诚鑫致达 企业数据管家
技术干货 企业数据管家 文：诚鑫技术团队 本文由 AI 辅助生成，经人工审核后发布

没有认证服务器也管得住访客：AC内置Portal本地账密

整理自华为官方发布的典型配置案例。

访客 WiFi 要做认证，又不想为了几张临时账号去架一套服务器，成本的账怎么算都不划算。华为 AC 自带内置 Portal 服务器功能，配合本地认证方案，在 AC 上直接创建访客账号：终端连上无线弹认证页，输入账号密码放行，服务器、证书、数据库都不用另购，一台 AC 办完。官方示例的组网是 AC 旁挂在二层网络：AP 的地址由 AC 发，终端的地址由汇聚交换机发，业务流量走隧道回 AC——这套结构里 AC 站在必经之路上，认证才落得实。

本地认证方案与访客账号

认证方案指定本地认证，再建一个服务类型为 web 的本地用户——这类账号只能用于网页认证入口，登不了设备命令行，权限天然收窄；密码按官方建议用多种字符类型组合：

[AC] aaa
[AC-aaa] authentication-scheme wlan-net
[AC-aaa-authen-wlan-net] authentication-mode local
[AC-aaa-authen-wlan-net] quit
[AC-aaa] local-user guest password cipher YsHsjx_202206
[AC-aaa] local-user guest service-type web
[AC-aaa] quit

内置 Portal 服务器起起来

内置服务器要挂一个地址与 SSL 策略，官方示例用环回口地址承载，HTTPS 起在 20000 端口；Portal 接入模板引用内置服务器：

[AC] interface loopback 1
[AC-LoopBack1] ip address 10.1.1.1 24
[AC-LoopBack1] quit
[AC] portal local-server ip 10.1.1.1
[AC] portal local-server https ssl-policy sslserver port 20000
[AC] portal-access-profile name wlan-net
[AC-portal-access-profile-wlan-net] portal local-server enable
[AC-portal-access-profile-wlan-net] quit

证书不申请也能跑：官方说明可以直接使用设备缺省的 SSL 策略，用初始证书先行落地，合规要求上来后再换发正式证书。内置服务器挂环回口地址还有个好处——不随物理口状态起落，链路抖动不影响认证页可达；SSL 策略指定后 Portal 页面走 HTTPS 加密，端口号与接入模板里保持一致即可。

认证前的放行要圈好

访客没认证之前总得能解析域名，免认证规则模板把 DNS 地址放出来，认证模板把 Portal 接入模板、免认证规则与认证方案串成一串，最后由 VAP 模板挂到射频上，安全策略用开放方式（认证交给 Portal 层做）：

[AC] free-rule-template name default_free_rule
[AC-free-rule-default_free_rule] free-rule 1 destination ip 8.8.8.8 mask 32
[AC-free-rule-default_free_rule] quit
[AC] authentication-profile name wlan-net
[AC-authentication-profile-wlan-net] portal-access-profile wlan-net
[AC-authentication-profile-wlan-net] free-rule-template default_free_rule
[AC-authentication-profile-wlan-net] authentication-scheme wlan-net
[AC-authentication-profile-wlan-net] quit

终端连上信号后访问任意网页会被自动带到认证页，输入本地账号密码即放行。认证模板串完链之后，还要由 VAP 模板引用并挂到射频上，射频 0 与射频 1 各挂一次，业务才会下发到 AP。免认证规则的匹配对象是认证前的流量：DNS 放出去，其余默认全拦；想放门店自有页面这类资源，照格式加一条目的地址即可。组播类业务多的场合，官方还建议在流量模板里配组播抑制，低速组播挤占空口的问题可以提前避开。

避坑三条

  • 隧道转发模式下管理 VLAN 与业务 VLAN 不能同一 VLAN，AP 与 AC 之间只放管理 VLAN；
  • 认证前网络默认全断，需要提前可达的资源（DNS、门店自有页面）逐条写进免认证规则；
  • 安全策略用开放方式时，口令这道关全压在 Portal 层，账号密码定期换，别一套账通用到年底。

访客上网管控与认证落地，贵州诚鑫致达科技提供配置实施，欢迎搜索联系洽谈。

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。广西南宁企业存储与网络建设维护，本地化技术支持。