可以的,案例：

1  本地Portal MAC-Trigger快速认证+本地转发典型配置

1.1  简介

本文档介绍本地Portal+MAC-Trigger快速认证+本地转发配置举例。

1.2  组网需求

如图1所示，AP和Client通过DHCP服务器获取IP地址，AC同时作为Portal认证服务器和Portal Web服务器、MAC绑定服务器，要求：

·     AC采用直接方式的Portal认证。

·     Client在通过Portal认证前，只能访问Portal Web服务器；Client通过Portal认证后，可以访问外部网络。

·     Client的数据流量直接由AP进行转发。

·     用户可以在VLAN内的任何二层端口上访问网络资源，且移动接入端口时无须重复认证。

图1 本地转发模式下本地Portal基于MAC地址的快速认证组网图

1.3  配置思路

·     为了使用户可以在VLAN内的任何二层端口上访问网络资源，且移动接入端口时无须重复认证，必须开启Portal用户漫游功能。

·     为了将AP的GigabitEthernet1/0/1接口加入本地转发的VLAN 200，需要使用文本文档编辑AP的配置文件，并将配置文件上传到AC存储介质上。

1.4  配置注意事项

·     配置AP的序列号时请确保该序列号与AP唯一对应。

·     设备重定向给用户的Portal Web服务器的URL默认是不携带参数，需要根据实际应用手动添加需要携带的参数信息

·     短时间内Portal客户端的频繁上下线可能会造成Portal认证失败，需要关闭Portal客户端ARP表项固化功能。

·     部分款型终端默认会开启随机MAC功能，可能会导致无感知认证失效，建议终端侧关闭随机MAC功能

1.5  配置步骤

1.5.1  编辑AP配置文件

# 使用文本文档编辑AP的配置文件，将配置文件命名为map.txt，并将配置文件上传到AC存储介质上。配置文件内容和格式如下：

System-view

vlan 200

interface gigabitethernet1/0/1

port link-type trunk

port trunk permit vlan 200

1.5.2  配置AC

(1)     配置AC的接口

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AP将获取该IP地址与AC建立CAPWAP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 2.2.1.1 24

[AC-Vlan-interface100] quit

# 创建VLAN 200及其对应的VLAN接口，并为该接口配置IP地址。Client将使用该VLAN接入无线网络。

[AC] vlan 200

[AC-vlan200] quit

[AC] interface vlan-interface 200

[AC-Vlan-interface200] ip address 2.2.2.1 24

[AC-Vlan-interface200] quit

# 将AC与Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk，并允许VLAN 100和VLAN 200通过。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[AC-GigabitEthernet1/0/1] quit

(2)     配置无线服务

# 创建无线服务模板st1，并进入无线服务模板视图。

[AC] wlan service-template st1

# 配置SSID为service。

[AC-wlan-st-st1] ssid service

# 配置无线服务模板VLAN为200。

[AC-wlan-st-st1] vlan 200

# 配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。

[AC-wlan-st-st1] akm mode psk

[AC-wlan-st-st1] preshared-key pass-phrase simple 12345678

# 配置加密套件为CCMP，安全信息元素为RSN。

[AC-wlan-st-st1] cipher-suite ccmp

[AC-wlan-st-st1] security-ie rsn

# 配置客户端数据报文转发位置为AP。（如果客户端数据报文的缺省转发位置与本配置相同，请跳过此步骤）

[AC–wlan-st-st1] client forwarding-location ap

[AC-wlan-st-st1] quit

(3)     配置AP

# 创建AP，配置AP名称为office，型号名称选择WA6320，并配置序列号219801A28N819CE0002T。

[AC] wlan ap office model WA6320

[AC-wlan-ap-office] serial-id 219801A28N819CE0002T

[AC-wlan-ap-office] quit

# 创建AP组group1，并配置AP名称入组规则。

[AC] wlan ap-group group1

[AC-wlan-ap-group-group1] ap office

# 在AP组ap-model视图下指定AP的配置文件为map.txt。

[AC-wlan-ap-group-group1] ap-model WA6320

[AC-wlan-ap-group-group1-ap-model-WA6320] map-configuration map.txt

# 将无线服务模板st1绑定到AP组group1下的Radio 2上。

[AC-wlan-ap-group-group1-ap-model-WA6320] radio 2

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] service-template st1

# 开启Radio 2的射频功能。

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] radio enable

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] quit

[AC-wlan-ap-group-group1-ap-model-WA6320] quit

[AC-wlan-ap-group-group1] quit

(4)     配置认证域

# 创建名为dm1的ISP域并进入其视图。

[AC] domain dm1

# 为Portal用户配置AAA认证方法为Local。

[AC-isp-dm1] authentication portal local

# 为Portal用户配置AAA授权方法为none。

[AC-isp-dm1] authorization portal none

# 为Portal用户配置AAA计费方法为none。

[AC-isp-dm1] accounting portal none

# 指定ISP域dm1下的用户闲置切断时间为15分钟，闲置切断时间内产生的流量为1024字节。

[AC-isp-dm1] authorization-attribute idle-cut 15 1024

[AC-isp-dm1] quit

(5)     配置Portal认证

# 配置Portal Web服务器的URL为http://2.2.2.1:8080/portal。

[AC] portal web-server newpt

[AC-portal-websvr-newpt] url http://2.2.2.1:8080/portal

# 配置设备重定向给用户的Portal Web服务器的URL中携带参数。

[AC-portal-websvr-newpt] url-parameter wlanuserip source-address

[AC-portal-websvr-newpt] quit

# 配置两条基于目的的Portal免认证规则，放行访问DNS服务器的流量。

[AC] portal free-rule 1 destination ip any udp 53

[AC] portal free-rule 2 destination ip any tcp 53

# 创建本地Portal Web服务器，进入本地Portal Web服务器视图，并指定使用HTTP协议和客户端交互认证信息。

[AC] portal local-web-server http

# 配置本地Portal Web服务器提供的缺省认证页面文件为abc.zip（设备的存储介质的根目录下必须已存在该认证页面文件，否则功能不生效）。

[AC–portal-local-websvr-http] default-logon-page abc.zip

[AC–portal-local-websvr-http] tcp-port 8080

[AC–portal-local-websvr-http] quit

# 配置本地Portal认证的用户名和密码。

[AC] local-user portaluser class network

[AC-luser-network-portaluser] password simple abc123

[AC-luser-network-portaluser] service-type portal

[AC-luser-network-portaluser] quit

# 开启无线Portal漫游功能。

[AC] portal roaming enable

# 关闭无线Portal客户端ARP表项固化功能。

[AC] undo portal refresh arp enable

# 开启无线Portal客户端合法性检查功能。

[AC] portal host-check enable

(6)     配置Portal基于MAC地址的快速认证

# 创建MAC绑定服务器mts，并进入MAC绑定服务器视图。

[AC] portal mac-trigger-server mts

# 配置MAC绑定服务器的地址为2.2.2.1。

[AC-portal-mac-trigger-server-mts] ip 2.2.2.1

# 开启Portal本地MAC Trigger认证功能，并配置本地MAC Trigger绑定表项的老化时间为60分钟。

[AC-portal-mac-trigger-server-mts] local-binding enable

[AC-portal-mac-trigger-server-mts] local-binding aging-time 60

[AC-portal-mac-trigger-server-mts] quit

# 在无线服务模板st1上开启直接方式的Portal认证。

[AC] wlan service-template st1

[AC-wlan-st-st1] portal enable method direct

# 配置接入的Portal用户使用认证域为dm1。

[AC-wlan-st-st1] portal domain dm1

# 在无线服务模板st1上引用Portal Web服务器newpt。

[AC-wlan-st-st1] portal apply web-server newpt

# 在无线服务模板上应用MAC绑定服务器mts。

[AC-wlan-st-st1] portal apply mac-trigger-server mts

# 开启无线服务模板。

[AC-wlan-st-service1] service-template enable

[AC-wlan-st-st1] quit

1.5.3  配置Switch

# 创建VLAN 100，用于转发AC和AP间CAPWAP隧道内的流量。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

# 创建VLAN 200，用于转发Client无线报文。

[Switch] vlan 200

[Switch-vlan200] quit

# 配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk，允许VLAN 100和VLAN 200通过。

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Trunk，并允许VLAN 100和VLAN 200通过，并配置PVID为VLAN 100。

[Switch] interface gigabitethernet 1/0/2

[Switch-GigabitEthernet1/0/2] port link-type trunk

[Switch-GigabitEthernet1/0/2] port trunk permit vlan 100 200

[Switch-GigabitEthernet1/0/2] port trunk pvid vlan 100

# 使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

# 配置VLAN 200接口的IP地址。

[Switch] interface vlan-interface 200

[Switch-Vlan-interface200] ip address 2.2.2.100 255.255.255.0

[Switch-Vlan-interface200] quit

1.6  验证配置

# 通过执行以下显示命令可查看MAC绑定服务器配置。

[AC] display portal mac-trigger-server name mts

Portal mac trigger server name: mts

  Version                    : 1.0

  Server type                : IMC

  IP                         : 2.2.2.1

  Port                       : 50100

  VPN instance               : Not configured

  Aging time                 : 300 seconds

  Free-traffic threshold     : 0 bytes

  NAS-Port-Type              : Not configured

  Binding retry times        : 3

  Binding retry interval     : 1 seconds

  Authentication timeout     : 3 minutes

  Local-binding              : Enabled

  Local-binding aging-time   : 60 minutes

  aaa-fail nobinding         : Disabled

  Excluded attribute list    : Not configured

  Cloud-binding              : Disabled

  Cloud-server URL           : Not configured

# 用户通过网页方式进行Portal认证。用户在通过认证前，发起的所有Web访问均被重定向到Portal认证页面（http://2.2.2.1:8080/portal），在通过认证后，可访问非受限的互联网资源。

用户在首次进行Portal认证时，需要手工输入用户名和密码。当用户再次上线时，如果用户收发的流量还未达到设定的阈值1024000字节时，允许用户访问外部网络资源；当用户收发的流量达到设定的阈值时，则触发基于MAC地址的快速认证，用户不会感知到Portal认证过程，将可以直接访问互联网资源。

通过执行以下显示命令查看AC上生成的Portal在线用户信息。

[AC] display portal user all

Total portal users: 1

Username: portaluser

  AP name: office

  Radio ID: 2

  SSID: service

  Portal server: newpt

  State: Online

  VPN instance: N/A

  MAC             IP                    VLAN    Interface

  0021-6330-0933  2.2.2.2               200     WLAN-BSS1/0/2

  Authorization information:

    DHCP IP pool: N/A

    User profile: N/A

    Session group profile: N/A

    ACL number: N/A

    Inbound CAR: N/A

    Outbound CAR: N/A

WX2580X 旁挂核心、本地转发，AC 做内置 Portal 服务器可行性

版本：V7.1.064, Release 5822P12 组网：WX2580X 旁挂核心交换机；DHCP 网关在核心交换机；AP 使用本地转发（direct‑forward），希望 AC 自身充当 Portal 认证 & 网页服务器，不外接 IMC / 第三方 Portal 服务器H3C。

✅可以实现，该版本支持【本地转发 + AC 内置 local‑portal】（直连 Portal direct 模式）H3C。

注意：本地转发业务流量 AP 直接从交换机转发，不走 AC；但 Portal 认证报文、页面交互报文需要无线业务 VLAN 路由可达 AC 的管理 / 三层 IP，这是旁挂组网最大关键点。

组网硬性前置条件（不满足就会认证弹不出页面）

1. 无线业务 VLAN 的网关在核心交换机，业务 VLAN 必须三层路由可达 AC 的 Portal 服务 IP；核心必须配置回程路由，无线网段路由指向 WX2580X；
2. AC 上必须存在三层接口 IP（建议用 loopback0，稳定性高），作为 Portal‑web‑server 的访问 IP；
3. 核心交换机 Trunk 放通 CAPWAP 管理 VLAN + 全部无线业务 VLAN 到 AC 互联接口；
4. DNS 服务器必须可以正常解析域名，Portal 放行 DNS 报文。

误区：本地转发≠所有流量不走 AC；HTTP 重定向、Portal 提交账号密码报文，客户端要访问 AC 内置网页，必须路由通 AC。

关键必开命令（本地转发环境特有，漏配认证异常）

AAA 域配置（使用 AC 本地账号做 Portal 认证）

内置 Portal‑web 服务器配置

WLAN 服务模板绑定（重点：本地转发 + direct portal）

交换机侧配置要点

1. 核心交换机上增加回程静态路由：无线业务网段，下一跳指向 WX2580X 互联 IP；

无线终端提交 Portal 账号密码报文需要回包到 AC；没有回程路由，页面打不开、提交无响应。

2. 互联接口 Trunk 放通：CAPWAP 管理 VLAN + 无线业务 VLAN。

限制与注意事项

1. AC 内置本地 Portal 只有简单账号密码登录，不支持短信认证、微信扫码认证；只支持本地账号，没有外部 RADIUS 对接能力（对接外部 RADIUS 就不能用authentication portal local，需要配置外部 portal‑server）H3C。
2. 本地转发模式下，不能动态下发 VLAN；只能下发 ACL 权限；
3. 漫游：必须开启portal roaming enable，AP 之间漫游不会重新弹认证页面；
4. 苹果手机可能不自动弹页面，需要手动浏览器访问 http 任意网页触发重定向。

排错查看命令

两种备选方案对比

1. 本方案：AC 内置 local‑portal；优点：不用额外服务器；缺点：只有简单账号密码，功能简单，业务 VLAN 必须三层可达 AC。
2. 外接 IMC‑EIA 作为 Portal/RADIUS 服务器：功能完整（短信、微信、计费、动态 VLAN），生产环境推荐。

参考官方手册：H3C《本地转发模式下本地 Portal 认证典型配置举例》，和你的旁挂组网场景一致H3C。