问

2510H AC如何做到“先设备(MAC)认证，后用户(AD)认证”

10小时前提问

0关注
0收藏，70浏览

zhiliao_k8NNG

zhiliao_k8NNG 零段

粉丝：1人关注：0人

问题描述：

2510H AC配置“先设备(MAC)认证，后用户(AD)认证”的实现中，AC已分别实现了通过Radius对设备MAC认证 ,通过AC自带的Portal集成的AD域用户认证，但不知道怎么做到在 AC实现“先设备(MAC)认证，后用户(AD)认证”，请各位大咖提供支持，谢谢！

3 个回答

按时间按赞数

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉丝：96人关注：11人

你这其实就是mac+portal认证，然后对接ldap，参考：

mac+portal认证：

https://www.h3c.com/cn/d_202509/2654119_30005_0.htm

对接ldap：

https://www.h3c.com/cn/d_202509/2654117_30005_0.htm

暂无评论

国服第181小鱼人

国服第181小鱼人四段

粉丝：2人关注：0人

核心原理：认证模板与授权VLAN

认证模板 (Authentication Profile)：这是实现“先后顺序”的关键。您需要创建一个认证模板，里面同时引用 MAC 接入模板和 Portal 接入模板。设备默认会先尝试 MAC 认证，如果失败（即该 MAC 地址不在 Radius 服务器中），则自动触发 Portal 认证。
授权VLAN (Authorization VLAN)：这是实现“隔离与放行”的关键。
- 成功时：MAC 认证通过，用户被授权到正常的业务 VLAN（如 VLAN 186）。
- 失败时（关键点）：MAC 认证失败，用户会被强制分配到一个隔离 VLAN（或称为 Guest VLAN）。在这个 VLAN 里，您通过 ACL 只允许用户访问 AC 本机的 Portal 页面和 DNS 服务，从而强制用户进行 Portal 认证。

具体配置步骤

假设您的环境如下：

业务 VLAN：186（MAC 认证通过后进入的 VLAN）
隔离 VLAN：100（MAC 认证失败后进入的 VLAN，仅能访问 Portal）
Radius Server：已配置，用于 MAC 认证。
AD Server：已配置，用于 Portal 认证。

1. 配置 MAC 接入模板

定义 MAC 认证的规则（例如用户名格式）。

# 创建 MAC 接入模板 2mac-access-profile name MAC_AUTH_PROF 3 # 配置用户名格式为 MAC 地址（不带分隔符） 4 user-name-format mac-address without-hyphen lowercase 5quit

2. 配置 Portal 接入模板

定义 Portal 认证使用的 Web 服务器和认证方式。

# 创建 Portal 接入模板 2portal-access-profile name PORTAL_AUTH_PROF 3 # 引用之前配置好的 Portal Web 服务器 4 portal web-server <web-server-name> 5 # 配置重定向方式（直接重定向或主动探测） 6 portal method direct 7quit

3. 配置认证模板（关键步骤）

这一步是实现“先 MAC 后 Portal”的核心。 将上面两个模板绑定在一起。

# 创建认证模板 2authentication-profile name MAC_THEN_PORTAL 3 # 绑定 MAC 接入模板 4 mac-access-profile MAC_AUTH_PROF 5 # 绑定 Portal 接入模板 6 portal-access-profile PORTAL_AUTH_PROF 7 # --- 关键配置：指定 MAC 认证失败后的处理 --- 8 # 配置 MAC 认证失败时，重定向到 Portal 认证 9 mac-authentication fail-permit portal 10 # 配置隔离 VLAN（MAC 认证失败后进入的 VLAN） 11 guest vlan 100 12quit

4. 配置隔离 VLAN 的 ACL（重要）

如果不配置这个，MAC 认证失败的用户可能直接无法上网，或者直接“裸奔”在内网中。

# 创建高级 ACL，允许访问 AC 的 Portal 服务和 DNS 2acl number 3000 3 rule 5 permit udp source-port eq 53 destination-port eq 53 # DNS 4 rule 10 permit tcp destination <AC的IP地址> destination-port eq 80 # HTTP Portal 5 rule 15 permit tcp destination <AC的IP地址> destination-port eq 443 # HTTPS Portal 6 rule 20 deny ip # 拒绝其他所有流量 7quit 8 9# 将 ACL 应用到隔离 VLAN 100 的入方向 10interface Vlan-interface 100 11 packet-filter 3000 inbound 12quit

5. 应用到服务模板

最后，将这个“组合好的”认证模板应用到您的无线服务模板中。

wlan service-template yyyyy-ldap 2 # 关联之前配置好的 SSID 和 VLAN 3 ssid ldap-test 4 vlan 186 5 # --- 替换这里的配置 --- 6 # 删除之前的 client-security 和 mac-authentication domain 命令 7 # 改为应用认证模板 8 authentication-profile MAC_THEN_PORTAL 9 # 开启服务模板 10 service-template enable 11quit