防火墙本地portal认证无法自动弹认证界面且认证后无法上网

防火墙透明部署在两台华为交换机之间

防火墙作本地portal认证，能够手动重定向弹出界面但是无法自动弹且认证通过后无法上网。

1、首先先解决认证通过后无法上网的问题，认证通过后查看防火墙会话可以看到防火墙上会话是没有回包：

2、有两个可能①目的地址没回包，②回包被防火墙丢弃。现场不做认证的情况下，手动配置地址是可以正常通外网的所以怀疑还是防火墙丢弃了。

3、收集防火墙debug信息查看报文收发包的转发情况可以看到策略都是放通的（因为是透明部署所以ip info等其他信息没有回显是正常的）

4、进一步在防火墙全局抓包，全局下收到报文和发送报文都会抓到包，所以报文里面每一个包都会有两个一模一样的报文，意思是收到报文然后转发，可以看到请求报文有两份表示防火墙收到了请求并转发，回包只有一份意思是防火墙收到了报文，但是没有继续转发。

5、和现场沟通只要把portal free rule里面加上目的地址为114.114.114.114业务就正常了，所以怀疑是防火墙将回包业务当作portal报文去处理了。查看配置可以看到，防火墙是透明部署，所以portal在vlan下使能，使能的vlan是与上下设备互联的vlan。

6、后续和产线沟通二层目前不行因为属于这个vlan的接口相当于都开启了portal认证，所以会导致外网回来的回包也会走portal流程导致外网回的流量没有作portal认证就被丢弃了。

7、后续改为三层组网后恢复正常，但是现场反馈无法自动弹portal认证界面；portal弹界面的逻辑就是认证通过之后，客户端会发送浏览器的嗅探访问报文然后被设备拦截进行重定向，所以需要free-rule里面需要dns服务器地址。检查配置发现现场将目的dns的地址写成了解释改为destination即可。

更多情况下，dns服务器地址是多个可以直接写端口的方式这样方便一点，更改之后能够自动弹认证界面。

8、后面反馈ios终端无法自动弹认证界面ios的嗅探报文与安卓有点不一样，需要额外加上如下的配置

portal free-rule 3 destination ip any tcp 53
portal free-rule 4 destination ip any tcp 5223//这些是iOS有时候会发出探测报文的端口号

portal web-server wbsvr
url http://10.xxxx/portal//地址以实际环境为准
captive-bypass ios optimize enable 
if-match original-url http://captive.apple.com/hotspot-detect.html user-agent Mozilla temp-pass redirect-url http://10.xxxx/portal
if-match original-url http://www.apple.com user-agent Mozilla temp-pass redirect-url http://10.xxxx/portal 

增添如上配置后ios也能正常弹认证界面。

1、portal认证无法上网的情况，设备要改成三层组网或者基于内网地址为目的地址写portal free-rule。

2、无法自动弹认证界面的情况，安卓端需要设备放通dns服务器地址，ios端需要额外加上其他的嗅探报文和网页地址。