一般都是跟ldap配合做单点，不一定支持跟深信服做单点登录。

联系售前确认下吧是否支持 

要实现华三无线控制器（WAC）Portal认证与深信服上网行为管理的单点登录（SSO），核心思路是让深信服AC信任并接收WAC传递的用户认证信息，从而避免二次认证。实现这一目标主要有两种主流方案。

方案一：深信服AC作为第三方Portal服务器（推荐）

这是最直接的对接方式，由深信服AC统一作为Portal服务器处理认证。

• 配置核心：在深信服AC上配置“第三方控制器”对接。您需要进入 接入管理 > 接入认证 > 联动对接设置 > 控制器对接（或 用户认证与管理 > 认证控制器），新增一个H3C无线控制器。

• 关键参数：在此过程中，需要正确选择Portal协议（通常为华为Portal 2.0/IMC），并填写WAC的IP地址、共享密钥和端口号，确保两端参数一致。

• WAC侧配置：在H3C WAC上，将Portal认证服务器指向深信服AC的IP地址。同时，建议在WAC上配置Portal Web服务器模板，并开启 captive-bypass ios optimize enable 命令，以优化iOS设备的弹窗体验。

方案二：通过RADIUS协议实现单点登录

如果您的WAC本身已经通过RADIUS服务器（如H3C EIA）完成了认证，可以利用RADIUS协议的计费报文来实现单点登录。

• 配置核心：在深信服AC上，启用 “Radius单点登录” 功能。当WAC将用户的认证和计费信息转发给RADIUS服务器时，深信服AC会监听并解析这些Radius报文，从中获取用户名等信息，从而让用户在AC上自动上线。

• WAC侧配置：确保WAC的RADIUS计费报文会经过深信服AC，或者在网络层面确保深信服AC能够接收到这些报文。这通常需要网络拓扑的支持。

方案三：H3C EIA/IMC与深信服AC对接

如果您的环境使用的是H3C的EIA或IMC作为认证服务器，可以实现更紧密的集成。

• 配置核心：深信服AC支持与H3C IMC/EIA进行单点登录对接。通常，需要将深信服AC作为Radius客户端添加到H3C IMC中，并配置相应的共享密钥。

• 关键点：深信服AC默认监听UDP端口 61442 来接收H3C IMC的单点登录信息，请确保此端口不被阻塞。

.

 重要注意事项

• 版本兼容性：请确认深信服AC的版本在 11.8及以上，这些版本明确支持与华三无线控制器进行Portal认证对接。

• AC旁路模式限制：如果深信服AC是旁路模式部署，它可能无法直接支持与第三方控制器的Portal对接，需要改为网关或网桥模式才能实现单点登录。

• 会话保持：为防止无线终端漫游或IP地址变更后需要重新认证，建议在深信服AC上开启 “跨VLAN漫游不重新认证” 功能，并启用“首次认证自动绑定”MAC地址。

• 避免认证冲突：如果WAC本地也配置了Portal认证，请确保其指向的是深信服AC，避免两者都尝试进行本地认证而导致冲突。在深信服AC上配置认证策略时，也可以将WAC的IP地址加入免认证规则，确保流量能被正确处理。

 排错与验证

如果对接后单点登录不生效，可以按以下步骤排查：

1. 检查连通性：确保WAC和深信服AC之间的网络路由可达，且相关端口（如Portal的50100、Radius的1812/1813、SSO的61442）未被防火墙拦截。

2. 验证配置一致性：重点检查共享密钥（Shared Secret）、Portal协议类型和端口号在两端是否完全一致。这是最常见的失败原因。

3. 查看日志：在深信服AC的“系统日志”或“用户认证日志”中，查看是否有来自WAC的认证请求，以及请求被拒绝的原因。

4. 调试WAC：在H3C WAC上，使用 debugging portal all 命令查看Portal报文的交互过程，确认认证请求是否成功发送给了深信服AC。

AC+EIA (UC) Portal 认证对接深信服 AC 实现单点登录

现状：无线 AC Portal，RADIUS+Portal‑web+Portal‑server 全部指向 EIA；无线终端在 EIA 完成 Portal 认证上网，出口是深信服 AC 行为管理，希望终端不要再在深信服做二次认证深信服技术...。

关键点：H3C EIA 没有原生适配深信服私有单点登录协议。有两种可行实现方案：

1. 方案 A（推荐）：EIA Portal 认证成功后，页面回调 HTTP‑SSO 接口通知深信服 AC 上线用户（网页跳转回调），浏览器侧触发单点登录；用户下线 EIA 主动通知深信服下线。
2. 方案 B（备选）：深信服 AC 配置【单点登录‑监听 IP‑用户映射】，依靠 EIA RADIUS 下发用户‑IP 绑定，深信服根据源 IP 识别用户名，不需要报文推送，仅审计，不做认证拦截。

重要说明：AC 控制器本身不能直接给深信服发 SSO 报文，报文由EIA（UC）Portal Web 页面回调脚本完成，不是 AC 设备上配置命令实现深信服技术...。

组网逻辑

终端 → WIFI (AC) → Portal 重定向到 EIA Portal 页面 → 用户在 EIA 输入账号密码，EIA 完成 Portal/RADIUS 认证，AC 放通网络 → EIA 认证成功页面回调 HTTP 请求通知深信服 AC 完成用户上线 → 用户访问互联网经过深信服 AC，已经识别该 IP 对应的用户名，不再弹出深信服认证页面，直接放行上网。

用户下线：EIA 用户下线事件，同样调用深信服注销接口。

方案 A：EIA Portal 回调 HTTP‑SSO（优先选，真正免二次弹窗）

1、深信服 AC 侧配置

1）【接入管理】‑【接入认证】‑【Portal 认证】‑【单点登录】‑【第三方设备】，启用 HTTP 单点登录接口，填写允许发起请求的源 IP（填写 EIA 服务器 IP 地址），保存；端口 TCP 85深信服技术...。

深信服 HTTP‑SSO 报文格式（POST，TCP85）：IP/用户名/用户组/，组可以留空，IP 为终端无线获取 IP 地址深信服技术...。

2）配置认证策略：无线用户网段，认证方式选择【单点登录】，不要选密码认证；如果选密码认证，依然会弹出深信服 Portal 页面。 3）放通 EIA 服务器访问深信服 AC 的 TCP85 端口；深信服 AC 防火墙放行 EIA 的 IP。

2、EIA（UC）平台配置核心

1）进入 EIA【自动化】→【用户业务】→【业务参数】→【接入参数】→【单点登录配置】→【Web 应用系统 > Portal】H3C。

• ✅启用 Web 应用系统 Portal 单点登录；
• Portal 认证成功后重定向 URL：填写业务首页，同时需要自定义认证成功页面脚本，增加对深信服 AC 的 http post 回调。

EIA 原生页面没有内置深信服 SSO 模板，二选一实现：

• 方式 1：自定义 Portal 成功页面 HTML，嵌入 JS 脚本，认证成功后向深信服 AC 的 TCP85 发送 POST 登录报文；用户下线页面调用注销报文。
• 方式 2：EIA 上配置外部跳转 Portal Web 服务器，认证成功跳转到自定义中间 web，中间 web 向深信服 AC 发起 SSO 登录请求。

⚠️关键点：EIA 的 Portal 页面可以拿到终端 IP、登录用户名两个变量，这两个参数是传给深信服 SSO 的核心参数。

3、AC 侧配置保持现状

AC 现有 Portal 配置不用改动：

• portal‑web‑server、portal‑server、radius 全部指向 EIA；无线服务模板下调用 portal 域。

AC 只负责网络层面 Portal 重定向、RADIUS 授权；SSO 通知报文由 EIA 应用层发出，AC 不参与该部分报文。

4、该方案限制

1. 依赖浏览器会话触发：如果终端直接后台流量（无浏览器访问），不会触发 JS 回调，深信服识别不到用户；
2. 用户下线需要 EIA 调用注销接口；终端异常断电，EIA 无法感知，深信服用户会话会等待超时。

方案 B：IP‑用户映射（简单，适合仅审计，不能完全杜绝弹窗）

原理：EIA 通过 RADIUS 下发，将用户名和终端 IP 做绑定；深信服 AC 不接收回调报文，维护一张 IP‑用户名映射表。 1）EIA RADIUS 授权下发 Framed‑IP‑Address，保证无线用户 IP 与账号一一对应； 2）EIA 开启第三方 syslog，把用户上线、下线日志（用户名 + IP）发送给深信服 AC 的 syslog 接收端口； 3）深信服 AC 单点登录选择【日志解析模式】，解析 syslog 日志，自动维护 IP‑用户名映射； 4）无线网段认证策略配置为单点登录。

缺点：终端第一次无浏览器流量直接访问外网，深信服依然会弹出认证页面；浏览器访问过网页之后才识别用户。适合做审计，不适合强要求完全无弹窗。

常见踩坑点

1. ❌不要在 AC 控制器找 SSO 命令：AC 设备没有对接深信服的 SSO 功能，所有单点登录逻辑在 EIA (UC) 应用层实现，不是 AC 命令行配置。
2. ❌深信服认证策略配置错误：无线网段如果选 “密码认证”，无论 EIA 是否认证，都会弹出深信服 Portal。无线网段必须选认证策略 = 单点登录。
3. ❌网络不通：EIA 服务器 IP 必须能够访问深信服 AC TCP85 端口，防火墙 / 安全策略放行。
4. ❌报文格式错误：深信服 HTTP‑SSO 严格格式IP/用户名/组名/，顺序不能颠倒，末尾斜杠不能省略，格式错则无法上线深信服技术...。
5. ❌异常下线问题：终端直接关机，EIA 无法发送注销报文，深信服在线用户等待会话超时才清除。

排错命令 & 检查点

1. 深信服 AC 看【在线用户】，看无线终端 IP 是否自动带出用户名；
2. 在 EIA 服务器抓包，看是否向深信服 AC 的 85 端口发出 POST 登录报文；
3. EIA 查看 Portal 日志，确认成功拿到终端 IP、登录用户名变量；
4. 测试：无线终端连接 WIFI，EIA Portal 登录成功，打开外网网页，观察是否不再弹出深信服登录页面。