某局点WX3540X 账号登录认证失败经验案例

现场结合云简平台做账号登录认证失败，报错如下：

1、检查连通性：

现场终端ping云简地址可通 ；

2、检查现场转发方式为本地转发，可以联想到以下两条常用命令：

1）本地转发时AC上没有Portal客户端的ARP表项，需要开启无线Portal客户端合法性检查功能： portal host-check enable ；

2）本地转发且结合云简做Portal认证时，第三方认证服务器在返回报文时会要求client访问AC，需要配置Portal认证时客户端访问AC的接口：portal client-gateway interface ；

3、现场补充完上述命令后，可以弹出认证界面，但输入用户名和密码后点击登录按钮无反应：

1）更换浏览器和终端进行测试：故障依旧  ;

2）配置的portal client-gateway interface 需要是能与终端互通的接口：检查配置确认该vlan为业务vlan ;

3）从第2）点可知终端和AC是需要互通的，此时检查配置信息发现，AP上开启了二层隔离，但是AP的map文件中并没有放通AC的MAC地址 。

修改以下三点配置后问题解决：

1、portal host-check enable ；

2、portal client-gateway interface ；

3、在MAP文件配置的二层隔离下放通AC的MAC地址 。

由此可知，本地转发结合云简等Portal第三方认证中终端和AC之间有业务报文交互，下面补充没有第三方认证时Portal认证的流量走向：

1、本地转发时：流量上到AP上进行重定向，当Portal服务器返回认证响应的确认报文后，AC通过Capwap控制报文将表项同步给AP，并将过滤规则下发到AP的BSS上  ;

2、集中转发时：流量上到AP上进行Capwap封装，Portal报文均通过Capwap隧道传递，当Portal服务器返回认证响应的确认报文后，AC将过滤规则下发到自己的BSS上 。