CAMS服务器地址在防火墙上做nat static后客户端无法打开Portal强制页面的解决方法

CAMS服务器地址在防火墙上做nat static后客户端无法打开Portal强制页面的解决方法

 

 

一      组网：

CAMS与MA5200F设备配合做Portal认证的组网需要CAMS服务器、MA5200F设备，防火墙Secpath100F，交换机S3100。其中在Secpath100F的Ethernet0/1端口启用NAT static，对CAMS服务器IP地址做NAT static，CAMS服务器IP是192.168.0.13，NAT static之后IP地址是10.10.10.100。客户端IP地址由MA5200F的IP-pool分配，本案例中客户端获得IP地址为172.16.0.196。

图1 组网图 

 

二    问题描述：

CAMS与MA5200F配合做Portal认证，客户端采用web认证方式。在IE浏览器中输入需要访问的IP地址时，无法弹出强制认证页面，经过一段时间后页面显示“无法打开该网页”。

三    过程分析：

此种组网中的特殊点在于，在防火墙Secpath100F上启用NAT static功能之后，CAMS服务器的IP地址由192.168.0.13转换为10.10.10.100。查看异常情况下在客户端的抓包信息，发现客户端（IP：172.168.0.196）向CAMS服务器发起portal认证时，在“HTTP/1.1 200 OK”报文后，CAMS服务器IP地址成为了不被客户端识别的IP地址——192.168.0.13。在“HTTP/1.1 200 OK”报文中会看到Portal认证重定向的页面是http://192.168.0.13/portal。由于客户端无法认知192.168.0.13，因此出现了无法认证的现象。

图2 异常情况下客户端的抓包

四      解决方法：

解决此种组网环境下的portal认证问题，需要修改CAMS服务器上的配置文件。假设CAMS安装路径在C盘根目录下。打开c:\cams\etc\portal.conf文件，将其中的“WebServAddr   192.168.0.13”更改为“WebServAddr   10.10.10.100”。然后重启CAMS服务器上的的portal的两个服务：Portal Forword和Portal Kernel Service即可。