您好，参考
- 方案一（推荐：IMC EIA 哑终端 + Portal MAC‑Trigger，无感知自动 Portal）：不开启接口 MAC 认证，走 Portal 无感知，符合你现有 IMC 体系，审计、计费、权限都在 IMC。
- 方案二（静态 free‑rule MAC 免 Portal）：简单，但弱审计，适合少量固定哑终端。
- 方案三（隔离 VLAN + 核心 ACL 放行哑终端）：安全最高，适合等保，把哑终端单独切 VLAN。
重点区分：
mac-authentication（接口 MAC 认证，你不让开）≠portal mac-trigger-server（Portal MAC 触发 / 无感知，这个可以开，不在接口下）
方案一具体怎么做
zhiliao_Vsgqur
发表时间：1天前
zhiliao_Gixe
九段
在AC+IMC的Portal认证环境中增加哑终端，由于接口不能开启MAC认证，可以通过以下方式实现：
方案一：基于SSID区分（推荐）
为哑终端创建独立的SSID，该SSID不绑定Portal认证，采用开放式或PSK认证，并配置MAC地址白名单或直接放行。
方案二：基于VLAN区分
将哑终端划分到独立VLAN，在AC上对该VLAN不启用Portal认证，直接放行或通过IMC的MAC快速认证。
关键配置示例（方案一）：
bash
创建哑终端专用SSID
wlan service-template dumb
ssid Dumb-Terminal
vlan 200
service-template enable
该服务模板不绑定Portal认证
如需MAC白名单，在IMC中配置MAC地址并关联该SSID
IMC侧配置：
1. 在IMC中为哑终端创建独立的接入策略，不关联Portal认证
2. 将哑终端MAC地址添加到IMC的MAC地址库
3. 配置MAC快速认证或直接放行策略
注意事项：
确保哑终端连接的SSID与Portal认证SSID隔离
在AC上检查服务模板的认证配置，确认哑终端SSID未绑定Portal
如果哑终端需要访问受限资源，可通过ACL控制权限
方案一：基于SSID区分（推荐）
为哑终端创建独立的SSID，该SSID不绑定Portal认证，采用开放式或PSK认证，并配置MAC地址白名单或直接放行。
方案二：基于VLAN区分
将哑终端划分到独立VLAN，在AC上对该VLAN不启用Portal认证，直接放行或通过IMC的MAC快速认证。
关键配置示例（方案一）：
bash
创建哑终端专用SSID
wlan service-template dumb
ssid Dumb-Terminal
vlan 200
service-template enable
该服务模板不绑定Portal认证
如需MAC白名单，在IMC中配置MAC地址并关联该SSID
IMC侧配置：
1. 在IMC中为哑终端创建独立的接入策略，不关联Portal认证
2. 将哑终端MAC地址添加到IMC的MAC地址库
3. 配置MAC快速认证或直接放行策略
注意事项：
确保哑终端连接的SSID与Portal认证SSID隔离
在AC上检查服务模板的认证配置，确认哑终端SSID未绑定Portal
如果哑终端需要访问受限资源，可通过ACL控制权限
AC 全局 Portal free‑rule 源 MAC 免认证（集中转发首选，最简单）
适用：CAPWAP 集中转发，哑终端无线接入；在 AC 全局配置源 MAC 免认证规则，该 MAC 直接跳过 Portal，不需要任何认证H3C。
#多条就依次增加rule编号
portal free‑rule 10 source mac xxxx‑xxxx‑xxxx
portal free‑rule 11 source mac yyyy‑yyyy‑yyyy
查看：
display portal free‑rule all
⚠️重大限制：
- 本地转发模式该方案无效！ 本地转发下哑终端流量直接 AP 转发，报文不上 AC，AC 上的 portal free‑rule 不会匹配；
- free‑rule 总数上限 V7 默认 0‑63 条，哑终端数量很多不适合；
- 哑终端换 MAC 就要改 AC 配置。
方案 2：iMC EIA MAC‑Trigger（MAC 快速 Portal 无感知认证，推荐，本地 / 集中转发都支持）
不需要开启 MAC‑authentication；仍然是 Portal 服务模板，只是 iMC 保存哑终端 MAC，哑终端上来 iMC 代做 Portal 认证，无感知上线。
AC 配置
#创建MAC绑定服务器，指向iMC EIA Portal地址
portal mac‑trigger‑server mts
ip 【iMC‑Portal服务器IP】
server‑type imc
quit
wlan service‑template xxx
portal apply mac‑trigger‑server mts
quit
iMC EIA 侧配置
- EIA→接入业务→Portal 服务，启用 MAC‑Trigger；
- 在 EIA 中录入哑终端 MAC；哑终端接入时 iMC 代替终端完成 Portal 认证，不需要终端弹窗。
优点：
- 服务模板仍然只有 Portal，没有开启 MAC‑authentication，满足约束条件；
- 本地转发、集中转发均支持；
- MAC 统一在 iMC 上维护，不用登录 AC 改配置；
- 会话可以正常在 iMC 做在线统计、计费、下线管理。
注意：哑终端必须发出流量触发，iMC 才会代认证；部分休眠哑终端可调大
free‑traffic threshold放通少量初始流量。
方案 3：哑终端独立划分隔离 VLAN（适合本地转发环境，强烈推荐）
本地转发时 AC 的 free‑rule/MAC‑trigger 会受转发模式限制，最佳实践：
- AP 上配置第二个 SSID，哑终端单独 SSID，划入独立哑终端 VLAN；
- 该 SSID不启用 Portal 认证；
- 在核心三层网关 ACL 控制哑终端 VLAN 访问权限，只允许访问必要业务资源，禁止访问内网其他敏感网段。
优点：完全不改动现有 Portal 业务 SSID，不受本地 / 集中转发影响； 缺点：哑终端必须连单独 SSID，不能接入原来 Portal 的 SSID。
方案 4：iMC EIA 哑终端用户（⚠️该功能依赖 MAC‑authentication，本题不可直接使用）
EIA 自带 “哑终端用户配置”，但该方案需要 AC 开启 MAC 地址认证
mac‑authentication；题目明确不能开启 MAC 认证，该方案排除，不能使用。
故障排查关键点
- 如果是AP 本地转发：AC 上
portal free‑rule source mac不生效，不要使用方案 1，优先选方案 2 MAC‑Trigger 或者方案 3 独立 VLAN； - MAC‑Trigger 不生效：检查 AC 与 iMC 之间放通 Portal 相关端口；检查 iMC Portal 服务是否启用 MAC‑trigger；
- 验证命令：
display wlan service‑template name xxx
display portal mac‑trigger‑server mts
display portal free‑rule all
display wlan client
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
方案一具体怎么做