H3C无线控制器AC与第三方认证系统集成实现企业级Portal短信认证方案

1. 为什么你的企业需要Portal短信认证？

想象一下这个场景：你的公司今天要接待一批重要的合作伙伴来访。他们一进会议室，第一件事就是问：“Wi-Fi密码是多少？”你可能会让前台或者IT同事把密码写在白板上，或者干脆直接口头告诉他们。这听起来很平常，对吧？但问题来了：访客连上网络后，他做了什么？他访问了哪些网站？他下载了什么文件？他什么时候离开的？这些你统统不知道。更糟糕的是，这个密码可能被访客拍照分享出去，甚至被别有用心的人利用，长期潜伏在你的内网里。

这就是传统访客网络的痛点：开放即风险，密码即漏洞。我在给很多中大型企业做网络规划时，发现他们最头疼的不是员工上网管理，恰恰是“客人”上网这件事。员工有统一的身份账号（比如AD域账号），行为可追溯，权限可控制。但访客呢？他们像影子一样，来了又走，网络对他们来说是完全开放的“黑盒”。

Portal短信认证就是为了解决这个问题而生的。它不是一个新概念，但结合像H3C无线控制器（AC）和宁盾这样的第三方认证系统，就能玩出非常专业、安全且体面的花样。它的核心逻辑很简单：用手机号作为临时身份凭证。访客连接Wi-Fi后，浏览器会自动弹出一个定制化的登录页面（这就是Portal页面），他只需要输入自己的手机号，获取并填写验证码，就能上网。整个过程，企业不需要预先知道访客是谁，也不需要分配任何固定账号。

这么做的好处是实实在在的：

1. 实名可追溯：每个上网会话都绑定了一个真实的手机号。万一网络出现安全事件（比如攻击、泄密），你可以快速定位到具体的访客和时间点。
2. 权限可控：你可以设置访客的带宽、上网时长（比如4小时）、访问权限（只能上外网，不能访问内网服务器）。时间一到，自动断网。
3. 体验专业：一个带有你公司Logo、宣传图的定制化登录页面，比一张写着密码的便利贴要专业得多，也是品牌形象的延伸。
4. 管理省心：再也不用频繁更换Wi-Fi密码，也不用担心密码泄露。所有认证记录、在线用户都在管理后台一目了然。

所以，如果你负责的企业网络规模不小，对安全有要求，又希望给访客留下好印象，那么把H3C AC和第三方认证系统对接起来，搞一套Portal短信认证，绝对是一个投入产出比很高的选择。下面，我就带你一步步拆解，这个方案到底是怎么搭起来的。

2. 方案核心：H3C AC与第三方认证系统如何“握手”？

很多朋友一听到“系统对接”就觉得头大，感觉是程序员才能搞定的深奥技术。别怕，咱们用大白话把这事儿讲明白。你可以把整个认证过程想象成一次去高级会所的体验：

1. 访客（用户终端）想要进入会所（接入网络）。
2. 门童（H3C AC/AP）拦住了他，说：“先生，请先到前台登记。”
3. 前台（Portal认证页面）出示一份登记表（Portal页面），要求访客填写手机号。
4. 访客填好手机号，前台服务员（第三方认证系统）根据这个手机号，向通信局（短信网关）申请发一个验证码给访客。
5. 访客收到短信，把验证码填回登记表。
6. 前台服务员核对验证码正确后，开出一张临时通行证（上网权限）交给门童。
7. 门童看到通行证，放行，访客终于可以进入会所享受服务了。

在这个比喻里，H3C AC扮演了“门童”和“前台引导员”的角色。它负责拦截未认证的流量，并把用户重定向到那个定制化的登记表（Portal页面）。而第三方认证系统（如宁盾）就是那个核心的“前台服务员”，它负责生成页面、处理手机号、调用短信网关、验证验证码，并最终告诉AC：“这个人可以过了，给他什么级别的权限。”

它们俩之间的“黑话”（通信协议）主要是两个：RADIUS和Portal协议。

• RADIUS协议：这是“服务员”和“门童”之间的内部对讲机。当服务员确认访客身份后，会通过对讲机告诉门童：“给这位客人开一张A区的通行证，有效期4小时。” 这个协议负责授权和计费信息的传递。
• Portal协议：这是“前台”和“访客浏览器”之间的对话。它负责把那个漂亮的登记表（Portal页面）推送给访客，并接收访客填回来的手机号和验证码。

实际的配置，就是在AC上和认证系统上，把对方的IP地址、端口号、共享密钥（相当于对讲机的频道和密码）互相告诉对方，让它们能建立信任，听懂彼此的“黑话”。AC上需要配置一个RADIUS服务器，指向你的宁盾系统；同时配置Portal服务器，也指向宁盾。而在宁盾系统上，则需要添加H3C AC作为一个网络接入设备（NAS）。

这里有个关键点：H3C AC自带的Portal功能比较基础，页面很难看，也不支持复杂的流程（比如短信认证）。而像宁盾这样的专业认证系统，优势就在于它提供了一个强大的“前台服务引擎”，可以让你自由设计登记表的样式、定义验证流程（短信、微信、扫码等），并且能和你企业已有的访客系统、OA系统通过API打通。这才是“第三方集成”的价值所在——用专业的人做专业的事，AC只管好网络接入和策略执行，复杂的认证逻辑和页面交互交给更专业的系统来处理。

3. 实战第一步：H3C AC上的关键配置

理论说再多，不如动手配一遍。我以常见的H3C Comware V7系统为例，带你走一遍AC侧的核心配置。请准备好你的AC命令行（CLI）或Web管理界面。

第一步：创建RADIUS方案这是告诉AC，认证和计费去找谁。

# 进入系统视图 system-view # 创建一个名为“NINGDUN-RADIUS”的RADIUS方案 radius scheme NINGDUN-RADIUS # 设置主认证和计费服务器的IP地址（就是你的宁盾服务器的IP） primary authentication 192.168.10.100 primary accounting 192.168.10.100 # 设置与服务器通信的共享密钥，两边必须一致，这是重要的“密码” key authentication simple YourSharedKey123 key accounting simple YourSharedKey123 # 设置发送给RADIUS服务器的用户名格式（通常不带域名） user-name-format without-domain # 退出RADIUS方案视图 quit

第二步：创建ISP域并引用RADIUS方案ISP域可以理解为一种认证域，用来区分不同种类的用户（比如员工域、访客域）。我们为访客单独创建一个。

# 创建一个名为“guest”的ISP域 domain guest # 指定该域使用的认证、授权、计费方法为RADIUS authentication portal radius-scheme NINGDUN-RADIUS authorization portal radius-scheme NINGDUN-RADIUS accounting portal radius-scheme NINGDUN-RADIUS # 退出域视图 quit

第三步：配置Portal认证这是重头戏，告诉AC Portal页面在哪里，以及如何与认证服务器交互。

# 1. 创建Portal Web服务器，指向宁盾提供的Portal页面地址 portal web-server NINGDUN-PORTAL # 设置Portal页面的URL，{source-ip}和{source-mac}是变量，AC会自动填充 url http://192.168.10.100:8080/portal?srcip={source-ip}&srcmac={source-mac} # 设置服务器类型为CMCC（这是一种通用的Portal协议类型，兼容性好） server-type cmcc quit # 2. 创建Portal认证服务器，指向宁盾的认证服务接口 portal server NINGDUN-AUTH # 指定IP地址 ip 192.168.10.100 key simple YourPortalKey456 # 指定服务器类型 server-type cmcc quit # 3. 在需要做认证的VLAN接口或无线服务模板上应用Portal # 假设你的访客无线SSID绑定的VLAN接口是Vlan-interface100 interface Vlan-interface100 # 启用直接Portal认证（二层认证） portal enable method direct # 指定使用的Web服务器和认证服务器 portal apply web-server NINGDUN-PORTAL portal apply server NINGDUN-AUTH # 指定认证域为之前创建的“guest”域 portal domain guest # 开启Portal用户漫游功能（方便用户在多个AP间移动时无需重新认证） portal roaming enable quit

第四步：配置无线服务模板（如果使用无线网络）如果你是通过无线网络提供访客接入，还需要在无线服务模板上绑定这个VLAN和认证方式。

# 进入无线服务模板视图，假设服务模板名为“guest-ssid” wlan service-template guest-ssid # 设置SSID名称，比如“Company-Guest” ssid Company-Guest # 绑定之前配置了Portal的VLAN 100 vlan 100 # 客户端关联后，在VLAN 100上进行Portal认证 client-security authentication-mode portal # 指定认证域 portal domain guest quit

配置完成后，一定要用display portal interface Vlan-interface100和display portal server等命令检查一下状态，确保AC到认证服务器的网络是通的，密钥配置正确。到这里，AC的“体力活”就基本干完了，它已经准备好当一个称职的“门童”了。

4. 核心引擎：第三方认证系统的配置要点

AC配置好了，相当于门岗和指引牌立起来了。现在，我们需要把“前台服务中心”（宁盾认证系统）搭建和配置好。这部分工作主要在宁盾的管理界面上完成，通常比命令行更直观。

第一步：系统基础设置与短信网关对接登录宁盾管理后台，第一件事是配置短信通道。没有短信，认证就无从谈起。

1. 选择短信服务商：宁盾通常支持阿里云、腾讯云、云片等多家主流短信服务商。你需要去对应的云平台购买短信套餐，获取AccessKey ID、AccessKey Secret、短信签名和模板ID。
2. 在宁盾中配置：在“系统设置”或“短信网关”模块，填入从服务商那里获取的密钥、签名和模板。模板内容一般类似：“【您的公司】您的验证码是：{code}，5分钟内有效”。这里的{code}是变量，系统会自动替换为6位随机数字。
3. 测试发送：务必用管理员的手机号做一次测试发送，确保能收到短信，内容格式也正确。我踩过的坑是，短信签名没审核通过就配置，导致所有用户都收不到验证码。

第二步：配置网络接入设备（NAS）这就是告诉宁盾系统：“有一个叫H3C AC的门童要和你对接，这是它的IP和密码。”

1. 在“设备管理”或“网络接入”模块，添加一个新设备。
2. 设备类型选择H3C或通用RADIUS。
3. 设备IP地址填写你AC的管理IP或对接接口IP。
4. 共享密钥填写YourSharedKey123（必须和AC上配置的RADIUS密钥完全一致）。
5. 设置认证端口（1812）和计费端口（1813）。

第三步：设计并发布Portal认证页面这是品牌露脸和用户体验的关键。宁盾一般提供可视化的页面编辑器，有点像搭积木。

1. 选择模板或自定义：你可以从系统自带的模板开始改，也可以完全自己设计。建议风格与企业官网或VI系统保持一致，包含Logo、宣传语、背景图。
2. 拖拽组件：把“手机号输入框”、“获取验证码按钮”、“验证码输入框”、“登录按钮”这些组件拖到画布上。
3. 配置组件属性：
   • 手机号输入框：要设置格式校验（11位数字）。
   • 获取验证码按钮：要绑定“发送短信”的动作，并设置防刷策略（比如60秒内只能点一次）。
   • 登录按钮：绑定“提交认证”的动作。
4. 配置认证策略：在页面后台，设置认证成功后的行为。比如：
   • 上网时长：4小时或8小时。
   • 带宽限制：比如下行10Mbps，上行2Mbps。
   • 访问控制：通常访客只能访问互联网，不能访问内网特定网段（如10.0.0.0/8）。
   • 同意条款：可以增加一个“我已阅读并同意《访客网络使用协议》”的勾选框，这是合规性要求。
5. 发布与测试：将设计好的页面发布，并获取到这个页面的访问URL（就是之前AC上配置的http://192.168.10.100:8080/portal）。用手机连上访客Wi-Fi，测试整个流程是否顺畅。

第四步：设置访客账号与权限模板虽然短信认证是动态的，但系统里通常需要一个“访客”用户组或角色模板，用来定义上述的时长、带宽策略。在宁盾中创建一个“访客”角色，把上面定义的策略（4小时、10Mbps、禁止访问内网）绑定到这个角色上。当用户通过短信认证后，系统会自动将这个角色授权给他。

5. 短信网关选型与对接避坑指南

短信通道是整个方案的“送信员”，它的稳定性和到达率直接决定用户体验。市面上选择很多，怎么选？根据我的经验，给你几个实在的建议：

选型考虑因素：

1. 到达率与速度：这是生命线。优先选择阿里云、腾讯云这种大厂，它们的通道质量和冗余保障最好。验证码短信要求秒级到达，营销短信可以稍慢。
2. 资质与签名：企业必须申请自己的短信签名，比如“【XX科技有限公司】”。这个签名需要运营商审核，用于标识发送方。没有签名或使用个人签名，会被拦截。
3. 模板审核：短信内容模板也需要提前审核。验证码模板相对简单，固定格式即可。如果是通知类短信，内容不能有诱导、营销词汇。
4. 成本：按条计费，验证码短信通常几分钱一条。根据你企业的访客量估算月度成本。大厂价格透明，但可能有一定起充门槛；一些中小服务商可能更灵活。

对接配置中的常见“坑”：

• 坑1：国际号码处理。如果有外宾，他们的手机号是+86开头吗？你的短信服务商支持国际短信吗？费用如何？务必提前测试。
• 坑2：防刷机制缺失。一定要在认证系统侧配置防刷。比如，同一个IP在1分钟内最多请求3次验证码；同一个手机号每天最多接收10条。否则容易被恶意攻击，刷高你的短信费用。
• 坑3：网络策略阻断。确保你的认证服务器（宁盾）能够出公网访问短信服务商的API接口（通常是HTTP/HTTPS的特定端口）。很多企业防火墙策略很严，内部服务器无法直接访问外网，需要配置NAT或代理。
• 坑4：回调地址白名单。有些短信服务商要求你提供接收状态报告的回调URL（用于确认短信是否送达）。你需要将宁盾服务器的公网IP或域名加入到短信平台的白名单中。

一个稳健的配置示例（以阿里云短信为例）： 在宁盾系统的短信网关设置里，你可能会填写如下信息：

• 服务商：阿里云
• AccessKey ID:LTAI5txxxxxxxxxxxx
• AccessKey Secret:你的密钥
• 短信签名：你的公司
• 模板CODE:SMS_154950909
• 模板内容：验证码${code}，您正在登录访客网络，5分钟内有效。

配置好后，务必、务必、务必在管理后台做发送测试，并用不同的运营商手机卡（移动、联通、电信）都测一遍，确保万无一失。

6. 品牌化Portal页面设计：不止于功能，更是体验

千万别小看那个登录页面。对于访客来说，那是他对你公司IT水平的“第一印象”。一个粗制滥造、像是90年代风格的页面，会让人怀疑公司的整体实力。而一个设计精美、流程顺畅的页面，则能无声地传递专业和信任。

设计原则：

1. 品牌一致性：使用公司的标准色、Logo、字体。最好能放上一张体现公司文化的背景图（比如办公楼、团队活动照）。
2. 极简清晰：页面核心功能就是输入手机号和验证码。不要堆砌过多信息，把输入框和按钮做得足够大、清晰。按钮颜色要有对比度，提示语要友好。
3. 移动优先：99%的访客会用手机连接。确保页面在手机浏览器上完美自适应，触控区域大小合适。
4. 多语言支持：如果公司有外籍客户或员工，提供中英文切换是很大的加分项。

在宁盾的页面编辑器中，你可以轻松实现：

• 上传Logo：替换掉默认的图标。
• 修改CSS样式：如果你懂一点前端，可以深度定制颜色、边框、阴影等所有样式。
• 添加自定义文案：在页面顶部或底部加上“欢迎莅临XX公司”、“网络使用须知”等文字。
• 设置成功跳转页：认证成功后，可以跳转到一个显示“认证成功，欢迎使用！”的页面，并倒计时几秒后自动关闭，体验非常流畅。

我见过做得最好的一个案例，是一家设计公司。他们的Portal页面就是一张全屏的、非常有格调的办公室实景图，登录框半透明浮在上面，字体和按钮的细节处理得堪比艺术品。访客连上Wi-Fi后都忍不住拍照分享。这哪里是认证页面，简直是品牌宣传片。

7. 高级玩法与运维监控

基础功能跑通后，我们可以玩点更高级的，让这套系统更好地融入企业IT生态。

玩法一：与内部系统API集成如果你的公司有OA系统或访客预约系统，那就更棒了。可以实现：

• 预约免认证：访客提前在OA里预约，填写手机号。当他到达公司连接Wi-Fi时，系统通过API查询到预约记录，自动发送验证码到预约手机，甚至可以实现“一键登录”。
• 员工担保制：访客需要输入邀请他的员工工号或姓名，系统通过API去AD或HR系统验证，验证通过后，才给访客的手机发送验证码。这样责任可追溯。
• 数据同步：所有访客的上网记录（手机号、接入时间、离开时间）可以通过API同步到公司的CRM或大数据平台，做访客分析。

玩法二：多种认证方式组合短信不是唯一选择。可以做成“认证方式自选超市”：

1. 短信认证：最通用的方式。
2. 微信连Wi-Fi：访客关注企业公众号后自动上网，有利于粉丝沉淀。
3. 动态密码：前台可以手动生成一个一次性的6位密码，告知访客。
4. 扫码授权：员工用自己的企业微信/钉钉扫描二维码，授权访客上网。 在Portal页面上放一个选项卡，让访客自己选。宁盾这类系统通常都支持多种方式并存。

运维与监控：系统上线后，不能撒手不管。你需要关注：

• 监控大盘：在宁盾管理台，通常有实时在线用户数、今日认证次数、短信发送成功率等仪表盘。
• 日志审计：所有认证成功/失败记录、每个用户的上网时长、流量使用情况都要有详细日志，并且要能保留至少6个月以备审计。
• 告警设置：设置阈值告警。比如，短信发送失败率连续5分钟超过10%，立即发邮件或短信通知管理员。AC设备与认证服务器心跳丢失，也要告警。
• 定期演练：每季度做一次完整的流程测试，从连接SSID到收到短信上网，确保各个环节正常。特别是在公司重大活动或接待前。

排错心法：出了问题别慌，按这个顺序查：

1. 用户收不到验证码：先查宁盾系统的短信发送日志，看是否调用成功。如果成功，查短信平台侧是否有发送记录。如果平台有记录但用户没收到，可能是手机号格式问题、运营商拦截或手机短信箱满了。
2. 输入验证码后提示错误：检查AC与宁盾之间的RADIUS密钥是否一致；检查宁盾系统的时间是否准确（时间不同步会导致Token验证失败）；在宁盾后台查看该次认证请求的详细日志，看失败原因是什么。
3. 不弹出Portal页面：检查AC上Portal重定向配置是否正确；检查用户终端的DNS是否被正确指向；尝试在浏览器手动输入一个公网IP（如1.1.1.1），看是否能被重定向。
4. 认证成功但无法上网：检查AC上针对访客VLAN的访问控制列表（ACL）是否正确，是否允许了访问互联网的流量（如DNS 53端口，HTTP 80/443端口）；检查NAT和路由配置。

这套H3C AC + 第三方认证系统的Portal短信方案，我从十多年前的简单原型就开始接触，看着它从功能简陋发展到今天这样稳定、灵活、美观。它已经不再是大型企业的专属，很多对形象和安全有要求的中型企业也完全用得起、用得好。关键在于前期规划要清晰，测试要充分。希望这篇近五千字的实战分享，能帮你少走弯路，一次性把这件事做漂亮。