内网DNS不能解析域名，protal认证时如何设置自动弹出protal认证界面？

protal free需要放行DNS的地址，用于解析 

结论先说死：内网 DNS 不能解析域名，照样可以自动弹 Portal；核心就是：重定向全部走 IP、放行 DNS/Portal 免认证、DHCP 下发 DNS 填公网 / 可用 IP、用 HTTP 触发重定向。下面按 iMC EIA + H3C 接入设备完整配置，直接可用。
一、原理（DNS 解析失败为什么弹不出）
自动弹窗依赖：终端发 HTTP（80） 请求 → 接入设备拦截 → 302 重定向到 Portal 地址。
如果 Portal 配置的是域名（如***.***）：
内网 DNS 解不出来 → 设备 / 终端无法拿到 Portal IP → 重定向失败 → 不弹窗。
✅ 解法：全程用 IP，不用域名；放行 DNS；强制 HTTP 触发。
二、iMC EIA 侧配置（关键：Portal URL 写死 IP）
登录 iMC → 用户 → 接入策略管理 → Portal 服务器配置
新建 / 编辑 Portal Web 服务器：
URL 必须写 IP：http://192.168.xxx.xxx:8080/portal（EIA 服务器 IP）
不要写域名，删除所有域名配置
认证页面 → 推送策略：
默认认证页面选 PC 缺省账号认证
开启 强制推送
三、接入设备（交换机 / AC）配置（必做 4 件事）
1）Portal 全局 + 接口启用（IP 版）
bash
运行
# 1. 配置Portal服务器（IP，与EIA一致）
portal server EIA_IP
ip 192.168.xxx.xxx key simple 你的密钥 # 和EIA上密钥一致

# 2. 配置Portal Web（URL写IP）
portal web-server EIA_WEB
url http://192.168.xxx.xxx:8080/portal

# 3. 全局启用Portal
portal enable

# 4. 接口下绑定（用户侧接口）
interface GigabitEthernet 1/0/x
portal apply web-server EIA_WEB
portal apply server EIA_IP
2）免认证 ACL（放行 DNS + EIA Portal）
核心：没认证前，必须能访问 DNS 和 EIA IP，否则连解析 / 重定向都做不到。
bash
运行
# 放通DNS（UDP 53）
acl number 3000
rule permit udp any destination-port eq 53 # DNS

# 放通EIA Portal（HTTP 8080、HTTP 80）
rule permit tcp any destination 192.168.xxx.xxx 0 destination-port eq 8080
rule permit tcp any destination 192.168.xxx.xxx 0 destination-port eq 80

# 放通网关（可选，ping测试）
rule permit ip any destination 网关IP 0

# 接口下应用免认证ACL
interface Vlan-interface xxx
portal free-rule 1 acl 3000
3）DHCP 下发 DNS（填公网 / 可用 DNS，不要内网坏 DNS）
bash
运行
dhcp server dns-list 223.5.5.5 8.8.8.8 # 公网DNS，确保能解析外网域名
# 不要填内网DNS（解析不了=终端发不出外网请求=不触发重定向）
4）强制 HTTP 重定向（拦截所有 80 端口，HTTPS 可选）
bash
运行
# 拦截所有HTTP（80），触发Portal
portal http-redirect enable

# 可选：拦截HTTPS（443），需要EIA配HTTPS证书
# portal https-redirect enable
四、终端侧（用户不用改，自动弹）
终端连网 → DHCP 拿到 IP + 公网 DNS
终端自动发 HTTP 探测（如访问***.***）
接入设备拦截 80 → 302 重定向到 EIA IP/portal
浏览器自动弹出认证页 → 输入账号密码
五、常见坑（DNS 解析失败环境必避）
❌ Portal 写域名 → 解不出 IP → 不弹
❌ 没放行 DNS → 终端发不出外网请求 → 不触发
❌ DHCP 下发内网坏 DNS → 终端解析失败 → 不触发
❌ 只拦截 HTTPS → 终端默认走 HTTPS → 不触发（必须开 HTTP）
六、一句话总结
内网 DNS 不能解析域名时，iMC EIA Portal 自动弹窗的唯一正确做法：Portal 全程用 IP、放行 DNS/EIA 免认证、DHCP 下发公网 DNS、开启 HTTP 重定向。