IMC+7503E-M

1. 你的iMC 组件授权是正常的，核心的 EIA（终端智能接入管理）500 用户授权已部署，当前仅用了 2 个，Portal/Radius 能力是具备的。
2. 测试 VLAN100 正常、正式 VLAN20 不认证就能上网，核心原因是：VLAN20 的流量没有被 Portal/AAA 策略控制，和 IP+MAC 绑定配置高度相关。

一、先确认授权是否可用（从你的截图）

二、为什么 VLAN100 正常、VLAN20 失效？

1. 最可能的根本原因：IP+MAC 绑定导致 Portal/AAA 策略被绕开

• Portal 认证的原理是：终端上线后，流量被交换机拦截，重定向到 Portal 页面，认证通过后才放行流量。
• 当配置了静态arp static 固定IP MAC后，交换机认为这个 IP+MAC 是 “信任的静态条目”，不会触发 ARP 探测和 Portal 重定向，直接允许流量转发，所以终端不认证也能上网。
• 而 VLAN100 没有 IP+MAC 绑定，终端上线后 ARP 触发正常，Portal 流程正常工作。

2. 其他需要排查的配置差异点

• 端口 / VLAN 下的 Portal/AAA 配置是否一致：
  • 确认 VLAN20 的接口 / 三层虚接口下，是否开启了portal enable、portal apply server、radius-scheme等配置，和 VLAN100 完全一致。
  • 确认domain域配置是否绑定了正确的 RADIUS 方案。
• 地址池 / 地址组是否匹配：
  • iMC Portal 中，地址组是否包含了 VLAN20 的网段，没有把 VLAN20 的网段设为免认证地址。
  • 交换机上的免认证规则（portal free-rule）是否意外放行了 VLAN20 的流量。
• 认证触发方式：
  • 如果用的是基于 VLAN/IP 段的 Portal 认证，确认 VLAN20 的 IP 段被正确加入了 Portal 认证的网段列表。

三、快速排查 & 修复步骤（按优先级）

步骤 1：验证 IP+MAC 绑定是否影响 Portal

步骤 2：如果是 IP+MAC 绑定导致，怎么解决？

• 改用 iMC EIA 的 IP-MAC 绑定功能，在认证通过后下发动态绑定，既防 IP 篡改，又不影响 Portal 流程。
• 配置方法：在 iMC EIA 中为用户配置 IP-MAC 绑定，认证通过后交换机自动生成动态 ARP 条目，不会提前放行流量。

• 把 Portal 认证改为基于 MAC 的触发，或在交换机上开启portal mac-trigger enable，让 MAC 地址上线就触发认证，不受静态 ARP 影响。
• 部分版本交换机需要关闭静态 ARP 的免认证特权，具体命令可参考：
  bash

  运行

  system-view portal free-rule 0 deny destination ip 192.168.20.0 24 # 取消对该网段的默认放行

步骤 3：对比 VLAN100 和 VLAN20 的交换机配置

1. 查看 VLAN 虚接口配置：
   bash

   运行

   display current-configuration interface Vlan-interface 100 display current-configuration interface Vlan-interface 20
   对比两个接口下的portal enable、portal apply server、ip verify source、domain配置是否完全一致。
2. 查看全局 Portal 配置：
   bash

   运行

   display current-configuration | include portal
   确认 VLAN20 的网段没有被加入portal free-rule免认证列表。

步骤 4：检查 iMC 侧的 Portal 地址组配置

• 登录 iMC → 业务 → Portal 服务管理 → 查看 Portal 服务下的地址组，确认 VLAN20 的网段（如 192.168.20.0/24）已被添加，且没有被设置为免认证网段。
• 确认端口组配置正确，核心交换机的 IP、端口号和 iMC 上的接入设备配置一致。

四、给你的建议

1. 优先验证IP+MAC 绑定的影响，这是和你描述的场景最匹配的原因。
2. 不建议同时在交换机上配置静态 IP+MAC 绑定和 Portal 认证，两者在信任机制上是冲突的。
3. 改用 iMC EIA 的 IP-MAC 绑定功能，既满足固定 IP 的需求，又不影响认证流程，还能统一管理。