IMC protal+ladp

可以的

纠正：是LDAP，不是 ladp；方案完全可行，是校园 / 企业无线、有线 Web 门户认证主流成熟方案，iMC EIA 组件实现，对接 Windows AD 域（LDAP 协议），员工 / 学生用域账号做 Portal 网页上网认证，账号统一在 AD 域管理，不用在 iMC 重复创建账号。

一、方案原理

组网角色：终端 ↔ 接入设备（WAC / 交换机 / 防火墙） ↔ iMC EIA (Portal+RADIUS) ↔ AD 域控（LDAP） 认证流程：

1. 终端连 WiFi / 有线，未认证只能访问 DNS、iMC Portal 页面；
2. 浏览器弹出 Portal 页面，用户输入AD 域账号密码；
3. iMC EIA 收到 Portal 请求，通过 LDAP 协议实时到 AD 域校验账号密码、账号启用 / 禁用状态；
4. AD 校验通过，iMC 下发 RADIUS 授权给接入设备，终端放行上网；
5. 支持两种模式：
   • 模式 1【实时 LDAP 校验，推荐】：不在 iMC 本地保存密码，认证时实时去 AD 校验；账号只同步基础属性，密码只存在 AD 域，域侧改密码立刻生效。
   • 模式 2【定时同步】：每天自动把 AD 账号同步到 iMC 本地库，认证用 iMC 本地校验；域账号修改要等同步任务才更新。

适用场景：企业 / 校园 WiFi 网页认证，域账号统一管理，和你前面 WAC+WAP712C 无线场景完美匹配。

二、组网案例（无线场景，WAC 做接入设备，和你现场环境一致）

拓扑： WAC 无线控制器（WAC280/WAC380）+WAP712C AP → iMC PLAT+EIA → Windows AD 域控（LDAP）

用户连接 SSID，DHCP 在 AC，触发 iMC 远端 Portal，用 AD 域账号网页认证。

1、iMC EIA 侧配置（Web）

1）LDAP 服务器配置 菜单：用户 → 接入策略管理 → LDAP 业务管理 → LDAP 服务器配置

• 新增 LDAP 服务器：填写 AD 域控 IP、端口 389（636 为 LDAPS 加密）
• 绑定 DN：AD 域的绑定管理员账号（用于 iMC 查询域用户）
• Base-DN：用户所在 OU 根路径，例：ou=staff,dc=test,dc=com
• 账号属性：默认sAMAccountName（AD 域登录账号）

2）LDAP 同步策略 菜单：LDAP 业务管理 → 同步策略配置 新建策略，选择刚才 LDAP 服务器；

• 按需同步：勾选，新用户首次 Portal 认证自动拉取账号信息进 iMC；
• 定时全量同步：默认每日凌晨执行，同步账号禁用、部门信息；

3）Portal 接入策略、接入服务 ①接入服务：新建 Web-Portal 类型接入服务，引用 LDAP 认证源； ②接入策略：绑定该服务，可在这里配置共享上网检测（就是前面弹窗一号多终端开关）、单账号最大在线终端数；

重点：在接入策略中认证源选择【LDAP 第三方认证】，而不是 iMC 本地用户。

4）添加接入设备 在 EIA 添加 WAC 控制器，填写 WAC 管理 IP、RADIUS 共享密钥，Portal 参数同步配置。

2、WAC 无线控制器侧配置（命令行）

三、关键注意事项（踩坑点）

1. 端口连通：iMC 服务器需要能访问 AD 域 389（LDAP），如果加密 LDAPS 用 636；WAC 需要和 iMC 放通 UDP50100 (Portal)、RADIUS 1812/1813。
2. 账号状态：AD 域禁用账号，实时 LDAP 认证会直接拒绝上网；
3. 密码变更：实时 LDAP 模式，AD 改密码立刻生效；同步模式，需要等每日同步任务；
4. 共享上网检测：就是上一个问题里的弹窗【多终端共享上网】，这个开关在iMC EIA 接入策略内，不在 WAC 本地 Portal；
5. 限制：LDAP 实时认证仅支持 PAP，不支持 CHAP；Portal 网页认证默认 PAP，无影响。

四、两种模式取舍

表格

简短总结

iMC Portal+LDAP（AD 域）方案成熟可行，是企业校园无线 Web 认证标准方案。组网：WAC 无线控制器作为 Portal 接入设备，iMC EIA 对接 AD 域 LDAP；支持实时校验域账号密码，账号统一在 AD 管理。分为实时 LDAP 校验和定时账号同步两种模式；Portal 的一号多终端 / 共享上网检测在 iMC 接入策略中配置。