参考下案例，检查下配置： 

4  配置需求

4.1  组网需求

如图1所示，某企业出口路由器通过WAN1接口连接互联网，LAN1接口与PC相连，PC的IP地址固定为192.168.100.2/24，AP通过LAN2接口连接路由器，无线终端自动获取IP地址。AP的管理VLAN为VLAN 1，PC和无线终端均属于VLAN 2。现有如下需求：

·     无线终端需进行账号认证才能连接互联网。

·     PC直接连接互联网，无需认证。

图1 账号认证典型配置组网图

4.2  配置注意事项

·     配置账号认证前，请先将路由器绑定到云平台，且状态为在线。

·     配置账号认证前，需要在云平台添加认证使用的账号名和密码。

4.3  配置步骤

4.3.1  将路由器绑定云平台

# 本例选择将路由器绑定在云平台中的“公司”项目，设备名称为UR7104S-P，绑定后状态为在线。具体配置步骤参见《如何连接云平台典型配置举例》，本文档不再描述。

4.3.2  在云平台配置账号认证

1. 增加账号

(1)     登录简优云。

(2)     选择“首页 > 项目总数 > 我的项目”。

(3)     单击“公司”。

图2 进入项目

(4)     选择“整网管理 > 应用 > 云认证”。

图3 进入云认证

(5)     单击“账号管理”下的“去配置”。

图4 云认证引导页

(6)     选择“固定账号”页签。

(7)     单击<增加>按钮。

(8)     在弹窗中进行配置，说明见下表。带*号为必须输入的信息，其余可省略。

表1 增加固定账号

(9)     配置完成后，单击<确定>按钮，即可完成添加。

图5 增加固定账号

2. 创建认证模板

(1)     进入“认证模板”页签。

(2)     自动弹出创建模板窗口，进行以下配置：

表2 创建模板

(3)     单击<确定>按钮，完成创建。

图6 创建模板

3. 配置认证模板

#进行账号认证特有配置：

(1)     创建模板后，自动进入配置模板页面。

(2)     在页面右侧的“认证配置”页签，在“账号认证”下，可进行下表中的配置，也可以不配置。

表3 账号认证配置

图7 账号认证配置

(3)     可选择开启或关闭LDAP开关。开启后，简优云将与LDAP服务器同步用户账号，用户认证时，云端将账号密码转发至LDAP服务器进行校验，根据服务器返回的校验结果授权用户是否可上网。简优云可对接微软活动目录和开源的OpenLDAP两种LDAP产品，配置时需根据LDAP服务器填写下表参数。

表4 LDAP配置

(4)     开启LDAP后，将出现<模拟认证>按钮，用于保存LDAP配置后验证LDAP的可用性。

(5)     开启LDAP后，将出现<SSL连接>按钮，如果运营方的LDAP服务器购买了SSL证书，启用SSL连接可以提高连接的安全性。

图8 LDAP配置

#进行高级配置（可根据需要选择是否配置）：

(6)     在“认证配置>高级配置”中，单击“上网限制”页签。进行以下配置：

表5 上网限制

图9 上网限制

(7)     单击“免认证”页签。

(8)     可选择开启或关闭“再次连接免认证”开关。再次连接免认证：用户首次认证成功后，使用同一终端（同一MAC地址）再次接入网络时无需手动操作即可自动完成认证，提升用户体验。

(9)     若开启，则需要配置下表内容。

表6 免认证

图10 免认证

(10)     单击“上网时段限制”页签。

(11)     可根据需要，选择打开或关闭“上网时段限制”开关。可使用此功能限制通过认证的终端每日允许上网的时段。

(12)     若开启 “上网时段限制”开关，需要在“启用时间”内选择时间。

¡     结束时间配置为“00:00”时表示结束时间为24点，配置的起始时间和结束时间均为“00:00”时表示终端可以在当天任意时间点上网。

¡     单击时间区段后的“+”、“-”按钮，可在下一行分别增加、减少一个时间区段。每天的时间区段最多为5个。

图11 上网时段限制

# 进行个性化页面绘制（可根据需要选择是否配置）：

(13)     在“顶部操作栏”，单击主题色边的< ∨ >按钮，可修改主题色，此配置将作用于模板内的所有按钮。

图12 主题色

(14)     在页面左侧选择需绘制的页面类型和终端类型。

(15)     单击页面右侧的“页面绘制”页签，即可开始绘制认证页面。

图13 页面绘制

(16)     在“页面绘制”区域的“背景图组件设置”单击<重新上传>按钮，系统弹出图片选择弹框。提供2种图片更换方式：

¡     使用预置图片：单击“选择场景图片”按钮，勾选图片即可使用。

¡     使用本地图片：单击“选择本地图片”按钮，将制作好的图片上传至云端。

图14 图片选择

(17)     选择相应的页面类型后，在“页面绘制”页签可编辑文字。

图15 编辑文字

(18)     配置完成后，单击“认证配置”页面右上角的<保存并预览>按钮，可预览手机端和PC端的认证页面效果。

(19)     预览无误后，打开页面顶部中心的“启用状态”开关。

(20)     单击<保存>按钮，该模板将下发至相应的业务网络VLAN，配置完成。

4.3.3  在路由器上启用云认证功能

# 使用R0162以前版本的UR路由器需要在路由器Web管理界面启用云认证功能，配置步骤如下：

(1)      在设备Web管理界面导航栏中选择“认证管理 > Portal认证”，进入Portal认证页面。

(2)     单击“云认证”页签进入云认证配置页面，

(3)     单击VLAN 2对应的云认证功能列的按钮，使得按钮状态为“开启”，开启云认证功能。

图16 启用云认证功能

4.3.4  配置PC

1. 配置地址组

# 将PC的IP地址段设置为一个地址组，方便在设置免认证时引用。配置步骤如下：

(1)     在设备Web管理界面导航栏中选择“网络设置 > 地址组”，进入地址组配置页面。

(2)     单击<添加>按钮，进入添加地址组配置页面。

(3)     在“地址组的名称”配置项处，输入PC。

(4)     在“IP地址”配置项处，起始地址框框输入192.168.100.2。

(5)     单击< > >按钮，提交配置的地址组内容。

(6)     其它配置项均保持默认情况即可，单击<确定>按钮保存配置。

图17 配置地址组

2. 配置免认证

(1)     在设备Web管理界面导航中选择“认证管理 > Portal认证”，进入Portal认证页面。

(2)     单击“免认证IP地址”页签，进入免认证IP地址配置页面。

(3)     单击<添加>按钮，进入“添加免认证IP地址”页面。

(4)     在“地址组添加方式”配置项处，选择“源IP地址组”。

(5)     在“免认证源地址分组”配置项处，选择刚创建的有线网地址组。

(6)     单击<确定>按钮，完成配置。

图18 配置免认证IP地址

5  验证配置

(1)     使用手机连接AP下发的SSID（本例为@账号认证）。

(2)     将弹出认证页面，输入账号和密码。

(3)     完成认证。PC可以无需认证直接访问互联网，表明配置验证成功。

图19 认证页面

组网：互联网 → UR7208（AC + 路由一体）→ US218-HP POE 交换机 → AP
认证绑定：简优云认证模板绑定 VLAN101，Portal 不生效，终端连上 WiFi 无认证弹窗。
UR7208 属于简优云云管路由 AC 一体机，Portal 认证必须路由侧 VLAN、接口、云端配置三方完全匹配，下面按排查顺序解决。
一、核心失效常见 4 个根本原因
UR7208 内网业务 VLAN 并非 VLAN101，云端模板绑定 VLAN 错误；
内网下行接口（连接 US218 的 PORT15）没有开启 portal apply 应用认证；
AP 下发的 SSID 所属 VLAN 不是 101，终端接入 VLAN 与认证绑定 VLAN 不一致；
路由开启 NAT 后，未放行 Portal 免认证地址、云端 Portal 服务器白名单。
分步排查修复流程
步骤 1：确认终端接入的实际 VLAN 是不是 VLAN101
1.1 查看 US218 交换机对接上行端口配置
US218 上行连接 UR7208 Port15，该端口必须为 Trunk，放行 VLAN101，AP 接入端口为 Access VLAN101。
h3c
# US218交换机登录查看上行口
display current-configuration interface GigabitEthernet 1/0/24
# 正确配置示例
interface GigabitEthernet 1/0/24
port link-type trunk
port trunk permit vlan all
1.2 AP 的 SSID 业务 VLAN 必须是 VLAN101
登录简优云 → WLAN 管理 → SSID 配置，确认该 WiFi 对应的业务 VLAN=101。
如果 SSID 是 VLAN102，但认证绑定 VLAN101，终端永远不会弹出认证页面。
步骤 2：UR7208 本地接口必须下发 Portal 认证（最容易遗漏）
UR7208 下行对接交换机的端口是 Port15，必须在接口下应用 Portal 配置，云端配置只是模板，本地接口需要绑定生效。
命令行配置（Console/SSH 登录 UR7208 执行）
h3c
system-view
# 进入对接交换机的接口Port15
interface GigabitEthernet 1/0/15
portal apply cloud //绑定简优云云端Portal模板
portal enable
quit
save force
Web 界面配置
登录 UR7208 本地 Web 后台；
网络 → 接口管理 → 找到 PORT15；
开启【Portal 认证】，认证模式选择 简优云 Portal。
步骤 3：放行免认证网段，避免认证页面被 NAT/ACL 拦截
终端未认证时，必须可以正常访问简优云 Portal 服务器，否则弹窗被拦截。
UR7208 配置免认证规则
h3c
system-view
# 放行简优云云端Portal地址（简优云通用免认证网段）
portal free-rule 0 destination ip 39.96.176.0 255.255.248.0
portal free-rule 1 destination ip 120.92.192.0 255.255.224.0
# 放行DNS，否则终端无法解析认证网页
portal free-rule 2 destination ip 114.114.114.114 255.255.255.255
portal free-rule 3 destination ip 223.5.5.5 255.255.255.255
步骤 4：检查 UR7208 的 VLANIF 101 三层接口是否存在
必须创建三层 VLANIF 101 作为终端网关，没有三层 VLAN 接口 Portal 无法管控流量：
h3c
system-view
interface Vlan-interface 101
ip address 192.168.101.1 255.255.255.0 # 终端网关地址
portal apply cloud
portal enable
quit
两种二选一即可：在三层 VLANIF101 应用 Portal，或者在物理 Port15 接口应用 Portal。推荐在 VLANIF 三层接口全局应用。
步骤 5：简优云云端校验配置
认证模板：绑定业务 VLAN 严格为 VLAN101，开关处于启用状态（你截图里已经开启）；
【免认证策略】添加网关 IP、DNS 服务器 IP，防止认证前被拦截；
设备在线状态：确认 UR7208 在简优云平台是正常在线，离线状态云端模板不会下发。
步骤 6：测试验证
手机连接 WiFi，手动随便访问一个 HTTP 网页（***.***，不要用 HTTPS 网址），正常会强制跳转 Portal 认证页面；
HTTPS 网站不会主动弹窗，这是正常现象，务必用 HTTP 地址测试；
认证成功后查看在线用户：
h3c
display portal user
能看到终端 MAC 即代表 Portal 生效。
高频故障补充
连上 WiFi 直接上网，完全不弹认证
原因：接口没开启portal enable、SSID VLAN 不是 101。解决：补齐接口 portal 配置，核对 WiFi 业务 VLAN。
能弹出页面，账号密码正确但是认证失败
简优云账号未创建、账号绑定 VLAN 错误、路由时间不同步，同步 UR7208 系统时间与云端一致即可。
弹窗转圈加载不出来
未配置 portal free-rule 放行简优云服务器，添加免认证网段即可。
最简修复顺序
确认 WiFi 业务 VLAN=101；
在 UR7208 的 Vlan-interface 101 执行 portal apply cloud + portal enable；
添加简优云免认证规则；
手机连 WiFi 打开 HTTP 网页测试弹窗。