wac380-30和wap712c组的无线网络dhcp在AC，人少的时候正常人多的时候如图

这个提示不是无线信号或 DHCP 地址池本身的问题，而是网络中的“防共享/防私接”检测机制被触发了。人少时并发终端少，未达到检测阈值；人多时多个终端同时上网，经过同一个出口 NAT 后，被上级设备或 AC 的防共享功能误判为“多台终端共享上网”，从而被临时禁止。

 先定位：这个提示是谁发出来的？

提示文字“登录到网络因系统检测到您有多台终端共享上网，将被禁止上网一段时间!”通常来自以下四类设备之一：

1. 云简平台/绿洲平台的“防共享”策略（如果 AC 注册在云简上）

2. AC 自身开启的“防私接/防共享”功能

3. 出口路由器/防火墙/上网行为管理设备的防共享检测

4. 运营商或校园网认证系统的防私接检测

定位方法：

• 在终端出现提示时，记录终端的 IP 和 MAC。

• 登录 AC，执行 display dhcp server ip-in-use 查看该终端获取的 IP。

• 在出口设备上查看 NAT 会话表，确认该 IP 经过 NAT 后使用的公网 IP。

• 查看出口设备或云简平台的日志，看是否有“共享上网”“防私接”等拦截记录。

 针对性解决方案

情况一：云简平台/AC 自身的防共享功能

如果 AC 注册在云简平台，或 AC 本地开启了防共享检测：

• 云简平台：进入“认证配置”或“防共享”相关页面，关闭防共享检测，或将无线用户网段加入白名单。

• AC 本地：检查配置中是否有 anti-share、share、proxy 等关键字：

  text

  display current-configuration | include share display current-configuration | include anti display current-configuration | include proxy

  如果找到相关命令，可将其关闭或调整阈值。

情况二：出口设备/运营商防共享

这是最常见的情况。所有无线用户经过出口 NAT 后共用一个公网 IP，出口设备或运营商检测到该 IP 下有大量不同终端特征，触发防共享。

• 增加公网 IP 做 NAT 地址池：在出口路由器上配置多对多 NAT，让不同内网用户映射到不同的公网 IP，降低单个公网 IP 的并发终端数。

  bash

  # 示例：配置 NAT 地址池 nat address-group 1 address 公网IP1 公网IP2

• 联系上级网络管理员：将无线用户网段加入防共享白名单，或申请关闭该检测。

• 如果是运营商宽带：家用宽带通常禁止多终端共享，需升级为商业宽带或申请多拨/多 IP。

情况三：校园网/企业认证要求独立认证

如果上级网络要求每个终端单独认证（如 PPPoE、Portal），而你的无线用户是经过 AC 统一 NAT 共享上网，就会被判定为共享。

• 改为每个终端独立认证：让无线用户直接通过 Portal/PPPoE 认证，不再经过 AC 统一 NAT。

• 调整组网：将 AC 改为二层透传，由上级 BRAS 直接分配地址和认证。

 其他必查项

1. DHCP 地址池是否足够：人少正常、人多异常，也可能是地址池耗尽导致部分终端获取不到地址。检查：

   text

   display dhcp server pool display dhcp server ip-in-use

   如果地址池利用率接近 100%，扩大地址池或缩短租约。

2. 是否有用户开启热点分享：个别用户用手机开热点给多台设备，会触发防共享。可在 AC 上开启终端识别，精准限制私接设备，而不是全局阻断。

3. AP 并发能力：WAP712C 单 AP 并发用户数有限，人多时可能过载。检查 AP 的在线用户数和信道利用率。

AC上一般没有这种策略，看下是否上层有安全设备配置了类似拦截或者限制策略。

因为这里面（内网 行为管理设备）被设定了一些奇葩的策略。

现象：DHCP 在 AC 上，用户少的时候 WiFi 正常；接入终端数量变多，终端弹出 Web 认证弹窗：因系统检测到您有多台终端共享上网，将被禁止上网一段时间！ 原理：该提示是iMC EIA/AC 内置 Web Portal 的【终端共享上网检测（NAT 代理检测）】功能触发。系统识别到同一账号下出现多 MAC、或者检测到终端开了网络共享 / 代理，判定为多终端共享，直接断网。

根因拆解

1. 该功能用于限制一号多用：同一个认证账号，只允许单台终端上线。当接入人数变多，容易出现两类情况：
   • ①部分用户手机开启热点，一台账号共享给多设备，被检测到 NAT 共享；
   • ②AC/EIA 统计账号下在线 MAC 数量超限，同一账号多终端同时在线，触发封禁；
   • ③并发用户量大，iNode/Portal 的终端指纹、MAC 识别误判，正常多用户场景误触发共享检测。

⚠️不是 DHCP 地址池不够（地址池不足一般是拿不到 IP，不会弹出这个共享上网提示）。 DHCP 部署在 AC 不影响这个检测逻辑，检测是 Portal/EIA 认证模块的策略。

排查步骤

1. 确认认证模式：Web Portal 认证（iMC EIA 或者 AC 本地 Portal）
   • 如果是iMC EIA 对接：在 EIA 接入策略里，找到【共享上网检测 / 一号多终端控制】
   • 如果是 AC 本地 Portal：WAC380 内置 Portal 页面的共享检测开关。
2. 查看被封禁账号：看日志，确认是真实用户开热点共享，还是正常多用户误报。 display portal user log
3. 核对策略配置：
   • 限制单账号仅允许 1 终端在线：用户一旦用手机开热点，直接触发这个提示；
   • 共享上网检测（NAT 检测）开启，会识别终端 IP 层代理、热点 NAT 行为。

解决方案（二选一）

方案 1（推荐，业务允许多终端）：修改策略，放开单账号多终端限制

1. iMC EIA 场景： 进入【接入策略管理】→【Web 认证服务】→接入策略，关闭共享上网检测；修改单账号最大在线终端数量（例如改成 5 台）。
2. AC 本地 Portal 场景： WAC380 Web 页面，Portal 策略中，关闭detect share-internet共享上网检测，调整单账号最大在线 MAC 数。 命令行关闭共享检测：

方案 2（必须禁止一号多终端）：业务要求一号一机

1. 告知用户禁止手机开启热点；
2. 开启账号绑定 MAC，一个账号绑定固定单个终端 MAC；
3. 缩短封禁时长，调整触发后的禁止上网时间。

容易混淆的坑

1. ❌不是 DHCP 地址耗尽：地址池满表现是终端获取不到 IP，不会弹出这个 Portal 提示；
2. ❌不是 AP 性能不足：WAP712C 高密接入会出现卡顿、掉线，但不会弹出 “共享上网” 的拦截页面；
3. ✅这个弹窗是Portal 认证模块的控制，和 DHCP 服务器部署在 AC 无关。
4. 并发用户变多时更容易触发：用户一多，出现热点共享的概率上升，就会看到该提示集中爆发。

补充检查项

1. 查看在线账号统计：display portal user，确认同一账号下多个 MAC 在线；
2. 检查 AC 或者 EIA 的安全日志，看封禁记录；
3. 确认终端侧：部分安卓 / 鸿蒙手机自带网络共享、VPN 代理，也会被误判为共享上网。

简短总结

该弹窗是 Portal（EIA/AC 本地）共享上网（NAT 代理）检测触发，目的限制一号多终端共享。人多后用户开热点的概率增加，集中出现该报错。 优先进入 Portal 接入策略，关闭共享上网检测，或者调高单账号允许同时在线终端数量；如果业务必须一号一机，则配置账号 MAC 绑定，并告知用户禁止开启手机热点。该故障和 AC 上 DHCP 地址池无关。