无线云平台未认证之前能访问内网内服务器资源
- 0关注
- 0收藏，58浏览
排查与解决步骤：
1. 确认认证方式
在AC上查看无线服务模板和认证配置：
display wlan service-template
display portal server
display domain
2. 检查认证前访问控制
如果是本地转发+Portal认证，需在AC上配置认证前域，限制未认证用户只能访问Portal服务器和DNS：
portal free-rule 0 source ip any destination ip
portal free-rule 1 source ip any destination ip
未匹配free-rule的流量默认被丢弃。
3. 如果使用本地转发，认证前流量控制需在核心交换机上做ACL
在核心交换机连接AP的VLAN接口上应用ACL，放行Portal/DNS/DHCP，拒绝访问服务器网段：
acl advanced 3000
rule 0 permit udp destination-port eq bootps
rule 1 permit udp destination-port eq bootpc
rule 2 permit udp destination-port eq dns
rule 3 permit ip destination
rule 4 deny ip destination <服务器网段> <反掩码>
在VLAN接口下应用：
interface Vlan-interface <客户端VLAN>
packet-filter 3000 inbound
4. 认证成功后放行
认证通过后，AC或核心需下发动态ACL或切换VLAN，允许访问服务器资源。若使用本地转发，建议在核心上配合Radius CoA或ACL动态变更实现。
5. 验证
未认证客户端测试ping服务器IP，应不通；认证后应通。
建议优先采用AC集中转发或配置认证前域，简化策略管理。
802.1X可以 guest vlan
动态acl是怎么实现下发的
能做guest vlan吗？
802.1X可以 guest vlan
- 本地转发模式下，二层流量直接由 AP 转发经过核心交换机，Portal 认证控制点在 AC；二层同 VLAN 流量不会上送到 AC 做 Portal 检测H3C。
终端、服务器在同一个业务 VLAN，二层互通报文直接在 AP‑核心之间转发，报文不经过 AC，AC 的 Portal 规则拦截不到，未认证终端直接访问内网服务器。 ✅只有跨 VLAN、访问外网的三层流量会送到 AC 触发 Portal 重定向。
- 排查两个开关：
- 确认认证逃生功能是否误开启：云简 SSID 高级配置里【认证逃生】开启后，当 AC 和云平台链路异常，直接放行全部流量；平台正常也建议关闭该选项H3C。
- 云简 Web 界面的域名 / IP 白名单，不要把服务器网段加入白名单；白名单是免认证放行资源。
⚠️重要：云简 Web 界面没有页面可以直接配置本地转发场景下内网网段拦截，Web 仅支持域名白名单，必须命令行补充配置，或者改造组网H3C。
4 种解决方案，按推荐优先级排序
方案一（推荐）：业务 VLAN 在核心交换机做 ACL 拦截（二层 ACL）
原理：未认证无线用户的流量从 AP 上来，到达核心交换机，在核心业务 VLAN 的 inbound 方向部署 ACL：
- 仅放行：DHCP、DNS、云简 Portal 服务器 IP / 域名；
- 拒绝访问内网服务器网段；
- 允许访问外网（外网流量送到 AC 触发 Portal 认证）。
注意：该 ACL 需要区分已经 Portal 认证通过的无线终端，不能一刀切阻断全部无线用户；纯二层 ACL 无法感知 Portal 认证状态，因此方案一更适合配合方案二。
方案二：改为集中转发（隧道转发）【最优，彻底解决】
云简平台 SSID 高级配置，转发模式从【本地转发】改成集中转发。
- 无线所有流量全部 CAPWAP 隧道送到 AC，在 AC 上执行 Portal 安全控制，无论访问外网还是内网服务器，全部受 Portal 管控，未认证全部拦截，认证后放行。
代价：AC 性能压力上升；大量 AP、大流量场景评估 AC 性能。 优点：不需要在核心交换机配置复杂 ACL，Portal 全部控制点回归 AC，符合 Portal 设计模型。
方案三：保持本地转发，AC 开启portal host‑check enable + 预认证免认证规则，同时核心做隔离（折中）
- AC 命令行开启 Portal 主机合法性检查（本地转发必须开启）：
system‑view
wlan service‑template 模板名
portal host‑check enable
quit
- portal free‑rule 只放通必须资源：DNS、云简 Portal 服务器，不要添加内网服务器网段H3C。
#放通DNS
portal free‑rule 1 destination ip any udp 53
portal free‑rule 2 destination ip any tcp 53
#放通云简平台域名/IP，用于Portal页面跳转
portal free‑rule 3 destination hostname oasisauth.h3c.com
但仅以上命令无法阻断同 VLAN 二层访问内网服务器（报文不上 AC），所以还必须在核心交换机做限制： 将无线业务放到独立 VLAN，服务器放到另外 VLAN，三层网关部署在核心，在核心 VLANIF 无线业务 VLAN 的 inbound ACL：
- 未认证无线用户，拒绝去往服务器网段； 局限：如果服务器和无线终端在同一个 VLAN，二层访问，核心三层 ACL 同样拦截无效！ ✔️必须把无线业务与服务器划分不同 VLAN，依靠三层网关 ACL 隔离。
方案四：网络改造，服务器网段和无线业务完全隔离（VLAN 分离）
- 无线终端 VLAN：VLAN 10
- 服务器网段 VLAN：VLAN20
两者二层完全隔离，依靠核心 VLANIF 三层互通；在核心 VLANIF10 入方向部署 ACL：
- 未认证无线用户：拒绝目的为服务器网段 IP；外网流量放行送 AC 触发 Portal。
缺点：核心交换机无法识别 AC 上哪些终端已经 Portal 认证通过，这个 ACL 会全部拦截，认证完也不通，需要配合 iMC / 安全组件动态下发 ACL，普通组网做不到动态。
👉因此：本地转发 + 同 VLAN 下，没有完美方案，优先改成集中转发。
排查命令
#查看服务模板转发模式
display wlan service‑template name xxx
#查看portal host‑check状态
display wlan service‑template name xxx | include host‑check
#查看portal免认证规则
display portal free‑rule all
#查看是否开启认证逃生
display wlan service‑template name xxx | include escape
你这个问题不是认证的问题， 首先，先不说认证的问题，你都是内网环境，本身都是内网互通状态。 认证也可以简单理解为另外一种加密方式，你能做的就是无线做两个网段，访客和本地办公网段。在核心交换机上面做ACl设置禁止访问服务器
你这个问题不是认证的问题， 首先，先不说认证的问题，你都是内网环境，本身都是内网互通状态。 认证也可以简单理解为另外一种加密方式，你能做的就是无线做两个网段，访客和本地办公网段。在核心交换机上面做ACl设置禁止访问服务器
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明