目  录

第1章 Portal配置

1.1 Portal简介

1.1.1 Portal概述

1.1.2 Portal认证方式对EAD的支持

1.1.3 Portal的系统组成

1.1.4 Portal的认证方式

1.1.5 Portal认证过程

1.2 Portal配置任务简介

1.3 Portal的基本配置

1.3.1 配置准备

1.3.2 配置Portal

1.4 配置免认证规则

1.5 配置认证网段

1.6 配置强制用户下线

1.7 Portal显示和维护

1.8 Portal典型配置举例

1.8.1 Portal直接认证方式配置举例

1.8.2 Portal二次地址分配认证方式配置举例

1.8.3 三层Portal认证方式配置举例

1.8.4 Portal直接认证方式（支持EAD）配置举例

1.9 常见配置错误举例

1.9.1 接入设备和Portal服务器上的密钥不一致

1.9.2 接入设备上服务器端口配置错误

第1章  Portal配置

1.1  Portal简介

1.1.1  Portal概述

Portal在英语中是入口的意思。Portal认证通常也称为Web认证，一般将Portal认证网站称为门户网站。

未认证用户上网时，设备强制用户登录到特定站点，用户可以免费访问其中的服务。当用户需要使用互联网中的其它信息时，必须在门户网站进行认证，只有认证通过后才可以使用互联网资源。

用户可以主动访问已知的Portal认证网站，输入用户名和密码进行认证，这种开始Portal认证的方式称作主动认证。反之，如果用户试图通过HTTP访问其他外网，将被强制访问Portal认证网站，从而开始Portal认证过程，这种方式称作强制认证。

Portal业务可以为运营商提供方便的管理功能，门户网站可以开展广告、社区服务、个性化的业务等，使宽带运营商、设备提供商和内容服务提供商形成一个产业生态系统。

1.1.2  Portal认证方式对EAD的支持

Portal认证方式也支持EAD，通过强制接入终端实施补丁和防病毒策略，加强网络终端对病毒攻击的主动防御能力：

l              在Portal身份认证的基础上增加了安全认证机制，可以检测接入终端上是否安装防病毒软件、是否更新病毒库、是否安装了非法软件、是否更新操作系统补丁等；

l              用户通过身份认证后仅仅获得访问部分互联网资源（受限资源）的权限，如病毒服务器、操作系统补丁更新服务器等；当用户通过安全认证后便可以访问更多的互联网资源（非受限资源）。

1.1.3  Portal的系统组成

Portal的典型组网方式如图1-1所示，它由五个基本要素组成：认证客户端、接入设备、Portal服务器、认证/计费服务器和安全策略服务器。

图1-1 Portal系统组成示意图

1. 认证客户端

安装于用户终端的客户端系统。为运行HTTP/HTTPS协议的浏览器或运行Portal客户端软件的Host。如果需要支持EAD认证，那么必须使用Portal客户端软件才可以，并且该客户端软件也必须支持EAD。

2. 接入设备

交换机、路由器等宽带接入设备的统称，主要有三方面的作用：

l              在认证之前，如果不采用Portal客户端，用户直接使用IE上网浏览，那么设备将用户的HTTP请求重定向到Portal服务器；如果采用Portal客户端，那么在用户创建连接的时候，设备将会返回给客户端Portal服务器的IP地址、服务端口等信息。

l              与Portal服务器、认证/计费服务器、安全策略服务器交互，完成身份认证、安全认证、计费等功能。

l              在认证通过后，允许用户访问被管理员授权的部分互联网资源。

3. Portal服务器

接受Portal客户端认证请求的服务器端系统，提供免费门户服务和基于Web认证的界面，与接入设备交互认证客户端的认证信息。

4. 认证/计费服务器

与接入设备进行交互，完成对用户的认证和计费。

5. 安全策略服务器

与Portal客户端、接入设备进行交互，完成对用户的安全认证，并对用户进行授权操作。

以上五个基本要素的交互过程为：

(1)        对于一个未认证用户访问网络的情况

l              对于不使用Portal客户端的方式：用户在IE地址栏中输入一个互联网的地址，那么此HTTP请求在经过接入设备时会被重定向到Portal服务器的Web认证主页上；

l              对于使用Portal客户端的方式：接入设备检测到来自用户的TCP/UDP请求报文时，向Portal客户端发送强制认证报文。客户端弹出认证对话框等待用户输入。

(2)        用户在认证主页/认证对话框中输入认证信息后提交，Portal服务器会将用户的认证信息传递给接入设备；

(3)        然后接入设备再与认证/计费服务器通信进行认证和计费；

(4)        认证通过后

l              对于不使用Portal客户端的方式：接入设备会打开用户与互联网的通路，允许用户访问互联网；

l              对于使用Portal客户端的方式：Portal客户端、接入设备与安全策略服务器交互，对用户的安全检测通过之后，安全策略服务器根据用户的安全性授权用户访问非受限资源。

1.1.4  Portal的认证方式

Portal的认证方式分为两种：非三层认证方式和三层认证方式。

1. 非三层认证方式

非三层认证方式分为两种：直接认证方式和二次地址分配认证方式。

l              直接认证方式

用户在认证前通过手工配置或DHCP直接获取一个公网IP地址，只能访问Portal服务器，以及设定的免费访问地址；认证通过后即可访问Internet。认证流程相对二次地址较为简单。

l              二次地址分配认证方式

用户在认证前通过DHCP获取一个私网IP地址，只能访问Portal服务器，以及设定的免费访问地址；认证通过后，用户会申请到一个公网IP地址，即可访问Internet。该认证方式解决了IP地址规划和分配问题，对未认证通过的用户不分配公网IP地址。例如运营商对于小区宽带用户只在访问小区外部资源时才分配公网IP。

2. 三层认证方式

和直接认证方式基本相同，但是这种认证方式允许认证客户端和接入设备之间跨越三层转发设备。

3. 两者的区别

l              组网方式不同

三层认证方式的认证客户端和接入设备之间可以跨接三层转发设备；非三层认证方式则要求认证客户端和接入设备之间没有三层转发。

l              用户标识不同

由于三层认证可以跨接三层设备，而接入设备不会学习认证客户端的MAC地址信息，所以是以IP地址唯一标识用户；而非三层认证方式中的接入设备则可以学习到认证客户端的MAC地址，所以是以IP和MAC地址的组合来唯一标识用户。

以上不同的组网方式和用户标识特点使得认证客户端的MAC地址不变、IP地址改变时，在三层认证方式下会激发新的Portal认证，而在非三层认证方式下不会激发新的Portal认证。只有认证客户端的MAC地址和IP地址同时改变时，非三层认证方式下才会激发新的Portal认证。

1.1.5  Portal认证过程

直接认证和三层Portal认证流程相同。二次地址分配认证流程因为有两次地址分配过程，所以其认证流程和另外两种认证方式有所不同。

1. 直接认证和三层Portal认证的流程

图1-2 直接认证/三层Portal认证流程图

直接认证/三层Portal认证流程步骤：

如果做EAD安全认证,那么增加了步骤（8）、（9）。

(1)        Portal用户通过HTTP协议发起认证请求。HTTP报文经过接入设备时，对于访问Portal服务器或设定的免费访问地址的HTTP报文，接入设备允许其通过；对于访问其它地址的HTTP报文，接入设备将其重定向到Portal服务器。Portal服务器提供Web页面供用户输入用户名和密码来进行认证。

(2)        Portal服务器与接入设备之间进行CHAP（Challenge Handshake Authentication Protocol，质询握手验证协议）认证交互。若采用PAP（Password Authentication Protocol，密码验证协议）认证则直接进入下一步骤。

(3)        Portal服务器将用户输入的用户名和密码组装成认证请求报文发往接入设备，同时开启定时器等待认证应答报文。

(4)        接入设备与RADIUS服务器之间进行RADIUS协议报文的交互。

(5)        接入设备向Portal服务器发送认证应答报文。

(6)        Portal服务器向客户端发送认证通过报文，通知客户端认证（上线）成功。

(7)        Portal服务器向接入设备发送认证应答确认。

(8)        客户端和安全策略服务器之间进行安全信息交互。安全策略服务器检测接入终端的安全性是否合格，包括是否安装防病毒软件、是否更新病毒库、是否安装了非法软件、是否更新操作系统补丁等。

(9)        安全策略服务器根据用户的安全性授权用户访问非受限资源，授权信息保存到接入设备中，接入设备将使用该信息控制用户的访问。

2. 二次地址分配认证方式的流程

图1-3 二次地址分配认证方式流程图

二次地址分配认证流程步骤：

如果做EAD安全认证,那么增加了步骤（12）、（13）。

(1)～(6)同直接/三层Portal认证中步骤（1）～（6）。

(7)        客户端收到认证通过报文后，通过DHCP请求获得新的公网IP地址，并通知Portal服务器用户已获得新IP地址。

(8)        Portal服务器通知接入设备客户端获得新公网IP地址。

(9)        接入设备通过检测ARP协议报文发现了用户IP变化，并通告Portal服务器已检测到用户IP变化。

(10)    Portal服务器通知客户端上线成功。

(11)    Portal服务器向接入设备发送IP变化确认报文。

(12)    客户端和安全策略服务器之间进行安全信息交互。安全策略服务器检测接入终端的安全性是否合格，包括是否安装防病毒软件、是否更新病毒库、是否安装了非法软件、是否更新操作系统补丁等。

(13)    安全策略服务器根据用户的安全性授权用户访问非受限资源，授权信息保存到接入设备中，接入设备将使用该信息控制用户的访问。

1.2  Portal配置任务简介

表1-1 Portal配置任务简介

1.3  Portal的基本配置

1.3.1  配置准备

Portal提供了一个用户身份认证和安全认证的实现方案，但是仅仅依靠Portal不足以实现该方案。接入设备的管理者需选择使用RADIUS认证方法，以配合Portal完成用户的身份认证。Portal认证的配置前提：

l              使能Portal的接口已配置或者获取了合法的IP地址。

l              Portal服务器、RADIUS服务器已安装并配置成功。

l              若采用二次地址分配认证方式，接入设备需启动DHCP中继的安全地址匹配检查功能，另外需要安装并配置好DHCP服务器。

l              如果通过远端RADIUS服务器进行认证，则需要在RADIUS服务器上配置相应的用户名和密码，然后在接入设备端进行RADIUS客户端的相关设置。RADIUS客户端的具体配置请参见本手册“AAA-RADIUS-HWTACACS”模块的介绍。

l              如果做EAD安全认证，需要安装并配置安全策略服务器。同时保证在接入设备上的ACL配置和安全策略服务器上配置的受限资源ACL号、非受限资源ACL号对应。

1.3.2  配置Portal

表1-2 配置Portal

1.4  配置免认证规则

通过配置免认证规则（free-rule）可以让特定的用户访问外网特定资源，这是由免认证规则中配置的源信息以及目的信息决定的。符合免认证规则的报文不会触发Portal认证，而是直接访问网络资源。

表1-3 配置免认证规则

1.5  配置认证网段

通过配置认证网段只允许在认证网段范围内的用户IP才会触发Portal强制认证。如果非主动认证的用户IP既不满足免认证规则又不在认证网段内，则丢弃该报文。

表1-4 配置认证网段

1.6  配置强制用户下线

通过配置强制用户下线可以终止对指定IP地址用户的认证过程，或者将已经通过认证的指定IP地址的用户删除。

表1-5 配置强制用户下线

1.7  Portal显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后Portal的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除Portal统计信息。

表1-6 Portal显示和维护

1.8  Portal典型配置举例

1.8.1  Portal直接认证方式配置举例

1. 组网需求

l              配置交换机采用直接方式的Portal认证。用户在未通过Portal认证前，只能访问Portal服务器；用户通过Portal认证后，可以访问外部网络。

l              采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-4 配置Portal直接认证组网图

3. 配置步骤

在接入设备上进行以下配置。

(1)        配置RADIUS方案

# 创建名字为rs1的RADIUS方案并进入该方案视图。

<Switch> system-view

[Switch] radius scheme rs1

# 配置RADIUS方案的服务器类型为extended。

[Switch-radius-rs1] server-type extended

# 配置RADIUS方案的主认证和主计费服务器及其通信密钥。

[Switch-radius-rs1] primary authentication 192.168.0.112

[Switch-radius-rs1] primary accounting 192.168.0.112

[Switch-radius-rs1] key authentication radius

[Switch-radius-rs1] key accounting radius

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[Switch-radius-rs1] user-name-format without-domain

[Switch-radius-rs1] quit

(2)        配置认证域

# 创建并进入名字为dm1的ISP域。

[Switch] domain dm1

# 配置ISP域的RADIUS方案rs1。

[Switch-isp-dm1] authentication portal radius-scheme rs1

[Switch-isp-dm1] authorization portal radius-scheme rs1

[Switch-isp-dm1] accounting portal radius-scheme rs1

[Switch-isp-dm1] quit

# 配置系统缺省的ISP域dm1，所有接入用户共用此缺省域的认证和计费方式。

[Switch] domain default enable dm1

(3)        配置Portal认证

# 配置Portal服务器：名称为newpt，IP地址为192.168.0.111，密钥为portal，端口为50100，URL为http://192.168.0.111/portal。

[Switch] portal server newpt ip 192.168.0.111 key portal port 50100 url http://192.168.0.111/portal

# 在与用户Host相连的接口上使能Portal认证。

[Switch] interface vlan-interface 100

[Switch–Vlan-interface100] ip address 2.2.2.1 255.255.255.0

[Switch–Vlan-interface100] portal server newpt method direct

[Switch] quit

# 配置与服务器通信的接口IP地址。

[Switch] interface vlan-interface 2

[Switch–Vlan-interface2] ip address 192.168.0.100 255.255.255.0

[Sysname–Vlan-interface2] quit

1.8.2  Portal二次地址分配认证方式配置举例

1. 组网需求

l              配置交换机采用二次地址分配方式的Portal认证。用户通过DHCP服务器获取IP地址，Portal认证前分配一个私网地址；通过Portal认证后，用户申请到一个公网地址，才可以访问外部网络。

l              采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-5 配置Portal二次地址分配认证组网图

3. 配置步骤

在接入设备上进行以下配置。

# 配置Portal服务器：名称为newpt，IP地址为192.168.0.111，密钥为portal，端口为50100，URL为http://192.168.0.111/portal。

<Sysname> system-view

[Switch] portal server newpt ip 192.168.0.111 key portal port 50100 url http://192.168.0.111/portal

# 配置DHCP中继，并启动DHCP中继的安全地址匹配检查功能。

[Switch] dhcp enable

[Switch] dhcp relay server-group 0 ip 192.168.0.112

[Switch] interface vlan-interface 100

[Switch–Vlan-interface100] ip address 20.20.20.1 255.255.255.0

[Switch–Vlan-interface100] ip address 10.0.0.1 255.255.255.0 sub

[Switch-Vlan-interface100] dhcp select relay

[Switch-Vlan-interface100] dhcp relay server-select 0

[Switch-Vlan-interface100] dhcp relay address-check enable

# 在与用户Host相连的接口上使能Portal认证。

[Switch–Vlan-interface100] portal server newpt method redhcp

[Switch–Vlan-interface100] quit

# 配置与服务器通信的接口IP地址。

[Switch] interface vlan-interface 2

[Switch–Vlan-interface2] ip address 192.168.0.100 255.255.255.0

[Sysname–Vlan-interface2] quit

1.8.3  三层Portal认证方式配置举例

1. 组网需求

Switch A支持Portal认证功能。用户Host通过Switch B接入到Switch A。

l              配置Switch A采用三层Portal认证。用户在未通过Portal认证前，只能访问Portal服务器；用户通过Portal认证后，可以访问外部网络。

l              采用RADIUS服务器作为认证/计费服务器。

2. 组网图

图1-6 配置三层Portal认证组网图

3. 配置步骤

在Switch A上进行以下配置。

# 配置Portal服务器：名称为newpt，IP地址为192.168.0.111，密钥为portal，端口为50100，URL为http://192.168.0.111/portal。

<SwitchA> system-view

[SwitchA] portal server newpt ip 192.168.0.111 key portal port 50100 url http://192.168.0.111/portal

# 在与Switch B相连的接口上使能Portal认证。

[SwitchA] interface vlan-interface 4

[SwitchA–Vlan-interface4] ip address 20.20.20.1 255.255.255.0

[SwitchA–Vlan-interface4] portal server newpt method layer3

[SwitchA–Vlan-interface4] quit

# 配置与服务器通信的接口IP地址。

[SwitchA] interface vlan-interface 2

[SwitchA–Vlan-interface2] ip address 192.168.0.100 255.255.255.0

[Sysname–Vlan-interface2] quit

Switch B上需要配置到192.168.0.0/24网段的缺省路由，下一跳为20.20.20.1，具体配置略。

1.8.4  Portal直接认证方式（支持EAD）配置举例

1. 组网需求

l              配置交换机采用直接方式的Portal认证，开启EAD认证。用户在通过身份认证而没有通过安全认证时可以访问192.168.0.0/24网段；用户通过安全认证后，可以随意访问外部网络。

l              采用RADIUS服务器作为认证/计费服务器。

l              需要配置安全策略服务器。

2. 组网图

图1-7 配置Portal直接认证（支持EAD）组网图

3. 配置步骤

在接入设备上进行以下配置。

(1)        配置RADIUS方案

# 创建名字为rs1的RADIUS方案并进入该方案视图。

<Switch> system-view

[Switch] radius scheme rs1

# 配置RADIUS方案的服务器类型为extended。

[Switch-radius-rs1] server-type extended

# 配置RADIUS方案的主认证和主计费服务器及其通信密钥。

[Switch-radius-rs1] primary authentication 192.168.0.112

[Switch-radius-rs1] primary accounting 192.168.0.112

[Switch-radius-rs1] key accounting radius

[Switch-radius-rs1] key authentication radius

[Switch-radius-rs1] user-name-format without-domain

# 配置RADIUS方案的安全策略服务器。

[Switch-radius-rs1] security-policy-server 192.168.0.113

[Switch-radius-rs1] quit

(2)        配置认证域

# 创建并进入名字为dm1的ISP域。

[Switch] domain dm1

# 配置ISP域的RADIUS方案rs1。

[Switch-isp-dm1] authentication portal radius-scheme rs1

[Switch-isp-dm1] authorization portal radius-scheme rs1

[Switch-isp-dm1] accounting portal radius-scheme rs1

[Switch-isp-dm1] quit

# 配置系统缺省的ISP域dm1，所有接入用户共用此缺省域的认证和计费方式。

[Switch] domain default enable dm1

(3)        配置受限资源对应的ACL为3000，非受限资源对应的ACL为3001

[Switch] acl number 3000

[Switch-acl-adv-3000] rule permit ip destination 192.168.0.0 0.0.0.255

[Switch-acl-adv-3000] quit

[Switch] acl number 3001

[Switch-acl-adv-3001] rule permit ip

[Switch-acl-adv-3001] quit

(4)        配置Portal认证

# 配置Portal服务器：名称为newpt，IP地址为192.168.0.111，密钥为portal，端口为50100，URL为http://192.168.0.111/portal。

[Switch] portal server newpt ip 192.168.0.111 key portal port 50100 url http://192.168.0.111/portal

# 在与用户Host相连的接口上使能Portal认证。

[Switch] interface vlan-interface 100

[Switch–Vlan-interface100] ip address 2.2.2.1 255.255.255.0

[Switch–Vlan-interface100] portal server newpt method direct

[Switch] quit

# 配置与服务器通信的接口IP地址。

[Switch] interface vlan-interface 2

[Switch–Vlan-interface2] ip address 192.168.0.100 255.255.255.0

1.9  常见配置错误举例

1.9.1  接入设备和Portal服务器上的密钥不一致

1. 故障现象

用户被强制去访问Portal服务器时没有弹出Portal认证页面，也没有错误提示，登录的Portal认证服务器Web页面为空白。

2. 故障分析

接入设备上配置的Portal密钥和Portal服务器上配置的密钥不一致，导致Portal服务器报文验证出错，Portal服务器拒绝弹出认证页面。

3. 处理过程

使用display portal server命令查看接入设备上配置的Portal服务器密钥，并在系统视图中使用portal server命令修改密钥，或者在Portal服务器上查看对应接入设备的密钥并修改密钥，直至两者的密钥设置一致。

1.9.2  接入设备上服务器端口配置错误

1. 故障现象

用户通过Portal认证后，在接入设备上使用portal delete-user命令强制用户下线失败，但是使用客户端的“断开”属性可以正常下线。

2. 故障分析

在Portal上使用portal delete-user命令强制用户下线时，由接入设备主动发送下线请求报文到Portal服务器，Portal服务器默认的报文监听端口为50100，但是因为接入设备上配置的服务器监听端口错误（不是50100），即其发送的下线请求报文的目的端口和Portal服务器真正的监听端口不一致，故Portal服务器无法收到下线请求报文，Portal服务器上的用户无法下线。

当使用客户端的“断开”属性让用户下线时，由Portal服务器主动向接入设备发送下线请求，其源端口为50100，接入设备的下线应答报文的目的端口使用请求报文的源端口，避免了其配置上的错误，使得Portal服务器可以收到下线应答报文，从而Portal服务器上的用户成功下线。

3. 处理过程

使用display portal server命令查看接入设备对应服务器的端口，并在系统视图中使用portal server命令修改服务器的端口，使其和Portal服务器上的监听端口一致。