iMC EIA 钉钉认证

典型配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：5W123-20240424

产品版本：EIA 7.3 (E0630)

 

目  录

1 介绍··· 1

2 使用指南··· 1

2.1 使用场合·· 1

2.2 注意事项·· 1

3 配置举例··· 1

3.1 组网需求·· 1

3.2 配置步骤·· 2

3.2.1 钉钉开放平台配置·· 2

3.2.2 EIA服务器配置·· 10

3.2.3 接入设备配置·· 22

3.3 配置验证·· 24

3.4 附录 问题排查·· 28

3.4.1 附录A 获取钉钉用户失败问题排查·· 28

3.4.2 附录B 系统中未配置当前钉钉应用·· 30

3.4.3 附录C 页面二维码加载失败·· 31

3.4.4 附录D 一键认证点击无反应·· 31

 

1  介绍

钉钉认证是指iMC EIA与钉钉应用联动，通过企业在钉钉应用中已创建的用户来完成用户身份合法性校验的一种认证方式。

2  使用指南

2.1  使用场合

适用于需要使用钉钉与iMC共同来完成网络访问控制的企业或机构。

2.2  注意事项

钉钉认证EIA（E0632P05）及以后版本支持Portal穿越NAT组网，但是在该组网下不支持APP内点击应用一键上网功能。

3  配置举例

3.1  组网需求

某公司使用钉钉来管理企业员工考勤，公司内部员工已经注册过钉钉应用，公司内部的终端PC需要通过钉钉应用授权来访问外部网络。具体组网如图1所示。

·     PC为某公司内部使用的电脑终端。

·     EIA服务器IP地址为192.167.39.116。

·     接入设备管理IP地址为192.167.1.212，计算机接入交换机的GE 1/0/5接口。

·     钉钉服务器的域名为login.dingtalk.com。

 

图1 组网图

 

注：本案例中各部分使用的版本如下：

·     EIA版本为iMC EIA 7.3 (E0630)

·     接入设备为H3C S5560X-34C-HI Comware Software, Version 7.1.070, ESS 6515P06

3.2  配置步骤

3.2.1  钉钉开放平台配置

钉钉的配置包括：

·     创建应用

·     应用配置

·     权限分配

·     应用发布

1. 创建应用

(1)     使用钉钉账号登录钉钉开放平台，选择“应用开发>企业内部开发”菜单项，进入企业内部开发页面，然后单击<创建应用>按钮，如图2所示。

图2 创建应用

 

(2)     进入创建企业内部应用页面，进行如下配置，如图3所示。

¡     应用类型：选择“H5微应用”选项；

¡     应用名称：填写应用名称；

¡     应用描述：填写应用描述信息；

¡     应用图标：上传应用图标；

¡     开发方式：选择“企业自主开发”。

图3 创建企业内部应用

 

(3)     单击<确认创建>按钮，完成配置如图4所示，进入应用信息界面。

图4 应用信息

 

2. 应用配置

(1)     选择“开发管理”，单击右上角<修改>按钮，配置开发管理信息，然后单击保存，如图5所示。配置参数如下：

¡     服务器出口IP：配置iMC微信认证服务器的公网IP和私网IP。

¡     应用首页地址：格式为http://ip:port/weixin/dd。IP为iMC微信认证服务器的私网IP下图为钉钉app内一键认证地址。

-     钉钉app内一键认证地址：http://192.167.39.116:8080/weixin/dd?ssid=00_esmdev。

-     扫码认证首页地址:http://192.167.39.116:8080/weixin/ddScanAuth.jsp?ssid=00_esmdev。

-     网页一键认证首页地址：http://192.167.39.116:8080/weixin/ddWelcome.jsp?ssid=00_esmdev。

¡     PC端首页地址：如果需在钉钉PC端使用钉钉认证功能，需填写PC端首页地址，格式与应用首页地址相同。

¡     管理后台地址：不需填写。

图5 应用配置

 

(2)     如果是做扫码认证，单击创建好的应用，选择“登录与分享”，配置回调域名。格式为：http://iMC微信认证服务器IP:端口，如图6所示。

图6 扫码应用配置回调域名

 

(3)     单击<添加>按钮，配置完成，如图7所示。

图7 回调域名

 

3. 权限分配

(1)     选择“权限管理”，添加接口权限。

(2)     选择个人权限，然后选择个人手机号权限、通讯录个人信息读权限，如图8所示。

图8 个人权限

 

(3)     选择通讯录管理所有权限，如图9所示。

图9 通讯录管理

 

(4)     选择身份验证所有权限，如图10所示。

图10 身份验证权限

 

(5)     选择获取凭证所有权限，如图11所示。

图11 获取凭证

 

(6)     选择互联平台，然后选择钉钉通讯录管理组织读权限，如图12所示。

图12 互联平台

 

(7)     选择完权限之后，单击<批量申请>按钮，如图13所示。

图13 批量申请

 

4. 应用发布

(1)     选择“版本管理与发布”，添加可使用人员，然后单击<确认发布>按钮，发布应用，如图14所示。

图14 版本管理与发布

 

5. 查看应用基本信息

(1)     选择“应用信息”，查看AgentID、AppKeyID和AppSecret，如图15所示。

图15 应用凭证

 

(2)     选择“首页”页签，进入开始界面，可查看CorpID和API Token，如图16所示。

图16 开始

 

3.2.2  EIA服务器配置

EIA中的配置包括：

·     接入设备

·     接入策略

·     接入服务

·     钉钉认证

·     Portal服务

1. 接入设备

增加接入设备是为了建立EIA服务器和接入设备之间的联动关系。增加接入设备的方法如下：

(1)     在“用户”菜单下，选择“接入策略管理>接入设备管理>接入设备配置”菜单项，进入接入设备配置页面，如图17所示。

图17 接入设备配置

 

(2)     单击<增加>按钮，进入增加接入设备页面，如图18所示。

图18 增加接入设备页面

 

(3)     接入设备配置参数说明：

¡     认证端口：EIA监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致。EIA和接入设备一般都会采用默认端口1812。

¡     计费端口：EIA监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致。EIA和接入设备一般都会采用默认端口1813。

 

¡     共享密钥/确认共享密钥：输入两次相同的共享密钥。接入设备与EIA配合进行认证时，使用该密钥互相验证对方的合法性。此处的配置必须与接入设备命令行配置的共享密钥保持一致。如果[用户>接入策略管理>业务参数配置>业务参数配置]系统参数中的“密钥显示方式”设置为明文时，只需输入一次共享密钥即可，本例配置为“fine”。

¡     其他参数：保持默认。

(4)     配置接入设备：

配置接入设备有两种方法：

¡     在设备列表中单击<选择>按钮，弹出选择设备窗口，根据IP地址从iMC平台中选择设备。单击<确定>按钮，增加设备成功，返回增加接入设备页面。

¡     在设备列表中单击<手工增加>按钮，弹出手工增加接入设备窗口，如图19所示。在起始IP地址处输入接入设备的IP地址。单击<确定>按钮，增加设备成功，返回增加接入设备页面。

图19 增加设备

 

无论采用哪种方式接入设备的IP地址都必须满足以下要求：

¡     如果在接入设备上配置radius scheme时配置了nas ip命令，则EIA中接入设备的IP地址必须与nas ip的配置保持一致。

¡     如果未配置nas ip命令，则EIA中接入设备的IP地址必须是设备连接EIA服务器的接口IP地址（或接口所在VLAN的虚接口IP地址）。

参数设置完成后的效果图如图20所示。

图20 接入设备参数配置

 

(5)     单击<确定>按钮，接入设备增加完毕。点击返回接入设备列表页面，可在接入设备列表中查看新增的接入设备，如图21所示。

图21 查看增加的接入设备

 

2. 接入策略

增加接入策略的方法如下：

(1)     在“用户”菜单下，选择“接入策略管理>接入策略管理”菜单项，进入接入策略管理页面，如图22所示。

图22 接入策略管理页面

 

(2)     单击<增加>按钮，进入增加接入策略页面。输入接入策略名称，本例中策略名配置为“portal-stra”。其他参数保持缺省值即可，如图23所示。

图23 增加接入策略

 

(3)     单击<确定>按钮，接入策略增加完毕。返回接入策略管理页面，可在接入策略列表中查看新增的接入策略，如图24所示。

图24 查看增加的接入策略

 

3. 接入服务

接入服务是对用户进行认证授权的各种策略的集合。本例不对用户进行任何接入控制，因此只需增加一个简单的接入服务即可。增加接入服务的方法如下：

(1)     在“用户”菜单下，选择 “接入策略管理>接入服务管理”菜单项，进入接入服务管理页面，如图25所示。

图25 接入服务管理页面

 

(2)     单击<增加>按钮，进入增加接入服务页面，如图26所示。

图26 增加接入服务页面

 

配置服务的各个参数：

·     服务名：输入服务名称，在EIA中必须唯一。本例中服务名为“portal-serv”。

·     服务后缀：如何设置服务后缀与接入设备中的配置密切相关，具体请参见表1。本例中，设备RADIUS相关命令配置为携带domain，因此需要配置服务后缀。

·     缺省接入策略：选择之前配置的接入策略“portal-stra”。

·     其他参数：保持缺省值。

表1 服务后缀与接入设备配置的搭配关系

用户名	设备用于认证的Domain	设备RADIUS配置的相关命令	EIA中的服务后缀
计算机全名	[Default Domain] （设备上指定的缺省域）	user-name-format with-domain	[Default Domain]
		user-name-format without-domain	无后缀

 

 

(3)     单击<确定>按钮，接入服务增加完毕。返回接入服务管理页面，可在接入服务列表中查看新增的接入服务，如图27所示。

图27 查看新增的接入服务

 

4. 钉钉认证

iMC EIA钉钉认证配置目的是对接在钉钉中创建的应用，以及钉钉用户在iMC中的开户信息。增加钉钉认证的方法如下：

(1)     在“用户”菜单下，选择 “接入策略管理>钉钉认证”菜单项，进入钉钉认证页面，如图28所示。

图28 钉钉认证页面

 

(2)     单击<增加>按钮，进入增加钉钉认证页面，如图29所示。

图29 增加钉钉认证面

 

配置参数说明：

·     应用名称：本例为“扫码认证”。

·     SSID：此应用对应的WIFI名称。当配置多个钉钉应用时必须配置SSID。

·     钉钉类型：iMC支持普通钉钉和专有钉钉应用。本例使用“普通钉钉”。

·     CorpID：企业ID，每一个钉钉企业帐户都有一个企业ID，从钉钉开放平台获取，获取方式参考3.2.1  5. 查看应用基本信息，本例为dinga4a98fe3f889979e35c2f4657eb6378f。

·     AgentId：应用AgentId。每个应用都有一个唯一的AgentId，从钉钉开放平台获取，获取方式参考3.2.1  5. 查看应用基本信息，本例为2453805154。

·     AppKey：应用公匙，每个企业下可以创建多个应用，每个应用都有一个唯一的应用公匙，从钉钉开放平台获取，获取方式参考3.2.1  5. 查看应用基本信息，本例为dingbzj9q5bdfzcx0wtk。

·     AppSecret       ：应用密钥，每个企业下可以创建多个应用，每个应用都有一个唯一的应用密钥，从钉钉开放平台获取，获取方式参考3.2.1  5. 查看应用基本信息，本例为OWvfGySfLRROQHAYb396ZFb0PPvZHeaFZvv4xXrBzih-FUhBoiO6oN7O2MjldWcJ。

·     认证URL：从钉钉服务器获取用户信息后需调用的用于认证的服务器地址。认证URL配置为实际iMC微信认证服务器IP+端口，格式http://ip:port。例如：http://192.167.39.116:8080，末尾请不要带“/”。

·     认证成功后跳转URL：认证成功后跳转到的URL，不配置的话，将会跳转到系统内置的默认页面。必须以http或https开头。

·     帐户名：开户时使用钉钉用户的哪个属性作为帐户名，有用户ID、手机号两种，用户ID是在企业内唯一的用户帐号，如果使用手机号进行开户，请确保每个钉钉用户都录入了手机号，否则可能导致开户失败。

·     用户姓名：开户时使用钉钉用户的哪个属性作为用户姓名。

·     证件号码：开户时使用钉钉用户的哪个属性作为用户的证件号码。

·     在线数量限制：开户为接入用户时的在线数量限制，默认为1。

·     定时同步：定时将钉钉用户从钉钉同步到iMC的开关。启用时，会在每日凌晨30分自动进行同步。

·     自动开户：同步用户时，iMC中如果未存在此用户，是否自动开户，本例选择“开启”。

·     同步组织架构：同步用户时，是否将钉钉的部门架构同步到iMC。此参数启用时，同步用户的时候会将钉钉的部门架构同步到iMC的用户分组。

·     用户分组：开户时用户关联的接入用户分组。当此参数开启，同步时会将钉钉的组织架构同步到此用户分组下。

·     同步转移用户分组：已同步的钉钉用户，下次同步时按照用户在钉钉应用中的组织架构进行同步。普通钉钉目前暂不支持。

·     申请接入服务：开户接入用户时申请的接入服务。

(3)     单击<确定>按钮，钉钉应用增加完毕。返回钉钉认证页面，可在钉钉认证列表中查看新增的钉钉应用，如图30所示。

图30 查看新增的钉钉认证

 

5. Porta服务

钉钉认证是基于Portal认证实现的，需要在iMC中配置Portal认证参数。具体Portal认证配置的方法如下：

(1)     在“用户”菜单下，选择 “接入策略管理>Portal服务管理>IP地址组配置”菜单项，进入IP地址组配置页面，如图31所示。

图31 IP地址组配置

 

(2)     单击<增加>按钮，进入IP地址组添加页面，如图32所示。

图32 增加IP地址组

 

配置参数说明：

·     IP地址组名：IP地址组名称，起一个方便记忆的名称，本例为“212.1.5.0”。

·     起始IP地址：IP地址组的起始地址。

·     结束IP地址：IP地址组的结束地址。

·     业务分组：用于分权管理，使特定的人只能管理特性的业务，既职责分明，也不会互相越权。通过IP地址组的业务分组，分权管理。只有拥有该业务分组权限的管理员/维护员才能配置IP地址组。本例不指定特殊业务分组，使用默认“未分组”业务分组。

·     类型：IP地址组分为三种类型：普通、NAT、二次地址分配。本例使用“普通”类型。

(3)     单击<确定>按钮，完成IP地址组配置。返回IP地址组配置页面，可在列表中查看新增的地址组，如图33所示。

图33 查看新增的IP地址组

 

(4)     在“用户”菜单下，选择“接入策略管理>Portal服务管理>设备配置”菜单项，进入设备配置页面，如图34所示。

图34 设备配置页面

 

(5)     单击<增加>按钮，进入设备信息添加页面，如图35所示。

图35 增加设备

 

配置参数说明：

·     设备名：Portal接入设备的名称，不能和已经存在的任一设备名相同，本例为“zz-switch”。

·     IP地址：Portal接入设备的IP地址，本例为“192.167.1.212”即接入设备的IP地址。

·     密钥：Portal服务器与设备通信时两端需要配置相同的共享密钥，否则无法通过接收方的校验，本例为接入设备“192.167.1.212”的共享秘钥。

·     其他参数保持默认。

(6)     单击<确定>按钮，完成设备信息配置。返回设备配置页面，可在列表中查看新增的设备信息，如图36所示。

图36 设备配置信息

 

(7)     在设备信息列表的操作列，单击<端口组信息管理>，进入设备的端口组信息配置页面，如图37所示。

图37 端口组信息配置

 

(8)     单击<增加>按钮，进入增加端口组信息页面，如图38所示。

图38 增加端口组信息

 

配置参数说明：

·     端口组名：端口组的名称，不能和已添加的所有设备信息下已经存在的任一端口组名相同。

·     IP地址组：选择本端口组要使用的IP地址组。如果选择了NAT方式，那么本端口组只能选择公网的IP地址组。本例使用已添加的IP地址组“212.1.5.0”。

·     其他参数保持默认。

(9)     单击<确定>按钮，完成端口组信息配置。返回端口组信息配置页面，可在列表中查看新增的端口组信息，如图39所示。

图39 端口组信息

 

3.2.3  接入设备配置

1. RADIUS方案配置

配置RADIUS方案ddtest。

[sw_192.167.1.212]radius scheme ddtest

New RADIUS scheme.

配置RADIUS认证服务器IP，端口(端口默认为1812，与3.2.2  1. 接入设备EIA配置的认证端口保持一致)。

[sw_192.167.1.212-radius-ddtest]primary authentication 192.167.39.116 1812

配置RADIUS计费服务器IP，端口(端口默认为1813，与3.2.2  1. 接入设备EIA配置的计费端口保持一致)。

[sw_192.167.1.212-radius-ddtest]primary accounting 192.167.39.116 1813

配置RADIUS认证和计费密钥，与3.2.2  1. 接入设备EIA配置的共享密钥一致。

[sw_192.167.1.212-radius-ddtest]key authentication simple fine

[sw_192.167.1.212-radius-ddtest]key accounting simple fine

配置用户名格式，with-domain表示用户名后携带域名。

[sw_192.167.1.212-radius-ddtest]user-name-format with-domain

[sw_192.167.1.212-radius-ddtest]quit

2. Domain配置

配置Domain portal。

[sw_192.167.1.212]domain portal

指定关联的RADIUS方案。

[sw_192.167.1.212-isp-portal]authentication default radius-scheme ddtest

[sw_192.167.1.212-isp-portal]authorization default radius-scheme ddtest

[sw_192.167.1.212-isp-portal]accounting default radius-scheme ddtest

[sw_192.167.1.212-isp-portal]quit

将Domain imc 设置为默认域。

[sw_192.167.1.212]domain default enable portal

3. 创建无线服务模板

配置SSID，配置无线服务模板为vlan97

[sw_192.167.1.212] wlan service-template market3

[sw_192.167.1.212-wlan-st-market3] ssid ssid=00_esmdev

[sw_192.167.1.212-wlan-st-market3]vlan 97

[sw_192.167.1.212-wlan-st-market3]client-security authentication-mode mac

[sw_192.167.1.212-wlan-st-market3]mac-authentication domain portal

[sw_192.167.1.212-wlan-st-market3]service-template enable

4. 802.1X配置

不使用802.1X认证，全局和接口同时禁用802.1X功能。

[sw_192.167.1.212]undo dot1x

[sw_192.167.1.212]int g1/0/5

[sw_192.167.1.212-GigabitEthernet1/0/5]undo dot1x

[sw_192.167.1.212-GigabitEthernet1/0/5]quit

5. Portal Server配置

配置portal server ddtest。

[sw_192.167.1.212]portal server ddtest

New portal server added.

portal server ip为EIA服务器的IP地址，秘钥为接入设备的共享秘钥。

[sw_192.167.1.212-portal-server-ddtest]ip 192.167.39.116 key simple fine

[sw_192.167.1.212-portal-server-ddtest]di th

#

portal server ddtest

 ip 192.167.39.116 key cipher $c$3$Hos6bQDj0Y/7UjK3LZm8YS7PrQZwdmkZ

#

return

[sw_192.167.1.212-portal-server-ddtest]quit

6. Portal Web-Server配置

配置portal web-server ddtest。

[sw_192.167.1.212]portal web-server ddtest

New portal web-server added.

钉钉认证页面配置portal认证重定向地址，并携带路径参数ssid即在钉钉认证中配置的无线网络ID。

[sw_192.167.1.212-portal-websvr-ddtest]url http://192.167.39.116:8080/weixin/ddScanAuth.jsp?ssid=00_esmdev//扫码认证

[sw_192.167.1.212-portal-websvr-ddtest]url http://192.167.39.116:8080/weixin/ddWelcome.jsp?ssid=00_esmdev//网页一键认证

[sw_192.167.1.212-portal-websvr-ddtest] url-parameter userip source-address

[sw_192.167.1.212-portal-websvr-ddtest]di th

#

portal web-server ddtest

 url http://192.167.39.116:8080/weixin/ddScanAuth.jsp?ssid=00_esmdev

portal web-server ddtest

http://192.167.39.116:8080/weixin/ddWelcome.jsp?ssid=00_esmdev

#

Return

[sw_192.167.1.212-portal-websvr-ddtest]captive-bypass ios optimize enable

[sw_192.167.1.212-portal-websvr-ddtest]quit

 

7. VLAN配置

[sw_192.167.1.212]int vlan5

//配置直连。

[sw_192.167.1.212-Vlan-interface5]portal enable  method direct

//配置domain portal

[sw_192.167.1.212-Vlan-interface5]portal domain  portal

//配置使用已创建的portal web-server ddtest。

[sw_192.167.1.212-Vlan-interface5]portal apply web-server ddtest

[sw_192.167.1.212-Vlan-interface5]di th

#

interface Vlan-interface5

 description Auth_56.254_Nic5

 ip address 212.1.5.1 255.255.255.0

 dhcp server apply ip-pool vlan5

 portal enable method direct

 portal domain portal

 portal apply web-server ddtest

#

return

[sw_192.167.1.212-Vlan-interface5]quit

8. Portal Free-Rule配置

配置钉钉服务器IP（IP如下4条，都必须配置）、*.servicewechat.com和iMC微信认证服务器的域名、钉钉服务器域名、其他域名。

[sw_192.167.1.212]portal free-rule 0 source ip any destination ip 203.119.0.0 25

5.255.0.0

[sw_192.167.1.212]portal free-rule 1 source ip any destination ip 140.205.0.0 25

5.255.0.0

[sw_192.167.1.212]portal free-rule 2 source ip any destination ip 106.11.0.0 255

.255.0.0

[sw_192.167.1.212]portal free-rule 3 source ip any destination ip 198.11.0.0 255

.255.0.0

[sw_192.167.1.212]portal free-rule 4 destination *.servicewechat.com

[sw_192.167.1.212]portal free-rule 5 destination login.dingtalk.com

[sw_192.167.1.212]portal free-rule 6 destination oapi.dingtalk.com

[sw_192.167.1.212]portal free-rule 7 destination open.dingtalk.com

[sw_192.167.1.212]portal free-rule 8 destination g.alicdn.com

[sw_192.167.1.212]portal free-rule 9 destination at.alicdn.com

3.3  配置验证

1. 钉钉内点击应用一键上网

(1)     使用移动终端连接名为“00_esmdev”的无线网络，登录钉钉客户端。

(2)     在工作台中，点击上网应用，进行认证，如图40所示。

图40 钉钉一键认证

 

(3)     打开一键上网应用后，无需输入账号、密码，钉钉用户直接上线成功，如图41所示。

图41 钉钉一键认证成功

 

2. 网页一键认证

(1)     使用移动终端连接名为“00_esmdev”的无线网络，点击任意网页或等待弹出认证页面。

(2)     单击<请打开钉钉进行认证上网>按钮，自动拉起钉钉客户端进行认证，如图42所示。

图42 网页一键认证

 

3. 网页扫码认证

(1)     PC开机后连接名为“00_esmdev”的无线网络，点击任意网页或等待弹出扫码认证页面。如图43所示。

图43 钉钉扫码认证页面

 

(2)     使用安装了钉钉的移动终端，打开钉钉APP进行扫码然后确认授权，如图44所示。

图44 扫码登录授权

 

(3)     确认授权后，终端认证成功，页面跳转到认证成功页，终端即正常可访问网络，如图45所示。

图45 扫码认证成功

 

4. 用户自动同步与上线

(1)     完成认证后，钉钉用户自动同步到iMC中，在“用户>接入用户”中，输入钉钉账号名可以看到用户已同步到iMC，如图46所示。

图46 钉钉同步为接入用户

 

(2)     认证成功后，同时可在iMC中的在线用户列表中查询到已在线的终端用户。如图47所示。

图47 在线用户

 

3.4  附录 问题排查

3.4.1  附录A 获取钉钉用户失败问题排查

1. 问题现象

终端接入SSID后，打开钉钉客户端进行认证，认证失败，提示“获取钉钉用户失败，如图48所示。

图48 获取钉钉用户失败

 

2. 排查方法

(1)     登录iMC，进入“系统管理>系统配置>日志配置”菜单项，找到进程名为“jserver”的日志，将日志级别修改为“DEBUG”，单击<下载>按钮，下载日志，如图49所示。

图49 下载日志

 

(2)     打开下载的imcforeground.log日志，搜索“get dingding user err”查找到对应的错误日志信息。

(3)     定位到错误日志处，可查看到打印的错误信息中包含“访问IP不在白名单中”。可知此问题的原因是：当前终端所在网络的出口IP不在可访问钉钉应用的白名单中，请求被拦截，故获取不到钉钉的用户信息。

3. 解决方案

(1)     在日志信息中，打印的错误信息“get dingding user err”处可查看到当前被拦截的IP，复制此IP。

(2)     登录钉钉开放平台，进入“应用>企业内部开发>H5微应用，选择对应的应用，选择“开发管理”页签，将IP添加到“服务器出口IP”并保存，重新认证即可。

3.4.2  附录B 系统中未配置当前钉钉应用

1. 问题现象

当iMC中配置了多个钉钉应用，终端接入SSID后，打开钉钉客户端进行认证，认证失败，提示“系统中未       配置当前钉钉应用”，如图50所示。

图50 系统中未配置当前钉钉应用

 

2. 排查方法

登录iMC，进入“用户>接入策略管理>钉钉认证，查看钉钉应用是否均配置了SSID。

3. 解决方案

(1)     若iMC中有多个钉钉应用，且SSID未配置，请配置对应的SSID。应用和SSID一定要匹配。例如终端连接WIFI “wifi_1”，需要在钉钉客户端点击应用“认证上网1”进行认证，才可成功接入网络，那么在iMC中对应钉钉应用“认证上网1”中，SSID必须设置为“wifi_1”。

(2)     若iMC中有多个钉钉应用且均配置了SSID，那么需要修改钉钉开放平台中对应应用的应用首页地址。登录钉钉开放平台，进入“应用>企业内部开发>H5微应用”，选择应用，选择“开发管理”页签，在原有的应用首页地址后添加“?ssid=xxx”，ssid的值与应用对应。

3.4.3  附录C 页面二维码加载失败

1. 问题现象

iPhone手机、MAC电脑或其他部分终端连接WIFI后自动弹出的扫码页面，二维码加载失败。

2. 解决方案

重新连接WIFI，等待自动弹出页面或进入浏览器手动触发跳转至扫码页面。

3.4.4  附录D 一键认证点击无反应

1. 问题现象

iPhone手机、MAC电脑或其他部分终端连接WIFI后自动弹出一键认证页面，点击后无反应。

2. 解决方案

由于自动弹出的浏览器不兼容，点击一键认证后无法弹出打开钉钉客户端的提示框，需要切换浏览器，手动触发跳转至一键认证页面，进行一键认证。