OpenPortal认证计费系统-用户手册 · SNMP 网管

适用系统：OpenPortalServer V6 后台 — SNMP 网管

手册说明：本文所有截图取自系统实际界面并按页面原样展示（未做任何遮挡），实际参数以生产环境为准。

一、模块概述

SNMP 网管模块用于集中监控网络接入设备（交换机、AC、路由器、AP）的运行状态，提供设备档案、端口流量采集、告警规则、通知分发、在线用户核对与网络拓扑可视化等能力。

• 设备档案登记需要 SNMP 采集的交换机/AC/路由/AP，系统按轮询间隔自动采集 CPU、内存、端口流量与在线终端。支持「子网扫描设备发现」批量探测并一键入库。
• 端口监控指定需要重点关注的端口及错误阈值，配合告警规则实现异常检测。
• 告警规则定义六类告警条件与阈值，满足持续周期后自动升级并推送通知。
• 活跃告警实时查看当前正在触发的告警，支持逐条忽略或取消忽略。
• 在线用户核对对比平台侧与设备侧的在线用户差异，定位"幽灵会话"或"漏认证终端"。
• 告警通知设置配置七种通知渠道（站内、日志、邮件、短信、钉钉、企业微信、飞书），告警升级时按渠道分发。
• 网管总览以卡片方式一览所有设备实时状态，网管拓扑可视化设备互联关系。

建议的配置顺序：设备发现/手工添加设备档案 → 端口监控 → 告警规则 → 告警通知设置 → 查看总览与拓扑。

二、网管总览

总览页以设备卡片的形式展示所有已纳管设备的实时状态，页面每 30 秒自动刷新。

2.1 卡片字段

2.2 操作

离线设备卡片会显示红色边框，有告警的在线设备显示黄色边框，便于一眼识别异常。

三、SNMP 设备管理

3.1 设备列表

查询条件：

列表字段：

按钮：删除勾选、添加、设备发现、刷新、查询、数据设置。

删除设备会连带清掉它的端口策略：行内「删除」或勾选后点「删除勾选」，除了设备档案，还会一并删除该设备已登记的全部端口监控记录，并停止它的实时数据（状态、端口指标、活跃告警、邻居、在线用户快照）。删除后端口监控列表、设备详情与总览里都不再出现这台设备；如果只是暂时不想采集，请把设备的「监控」切换为「不监控」，不要删设备。

端口登记（批量）

设备列表每行操作列的蓝色「端口登记」按钮，点击后弹出该设备的端口多选弹层，可一次性把多个端口加入监控策略。

弹层打开时默认不勾选任何端口：请先筛选，再手动勾选或点「选未登记」；只点「确认登记」而不勾选，系统会提示「请至少勾选一个端口」，不会写入任何数据。

弹层内容：

操作流程：

1. 勾选要登记的端口（打开时全部未勾选，可配合「全选」或「选未登记」快速操作）。
2. 选择监控状态、阈值与重复处理方式。
3. 点「确认登记」，系统先调 importPreview 统计「新增 N 个、覆盖 M 个、跳过 K 个」。
4. 弹出二次确认框，确认后批量写入。
5. 完成后提示「登记成功」并自动刷新设备列表。

覆盖模式不会修改已手工命名的端口别名，仅更新监控开关、错误阈值和物理端口描述。

3.2 添加 / 修改设备

添加与修改使用同一表单，标题分别为「SNMP设备添加」「SNMP设备修改」。

操作步骤：

1. 在设备列表点「添加」。
2. 填写设备名称与管理 IP。
3. 选择设备类型和厂商。
4. 选择 SNMP 版本并填写团体名（需与设备侧一致）。
5. 确认端口为 161（或设备实际端口）。
6. 按需调整超时与轮询间隔。
7. 若需在线用户核对，选择关联 NAS。
8. 点「保存」，回到列表确认设备已出现。
9. 在列表中点「测试」验证连通性。

注意事项

• 团体名错误是采集失败最常见的原因，务必与设备端 SNMP 配置逐字符一致。
• 修改设备参数（如团体名或 IP）后，需等待下一轮采集周期才能生效。
• 设备类型为 AP 时，通常无需单独配置端口监控。

3.3 设备详情

从总览卡片或设备列表点击进入，展示该设备的完整运行状态。

基本信息表：设备名称、管理IP、状态（在线/离线）、响应耗时、SNMP 版本、端口、系统描述、系统名称、运行时长、CPU/内存使用率、聚合流量（上行/下行）。

端口表（两个标签页）：

「已监控端口」表字段：

「全部端口」标签页：

列出设备侧所有端口（包括未纳入监控的），数据优先读最近一次采集快照；若内存无数据且设备在线，点「刷新清单」会先弹授权确认再向设备发 SNMP 只读请求。

单端口登记流程：

1. 点「登记」链接，弹出轻量表单显示端口索引与描述，可选择「监控状态」（监控 / 不监控）和「错误阈值」（默认 10pps）。
2. 点「登记」按钮后，系统先调预览接口排重：

• 新端口 → 弹确认框「确认登记端口 N」，确认后写入。
• 已登记 → 弹「该端口已登记，是否覆盖？」，确认则更新监控/阈值/物理端口，保留手工别名。
• 设备侧不存在 → 提示错误。

1. 完成后自动刷新端口列表，登记状态变为「已登记」。

点击端口行可定位到下方对应的流量趋势图。

趋势图：

• 设备性能趋势：CPU 和内存使用率的折线图，最近 40 个采集点。
• 端口流量趋势：每个纳入监控的端口一张短窗曲线（上行/下行），宽屏两列排列。
• 点击任意图表可放大查看。

放大后的弹层中，标题标明「端口号 / 端口描述」，双线图例分别为上行与下行，纵轴单位随流量量级取 bps 或 Mbps。

在线用户 / 邻居（切换标签页）：

• 在线用户：设备侧采集到的终端快照，每 30 秒自动刷新。列包括 IP、MAC、用户名、来源、认证方式、在线时长、AP/端口、VLAN、SSID。
• 「来源」列显示 ARP 表 / dot1x 表 / AAA 表，表示这条记录从哪张设备表取得；同一终端若既有 ARP 记录、又能读到认证身份，会自动合并成一行，不会重复出现。
• 「认证方式」形如「Web Portal 认证（设备:web）」时，括号内是设备直报的认证类型、括号外是平台判定口径，设备不提供该信息时没有括号。显示「预认证（未认证）」表示设备已为该终端建立会话、但认证还没走完，这类终端仍会列出。
• 「AP/端口」列：无线用户的接入点以 AP 的 MAC 表示（如 307b-ac60-ad60）；交换机上的有线用户显示实际接入端口（如 GigabitEthernet1/0/24）。
• 「VLAN」为终端所属 VLAN；「SSID」只在无线场景有值，有线场景显示 -。
• 默认只显示有身份的记录：既没有用户名、又定位不到具体接入点/端口的记录（多为网关、同网段服务器地址）会被折叠，页面提示「已隐藏 N 条无身份记录」，勾选「显示全部记录」即可展开 —— 属预期行为，不是漏采。
• 邻居：LLDP 邻居信息（本端端口、远端系统名、远端管理IP、远端端口、chassisId、能力、操作）。
• 对有管理IP且未纳管的邻居，操作列显示蓝色「纳管」链接；点击后系统以本设备的团体名/版本/端口为新设备建档（先只读统计再二次确认）。
• 已纳管的邻居显示「-」；无管理IP的显示灰色「无管理IP」。
• 选项卡右侧有绿色「在线用户核对 +」按钮，点击进入差异核对页。

3.4 设备发现（子网扫描）

在设备列表点「设备发现」按钮，弹出三步式扫描入库页面，用于批量发现网段内的 SNMP 设备并一键录入档案。

3.4.1 第一步：扫描参数

点「开始扫描」前，系统会依次检查： IP 格式、IP 数量是否超上限、团体名非空、端口范围、超时范围。全部通过后弹出「请确认已获得网络管理员授权」的二次确认框，确认后才发起扫描。

3.4.2 第二步：扫描进度

页面上方显示进度条与文字统计：「已探测 N / 总数，发现设备 M 台」，每 1.5 秒自动刷新。扫描期间可随时点「停止扫描」中断，已发现的设备仍保留在结果中。

3.4.3 第三步：审核入库

扫描结束后，结果区以表格列出所有发现的设备：

入库选项：

点「提交入库」后系统先做只读统计（「将新增 N 台、覆盖 M 台、跳过 K 台」），再弹二次确认，确认后才真正写入数据库。完成后自动关闭弹层并刷新设备列表。

注意事项

• 本功能全程只读探测（GET sysDescr/sysName），不向设备下发任何写操作。
• 单次扫描的 IP 总数有上限（页面提示可见），超出拒绝并提示分批扫描。
• 发现结果只在内存缓存 30 分钟，关闭弹层后超时重进需重新扫描。

四、端口监控管理

4.1 端口监控列表

查询条件：编号、设备（下拉）、端口别名。

列表字段：

按钮：删除勾选、添加、刷新、查询、数据设置。

4.2 添加 / 修改端口监控

端口选择弹层

点「选择端口」按钮后，系统按以下流程获取端口清单：

1. 若未选「所属设备」，提示「请先选择所属设备」并阻止。
2. 先读最近一次采集快照（内存）；有数据则直接渲染弹层。
3. 内存无数据且设备在线 → 弹出「本功能会向设备发送 SNMP 只读请求，请确认已授权」确认框，确认后实时扫描。
4. 设备离线 → 仍显示上次快照数据，并在顶部加黄色警告横幅「设备当前离线，数据为最近一次采集快照」。

弹层内容：

端口行带有以下标注：

操作按钮：

• 回填选中：把单选选中的端口信息自动填入表单的 ifIndex、端口别名、物理端口三个字段（设备侧无值时不覆盖用户已填内容），并关闭弹层。
• 取消：直接关闭不修改表单。

选择已登记端口并提交保存时，系统会提示「该设备+端口已存在，是否覆盖？」：

• 确认覆盖：更新已有记录的「监控状态、错误阈值、物理端口描述」，保留已手工命名的端口别名。
• 取消：回到表单，可改选其他端口。

新增页没有「[本次修改]」标注（因为不存在正在修改的记录）；修改页打开弹层时当前端口会自动选中并显示蓝色标注。

错误阈值参考：

注意事项

• 错误阈值生效的前提是：本策略选了「监控」，且「告警规则」中存在类型「错误/丢包超阈值」的规则。
• 校准方法：先在设备详情页观察端口表里的「错误pps」「丢包pps」实际值，运行 1~2 天后再确定阈值。

五、告警规则管理

5.1 告警规则列表

查询条件：编号、设备（下拉）、告警类型（下拉）。

列表字段：

按钮：删除勾选、添加、刷新、查询、数据设置。

5.2 添加 / 修改告警规则

各类型的阈值含义：

操作步骤：

1. 在告警规则列表点「添加」。
2. 选择告警类型。
3. 选择适用设备（选「全局」对所有设备生效）。
4. 填写阈值（参考上表推荐值）。
5. 设置持续周期（防抖次数，越大越不容易误报）。
6. 选择是否推送通知。
7. 点「保存」。

注意事项

• 同一类型可配多条规则（不同设备不同阈值），系统取优先级最高的一条。
• 切换告警类型时，页面会自动刷新阈值提示文案，按提示填写推荐值即可。

六、活跃告警

实时展示当前正在触发的告警，数据来自内存状态机（不落库），每 30 秒自动刷新。服务重启后按规则重新累计。

6.1 统计栏

页面顶部显示四类计数：

6.2 筛选器

三个下拉可组合筛选（前端即时过滤，统计数字不受筛选影响）：

6.3 告警表字段

6.4 忽略与取消忽略

• 忽略：确认后该告警不再自动通知，且条件消失也不会自动清除（尊重人工处置）。
• 取消忽略：重新开始判定，条件持续满足时会再次触发通知。
• 操作前有确认弹窗，操作后自动刷新列表。

七、在线用户核对

对比平台侧 RADIUS 在线用户与设备侧 ARP/802.1X 采集结果，找出差异。每 30 秒自动核对一次，数据只存内存不落库。

7.1 操作与统计

7.2 三类差异表

① 平台在线 - 设备不在线（建议下线）

RADIUS 认为在线、但设备侧未发现该终端的会话（可能是"幽灵会话"——设备已清除但计费 Stop 报文丢失）。

同一 IP 若有多条会话（重连未下线/NAT 后多终端），会出现多行，各自可单独下线。

② 设备在线 - 平台不在线（引导认证）

设备侧发现、但平台未认证在线的终端（未走 Portal/802.1X 认证流程）。

此表仅展示，不做操作。终端需要自行走认证流程上线。

默认只显示有身份的记录（有用户名，或能定位到具体接入点/端口）；没有用户名、且只挂在三层接口上的记录（网关、同网段服务器地址）默认折叠，勾选「显示全部记录（含无身份的 ARP/网关地址）」可展开。折叠只影响显示，不影响差异计数。

③ 信息不一致（MAC/用户名不符）

两侧都存在（按 IP 匹配），但 MAC 或用户名不一致，需人工核实。

注意事项

• 若「本设备在线用户」为 0，请先检查设备管理 IP 与 NAS 上报的 NAS-IP-Address 是否一致，或在设备档案里补填「关联NAS」。
• 强制下线走 RADIUS CoA 通道，SNMP 全程只读，不会修改设备配置。

八、告警通知设置

配置告警升级时的通知渠道与 Webhook 地址。

8.1 通知渠道

告警升级为「活跃」且规则勾选「推送」时，按勾选渠道分发一次。

8.2 Webhook 地址配置

企业微信没有密钥（官方只提供可选的 IP 白名单），所以只有一个地址框。

三家创建入口速查：

• 钉钉：群设置 → 智能群助手 → 添加机器人 → 自定义（Webhook 接入）。安全设置必选一项，选「加签」则填密钥，选「自定义关键词」则关键词必须出现在告警标题中。
• 企业微信：群聊 → 右上角「…」→ 消息推送（v4.1.41 起由「群机器人」改名）→ 添加 → 新建。只有内部群支持。
• 飞书：群设置 → 群机器人 → 添加机器人 → 自定义机器人。勾选签名校验才需填密钥。

8.3 推送效果示例

配置完成并勾选对应渠道后，告警升级瞬间会向指定群推送一条文本消息，正文首行为「标题前缀：告警类型」（默认前缀「SNMP网管告警」），随后依次列出设备名与管理 IP、告警类型、详情、连续周期数与触发时间。恢复消息额外带「（已恢复）」标记与「已于…恢复；持续 N 分钟」的收尾。三家效果如下：

钉钉（群机器人）

企业微信（消息推送）

飞书（群机器人）

三家正文文本一致，仅客户端渲染样式不同。若群里没有收到消息，请按「十、常见问题」中「告警推送了钉钉/企微/飞书但群里没消息」一行逐条排查。

8.4 其余字段

8.5 按钮

注意事项

• 钉钉/企业微信/飞书三个 Webhook 渠道有频率限制（钉钉/企微 20 条/分钟、飞书 100 条/分钟），消息排队由后台线程每 3 秒发一条，队列最多缓存 200 条。
• 填错密钥时，可用「测试发送」当场验证。
• 5 个输入框必须始终填写或留空，删除任何一个会导致保存时把库里已存的值清空。

九、网管拓扑

以力导向图可视化展示设备之间的互联关系。拓扑数据来自 LLDP 邻居发现（设备需启用 LLDP 功能），连线中间标注两端互联端口。

9.1 操作

9.2 图例说明

9.3 节点标签

设备名 + 状态标记（[离线]/[告警N]/[未纳管]） + 管理 IP。

9.4 连线标注

两端端口名称缩写（如 GE1/0/1 ↔ GE0/1），可附带链路利用率与并行链路数。

9.5 纳管未登记邻居

拓扑中的灰色虚节点（标签带 [未纳管]）代表 LLDP 发现的邻居设备尚未录入设备档案。对这些节点：

1. 鼠标悬停该虚节点 → tooltip 底部显示蓝色「点击按来源设备凭据纳管此邻居」链接。
2. 点击链接 → 弹出确认框，显示即将创建的设备信息（管理 IP、来自哪台设备的邻居发现）。
3. 确认 → 系统自动以来源设备的 SNMP 团体名与版本为新邻居建档并启用采集。顶部状态栏显示红色「正在入库中…（约 6 秒后自动刷新拓扑，期间不能重复提交）」。
4. 约 6 秒后拓扑自动刷新，该节点从灰色虚节点变为实线设备节点（带图标和管理 IP），同时可点击进入详情页。

注意事项：

• 纳管期间不能重复提交：锁定期内再次悬停该节点，链接显示为灰色「正在入库中，请稍候…」，无法点击。
• 确认弹窗点「×」关闭后状态自动恢复，不产生任何改动。
• 纳管只建档（默认不监控），需到设备档案修改「是否监控」才会开始采集。

注意事项

• 若设备未启用 LLDP 或尚未完成采集，拓扑区域显示「暂无拓扑数据」的空态提示。
• 未纳管邻居（设备发现但对端未建档）会以灰色图标显示；纳管后变为对应厂商图标并参与拓扑连线。

十、常见问题