访客连WiFi还要问密码？华为内置Portal接入码认证，前台一键发码
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
小酒店、门店、办公室最别扭的一幕：客人问WiFi密码，前台报一串字母，客人拼错三次连不上，密码还传得满街都是。整理自华为官方发布的典型配置案例，这篇介绍华为无线控制器的一种轻量访客方案——内置Portal接入码认证：客人连上信号后弹出一个页面，只输入前台发的一串接入码就能上网，不用用户名不用密码，前台在网页上随手生成、随时作废。
官方业务需求就是这么写的：酒店为了向客户提供便捷的网络服务，希望客户在登录页面上只输入一串字符串，无需输入用户名和密码即可接入认证；考虑到酒店规模较小，通过内置Portal接入码认证功能满足需求，同时采用本地认证方式——认证全在AC本机完成，不需要另购认证服务器，小场所刚好。
组网要点：AC旁挂二层组网；AC作为DHCP服务器为AP分配地址，汇聚交换机SwitchB为无线终端分配地址（网关10.23.101.2）；业务数据隧道转发；安全策略用开放认证（反正认证靠Portal页面，信号本身不设密码）；管理VLAN100、业务VLAN101。
先把底层链路配通。接入交换机SwitchA，GE0/0/1接AP、GE0/0/2上行，都进VLAN100：
<HUAWEI> system-view
[HUAWEI] sysname SwitchA
[SwitchA] vlan batch 100
[SwitchA] interface gigabitethernet 0/0/1
[SwitchA-GigabitEthernet0/0/1] port link-type trunk
[SwitchA-GigabitEthernet0/0/1] port trunk pvid vlan 100
[SwitchA-GigabitEthernet0/0/1] port trunk allow-pass vlan 100
[SwitchA-GigabitEthernet0/0/1] port-isolate enable
[SwitchA-GigabitEthernet0/0/1] quit
[SwitchA] interface gigabitethernet 0/0/2
[SwitchA-GigabitEthernet0/0/2] port link-type trunk
[SwitchA-GigabitEthernet0/0/2] port trunk allow-pass vlan 100
[SwitchA-GigabitEthernet0/0/2] quit
汇聚交换机SwitchB，GE0/0/1、GE0/0/2进VLAN100，GE0/0/2、GE0/0/3进VLAN101：
<HUAWEI> system-view
[HUAWEI] sysname SwitchB
[SwitchB] vlan batch 100 101
[SwitchB] interface gigabitethernet 0/0/1
[SwitchB-GigabitEthernet0/0/1] port link-type trunk
[SwitchB-GigabitEthernet0/0/1] port trunk allow-pass vlan 100
[SwitchB-GigabitEthernet0/0/1] quit
[SwitchB] interface gigabitethernet 0/0/2
[SwitchB-GigabitEthernet0/0/2] port link-type trunk
[SwitchB-GigabitEthernet0/0/2] port trunk allow-pass vlan 100 101
[SwitchB-GigabitEthernet0/0/2] quit
[SwitchB] interface gigabitethernet 0/0/3
[SwitchB-GigabitEthernet0/0/3] port link-type trunk
[SwitchB-GigabitEthernet0/0/3] port trunk allow-pass vlan 101
[SwitchB-GigabitEthernet0/0/3] quit
出口路由器GE1/0/0进VLAN101，VLANIF101地址10.23.101.2/24，作终端网关：
<HUAWEI> system-view
[HUAWEI] sysname Router
[Router] vlan batch 101
[Router] interface gigabitethernet 1/0/0
[Router-GigabitEthernet1/0/0] port link-type trunk
[Router-GigabitEthernet1/0/0] port trunk allow-pass vlan 101
[Router-GigabitEthernet1/0/0] quit
[Router] interface vlanif 101
[Router-Vlanif101] ip address 10.23.101.2 24
[Router-Vlanif101] quit
接下来的AC侧配置走Web向导，照官方步骤点：单击「配置 > 配置向导 > AC」进AC基本配置页，国家地区选中国；端口配置页把GigabitEthernet0/0/1设为Trunk并加入VLAN100和VLAN101（AC直连AP时该口缺省VLAN要设为管理VLAN100）；网络互联页开DHCP，VLANIF100配10.23.100.1/24、VLANIF101配10.23.101.3/24，DHCPv4地址池用接口地址池选VLANIF100；再新建Loopback1接口配10.1.1.1/24，配缺省路由下一跳10.23.101.2；AC源地址选Vlanif100。随后AP上线用批量导入：模板文件里填AP MAC地址00e0-fc76-e360、AP名称area_1、AP组ap-group1（MAC认证方式下SN可不填），导入完成即添加。
无线业务配置：新建SSID，名称wlan-net，隧道转发，业务VLAN101；安全配置选「Portal认证（企业网络适用）」、Portal服务器选「内置Portal服务器」，服务器IP填设备上与用户路由可达的三层接口地址（示例为10.23.101.3），端口号20000，SSL策略default_policy；接入控制绑定AP组ap-group1。
关键的接入码一步：依次单击「配置 > AP配置 > 模板管理」，选择「无线业务 > VAP模板 > wlan-net > 认证模板 > Portal模板」，在「内置Portal认证方式」处选择「接入码认证」，应用即可。
再配免认证规则，让终端认证前能解析域名：进入「免认证规则模板」，选default_free_rule，控制方式选「免认证规则」，新建规则编号1，免认证目的IP填DNS服务器的地址。
然后到「维护 > 管理员」新建一个前台管理员账号。日常运营就两步：前台登录Web，进「前台访客管理 > 前台访客接入码」，点「新建」、点「随机生成」，配好描述（比如房间号301）和过期时间，确定后直接把接入码打印给客人；客人退房码自动过期，不用回收。
怎么验证：无线终端能搜到wlan-net信号，关联后拿到10.23.101.x地址；打开浏览器会自动跳到Portal页，输入前台给的接入码即认证成功上网；IT人员在「监控 > 用户 > 上线用户统计」里按SSID搜wlan-net，能看到终端正常上线。这套方案把WiFi密码从迎宾台词变成了可管理、可过期的一次性凭证，客人体验和网络安全两头都顾上了。贵州诚鑫致达科技可以帮酒店民宿把这类访客无线认证方案落地到现有网络里。
企业存储选型参考｜贵州诚鑫致达
做备份容灾一体机方案，群晖机型参考：DP7400 · DP520 · DP320。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西南地区多分支企业：跨区域数据集中存储与统一备份。