AD-Campus EIA典型配置举例-5W107-新华三集团-H3C

AD-Campus + U-Center 5.0 EIA 三层 Portal MAC 无感认证完整配置案例
组网前提
三层互通：接入交换机与 U-Center EIA 跨三层，网关做 Portal 网关（VLANIF 接口启用 Portal）；
需求：提前录入 MAC 地址用户，终端上电直接无感放行，不弹 Portal 页面；
核心痛点：三层环境必须开启跨三层 MAC 探测、mac-trigger-server、ARP 探测，否则网关拿不到终端真实 MAC，认证直接失败。
一、网络设备（汇聚 / 核心网关，Portal 网关）完整 CLI 配置
1. 基础 RADIUS（对接 EIA）
plaintext
# 创建RADIUS方案，指向U-Center EIA IP
radius scheme imc
primary authentication 10.0.0.100 1812
primary accounting 10.0.0.100 1813
key cipher simple Admin@123 # 和EIA接入设备密钥完全一致
user-name-format without-domain
nas-ip 10.0.0.1 # 网关VLANIF IP，EIA识别NAS地址
quit

# AAA域绑定RADIUS
domain default
authentication lan-access radius-scheme imc
authorization lan-access radius-scheme imc
accounting lan-access radius-scheme imc
quit
2. Portal 基础 + MAC 触发无感知（三层关键）
plaintext
# 全局开启Portal、MAC认证
portal enable
mac-authentication

# 创建MAC绑定服务器（对接EIA无感知端口50100）
portal mac-trigger-server eia-mts
ip 10.0.0.100 # U-Center EIA业务IP
port 50100
cloud-binding enable # AD-Campus云绑定，三层必开
quit

# 定义Portal Web服务器（EIA Portal服务）
portal web-server eia-portal
url http://10.0.0.100:8080/portal
quit
3. 用户业务 VLANIF 三层接口配置（核心，三层 MAC 无感必配）
plaintext
interface Vlan-interface 100 # 终端接入业务VLAN网关
ip address 192.168.100.1 255.255.255.0
# 绑定Portal直连模式
portal apply web-server eia-portal direct
portal nas-ip 10.0.0.1
portal domain default
# 开启MAC触发无感知（三层获取终端MAC核心命令）
portal mac-trigger enable period 300 threshold 8192
portal mac-trigger-server eia-mts
# 三层跨网段ARP探测，网关抓取终端MAC上报EIA
portal arp-detect enable subnet 192.168.100.0 255.255.255.0
# 认证顺序：MAC优先，匹配MAC用户直接放行，不弹Portal
authentication order mac web
# 全局MAC认证接口使能
mac-authentication
quit
4. 接入交换机端口（二层接入，无需 Portal，透传即可）
plaintext
interface GigabitEthernet 1/0/1-24
port link-type access
port access vlan 100
# 关闭冲突安全策略
undo port-security
undo dot1x enable
quit
二、U-Center 5.0 EIA 后台完整配置（分 5 步）
步骤 1：添加接入网关设备（Portal 网关）
路径：自动化→用户业务→接入设备管理→增加 IPv4 设备
参数：
IP：Portal 网关 VLANIF IP（10.0.0.1）
共享密钥：和设备 radius key 完全一致
设备类型：H3C (General)
业务类型：不限
勾选启用 ARP 探测，探测网段填写终端业务网段192.168.100.0/24
保存，设备状态变为已连通
步骤 2：全局开启无感知总开关（不开启则 MAC 无感失效）
路径：自动化→网络准入→准入管理→参数管理→终端管理参数配置
无感知认证：启用
非智能终端 Portal 无感知认证：允许（打印机 / 摄像头等哑终端生效）
终端老化策略默认即可
步骤 3：创建 Portal 接入服务，开启 MAC 无感
路径：自动化→用户业务→接入服务→Portal 服务管理→增加
关键配置：
认证方式：Web+MAC 地址认证
透明无感知认证：启用
无感知绑定有效期按需设置（永久 / 30 天）
端口组信息管理→编辑端口组：无感知认证 = 支持
绑定授权策略（放行上网权限 VLAN/ACL）
步骤 4：添加 MAC 地址认证用户（固定终端无感）
两种方式任选，你场景用手动添加 MAC 终端绑定用户：
路径：用户→接入用户管理→增加
用户类型：接入用户
认证方式：MAC 地址认证用户
MAC 地址：填写终端 MAC（格式xxxx-xxxx-xxxx）
绑定接入服务：选择上一步创建的 Portal 服务
账号状态：启用
保存后，MAC 与账号、服务永久绑定
步骤 5：AD-Campus 联动校验
NSM 同步设备配置模板，下发网关 AAA/Portal 配置
重启 EIA Portal、RADIUS 服务使全部参数生效
三、终端无法接入核心排错点（三层场景高频踩坑）
1. 三层网关无法获取终端 MAC（最常见）
未配置portal arp-detect enable subnet x.x.x.x，网关看不到终端 MAC，EIA 匹配不到 MAC 用户
排查：display portal arp-detect，确认探测网段正确；display arp看网关是否学习到终端 ARP 条目
2. mac-trigger-server 配置缺失 / IP 端口错误
网关未指向 EIA 50100 端口，无感知 MAC 查询报文无法送达服务器
校验：display portal mac-trigger-server查看 IP、port、cloud-binding 状态
3. EIA 接入设备未开启 ARP 探测
设备管理页面漏勾选 ARP 探测，服务器无法跨三层识别终端 MAC，直接拒绝认证
4. 认证顺序写反（web 优先）
authentication order web mac会先弹 Portal，不会走 MAC 无感；必须mac webMAC 优先
5. MAC 地址格式不匹配
EIA 录入 MAC 为aabb-ccdd-eeff，若填aa:bb:cc:dd:ee:ff会匹配失败
6. 设备与 EIA 密钥不一致
RADIUS 报文校验失败，所有认证请求被服务器丢弃
7. 端口冲突策略拦截
接入端口存在port-security、静态 IP+MAC 绑定，阻断未认证终端 DHCP/ARP 报文
四、快速定位调试命令（网关设备）
plaintext
# 查看MAC触发服务器状态
display portal mac-trigger-server
# 查看ARP探测配置
display portal arp-detect
# 查看在线认证用户（无MAC条目即未触发无感）
display portal connection
display mac-authentication connection
# 开启调试抓认证交互（定位报文失败）
terminal debugging
terminal monitor
debugging portal all
debugging radius packet
最简上线验证流程
网关配置完整 radius+portal+mac-trigger+arp-detect
EIA 添加网关、开启全局无感知、创建 Portal 服务
录入 MAC 地址用户并绑定服务
终端插线获取 IP，网关发送 MAC 查询至 EIA，匹配 MAC 用户直接放行，无 Portal 弹窗

你提到的终端无法接入问题，在AD-Campus部署MAC Portal无感认证时比较常见。这通常是因为配置链路中存在疏漏，导致首次MAC认证失败。

下面是一份完整的配置案例和排查思路，供你参考。

认证流程速览

MAC Portal无感认证的本质是两次MAC认证：

1. 首次MAC认证 (获取临时IP)：终端首次接入，设备用其MAC地址作为用户名/密码向EIA认证。通过后，终端获取Guest VXLAN内的临时IP（Byod地址）。

2. Portal认证与绑定：终端获取临时IP后，会被重定向到Portal页面。用户输入账号密码完成认证，EIA会将此账号与终端MAC地址绑定。

3. 二次MAC认证 (获取业务IP)：绑定成功后，EIA会踢用户下线。终端重新连接时，再次发起MAC认证，EIA根据MAC地址找到绑定的账号，认证通过并下发业务VXLAN的IP地址，实现“无感”接入。

配置步骤

配置主要分为EIA服务器侧和接入设备侧。

1. EIA服务器侧配置

• 增加接入设备：登录EIA管理平台，在“自动化 > 网络准入 > 准入管理 > 接入设备”中，增加你的Leaf交换机或无线控制器（AC）。

  • 共享密钥：必须与设备侧配置的RADIUS认证密钥完全一致。

  • 设备IP：务必添加正确的NAS-IP地址。

• 配置接入策略：在“接入策略管理”中，增加一条允许接入的MAC认证策略。

• 增加接入用户：在“接入用户管理”中，为终端创建用户。用户名和密码均设置为终端的MAC地址（格式需统一，如不带分隔符的00e0fc123456）。

• 启用无感知认证：在“系统配置 > 终端管理参数”中，确保“启用无感知认证”功能已开启。

2. 接入设备侧配置（Leaf/AC）

以Leaf交换机为例，关键配置如下：

• 配置RADIUS方案

  text

  radius scheme adcampus primary authentication 3.3.3.3 // EIA服务器IP primary accounting 3.3.3.3 key authentication cipher ****** // 与EIA侧共享密钥一致 key accounting cipher ****** user-name-format without-domain // 关键：MAC认证不带域名 nas-ip 2.2.2.2 // 关键：指定与EIA通信的源IP

  nas-ip至关重要：必须指定一个与EIA服务器路由可达的接口IP，否则EIA可能因无法识别设备而拒绝认证。

• 配置MAC认证域

  text

  domain adcampus authentication lan-access radius-scheme adcampus authorization lan-access radius-scheme adcampus accounting lan-access radius-scheme adcampus

• 在接口使能MAC认证

  text

  interface GigabitEthernet1/0/1 mac-authentication domain adcampus

• （可选）调整静默定时器：如果终端因认证失败被加入动态黑名单，可以在系统视图下缩短静默时间：

  text

  mac-authentication timer quiet 1

  这有助于加快再次尝试认证的速度。

故障排查（终端无法接入）

如果配置后终端仍无法接入，可以按以下步骤排查：

1. 检查基础网络与配置

• 地址可达性：在Leaf交换机上，使用命令ping -vpn-instance vpn-default <EIA_IP>，确认设备和EIA服务器网络互通。

• 核对共享密钥：仔细检查设备与EIA侧的RADIUS共享密钥是否完全一致，一个字符的差异都会导致认证失败。

• 核对NAS-IP：再次确认设备上指定的nas-ip与EIA侧添加的接入设备IP一致。

2. 检查EIA侧状态

• 查看在线用户：在EIA管理平台的“接入用户 > 在线用户”中，查看终端MAC是否出现。

  • 若未出现：说明认证请求未到达EIA或已被拒绝，需重点排查网络和共享密钥。

  • 若出现但IP异常：可能只完成了首次MAC认证，需要检查Portal配置和第二次MAC认证流程。

• 检查接入策略：确认终端MAC对应的接入策略已正确下发，没有被错误的安全组或授权策略限制。

3. 开启Debug定位根本原因

如果以上检查均正常，需要在Leaf设备上开启debug，查看具体失败原因。

• 观察code值：重点关注RADIUS返回的认证失败代码，如code 4等。

• 常见失败日志：如果看到类似AAA authentication server no response的日志，通常指向网络不通、共享密钥错误或EIA侧接入设备配置有误。

注意事项

• MAC地址格式：确保设备侧和EIA侧使用的MAC地址格式统一（如均不带分隔符）。

• 终端随机MAC：部分手机默认开启“私有地址”或“随机MAC”功能，这会导致每次连接的MAC地址不同，造成无感知认证失效。建议在终端上关闭此功能。