WX3520H配置无线WiFi的本地MAC认证后无法上网

WX3520H（R5426P02），MAC 认证 + Portal 共存，终端 MAC 认证成功、拿到 IP，核心能 ping 终端，终端 ping 不通网关，加认证前 WiFi 正常

根因：MAC 认证 + Portal 同时开启，属于叠加认证，流量被 Portal 拦截，终端还没做 Portal 认证，只有 MAC 过了，Portal 没放行；你现在 service-template 同时勾选了 MAC 地址认证 + IPv4 Portal 认证，两个认证叠加。 补充：display mac-authentication connection看到在线，只是 MAC 认证通过，Portal 还没完成，流量被 Portal 阻断，这就是单向通的典型特征。

两种方案，二选一

方案 1（只保留 MAC 白名单，不需要 Portal）： 进入 service-template test，取消 IPv4 Portal 认证，只保留 MAC 认证。

wlan service-template test undo portal enable

方案 2（必须同时 MAC+Portal）： 这种场景一般是：MAC 白名单免 Portal，其他终端弹 Portal。 需要在Portal 的免认证规则（free-rule）把放行的 MAC 放进去，否则就算 MAC 认证过了，依然要跳 Portal，不通外网。

portal free-rule 1 destination ip any source mac eaae-c180-026d

额外排查点（如果改完还不行）

1. 确认 VLAN3000 的 VLANIF 网关在核心，AC 旁挂场景，VLANIF 不在 AC 上；
2. 检查 VLAN3000 在 AC、核心、汇聚 Trunk 是否完整放行；
3. 确认 Portal 的 BAS-IP（VLANIF3000 网关 IP），你 Web 页面 BAS-IP 是空的，如果保留 Portal，必须填 BAS-IP=VLAN3000 网关 IP；
4. 方向验证：MAC 认证是二层接入认证，Portal 是三层认证，叠加后三层流量受 Portal 控制，MAC 认证≠放行三层流量。

一句话总结

你现在是MAC 认证 + Portal 双认证叠加：MAC 只是让终端连上 WiFi，三层上网还需要 Portal 放行；要么关掉 Portal，要么给可信 MAC 配置 Portal 免认证 free-rule。

根据你的描述，终端能拿到地址、AC上显示认证成功，但无法ping通网关，且核心能ping通终端，这基本可以判断是终端到网关方向的报文被丢弃，问题大概率出在认证后的用户权限或转发路径上。
排查步骤和命令：
1. 检查认证用户的授权VLAN和ACL
在AC上执行：

display wlan client verbose

查看该客户端的 Authorized VLAN、User Profile 或 ACL 字段。如果本地MAC认证的认证域或服务模板里配置了 authorization-attribute user-profile 或 url 等，可能限制了用户只能访问特定资源。
2. 确认认证域和认证方式的授权属性

display domain name <认证域>

查看 authorization-attribute 下是否有 user-profile 或 acl 配置。如果有，检查该 profile 或 ACL 是否放行了到网关的流量。
3. 检查服务模板下的认证配置

display wlan service-template <模板名> verbose

确认 client-security 下的认证模式是 mac-authentication，并查看是否有 authorization fail-vlan 或 guest-vlan 等配置干扰。
4. 检查本地MAC认证用户是否绑定了错误的用户组
如果使用本地认证，检查 local-user 的配置：

display local-user

确认该MAC用户是否被分配了 authorization-attribute user-role 或 user-profile，且这些角色/profile是否限制了转发。
5. 抓包确认丢包位置
在AC上对客户端流量做debug或抓包：

debugging wlan client mac <终端MAC>

或者在核心交换机上镜像端口抓包，看终端发出的ARP请求是否到达核心，以及核心的ARP响应是否返回。如果核心回了ARP但终端收不到，可能是无线侧下行转发问题；如果核心没收到ARP，则是上行被AC或AP丢弃。
6. 检查AP的转发模式和VLAN透传
确认AP的上联口和核心之间的VLAN是否都放通了客户端所在VLAN。虽然不加认证时正常，但认证后可能触发了不同的转发路径（如本地转发切集中转发），检查：

display wlan ap all verbose

查看AP的 client forwarding-mode，以及认证前后是否有变化。
7. 临时关闭认证测试
在服务模板下暂时去掉MAC认证，确认网络恢复。如果恢复，则问题100%在认证授权属性上。
最可能的原因：本地MAC认证成功后，认证域或用户配置里带了 user-profile 或 ACL，默认deny了所有流量，只放行了认证相关报文（如DHCP、DNS），导致无法访问网关。检查并修改该profile，放行到网关及外网的流量即可。
如果以上步骤未定位，请提供 `display wlan client verbose