内网上网前必须先认证怎么配？华为认证策略按条件弹portal
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
访客和员工混用一个网，想做到"上网前先认证"，又要给打印机、服务器这类哑终端留免认证通道——这靠的不是一条策略，而是防火墙的"认证策略"：先按条件圈定哪些流量必须认证、哪些豁免，匹配的流量不认证就直接阻断。华为防火墙的认证策略正是干这个的，官方文档开头就点明：认证策略配置的正确与否直接影响业务，一旦配置认证策略，匹配认证策略的流量必须经过认证否则将被设备阻断。下面按官方文档把配置过程走一遍。
先认识底层的缺省规则：设备上存在一条缺省的认证策略，所有匹配条件均为任意（any），动作为不认证；可以执行 default action 命令修改缺省认证策略的动作。也就是说，没配规则前人人免认证，配了规则才逐条收紧。
第一步，进入系统视图和认证策略视图，创建规则。
system-view
auth-policy
rule name rule-name
可选项：给规则写描述，便于后期维护。
description description
第二步，配置匹配条件。官方文档在参数表中给出了完整的条件清单与命令，逐项列出：源安全区域 source-zone { zone-name &<1-6> | any }；目的安全区域 destination-zone { zone-name &<1-6> | any }；源地址支持地址对象、网段、范围、地区、域名组等写法 source-address { address-set address-set-name &<1-6> | ipv4-address { ipv4-mask-length | mask mask-address | wildcard wildcard } | ipv6-address ipv6-prefix-length | range { ipv4-start-address ipv4-end-address | ipv6-start-address ipv6-end-address } | geo-location geo-location-name | domain-set domain-set-name &<1-6> | any }，目的地址同型为 destination-address { address-set address-set-name &<1-6> | ipv4-address { ipv4-mask-length | mask mask-address | wildcard wildcard } | ipv6-address ipv6-prefix-length | range { ipv4-start-address ipv4-end-address | ipv6-start-address ipv6-end-address } | geo-location geo-location-name | domain-set domain-set-name &<1-6> | any }；服务可直接引用服务/服务组 service { service-name &<1-6> | any }，也可直接引用协议端口 service protocol { udp | tcp | sctp } [ source-port { source-port | start-source-port to end-source-port } &<1-64> | destination-port { destination-port | start-destination-port to end-destination-port } &<1-64> ] *；还有生效时间段 time-range time-range。
条件逻辑官方讲得很清楚：各匹配条件之间是"与"的关系，报文的属性与各条件必须全部匹配，才认为该报文匹配这条规则；同一匹配条件中的多个数据之间是"或"的关系。排序规则也要记牢：配置多条认证策略规则时，请先配置条件精确的规则，再配置条件宽泛的规则，即保证条件精确的规则位于条件宽泛的规则之上。
三个实用提醒：一是 NAT 环境的地址口径——如果设备上配置了 NAT 功能，源 IP 地址需要配置为源 NAT 转换前的私网 IP 地址，目的 IP 地址需要配置为目的 NAT 转换后的私网 IP 地址；二是 MAC 匹配的前提——当配置 MAC 地址匹配条件时，如果用户与设备之间存在其他三层设备，需要配置跨三层 MAC 识别功能，设备才能获取到用户真实 MAC 地址；三是服务条件同样支持排除写法（service-exclude 系列），把例外端口从规则里摘出来。
第三步，配置规则动作。这是认证策略的核心：
action { portal [ portal-template template-name ] | exempt-auth | tsm-sync { src-ip | dst-ip | src-dst-ip } | sdp [ device-id ] | none }
portal 动作对命中流量推送认证页面，可引用指定Portal模板；exempt-auth 是豁免认证——打印机、考勤机、监控主机这类没法弹页面输密码的终端，就靠它留白名单。动作按业务划线：员工网段 portal，哑终端网段 exempt-auth，其余交给缺省策略。
第四步，规则管理。配置完成后可以按需调整：rule rename old-name new-name 重命名；rule move rule-name1 { { after | before } rule-name2 | up | down | top | bottom } 移动规则调整匹配顺序；rule copy rule-name new-rule-name 复制规则；在规则视图下执行 enable 或 disable 启用/禁用当前规则。
配置完成后怎么验证？拿一台终端访问外网，应弹出认证页面；认证通过后再访问，畅通无阻；哑终端业务全程不弹认证且可正常通信；再核对规则的命中统计，确认流量按规划落在对应的规则上。匹配条件动一发牵全身，上线前在低峰期先验证一轮最稳妥。
认证策略是上网行为管理的第一道闸门，条件划得准，认证体验才不添堵。欢迎搜索关注贵州诚鑫致达科技，交流企业内网准入与访客管理的实施经验。
企业存储选型参考｜贵州诚鑫致达
做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。