V7AC做portal，终端不需要认证就可以访问微信QQ

某局点购买了一台V7的AC做portal，现在现场反馈终端不要经过portal认证，就可以直接访问微信和QQ，访问其他应用或网页时则需要正常进行portal认证。
 

对于不需要认证就可以访问微信和QQ的问题，我们主要从下面几点思路进行确认：

1、现场是否配置了portal无感知，由于配置portal无感知，终端再次登录时则不需要进行认证，这时是可以正常访问网络的，所以需要确认是否配置了portal无感知。

现场排查配置，并没有配置portal无感知，所以不存在这种情况。

2、检查portal free-rule配置。检查portal free-rule中是否包含不该有的IP地址或IP地址段，导致访问微信及QQ时匹配上portal free-rule，使得该部分的流量不需要进行portal认证就可以直接正常访问。

现场关于portal free-rule的配置如下：

portal free-rule 5 source ip any destination ip 202.96.128.0 255.255.255.0

portal free-rule 10 source ip any destination ip 114.114.114.0 255.255.255.0

portal free-rule 0 destination ip 192.168.100.253 24

并没有特殊的portal free-rule的配置，不存在访问微信或QQ的流量匹配上portal free-rule导致不需要进行认证的情况。

3、现场AC是V7版本，V7版本的portal配置有两种形式，一种是配置在服务模板WLAN service-template上，另外一种是配置在interface vlan接口上。

现场的配置如下：

#

interface Vlan-interface101

ip address 172.16.1.253 255.255.254.0

portal enable method direct

portal domain dm1

portal bas-ip 192.168.100.254

portal apply web-server newpt

portal apply mac-trigger-server mts

#

wlan service-template 1

ssid gao

vlan 101

beacon ssid-hide

portal domain dm1

portal bas-ip 192.168.100.254

portal apply web-server newpt

portal apply mac-trigger-server mts

service-template enable

#

wlan service-template 2

ssid byzx

vlan 101

portal domain dm1

portal bas-ip 192.168.100.254

portal apply web-server newpt

portal apply mac-trigger-server mts

service-template enable

现场是在interface vlan接口上配置的portal的，在服务模板wlan service-template下也有portal的相关配置，但是并没有开启portal enable method direct。但是为了配置的规范性，建议只在其中一处配置。另外，考虑到现场不用认证就可以访问微信QQ，怀疑这部分的流量未上送到interface vlan接口，所以建议将portal配置在服务模板下，确保流量会触发portal。

现场修改配置如下之后，portal认证正常。

#

interface Vlan-interface101

ip address 172.16.1.253 255.255.254.0

#

wlan service-template 1

ssid gao

vlan 101

beacon ssid-hide

portal enable method direct

portal domain dm1

portal bas-ip 192.168.100.254

portal apply web-server newpt

portal apply mac-trigger-server mts

service-template enable

#

wlan service-template 2

ssid byzx

vlan 101

portal enable method direct

portal domain dm1

portal bas-ip 192.168.100.254

portal apply web-server newpt

portal apply mac-trigger-server mts

service-template enable

怀疑现场终端访问微信及QQ的流量未上送到interface vlan接口上触发portal，修改配置，在服务模板WLAN service-template下配置portal，确认流量可以触发portal。

遇到类似这样的问题，可以按照下面的思路进行排查：

1、是否配置portal无感知

2、portal free-rule是否配置正确

3、确认流量是否正常触发portal