WAC380-90重定向拉起认证页面问题

在WAC380-90上，Portal重定向由无线控制器内置功能实现，但能否自动弹出认证页取决于终端系统行为，无法完全强制。Android靠DHCP Option 114触发，iOS/Windows/Mac OS不认这个选项，只能靠自身探测机制。
排查与配置步骤：
1. 确认Portal认证已启用并绑定服务模板：
进入无线服务模板视图：wlan service-template 1
检查Portal配置：display this，应包含portal enable method direct和portal domain xxx
若未启用，执行：

portal enable method direct
portal domain portal1
portal apply web-server portal1

2. 确认重定向URL正确：
在系统视图配置：portal web-server portal1
设置URL：url http://认证服务器地址/portal.html
深信服AC的认证页面地址需与WAC上配置一致。
3. 检查DHCP Option 114（仅对Android有效）：
在DHCP地址池视图：dhcp server ip-pool vlan1
添加：option 114 hex 687474703a2f2f...（认证URL的十六进制）
此选项对iOS/Windows无效，但可保留。
4. 终端自动弹窗限制：
iOS：连接WiFi后系统会发送探测请求到captive.apple.com，若WAC未放行该域名或重定向响应不符合Apple规范，则不弹窗。需在认证前放行captive.apple.com、*.apple.com等探测域名。
Windows：依赖NCSI探测（***.***），需放行该域名并确保重定向返回HTTP 302而非直接拒绝。
Mac OS：同iOS机制，放行captive.apple.com即可。
5. 放行探测域名（认证前免认证规则）：
在认证域或免认证规则中添加：

portal free-rule 1 destination ip any source ip any

或针对具体域名放行，在ACL中允许DNS及上述探测域名流量。
6. 验证重定向行为：
终端连接后手动访问任意HTTP网站，抓包看是否收到302重定向到认证页。
在WAC上执行：display portal user all查看未认证用户是否触发重定向。
关键点：WAC无法改变iOS/Windows/Mac的弹窗机制，只能通过放行探测域名和正确重定向来适配。若深信服AC要求特定重定向格式，需在WAC的Portal web-server中调整URL参数。

Option114（RFC8910）不是强制自动弹窗触发条件；Windows/macOS/iOS 并不依靠 DHCP Option114 直接拉起认证页面，终端仍然要靠系统内置的联网探测 HTTP 请求（captive 探测报文）被 WAC 重定向，才会弹出认证窗口Apple Deve...。

⚠️关键：DHCP option114 只是通知终端 “这里存在强制门户”，不等于操作系统就会自动弹出页面，安卓部分厂商做了适配，苹果、Windows 系统不拿 Option114 作为自动弹窗触发源，依旧依赖探测报文（http://captive.apple.com、***.***等）被 302 重定向才会弹窗Apple Deve...。

一、先确认 WAC380‑90 上必须满足的配置项（Comware V7）

组网：WAC380‑90 做无线控制器，Portal 重定向由 WAC 完成，深信服 AC 作为第三方 Portal 服务器，做钉钉唤起认证。

1. Portal 服务器模板（对接深信服 AC）

portal server sangfor ip 深信服AC‑内网IP key simple 共享密钥 port 50100 server-type imc quit

2. url‑template，指向深信服的钉钉认证 URL

url‑template sangfor‑url url http://深信服AC‑内网IP/captive‑portal quit

3. VAP 模板下绑定 portal，不要开启 captive‑bypass（被动 web 认证）

❗captive‑bypass enable开启后：iOS 就不会自动触发系统弹窗，必须用户主动访问网页才会跳转，这是很多人踩坑点H3C。

wlan vap‑template xxx portal apply web‑server sangfor url‑template sangfor‑url undo portal captive‑bypass enable quit

4. Portal 自由规则 free‑rule 必须放行

• 放行深信服 AC 认证服务器 IP（必须，否则未认证终端打不开认证页面）
• 不要放行苹果 / 微软 captive 探测域名对应的 IP，探测报文必须交给 WAC 做 302 重定向；一旦 free‑rule 把captive.apple.com、***.***放通，探测请求直接通外网，iOS 判定网络正常，永远不会弹认证窗口华为。

free‑rule‑template name default_free_rule free‑rule ip destination 深信服AC‑内网IP 255.255.255.255 # 禁止增加：free‑rule permit ip destination 苹果探测/微软探测IP quit

5. DHCP 配置确认 业务 VLANIF 下已经下发 option 114，安卓设备依赖该选项；

注意：option114 对 iOS/macOS/Windows 自动弹窗不起作用，仅做提示。

6. 确认 WAC 上开启 HTTPS 重定向

很多现代终端默认先发 HTTPS 探测报文，如果没有开启 HTTPS‑Portal 重定向，探测报文无法被重定向，就不会触发弹窗。

portal https‑redirect enable

二、为什么 iOS/macOS/Windows 不能做到 “连接 WiFi 立刻自动弹钉钉认证”

1. iOS/macOS 机制：连接 WiFi 之后，系统后台发 HTTP 请求访问http://captive.apple.com/hotspot‑detect.html，收到 302 重定向才会弹出系统弹窗；即便 DHCP 携带 Option114，新版 iOS 也不会直接拉起页面，仍然要依赖该探测报文被重定向Apple Deve...。

如果探测报文：①被 free‑rule 放通外网；②是 HTTPS 请求遇到 HSTS；③报文被防火墙拦截；则不会触发弹窗，只能手动浏览器访问网页才跳转。

2. Windows11 NCSI 机制：系统检测到强制门户只会在网络图标弹出通知，Windows 系统默认不会自动弹出浏览器窗口，需要用户点击通知才打开，属于 Windows 原生行为，无线控制器侧无法修改该行为Microsoft ...。
3. 钉钉唤起限制：系统弹出的 captive 弹窗是系统内置简易浏览器；系统弹窗默认不支持直接唤起第三方 APP（钉钉）。

真实现象：

• 安卓：厂商定制，收到 option114 后可直接唤起钉钉；
• iOS/macOS：系统 captive 弹窗无法直接拉起钉钉，只能跳转网页，由网页页面再手动点击唤起钉钉。该限制是操作系统层面，WAC 控制器无法绕过。

三、可优化的操作步骤（尽可能改善体验，但无法做到安卓一模一样）

1. WAC 侧：关闭portal captive‑bypass enable，保证苹果 captive 探测报文能被 302 重定向。
2. free‑rule 只放行深信服 AC 服务器 IP，不要放行苹果、微软探测服务器 IP，保证探测报文触发重定向。
3. 开启portal https‑redirect enable，处理 HTTPS 类型的 captive 探测请求。
4. 深信服 AC 认证页面做适配：页面增加按钮，引导用户点击唤起钉钉；iOS/macOS 无法连上 WiFi 就自动拉起钉钉 APP，只能网页内唤起。
5. 终端侧：iOS 不要关闭 WiFi 助理；Windows 告知用户需要点击网络通知。

四、验证排查命令 WAC380‑90

display portal server display url‑template display free‑rule‑template name default_free_rule display portal statistics display wlan vap‑template name xxx

抓包要点：iOS 接入 WiFi，抓包看是否发出访问captive.apple.com的 http 报文，看 WAC 是否返回 302 重定向。 ①有探测报文 + 收到 302 → 系统弹窗应该弹出； ②没有探测报文或者报文直接通外网 → 不会弹窗。

五、明确预期（非常重要，要同步给客户）

1. ✅安卓：可做到连上 WiFi 自动唤起钉钉（依赖 Option114 + 厂商定制）。
2. ⚠️iOS/macOS：连上 WiFi 可以弹出系统 portal 网页弹窗，但系统弹窗不能直接自动拉起钉钉 APP，需要网页内点击按钮唤起钉钉，WAC 侧配置无法改变苹果系统限制。
3. ⚠️Windows11：最多弹出系统通知，不会自动打开浏览器，需要用户点击通知；网页打开后再唤起钉钉。