问

关于云简portal认证数据交互问题

Portal

4小时前提问

0关注
0收藏，35浏览

活着真累啊

活着真累啊五段

粉丝：2人关注：0人

问题描述：

无线控制器对接云简平台，配置portal认证，中间的radius和portal交互数据是加密的吗，想通过行为管理抓取经过的流量来同步账号上线信息，不知道能不能同步成功

3 个回答

按时间按赞数

zhiliao_Gixe

zhiliao_Gixe 四段

粉丝：2人关注：9人

1. RADIUS交互：是加密的。RADIUS服务器与AC/交换机之间使用共享密钥（shared-key）对用户密码等敏感属性进行加密，但部分属性（如用户名）不加密。抓包无法直接解密密码。

2. Portal交互：通常不加密。Portal服务器与客户端（用户浏览器）之间的HTTP/HTTPS交互由Portal认证方式决定。若使用HTTP，则用户名密码明文传输；若使用HTTPS，则加密。但Portal服务器与AC/设备之间的Portal协议报文（如H3C的CMCC/Portal 2.0）通常不加密，携带用户名等信息。

3. 实现账号上线信息同步的推荐方法：
* 首选：在云简平台或RADIUS服务器侧配置，将认证日志（如使用RADIUS Accounting）或成功认证消息实时同步给行为管理系统。
* 次选：在AC上配置`radius session-control enable`并设置行为管理系统作为RADIUS Session-Control服务器，AC会在用户上线/下线时主动发送会话控制报文。
* 不推荐：直接抓取并解密RADIUS流量，因需要共享密钥且过程复杂。抓取Portal流量（若为HTTP）可能获得用户名，但可靠性低。

需确认信息：您具体使用哪种Portal认证方式（如直接、二次地址重定向）及协议（HTTP/HTTPS）？行为管理系统是否需要实时上线信息？

暂无评论

刘浩存

刘浩存七段

粉丝：8人关注：1人

这个方案可以实现，但前提是必须满足一些关键的技术条件。默认情况下，直接在链路上抓包解析是行不通的。

RADIUS和Portal的交互数据确实有加密，但方式不同：

Portal交互：用户手机浏览器与云简平台之间的Portal页面通信，目前基本都强制使用HTTPS加密，无法直接看到账号密码明文。
RADIUS协议（AC ↔ 云简平台）：
- 默认情况：用户密码使用MD5加密传输，用户名和IP地址等关键信息是明文的。但这部分信息是行为管理设备可直接抓取并解析的，比如H3C ACG系列就支持这种解析。
- 高级配置：如果采用了RadSec（RADIUS over TLS），所有通信会基于证书加密，此时抓取的流量将完全无法解析。
- 关键前提：即使默认模式下密码是MD5加密的，也必须获得AC与RADIUS服务器之间配置的共享密钥（Shared Secret），才能将密码解密为可读的明文。没有这个密钥，抓到的密码只是一串乱码。

要实现这个目标，核心在于：行为管理设备必须部署在能同时看到AC与Portal/RADIUS服务器交互流量的路径上，并且AC到服务器的RADIUS通信不能使用RadSec。

下面这些条件会影响成功与否：

设备部署位置与流量可见性：行为管理设备必须串联在AC与云简平台之间的路径上，或者能通过端口镜像方式获得一份完整的流量副本。如果流量绕过了它，就抓不到任何数据。
传输模式确认：需要联系云简平台或查看AC配置，确认RADIUS传输使用的是标准UDP（端口1812/1813） 还是RadSec（端口2083）。如果是后者，抓包同步的方案就行不通了。
共享密钥获取：需要向云简平台管理员获取RADIUS共享密钥。这是解密密码的关键信息，用于在行为管理设备上解析认证包。
认证方法确认：尽量确保无线网络使用的认证方法是PAP（密码认证协议），因为它相对容易解析。如果使用了EAP-PEAP/MSCHAPv2等嵌套加密方式，解析难度会大大增加。