无线AC结合思科ISE服务器进行portal认证不成功的问题处理经验案例

 现场AC型号是WX3510X，版本是R1415，认证方式是结合思科ISE服务器进行无线portal认证。主要故障现象是，输入用户名和密码之后ISE服务器上显示认证成功，但是AC上没有portal user表象，终端也无法上网。

1、首先要确认无线AC结合思科ISE服务器进行无线portal认证的配置和流程都是不一样的。

检查现场配置，关键配置如下，从配置来看，没有看出有什么缺失的配置：

wlan service-template guest-test

 ssid Guest-test

 vlan 210

 client forwarding-location ac

 bss transition-management enable

 portal enable method direct

 portal domain ise2.7

 portal bas-ip 10.X.X.254

 portal apply web-server ise2.7

 service-template enable

 #

 portal web-server ise2.7

 url https://192.168.Y.Y:8443/portal/PortalSetup.action?portal=a692c530-2230-11e6-99ab-005056bf55e0

 server-type ise

 #

 domain name ise2.7

 authentication portal radius-scheme ise2.7

 authorization portal radius-scheme ise2.7

 accounting portal radius-scheme ise2.7

 #

 radius scheme ise2.7

 primary authentication 192.168.Y.Y key cipher $c$3$U4JqetIUTSPpl3jjAd/bDrhEGBMqVOMNqtso

 primary accounting 192.168.Y.Y key cipher $c$3$6hv0rBybsu0kf9Ee/MnawCwkXcZEkBqHCt8o

 nas-ip 10.X.X.254

 #

 portal local-web-server http

 default-logon-page ise.zip（注意：一般AC的dir目录下默认有ise.zip，直接调用即可）

#

portal local-web-server https

 default-logon-page ise.zip

#

portal user-logoff after-client-offline enable

portal client-gateway interface Vlan-interface1000

 portal free-rule 2 destination ip any tcp 53

 portal free-rule 3 destination ip any udp 53

……还有其他的free-rule规则没有列出

2、AC结合ISE的认证流程如下：

通过反馈的AC上debug portal all信息分析，AC已经完成了重定向的动作，但是AC上没有收到终端带用户名和密码的http报文，此时让ISE服务器侧分析。

Aug 22 08:34:48:255 2025 H3C PORTAL/7/REDIRECT-EVENT: Got the original URL(***.***/redirect).
*Aug 22 08:34:48:255 2025 H3C PORTAL/7/REDIRECT-EVENT: The user ip is 10.X.X.X, user agent is Mozilla/5.0(WindowsNT10.0;Win64;x64)AppleWebKit/537.36(KHTML,likeGecko)Chrome/139.0.0.0Safari/537.36Edg/139.0.0.0.
*Aug 22 08:34:48:255 2025 H3C PORTAL/7/REDIRECT-EVENT: The user ip is 10.X.X.X; the redirect url is https://192.168.Y.Y:8443/portal/PortalSetup.action?portal=a692c530-2230-11e6-99ab-005056bf55e0.

ISE服务器侧反馈AC终端访问ISE的http报文没有携带switch_url的信息，这个switch_url不是在AC上配置的，是终端根据自己的网关地址自动拼接的，这种情况就是终端没有找到网关。一般这个时候，需要根据终端的业务vlan配置：portal client-gateway interface Vlan-interface210，并且该业务vlan210需要在AC上有地址让终端能够访问AC。

修改配置之后，终端认证成功。

配置终端业务vlan的认证终端网关：portal client-gateway interface Vlan-interface210；同时vlan210的虚接口下配置IP地址，让终端能够访问。