WX系列AC、FIT AP、便携机(安装有无线网卡)、Radius/Portal Server技术原理介绍:中国移动主推的Portal无感知认证是基于流量触发mac-triger,要求支持移动的mac-triger协议,并且新增MAC绑定服务器以存储MAC的绑定关系。对于第三方的Radius/Portal server厂商来说开发较繁琐,有些厂商是不支持的。如果不支持mac-triger协议,可以采用MAC bypass portal的认证方式。
具体实现流程如下所示:
(1)仍然借助guest-vlan,但guest-vlan跟业务VLAN是相同的。也就是说相同VLAN中MAC认证和Portal认证二选一即可,不存在VLAN切换的事情了;
(2)用户首次上线,MAC认证失败会弹出portal页面,进行portal认证。portal认证通过后可以直接上网;
(3)用户再次上线,如果对应portal用户存在,不会发起MAC认证,可以直接上网;
(4)用户再次上线,如果对应portal用户不存在,则发起MAC认证。MAC认证成功后不会再弹出Portal页面,可以直接上网;
(5)display connection中只会看到一个连接,Portal的或者MAC认证的;
想问下无感知认证的时候,使用guest 但是不存在VLAN切换,有说什么好处,
之前使用guest vlan无感知mac认证时,使用的是vlan切换,初次认证和二次认证的vlan不一样,现在采用MAC bypass portal的认证方式,不知道具体好处是啥?
(0)
最佳答案
传统的guest-vlan认证方式的原理
(1)用户的业务VLAN开启的是MAC认证
(2)用户上线进行MAC认证,AC根据MAC反查在线的Portal用户,如果portal用户不存在则MAC认证失败,AC把这个用户加入guest vlan;
(3)guest vlan开启Portal认证;
(4)用户portal认证成功后,AC会立即把用户踢下线,触发用户重关联;
(5)用户再次上线进行MAC认证,就能从Portal用户反查到了,MAC认证通过。(6)MAC认证通过的前提是对应的Portal用户存在,因为用户后期通过MAC认证都是走业务VLAN,portal用户的流量为0,idle-cut设置的时间决定了Portal用户的在线时间;
这种方案的radius、portal server都没有特殊要求,全靠AC自身实现。注1:MAC认证是根据Portal用户反查的,所以配置MAC认证domain时,“认证、授权、计费”都选择none方式authentication lan-access none
你可以对比bypass的工作原理发现,bypasss不仅不需要新建两个vlan,网络复杂度更低而且mac认证时是不依赖于portal表项的
(0)
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论