无线portal认证终端无法正常认证

问题 1：苹果手机自动弹窗认证后，AC 不显示用户；浏览器手动认证正常

根因

• iOS 的 Captive Portal 机制（探测 captive.apple.com）和安卓 / Windows 不一样：
  iOS 弹窗走的是 系统原生检测请求，不是标准浏览器请求；
  H3C AC 默认对 iOS 这种请求 不会完整触发 Portal 上线流程，导致：
  • 深信服 AC 显示上线（前端认证过了）
  • 但 AC 上没有生成 portal user 表项（等于没完成 AC 侧的认证记账）
• 你手动开浏览器访问网页，走的是标准 HTTP 重定向，流程完整，所以正常。

必做配置（AC 上）

深信服 AC 侧配合

• 在 AC 认证策略里，放行 captive.apple.com 的探测请求，不要做认证拦截；
• 认证页面返回时，HTTP 头加上：
  plaintext

  Cache-Control: no-store, must-revalidate Pragma: no-cache
  防止 iOS 缓存导致二次认证异常。

验证

问题 2：终端点注销，不跳回 Portal 认证页

根因

• 远程 Portal 的 注销回调 URL 没配置；
• 用户点注销时，深信服 AC 只做了本地注销，但 没有通知 AC 下线，也没有重定向回认证页。

配置（AC + 深信服两边都要）

1）AC 侧：配置注销回调

2）深信服 AC 侧：认证页面注销按钮要正确回调

• 页面上注销按钮的 action 必须指向：
  plaintext

  http://AC的IP:端口/portal/logout
• 或在页面 JS 里调用：
  Javascript

  运行

  window.location.href="http://ACIP/portal/logout";
  让 AC 收到注销请求后，主动踢用户 + 重定向回认证页。

问题 3：点钉钉认证页，没输账号，AC 已显示上线；深信服显示未上线

根因（非常典型）

• 深信服 AC 的 钉钉认证前端 “预放行”：
  • 用户一打开钉钉认证页，AC 就先放通该 IP，认为 “认证中 = 已上线”；
  • 但此时 没把上线结果通知 H3C AC；
  • 结果：
    • H3C AC：portal user 表项生成（假上线）
    • 深信服 AC：用户实际没登录，列表里没有。

解决（深信服 AC 侧为主，AC 侧配合）

1）深信服 AC：关闭 “认证页面预放行”

• 路径：用户认证与管理 → 认证策略 → 高级选项
• 取消勾选：认证页面访问时先放行（或类似 “未登录先放通”）
• 改为：必须完成钉钉 OAuth 授权后，才通知 AC 上线。

2）H3C AC：开启 Portal 状态校验

你现在可以直接按这个顺序排查

1. AC 上开启 captive-bypass ios optimize enable + 放行 captive.apple.com；
2. AC portal web-server 配置 logout-redirect；
3. AC 开启 portal authentication strict enable；
4. 深信服 AC 关闭 “认证页面预放行”，只在钉钉授权成功后通知 AC；
5. 测试：iPhone 重连 WiFi → 自动弹窗认证 → AC 能看到用户 → 注销能跳回认证页。