Portal认证通过Web页面接受用户输入的用户名和密码，对用户进行身份认证，以达到对用户访问进行控制的目的。Portal认证通常部署在接入层以及需要保护的关键数据入口处实施访问控制。在采用了Portal认证的组网环境中，用户可以主动访问已知的Portal Web服务器网站进行Portal认证，也可以访问任意非Portal Web服务器网站时，被强制访问Portal Web服务器网站，继而开始Portal认证。目前，设备支持的Portal版本为Portal 1.0、Portal 2.0和Portal 3.0。

1.1.1 Portal认证的优势

Portal认证具有如下优势：

· 可以不安装客户端软件，直接使用Web页面认证，使用方便。

· 可以为运营商提供方便的管理功能和业务拓展功能，例如运营商可以在认证页面上开展广告、社区服务、信息发布等个性化的业务。

· 支持多种组网型态，例如二次地址分配认证方式可以实现灵活的地址分配策略且能节省公网IP地址，可跨三层认证方式可以跨网段对用户作认证。

1.1.2 Portal安全扩展功能

Portal的安全扩展功能是指，在Portal身份认证的基础之上，通过强制接入终端实施补丁和防病毒策略，加强网络终端对病毒攻击的主动防御能力。具体的安全扩展功能如下：

· 安全性检测：在对用户的身份认证的基础上增加了安全认证机制，可以检测接入终端上是否安装了防病毒软件、是否更新了病毒库、是否安装了非法软件、是否更新了操作系统补丁等；

· 访问资源受限：用户通过身份认证后仅仅获得访问指定互联网资源的权限，如病毒服务器、操作系统补丁更新服务器等；当用户通过安全认证后便可以访问更多的互联网资源。

安全性检测功能必须与H3C的iMC安全策略服务器以及iNode客户端配合使用。

1.1.3 Portal系统

如图1-1所示，Portal系统通常由如下实体组成：认证客户端、接入设备、Portal认证服务器、Portal Web服务器、AAA服务器和安全策略服务器。

图1-1 Portal系统组成示意图

1. 认证客户端

用户终端的客户端系统，为运行HTTP/HTTPS协议的浏览器或运行Portal客户端的主机。对用户终端的安全性检测是通过Portal客户端和安全策略服务器之间的信息交流完成的。目前，Portal客户端仅支持H3C iNode客户端。

2. 接入设备

提供接入服务的设备，主要有三方面的作用：

· 在认证之前，将用户的所有HTTP/HTTPS请求都重定向到Portal Web服务器。

· 在认证过程中，与Portal认证服务器、AAA服务器交互，完成身份认证/授权/计费的功能。

· 在认证通过后，允许用户访问被授权的互联网资源。

3. Portal服务器

包括Portal Web服务器和Portal认证服务器。Portal Web服务器负责向客户端提供Web认证页面，并将客户端的认证信息（用户名、密码等）提交给Portal认证服务器。Portal认证服务器用于接收Portal客户端认证请求的服务器端系统，与接入设备交互认证客户端的认证信息。Portal Web服务器通常与Portal认证服务器是一体的，也可以是独立的服务器端系统。

4. AAA服务器

与接入设备进行交互，完成对用户的认证、授权和计费。目前RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器可支持对Portal用户进行认证、授权和计费，以及LDAP（Lightweight Directory Access Protocol，轻量级目录访问协议）服务器可支持对Portal用户进行认证。

5. 安全策略服务器

与Portal客户端、接入设备进行交互，完成对用户的安全检测，并对用户进行安全授权操作。仅运行Portal客户端的主机支持与安全策略服务器交互。

1.1.4 使用远程Portal服务器的基本交互过程

Portal系统中各基本要素的交互过程如下：

(1) 当未认证用户使用浏览器进行Portal认证时，可以通过浏览器访问任一互联网地址，接入设备会将此HTTP或HTTPS请求重定向到Portal Web服务器的Web认证主页上。也可以主动登录Portal Web服务器的Web认证主页。当未认证用户使用iNode客户端进行Portal认证时，可直接打开客户端，输入认证信息。

(2) 用户在认证主页/认证对话框中输入认证信息后提交，Portal Web服务器会将用户的认证信息传递给Portal认证服务器，由Portal认证服务器处理并转发给接入设备。

(3) 接入设备与AAA服务器交互进行用户的认证、授权和计费。

(4) 认证通过后，如果未对用户采用安全策略，则接入设备会打开用户与互联网的通路，允许用户访问互联网；如果使用iNode客户端进行认证，并对用户采用了安全策略，则客户端、接入设备与安全策略服务器交互，对用户的安全检测通过之后，安全策略服务器根据用户的安全性授权用户访问非受限资源。

1.1.5 本地Portal服务

1. 系统组成

接入设备可以同时提供Portal Web服务器和Portal认证服务器功能，对接入的Portal用户进行本地Portal认证，如图1-2所示。该组网方式下，Portal系统仅支持通过Web登录、下线的基本认证功能，不支持使用Portal客户端方式的Portal认证，因此不支持Portal扩展功能，无需部署安全策略服务器。

图1-2 使用本地Portal服务的Portal系统组成示意图

2. 本地Portal Web服务支持用户自定义认证页面

本地Portal Web服务支持由用户自定义认证页面的内容，即允许用户编辑一套或多套认证页面的HTML文件，并将其压缩之后保存至设备的存储介质的根目录中。每套自定义页面文件中包括六个认证页面：登录页面、登录成功页面、在线页面、下线成功页面、登录失败页面和系统忙碌页面。本地Portal Web服务根据不同的认证阶段向客户端推出对应的认证页面。

关于认证页面文件的自定义规范请参见“1.7.3 自定义认证页面文件”。

1.1.6 Portal的认证方式

Portal支持三种认证方式：直接认证方式、二次地址分配认证方式和可跨三层认证方式。直接认证方式和二次地址分配认证方式下，认证客户端和接入设备之间没有三层转发设备；可跨三层认证方式下，认证客户端和接入设备之间可以（但不必须）跨接三层转发设备。

1. 直接认证方式

用户在认证前通过手工配置或DHCP直接获取一个IP地址，只能访问Portal Web服务器，以及设定的免认证地址；认证通过后即可访问网络资源。认证流程相对简单。

2. 二次地址分配认证方式

用户在认证前通过DHCP获取一个私网IP地址，只能访问Portal Web服务器，以及设定的免认证地址；认证通过后，用户会申请到一个公网IP地址，即可访问网络资源。该认证方式解决了IP地址规划和分配问题，对未认证通过的用户不分配公网IP地址。例如运营商对于小区宽带用户只在访问小区外部资源时才分配公网IP。目前，仅H3C iNode客户端支持该认证方式。需要注意的是，IPv6 Portal认证不支持二次地址分配方式。

3. 可跨三层认证方式

和直接认证方式基本相同，但是这种认证方式允许认证用户和接入设备之间跨越三层转发设备。

对于以上三种认证方式，IP地址都是用户的唯一标识。接入设备基于用户的IP地址下发ACL对接口上通过认证的用户报文转发进行控制。由于直接认证和二次地址分配认证下的接入设备与用户之间未跨越三层转发设备，因此接口可以学习到用户的MAC地址，接入设备可以利用学习到MAC地址增强对用户报文转发的控制力度。

1.1.7 Portal认证流程

直接认证和可跨三层Portal认证流程相同。二次地址分配认证流程因为有两次地址分配过程，所以其认证流程和另外两种认证方式有所不同。

1. 直接认证和可跨三层Portal认证的流程（CHAP/PAP认证方式）

图1-3 直接认证/可跨三层Portal认证流程图

直接认证/可跨三层Portal认证流程：

(1) Portal用户通过HTTP/HTTPS协议访问外部网络。HTTP/HTTPS报文经过接入设备时，对于访问Portal Web服务器或设定的免认证地址的HTTP/HTTPS报文，接入设备允许其通过；对于访问其它地址的HTTP/HTTPS报文，接入设备将其重定向到Portal Web服务器。Portal Web服务器提供Web页面供用户输入用户名和密码。

(2) Portal Web服务器将用户输入的信息提交给Portal认证服务器进行认证。

(3) Portal认证服务器与接入设备之间进行CHAP（Challenge Handshake Authentication Protocol，质询握手认证协议）认证交互。若采用PAP（Password Authentication Protocol，密码认证协议）认证则直接进入下一步骤。采用哪种认证交互方式由Portal认证服务器决定。

(4) Portal认证服务器将用户输入的用户名和密码组装成认证请求报文发往接入设备，同时开启定时器等待认证应答报文。

(5) 接入设备与RADIUS服务器之间进行RADIUS协议报文的交互。

(6) 接入设备向Portal认证服务器发送认证应答报文，表示认证成功或者认证失败。

(7) Portal认证服务器向客户端发送认证成功或认证失败报文，通知客户端认证成功（上线）或失败。

(8) 若认证成功，Portal认证服务器还会向接入设备发送认证应答确认。若是iNode客户端，则还需要进行以下安全扩展功能的步骤，否则Portal认证过程结束，用户上线。

(9) 客户端和安全策略服务器之间进行安全信息交互。安全策略服务器检测客户端的安全性是否合格，包括是否安装防病毒软件、是否更新病毒库、是否安装了非法软件、是否更新操作系统补丁等。

(10) 安全策略服务器根据安全检查结果授权用户访问指定的网络资源，授权信息保存到接入设备中，接入设备将使用该信息控制用户的访问。

步骤(9)、(10)为Portal认证安全扩展功能的交互过程。

2. 二次地址分配认证方式的流程（CHAP/PAP认证方式）

图1-4 二次地址分配认证方式流程图

二次地址分配认证流程：

(1)～(7)同直接/可跨三层Portal认证中步骤（1）～（7）。

(8) 客户端收到认证通过报文后，通过DHCP获得新的公网IP地址，并通知Portal认证服务器用户已获得新IP地址。

(9) Portal认证服务器通知接入设备客户端获得新公网IP地址。

(10) 接入设备通过DHCP模块得知用户IP地址变化后，通告Portal认证服务器已检测到用户IP变化。

(11) 当Portal认证服务器接收到客户端以及接入设备发送的关于用户IP变化的通告后，通知客户端上线成功。

(12) Portal认证服务器向接入设备发送IP变化确认报文。

(13) 客户端和安全策略服务器之间进行安全信息交互。安全策略服务器检测客户端的安全性是否合格，包括是否安装防病毒软件、是否更新病毒库、是否安装了非法软件、是否更新操作系统补丁等。

(14) 安全策略服务器根据用户的安全性授权用户访问指定的网络资源，授权信息保存到接入设备中，接入设备将使用该信息控制用户的访问。

步骤(13)、(14)为Portal认证扩展功能的交互过程。

1.1.8 Portal支持EAP认证

EAP认证仅能与H3C iMC的Portal服务器以及H3C iNode Portal客户端配合使用，且仅使用远程Portal服务器的Portal认证支持该功能。

在对接入用户身份可靠性要求较高的网络应用中，传统的基于用户名和口令的用户身份验证方式存在一定的安全问题，基于数字证书的用户身份验证方式通常被用来建立更为安全和可靠的网络接入认证机制。

EAP（Extensible Authentication Protocol，可扩展认证协议）可支持多种基于数字证书的认证方式（例如EAP-TLS），它与Portal认证相配合，可共同为用户提供基于数字证书的接入认证服务。

图1-5 Portal支持EAP认证协议交互示意图

如图1-5所示，在Portal支持EAP认证的实现中，客户端与Portal服务器之间交互EAP认证报文，Portal服务器与接入设备之间交互携带EAP-Message属性的Portal协议报文，接入设备与RADIUS服务器之间交互携带EAP-Message属性的RADIUS协议报文，由具备EAP服务器功能的RADIUS服务器处理EAP-Message属性中封装的EAP报文，并给出EAP认证结果。整个EAP认证过程中，接入设备只是对Portal服务器与RADIUS服务器之间的EAP-Message属性进行透传，并不对其进行任何处理，因此接入设备上无需任何额外配置。

1.1.9 Portal过滤规则

接入设备通过一系列的过滤规则对用户报文进行控制，这些规则也称为Portal过滤规则。

设备会根据配置以及Portal用户的认证状态，生成四种不同类型的Portal过滤规则。设备收到用户报文后，将依次按照如下顺序对报文进行匹配，一旦匹配上某条规则便结束匹配过程：

· 第一类规则：设备允许所有去往Portal Web服务器或者符合免认证规则的用户报文通过。

· 第二类规则：如果AAA认证服务器未下发授权ACL，则设备允许认证成功的Portal用户可以访问任意的目的网络资源；如果AAA认证服务器下发了授权ACL，则设备仅允许认证成功的Portal用户访问该授权ACL允许访问的网络资源。需要注意的是，Portal认证可成功授权的ACL类型为基本ACL（ACL编号为2000～2999）和高级ACL（ACL编号为3000～3999）。当下发的ACL不存在、未配置ACL规则或ACL规则中配置了counting、established、fragment、source-mac或logging参数时，授权ACL不生效。关于ACL规则的详细介绍，请参见“ACL和QoS命令参考”中的“ACL”。设备将根据Portal用户的在线状态动态添加和删除本规则。

· 第三类规则：设备将所有未认证Portal用户的HTTP/HTTPS请求报文重定向到Portal Web服务器。

· 第四类规则：对于直接认证方式和可跨三层认证方式，设备将拒绝所有用户报文通过；对于二次地址分配认证方式，设备将拒绝所有源地址为私网地址的用户报文通过。

1.1.10 Portal支持基于MAC地址的快速认证

在Portal认证环境中，对于需要频繁接入网络的合法用户，可以通过基于MAC地址的快速认证功能，使用户无需手工输入认证信息便可以自动完成Portal认证。

基于MAC地址的快速认证又称为MAC-trigger认证或无感知认证，该方式需要在网络中部署MAC绑定服务器。MAC绑定服务器用于记录用户的Portal认证信息（用户名、密码）和用户终端的MAC地址，并将二者进行绑定，以便代替用户完成Portal认证。

仅IPv4的直接认证方式支持基于MAC地址的快速认证。

本功能的实现过程如下：

(1) 用户在首次接入网络时，将获得一定的免认证流量。在用户收发的流量达到设定的阈值之前，用户无需进行认证。接入设备将用户的MAC地址及接入端口信息保存为MAC-trigger表项。

(2) 当用户收发的流量达到设定的阈值时，接入设备会根据MAC-trigger表项将用户的MAC地址发送至MAC绑定服务器进行查询。

(3) MAC绑定服务器在本地查询是否存在与用户MAC地址绑定的Portal认证信息：

¡ 如果存在Portal认证信息，则MAC绑定服务器将通知接入设备该用户为“已绑定”状态，并使用用户的认证信息向接入设备发起Portal认证，在用户无感知的情况下完成认证过程。此时，如果Portal认证失败，则设备向用户返回认证失败信息，接入设备上的MAC-trigger表项将自动老化，然后重新进行MAC-trigger认证。

¡ 如果不存在Portal认证信息，则MAC绑定服务器将通知接入设备该用户为“未绑定”状态。接入设备将对“未绑定”状态的用户发起正常的Portal认证。如果Portal认证失败，则Portal Web服务器向用户返回Portal认证失败页面，流程终止；如果Portal认证成功，在用户完成Portal认证过程后，接入设备会将用户的MAC地址和认证信息发送至MAC绑定服务器，完成信息绑定。当同一用户再次访问网络时，MAC绑定服务器便可以利用保存的认证信息代替用户完成认证。

(4) 用户通过Portal认证后，接入设备将删除MAC-trigger表项。

· 关于MAC绑定服务器的配置请参见服务器软件的用户手册。

1.1.11 Portal支持与NAT444联动

在Portal与NAT444网关联动的组网环境中，Portal用户通过AAA认证并分配得到私网地址之后，NAT444网关会立即为该Portal用户分配公网地址以及端口块，并将Portal用户的私网IP地址、分配的公网地址及该端口块的映射关系通知给Portal。Portal记录该地址映射关系，并将这个映射关系上报给AAA服务器。如果NAT444网关上可分配的公网资源已耗尽，Portal会强制用户下线，也不会对用户进行计费。之后，该用户访问外部网络时直接使用NAT444网关已经分配的公网地址和端口块。通过此联动功能，AAA服务器能够获得并统一维护所有Portal用户的地址映射关系，提供更便捷的用户溯源服务。

通过在认证ISP域中指定Portal用户地址类型为私网IPv4地址可实现Portal与NAT444网关联动，关于设置当前ISP域的用户地址类型的详细介绍请参见“安全配置指导”中的“AAA”。关于NAT444的详细介绍请参见“三层技术-IP业务”中的“NAT”。

1.2 Portal配置限制和指导

用户进行Portal认证时，设备可将其HTTPS请求重定向到Portal Web服务器上。在建立SSL连接过程中，用户浏览器可能会出现“使用的证书不安全”的告警。若要避免此告警，需要通过配置自定义SSL服务器端策略（配置ssl server-policy命令）在设备上安装用户浏览器信任的证书。该自定义SSL服务器端策略的策略名必须为https_redirect。有关SSL服务器端策略配置的详细介绍，请参见“安全配置指导”中的“SSL”；有关安装证书的详细介绍，请参见“安全配置指导”中的“PKI”。

通过访问Web页面进行的Portal认证不能对用户实施安全策略检查，安全检查功能的实现需要与H3C iNode客户端配合。

无论是Web客户端还是H3C iNode客户端发起的Portal认证，均能支持Portal认证穿越NAT，即Portal客户端位于私网、Portal认证服务器位于公网。

1.3 Portal配置任务简介

Portal配置任务如下：

(1) 配置远程Portal服务

a. 配置远程Portal认证服务器

如果组网中架设远程Portal认证服务器，则进行该配置。

b. 配置Portal Web服务器

(2) 配置本地Portal服务

a. 配置本地Portal服务

如果采用接入设备作为Portal服务器，则进行该配置。

b. 配置Portal Web服务器

(3) 开启Portal认证并引用Portal Web服务器

请根据实际情况选择在接口上进行以下配置。

¡ 在接口上开启Portal认证

¡ 在接口上引用Portal Web服务器

(4) （可选）配置Portal认证前用户参数

¡ 配置Portal认证前用户使用的认证域

¡ 配置Portal认证前用户使用的地址池

(5) （可选）指定Portal用户使用的认证域

(6) （可选）控制Portal用户的接入

¡ 配置允许触发Portal认证的Web代理服务器端口

¡ 配置Portal最大用户数

¡ 配置Portal授权信息严格检查模式

¡ 配置Portal仅允许DHCP用户上线

¡ 配置Portal认证失败后的用户阻塞功能

(7) （可选）配置Portal探测功能

¡ 配置Portal认证服务器的可达性探测功能

¡ 配置Portal Web服务器的可达性探测功能

¡ 配置Portal用户信息同步功能

(8) （可选）配置Portal和Radius报文属性

¡ 配置Portal报文属性

可配置Portal报文的BAS-IP/BAS-IPv6属性和接入设备的ID。

¡ 配置RADIUS报文属性

可配置RADIUS报文的NAS-Port-ID属性、NAS-Port-Type属性和接口的NAS-ID Profile。

(9) （可选）配置基于MAC地址的快速认证

(10) （可选）配置Portal用户上下线功能

(11) （可选）配置Portal认证的增强功能

¡ 配置Portal用户流量备份阈值

¡ 关闭Portal客户端Rule ARP/ND表项生成功能

¡ 关闭Portal用户流量计费功能

¡ 配置Web重定向功能

¡ 配置Portal安全重定向功能

¡ 配置单用户Portal重定向的最大会话数

¡ 配置Portal协议报文中不携带的属性字段

¡ 配置Portal第三方认证功能

¡ 配置Portal OAuth认证同步用户信息的时间间隔

¡ 配置Portal认证信息上报云端的时间间隔

(12) （可选）配置Portal认证的监控功能

¡ 开启Portal日志功能

¡ 配置Portal认证监控功能

1.4 Portal 配置准备

Portal提供了一个用户身份认证和安全认证的实现方案，但是仅仅依靠Portal不足以实现该方案。接入设备的管理者需选择使用RADIUS认证方法，以配合Portal完成用户的身份认证。Portal认证的配置前提：

· Portal认证服务器、Portal Web服务器、RADIUS服务器已安装并配置成功。

· 若采用二次地址分配认证方式，接入设备需启动DHCP中继功能，另外需要安装并配置好DHCP服务器。

· 用户、接入设备和各服务器之间路由可达。

· 如果通过远端RADIUS服务器进行认证，则需要在RADIUS服务器上配置相应的用户名和密码，然后在接入设备端进行RADIUS客户端的相关设置。RADIUS客户端的具体配置请参见“安全配置指导”中的“AAA”。

· 如果需要支持Portal的安全扩展功能，需要安装并配置CAMS EAD/iMC EAD安全策略组件。同时保证在接入设备上的ACL配置和安全策略服务器上配置的隔离ACL的编号、安全ACL的编号对应。接入设备上与安全策略服务器相关的配置请参见“安全配置指导”中的“AAA”。安全策略服务器的配置请参考“CAMS EAD安全策略组件联机帮助”以及“iMC EAD安全策略组件联机帮助”。

1.5 配置远程Portal认证服务器

1. 功能简介

开启了Portal认证功能后，设备收到Portal报文时，首先根据报文的源IP地址和VPN实例信息查找本地配置的Portal认证服务器，若查找到相应的Portal认证服务器配置，则认为报文合法，并向该Portal认证服务器回应认证响应报文；否则，认为报文非法，将其丢弃。

2. 配置限制和指导

不要删除正在被用户使用的Portal认证服务器，否则会导致设备上的在线用户无法正常下线。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建Portal认证服务器，并进入Portal认证服务器视图。

portal server server-name

设备支持配置多个Portal认证服务器。

(3) 指定Portal认证服务器的IP地址。

（IPv4网络）

ip ipv4-address [ vpn-instance vpn-instance-name ] [ key { cipher | simple } string ]

（IPv6网络）

ipv6 ipv6-address [ vpn-instance vpn-instance-name ] [ key { cipher | simple } string ]

(4) （可选）配置接入设备主动向Portal认证服务器发送Portal报文时使用的UDP端口号。

port port-number

缺省情况下，接入设备主动向Portal认证服务器发送Portal报文时使用的UDP端口号为50100。

接入设备主动向Portal认证服务器发送Portal报文时使用的UDP端口号必须与远程Portal认证服务器实际使用的监听端口号保持一致。

(5) 配置Portal认证服务器的类型。

server-type { cmcc | imc }

缺省情况下，Portal认证服务器类型为iMC服务器。

配置的Portal认证服务器类型必须与认证所使用的服务器类型保持一致。

(6) 配置强制用户下线通知报文的重传时间间隔和最大重传次数。

logout-notify retry retries interval interval

缺省情况下，未配置强制用户下线通知报文的重传时间间隔和最大重传次数。

(7) （可选）配置设备定期向Portal认证服务器发送注册报文。

server-register [ interval interval-value ]

缺省情况下，设备不会向Portal认证服务器发送注册报文。

1.6 配置Portal Web服务器

1.6.1 Portal Web服务器配置简介

Portal Web服务器配置任务如下：

(1) 配置Portal Web服务器基本参数

(2) （可选）开启Portal被动Web认证功能

(3) （可选）配置重定向URL的匹配规则

1.6.2 配置Portal Web服务器基本参数

(1) 进入系统视图。

system-view

(2) 创建Portal Web服务器，并进入Portal Web服务器视图。

portal web-server server-name

可以配置多个Portal Web服务器。

(3) 指定Portal Web服务器所属的VPN。

vpn-instance vpn-instance-name

缺省情况下，Portal Web服务器位于公网中。

(4) 指定Portal Web服务器的URL。

url url-string

缺省情况下，未指定Portal Web服务器的URL。

(5) 配置设备重定向给用户的Portal Web服务器的URL中携带的参数信息。

url-parameter param-name { nas-id | nas-port-id | original-url | source-address | source-mac [ format section { 1 | 3 | 6 } { lowercase | uppercase } ] [ encryption { aes | des } key { cipher | simple } string ] | value expression | vlan }

缺省情况下，未配置设备重定向给用户的Portal Web服务器的URL中携带的参数信息。

(6) 配置Portal Web服务器的类型。

server-type { cmcc | imc }

缺省情况下，设备默认支持的Portal Web服务器类型为iMC服务器。该配置只适用于远程Portal认证。

配置的Portal Web服务器类型必须与认证所使用的服务器类型保持一致。

1.6.3 开启Portal被动Web认证功能

1. 功能简介

iOS系统或者部分Android系统的用户接入已开启Portal认证的网络后，设备会主动向这类用户终端推送Portal认证页面。开启Portal被动Web认证功能后，仅在这类用户使用浏览器访问Internet时，设备才会为其推送Portal认证页面。

当用户暂时不需要进行Portal认证，按Home键返回桌面时，Wi-Fi连接会断开，开启Portal被动认证优化功能后，可以使Wi-Fi在一段时间内继续保持连接。

Portal被动认证优化功能开启后，iOS移动终端接入网络时会自动弹出Portal认证页面，并自动发送服务器可达性探测报文探测苹果服务器是否可达，如果可达，则显示Wi-Fi已连接，如果不可达，则断开网络连接。由于网络或其他原因，iOS移动终端无法在缺省超时时间内发送服务器可达性探测报文，导致Wi-Fi无法连接，被动认证优化功能失效。通过配置探测定时器超时时间，可以延长Portal被动认证优化功能的生效时间，且设备会模拟苹果服务器返回探测响应报文，使Portal认证页面正常显示，并保持Wi-Fi已连接状态。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入Portal Web服务器视图。

portal web-server server-name

(3) 开启Portal被动Web认证功能。

captive-bypass [ android | ios [ optimize ] ] enable

缺省情况下，Portal被动Web认证功能处于关闭状态，即iOS系统和部分Android系统的用户接入已开启Portal认证的网络后会自动弹出Portal认证页面。

(4) （可选）配置Portal被动Web认证探测的定时器超时时间。

a. 退回系统视图。

quit

b. 配置Portal被动Web认证探测的定时器超时时间。

portal captive-bypass optimize delay seconds

缺省情况下，Portal被动Web认证探测的定时器超时时间为6秒。

1.6.4 配置重定向URL的匹配规则

1. 功能简介

重定向URL匹配规则用于控制重定向用户的HTTP或HTTPS请求，该匹配规则可匹配用户的Web请求地址或者用户的终端信息。与url命令不同的是，重定向匹配规则可以灵活的进行地址的重定向，而url命令一般只用于将用户的HTTP或HTTPS请求重定向到Portal Web服务器进行Portal认证。

2. 配置限制和指导

为了让用户能够成功访问重定向后的地址，需要通过portal free-rule命令配置免认证规则，放行去往该地址的HTTP或HTTPS请求报文。

当同时配置了url命令和重定向URL的匹配规则时，重定向URL匹配规则优先进行地址的重定向。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入Portal Web服务器视图。

portal web-server server-name

(3) 配置重定向URL的匹配规则。

if-match { original-url url-string redirect-url url-string [ url-param-encryption { aes | des } key { cipher | simple } string ] | user-agent string redirect-url url-string }

1.7 配置本地Portal服务

1.7.1 功能简介

配置了本地Portal服务后，由设备作为Portal Web服务器和Portal认证服务器，对接入用户进行认证。Portal认证页面文件存储在设备的根目录下。

1.7.2 配置限制和指导

只有接口上引用的Portal Web服务器中的URL同时满足以下两个条件时，接口上才会使用本地Portal Web服务功能。条件如下：

· 该URL中的IP地址是设备上与客户端路由可达的三层接口IP地址（除127.0.0.1以外）。

· 该URL以/portal/结尾，例如：http://1.1.1.1/portal/。

认证页面的内容和样式需要用户自定义。

1.7.3 自定义认证页面文件

1. 功能简介

用户自定义的认证页面为HTML文件的形式，压缩后保存在设备的存储介质的根目录中。每套认证页面可包括六个主索引页面（登录页面、登录成功页面、登录失败页面、在线页面、系统忙碌页面、下线成功页面）及其页面元素（认证页面需要应用的各种文件，如Logon.htm页面中的back.jpg），每个主索引页面可以引用若干页面元素。

用户在自定义这些页面时需要遵循一定的规范，否则会影响本地Portal Web服务功能的正常使用和系统运行的稳定性。

2. 文件名规范

主索引页面文件名不能自定义，必须使用表1-1中所列的固定文件名。

表1-1 主索引页面文件名

主索引页面	文件名
登录页面	logon.htm
登录成功页面	logonSuccess.htm
登录失败页面	logonFail.htm
在线页面用于提示用户已经在线	online.htm
系统忙页面用于提示系统忙或者该用户正在登录过程中	busy.htm
下线成功页面	logoffSuccess.htm

主索引页面文件之外的其他文件名可由用户自定义，但需注意文件名和文件目录名中不能含有中文且字符不区分大小写。

3. 页面请求规范

本地Portal Web服务器只能接受Get请求和Post请求。

· Get请求用于获取认证页面中的静态文件，其内容不能为递归内容。例如，Logon.htm文件中包含了Get ca.htm文件的内容，但ca.htm文件中又包含了对Logon.htm的引用，这种递归引用是不允许的。

· Post请求用于用户提交用户名和密码以及用户执行登录、下线操作。

4. Post请求中的属性规范

(1) 认证页面中表单（Form）的编辑必须符合以下原则：

¡ 认证页面可以含有多个Form，但是必须有且只有一个Form的action=logon.cgi，否则无法将用户信息送到本地Portal服务器。

¡ 用户名属性固定为”PtUser”，密码属性固定为”PtPwd”。

¡ 需要有用于标记用户登录还是下线的属性”PtButton”，取值为"Logon"表示登录，取值为"Logoff"表示下线。

¡ 登录Post请求必须包含”PtUser”，”PtPwd”和"PtButton"三个属性。

¡ 下线Post请求必须包含”PtButton”这个属性。

(2) 需要包含登录Post请求的页面有logon.htm和logonFail.htm。

logon.htm页面脚本内容的部分示例：

<p>Password :<input type="password" name = "PtPwd" style="width:160px;height:22px" maxlength=32>

</form>

(3) 需要包含下线Post请求的页面有logonSuccess.htm和online.htm。

online.htm页面脚本内容的部分示例：

</form>

5. 页面文件压缩及保存规范

· 完成所有认证页面的编辑之后，必须按照标准Zip格式将其压缩到一个Zip文件中，该Zip文件的文件名只能包含字母、数字和下划线。

· 压缩后的Zip文件中必须直接包含认证页面，不允许存在间接目录。

· 压缩生成的Zip文件可以通过FTP或TFTP的二进制方式上传至设备，并保存在设备的根目录下。

Zip文件保存目录示例：

<Sysname> dir

Directory of flash:

1 -rw- 1405 Feb 28 2008 15:53:20 abc1.zip

0 -rw- 1405 Feb 28 2008 15:53:31 abc2.zip

2 -rw- 1405 Feb 28 2008 15:53:39 abc3.zip

3 -rw- 1405 Feb 28 2008 15:53:44 abc4.zip

2540 KB total (1319 KB free)

6. 认证成功后认证页面自动跳转

若要支持认证成功后认证页面的自动跳转功能，即认证页面会在用户认证成功后自动跳转到指定的网站页面，则需要在认证页面logon.htm和logonSuccess.htm的脚本文件中做如下改动。

(1) 将logon.htm文件中的Form的target值设置为“_blank”。

修改的脚本内容如下突出显示部分所示：

(2) logonSucceess.htm文件添加页面加载的初始化函数“pt_init()”。

增加的脚本内容如下突出显示部分所示：

<html>

<head>

<title>LogonSuccessed</title>

</head>

... ...

</body>

</html>

1.7.4 配置本地Portal Web服务参数

1. 配置准备

若指定本地Portal Web服务支持的协议类型为HTTPS，则需要首先完成以下配置：

· 配置PKI策略，并成功申请本地证书和CA证书，具体配置请参见“安全配置指导”中的“PKI”。

· 配置SSL服务器端策略，并指定使用已配置的PKI域。为避免在用户浏览器和设备建立SSL连接过程中用户浏览器出现“使用的证书不安全”的告警，需要通过配置自定义名称为https_redirect的SSL服务器端策略，在设备上安装用户浏览器信任的证书。具体配置请参见“安全配置指导”中的“SSL”。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启本地Portal服务，并进入基于HTTP/HTTPS协议的本地Portal Web服务视图。

portal local-web-server { http | https [ ssl-server-policy policy-name ] [ tcp-port port-number ] }

(3) 配置本地Portal Web服务提供的缺省认证页面文件。

default-logon-page filename

本地Portal Web服务未提供缺省认证页面文件。

(4) （可选）配置本地Portal Web服务的HTTP/HTTPS服务侦听的TCP端口号。

tcp-port port-number

缺省情况下，HTTP服务侦听的TCP端口号为80，HTTPS服务侦听的TCP端口号为portal local-web-server命令指定的TCP端口号。

(5) （可选）配置根据设备类型，实现Portal用户认证页面的定制功能。

logon-page bind { device-type { computer | pad | phone } | device-name device-name } * file file-name

缺省情况下，未配置终端设备类型与任何定制页面文件的绑定关系。

(6) （可选）在Portal的Web认证页面上开启Portal本地用户密码修改功能。

user-password modify enable

缺省情况下，Portal本地用户密码修改功能处于关闭状态。

1.7.5 配置Portal认证请求报文中User-Agent字段需要匹配的信息

1. 功能简介

用户采用第三方软件认证上网时，设备会对Portal认证请求报文中的User Agent字段内容进行校验。User Agent字段内容包括硬件厂商信息、软件操作系统信息、浏览器信息、搜索引擎信息等。如果该字段内容不包含设备指定的字符串，则用户无法通过Portal认证。

为了匹配第三方软件自定义的User Agent信息，可以通过配置本功能，指定Portal认证请求报文中User-Agent字段需要匹配的信息。例如，用户使用微信关注公共号认证上网时，Portal认证请求报文中User-Agent字段需要匹配的信息为MicroMessenger。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启本地Portal服务，并进入基于HTTP/HTTPS协议的本地Portal Web服务视图。

portal local-web-server { http | https [ ssl-server-policy policy-name ] [ tcp-port port-number ] }

(3) 配置Portal认证请求报文中User-Agent字段需要匹配的信息。

user-agent user-agent-string

缺省情况下，Portal认证请求报文中User-Agent字段需要匹配的信息为字符串。MicroMessenger。

1.8 在接口上开启Portal认证

1. 配置限制和指导

在接口上开启Portal认证时，请遵循以下配置原则：

· 为保证以太网接口上的Portal功能生效，请不要将开启Portal功能的以太网接口加入聚合组。

· 当接入设备和Portal用户之间跨越三层设备时，只能配置可跨三层Portal认证方式（layer3），但可跨三层Portal认证方式不要求接入设备和Portal用户之间必需跨越三层设备。

· 允许在接口上同时开启IPv4 Portal认证和IPv6 Portal认证。

当Portal认证方式为二次地址分配方式时，请遵循以下配置限制和指导：

· 在开启二次地址分配方式的Portal认证之前，需要保证开启Portal的接口已配置或者获取了合法的IP地址。

· 在二次地址分配认证方式下，接口上配置的授权ARP后，系统会禁止该接口动态学习ARP表项，只有通过DHCP合法分配到公网IP地址的用户的ARP报文才能够被学习。因此，为保证只有合法用户才能接入网络，建议使用二次地址分配认证方式的Portal认证时，接口上同时配置了授权ARP功能。

· 为了确保Portal用户能在开启二次地址分配认证方式的接口上成功进行Portal认证，必须确保Portal认证服务器上指定的设备IP与设备BAS-IP或BAS-IPv6属性值保持一致。可以通过portal { bas-ip | bas-ipv6 }命令来配置该属性值。

· IPv6 Portal服务器不支持二次地址分配方式的Portal认证。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 开启Portal认证，并指定认证方式。

（IPv4网络）

portal enable method { direct | layer3 | redhcp }

（IPv6网络）

portal ipv6 enable method { direct | layer3 }

缺省情况下，接口上的Portal认证功能处于关闭状态。

1.9 在接口上引用Portal Web服务器

1. 功能简介

一个接口上可以同时引用一个IPv4 Portal Web服务器和一个IPv6 Portal Web认证服务器。在接口上引用指定的Portal Web服务器后，设备会将该接口上Portal用户的HTTP请求报文重定向到该Web服务器。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 引用Portal Web服务器。

portal [ ipv6 ] apply web-server server-name [ secondary ]

缺省情况下，接口上未引用Portal Web服务器。

1.10 配置Portal认证前用户使用的认证域

1. 功能简介

开启了Portal的接口上配置了认证前用户使用的认证域（简称为认证前域）时，当该接口上接入的未经过Portal认证的用户在通过DHCP获取到IP地址之后，将被Portal授予认证前域内配置的相关授权属性（目前包括ACL和CAR），并根据授权信息获得相应的网络访问权限。若该接口上的DHCP用户后续触发了Portal认证，则认证成功之后会被AAA下发新的授权属性。之后，若该用户下线，则又被重新授予认证前域中的授权属性。

2. 配置限制和指导

该配置只对采用DHCP或DHCPv6分配IP地址的用户生效。

该配置在可跨三层认证方式的接口上不生效。

配置Portal认证前域时，请确保被引用的ISP域已创建。如果Portal认证前域引用的ISP域不存在或者引用过程中该ISP域被删除后，又重新创建该域，请删除Portal认证前域（执行undo portal [ ipv6 ] pre-auth domain命令）后重新配置。

对于认证前域中指定的授权ACL，需要注意的是：

· 如果有流量匹配上该授权ACL规则，设备将按照规则中指定的permit或deny动作进行处理。

· 如果该授权ACL不存在，或者配置的规则中允许访问的目的IP地址为“any”，则表示不对用户的访问进行限制，用户可以直接访问网络。

· 如果该授权ACL中没有配置任何规则，则表示对用户的所有访问进行限制，用户需要通过认证才可以访问网络。

· 如果没有流量匹配上该授权ACL规则，设备推出认证页面，用户需要通过认证才可以访问网络。

· 请不要在该授权ACL中配置源IPv4/IPv6地址或源MAC地址信息，否则该授权ACL下发后将会导致用户不能正常上线。

3. 配置步骤

(1) 进入系统视图

system-view

(2) 进入三层接口视图

interface interface-type interface-number

(3) 配置Portal认证前用户使用的认证域。

portal [ ipv6 ] pre-auth domain domain-name

缺省情况下，未配置Portal认证前用户使用的认证域。

1.11 配置Portal认证前用户使用的地址池

1. 功能简介

在Portal用户通过设备的子接口接入网络的组网环境中，当子接口上未配置IP地址，且用户需要通过DHCP获取地址时，就必须在用户进行Portal认证之前为其分配一个IP地址使其可以进行Portal认证。

Portal用户接入到开启了Portal认证的接口上后，该接口就会按照下面的规则为其分配IP地址：

· 如果接口上配置了IP地址，但没有配置认证前使用的地址池，则用户可以使用客户端上静态配置的IP地址或者通过DHCP获取分配的IP地址。

· 如果接口上配置了IP地址，且配置了认证前使用的地址池，当用户通过DHCP获取IP地址时，接口将从指定的认证前的地址池中为其分配IP地址；否则，用户使用客户端上静态配置的IP地址。但是如果接口上没有配置IP地址，则客户端使用静态IP地址将无法认证成功。

· 若接口上没有配置IP地址，且没有配置认证前使用的地址池，则用户无法进行认证。

Portal用户使用静态配置或动态获取的IP地址进行Portal认证，并通过认证后，认证服务器会为其下发授权IP地址池，且由DHCP重新为其分配IP地址。如果认证服务器未下发授权IP地址池，则用户继续使用认证之前获得的IP地址。

2. 配置限制和指导

仅当接口使用直接认证方式情况下，本配置才能生效。

当使用接口上指定的IP地址池为认证前的Portal用户分配IP地址时，该指定的IP地址池必须存在且配置完整，否则无法为Portal用户分配IP地址，并导致用户无法进行Portal认证。

若Portal用户不进行认证，或认证失败，已分配的地址不会被收回。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 配置Portal认证前用户使用的地址池。

portal [ ipv6 ] pre-auth ip-pool pool-name

缺省情况下，接口上未配置Portal认证前用户使用的地址池。

1.12 指定Portal用户使用的认证域

1.12.1 功能简介

每个Portal用户都属于一个认证域，且在其所属的认证域内进行认证/授权/计费，认证域中定义了一套认证/授权/计费的策略。

通过配置Portal用户使用的认证域，使得所有接入的Portal用户被强制使用指定的认证域来进行认证、授权和计费。即使Portal用户输入的用户名中携带的域名相同，接入设备的管理员也可以通过该配置使得不同接口上接入的Portal用户使用不同的认证域，从而增加管理员部署Portal接入策略的灵活性。

1.12.2 配置限制和指导

Portal用户将按照如下先后顺序选择认证域：接口上指定的Portal用户使用的ISP域-->用户名中携带的ISP域-->系统缺省的ISP域。如果根据以上原则决定的认证域在设备上不存在，但设备上为未知域名的用户指定了ISP域，则最终使用该指定的ISP域认证。否则，用户将无法认证。关于ISP域的相关介绍请参见“安全配置指导”中的“AAA”。

认证域中指定用户所属的VPN实例时，需要注意的是：

· 请确保该授权VPN实例存在，否则用户无法上线成功。

· 用户在线过程中，请不要删除该授权VPN实例，否则用户会被强制下线。

对于认证域中指定的授权ACL，需要注意的是：

· 如果有流量匹配上该授权ACL规则，设备将按照规则中指定的permit或deny动作进行处理。

· 如果没有流量匹配上该授权ACL规则，设备将允许所有报文通过，用户可以直接访问网络。

· 如果需要禁止未匹配上ACL规则的报文通过，请确保授权ACL中的最后一条规则为拒绝所有流量（由rule deny ip命令配置）。

· 该授权ACL中不要配置源IPv4/IPv6地址或源MAC地址信息，否则，可能会导致引用该ACL的用户不能正常上线。

1.12.3 配置接口上Portal用户使用的认证域

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 配置接口上Portal用户使用的认证域。

portal [ ipv6 ] domain domain-name

缺省情况下，接口上未配置Portal用户使用的认证域。

接口上可以同时配置IPv4 Portal用户和IPv6 Portal用户的认证域。

1.13 控制Portal用户的接入

1.13.1 配置免认证规则

1. 功能简介

免认证规则的匹配项包括主机名、IP地址、TCP/UDP端口号、MAC地址、所连接设备的接口和VLAN等，只有符合免认证规则的用户报文才不会触发Portal认证，因此这些报文所属的用户不需要通过Portal认证即可访问网络资源。

2. 配置限制和指导

如果免认证规则中同时配置了接口和VLAN，则要求接口属于指定的VLAN，否则该规则无效。

相同内容的免认证规则不能重复配置，否则提示免认证规则已存在或重复。

无论接口上是否开启Portal认证，只能添加或者删除免认证规则，不能修改。

3. 配置基于IP地址的免认证规则

(1) 进入系统视图。

system-view

(2) 配置基于IP地址的Portal免认证规则。

（IPv4网络）

portal free-rule rule-number { destination ip { ipv4-address { mask-length | mask } | any } [ tcp tcp-port-number | udp udp-port-number ] | source ip { ipv4-address { mask-length | mask } | any } [ tcp tcp-port-number | udp udp-port-number ] } * [ interface interface-type interface-number ]

（IPv6网络）

portal free-rule rule-number { destination ipv6 { ipv6-address prefix-length | any } [ tcp tcp-port-number | udp udp-port-number ] | source ipv6 { ipv6-address prefix-length | any } [ tcp tcp-port-number | udp udp-port-number ] } * [ interface interface-type interface-number ]

缺省情况下，未配置基于IP地址的Portal免认证规则。

4. 配置基于源的免认证规则

(1) 进入系统视图。

system-view

(2) 配置基于源的Portal免认证规则。

portal free-rule rule-number source { interface interface-type interface-number | mac mac-address | object-group object-group-name | vlan vlan-id } *

缺省情况下，未配置基于源的Portal免认证规则。

vlan关键字仅对通过VLAN接口接入的Portal用户生效。

5. 配置基于目的的免认证规则

(1) 进入系统视图。

system-view

(2) 配置基于目的Portal免认证规则。

portal free-rule rule-number destination host-name

缺省情况下，未配置基于目的的Portal免认证规则。

配置本功能前，请确保组网中已部署DNS服务器。

6. 配置基于ACL的免认证规则

(1) 进入系统视图。

system-view

(2) 配置基于ACL的Portal免认证规则。

（IPv4网络）

portal free-rule rule-number acl acl-number

（IPv6网络）

portal free-rule rule-number acl ipv6 acl-number

缺省情况下，不存在基于ACL的Portal免认证规则。

7. 配置免认证规则的描述信息

(1) 进入系统视图。

system-view

(2) 配置Portal免认证规则的描述信息。

portal free-rule rule-number description text

缺省情况下，未配置Portal免认证规则的描述信息。

1.13.2 配置源认证网段

1. 功能简介

通过配置源认证网段实现只允许在源认证网段范围内的用户HTTP/HTTPS报文才能触发Portal认证。如果未认证用户的HTTP/HTTPS报文既不满足免认证规则又不在源认证网段内，则将被接入设备丢弃。

2. 配置限制和指导

源认证网段配置仅对可跨三层Portal认证有效。

直接认证方式和二次地址分配认证方式下，用户与接入设备上开启Portal的接口在同一个网段，因此配置源认证网段没有实际意义。对于直接认证方式，接入设备认为接口上的源认证网段为任意源IP；对于二次地址分配认证方式，接入设备认为接口上的源认证网段为接口私网IP决定的私网网段。

如果接口上同时配置了源认证网段和目的认证网段，则源认证网段的配置不会生效。

设备上可以配置多条源认证网段。若配置了网段地址范围有所覆盖或重叠的源认证网段，则仅其中地址范围最大（子网掩码或地址前缀最小）的一条源认证网段配置生效。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 配置源认证网段。

（IPv4网络）

portal layer3 source ipv4-network-address { mask-length | mask }

（IPv6网络）

portal ipv6 layer3 source ipv6-network-address prefix-length

缺省情况下，对任意用户都进行Portal认证。

1.13.3 配置目的认证网段

1. 功能简介

通过配置目的认证网段实现仅对要访问指定目的网段（除免认证规则中指定的目的IP地址或网段）的用户进行Portal认证，用户访问非目的认证网段时无需认证，可直接访问。

2. 配置限制和指导

如果接口上同时配置了源认证网段和目的认证网段，则源认证网段的配置无效。

设备上可以配置多条目的认证网段。若配置了网段地址范围有所覆盖或重叠的目的认证网段，则仅其中地址范围最大（子网掩码或地址前缀最小）的一条目的认证网段配置生效。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 配置目的认证网段。

（IPv4网络）

portal free-all except destination ipv4-network-address { mask-length | mask }

（IPv6网络）

portal ipv6 free-all except destination ipv6-network-address prefix-length

缺省情况下，对访问任意目的网段的用户都进行Portal认证。

1.13.4 配置黑名单规则

1. 功能简介

黑名单规则用来过滤某些来自特定源或去往特定目的的报文。当通过设备的报文与黑名单规则相匹配的时候，设备会将这些报文丢弃。

2. 配置限制和指导

如果黑名单规则中同时配置了源端口号和目的端口号，则要求源和目的端口号所属的传输层协议类型保持一致。

源地址和目的地址的IP类型必须相同。

可以配置多条黑名单规则。

如果同时配置了免认证规则和黑名单规则，且二者指定的对象范围有所重叠，则黑名单规则生效。

当黑名单规则配置为目的主机名时，设备会丢弃用户发送的查询目的主机名的DNS报文。如果设备上正确配置了DNS服务器，设备会解析目的主机名的地址，并将去往此地址的报文丢弃；在用户没有发送DNS报文的情况下，如果设备没有正确配置DNS服务器，黑名单规则不生效。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置黑名单规则。

（IPv4网络）

portal forbidden-rule rule-number [ source ip { ipv4-address { mask-length | mask } | any } [ tcp tcp-port-number | udp udp-port-number ]

] destination { host-name | ip { ipv4-address { mask-length | mask } | any } [ tcp tcp-port-number | udp udp-port-number ] }

（IPv6网络）

portal forbidden-rule rule-number [ source ipv6 { ipv6-address prefix-length | any } [ tcp tcp-port-number | udp udp-port-number ] ] destination { host-name | ipv6 { ipv6-address prefix-length | any } [ tcp tcp-port-number | udp udp-port-number ] }

缺省情况下，未配置黑名单规则。

1.13.5 配置允许触发Portal认证的Web代理服务器端口

1. 功能简介

设备默认只允许未配置Web代理服务器的用户浏览器发起的HTTP/HTTPS请求才能触发Portal认证，若用户使用配置了Web代理服务器的浏览器上网，则用户的这类HTTP/HTTPS请求报文将被丢弃，而不能触发Portal认证。这种情况下，网络管理员可以通过在设备上添加Web代理服务器的TCP端口号，来允许使用Web代理服务器的用户浏览器发起的HTTP/HTTPS请求也可以触发Portal认证。

2. 配置限制和指导

配置允许触发Portal认证的Web代理服务器端口，需要注意的是：

· 80和443端口是Portal预留端口号，Portal认证的Web代理服务器的TCP端口号不能配置为80和443。

· 通过多次配置本功能，最多可以添加64个允许触发Portal认证的Web代理服务器端口。

· HTTP和HTTPS请求允许触发Portal认证的Web代理服务器端口不能相同。

如果用户浏览器采用WPAD（Web Proxy Auto-Discovery，Web代理服务器自动发现）方式自动配置Web代理，还需要注意以下几点：

· 配置允许触发Portal认证的Web代理服务器端口的同时，还需要配置免认证规则，允许目的IP为WPAD主机IP地址的用户报文免认证。

· 需要用户在浏览器上将Portal认证服务器的IP地址配置为Web代理服务器的例外地址，避免Portal用户发送给Portal认证服务器的HTTP/HTTPS报文被发送到Web代理服务器上，从而影响正常的Portal认证。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置允许触发Portal认证的Web代理服务器端口。

portal web-proxy { http | https } port port-number

缺省情况下，未配置允许触发Portal认证的Web代理服务器端口。

1.13.6 配置Portal最大用户数

1. 功能简介

通过配置可以控制系统中的全局Portal接入用户总数和每个接口上的最大Portal用户数（包括IPv4 Portal用户和IPv6 Portal用户）。

2. 配置限制和指导

建议将全局最大Portal用户数配置为所有开启Portal的接口上的最大IPv4 Portal用户数和最大IPv6 Portal用户数之和，但不超过整机最大Portal用户数，否则会有部分Portal用户因为整机最大用户数已达到而无法上线。

3. 配置全局Portal最大用户数

(1) 进入系统视图。

system-view

(2) 配置全局Portal最大用户数。

portal max-user max-number

缺省情况下，Portal最大用户数不受限制。

如果配置的全局Portal最大用户数小于当前已经在线的Portal用户数，则配置可以执行成功，且在线Portal用户不受影响，但系统将不允许新的Portal用户接入。

4. 配置接口上Portal最大用户数

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 配置Portal最大用户数。

portal { ipv4-max-user | ipv6-max-user } max-number

缺省情况下，Portal最大用户数不受限制。

如果接口上配置的Portal最大用户数小于当前接口上已经在线的Portal用户数，则配置可以执行成功，且在线Portal用户不受影响，但系统将不允许新的Portal用户从该接口接入。

1.13.7 配置Portal授权信息严格检查模式

1. 功能简介

严格检查模式用于配合服务器上的用户授权控制策略，允许成功下发了授权信息的用户在线。

开启Portal授权信息的严格检查模式后，当认证服务器下发的授权ACL在设备上不存在或者设备下发ACL失败时，设备将强制Portal用户下线。

2. 在接口上配置Portal授权信息严格检查模式

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 配置Portal授权信息的严格检查模式。

portal authorization acl strict-checking

· 当认证服务器下发的授权ACL、在设备上不存在或者设备下发ACL失败时，设备将强制Portal用户下线。

缺省情况下，Portal授权信息处于非严格检查模式，即当认证服务器下发的授权ACL在设备上不存在或者设备下发ACL失败时，允许Portal用户在线。

1.13.8 配置Portal仅允许DHCP用户上线

1. 功能简介

为了保证只有合法IP地址的用户能够接入，可以配置仅允许DHCP用户上线功能，配置此功能后，IP地址为静态配置的Portal认证用户将不能上线。

2. 配置限制和指导

本功能仅在采用接入设备作为DHCP服务器的组网中生效。

在IPv6网络中，开启本功能后，终端仍会使用临时IPv6地址进行Portal认证，从而导致认证失败，所以终端必须关闭临时IPv6地址。

此配置不会影响已经在线的用户。

3. 在接口上配置Portal仅允许DHCP用户上线功能

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 开启Portal仅允许DHCP用户上线功能。

portal [ ipv6 ] user-dhcp-only

· 配置本功能后，IP地址为静态配置的Portal认证用户将不能上线。

· 在IPv6网络中，配置本功能后，终端仍会使用临时IPv6地址进行Portal认证，从而导致认证失败，所以终端必须关闭临时IPv6地址。

缺省情况下，通过DHCP方式获取IP地址的客户端和配置静态IP地址的客户端都可以上线。

1.13.9 配置Portal认证失败后的用户阻塞功能

1. 功能简介

Portal认证失败后的用户阻塞功能处于开启状态时，如果在指定时间内用户进行Portal认证失败的次数达到指定值，该用户将被阻塞一段时间，即在此时间段内来自该用户的认证请求报文将被丢弃。通过配置该功能，可防止非法用户使用穷举法试探合法用户的密码。

2. 配置限制和指导

Portal认证前域中的用户在指定时间内认证失败达到限定次数后不会被阻塞。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启Portal认证失败后的用户阻塞功能。

portal user-block failed-times failed-times period period [ method { ip | mac | username } ]

缺省情况下，用户进行Portal认证失败后的用户阻塞功能处于关闭状态。

(3) 配置Portal用户被阻塞的时长。

portal user-block reactive period

缺省情况下，Portal用户被阻塞的时长为30分钟。

Portal用户被阻塞的时长取值为0时表示该用户不能被激活重新进行Portal认证。

1.13.10 配置Portal支持双协议栈

1. 功能简介

正常情况下，IPv4用户通过Portal认证后只能访问IPv4网络，IPv6用户通过Portal认证后只能访问IPv6网络，而配置Portal支持双协议栈功能后，用户可以通过一次Portal认证实现既能访问IPv4网络也能访问IPv6网络。

2. 在接口上配置Portal支持双协议栈

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 开启Portal支持双协议栈功能。

portal dual-stack enable

缺省情况下，Portal支持双协议栈功能处于关闭状态。

(4) 开启Portal双协议栈流量计费分离功能。

portal dual-stack traffic-separate enable

缺省情况下，Portal双协议栈流量计费分离功能处于关闭状态，即Portal用户的IPv4和IPv6流量合并计费。

(5) 开启单栈用户远程Portal认证时同时携带IPv4和IPv6地址功能。

portal dual-ip enable

缺省情况下，单栈用户Portal认证时同时携带IPv4和IPv6地址功能处于关闭状态。

(6) 配置Portal用户日志信息区分IPv4流量和IPv6流量。

portal user-log traffic-separate

缺省情况下，Portal用户日志信息不区分IPv4流量和IPv6流量。

1.13.11 配置接口所属的接入组

1. 功能简介

接入组内的任意接口上的用户上线后，所下发的授权信息也会同时下发给该组内其它接口，而且该用户的流量可以在该组内任何一个接口上通过。因此，同一用户流量可在不同的三层物理接口上漫游，可实现负载分担等功能。

2. 配置限制和指导

配置接口所属的接入组前，需要注意的是：

· 接口未开启Portal认证时可加入任何接入组。如果接口开启了Portal认证，则在加入接入组前必须保证与接入组内已有的开启了Portal认证的接口具有相同的认证方式。

· 加入同一接入组的接口的认证域和严格检查模式应具有相同的配置。

· 同一接口只能加入一个IPv4接入组，一个IPv6接入组，或者同时加入一个IPv4接入组和一个IPv6接入组。不能同时加入多个IPv4或IPv6接入组。

接口加入接入组后，需要注意的是：

· 接口加入接入组后，不能修改其认证方式。

· 对于接口上已经在线的用户，接口加入接入组不会对其产生影响，即该接口所属接入组内的其它接口上不会下发该用户的授权信息。

· 如果关闭接入组内的接口、接入组的接口关闭Portal认证或退出所属的接入组，则该接口上所有用户的授权信息将被删除。此时，如果接入组内只有该接口上存在某用户的授权信息，则该用户会被强制下线。

· 接口加入接入组后，如果有用户上线将不会为该用户添加ARP/ND表项，且Portal客户端的Rule ARP/ND表项生成功能也对该用户失效。

· 如果接入组中某一接口从设备上删除，则从该接口通过DHCP方式获取IP地址的Portal用户均会下线。

在设备从支持该特性的版本切换到不支持该特性的版本然后再切回到支持该特性的版本过程中，如果在不支持该特性的版本进行了用户授权信息的更新等操作，用户将离开所属的接入组。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 配置接口所属的接入组。

portal [ ipv6 ] access-group group-name [ ignore-vlan ]

缺省情况下，接口不属于任何接入组。

1.13.12 配置Portal出方向报文过滤

1. 功能简介

缺省情况下，开启了Portal认证的接口，发送的报文不受Portal过滤规则的限制，即允许发送所有报文。当需要对此类接口发送的报文进行严格控制时，可以在接口上开启Portal出方向报文过滤功能。开启该功能后，在开启了Portal认证的接口上，仅当出方向的报文目的IP地址是已通过Portal认证的用户IP地址或满足已配置的免认证规则，才发送该报文，否则丢弃报文。

2. 在接口上配置Portal出方向报文过滤

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 开启Portal出方向报文过滤功能。

portal [ ipv6 ] outbound-filter enable

缺省情况下，Portal出方向的报文过滤功能处于关闭状态。

1.13.13 配置Portal用户逃生功能

1. 功能简介

当接入设备探测到Portal认证服务器或者Portal Web服务器不可达时，可打开接口上的网络限制，允许Portal用户不需经过认证即可访问网络资源，也就是通常所说的Portal逃生功能。

如果接口上同时开启了Portal认证服务器不可达时的Portal用户逃生功能和Portal Web服务器不可达时的Portal用户逃生功能，则当任意一个服务器不可达时，即取消接口的Portal认证功能，当两个服务器均恢复可达性后，再重新启动Portal认证功能。重新启动接口的Portal认证功能之后，未通过认证的用户需要通过认证之后才能访问网络资源，已通过认证的用户可继续访问网络资源。

2. 在接口上配置Portal用户逃生功能

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 开启Portal认证服务器不可达时的Portal用户逃生功能。

portal [ ipv6 ] fail-permit server server-name

缺省情况下，设备探测到Portal认证服务器不可达时，不允许Portal用户逃生。

(4) 开启Portal Web服务器不可达时的Portal用户逃生功能。

portal [ ipv6 ] fail-permit web-server

缺省情况下，设备探测到Portal Web服务器不可达时，不允许Portal用户逃生。

1.14 配置Portal探测功能

1.14.1 配置Portal用户在线探测功能

1. 功能简介

IPv4探测类型为ARP或ICMP，IPv6探测类型为ND或ICMPv6。

根据探测类型的不同，设备有以下两种探测机制：

· 当探测类型为ICMP/ICMPv6时，若设备发现一定时间（idle time）内接口上未收到某Portal用户的报文，则会向该用户定期（interval interval）发送ICMP/ICMPv6报文。如果在指定探测次数（retry retries）之内，设备收到了该用户的响应报文，则认为用户在线，且停止发送探测报文，重复这个过程，否则，强制其下线。

· 当探测类型为ARP/ND时，若设备发现一定时间（idle time）内接口上未收到某Portal用户的报文，则会向该用户发送ARP/ND请求报文。设备定期（interval interval）检测用户ARP/ND表项是否被刷新过，如果在指定探测次数（retry retries）内用户ARP/ND表项被刷新过，则认为用户在线，且停止检测用户ARP/ND表项，重复这个过程，否则，强制其下线。

2. 配置限制和指导

ARP和ND方式的探测只适用于直接方式和二次地址分配方式的Portal认证。ICMP方式的探测适用于所有认证方式。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 开启Portal用户在线探测功能。

（IPv4网络）

portal user-detect type { arp | icmp } [ retry retries ] [ interval interval ] [ idle time ]

（IPv6网络）

portal ipv6 user-detect type { icmpv6 | nd } [ retry retries ] [ interval interval ] [ idle time ]

缺省情况下，接口上的Portal用户在线探测功能处于关闭状态。

1.14.2 配置Portal认证服务器的可达性探测功能

1. 功能简介

在Portal认证的过程中，如果接入设备与Portal认证服务器的通信中断，则会导致新用户无法上线，已经在线的Portal用户无法正常下线的问题。为解决这些问题，需要接入设备能够及时探测到Portal认证服务器可达状态的变化，并能触发执行相应的操作来应对这种变化带来的影响。

开启Portal认证服务器的可达性探测功能后，设备会定期检测Portal认证服务器发送的报文（例如，用户上线报文、用户下线报文、心跳报文）来判断服务器的可达状态：若设备在指定的探测超时时间（timeout timeout）内收到Portal报文，且验证其正确，则认为此次探测成功且服务器可达，否则认为此次探测失败，服务器不可达。

当接入设备检测到Portal认证服务器可达或不可达状态改变时，可执行以下一种或多种操作：

· 发送Trap信息：Portal认证服务器可达或者不可达的状态改变时，向网管服务器发送Trap信息。Trap信息中记录了Portal认证服务器名以及该服务器的当前状态。

· 发送日志：Portal认证服务器可达或者不可达的状态改变时，发送日志信息。日志信息中记录了Portal认证服务器名以及该服务器状态改变前后的状态。

· Portal用户逃生：Portal认证服务器不可达时，暂时取消接口上进行的Portal认证，允许该接口接入的所有Portal用户访问网络资源。之后，若设备收到Portal认证服务器发送的报文，则恢复该端口的Portal认证功能。该功能的详细配置请参见“1.13.13 配置Portal用户逃生功能”。

2. 配置限制和指导

只有当设备上存在开启Portal认证的接口时，Portal认证服务器的可达性探测功能才生效。

目前，只有iMC的Portal认证服务器支持发送心跳报文，由于心跳报文是周期性发送的，所以iMC的Portal认证服务器可以更好得与设备配合，使其能够及时而准确地探测到它的可达性状态。如果要采用心跳报文探测Portal服务器的可达性，服务器上必须保证逃生心跳功能处于开启状态。

如果同时指定了多种操作，则Portal认证服务器可达状态改变时系统可并发执行多种操作。

设备配置的探测超时时间（timeout timeout）必须大于服务器上配置的逃生心跳间隔时间。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入Portal认证服务器视图。

portal server server-name

(3) 开启Portal认证服务器的可达性探测功能。

server-detect [ timeout timeout ] { log | trap } *

缺省情况下，Portal服务器可达性探测功能处于关闭状态。

1.14.3 配置Portal Web服务器的可达性探测功能

1. 功能简介

在Portal认证的过程中，如果接入设备与Portal Web服务器的通信中断，将无法完成整个认证过程，因此必须对Portal Web服务器的可达性进行探测。

由于Portal Web服务器用于对用户提供Web服务，不需要和设备交互报文，因此无法通过发送某种协议报文的方式来进行可达性检测。开启了Portal Web服务器的可达性探测功能之后，接入设备采用模拟用户进行Web访问的过程来实施探测：接入设备主动向Portal Web服务器发起TCP连接，如果连接可以建立，则认为此次探测成功且服务器可达，否则认为此次探测失败。

· 探测参数

¡ 探测间隔：进行探测尝试的时间间隔。

¡ 失败探测的最大次数：允许连续探测失败的最大次数。若连续探测失败数目达到此值，则认为服务器不可达。

· 可达状态改变时触发执行的操作（可以选择其中一种或同时使用多种）

¡ 发送Trap信息：Portal Web服务器可达或者不可达的状态改变时，向网管服务器发送Trap信息。Trap信息中记录了Portal Web服务器名以及该服务器的当前状态。

¡ 发送日志：Portal Web服务器可达或者不可达的状态改变时，发送日志信息。日志信息中记录了Portal Web服务器名以及该服务器状态改变前后的状态。

¡ Portal用户逃生：Portal Web服务器不可达时，暂时取消端口进行的Portal认证，允许该端口接入的所有Portal用户访问网络资源。之后，若Portal Web服务器可达，则恢复该端口的Portal认证功能。该功能的详细配置请参见“1.13.13 配置Portal用户逃生功能”。

2. 配置限制和指导

只有当配置了Portal Web服务器的URL地址，且设备上存在开启Portal认证接口时，该Portal Web服务器的可达性探测功能才生效。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入Portal Web服务器视图。

portal web-server server-name

(3) 开启Portal Web服务器的可达性探测功能。

server-detect [ interval interval ] [ retry retries ] { log | trap } *

缺省情况下，Portal Web认证服务器的可达性探测功能处于关闭状态。

(4) 配置Portal web服务器的探测URL及探测类型。

server-detect url string [ detect-type { http | tcp } ]

缺省情况下，Portal Web服务器可达性探测的URL为Portal web服务器视图下url命令配置的URL地址，探测类型为TCP。

1.14.4 配置Portal用户信息同步功能

1. 功能简介

为了解决接入设备与Portal认证服务器通信中断后，两者的Portal用户信息不一致问题，设备提供了一种Portal用户信息同步功能。该功能利用了Portal同步报文的发送及检测机制，具体实现如下：

(1) 由Portal认证服务器周期性地（周期为Portal认证服务器上指定的用户心跳间隔值）将在线用户信息通过用户同步报文发送给接入设备；

(2) 接入设备在用户上线之后，即开启用户同步检测定时器（超时时间为timeout timeout），在收到用户同步报文后，将其中携带的用户列表信息与自己的用户列表信息进行对比，如果发现同步报文中有设备上不存在的用户信息，则将这些自己没有的用户信息反馈给Portal认证服务器，Portal认证服务器将删除这些用户信息；如果发现接入设备上的某用户信息在一个用户同步报文的检测超时时间内，都未在该Portal认证服务器发送过来的用户同步报文中出现过，则认为Portal认证服务器上已不存在该用户，设备将强制该用户下线。

2. 配置限制和指导

只有在支持Portal用户心跳功能（目前仅iMC的Portal认证服务器支持）的Portal认证服务器的配合下，本功能才有效。为了实现该功能，还需要在Portal认证服务器上选择支持用户心跳功能，且服务器上配置的用户心跳间隔要小于等于设备上配置的检测超时时间。

在设备上删除Portal认证服务器时将会同时删除该服务器的用户信息同步功能配置。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入Portal认证服务器视图。

portal server server-name

(3) 开启Portal用户信息同步功能。

user-sync timeout timeout

缺省情况下，Portal用户信息同步功能处于关闭状态。

1.15 配置Portal报文属性

1.15.1 配置BAS-IP/BAS-IPv6属性

1. 功能简介

设备上运行Portal 2.0版本时，主动发送给Portal认证服务器的报文（例如强制用户下线报文）中必须携带BAS-IP属性。设备上运行Portal 3.0版本时，主动发送给Portal认证服务器的报文必须携带BAS-IP或者BAS-IPv6属性。若配置此功能，设备主动发送的通知类Portal报文，其源IP地址为配置的BAS-IP或BAS-IPv6属性值，否则为Portal报文出接口的IP地址。

2. 配置限制和指导

设备进行二次地址分配认证和强制Portal用户下线过程中，均需要设备主动向Portal认证服务器发送相应的通知类Portal报文，因此，为了保证二次地址分配认证方式下Portal用户可以成功上线，以及设备可以成功通知Portal认证服务器用户下线，需要保证BAS-IP/BAS-IPv6属性值与Portal认证服务器上指定的设备IP一致。

使用H3C iMC的Portal认证服务器的情况下，如果Portal服务器上指定的设备IP不是设备上Portal报文出接口的IP地址，则开启了Portal认证的接口上必须配置BAS-IP或者BAS-IPv6属性与Portal认证服务器上指定的设备IP一致。

3. 在接口上配置BAS-IP/BAS-IPv6属性

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 配置BAS-IP或BAS-IPv6属性。

（IPv4网络）

portal bas-ip ipv4-address

缺省情况下，发送给Portal认证服务器的响应类的IPv4 Portal报文中携带的BAS-IP属性为报文的源IPv4地址，通知类IPv4 Portal报文中携带的BAS-IP属性为报文出接口的IPv4地址。

（IPv6网络）

portal bas-ipv6 ipv6-address

缺省情况下，发送给Portal认证服务器的响应类的IPv6 Portal报文中携带的BAS-IPv6属性为报文的源IPv6地址，通知类IPv6 Portal报文中携带的BAS-IPv6属性为报文出接口的IPv6地址。

1.15.2 配置接入设备的ID

1. 功能简介

通过配置接入设备的ID，使得接入设备向Portal认证服务器发送的协议报文中携带一个属性，此属性用于向Portal服务器标识发送协议报文的接入设备。

2. 配置限制和指导

不同设备的设备ID不能相同。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置接入设备的ID。

portal device-id device-id

缺省情况下，未配置任何设备的ID。

1.16 配置RADIUS报文属性

1.16.1 配置RADIUS NAS-Port-ID属性格式

1. 功能简介

不同厂商的RADIUS服务器对RADIUS报文中的NAS-Port-ID属性格式要求不同，可修改设备发送的RADIUS报文中填充的NAS-Port-ID属性的格式。设备支持四种属性格式，分别为format 1和format 2、format 3和format 4，这四种属性格式具体要求请参见“安全命令参考”中的“Portal”。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置NAS-Port-ID属性的格式。

portal nas-port-id format { 1 | 2 | 3 | 4 }

缺省情况下，NAS-Port-ID属性的格式为format 2。

1.16.2 配置接口的NAS-ID Profile

1. 功能简介

用户的接入VLAN可标识用户的接入位置，而在某些应用环境中，网络运营商需要使用接入设备发送给RADIUS服务器的NAS-Identifier属性值来标识用户的接入位置，因此接入设备上需要建立用户接入VLAN与指定的NAS-ID之间的绑定关系。当接口上有Portal用户上线时，若该接口上指定了NAS-ID Profile，则接入设备会根据指定的Profile名称和用户接入的VLAN来获取与此VLAN绑定的NAS-ID，此NAS-ID的值将作为向RADIUS服务器发送的RADIUS请求报文中的NAS-Identifier属性值。

2. 配置限制和指导

如果接口上指定了NAS-ID Profile，则此Profile中定义的绑定关系优先使用；如果未指定NAS-ID Profile或指定的Profile中没有找到匹配的绑定关系，则使用设备名作为NAS-ID。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建NAS-ID Profile，并进入NAS-ID-Profile视图。

aaa nas-id profile profile-name

该命令的具体介绍请参见“安全命令参考”中的“AAA”。

(3) 设置NAS-ID与VLAN的绑定关系。

nas-id nas-identifier bind vlan vlan-id

该命令的具体情况请参见“安全命令参考”中的“AAA”。

(4) 指定引用的NAS-ID Profile。

a. 退回系统视图。

quit

b. 进入三层接口视图。

interface interface-type interface-number

c. 指定引用的NAS-ID Profile

portal nas-id-profile profile-name

1.17 配置基于MAC地址的快速认证

1.17.1 配置限制和指导

仅IPv4的直接认证方式支持基于MAC地址的快速认证。

如果在同一个接口上，既应用了基于MAC地址的快速认证，又配置了Portal认证前用户使用的认证域，则请保证用户免认证流量的阈值为0字节，否则会导致基于MAC地址的快速认证功能失效。

1.17.2 配置远程 MAC绑定服务器

1. 功能简介

设备支持配置多个MAC绑定服务器，每个MAC绑定服务器拥有独立的视图，可以用于配置MAC绑定服务器的相关参数，包括服务器的IP地址、服务器的端口号、服务器所在的VPN实例以及设备和服务器间通信的共享密钥等。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建MAC绑定服务器并进入MAC绑定服务器视图。

portal mac-trigger-server server-name

(3) 配置MAC绑定服务器。

¡ 配置MAC绑定服务器的IP地址。

ip ipv4-address [ vpn-instance vpn-instance-name ] [ key { cipher | simple } string ]

缺省情况下，未配置MAC绑定服务器的IP地址。

¡ （可选）配置MAC绑定服务器监听查询报文的UDP端口号。

port port-number

缺省情况下，MAC绑定服务器监听查询报文的UDP端口号是50100。

¡ （可选）配置设备向MAC绑定服务器发起MAC查询的最大次数和时间间隔。

binding-retry { retries | interval interval } *

缺省情况下，设备发起MAC查询的最大次数为3次，发起MAC查询的时间间隔为1秒。

¡ （可选）配置MAC绑定服务器的服务类型。

server-type { cmcc | imc }

缺省情况下，MAC绑定服务器的服务类型为iMC。

(4) （可选）配置用户免认证流量的阈值。

free-traffic threshold value

缺省情况下，用户免认证流量的阈值为0字节。

(5) （可选）配置设备发送的RADIUS请求报文中的NAS-Port-Type属性值。

nas-port-type value

缺省情况下，设备发送的RADIUS请求报文中的NAS-Port-Type属性值为15。

(6) （可选）配置Portal协议报文的版本号。

version version-number

缺省情况下，Portal协议报文的版本号为1。

(7) （可选）配置设备收到MAC绑定服务器的查询响应消息后，等待Portal认证完成的超时时间。

authentication-timeout minutes

缺省情况下，设备收到MAC绑定服务器查询回复消息后，等待Portal认证完成的超时时间为3分钟。

(8) （可选）配置MAC-trigger表项老化时间。

aging-time seconds

缺省情况下，MAC-trigger表项老化时间为300秒。

(9) （可选）配置若用户在基于MAC地址的快速认证过程中AAA认证失败，则设备直接发起Portal认证。

aaa-fail nobinding enable

缺省情况下，若用户在基于MAC地址的快速认证过程中AAA认证失败，则用户报文将触发基于MAC地址的快速认证流程。

1.17.3 配置本地MAC绑定服务器

1. 功能简介

当配置本地MAC-trigger认证时，MAC绑定服务器就是接入设备本身且用户必须进行本地Portal认证。设备支持配置多个MAC绑定服务器，每个MAC绑定服务器拥有独立的视图，可以用于配置MAC绑定服务器的相关参数。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建MAC绑定服务器并进入MAC绑定服务器视图。

portal mac-trigger-server server-name

缺省情况下，不存在MAC绑定服务器。

(3) 开启Portal本地MAC-trigger认证功能。

local-binding enable

缺省情况下，Portal本地MAC-trigger认证功能处于关闭状态。

(4) （可选）配置用户免认证流量的阈值。

free-traffic threshold value

缺省情况下，用户免认证流量的阈值为0字节。

(5) （可选）配置本地MAC-trigger绑定表项的老化时间。

local-binding aging-time minutes

缺省情况下，本地MAC-trigger绑定表项的老化时间为720分钟。

(6) （可选）配置MAC-trigger表项老化时间。

aging-time seconds

缺省情况下，MAC-trigger表项老化时间为300秒。

(7) （可选）配置用户开启基于MAC地址的快速认证且AAA认证失败后，设备直接发起正常的Portal认证。

aaa-fail nobinding enable

缺省情况下，用户开启基于MAC地址的快速认证且AAA认证失败后，用户报文将触发正常的基于MAC地址的快速认证流程。

1.17.4 在接口上应用MAC绑定服务器

1. 功能简介

在接口上应用MAC绑定服务器，可以为通过该接口接入网络的用户提供基于MAC地址的快速认证服务。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 在接口上应用MAC绑定服务器。

portal apply mac-trigger-server server-name

缺省情况下，未应用MAC绑定服务器。

1.17.5 配置云端MAC-trigger认证

1. 功能简介

当进行云端MAC-trigger认证时，需要开启Portal云端MAC-trigger认证功能。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入MAC绑定服务器视图。

portal mac-trigger-server server-name

(3) 开启Portal云端MAC-trigger认证功能。

cloud-binding enable

缺省情况下，Portal云端MAC-trigger认证功能处于关闭状态。

(4) 指定云端Portal认证服务器URL。

cloud-server url url-string

缺省情况下，未指定云端Portal认证服务器URL，设备采用Portal Web服务器下配置的URL。

1.18 配置Portal用户流量备份阈值

1. 功能简介

缺省情况下，流量备份的阈值为10M字节，即用户流量达到10M字节时设备会对该Portal用户的会话数据以及流量等信息进行备份。流量备份的阈值越小备份越频繁，流量备份越精确。当设备上有大量Portal用户在线时，对Portal用户信息进行频繁备份会影响到用户的上下线以及计费等流程的处理性能。因此，需综合考虑对各业务的处理性能和流量备份的精确度合理配置流量备份阈值。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置Portal用户流量备份阈值。

portal traffic-backup threshold value

缺省情况下，Portal用户流量备份阈值为10兆字节。

1.19 关闭Portal客户端Rule ARP/ND表项生成功能

1. 功能简介

Portal客户端的Rule ARP/ND表项生成功能处于开启状态时，Portal客户端上线后，其ARP/ND表项为Rule表项，在Portal客户端下线后会被立即删除，导致Portal客户端在短时间内再上线时会因ARP/ND表项还未学习到而认证失败。此情况下，需要关闭本功能，使得Portal客户端上线后其ARP/ND表项仍为动态表项，在Portal客户端下线后按老化时间正常老化。

2. 配置限制和指导

此功能的开启和关闭不影响已经在线的Portal客户端的ARP/ND表项类型。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 关闭Portal客户端Rule ARP/ND表项生成功能。

undo portal refresh { arp | nd } enable

缺省情况下，Portal客户端Rule ARP表项、ND表项生成功能处于关闭状态。

1.20 关闭Portal用户流量计费功能

1. 功能简介

在计费服务器上，可根据不同的应用场景对用户采用不同的计费方式，包括时长计费、流量计费或者不计费。当计费服务器采用时长计费或不计费时，需要关闭设备上的流量计费功能，此时设备对用户流量不做精确统计。当计费服务器采用流量计费的方式时，需要设备上开启流量计费功能，从而精确统计用户实际使用的流量。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 关闭Portal用户流量计费功能。

portal traffic-accounting disable

缺省情况下，Portal用户流量计费功能处于开启状态。

1.21 配置Web重定向功能

1.21.1 功能简介

接口上配置了Web重定向功能后，当该接口上接入的用户初次通过Web页面访问外网时，设备会将用户的初始访问页面重定向到指定的URL页面，之后用户才可以正常访问外网。经过一定时长（interval）后，设备又可以将用户要访问的网页或者正在访问的网页重定向到指定的URL页面。Web重定向功能是一种简化的Portal功能，它不需要用户通过Web访问外部网络之前提供用户名和密码，可通过对用户访问的网页定期重定向的方式为网络服务提供商的业务拓展提供方便，例如可以在重定向的页面上开展广告、信息发布等业务。

1.21.2 在接口上配置Web重定向功能

1. 配置限制和指导

配置Web重定向功能，请遵循以下配置原则：

· Web重定向功能仅对使用默认端口号80的HTTP协议报文生效。

· Web重定向功能指定的URL地址或用户访问的地址为本设备地址时，本设备必须保证HTTP服务处于开启状态。

· 如果接口下同时开启了Portal认证、Web重定向：

¡ 设备会将该用户初始访问的HTTP请求重定向到Web重定向指定的URL页面，之后，用户首次访问外网的HTTP请求会被重定向到Portal Web服务器触发Portal认证。Portal用户下线后，用户初始访问的HTTP请求还会被重定向到Web重定向指定的URL。

¡ 当Web重定向周期达到指定的时长（interval）后，无论Portal用户是否在线，设备都会把任何的HTTP请求重定向到Web重定向指定的URL页面，且此过程不会导致在线Portal用户下线。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 配置Web重定向功能。

web-redirect [ ipv6 ] url url-string [ interval interval ]

缺省情况下，Web重定功能处于关闭状态。

1.22 配置Portal安全重定向功能

1. 功能简介

Portal安全重定向功能是根据HTTP报文的请求方法、产生HTTP报文的浏览器类型和访问网络的目的URL这些特征，有针对性的将一些HTTP请求报文丢弃，不再重定向到Portal Web服务器，从而有效的减轻了Portal Web服务器的负担，降低因大量HTTP请求造成的Portal服务器资源耗尽无法响应正常认证请求的风险。

表1-2 常见浏览器类型及描述

浏览器类型	描述
Safari	苹果浏览器
Chrome	谷歌浏览器
Firefox	火狐浏览器
UC	UC浏览器
QQBrowser	QQ浏览器
LBBROWSER	猎豹浏览器
TaoBrowser	淘宝浏览器
Maxthon	傲游浏览器
BIDUBrowser	百度浏览器
MSIE 10.0	微软IE 10.0浏览器
MSIE 9.0	微软IE 9.0浏览器
MSIE 8.0	微软IE 8.0浏览器
MSIE 7.0	微软IE 7.0浏览器
MSIE 6.0	微软IE 6.0浏览器
MetaSr	搜狗浏览器

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启Portal安全重定向功能。

portal safe-redirect enable

缺省情况下，Portal安全重定向功能处于关闭状态。

(3) （可选）配置Portal安全重定向允许的HTTP协议的请求方法。

portal safe-redirect method { get | post }

缺省情况下，未配置HTTP协议的请求方法。

Portal安全重定向功能开启后，HTTP协议的请求方法缺省为GET。

(4) （可选）匹配Portal安全重定向允许的HTTP User Agent中的浏览器类型。

portal safe-redirect user-agent user-agent-string

缺省情况下，未配置匹配Portal安全重定向允许的HTTP User Agent中的浏览器类型。

Portal安全重定向功能开启后，默认与表1-2中的所有浏览器类型匹配的HTTP报文都能被Portal重定向。

(5) （可选）配置Portal安全重定向禁止的URL地址。

portal safe-redirect forbidden-url user-url-string

Portal可以对任意URL地址的HTTP请求报文进行重定向。

(6) （可选）配置Portal安全重定向禁止URL携带指定扩展名的文件。

portal safe-redirect forbidden-file filename-extension

缺省情况下，Portal安全重定向允许URL携带任意扩展名的文件。

(7) （可选）配置Portal安全重定向URL地址匹配的缺省动作。

portal safe-redirect default-action { forbidden ｜ permit }

缺省情况下，未配置Portal安全重定向URL地址匹配的缺省动作。

(8) 配置Portal安全重定向允许的URL地址。

portal safe-redirect permit-url user-url-string

缺省情况下，设备允许对任意URL地址进行Portal安全重定向。

1.23 配置单用户Portal重定向的最大会话数

1. 功能简介

当用户客户端装了恶意软件或遭到病毒攻击时，会发起大量Portal重定向会话。本特性用来同时配置设备上单个Portal用户的HTTP和HTTPS重定向的最大会话数，即单个Portal用户的HTTP重定向的最大会话数和HTTPS重定向会话数均为设置值，Portal重定向的总最大会话数为二者之和。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置单用户Portal重定向的最大会话数。

portal redirect max-session per-user number

缺省情况下，未配置单用户Portal重定向的最大会话数。

1.24 配置Portal协议报文中不携带的属性字段

1. 功能简介

由于不同的Portal认证服务器对Portal协议报文中的属性字段支持情况不同，如果设备发送给Portal认证服务器的Portal协议报文中携带了服务器不支持的属性字段，会导致设备和Portal认证服务器不能通信。

通过配置本特性，可以指定设备发送的Portal协议报文中不携带Portal认证服务器不支持的属性字段，从而避免因设备和Portal认证服务器不通导致Portal认证失败。

2. 在Portal认证服务器视图下配置Portal协议报文中不携带的属性字段

(1) 进入系统视图。

system-view

(2) 进入Portal认证服务器视图。

portal server server-name

(3) 配置Portal协议报文中不携带的属性字段。

exclude-attribute number { ack-auth | ntf-logout | ack-logout }

缺省情况下，未配置Portal协议报文中不携带的属性字段。

3. 在MAC绑定服务器视图下配置Portal协议报文中不携带的属性字段

(1) 进入系统视图。

system-view

(2) 进入MAC绑定服务器视图。

portal mac-trigger-server server-name

(3) 配置Portal协议报文中不携带的属性字段。

exclude-attribute attribute-number

缺省情况下，未配置Portal协议报文中不携带的属性字段。

1.25 配置Portal第三方认证功能

1.25.1 功能简介

通常Portal认证需要用户自己搭建Portal认证服务器和Portal Web服务器，并需要创建专门用于Portal认证的用户名和密码，增加了用户的管理和维护成本。随着第三方账号的普及，设备支持配置QQ、微信、Facebook或者邮箱服务器作为第三方Portal认证服务器，完成Portal认证的功能。

在使用第三方认证时，网络管理员需要在Portal Web页面上增加第三方认证按钮，终端用户点击按钮后可直接跳转到第三方认证页面，使用已有的第三方账号来进行Portal认证。

1.25.2 配置限制和指导

仅当设备配置本地Portal Web服务功能，且使用直接认证方式时，才支持配置Portal第三方认证功能。

1.25.3 第三方认证按钮和认证登录页面编辑规范

1. 配置限制和指导

微信认证不需要编辑第三方认证按钮和认证登录页面。

2. 第三方认证按钮编辑规范

配置Portal第三方认证功能需要在Portal Web认证页面上添加第三方认证按钮，通过点击第三方认证按钮跳转到第三方认证页面上。第三方认证按钮包括QQ认证按钮、邮箱认证按钮和Facebook认证按钮。

· 在编辑QQ认证按钮时，必须调用pt_getQQSubmitUrl()函数获取QQ认证页面地址。

脚本内容的部分示例：

<html>

<head>

<title>Logon</title>

function setQQUrl(){

document.getElementById("qqurl").href = pt_getQQSubmitUrl();

}

</script>

</head>

<body>

... ...

... ...

</body>

</html>

· 邮箱认证按钮和Facebook认证按钮无特殊要求，按正常编辑方法编辑即可。

3. 第三方认证登录页面编辑规范

在Portal Web认证页面上点击第三方认证按钮会跳转到第三方认证页面上，QQ认证登录页面由腾讯提供，邮箱认证登录页面需要用户自己编辑。在编辑邮箱认证登录页面时除需遵守1.7.3 自定义认证页面文件的相关规范外，还有以下要求：

· 邮箱认证登录页面Form的action=maillogin.html，否则无法将用户信息送到本地进行邮箱认证。

· 邮箱认证登录页面的文件名称为emailLogon.htm。

emailLogon.htm页面脚本内容的部分示例：

<p>Password :<input type="password" name = "PtPwd" style="width:160px;height:22px" maxlength=32>

</form>

1.25.4 配置QQ认证功能

1. 功能简介

当终端用户通过QQ认证后，QQ认证服务器会发送授权码给Portal Web服务器，Portal Web服务器会将获得的授权码、app-id以及app-key发送到QQ认证服务器进行再次验证，以获知终端用户是否已通过QQ认证。

2. 配置准备

在使用QQ认证功能前，网络管理员必须先到QQ互联平台http://connect.qq.com/intro/login进行网站接入申请，申请时需要使用合法的QQ号和QQ认证成功之后终端用户访问的页面地址（通过redirect-url命令配置）。申请验证通过后网络管理员可从QQ互联平台获得app-id和app-key。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建QQ认证服务器，并进入QQ认证服务器视图。

portal extend-auth-server qq

(3) （可选）配置QQ认证服务器的地址。

auth-url url-string

缺省情况下，QQ认证服务器的地址为https://graph.qq.com。

(4) （可选）配置QQ认证成功之后的重定向地址。

redirect-url url-string

缺省情况下，QQ认证成功之后的重定向地址为http://lvzhou.h3c.com/portal/qqlogin.html。

(5) （可选）配置QQ认证服务时用户的唯一标识。

app-id app-id

缺省情况下，QQ认证存在一个预定义的唯一标识。

(6) （可选）配置app-id对应的密钥。

app-key app-key

缺省情况下，QQ认证存在一个预定义的密钥。

1.25.5 配置邮箱认证功能

1. 功能简介

在进行邮箱认证功能时，终端用户直接在认证页面输入邮箱账号和密码，若邮箱服务器验证通过，即可访问相关资源。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建邮箱认证服务器，并进入邮箱认证服务器视图。

portal extend-auth-server mail

(3) 配置邮箱认证服务支持的协议类型。

mail-protocol { imap | pop3 } *

缺省情况下，未配置邮箱认证服务支持的协议类型。

(4) 配置邮箱认证服务支持的邮箱类型。

mail-domain-name string

缺省情况下，未配置邮箱认证服务支持的邮箱类型。

1.25.6 配置微信认证功能

1. 功能简介

Portal本地微信认证强制关注功能用来强制终端用户在进行Portal本地微信认证时关注商家微信公众号，如果终端用户未关注商家的微信公众号，则无法进行Portal本地微信认证。

对Portal用户应用本地微信认证强制关注功能时，设备需要将配置的app-id、app-secret发送到微信公众平台获取access-token。当设备收到用户的Portal认证请求时，会用获取的access-token和认证请求中的openId向微信服务器发送请求来获取用户信息，设备通过微信服务器返回的用户信息来判断用户是否关注微信公众号。

2. 配置准备

终端用户采用本地微信认证服务时，设备需要将配置的app-id、app-key、shop-id发送到微信公众平台进行验证，验证通过后才能继续进行Portal认证。网络管理员必须先登录微信公众平台（https://mp.weixin.qq.com）申请一个微信公众号（如果已有微信公众号可直接使用）。进入微信公众号，在左侧功能栏下单击<添加功能插件>按钮进入插件库，选择“微信连Wi-Fi”插件。然后单击<开通>按钮，开通此插件。单击<查看功能>按钮，然后选择“设备管理”页签，单击<添加设备>按钮，选择所属的门店、设备类型（Portal型）、设备设置（SSID），完成后即可获得app-id、app-key和shop-id。

网络管理员必须先登录微信公众平台（https://mp.weixin.qq.com）申请一个微信公众号（如果已有微信公众号可直接使用）。进入微信公众号，在左侧导航栏下“微信公众平台->开发->基本配置”页获得app-secret。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建微信认证服务器，并进入微信认证服务器视图。

portal extend-auth-server wechat

(3) （可选）配置微信认证服务时用户的唯一标识。

app-id app-id

缺省情况下，微信认证不存在用户的唯一标识。

(4) （可选）配置app-id对应的密钥。

app-key app-key

缺省情况下，微信认证不存在预定义密钥。

(5) （可选）配置微信认证服务时设备所在门店的唯一标识。

shop-id shop-id

缺省情况下，未配置设备所在门店的唯一标识。

(6) （可选）配置Portal本地微信认证强制关注功能。

a. 开启Portal本地微信认证强制关注功能。

subscribe-required enable

缺省情况下，Portal本地微信认证强制关注功能处于关闭状态。

本功能必须与开启Portal临时放行功能配合使用，并建议将临时放行时间配置为600秒。

b. 配置微信认证服务使用的APP密码。

app-secret { cipher | simple } string

缺省情况下，未配置微信认证服务使用的APP密码。

1.25.7 配置Facebook认证功能

1. 配置准备

在使用Facebook认证功能前，网络管理员必须先到Facebook官网进行注册，注册成功后会获得app-id和app-key。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建Facebook认证服务器，并进入Facebook认证服务器视图。

portal extend-auth-server facebook

(3) （可选）配置Facebook认证服务器的地址。

auth-url url-string

缺省情况下，Facebook认证服务器的地址为https://graph.facebook.com。

(4) （可选）配置Facebook认证成功之后的重定向地址。

redirect-url url-string

缺省情况下，Facebook认证成功之后的重定向地址为http://oauthindev.h3c.com/portal/fblogin.html。

(5) （可选）配置Facebook认证服务时用户的唯一标识。

app-id app-id

缺省情况下，未配置Facebook认证服务时用户的唯一标识。

(6) （可选）配置app-id对应的密钥。

app-key app-key

缺省情况下，未配置app-id对应的密钥。

1.25.8 配置第三方认证用户使用的认证域

1. 功能简介

在接口上配置第三方认证用户使用的认证域，所有从该接口接入的第三方认证用户强制使用该认证域进行Portal认证。

2. 配置限制和指导

配置第三方认证用户使用的认证域后，请确保该域的AAA认证、授权、计费方法为none。

3. 在接口上配置第三方认证用户使用的认证域

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 配置第三方认证用户使用的认证域。

portal extend-auth domain domain-name

缺省情况下，未配置第三方认证用户使用的认证域。

1.25.9 开启Portal临时放行功能

1. 功能简介

当用户采用微信账号进行Portal认证时，需要通过Internet访问微信服务器，以便与接入设备进行信息交换。

一般情况下，用户未通过Portal认证时不允许访问Internet。配置本功能后，接入设备可以在一定时间内临时放行使用微信账号的用户访问Internet的流量。

2. 在接口上开启Portal临时放行功能

(1) 进入系统视图。

system-view

(2) 进入三层接口视图。

interface interface-type interface-number

(3) 开启Portal临时放行功能并设置临时放行时间。

portal temp-pass [ period period-value ] enable

缺省情况下，Portal临时放行功能处于关闭状态。

(4) 配置Portal临时放行功能的匹配规则。

a. 退回系统视图。

quit

b. 进入Portal Web服务器视图。

portal web-server server-name

c. 配置Portal临时放行功能的匹配规则

if-match { original-url url-string | user-agent user-agent } * temp-pass [ redirect-url url-string | original ]

缺省情况下，未配置Portal临时放行功能的匹配规则。

1.26 配置Portal OAuth认证同步用户信息的时间间隔

1. 功能简介

Portal采用OAuth协议进行认证时，认证服务器需要设备周期上报用户信息。本功能用来配置用户信息由设备向服务器同步的时间间隔。如果时间间隔配置为0，则表示关闭Portal OAuth认证用户同步功能。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置当Portal用户采用OAuth认证时用户信息同步的时间间隔。

portal oauth user-sync interval interval

缺省情况下，Portal OAuth认证用户信息同步的时间间隔为60秒。

1.27 配置Portal认证信息上报云端的时间间隔

1. 功能简介

配置本功能后，设备会将Portal认证失败和认证错误信息上报给云端。

首次上报Portal认证失败和认证错误信息是在设备与云端建立连接之后的30秒时发生，之后将按照本功能配置的间隔定期上报Portal认证失败和认证错误信息。修改上报时间间隔将在下一个上报周期生效。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置Portal认证信息上报云端的时间间隔。

portal cloud report interval minutes

缺省情况下，Portal认证信息上报云端的时间间隔为30分钟。

1.28 开启 Portal日志功能

1. 功能简介

为了满足网络管理员安全审计的需要，可以开启Portal日志功能，以便对Portal认证信息进行记录。

设备生成的Portal日志信息会交给信息中心模块处理，信息中心模块的配置将决定日志信息的发送规则和发送方向。关于信息中心的详细描述请参见“网络管理和监控配置指导”中的“信息中心”。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启Portal用户上/下线日志功能。

portal user log enable

缺省情况下，Portal用户上/下线日志功能处于关闭状态。

(3) 开启Portal协议报文的日志功能。

portal packet log enable

缺省情况下，Portal协议报文的日志功能处于关闭状态。

(4) 开启Portal重定向日志功能。

portal redirect log enable

缺省情况下，Portal重定向日志功能处于关闭状态。

1.29 配置Portal认证监控功能

1. 功能简介

Portal认证监控功能主要是对Portal认证过程中的下线、认证失败和异常等信息进行记录，以便在Portal认证出现故障时快速定位。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启Portal用户下线信息记录功能。

portal logout-record enable

缺省情况下，Portal用户下线信息记录功能处于开启状态。

(3) 配置设备保存Portal用户下线记录的最大条数。

portal logout-record max number

缺省情况下，设备保存Portal用户下线记录的最大条数请参考命令手册。

(4) 导出Portal用户下线记录。

portal logout-record export url url-string [ start-time start-date start-time end-time end-date end-time ]

(5) 开启Portal认证失败信息记录功能。

portal auth-fail-record enable

缺省情况下，Portal认证失败信息记录功能处于开启状态。

(6) 配置设备保存Portal认证失败记录的最大条数。

portal auth-fail-record max number

缺省情况下，设备保存Portal认证失败记录的最大条数请参考命令手册。

(7) 导出Portal认证失败记录。

portal auth-fail-record export url url-string [ start-time start-date start-time end-time end-date end-time ]

(8) 开启Portal认证异常信息记录功能。

portal auth-error-record enable

缺省情况下，Portal认证异常信息记录功能处于开启状态。

(9) 配置设备保存Portal认证异常记录的最大条数。

portal auth-error-record max number

缺省情况下，设备保存Portal认证异常记录的最大条数请参考命令手册。

(10) 导出Portal认证异常记录。

portal auth-error-record export url url-string [ start-time start-date start-time end-time end-date end-time ]

1.30 Portal显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后Portal的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除Portal统计信息。

表1-3 Portal显示和维护

操作	命令
显示Portal的配置信息和Portal的运行状态信息	display portal interface interface-type interface-number
显示用户Portal认证异常记录	display portal auth-error-record { all \| ipv4 ipv4-address \| ipv6 ipv6-address \| start-time start-date start-time end-time end-date end-time }
显示用户Portal认证失败记录	display portal auth-fail-record { all \| ipv4 ipv4-address \| ipv6 ipv6-address \| start-time start-date start-time end-time end-date end-time \| username username }
显示Portal被动Web认证功能的报文统计信息	（独立运行模式） display portal captive-bypass statistics [ slot slot-number [ cpu cpu-number ] ] （IRF模式） display portal captive-bypass statistics [ chassis chassis-number slot slot-number [ cpu cpu-number ] ]
显示基于目的的Portal免认证规则中的主机名对应的IP地址	display portal dns free-rule-host [ host-name ]
显示第三方认证服务器信息	display portal extend-auth-server { all \| facebook \| mail \| qq \| wechat }
显示本地MAC-trigger绑定表项信息	display portal local-binding mac-address { all \| mac-address }
显示Portal用户的下线记录	display portal logout-record { all \| ipv4 ipv4-address \| ipv6 ipv6-address \| start-time start-date start-time end-time end-date end-time \| username username }
显示基于MAC地址的快速认证的用户信息	display portal mac-trigger user { all \| ip ipv4-address \| mac mac-address }
显示MAC绑定服务器信息	display portal mac-trigger-server { all \| name server-name }
显示Portal认证服务器的报文统计信息	display portal packet statistics [ extend-auth-server { cloud \| facebook \| mail \| qq \| wechat } \| mac-trigger-server server-name \| server server-name ]
显示Portal过滤规则的统计信息	display portal permit-rule statistics
显示Portal重定向的会话信息	（独立运行模式） display portal redirect { statistics \| session [ ip ipv4-address \| ipv6 ipv6-address ] } [ slot slot-number [ cpu cpu-number ] ] （IRF模式） display portal redirect { statistics \| session [ ip ipv4-address \| ipv6 ipv6-address ] } [ chassis chassis-number slot slot-number [ cpu cpu-number ] ]
显示Portal重定向报文统计信息	（独立运行模式） display portal redirect statistics [ slot slot-number [ cpu cpu-number ] ] （IRF模式） display portal redirect statistics [ chassis chassis-number slot slot-number [ cpu cpu-number ] ]
显示用于报文匹配的Portal过滤规则信息	（独立运行模式） display portal rule { all \| dynamic \| static } { interface interface-type interface-number [ slot slot-number [ cpu cpu-number ] ] } （IRF模式） display portal rule { all \| dynamic \| static } { interface interface-type interface-number [ chassis chassis-number slot slot-number [ cpu cpu-number ] ] }
显示Portal安全重定向功能的报文统计信息	（独立运行模式） display portal safe-redirect statistics [ slot slot-number [ cpu cpu-number ] ] （IRF模式） display portal safe-redirect statistics [ chassis chassis-number slot slot-number [ cpu cpu-number ] ]
显示Portal认证服务器信息	display portal server [ server-name ]
显示Portal用户的信息	display portal user { all \| auth-type { cloud \| email \| facebook \| local \| mac-trigger \| normal \| qq \| wechat } \| interface interface-type interface-number \| ip ip-address \| ipv6 ipv6-address \| mac mac-address \| pre-auth [ interface interface-type interface-number \| ip ip-address \| ipv6 ipv6-address ] \| username username } [ brief \| verbose ]
显示Portal用户数量	display portal user count
显示Portal认证失败后当前阻塞用户的信息	display portal user-block [ ip ipv4-address \| ipv6 ipv6-address \| mac mac-address \| username username ]
显示Portal Web服务器信息	display portal web-server [ server-name ]
显示Web重定向过滤规则信息	（独立运行模式） display web-redirect rule interface interface-type interface-number [ slot slot-number ] （IRF模式） display web-redirect rule interface interface-type interface-number [ chassis chassis-number slot slot-number ]
清除Portal认证异常记录。	reset portal auth-error-record { all \| ipv4 ipv4-address \| ipv6 ipv6-address \| start-time start-date start-time end-time end-date end-time }
清除Portal认证失败记录	reset portal auth-fail-record { all \| ipv4 ipv4-address \| ipv6 ipv6-address \| start-time start-date start-time end-time end-date end-time \| username username }
清除Portal被动Web认证功能的报文统计信息	（独立运行模式） reset portal captive-bypass statistics [ slot slot-number [ cpu cpu-number ] ] （IRF模式） reset portal captive-bypass statistics [ chassis chassis-number slot slot-number [ cpu cpu-number ] ]
清除本地MAC-Trigger绑定表项信息	reset portal local-binding mac-address { mac-address \| all }
清除用户下线记录	reset portal logout-record { all \| ipv4 ipv4-address \| ipv6 ipv6-address \| start-time start-date start-time end-time end-date end-time \| username username }
清除Portal认证服务器的报文统计信息	reset portal packet statistics [ extend-auth-server { cloud \| facebook \| mail \| qq \| wechat } \| mac-trigger-server server-name \| server server-name ]
清除Portal重定向报文统计信息	（独立运行模式） reset portal redirect statistics [ slot slot-number [ cpu cpu-number ] ] （IRF模式） reset portal redirect statistics [ chassis chassis-number slot slot-number [ cpu cpu-number ] ]
清除Portal安全重定向功能的报文统计信息	（独立运行模式） reset portal safe-redirect statistics [ slot slot-number [ cpu cpu-number ] ] （IRF模式） reset portal safe-redirect statistics [ chassis chassis-number slot slot-number [ cpu cpu-number ] ]

1.31 Portal典型配置举例

1.31.1 Portal直接认证配置举例

1. 组网需求

· 用户主机与接入设备Device直接相连，采用直接方式的Portal认证。用户通过手工配置或DHCP获取的一个公网IP地址进行认证，在通过Portal认证前，只能访问Portal Web服务器；在通过Portal认证后，可以使用此IP地址访问非受限的互联网资源。

· 采用一台iMC服务器同时承担Portal认证服务器和Portal Web服务器的职责。iMC版本为：iMC PLAT 7.1(E0303)、iMC EIA 7.1(E0304)。

· 采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-6 Portal直接认证配置组网图

‌

3. 配置RADIUS服务器

完成RADIUS服务器上的配置，保证用户的认证/计费功能正常运行，具体配置步骤略。

4. 配置Portal服务器

(1) 配置Portal认证服务器。

登录进入iMC管理平台，选择“用户”页签，单击导航树中的“接入策略管理> Portal服务管理 > 服务器配置”菜单项，进入服务器配置页面。

¡ 根据实际组网情况调整以下参数，本例中使用缺省配置。

图1-7 Portal认证服务器配置页面

(2) 配置IP地址组。

选择“用户”页签，单击导航树中的“接入策略管理> Portal服务管理 > IP地址组配置”菜单项，进入IP地址组配置页面。在该页面中单击<增加>按钮，进入增加IP地址组页面。

a. 输入IP地址组名；

b. 输入起始地址和终止地址。用户主机IP地址必须包含在该IP地址组范围内；

c. 选择业务分组，本例中使用缺省的“未分组”；

d. 选择IP地址组的类型为“普通”。

e. 单击<确定>按钮完成操作。

图1-8 增加IP地址组页面

(3) 增加Portal设备。

选择“用户”页签，单击导航树中的“接入策略管理> Portal服务管理 > 设备配置”菜单项，进入设备配置页面，在该页面中单击<增加>按钮，进入增加设备信息页面。

a. 输入设备名；

b. 指定IP地址为与接入用户相连的设备接口IP；

c. 选择支持逃生心跳为“否”。

d. 选择支持用户心跳为“否”。

e. 输入密钥，与接入设备Device上的配置保持一致；

f. 选择组网方式为“直连”；

g. 其它参数采用缺省值；

h. 单击<确定>按钮完成操作。

图1-9 增加设备信息页面

(4) 设备关联IP地址组

在设备配置页面中的设备信息列表中，点击NAS设备的<端口组信息管理>链接，进入端口组信息配置页面。

图1-10 设备信息列表

在端口组信息配置页面中点击<增加>按钮，进入增加端口组信息页面。

a. 输入端口组名；

b. 选择IP地址组，用户接入网络时使用的IP地址必须属于所选的IP地址组；

c. 其它参数采用缺省值；

d. 单击<确定>按钮完成操作。

图1-11 增加端口组信息页面

5. 配置Device

(1) 配置接口IP地址。

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2) 配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/1

[Device-security-zone-DMZ] quit

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/2

[Device-security-zone-Trust] quit

(3) 配置安全策略

a. 配置安全策略放行Trust到DMZ安全域的流量。

# 配置名称为trust-dmz的安全策规则，用于主机Host可以访问Portal服务器，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-1-trust-dmz] source-zone trust

[Device-security-policy-ip-1-trust-dmz] destination-zone dmz

[Device-security-policy-ip-1-trust-dmz] source-ip-host 2.2.2.2

[Device-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.111

[Device-security-policy-ip-1-trust-dmz] action pass

[Device-security-policy-ip-1-trust-dmz] quit

b. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device与RADIUS服务器及Portal服务器之间的报文交互。

# 配置名称为portallocalout的安全策规则，使Device可以向RADIUS服务器及Portal发送报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout

[Device-security-policy-ip-2-portallocalout] source-zone local

[Device-security-policy-ip-2-portallocalout] destination-zone dmz

[Device-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.111

[Device-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.112

[Device-security-policy-ip-2-portallocalout] action pass

[Device-security-policy-ip-2-portallocalout] quit

# 配置名称为portallocalin的安全策略规则，使Device可以接收和处理来自RADIUS服务器及Portal服务器的报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalin

[Device-security-policy-ip-3-portallocalin] source-zone dmz

[Device-security-policy-ip-3-portallocalin] destination-zone local

[Device-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.111

[Device-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.112

[Device-security-policy-ip-3-portallocalin] action pass

[Device-security-policy-ip-3-portallocalin] quit

[Device-security-policy-ip] quit

(4) 配置RADIUS方案

# 创建名称为rs1的RADIUS方案，配置发送给RADIUS服务器的用户名不携带ISP域名并开启RADIUS session control功能。

[Device] radius scheme rs1

[Device-radius-rs1] primary authentication 192.168.0.112

[Device-radius-rs1] primary accounting 192.168.0.112

[Device-radius-rs1] key authentication simple radius

[Device-radius-rs1] key accounting simple radius

[Device-radius-rs1] user-name-format without-domain

[Device-radius-rs1] quit

[Device] radius session-control enable

(5) 配置认证域

# 创建名称为dm1的ISP域，配置dm1域使用的RADIUS方案为rs1，系统缺省ISP域为dm1。

[Device] domain dm1

[Device-isp-dm1] authentication portal radius-scheme rs1

[Device-isp-dm1] authorization portal radius-scheme rs1

[Device-isp-dm1] accounting portal radius-scheme rs1

[Device-isp-dm1] quit

[Device] domain default enable dm1

(6) 配置Portal认证

# 配置Portal认证服务器newpt，在接口GigabitEthernet1/0/2上开启直接方式的Portal认证，并引用Portal Web服务器newpt。在接口GigabitEthernet1/0/2上设置发送给Portal认证服务器的Portal报文中的BAS-IP属性值。

[Device] portal server newpt

[Device-portal-server-newpt] ip 192.168.0.111 key simple portal

[Device-portal-server-newpt] port 50100

[Device-portal-server-newpt] quit

[Device] portal web-server newpt

[Device-portal-websvr-newpt] url http://192.168.0.111:8080/portal

[Device-portal-websvr-newpt] quit

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] portal enable method direct

[Device–GigabitEthernet1/0/2] portal apply web-server newpt

[Device–GigabitEthernet1/0/2] portal bas-ip 2.2.2.1

[Device–GigabitEthernet1/0/2] quit

6. 验证配置

# 以上配置完成后，通过执行以下显示命令可查看Portal配置是否生效。

[Device] display portal interface gigabitethernet 1/0/2

Portal information of GigabitEthernet1/0/2

NAS-ID profile: Not configured

Authorization : Strict checking

ACL : Disabled

Dual stack : Disabled

Dual traffic-separate: Disabled

IPv4:

Portal status: Enabled

Portal authentication method: Direct

Portal Web server: newpt(active)

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ip: 2.2.2.1

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Mask

Destination authenticate subnet:

IP address Mask

IPv6:

Portal status: Disabled

Portal authentication type: Disabled

Portal Web server: Not configured

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ipv6: Not configured

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Prefix length

Destination authenticate subnet:

IP address Prefix length

# 用户既可以使用H3C的iNode客户端，也可以通过网页方式进行Portal认证。用户在通过认证前，只能访问认证页面http://192.168.0.111:8080/portal，且发起的Web访问均被重定向到该认证页面，在通过认证后，可访问非受限的互联网资源。

# Portal用户认证通过后，可通过执行以下显示命令查看Device上生成的Portal在线用户信息。

[Device] display portal user interface gigabitethernet 1/0/2

Total portal users: 1

Username: abc

Portal server: newpt

State: Online

VPN instance: N/A

MAC IP VLAN Interface

0015-e9a6-7cfe 2.2.2.2 -- GigabitEthernet1/0/2

Authorization information:

DHCP IP pool: N/A

ACL number/name: N/A

Inbound CAR: N/A

Outbound CAR: N/A

1.31.2 Portal二次地址分配认证配置举例

1. 组网需求

· 用户主机与接入设备Device直接相连，采用二次地址分配方式的Portal认证。用户通过DHCP服务器获取IP地址，Portal认证前使用分配的一个私网地址；通过Portal认证后，用户申请到一个公网地址，才可以访问非受限互联网资源。

· 采用一台Portal服务器承担Portal认证服务器和Portal Web服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-12 Portal二次地址分配认证配置组网图

‌

3. 配置步骤

· Portal二次地址分配认证方式应用中，DHCP服务器上需创建公网地址池（20.20.20.0/24）及私网地址池（10.0.0.0/24），具体配置略。

· Portal二次地址分配认证方式应用中，接入设备上需要配置DHCP中继来配合Portal认证，且启动Portal的接口需要配置主IP地址（公网IP）及从IP地址（私网IP）。关于DHCP中继的详细配置请参见“三层技术-IP业务配置指导”中的“DHCP中继”。

· 请保证在Portal认证服务器上添加的Portal设备的IP地址为与用户相连的接口的公网IP地址（20.20.20.1），且与该Portal设备关联的IP地址组中的转换前地址为用户所在的私网网段（10.0.0.0/24）、转换后地址为公网网段（20.20.20.0/24）。

(1) 配置RADIUS服务器和Portal服务器，保证Portal用户的认证/计费功能正常运行，具体配置步骤略。

(2) 配置接口IP地址。

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(3) 配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/1

[Device-security-zone-DMZ] quit

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/2

[Device-security-zone-Trust] quit

(4) 配置安全策略

a. 配置安全策略放行Trust到DMZ安全域的流量。

# 配置名称为trust-dmz的安全策规则，用于主机Host可以访问Portal服务器具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-1-trust-dmz] source-zone trust

[Device-security-policy-ip-1-trust-dmz] destination-zone dmz

[Device-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.111

[Device-security-policy-ip-1-trust-dmz] action pass

[Device-security-policy-ip-1-trust-dmz] quit

b. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device与RADIUS服务器、Portal服务器及DHCP服务器之间的报文交互。

# 配置名称为portallocalout1的安全策规则，使Device可以向RADIUS服务、Portal服务器及DHCP服务器发送报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout1

[Device-security-policy-ip-2-portallocalout1] source-zone local

[Device-security-policy-ip-2-portallocalout1] destination-zone dmz

[Device-security-policy-ip-2-portallocalout1] destination-ip-host 192.168.0.111

[Device-security-policy-ip-2-portallocalout1] destination-ip-host 192.168.0.112

[Device-security-policy-ip-2-portallocalout1] destination-ip-host 192.168.0.113

[Device-security-policy-ip-2-portallocalout1] action pass

[Device-security-policy-ip-2-portallocalout1] quit

# 配置名称为portallocalin1的安全策略规则，使Device可以接收和处理来自RADIUS服务器、Portal服务器及DHCP服务器的报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalin1

[Device-security-policy-ip-3-portallocalin1] source-zone dmz

[Device-security-policy-ip-3-portallocalin1] destination-zone local

[Device-security-policy-ip-3-portallocalin1] source-ip-host 192.168.0.111

[Device-security-policy-ip-3-portallocalin1] source-ip-host 192.168.0.112

[Device-security-policy-ip-3-portallocalin1] source-ip-host 192.168.0.113

[Device-security-policy-ip-3-portallocalin1] action pass

[Device-security-policy-ip-3-portallocalin1] quit

c. 配置安全策略放行Trust与Local安全域之间的流量，用于主机Host可以从设备Device获取IP地址。

# 配置名称为portallocalin2的安全策规则，使用户Host可以向设备Device发送DHCP请求报文，具体配置步骤如下。

[Device-security-policy-ip] rule 4 name portallocalin2

[Device-security-policy-ip-4-portallocalin2] source-zone trust

[Device-security-policy-ip-4-portallocalin2] service dhcp-relay

[Device-security-policy-ip-4-portallocalin2] destination-zone local

[Device-security-policy-ip-4-portallocalin2] action pass

[Device-security-policy-ip-4-portallocalin2] quit

# 配置名称为portallocalout2的安全策略规则，使用户Host可以接收来自DHCP服务器分配的地址，具体配置步骤如下。

[Device-security-policy-ip] rule 5 name portallocalout2

[Device-security-policy-ip-5-portallocalout2] source-zone local

[Device-security-policy-ip-5-portallocalout2] service dhcp-client

[Device-security-policy-ip-5-portallocalout2] destination-zone trust

[Device-security-policy-ip-5-portallocalout2] action pass

[Device-security-policy-ip-5-portallocalout2] quit

[Device-security-policy-ip] quit

(5) 配置RADIUS方案

#创建名称为rs1的RADIUS方案，配置发送给RADIUS服务器的用户名不携带ISP域名并开启RADIUS session control功能。

[Device] radius scheme rs1

[Device-radius-rs1] primary authentication 192.168.0.113

[Device-radius-rs1] primary accounting 192.168.0.113

[Device-radius-rs1] key authentication simple radius

[Device-radius-rs1] key accounting simple radius

[Device-radius-rs1] user-name-format without-domain

[Device-radius-rs1] quit

[Device] radius session-control enable

(6) 配置认证域

# 创建并进入名称为dm1的ISP域，配置dm1的ISP域使用的RADIUS方案为rs1，系统缺省ISP域为dm1。

[Device] domain dm1

[Device-isp-dm1] authentication portal radius-scheme rs1

[Device-isp-dm1] authorization portal radius-scheme rs1

[Device-isp-dm1] accounting portal radius-scheme rs1

[Device-isp-dm1] quit

[Device] domain default enable dm1

(7) 配置DHCP中继和授权ARP，使主机Host能够从DHCP服务器获得IP地址。

[Device] dhcp enable

[Device] dhcp relay client-information record

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] ip address 20.20.20.1 255.255.255.0

[Device–GigabitEthernet1/0/2] ip address 10.0.0.1 255.255.255.0 sub

[Device-GigabitEthernet1/0/2] dhcp select relay

[Device-GigabitEthernet1/0/2] dhcp relay server-address 192.168.0.112

[Device-GigabitEthernet1/0/2] arp authorized enable

[Device-GigabitEthernet1/0/2] quit

(8) 配置Portal认证

# 配置Portal认证服务器及Portal Web服务器，在接口GigabitEthernet1/0/2上开启二次地址方式的Portal认证，并引用Portal web 服务器。设置接口GigabitEthernet1/0/2发送给Portal报文中的BAS-IP属性值。

[Device] portal server newpt

[Device-portal-server-newpt] ip 192.168.0.111 key simple portal

[Device-portal-server-newpt] port 50100

[Device-portal-server-newpt] quit

[Device] portal web-server newpt

[Device-portal-websvr-newpt] url http://192.168.0.111:8080/portal

[Device-portal-websvr-newpt] quit

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] portal enable method redhcp

[Device–GigabitEthernet1/0/2] portal apply web-server newpt

[Device–GigabitEthernet1/0/2] portal bas-ip 20.20.20.1

[Device–GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后，通过执行以下显示命令可查看Portal配置是否生效。

[Device] display portal interface gigabitethernet 1/0/2

Portal information of GigabitEthernet1/0/2

NAS-ID profile: Not configured

Authorization : Strict checking

ACL : Disabled

Dual stack : Disabled

Dual traffic-separate: Disabled

IPv4:

Portal status: Enabled

Portal authentication type: Redhcp

Portal Web server: newpt(active)

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ip: 20.20.20.1

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Mask

Destination authenticate subnet:

IP address Mask

IPv6:

Portal status: Disabled

Portal authentication type: Disabled

Portal Web server: Not configured

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ipv6: Not configured

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Prefix length

Destination authenticate subnet:

IP address Prefix length

# 在采用二次地址分配方式时，请使用H3C的iNode客户端进行Portal认证。通过认证后，可访问非受限的互联网资源。

# Portal用户认证通过后，可通过执行以下显示命令查看Device上生成的Portal在线用户信息。

[Device] display portal user interface gigabitethernet 1/0/2

Total portal users: 1

Username: abc

Portal server: newpt

State: Online

VPN instance: N/A

MAC IP VLAN Interface

0015-e9a6-7cfe 20.20.20.2 -- GigabitEthernet1/0/2

Authorization information:

DHCP IP pool: N/A

ACL number/name: N/A

Inbound CAR: N/A

Outbound CAR: N/A

1.31.3 可跨三层Portal认证配置举例

1. 组网需求

Device A支持Portal认证功能。用户Host通过Device B接入到Device A。

· 配置Device A采用可跨三层Portal认证。用户在未通过Portal认证前，只能访问Portal Web认证服务器；用户通过Portal认证后，可以访问非受限互联网资源。

· 采用一台Portal服务器承担Portal认证服务器和Portal Web服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-13 可跨三层Portal认证配置组网图

‌

3. 配置步骤

请保证在Portal认证服务器上添加的Portal设备的IP地址为与用户相连的接口IP地址（20.20.20.1），且与该Portal设备关联的IP地址组为用户所在网段（8.8.8.0/24）。

(1) 配置RADIUS服务器和Portal服务器，保证Portal用户的认证/计费功能正常运行，具体配置步骤略。

(2) 配置接口IP地址。

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[DeviceA-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(3) 配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[DeviceA] security-zone name dmz

[DeviceA-security-zone-DMZ] import interface gigabitethernet 1/0/1

[DeviceA-security-zone-DMZ] quit

[DeviceA] security-zone name trust

[DeviceA-security-zone-Trust] import interface gigabitethernet 1/0/2

[DeviceA-security-zone-Trust] quit

(4) 配置静态路由。

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由。本举例中设备DeviceA到达用户Host的下一跳为Device B实际使用中请以具体组网情况为准，具体配置步骤如下。

[DeviceA] ip route-static 8.8.8.0 24 20.20.20.2

(5) 配置安全策略

a. 配置安全策略放行Trust到DMZ安全域的流量。

# 配置名称为trust-dmz的安全策规则，用于主机Host可以访问Portal服务器，具体配置步骤如下。

[DeviceA] security-policy ip

[DeviceA-security-policy-ip] rule name trust-dmz

[DeviceA-security-policy-ip-1-trust-dmz] source-zone trust

[DeviceA-security-policy-ip-1-trust-dmz] destination-zone dmz

[DeviceA-security-policy-ip-1-trust-dmz] source-ip-host 8.8.8.2

[DeviceA-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.111

[DeviceA-security-policy-ip-1-trust-dmz] action pass

[DeviceA-security-policy-ip-1-trust-dmz] quit

b. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device A与RADIUS服务器及Portal服务器之间的报文交互。

# 配置名称为portallocalout的安全策规则，使Device A可以向RADIUS服务器及Portal发送报文，具体配置步骤如下。

[DeviceA-security-policy-ip] rule name portallocalout

[DeviceA-security-policy-ip-2-portallocalout] source-zone local

[DeviceA-security-policy-ip-2-portallocalout] destination-zone dmz

[DeviceA-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.111

[DeviceA-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.112

[DeviceA-security-policy-ip-2-portallocalout] action pass

[DeviceA-security-policy-ip-2-portallocalout] quit

# 配置名称为portallocalin的安全策略规则，使Device A可以接收和处理主动来自RADIUS服务器及Portal服务器的报文，具体配置步骤如下。

[DeviceA-security-policy-ip] rule name portallocalin

[DeviceA-security-policy-ip-3-portallocalin] source-zone dmz

[DeviceA-security-policy-ip-3-portallocalin] destination-zone local

[DeviceA-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.111

[DeviceA-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.112

[DeviceA-security-policy-ip-3-portallocalin] action pass

[DeviceA-security-policy-ip-3-portallocalin] quit

[DeviceA-security-policy-ip] quit

(6) 配置RADIUS方案

# 配置RADIUS方案rs1，配置发送给RADIUS服务器的用户名不携带ISP域名并开启RADIUS session control功能。

[DeviceA] radius scheme rs1

[DeviceA-radius-rs1] primary authentication 192.168.0.112

[DeviceA-radius-rs1] primary accounting 192.168.0.112

[DeviceA-radius-rs1] key authentication simple radius

[DeviceA-radius-rs1] key accounting simple radius

[DeviceA-radius-rs1] user-name-format without-domain

[DeviceA-radius-rs1] quit

[Device] radius session-control enable

(7) 配置认证域

# 创建名称为dm1的ISP域，配置dm1的ISP域使用的RADIUS方案为rs1，系统缺省的ISP域为dm1。

[DeviceA] domain dm1

[DeviceA-isp-dm1] authentication portal radius-scheme rs1

[DeviceA-isp-dm1] authorization portal radius-scheme rs1

[DeviceA-isp-dm1] accounting portal radius-scheme rs1

[DeviceA-isp-dm1] quit

[Device] domain default enable dm1

(8) 配置Portal认证

# 配置Portal认证服务器及web服务器，在接口GigabitEthernet1/0/2上开启可跨三层方式的Portal认证，并引用Portal web 服务器，设置接口GigabitEthernet1/0/2发送给Portal报文中的BAS-IP属性值。

[DeviceA] portal server newpt

[DeviceA-portal-server-newpt] ip 192.168.0.111 key simple portal

[DeviceA-portal-server-newpt] port 50100

[DeviceA-portal-server-newpt] quit

[Device] portal web-server newpt

[DeviceA-portal-websvr-newpt] url http://192.168.0.111:8080/portal

[DeviceA-portal-websvr-newpt] quit

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA–GigabitEthernet1/0/2] portal enable method layer3

[DeviceA–GigabitEthernet1/0/2] portal apply web-server newpt

[DeviceA–GigabitEthernet1/0/2] portal bas-ip 20.20.20.1

[DeviceA–GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后，通过执行以下显示命令可查看Portal配置是否生效。

[DeviceA] display portal interface gigabitethernet 1/0/2

Portal information of GigabitEthernet1/0/2

NAS-ID profile: Not configured

Authorization : Strict checking

ACL : Disabled

Dual stack : Disabled

Dual traffic-separate: Disabled

IPv4:

Portal status: Enabled

Portal authentication type: Layer3

Portal Web server: newpt(active)

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ip: 20.20.20.1

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Mask

Destination authenticate subnet:

IP address Mask

IPv6:

Portal status: Disabled

Portal authentication type: Disabled

Portal Web server: Not configured

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ipv6: Not configured

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Prefix length

Destination authenticate subnet:

IP address Prefix length

# Portal用户认证通过后，可通过执行以下显示命令查看Device A上生成的Portal在线用户信息。

[DeviceA] display portal user interface gigabitethernet 1/0/2

Total portal users: 1

Username: abc

Portal server: newpt

State: Online

VPN instance: N/A

MAC IP VLAN Interface

0015-e9a6-7cfe 8.8.8.2 -- GigabitEthernet1/0/2

Authorization information:

DHCP IP pool: N/A

ACL number/name: N/A

Inbound CAR: N/A

Outbound CAR: N/A

1.31.4 Portal直接认证扩展功能配置举例

1. 组网需求

· 用户主机与接入设备Device直接相连，采用直接方式的Portal认证。用户通过手工配置或DHCP获取的一个公网IP地址进行认证，在通过身份认证而没有通过安全认证时可以访问192.168.0.0/24网段；在通过安全认证后，可以使用此IP地址访问非受限互联网资源。

· 采用一台Portal服务器承担Portal认证服务器和Portal Web服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-14 Portal直接认证扩展功能配置组网图

‌

3. 配置步骤

(1) 配置RADIUS服务器和Portal服务器，保证Portal用户的认证/计费功能正常运行，具体配置步骤略。

(2) 配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(3) 配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/1

[Device-security-zone-DMZ] quit

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/2

[Device-security-zone-Trust] quit

(4) 配置安全策略

a. 配置安全策略放行Trust到DMZ安全域的流量。

# 配置名称为trust-dmz的安全策规则，用于主机Host可以访问Portal服务器，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-1-trust-dmz] source-zone trust

[Device-security-policy-ip-1-trust-dmz] destination-zone dmz

[Device-security-policy-ip-1-trust-dmz] source-ip-host 2.2.2.2

[Device-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.111

[Device-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.113

[Device-security-policy-ip-1-trust-dmz] action pass

[Device-security-policy-ip-1-trust-dmz] quit

b. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device与RADIUS服务器、Portal服务器及安全策略服务器之间的报文交互。

# 配置名称为portallocalout的安全策规则，使Device可以向RADIUS服务器、Portal服务器及安全策略服务器发送报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout

[Device-security-policy-ip-2-portallocalout] source-zone local

[Device-security-policy-ip-2-portallocalout] destination-zone dmz

[Device-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.111

[Device-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.112

[Device-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.113

[Device-security-policy-ip-2-portallocalout] action pass

[Device-security-policy-ip-2-portallocalout] quit

# 配置名称为portallocalin的安全策略规则，使Device可以接收和处理主动来自RADIUS服务器、Portal服务器及安全策略服务器的报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalin

[Device-security-policy-ip-3-portallocalin] source-zone dmz

[Device-security-policy-ip-3-portallocalin] destination-zone local

[Device-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.111

[Device-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.112

[Device-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.113

[Device-security-policy-ip-3-portallocalin] action pass

[Device-security-policy-ip-3-portallocalin] quit

[Device-security-policy-ip] quit

(5) 配置RADIUS方案

# 创建名称为rs1的RADIUS方案，配置发送给RADIUS服务器的用户名不携带ISP域。

[Device] radius scheme rs1

[Device-radius-rs1] primary authentication 192.168.0.112

[Device-radius-rs1] primary accounting 192.168.0.112

[Device-radius-rs1] key accounting simple radius

[Device-radius-rs1] key authentication simple radius

[Device-radius-rs1] user-name-format without-domain

(6) 开启RADIUS session control功能，指定session control客户端IP地址及共享密钥。

[Device] radius session-control enable

[Device] radius session-control client ip 192.168.0.113 key simple 12345

(7) 配置认证域

# 创建并进入名称为dm1的ISP域，配置dm1的ISP域使用的RADIUS方案为rs1，系统缺省ISP域为dm1。

[Device] domain dm1

[Device-isp-dm1] authentication portal radius-scheme rs1

[Device-isp-dm1] authorization portal radius-scheme rs1

[Device-isp-dm1] accounting portal radius-scheme rs1

[Device-isp-dm1] quit

[Device] domain default enable dm1

(8) 配置隔离ACL为3000，安全ACL为3001

安全策略服务器上需要将ACL 3000和ACL 3001分别指定为隔离ACL和安全ACL。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule permit ip destination 192.168.0.0 0.0.0.255

[Device-acl-ipv4-adv-3000] rule deny ip

[Device-acl-ipv4-adv-3000] quit

[Device] acl advanced 3001

[Device-acl-ipv4-adv-3001] rule permit ip

[Device-acl-ipv4-adv-3001] quit

(9) 配置Portal认证

# 配置Portal认证服务器及Portal web服务器，在接口GigabitEthernet1/0/2上开启直接方式的Portal认证，并引用Portal web 服务器，设置接口GigabitEthernet1/0/2发送给Portal报文中的BAS-IP属性值。

[Device] portal server newpt

[Device-portal-server-newpt] ip 192.168.0.111 key simple portal

[Device-portal-server-newpt] port 50100

[Device-portal-server-newpt] quit

[Device] portal web-server newpt

[Device-portal-websvr-newpt] url http://192.168.0.111:8080/portal

[Device-portal-websvr-newpt] quit

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] portal enable method direct

[Device–GigabitEthernet1/0/2] portal apply web-server newpt

[Device–GigabitEthernet1/0/2] portal bas-ip 2.2.2.1

[Device–GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后，通过执行以下显示命令可查看Portal配置是否生效。

[Device] display portal interface gigabitethernet 1/0/2

Portal information of GigabitEthernet1/0/2

NAS-ID profile: Not configured

Authorization : Strict checking

ACL : Disabled

Dual stack : Disabled

Dual traffic-separate: Disabled

IPv4:

Portal status: Enabled

Portal authentication type: Direct

Portal Web server: newpt(active)

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ip: 2.2.2.1

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Mask

Destination authenticate subnet:

IP address Mask

IPv6:

Portal status: Disabled

Portal authentication type: Disabled

Portal Web server: Not configured

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ipv6: Not configured

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Prefix length

Destination authenticate subnet:

IP address Prefix length

# 使用H3C iNode客户端的用户在通过认证前，只能访问认证页面http://192.168.0.111:8080/portal，且发起的Web访问均被重定向到该认证页面。通过身份认证但未通过安全认证时，只能访问匹配ACL 3000的网络资源；通过身份认证以及安全认证后，可以访问匹配ACL 3001的互联网资源。

# Portal用户认证通过后，可通过执行以下显示命令查看Device上生成的Portal在线用户信息。

[Device] display portal user interface gigabitethernet 1/0/2

Total portal users: 1

Username: abc

Portal server: newpt

State: Online

VPN instance: N/A

MAC IP VLAN Interface

0015-e9a6-7cfe 2.2.2.2 -- GigabitEthernet1/0/2

Authorization information:

DHCP IP pool: N/A

ACL number/name: 3001

Inbound CAR: N/A

Outbound CAR: N/A

1.31.5 Portal二次地址分配认证扩展功能配置举例

1. 组网需求

· 用户主机与接入设备Device直接相连，采用二次地址分配方式的Portal认证。用户通过DHCP服务器获取IP地址，Portal认证前使用分配的一个私网地址；通过Portal认证后，用户申请到一个公网地址。

· 用户在通过身份认证而没有通过安全认证时可以访问192.168.0.0/24网段；在通过安全认证后，可以访问非受限互联网资源。

· 采用一台Portal服务器承担Portal认证服务器和Portal Web服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-15 Portal二次地址分配认证扩展功能配置组网图

‌

3. 配置步骤

· Portal二次地址分配认证方式应用中，DHCP服务器上需创建公网地址池（20.20.20.0/24）及私网地址池（10.0.0.0/24），具体配置略。

· Portal二次地址分配认证方式应用中，接入设备需要配置DHCP中继来配合Portal认证，且启动Portal的接口需要配置主IP地址（公网IP）及从IP地址（私网IP）。关于DHCP中继的详细配置请参见“三层技术-IP业务配置指导”中的“DHCP中继”。

(1) 配置RADIUS服务器和Portal服务器，保证Portal用户的认证/计费功能正常运行，具体配置步骤略。

(2) 配置接口IP地址。

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(3) 配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/1

[Device-security-zone-DMZ] quit

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/2

[Device-security-zone-Trust] quit

(4) 配置安全策略

a. 配置安全策略放行Trust到DMZ安全域的流量。

# 配置名称为trust-dmz的安全策规则，用于主机Host可以访问DHCP服务器、Portal服务器及安全策略服务器具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-1-trust-dmz] source-zone trust

[Device-security-policy-ip-1-trust-dmz] destination-zone dmz

[Device-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.111

[Device-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.112

[Device-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.114

[Device-security-policy-ip-1-trust-dmz] action pass

[Device-security-policy-ip-1-trust-dmz] quit

b. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device与RADIUS服务器、Portal服务器、DHCP服务器及安全策略服务器之间的报文交互。

# 配置名称为portallocalout1的安全策规则，使Device可以向RADIUS服务器、Portal服务器、DHCP服务器及安全策略服务器发送报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout1

[Device-security-policy-ip-2-portallocalout1] source-zone local

[Device-security-policy-ip-2-portallocalout1] destination-zone dmz

[Device-security-policy-ip-2-portallocalout1] destination-ip-host 192.168.0.111

[Device-security-policy-ip-2-portallocalout1] destination-ip-host 192.168.0.112

[Device-security-policy-ip-2-portallocalout1] destination-ip-host 192.168.0.113

[Device-security-policy-ip-2-portallocalout1] destination-ip-host 192.168.0.114

[Device-security-policy-ip-2-portallocalout1] action pass

[Device-security-policy-ip-2-portallocalout1] quit

# 配置名称为portallocalin1的安全策略规则，使Device可以接收和处理来自RADIUS服务器、Portal服务器、DHCP服务器及安全策略服务器的报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalin1

[Device-security-policy-ip-3-portallocalin1] source-zone dmz

[Device-security-policy-ip-3-portallocalin1] destination-zone local

[Device-security-policy-ip-3-portallocalin1] source-ip-host 192.168.0.111

[Device-security-policy-ip-3-portallocalin1] source-ip-host 192.168.0.112

[Device-security-policy-ip-3-portallocalin1] source-ip-host 192.168.0.113

[Device-security-policy-ip-3-portallocalin1] source-ip-host 192.168.0.114

[Device-security-policy-ip-3-portallocalin1] action pass

[Device-security-policy-ip-3-portallocalin1] quit

c. 配置安全策略放行Trust与Local安全域之间的流量，用于主机Host可以从设备Device获取IP地址。

# 配置名称为portallocalin2的安全策规则，使用户Host可以向设备Device发送DHCP请求报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalin2

[Device-security-policy-ip-4-portallocalin2] source-zone trust

[Device-security-policy-ip-4-portallocalin2] service dhcp-relay

[Device-security-policy-ip-4-portallocalin2] destination-zone local

[Device-security-policy-ip-4-portallocalin2] action pass

[Device-security-policy-ip-4-portallocalin2] quit

# 配置名称为portallocalout2的安全策略规则，使用户Host可以接收DHCP服务器分配的地址，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout2

[Device-security-policy-ip-5-portallocalout2] source-zone local

[Device-security-policy-ip-4-portallocalout2] service dhcp-client

[Device-security-policy-ip-5-portallocalout2] destination-zone trust

[Device-security-policy-ip-5-portallocalout2] action pass

[Device-security-policy-ip-5-portallocalout2] quit

[Device-security-policy-ip] quit

(5) 配置RADIUS方案

# 创建名称为rs1的RADIUS方案，配置发送给RADIUS服务器的用户名不携带ISP域。

[Device] radius scheme rs1

[Device-radius-rs1] primary authentication 192.168.0.113

[Device-radius-rs1] primary accounting 192.168.0.113

[Device-radius-rs1] key authentication simple radius

[Device-radius-rs1] key accounting simple radius

[Device-radius-rs1] user-name-format without-domain

(6) 开启RADIUS session control功能，指定session control客户端IP地址及共享密钥。

[Device] radius session-control enable

[Device] radius session-control client ip 192.168.0.114 key simple 12345

(7) 配置认证域

# 创建名称为dm1的ISP域，配置dm1的ISP域使用的RADIUS方案为rs1，系统缺省的ISP域为dm1。

[Device] domain dm1

[Device-isp-dm1] authentication portal radius-scheme rs1

[Device-isp-dm1] authorization portal radius-scheme rs1

[Device-isp-dm1] accounting portal radius-scheme rs1

[Device-isp-dm1] quit

[Device] domain default enable dm1

(8) 配置隔离ACL为3000，安全ACL为3001

安全策略服务器上需要将ACL 3000和ACL 3001分别指定为隔离ACL和安全ACL。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule permit ip destination 192.168.0.0 0.0.0.255

[Device-acl-ipv4-adv-3000] rule deny ip

[Device-acl-ipv4-adv-3000] quit

[Device] acl advanced 3001

[Device-acl-ipv4-adv-3001] rule permit ip

[Device-acl-ipv4-adv-3001] quit

(9) 配置DHCP中继并开启授权ARP功能

[Device] dhcp enable

[Device] dhcp relay client-information record

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] ip address 20.20.20.1 255.255.255.0

[Device–GigabitEthernet1/0/2] ip address 10.0.0.1 255.255.255.0 sub

[Device-GigabitEthernet1/0/2] dhcp select relay

[Device-GigabitEthernet1/0/2] dhcp relay server-address 192.168.0.112

[Device-GigabitEthernet1/0/2] arp authorized enable

[Device-GigabitEthernet1/0/2] quit

(10) 配置Portal认证

# 配置Portal认证服务器及Portal web服务器，在接口GigabitEthernet1/0/2上开启二次地址认证方式的Portal认证，并引用Portal web 服务器，设置接口GigabitEthernet1/0/2发送给Portal报文中的BAS-IP属性值。

[Device] portal server newpt

[Device-portal-server-newpt] ip 192.168.0.111 key simple portal

[Device-portal-server-newpt] port 50100

[Device-portal-server-newpt] quit

[Device] portal web-server newpt

[Device-portal-websvr-newpt] url http://192.168.0.111:8080/portal

[Device-portal-websvr-newpt] quit

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] portal enable method redhcp

[Device–GigabitEthernet1/0/2] portal apply web-server newpt

[Device–GigabitEthernet1/0/2] portal bas-ip 20.20.20.1

[Device–GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后，通过执行以下显示命令可查看Portal配置是否生效。

[Device] display portal interface gigabitethernet 1/0/2

Portal information of GigabitEthernet1/0/2

NAS-ID profile: Not configured

Authorization : Strict checking

ACL : Disabled

Dual stack : Disabled

Dual traffic-separate: Disabled

IPv4:

Portal status: Enabled

Portal authentication type: Redhcp

Portal Web server: newpt(active)

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ip: 20.20.20.1

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Mask

Destination authenticate subnet:

IP address Mask

IPv6:

Portal status: Disabled

Portal authentication type: Disabled

Portal Web server: Not configured

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ipv6: Not configured

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Prefix length

Destination authenticate subnet:

IP address Prefix length

# Portal用户认证通过后，可通过执行以下显示命令查看Device上生成的Portal在线用户信息。

[Device] display portal user interface gigabitethernet 1/0/2

Total portal users: 1

Username: abc

Portal server: newpt

State: Online

VPN instance: N/A

MAC IP VLAN Interface

0015-e9a6-7cfe 20.20.20.2 -- GigabitEthernet1/0/2

Authorization information:

DHCP IP pool: N/A

ACL number/name: 3001

Inbound CAR: N/A

Outbound CAR: N/A

1.31.6 可跨三层Portal认证扩展功能配置举例

1. 组网需求

Device A支持Portal认证功能。用户Host通过Device B接入到Device A。

· 配置Device A采用可跨三层Portal认证。用户在通过身份认证而没有通过安全认证时可以访问192.168.0.0/24网段；在通过安全认证后，可以访问非受限互联网资源。

· 采用一台Portal服务器承担Portal认证服务器和Portal Web服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-16 可跨三层Portal认证扩展功能配置组网图

‌

3. 配置步骤

(1) 配置RADIUS服务器和Portal服务器，保证Portal用户的认证/计费功能正常运行，具体配置步骤略。

(2) 配置接口IP地址。

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<DeviceA> system-view

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[DeviceA-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(3) 配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[DeviceA] security-zone name dmz

[DeviceA-security-zone-DMZ] import interface gigabitethernet 1/0/1

[DeviceA-security-zone-DMZ] quit

[DeviceA] security-zone name trust

[DeviceA-security-zone-Trust] import interface gigabitethernet 1/0/2

[DeviceA-security-zone-Trust] quit

(4) 配置静态路由。

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由。本举例中设备DeviceA到达用户Host的下一跳为Device B，实际使用中请以具体组网情况为准，具体配置步骤如下。

[DeviceA] ip route-static 8.8.8.0 24 20.20.20.2

(5) 配置安全策略

a. 配置安全策略放行Trust到DMZ安全域的流量。

# 配置名称为trust-dmz的安全策规则，用于主机Host可以访问RADIUS服务器、Portal服务器及安全策略服务器，具体配置步骤如下。

[DeviceA] security-policy ip

[DeviceA-security-policy-ip] rule name trust-dmz

[DeviceA-security-policy-ip-1-trust-dmz] source-zone trust

[DeviceA-security-policy-ip-1-trust-dmz] destination-zone dmz

[DeviceA-security-policy-ip-1-trust-dmz] source-ip-host 8.8.8.2

[DeviceA-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.111

[DeviceA-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.112

[DeviceA-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.113

[DeviceA-security-policy-ip-1-trust-dmz] action pass

[DeviceA-security-policy-ip-1-trust-dmz] quit

b. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device A与RADIUS服务器及Portal服务器之间的报文交互。

# 配置名称为portallocalout的安全策规则，使Device A可以向RADIUS服务器、Porta服务器及安全策略服务器发送报文，具体配置步骤如下。

[DeviceA] security-policy ip

[DeviceA-security-policy-ip] rule name portallocalout

[DeviceA-security-policy-ip-2-portallocalout] source-zone local

[DeviceA-security-policy-ip-2-portallocalout] destination-zone dmz

[DeviceA-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.111

[DeviceA-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.112

[DeviceA-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.113

[DeviceA-security-policy-ip-2-portallocalout] action pass

[DeviceA-security-policy-ip-2-portallocalout] quit

# 配置名称为portallocalin的安全策略规则，使Device A可以接收和处理来自RADIUS服务器、Portal服务器及安全策略服务器的报文，具体配置步骤如下。

[DeviceA-security-policy-ip] rule name portallocalin

[DeviceA-security-policy-ip-3-portallocalin] source-zone dmz

[DeviceA-security-policy-ip-3-portallocalin] destination-zone local

[DeviceA-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.111

[DeviceA-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.112

[DeviceA-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.113

[DeviceA-security-policy-ip-3-portallocalin] action pass

[DeviceA-security-policy-ip-3-portallocalin] quit

[Device-security-policy-ip] quit

(6) 配置RADIUS方案

# 创建名称为rs1的RADIUS方案，配置发送给RADIUS服务器的用户名不携带ISP域。

[DeviceA] radius scheme rs1

[DeviceA-radius-rs1] primary authentication 192.168.0.112

[DeviceA-radius-rs1] primary accounting 192.168.0.112

[DeviceA-radius-rs1] key authentication simple radius

[DeviceA-radius-rs1] key accounting simple radius

[DeviceA-radius-rs1] user-name-format without-domain

(7) 开启RADIUS session control功能，指定session control客户端IP地址及共享密钥。

[DeviceA] radius session-control enable

[DeviceA] radius session-control client ip 192.168.0.113 key simple 12345

(8) 配置认证域

# 创建名称为dm1的ISP域，配置dm1的ISP域使用的RADIUS方案为rs1，系统缺省的ISP域为dm1。

[DeviceA] domain dm1

[DeviceA-isp-dm1] authentication portal radius-scheme rs1

[DeviceA-isp-dm1] authorization portal radius-scheme rs1

[DeviceA-isp-dm1] accounting portal radius-scheme rs1

[DeviceA-isp-dm1] quit

[DeviceA] domain default enable dm1

(9) 配置隔离ACL为3000，安全ACL为3001

安全策略服务器上需要将ACL 3000和ACL 3001分别指定为隔离ACL和安全ACL。

[DeviceA] acl advanced 3000

[DeviceA-acl-ipv4-adv-3000] rule permit ip destination 192.168.0.0 0.0.0.255

[DeviceA-acl-ipv4-adv-3000] rule deny ip

[DeviceA-acl-ipv4-adv-3000] quit

[DeviceA] acl advanced 3001

[DeviceA-acl-ipv4-adv-3001] rule permit ip

[DeviceA-acl-ipv4-adv-3001] quit

(10) 配置Portal认证

# 配置Portal认证服务器及Portal web服务器，在接口GigabitEthernet1/0/2上开启可跨三层方式的Portal认证，并引用Portal web 服务器，设置接口GigabitEthernet1/0/2发送给Portal报文中的BAS-IP属性值。

[DeviceA] portal server newpt

[DeviceA-portal-server-newpt] ip 192.168.0.111 key simple portal

[DeviceA-portal-server-newpt] port 50100

[DeviceA-portal-server-newpt] quit

[Device] portal web-server newpt

[DeviceA-portal-websvr-newpt] url http://192.168.0.111:8080/portal

[DeviceA-portal-websvr-newpt] quit

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA–GigabitEthernet1/0/2] portal enable method layer3

[DeviceA–GigabitEthernet1/0/2] portal apply web-server newpt

[DeviceA–GigabitEthernet1/0/2] portal bas-ip 20.20.20.1

[DeviceA–GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后，通过执行以下显示命令可查看Portal配置是否生效。

[DeviceA] display portal interface gigabitethernet 1/0/2

Portal information of GigabitEthernet1/0/2

NAS-ID profile: Not configured

Authorization : Strict checking

ACL : Disabled

Dual stack : Disabled

Dual traffic-separate: Disabled

IPv4:

Portal status: Enabled

Portal authentication type: Layer3

Portal Web server: newpt(active)

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ip: 20.20.20.1

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Mask

Destination authenticate subnet:

IP address Mask

IPv6:

Portal status: Disabled

Authentication type: Disabled

Portal Web server: Not configured

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ipv6: Not configured

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Prefix length

Destination authenticate subnet:

IP address Prefix length

# Portal用户认证通过后，可通过执行以下显示命令查看Device A上生成的Portal在线用户信息。

[DeviceA] display portal user interface gigabitethernet 1/0/2

Total portal users: 1

Username: abc

Portal server: newpt

State: Online

VPN instance: N/A

MAC IP VLAN Interface

0015-e9a6-7cfe 8.8.8.2 -- GigabitEthernet1/0/2

Authorization information:

DHCP IP pool: N/A

ACL number/name: 3001

Inbound CAR: N/A

Outbound CAR: N/A

1.31.7 Portal认证服务器探测和用户信息同步功能配置举例

1. 组网需求

用户主机与接入设备Device直接相连，通过Portal认证接入网络。具体要求如下：

· 用户通过手工配置或DHCP获取的一个公网IP地址进行认证，在通过Portal认证前，只能访问Portal认证服务器；在通过Portal认证后，可以使用此IP地址访问非受限的互联网资源。

· 接入设备能够探测到Portal认证服务器是否可达，并输出可达状态变化的日志信息，在服务器不可达时（例如，网络连接中断、网络设备故障或服务器无法正常提供服务等情况），取消Portal认证，使得用户仍然可以正常访问网络。

· 接入设备能够与服务器定期进行用户信息的同步。

· 采用一台iMC服务器同时承担Portal认证服务器和Portal Web服务器的职责，iMC版本为：iMC PLAT 7.1(E0303)、iMC EIA 7.1(E0304)。

· 采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-17 Portal认证服务器探测和用户同步信息功能配置组网图

‌

3. 配置RADIUS服务器

完成RADIUS服务器上的配置，保证用户的认证/计费功能正常运行，具体配置步骤略。

4. 配置Portal认证服务器

(1) 配置Portal认证服务器。

登录进入iMC管理平台，选择“用户”页签，单击导航树中的“接入策略管理> Portal服务管理 > 服务器配置”菜单项，进入服务器配置页面。

¡ 根据实际组网情况调整以下参数，本例中使用缺省配置。

图1-18 Portal认证服务器配置页面

(2) 配置IP地址组。

选择“用户”页签，单击导航树中的“接入策略管理> Portal服务管理 > IP地址组配置”菜单项，进入IP地址组配置页面，在该页面中单击<增加>按钮，进入增加IP地址组页面。

a. 输入IP地址组名；

b. 输入起始地址和终止地址。用户主机IP地址必须包含在该IP地址组范围内；

c. 选择业务分组，本例中使用缺省的“未分组”；

d. 选择IP地址组的类型为“普通”。

e. 单击<确定>按钮完成操作。

图1-19 增加IP地址组页面

(3) 增加Portal设备。

a. 输入设备名；

b. 指定IP地址为与接入用户相连的设备接口IP；

c. 选择支持逃生心跳为“是”。

d. 选择支持用户心跳为“是”。

e. 输入密钥，与接入设备Device上的配置保持一致；

f. 选择组网方式为“直连”；

g. 其它参数采用缺省值；

h. 单击<确定>按钮完成操作。

图1-20 增加设备信息页面

(4) 设备关联IP地址组。

在设备配置页面中的设备信息列表中，点击NAS设备的<端口组信息管理>链接，进入端口组信息配置页面。

图1-21 设备信息列表

在端口组信息配置页面中点击<增加>按钮，进入增加端口组信息配置页面。

a. 输入端口组名；

b. 选择IP地址组，用户接入网络时使用的IP地址必须属于所选的IP地址组；

c. 其它参数采用缺省值；

d. 单击<确定>按钮完成操作。

图1-22 增加端口组信息页面

5. 配置Device

(1) 配置接口IP地址。

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2) 配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/1

[Device-security-zone-DMZ] quit

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/2

[Device-security-zone-Trust] quit

(3) 配置安全策略

a. 配置安全策略放行Trust到DMZ安全域的流量。

# 配置名称为trust-dmz的安全策规则，用于主机Host可以访问Portal服务器，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-1-trust-dmz] source-zone trust

[Device-security-policy-ip-1-trust-dmz] destination-zone dmz

[Device-security-policy-ip-1-trust-dmz] source-ip-host 2.2.2.2

[Device-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.111

[Device-security-policy-ip-1-trust-dmz] action pass

[Device-security-policy-ip-1-trust-dmz] quit

b. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device与RADIUS服务器及Portal服务器之间的报文交互。

# 配置名称为portallocalout的安全策规则，使Device可以向RADIUS服务器及Portal发送报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout

[Device-security-policy-ip-2-portallocalout] source-zone local

[Device-security-policy-ip-2-portallocalout] destination-zone dmz

[Device-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.111

[Device-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.112

[Device-security-policy-ip-2-portallocalout] action pass

[Device-security-policy-ip-2-portallocalout] quit

# 配置名称为portallocalin的安全策略规则，使Device可以接收和处理来自RADIUS服务器及Portal服务器的报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalin

[Device-security-policy-ip-3-portallocalin] source-zone dmz

[Device-security-policy-ip-3-portallocalin] destination-zone local

[Device-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.111

[Device-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.112

[Device-security-policy-ip-3-portallocalin] action pass

[Device-security-policy-ip-3-portallocalin] quit

[Device-security-policy-ip] quit

(4) 配置RADIUS方案

# 创建名称为rs1的RADIUS方案，配置发送给RADIUS服务器的用户名不携带ISP域名并开启RADIUS session control功能。

[Device] radius scheme rs1

[Device-radius-rs1] primary authentication 192.168.0.112

[Device-radius-rs1] primary accounting 192.168.0.112

[Device-radius-rs1] key authentication simple radius

[Device-radius-rs1] key accounting simple radius

[Device-radius-rs1] user-name-format without-domain

[Device-radius-rs1] quit

# 开启RADIUS session control功能。

[Device] radius session-control enable

(5) 配置认证域

# 创建名称为dm1的ISP域，配置dm1的ISP域使用的RADIUS方案为rs1，系统缺省的ISP域为dm1。

[Device] domain dm1

[Device-isp-dm1] authentication portal radius-scheme rs1

[Device-isp-dm1] authorization portal radius-scheme rs1

[Device-isp-dm1] accounting portal radius-scheme rs1

[Device-isp-dm1] quit

[Device] domain default enable dm1

(6) 配置Portal认证

# 配置Portal认证服务器，配置对Portal认证服务器的每次探测间隔为40秒，若服务器可达，则发送日志信息。

[Device] portal server newpt

[Device-portal-server-newpt] ip 192.168.0.111 key simple portal

[Device-portal-server-newpt] port 50100

[Device-portal-server-newpt] server-detect timeout 40 log

此处timeout取值应该大于等于Portal认证服务器的逃生心跳间隔时长。

# 配置对Portal认证服务器newpt的Portal用户信息同步功能，检测用户同步报文的时间间隔为600秒，如果设备中的某用户信息在600秒内未在该Portal认证服务器发送的同步报文中出现，设备将强制该用户下线。

[Device-portal-server-newpt] user-sync timeout 600

[Device-portal-server-newpt] quit

此处timeout取值应该大于等于Portal认证服务器上的用户心跳间隔时长。

# 配置Portal web服务器，在接口GigabitEthernet1/0/2上开启直接方式的Portal认证及Portal认证服务器newpt不可达时的Portal用户逃生功能，并引用Portal web服务器。设置接口GigabitEthernet1/0/2发送给Portal报文中的BAS-IP属性值。

[Device] portal web-server newpt

[Device-portal-websvr-newpt] url http://192.168.0.111:8080/portal

[Device-portal-websvr-newpt] quit

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] portal enable method direct

[Device–GigabitEthernet1/0/2] portal fail-permit server newpt

[Device–GigabitEthernet1/0/2] portal apply web-server newpt

[Device–GigabitEthernet1/0/2] portal bas-ip 2.2.2.1

[Device–GigabitEthernet1/0/2] quit

6. 验证配置

# 以上配置完成后，可以通过执行以下命令查看到Portal认证服务器的状态为Up，说明当前Portal认证服务器可达。

[Device] display portal server newpt

Portal server: newpt

Type : IMC

IP : 192.168.0.111

VPN instance : Not configured

Port : 50100

Server Detection : Timeout 40s Action: log

User synchronization : Timeout 600s

Status : Up

Exclude-attribute : Not configured

Logout notification : Not configured

之后，若接入设备探测到Portal认证服务器不可达了，可通过以上显示命令查看到Portal认证服务器的状态为Down，同时，设备会输出表示服务器不可达的日志信息“Portal server newpt turns down from up.”，并取消对该接口接入的用户的Portal认证，使得用户可以直接访问外部网络。

1.31.8 Portal直接认证支持认证前域配置举例

1. 组网需求

· 用户主机与接入设备Device直接相连，采用直接方式的Portal认证。由Device作为DHCP服务器为用户分配IP地址。用户通过DHCP获取的一个公网IP地址进行认证，在没有通过身份认证时仅可以访问192.168.0.0/24网段；在通过认证后，可以使用此IP地址访问非受限互联网资源。

· 采用一台Portal服务器承担Portal认证服务器和Portal Web服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-23 Portal直接认证支持认证前域配置组网图

3. 配置步骤

(1) 配置RADIUS服务器和Portal服务器，保证Portal用户的认证/计费功能正常运行，具体配置步骤略。

(2) 配置接口IP地址。

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(3) 配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/1

[Device-security-zone-DMZ] quit

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/2

[Device-security-zone-Trust] quit

(4) 配置安全策略

a. 配置安全策略放下Trust到Local安全域的流量。

# 配置名称为portallocalin1的安全策规则，用于主机Host可以向设备Device发送DHCP地址请求报文，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name portallocalin1

[Device-security-policy-ip-1-portallocalin1] source-zone trust

[Device-security-policy-ip-1-portallocalin1] service dhcp-server

[Device-security-policy-ip-1-portallocalin1] destination-zone local

[Device-security-policy-ip-1-portallocalin1] action pass

[Device-security-policy-ip-1-portallocalin1] quit

# 配置名称为portallocalout1的安全策规则，用于设备Device向用户Host发送DHCP地址响应报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout1

[Device-security-policy-ip-2-portallocalout1] source-zone local

[Device-security-policy-ip-2-portallocalout1] service dhcp-client

[Device-security-policy-ip-2-portallocalout1] destination-zone trust

[Device-security-policy-ip-2-portallocalout1] action pass

[Device-security-policy-ip-2-portallocalout1] quit

b. 配置安全策略放行Trust到DMZ安全域的流量。

# 配置名称为trust-dmz的安全策规则，用于主机Host可以访问Portal服务器，具体配置步骤如下。

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-3-trust-dmz] source-zone trust

[Device-security-policy-ip-3-trust-dmz] destination-zone dmz

[Device-security-policy-ip-3-trust-dmz] source-ip-subnet 2.2.2.0 24

[Device-security-policy-ip-3-trust-dmz] destination-ip-host 192.168.0.111

[Device-security-policy-ip-3-trust-dmz] action pass

[Device-security-policy-ip-3-trust-dmz] quit

c. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device与RADIUS服务器及Portal服务器之间的报文交互。

# 配置名称为portallocalout2的安全策规则，使Device可以向RADIUS服务器及Portal发送报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout2

[Device-security-policy-ip-4-portallocalout2] source-zone local

[Device-security-policy-ip-4-portallocalout2] destination-zone dmz

[Device-security-policy-ip-4-portallocalout2] destination-ip-host 192.168.0.111

[Device-security-policy-ip-4-portallocalout2] destination-ip-host 192.168.0.112

[Device-security-policy-ip-4-portallocalout2] action pass

[Device-security-policy-ip-4-portallocalout2] quit

# 配置名称为portallocalin2的安全策略规则，使Device可以接收和处理来自RADIUS服务器及Portal服务器的报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalin2

[Device-security-policy-ip-5-portallocalin2] source-zone dmz

[Device-security-policy-ip-5-portallocalin2] destination-zone local

[Device-security-policy-ip-5-portallocalin2] source-ip-host 192.168.0.111

[Device-security-policy-ip-5-portallocalin2] source-ip-host 192.168.0.112

[Device-security-policy-ip-5-portallocalin2] action pass

[Device-security-policy-ip-5-portallocalin2] quit

[Device-security-policy-ip] quit

(5) 配置为认证前用户分配IP地址的地址池，配置接口GigabitEthernet1/0/2工作在DHCP服务器模式。

[Device] dhcp server ip-pool pre

[Device-dhcp-pool-pre] gateway-list 2.2.2.1

[Device-dhcp-pool-pre] network 2.2.2.0 24

[Device-dhcp-pool-pre] quit

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] dhcp select server

[Device–GigabitEthernet1/0/2] quit

(6) 配置Portal用户认证前使用的认证域

# 配置Portal用户认证前使用的认证域为abc，设置该认证域中授权ACL为3010。配置ACL3010，允许192.168.0.0/24网段的报文通过。在接口GigabitEthernet1/0/2上配置Portal用户认证前使用的认证域为abc。

[Device] domain abc

[Device-isp-abc] authorization-attribute acl 3010

[Device-isp-abc] quit

[Device] acl advanced 3010

[Device-acl-ipv4-adv-3010] rule 1 permit ip destination 192.168.0.0 0.0.0.255

[Device-acl-ipv4-adv-3010] quit

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] portal pre-auth domain abc

[Device–GigabitEthernet1/0/2] quit

(7) 配置Portal认证

# 配置Portal 认证服务器及Portal web服务器，在接口GigabitEthernet1/0/2上开启直接方式的Portal认证，并引用Portal web 服务器。设置接口GigabitEthernet1/0/2发送给Portal报文中的BAS-IP属性值。

[Device] portal server newpt

[Device-portal-server-newpt] ip 192.168.0.111 key simple portal

[Device-portal-server-newpt] port 50100

[Device-portal-server-newpt] quit

[Device] portal web-server newpt

[Device-portal-websvr-newpt] url http://192.168.0.111:8080/portal

[Device-portal-websvr-newpt] quit

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] portal enable method direct

[Device–GigabitEthernet1/0/2] portal apply web-server newpt

[Device–GigabitEthernet1/0/2] portal bas-ip 2.2.2.1

[Device–GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后，通过执行命令display portal interface可查看Portal配置是否生效。Portal用户在通过Portal认证前，受认证前域中配置的授权信息限制，只能访问192.168.0.0/24网段，对其余网段的Web访问均被重定向到Portal认证页面。通过Portal认证后，则可访问未受限的互联网资源。Portal用户下线后，Device上会重新生成认证前用户。

# 可通过执行以下显示命令查看Device上生成的Portal认证前用户信息。

[Device] display portal user pre-auth interface gigabitethernet 1/0/2

Total portal pre-auth users: 1

MAC IP VLAN Interface

0015-e9a6-7cfe 2.2.2.4 -- GigabitEthernet1/0/2

State: Online

VPN instance: --

Authorization information:

DHCP IP pool: N/A

ACL number/name: 3010

Inbound CAR: N/A

Outbound CAR: N/A

1.31.9 Portal二次地址分配认证支持认证前域配置举例

1. 组网需求

· 用户在没有通过身份认证时仅可以访问192.168.0.0/24网段；在通过认证后，可以使用分配的公网地址访问非受限互联网资源。

· 采用一台Portal服务器承担Portal认证服务器和Portal Web服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-24 Portal二次地址分配认证支持认证前域配置组网图

‌

3. 配置步骤

· Portal二次地址分配认证方式应用中，DHCP服务器上需创建公网地址池（20.20.20.0/24）及私网地址池（10.0.0.0/24），具体配置略。

· 如果开启Portal的接口上配置了认证前用户使用的IP地址池，为保证DHCP服务器可以为用户分配到私网网段地址，需要在接入设备上配置同名的中继地址池，该地址池下必须指定私网用户所在的网段地址，以及该地址池对应的DHCP服务器地址。其中，指定私网用户所在的网段地址时，必须指定export-route参数。

(1) 配置RADIUS服务器和Portal服务器，保证Portal用户的认证/计费功能正常运行，具体配置步骤略。

(2) 配置接口IP地址。

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(3) 配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/1

[Device-security-zone-DMZ] quit

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/2

[Device-security-zone-Trust] quit

(4) 配置安全策略

a. 配置安全策略放下Trust到Local安全域的流量。

# 配置名称为portallocalin1的安全策规则，用于主机Host可以向设备Device发送DHCP请求报文，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name portallocalin1

[Device-security-policy-ip-1-portallocalin1] source-zone trust

[Device-security-policy-ip-1-portallocalin1] service dhcp-relay

[Device-security-policy-ip-1-portallocalin1] destination-zone local

[Device-security-policy-ip-1-trust-local] action pass

[Device-security-policy-ip-1-trust-local] quit

# 配置名称为portallocalout1的安全策规则，用于设备Device向设备Device发送DHCP响应报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout1

[Device-security-policy-ip-2-portallocalout1] source-zone local

[Device-security-policy-ip-2-portallocalout1] service dhcp-client

[Device-security-policy-ip-2-portallocalout1] destination-zone trust

[Device-security-policy-ip-2-portallocalout1] action pass

[Device-security-policy-ip-2-portallocalout1] quit

b. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device与RADIUS服务器、Portal服务器及DHCP服务器之间的报文交互。

# 配置名称为portallocalout2的安全策规则，使Device可以向RADIUS服务、Portal服务器及DHCP服务器发送报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout2

[Device-security-policy-ip-3-portallocalout2] source-zone local

[Device-security-policy-ip-3-portallocalout2] destination-zone dmz

[Device-security-policy-ip-3-portallocalout2] destination-ip-host 192.168.0.111

[Device-security-policy-ip-3-portallocalout2] destination-ip-host 192.168.0.112

[Device-security-policy-ip-3-portallocalout2] destination-ip-host 192.168.0.113

[Device-security-policy-ip-3-portallocalout2] action pass

[Device-security-policy-ip-3-portallocalout2] quit

# 配置名称为portallocalin2的安全策略规则，使Device可以接收和处理来自RADIUS服务器、Portal服务器及DHCP服务器的报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalin2

[Device-security-policy-ip-4-portallocalin2] source-zone dmz

[Device-security-policy-ip-4-portallocalin2] destination-zone local

[Device-security-policy-ip-4-portallocalin2] source-ip-host 192.168.0.111

[Device-security-policy-ip-4-portallocalin2] source-ip-host 192.168.0.112

[Device-security-policy-ip-4-portallocalin2] source-ip-host 192.168.0.113

[Device-security-policy-ip-4-portallocalin2] action pass

[Device-security-policy-ip-4-portallocalin2] quit

c. 配置安全策略放行Trust到DMZ安全域的流量。

# 配置名称为trust-dmz的安全策规则，用于主机Host可以访问Portal服务器具体配置步骤如下。

[Device-security-policy-ip] rule name trust-dmz

[Device-security-policy-ip-5-trust-dmz] source-zone trust

[Device-security-policy-ip-5-trust-dmz] destination-zone dmz

[Device-security-policy-ip-5-trust-dmz] destination-ip-host 192.168.0.111

[Device-security-policy-ip-5-trust-dmz] action pass

[Device-security-policy-ip-5-trust-dmz] quit

[Device-security-policy-ip] quit

(5) 配置Portal用户认证前使用的认证域

[Device] domain abc

[Device-isp-abc] authorization-attribute acl 3010

[Device-isp-abc] quit

[Device] acl advanced 3010

[Device-acl-ipv4-adv-3010] rule 1 permit ip destination 192.168.0.0 0.0.0.255

[Device-acl-ipv4-adv-3010] quit

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] portal pre-auth domain abc

[Device–GigabitEthernet1/0/2] quit

(6) 配置DHCP中继和授权ARP，使用户Host能够从DHCP服务器获得IP地址。

[Device] dhcp enable

[Device] dhcp relay client-information record

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] ip address 20.20.20.1 255.255.255.0

[Device–GigabitEthernet1/0/2] ip address 10.0.0.1 255.255.255.0 sub

[Device-GigabitEthernet1/0/2] dhcp select relay

[Device-GigabitEthernet1/0/2] dhcp relay server-address 192.168.0.112

[Device-GigabitEthernet1/0/2] arp authorized enable

[Device-GigabitEthernet1/0/2] quit

(7) 配置Portal认证

# 配置Portal 认证服务器及Portal web服务器，在接口GigabitEthernet1/0/2上开启二次地址方式的Portal认证，并引用Portal web 服务器。设置接口GigabitEthernet1/0/2发送给Portal报文中的BAS-IP属性值。

[Device] portal server newpt

[Device-portal-server-newpt] ip 192.168.0.111 key simple portal

[Device-portal-server-newpt] port 50100

[Device-portal-server-newpt] quit

[Device] portal web-server newpt

[Device-portal-websvr-newpt] url http://192.168.0.111:8080/portal

[Device-portal-websvr-newpt] quit

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] portal enable method redhcp

[Device–GigabitEthernet1/0/2] portal apply web-server newpt

[Device–GigabitEthernet1/0/2] portal bas-ip 20.20.20.1

[Device–GigabitEthernet1/0/2] quit

4. 验证配置

# 以上配置完成后，通过执行命令display portal interface可查看Portal配置是否生效。Portal认证前用户在通过Portal认证前，受认证前域中配置的授权信息限制，只能访问192.168.0.0/24网段，对其余网段的Web访问均被重定向到Portal认证页面。通过Portal认证后，则可访问未受限的互联网资源。Portal用户下线后，Device上会重新生成认证前用户。

# 可通过执行以下显示命令查看Device上生成的Portal认证前用户信息。

[Device] display portal user pre-auth interface gigabitethernet 1/0/2

Total portal pre-auth users: 1

MAC IP VLAN Interface

0015-e9a6-7cfe 10.10.10.4 -- GigabitEthernet1/0/2

State: Online

VPN instance: --

DHCP IP pool: N/A

ACL number/name: 3010

Inbound CAR: N/A

Outbound CAR: N/A

1.31.10 使用本地Portal Web服务器直接Portal认证配置举例

1. 组网需求

· Device同时承担Portal Web服务器和Portal认证服务器的职责。

· 采用RADIUS服务器作为认证/计费服务器。

· 配置本地Portal Web服务使用HTTP协议，且HTTP服务侦听的TCP端口号为2331。

2. 组网图

图1-25 使用本地Portal Web服务的直接Portal认证配置组网图

‌

3. 配置步骤

按照自定义认证页面文件编辑规范，完成认证页面的编辑。并上传到设备存储介质的根目录下。

(1) 配置RADIUS服务器，保证用户的认证/计费功能正常运行，具体配置步骤略。

(2) 配置接口IP地址。

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

[Device-GigabitEthernet1/0/2] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(3) 配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/1

[Device-security-zone-DMZ] quit

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/2

[Device-security-zone-Trust] quit

(4) 配置安全策略

a. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device与RADIUS服务器之间的报文交互。

# 配置名称为portallocalout的安全策规则，使Device可以向RADIUS服务器发送报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalout

[Device-security-policy-ip-2-portallocalout] source-zone local

[Device-security-policy-ip-2-portallocalout] destination-zone dmz

[Device-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.112

[Device-security-policy-ip-2-portallocalout] action pass

[Device-security-policy-ip-2-portallocalout] quit

# 配置名称为portallocalin1的安全策略规则，使Device可以接收和处理来自RADIUS服务器的报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalin1

[Device-security-policy-ip-3-portallocalin1] source-zone dmz

[Device-security-policy-ip-3-portallocalin1] destination-zone local

[Device-security-policy-ip-3-portallocalin1] source-ip-host 192.168.0.112

[Device-security-policy-ip-3-portallocalin1] action pass

[Device-security-policy-ip-3-portallocalin1] quit

b. 配置安全策略放行Trust与Local安全域之间的流量。

# 配置名称为portallocalin2的安全策规则，使用户Host可以向设备本地的Portal服务器发送报文，具体配置步骤如下。

[Device-security-policy-ip] rule name portallocalin2

[Device-security-policy-ip-4-portallocalin2] source-zone trust

[Device-security-policy-ip-4-portallocalin2] source-ip-host 2.2.2.2

[Device-security-policy-ip-4-portallocalin2] destination-zone local

[Device-security-policy-ip-4-portallocalin2] action pass

[Device-security-policy-ip-4-portallocalin2] quit

[Device-security-policy-ip] quit

(5) 配置RADIUS方案

# 建名称为rs1的RADIUS方案，配置发送给RADIUS服务器的用户名不携带ISP域名，开启RADIUS session control功能。

[Device] radius scheme rs1

[Device-radius-rs1] primary authentication 192.168.0.112

[Device-radius-rs1] primary accounting 192.168.0.112

[Device-radius-rs1] key authentication simple radius

[Device-radius-rs1] key accounting simple radius

[Device-radius-rs1] user-name-format without-domain

[Device-radius-rs1] quit

[Device] radius session-control enable

(6) 配置认证域

# 创建名称为dm1的ISP域，配置dm1的ISP域使用的RADIUS方案为rs1，系统缺省的ISP域为dm1。

[Device] domain dm1

[Device-isp-dm1] authentication portal radius-scheme rs1

[Device-isp-dm1] authorization portal radius-scheme rs1

[Device-isp-dm1] accounting portal radius-scheme rs1

[Device-isp-dm1] quit

[Device] domain default enable dm1

(7) 配置Portal认证

# 配置Portal web服务器newpt的URL，在接口GigabitEthernet1/0/2开启直接方式的Portal认证，并引用Portal web 服务器。

[Device] portal web-server newpt

[Device-portal-websvr-newpt] url http://2.2.2.1:2331/portal

[Device-portal-websvr-newpt] quit

[Device] interface gigabitethernet 1/0/2

[Device–GigabitEthernet1/0/2] portal enable method direct

[Device–GigabitEthernet1/0/2] portal apply web-server newpt

[Device–GigabitEthernet1/0/2] quit

# 开启本地Portal web服务，配置本地Portal Web服务提供的缺省认证页面文件（设备的存储介质的根目录下必须已存在该认证页面文件，否则功能不生效），指定本地Portal Web服务的HTTP服务侦听的TCP端口号。

[Device] portal local-web-server http

[Device–portal-local-websvr-http] default-logon-page abc.zip

[Device–portal-local-webserver-http] tcp-port 2331

[Device–portal-local-webserver-http] quit

4. 验证配置

# 以上配置完成后，通过执行以下显示命令可查看Portal配置是否生效。

[Device] display portal interface gigabitethernet 1/0/2

Portal information of GigabitEthernet1/0/2

NAS-ID profile: Not configured

Authorization : Strict checking

ACL : Disabled

Dual stack : Disabled

Dual traffic-separate: Disabled

IPv4:

Portal status: Enabled

Portal authentication type: Direct

Portal Web server: newpt(active)

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ip: Not configured

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Mask

Destination authenticate subnet:

IP address Mask

IPv6:

Portal status: Disabled

Portal authentication type: Disabled

Portal Web server: Not configured

Secondary portal Web server: Not configured

Portal mac-trigger-server: Not configured

Authentication domain: Not configured

Pre-auth domain: Not configured

Extend-auth domain: Not configured

User-dhcp-only: Disabled

Pre-auth IP pool: Not configured

Max portal users: Not configured

Bas-ipv6: Not configured

User detection: Not configured

Portal temp-pass: Disabled

Action for server detection:

Server type Server name Action

-- -- --

Layer3 source network:

IP address Prefix length

Destination authenticate subnet:

IP address Prefix length

# 使用本地Portal Web服务进行Portal认证的组网环境中，只支持通过网页方式进行Portal认证。用户在通过认证前，只能访问认证页面http://2.2.2.1:2331/portal，且发起的Web访问均被重定向到该认证页面，在通过认证后，可访问非受限的互联网资源。

# Portal用户认证通过后，可通过执行以下显示命令查看Device上生成的Portal在线用户信息。

[Device] display portal user interface gigabitethernet 1/0/2

Total portal users： 1

Username: abc

Portal server: newpt

State: Online

VPN instance: --

MAC IP VLAN Interface

0015-e9a6-7cfe 2.2.2.2 -- GigabitEthernet1/0/2

Authorization information:

DHCP IP pool: N/A

ACL number/name: N/A

Inbound CAR: N/A

Outbound CAR: N/A

1.31.11 Portal基于MAC地址的快速认证配置举例

1. 组网需求

· 用户主机通过接入设备Device接入网络，采用直接方式的Portal认证。用户通过手工配置或DHCP获取的一个公网IP地址进行认证，在通过Portal认证前，只能访问Portal Web服务器；在通过Portal认证后，可以使用此IP地址访问非受限的互联网资源。

· 采用一台iMC服务器同时承担Portal认证服务器、Portal Web服务器以及MAC绑定服务器的职责。iMC版本为：iMC PLAT 7.1(E0303)、iMC EIA 7.1(F0303)。

· 采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-26 Portal基于MAC地址的快速认证配置组网图

‌

3. 配置RADIUS服务器

完成RADIUS服务器上的配置，保证用户的认证/计费功能正常运行，具体配置步骤略。

4. 配置Portal服务器

(1) 配置Portal认证服务。

登录进入iMC管理平台，选择“用户”页签，单击导航树中的“接入策略管理> Portal服务管理 > 服务器配置”菜单项，进入服务器配置页面。

¡ 根据实际组网情况调整以下参数，本例中使用缺省配置。

图1-27 Portal认证服务器配置页面

(2) 配置IP地址组。

a. 输入IP地址组名；

b. 输入起始地址和终止地址，输入的地址范围中应包含用户主机的IP地址；

c. 选择业务分组，本例中使用缺省的“未分组”；

d. 选择IP地址组的类型为“普通”。

e. 单击<确定>按钮完成操作。

图1-28 增加IP地址组页面

(3) 增加Portal设备。

选择“用户”页签，单击导航树中的“接入策略管理> Portal服务管理 > 设备配置”菜单项，进入设备配置页面，在该页面中单击<增加>按钮，进入增加设备信息配置页面。

a. 输入设备名；

b. 指定IP地址为与接入用户相连的设备接口IP；

c. 选择支持逃生心跳为“否”。

d. 选择支持用户心跳为“否”。

e. 输入密钥，与接入设备Device上的配置保持一致；

f. 选择组网方式为“直连”；

g. 其它参数采用缺省值；

h. 单击<确定>按钮完成操作。

图1-29 增加设备信息页面

(4) 设备关联IP地址组。

在设备配置页面中的设备信息列表中，点击NAS设备的<端口组信息管理>链接，进入端口组信息配置页面。

图1-30 设备信息列表

在端口组信息配置页面中点击<增加>按钮，进入增加端口组信息页面。

a. 输入端口组名；

b. 选择IP地址组，用户接入网络时使用的IP地址必须属于所选的IP地址组；

c. 选择无感知认证为“支持”；

d. 其它参数采用缺省配置；

e. 单击<确定>按钮完成操作。

图1-31 增加端口组信息配置页面

5. 配置MAC绑定服务器

(1) 增加接入策略

单击导航树中的[接入策略管理/接入策略管理]菜单项，并点击<增加>按钮，进入“增加接入策略”页面。

¡ 填写接入策略名；

¡ 选择业务分组；

¡ 其它参数可采用缺省配置。

图1-32 增加接入策略配置

(2) 增加接入服务

单击导航树中的[接入策略管理/接入服务管理]菜单项，并点击<增加>按钮，进入“增加接入服务配置”页面。

¡ 填写服务名；

¡ 勾选“Portal无感知认证”；

¡ 其它参数可采用缺省配置。

图1-33 增加接入服务配置

(3) 增加接入用户

单击导航树中的[接入用户管理/接入用户]菜单项，并点击<增加>按钮，进入增加接入用户页面。在接入信息部分：

¡ 选择可接入的用户；

¡ 设置密码；

¡ 设置“Portal无感知认证最大绑定数”。

图1-34 增加接入用户

(4) 配置系统参数

单击导航树中的[接入策略管理/业务参数配置/系统配置]菜单项，并点击[终端管理参数配置]对应的<配置>按钮，进入终端管理参数配置页面。

“非智能终端Portal无感知认证”可根据实际需要启用或禁用，本例中为启用。

图1-35 配置终端管理参数

单击导航树中的[接入策略管理/业务参数配置/系统配置]菜单项，点击[终端老化时长]对应的<配置>按钮后点击<修改>，进入终端老化时长配置页面。

根据实际需要配置终端老化时间，本例中采用缺省值。

图1-36 配置终端老化时长

# 最后单击导航树中的[接入策略管理/业务参数配置/系统配置手工生效]菜单项，使以上配置生效。

6. 配置Device

(1) 配置接口IP地址。

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.0.100 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2) 配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name dmz

[Device-security-zone-DMZ] import interface gigabitethernet 1/0/1

[Device-security-zone-DMZ] quit

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/2

[Device-security-zone-Trust] quit

(3) 配置安全策略

a. 配置安全策略放行Trust到DMZ安全域的流量。

# 配置名称为trust-dmz的安全策规则，用于主机Host可以访问Portal服务器，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule 1 name trust-dmz

[Device-security-policy-ip-1-trust-dmz] source-zone trust

[Device-security-policy-ip-1-trust-dmz] destination-zone dmz

[Device-security-policy-ip-1-trust-dmz] source-ip-host 2.2.2.2

[Device-security-policy-ip-1-trust-dmz] destination-ip-host 192.168.0.111

[Device-security-policy-ip-1-trust-dmz] action pass

[Device-security-policy-ip-1-trust-dmz] quit

b. 配置安全策略放行DMZ与Local安全域之间的流量，用于设备Device与RADIUS服务器、Portal服务器及MAC地址绑定服务器之间的报文交互。

# 配置名称为portallocalout的安全策规则，使Device可以向RADIUS服务器及Portal发送报文，具体配置步骤如下。

[Device-security-policy-ip] rule 2 name portallocalout

[Device-security-policy-ip-2-portallocalout] source-zone local

[Device-security-policy-ip-2-portallocalout] destination-zone dmz

[Device-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.111

[Device-security-policy-ip-2-portallocalout] destination-ip-host 192.168.0.112

[Device-security-policy-ip-2-portallocalout] action pass

[Device-security-policy-ip-2-portallocalout] quit

# 配置名称为portallocalin的安全策略规则，使Device可以接收和处理来自RADIUS服务器、Portal服务器及MAC地址绑定服务器的报文，具体配置步骤如下。

[Device-security-policy-ip] rule 3 name portallocalin

[Device-security-policy-ip-3-portallocalin] source-zone dmz

[Device-security-policy-ip-3-portallocalin] destination-zone local

[Device-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.111

[Device-security-policy-ip-3-portallocalin] source-ip-host 192.168.0.112

[Device-security-policy-ip-3-portallocalin] action pass

[Device-security-policy-ip-3-portallocalin] quit

[Device-security-policy-ip] quit

(4) 配置RADIUS方案

#创建名称为rs1的RADIUS方案，配置发送给RADIUS服务器的用户名不携带ISP域名并开启RADIUS session control功能。

[Device] radius scheme rs1

[Device-radius-rs1] primary authentication 192.168.0.112

[Device-radius-rs1] primary accounting 192.168.0.112

[Device-radius-rs1] key authentication simple radius

[Device-radius-rs1] key accounting simple radius

[Device-radius-rs1] user-name-format without-domain

[Device-radius-rs1] quit

[Device] radius session-control enable

(5) 配置认证域

# 创建名称为dm1的ISP域，配置dm1域使用的RADIUS方案为rs1，系统缺省ISP域为dm1。

[Device] domain dm1

[Device-isp-dm1] authentication portal radius-scheme rs1

[Device-isp-dm1] authorization portal radius-scheme rs1

[Device-isp-dm1] accounting portal radius-scheme rs1

[Device-isp-dm1] quit

[Device] domain default enable dm1

(6) 配置Portal认证

[Device] portal server newpt

[Device-portal-server-newpt] ip 192.168.0.111 key simple portal

[Device-portal-server-newpt] port 50100

[Device-portal-server-newpt] quit

[Device] portal web-server newpt

[Device-portal-websvr-newpt] url http://192.168.0.111:8080/portal

[Device-portal-websvr-newpt] quit

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] portal enable method direct

[Device-GigabitEthernet1/0/2] portal apply web-server newpt

[Device-GigabitEthernet1/0/2] portal bas-ip 2.2.2.1

[Device-GigabitEthernet1/0/2] quit

(7) 配置Portal基于MAC地址的快速认证

# 创建MAC绑定服务器mts，配置用户免认证流量的阈值及MAC绑定服务器的地址，在接口在接口GigabitEthernet1/0/2上引用MAC绑定服务器mts。

[Device] portal mac-trigger-server mts

[Device-portal-mac-trigger-server-mts] free-traffic threshold 1024000

[Device-portal-mac-trigger-server-mts] ip 192.168.0.111

[Device-portal-mac-trigger-server-mts] quit

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] portal apply mac-trigger-server mts

[Device-GigabitEthernet1/0/2] quit

7. 验证配置

# 通过执行以下显示命令可查看MAC绑定服务器配置。

[Device] display portal mac-trigger-server name mts

Portal mac-trigger server name: mts

Version : 1.0

Server type : IMC

IP : 192.168.0.111

Port : 50100

VPN instance : Not configured

Aging time : 300 seconds

Free-traffic threshold : 1024000 bytes

NAS-Port-Type : Not configured

Binding retry times : 3

Binding retry interval : 1 seconds

Authentication timeout : 3 minutes

Local-binding : Disabled

Local-binding aging-time : 12 minutes

aaa-fail nobinding : Disabled

Excluded attribute list : Not configured

Cloud-binding : Disabled

Cloud-server URL : Not configured

# 用户可以使用H3C的iNode客户端或通过网页方式进行Portal认证。用户在通过认证前，发起的所有Web访问均被重定向到Portal认证页面（http://192.168.0.111:8080/portal），在通过认证后，可访问非受限的互联网资源。

# 用户在首次进行Portal认证时，需要手工输入用户名和密码。当用户再次上线时，将可以直接访问互联网资源，不会感知到Portal认证过程。

# 通过执行以下显示命令查看Device上生成的Portal在线用户信息。

[Device] display portal user interface gigabitethernet 1/0/2

Total portal users: 1

Username: Client1

Portal server: newpt

State: Online

VPN instance: N/A

MAC IP VLAN Interface

0015-e9a6-7cfe 2.2.2.2 -- GigabitEthernet1/0/2

Authorization information:

DHCP IP pool: N/A

ACL number/name: N/A

Inbound CAR: N/A

Outbound CAR: N/A

1.32 常见配置错误举例

1.32.1 Portal用户认证时，没有弹出Portal认证页面

1. 故障现象

用户被强制去访问iMC Portal认证服务器时没有弹出Portal认证页面，也没有错误提示，登录的Portal认证服务器页面为空白。

2. 故障分析

接入设备上配置的Portal密钥和Portal认证服务器上配置的密钥不一致，导致Portal认证服务器报文验证出错，Portal认证服务器拒绝弹出认证页面。

3. 处理过程

在Portal认证服务器视图下使用display this命令查看接入设备上是否配置了Portal认证服务器密钥，若没有配置密钥，请补充配置；若配置了密钥，请在Portal认证服务器视图中使用ip或ipv6命令修改密钥，或者在Portal认证服务器上查看对应接入设备的密钥并修改密钥，直至两者的密钥设置一致。

1.32.2 接入设备上无法强制Portal用户下线

1. 故障现象

用户通过Portal认证后，在接入设备上使用portal delete-user命令强制用户下线失败，但是使用客户端的“断开”属性可以正常下线。

2. 故障分析

在接入设备上使用portal delete-user命令强制用户下线时，由接入设备主动发送下线通知报文到Portal认证服务器，Portal认证服务器会在指定的端口监听该报文（缺省为50100），但是接入设备发送的下线通知报文的目的端口和Portal认证服务器真正的监听端口不一致，故Portal认证服务器无法收到下线通知报文，Portal认证服务器上的用户无法下线。

当使用客户端的“断开”属性让用户下线时，由Portal认证服务器主动向接入设备发送下线请求，其源端口为50100，接入设备的下线应答报文的目的端口使用请求报文的源端口，避免了其配置上的错误，使得Portal认证服务器可以收到下线应答报文，从而Portal认证服务器上的用户成功下线。

3. 处理过程

使用display portal server命令查看接入设备对应服务器的端口，并在系统视图中使用portal server命令修改服务器的端口，使其和Portal认证服务器上的监听端口一致。

1.32.3 RADIUS服务器上无法强制Portal用户下线

1. 故障现象

接入设备使用H3C的iMC服务器作为RADIUS服务器对Portal用户进行身份认证，用户通过Portal认证上线后，管理员无法在RADIUS服务器上强制Portal用户下线。

2. 故障分析

H3C的iMC服务器使用session control报文向设备发送断开连接请求。接入设备上监听session control报文的UDP端口缺省是关闭的，因此无法接收RADIUS服务器发送的Portal用户下线请求。

3. 处理过程

查看接入设备上的RADIUS session control功能是否处于开启状态，若未开启，请在系统视图下执行radius session-control enable命令开启。

1.32.4 二次地址分配认证用户无法成功上线

1. 故障现象

设备对用户采用二次地址分配认证方式的Portal认证，用户输入正确的用户名和密码，且客户端先后成功获取到了私网IP地址和公网的IP地址，但认证结果为失败。

2. 故障分析

在接入设备对用户进行二次地址分配认证过程中，当接入设备感知到客户端的IP地址更新之后，需要主动发送Portal通知报文告知Portal认证服务器已检测到用户IP变化，当Portal认证服务器接收到客户端以及接入设备发送的关于用户IP变化的通告后，才会通知客户端上线成功。若接入设备主动发送的Portal报文携带的BAS-IP/BAS-IPv6属性值与Portal认证服务器上指定的设备IP地址不一致时，Portal认证服务器会将该Portal通知报文丢弃，因此会由于未及时收到用户IP变化的通告认为用户认证失败。

3. 处理过程

在开启Portal认证的接口上配置BAS-IP/BAS-IPv6属性值，使其与Portal认证服务器上指定的设备IP地址保持一致。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

技术解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

技术支持

自助服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

03-安全配置指导

目录

07-Portal配置

1 Portal

1.1 Portal简介

1.1.1 Portal认证的优势

1.1.2 Portal安全扩展功能

1.1.3 Portal系统

1. 认证客户端

2. 接入设备

3. Portal服务器

4. AAA服务器

5. 安全策略服务器

1.1.4 使用远程Portal服务器的基本交互过程

1.1.5 本地Portal服务

1. 系统组成

2. 本地Portal Web服务支持用户自定义认证页面

1.1.6 Portal的认证方式

1. 直接认证方式

2. 二次地址分配认证方式

3. 可跨三层认证方式

1.1.7 Portal认证流程

1. 直接认证和可跨三层Portal认证的流程（CHAP/PAP认证方式）

2. 二次地址分配认证方式的流程（CHAP/PAP认证方式）

1.1.8 Portal支持EAP认证

1.1.9 Portal过滤规则

1.1.10 Portal支持基于MAC地址的快速认证

1.1.11 Portal支持与NAT444联动

1.2 Portal配置限制和指导

1.3 Portal配置任务简介

1.4 Portal配置准备

1.5 配置远程Portal认证服务器

1. 功能简介

2. 配置限制和指导

3. 配置步骤

1.6 配置Portal Web服务器

1.6.1 Portal Web服务器配置简介

1.6.2 配置Portal Web服务器基本参数

1.6.3 开启Portal被动Web认证功能

1.4 Portal 配置准备