华为AC配置OpenPortal Portal协议WEB认证WIFI认证系统Portal认证示例 1/3

配置外置Portal认证示例

组网需求

如图1所示，某公共区域部署AC连接出口网关Router、RADIUS服务器和Portal服务器，并通过接入交换机SwitchA与AP连接。通过WLAN部署，提供SSID为test的无线网络方便用户随时随地接入。网关作为DHCP服务器为无线用户提供10.10.10.0/24网段的IP地址，AC上对用户进行集中控制和管理。

由于无线网络开放性的特点，存在安全风险。为了用户可以方便的关联到WLAN网络，AC使用缺省的安全策略，即不认证和不加密。为了集中管理接入的用户，仅对付费的用户授权访问Internet，AC配置Portal认证功能，任何接入的用户访问Internet时，都会重定向到Portal认证的Web页面，已付费用户输入得到的用户名和密码，即可得到授权正常使用网络，同时RADIUS服务器开始对用户计费。对于未付费用户，需要付费后，使用得到的用户名和密码完成Portal认证。一般Portal认证的Web页面包含支付功能，未付费用户可以在Web页面购买使用WLAN网络的时间，快捷的完成支付，得到授权使用WLAN网络。

图1 配置无线Portal认证组网图

说明：

本示例的业务数据转发方式采用隧道转发。如果用户的数据转发方式为直接转发，建议在SwitchA连接AP的接口GE0/0/1上配置端口隔离，如果不配置端口隔离，可能会在VLAN内存在不必要的广播报文，或者导致不同AP间的WLAN用户二层互通的问题。

# 配置SwitchA连接AP的接口GE0/0/1加入VLAN100（管理VLAN），SwitchA连接AC的接口GE0/0/2加入VLAN100。

<Quidway> system-view

[Quidway] sysnameSwitchA

[SwitchA] vlanbatch 100

[SwitchA] interfacegigabitethernet 0/0/1

[SwitchA-GigabitEthernet0/0/1]port link-type trunk

[SwitchA-GigabitEthernet0/0/1]port trunk pvid vlan 100

[SwitchA-GigabitEthernet0/0/1]port trunk allow-pass vlan 100

[SwitchA-GigabitEthernet0/0/1]port-isolate enable

[SwitchA-GigabitEthernet0/0/1]quit

[SwitchA] interfacegigabitethernet 0/0/2

[SwitchA-GigabitEthernet0/0/2]port link-type trunk

[SwitchA-GigabitEthernet0/0/2]port trunk allow-pass vlan 100

[SwitchA-GigabitEthernet0/0/2]quit

# 配置AC连接SwitchA的接口GE0/0/1加入VLAN100。

<AC6605> system-view

[AC6605] sysnameAC

[AC] vlan batch100

[AC] interface gigabitethernet0/0/1

[AC-GigabitEthernet0/0/1]port link-type trunk

[AC-GigabitEthernet0/0/1]port trunk allow-pass vlan 100

[AC-GigabitEthernet0/0/1]quit

2. 配置AC与上层网络设备互通

# 配置VLANIF101（业务VLAN）、VLANIF102、VLANIF103和VLANIF104。

[AC] vlan batch101 102 103 104

[AC] interfacevlanif 101

[AC-Vlanif101] ipaddress 10.10.10.1 24

[AC-Vlanif101] quit

[AC] interfacevlanif 102

[AC-Vlanif102] ipaddress 11.1.1.2 24

[AC-Vlanif102] quit

[AC] interfacevlanif 103

[AC-Vlanif103] ipaddress 12.1.1.2 24

[AC-Vlanif103] quit

[AC] interfacevlanif 104

[AC-Vlanif104] ipaddress 13.1.1.2 24

[AC-Vlanif104] quit

# 配置AC连接Router的接口GE0/0/2加入VLAN102。

[AC] interface gigabitethernet0/0/2

[AC-GigabitEthernet0/0/2]port link-type trunk

[AC-GigabitEthernet0/0/2]port trunk allow-pass vlan 102

[AC-GigabitEthernet0/0/2]quit

# 配置AC连接RADIUS服务器的接口GE0/0/3加入VLAN103。

[AC] interface gigabitethernet0/0/3

[AC-GigabitEthernet0/0/3]port link-type trunk

[AC-GigabitEthernet0/0/3]port trunk allow-pass vlan 103

[AC-GigabitEthernet0/0/3]quit

# 配置AC连接Portal服务器的接口GE0/0/4加入VLAN104。

[AC] interface gigabitethernet0/0/4

[AC-GigabitEthernet0/0/4]port link-type trunk

[AC-GigabitEthernet0/0/4]port trunk allow-pass vlan 104

[AC-GigabitEthernet0/0/4]quit

# 配置AC的缺省路由。

[AC] iproute-static 0.0.0.0 0.0.0.0 11.1.1.1

3. 配置AC给AP分配IP地址，Router给STA分配IP地址。

# 配置AC通过接口地址池为AP分配IP地址。

[AC] dhcp enable

[AC] interfacevlanif 100

[AC-Vlanif100] ipaddress 192.168.10.1 24

[AC-Vlanif100] dhcpselect interface

[AC-Vlanif100] quit

# 配置AC作为DHCP中继并使能DHCP中继探测用户表项功能。

[AC] dhcp relaydetect enable

[AC] interfacevlanif 101

[AC-Vlanif101] dhcpselect relay

[AC-Vlanif101] dhcprelay server-ip 11.1.1.1

[AC-Vlanif101] quit

# 配置Router作为DHCP服务器为STA分配IP地址。

<Huawei> system-view

[Huawei] sysnameRouter

[Router] dhcpenable

[Router] ip poolsta

[Router-ip-pool-sta] gateway-list10.10.10.1

[Router-ip-pool-sta] network10.10.10.0 mask 24

[Router-ip-pool-sta] quit

[Router] vlanbatch 102

[Router] interfacevlanif 102

[Router-Vlanif102] ipaddress 11.1.1.1 24

[Router-Vlanif102] dhcpselect global

[Router-Vlanif102] quit

[Router] interfacegigabitethernet 2/0/0

[Router-GigabitEthernet2/0/0]port link-type trunk

[Router-GigabitEthernet2/0/0]port trunk allow-pass vlan 102

[Router-GigabitEthernet2/0/0]quit

[Router] iproute-static 10.10.10.0 24 11.1.1.2

4.