情况。

【命令】

web-auth apply portal mac-trigger-server server-name

undo web-auth apply portal mac-trigger-server

【缺省情况】

未应用Portal MAC绑定服务器。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

server-name：Portal MAC绑定服务器名称，为1～32个字符的字符串，区分大小写。

【使用指导】

在Web认证环境中，对于需要频繁接入网络的合法用户，可以通过基于MAC地址的快速认证功能，使用户无需手工输入认证信息便可以自动完成Web认证。

基于MAC地址的快速认证又称为MAC-trigger认证或无感知认证，该方式需要在网络中应用Portal已部署的MAC绑定服务器。也就是说，在配置本功能前，需要在网络中部署Portal MAC绑定服务器。

配置本功能后，当用户接入网络时，接入设备会基于用户的MAC地址向Portal MAC绑定服务器发送查询请求。若Portal MAC绑定服务器上能够查询到该MAC地址和对应的认证信息，则通知接入设备该用户已绑定，此时Portal MAC绑定服务器代替用户完成Web认证，用户上线。

仅支持应用IPv4 Portal MAC绑定服务器，且服务器类型必须为符合绿洲平台标准规范的服务器。

为使基于MAC地址的快速认证生效，必须完成以下配置：

·     完成普通二层Web认证的相关配置；

·     配置Portal MAC绑定服务器的IP地址和端口号；

·     在二层以太网接口或者二层聚合接口上应用Portal MAC绑定服务器。

【举例】

# 在接口Ten-GigabitEthernet1/0/1上应用Portal MAC绑定服务器mts。

<Sysname> system-view

[Sysname] interface ten-gigabitethernet 1/0/1

[Sysname–Ten-GigabitEthernet1/0/1] web-auth apply portal mac-trigger-server mts

【相关命令】

·     portal mac-trigger-server

·     server-type (portal authentication server view/portal web-server view)

1.1.14  web-auth auth-fail vlan

web-auth auth-fail vlan命令用来配置Web认证的Auth-Fail VLAN。

undo web-auth auth-fail vlan命令用来恢复缺省情况。

【命令】

web-auth auth-fail vlan authfail-vlan-id

undo web-auth auth-fail vlan

【缺省情况】

不存在Web认证的Auth-Fail VLAN。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

authfail-vlan-id：表示Web认证的Auth-Fail VLAN ID，取值范围为1～4094，该VLAN必须已经存在。

【使用指导】

接口上配置此功能后，认证失败的Web认证用户可以访问Auth-Fail VLAN中的资源。

为使此功能生效，必须开启二层接口上的MAC VLAN功能，并将Auth-Fail VLAN的网段设为Web认证用户免认证的目的IP地址。

因为MAC VLAN功能仅在Hybrid端口上生效，所以Web认证的Auth-Fail VLAN功能也只能在Hybrid端口上生效。

当用户认证失败后，设备将Web认证用户的MAC地址与Auth-fail VLAN进行绑定。

禁止删除已被配置为Web认证Auth-Fail VLAN的VLAN，若要删除该VLAN，请先通过undo web-auth auth-fail vlan命令取消Web认证的 Auth-Fail VLAN配置。

如果某个VLAN被指定为Super VLAN，则该VLAN不能被指定为某个接口的Auth-Fail VLAN；同样，如果某个VLAN被指定为某个接口的Auth-Fail VLAN，则该VLAN不能被指定为Super VLAN。

【举例】

# 配置接口Ten-GigabitEthernet1/0/1上的Web认证的Auth-Fail VLAN为VLAN 5。

<Sysname> system-view

[Sysname] interface ten-gigabitethernet 1/0/1

[Sysname–Ten-GigabitEthernet1/0/1] port link-type hybrid

[Sysname–Ten-GigabitEthernet1/0/1] mac-vlan enable

[Sysname–Ten-GigabitEthernet1/0/1] web-auth auth-fail vlan 5

【相关命令】

·     display web-auth

1.1.15  web-auth domain

web-auth domain命令用来指定Web认证用户使用的认证域。

undo web-auth domain命令用来恢复缺省情况。

【命令】

web-auth domain domain-name

undo web-auth domain

【缺省情况】

未指定Web认证用户认证使用的认证域。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

domain-name：ISP认证域名，为1～255个字符的字符串，不区分大小写。

【使用指导】

在接口上执行此命令后，使得所有从该接口接入的Web认证用户强制使用该认证域。

【举例】

# 指定从接口Ten-GigabitEthernet1/0/1上接入的Web认证用户使用认证域为my-domain。

<Sysname> system-view

[Sysname] interface ten-gigabitethernet 1/0/1

[Sysname–Ten-GigabitEthernet1/0/1] web-auth domain my-domain

1.1.16  web-auth enable

web-auth enable命令用来开启Web认证功能。

undo web-auth enable命令用来关闭Web认证功能。

【命令】

web-auth enable apply server primary-server-name [ secondary-server secondary-server-name ]

undo web-auth enable

【缺省情况】

Web认证功能处于关闭状态。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

primary-server-name：表示引用的Web认证主Web服务器的名称，为1～32个字符的字符串，区分大小写。

secondary-server secondary-server-name：引用的Web认证从Web服务器。secondary-server-name表示Web认证从Web服务器的名称，为1～32个字符的字符串，区分大小写。

【使用指导】

此命令用来开启Web认证功能，并指定引用的Web认证主/从Web服务器。

为使Web认证功正常运行，在接入设备的二层接口上开启Web认证功能后，请不要再在此接口上开启端口安全功能和配置端口安全模式。

如果组网中需要部署从Web服务器，需要注意的是：

·     只有远程Web服务器可以作为主Web服务器，本地/远程Web服务器都可以作为从Web服务器。

·     请同时配置主Web服务器与Track模块关联（由url url-string track track-entry-number命令配置），否则设备无法感知到主Web服务器的状态，从而无法在主Web服务器不可达时实现主从Web服务器切换。

【举例】

# 在接口Ten-GigabitEthernet1/0/1上开启Web认证功能，并指定主Web服务器为wbs1，从Web服务器为wbs2。

<Sysname> system-view

[Sysname] interface ten-gigabitethernet 1/0/1

[Sysname-Ten-GigabitEthernet1/0/1] web-auth enable apply server wbs1 secondary-server wbs2

【相关命令】

·     display web-auth

·     url

·     web-auth server

1.1.17  web-auth free-host

web-auth free-host命令用来配置Web认证用户免认证目的主机名。

undo web-auth free-host命令用来恢复缺省情况。

【命令】

web-auth free-host host-name

undo web-auth free-host { host-name | all }

【缺省情况】

不存在Web认证用户免认证的目的主机名。

【视图】

系统视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

host-name：主机名，为1~253个字符的字符串，不区分大小写。可以包含字母、数字、“-”、“_”、“.”。

all：Web认证用户可免认证访问的所有主机名。

【使用指导】

配置本功能前，请确保组网中已部署DNS服务器，或者已通过ip host命令配置主机名与其对应的IP地址关系，有关ip host命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“域名解析”。

在设备上执行此命令后，Web认证用户无需通过Web认证即可访问该认证目的主机资源。

可通过重复执行此命令来配置多个Web认证用户免认证目的主机名。

Web认证用户免认证目的主机名只支持精确匹配，即完整匹配主机名。例如配置的主机名为abc.com.cn，其含义为只匹配abc.com.cn的主机名，如果报文中携带的主机名为dfabc.com.cn，则匹配失败。

【举例】

# 配置Web认证用户免认证目的主机名为www.abc.com。表示用户的HTTP/HTTPS请求报文中的主机名必须是www.abc.com时，该用户才可以不需要经过Web认证即可以访问网络资源。

<Sysname> system-view

[Sysname] web-auth free-host www.abc.com

【相关命令】

·     web-auth free-ip

1.1.18  web-auth free-ip

web-auth free-ip命令用来配置Web认证用户免认证目的IP地址。

undo web-auth free-ip命令用来恢复缺省情况。

【命令】

web-auth free-ip ip-address { mask-length | mask }

undo web-auth free-ip { ip-address { mask-length | mask } | all }

【缺省情况】

不存在Web认证用户免认证的目的IP地址。

【视图】

系统视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

ip-address：Web认证用户免认证目的网段的IP地址。

mask-length：Web认证用户免认证目的网段IP地址的掩码长度，取值范围为1～32。

mask：Web认证用户免认证目的网段IP地址的子网掩码，点分十进制格式。

all：Web认证用户可免认证访问的所有网段。

【使用指导】

在设备上执行此命令后，Web认证用户无需认证即可访问此命令指定IP地址网段中的资源。

可通过重复执行此命令来配置多个Web认证用户免认证的目的IP地址。

【举例】

# 配置Web认证用户免认证的目的IP地址为192.168.0.0/24。

<Sysname> system-view

[Sysname] web-auth free-ip 192.168.0.0 24

1.1.19  web-auth host-mode multi-vlan

web-auth host-mode multi-vlan命令用来指定端口工作在Web认证的多VLAN模式。

undo web-auth host-mode multi-vlan命令用来恢复缺省情况。

【命令】

web-auth host-mode multi-vlan

undo web-auth host-mode multi-vlan

【缺省情况】

端口工作在Web认证的单VLAN模式。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

mdc-admin

【使用指导】

端口工作在不同VLAN模式时，如果相同MAC地址的用户在同一端口下的不同VLAN（指不同于上一次发起认证时所在的VLAN）再次接入，设备对用户的处理方式如下：

·     端口工作在多VLAN模式下时，设备将能够允许用户的流量在新的VLAN内通过，且允许该用户的报文无需重新认证而在多个VLAN中转发。

·     端口工作在单VLAN模式下时，在用户已上线，且没有被下发授权VLAN情况下，设备将让原用户下线，使得该用户能够在新的VLAN内重新开始认证。

·     端口工作在单VLAN模式下时，如果已上线用户被下发了授权VLAN，对用户的处理与是否允许用户迁移到同一端口下其它VLAN接入（通过port-security mac-move permit命令）有关：

¡     如果不允许用户迁移到同一端口下其它VLAN接入，则此用户在同一端口下的不同VLAN接入失败，原用户保持在线。

¡     如果允许用户迁移到同一端口下其它VLAN接入，则用户在新的VLAN内需要重新认证，且在用户重新上线后，原用户下线。

【举例】

# 配置端口Ten-GigabitEthernet1/0/1工作在Web认证的多VLAN模式。

<Sysname> system-view

[Sysname] interface ten-gigabitethernet 1/0/1

[Sysname-Ten-GigabitEthernet1/0/1] web-auth host-mode multi-vlan

【相关命令】

·     display web-auth

·     port-security mac-move permit

1.1.20  web-auth max-user

web-auth max-user命令用来配置Web认证最大用户数。

undo web-auth max-user命令用来恢复缺省情况。

【命令】

web-auth max-user max-number

undo web-auth max-user

【缺省情况】

接口上同时可接入的Web认证最大用户数为1024。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

max-number：表示接口上同时可接入的Web认证最大用户数，取值范围为1～2048。

【使用指导】

若配置的Web认证最大用户数小于当前已经在线的Web认证用户数，则该命令可以执行成功，且在线Web认证用户不受影响，但系统将不允许新的Web认证用户接入。

该命令指定的最大用户数仅为IPv4 Web认证用户数。

【举例】

# 在接口Ten-GigabitEthernet1/0/1上配置Web认证最大用户数为32。

<Sysname> system-view

[Sysname] interface ten-gigabitethernet 1/0/1

[Sysname-Ten-GigabitEthernet1/0/1] web-auth max-user 32

【相关命令】

·     display web-auth

1.1.21  web-auth offline-detect

web-auth offline-detect命令用来开启Web认证用户的在线检测功能。

undo web-auth offline-detect命令用来关闭Web认证用户的在线检测功能。

【命令】

web-auth offline-detect interval interval

undo web-auth offline-detect interval

【缺省情况】

Web认证用户在线检测功能处于关闭状态。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

interval：指定用户在线检测时间间隔，取值范围为60～65535，单位为秒。

【使用指导】

开启端口的Web认证用户的在线检测功能后，若设备在一个在线检测时间间隔之内，未收到此端口下某在线用户的报文，则将切断该用户的连接，同时通知RADIUS服务器停止对此用户进行计费。配置用户在线检测时间间隔时，需要与MAC地址老化时间配成相同时间，否则会导致用户异常下线。

指定端口工作在Web认证的多VLAN模式时，配置本功能不生效。

【举例】

# 在接口Ten-GigabitEthernet1/0/1上开启Web认证用户的在线检测功能，并指定在线检测的时间间隔为3600秒。

<Sysname> system-view

[Sysname] interface ten-gigabitethernet 1/0/1

[Sysname-Ten-GigabitEthernet1/0/1] web-auth offline-detect interval 3600

1.1.22  web-auth proxy port

web-auth proxy port命令用来配置允许触发Web认证的Web代理服务器端口。

undo web-auth proxy port命令用来删除指定的或所有的Web认证的Web代理服务器端口。

【命令】

web-auth proxy [ https ] port port-number

undo web-auth proxy { all-port | [ https ] port port-number }

【缺省情况】

未配置允许触发Web认证的Web代理服务器端口。

【视图】

系统视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

all-port：指定所有Web认证的Web代理服务器的TCP端口号。

https：表示HTTPS请求触发Web认证。若未配置本参数，则表示HTTP请求触发Web认证。

port-number：Web认证的Web代理服务器的TCP端口号，取值范围为1～65535。80和443端口是Web认证预留端口号，不可配置。

【使用指导】

设备默认只允许未配置Web代理服务器的浏览器发起的HTTP/HTTPS请求才能触发Web认证。当用户上网使用的浏览器配置了Web代理服务器时，用户的HTTP/HTTPS请求报文将被丢弃，而不能触发Web认证。在这种情况下，网络管理员可以通过在设备上添加Web认证的Web代理服务器的TCP端口号，来允许配置了Web代理服务器的浏览器发起的HTTP/HTTPS请求也可以触发Web认证。

HTTP和HTTPS请求允许触发Web认证的Web代理服务器端口不能相同。

如果用户浏览器采用WPAD（Web Proxy Auto-Discovery，Web代理服务器自动发现）方式自动配置Web代理，需要注意的是：

·     配置允许触发Portal认证的Web代理服务器端口的同时，还需要配置免认证规则，允许目的IP为WPAD主机IP地址的用户报文免认证。

·     需要用户在浏览器上将Web认证Web服务器的IP地址配置为Web代理服务器的例外地址，避免Web认证用户发送给Web认证Web服务器的HTTP/HTTPS报文被发送到Web代理服务器上，从而影响正常的Web认证。

可通过多次执行本命令添加多个Web认证的Web代理服务器的TCP端口号。

【举例】

# 配置HTTP请求允许触发Web认证的Web代理服务器的TCP端口号为7777。

<Sysname> system-view

[Sysname] web-auth proxy port 7777

【相关命令】

·     display web-auth

1.1.23  web-auth server

web-auth server命令用来创建Web认证本地/远程Web服务器，并进入Web认证本地/远程Web服务器视图。如果指定的Web服务器已经存在，则直接进入Web服务器视图。

undo web-auth server命令用来删除指定的Web认证本地/远程Web服务器。

【命令】

web-auth [ remote ] server server-name

undo web-auth [ remote ] server server-name

【缺省情况】

不存在Web认证Web服务器。

【视图】

系统视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

remote：表示远程Web服务器。未指定本参数时，表示本地Web服务器。

server server-name：表示本地/远程Web服务器。server-name表示本地/远程Web服务器的名称，为1～32个字符的字符串，区分大小写。

【使用指导】

在本地/远程Web服务器视图下可以配置Web服务器侦听的IP地址、重定向URL及其重定向URL中携带的参数信息。

本地和远程Web服务器的名称不能相同。

【举例】

# 创建名称为wbls的Web认证本地Web服务器，并进入Web认证本地Web服务器视图。

<Sysname> system-view

[Sysname] web-auth server wbls

New Web server was added for local Web authentication.

[Sysname-web-auth-server-wbls]

# 创建名称为wbrs的Web认证远程Web服务器，并进入Web认证远程Web服务器视图。

<Sysname> system-view

[Sysname] web-auth remote server wbrs

New Web server was added for remote Web authentication.

[Sysname-web-auth-remote-server-wbrs]

【相关命令】

·     web-auth enable