Portal认证原理描述

定义

Portal认证通常也称为Web认证，一般将Portal认证网站称为门户网站。用户上网时，必须在门户网站进行认证，如果未认证成功，仅可以访问特定的网络资源，认证成功后，才可以访问其他网络资源。

优点

• 一般情况下，客户端不需要安装额外的软件，直接在Web页面上认证，简单方便。
• 便于运营，可以在Portal页面上进行业务拓展，如广告推送、企业宣传等。
• 技术成熟，被广泛应用于运营商、连锁快餐、酒店、学校等网络。
• 部署位置灵活，可以在接入层或关键数据的入口作访问控制。
• 用户管理灵活，可基于用户名与VLAN/IP地址/MAC地址的组合对用户进行认证。

认证系统

Portal认证系统如图2-18所示，其主要包括四个基本要素：客户端、接入设备、Portal服务器与认证服务器。

图2-18 Portal认证系统组网图

Portal服务器可以是接入设备之外的独立实体（外置Portal服务器），也可以是存在于接入设备之内的内嵌实体（内置Portal服务器）。内置Portal服务器的接入设备实现了简单的Portal服务器功能，仅能给用户提供通过Web方式上线、下线的基本功能，并不能完全替代独立的Portal服务器，也不支持外置独立服务器的任何扩展功能，例如不支持MAC优先的Portal认证。

通过内置Portal服务器进行Portal认证，由于不需要部署额外的Portal服务器，故增强了Portal认证的通用性。但是，受限于接入设备存储空间、功能和性能，内置Portal服务器适用于功能简单、接入人数少的场景，例如小型餐馆提供的连接Internet服务。

UCL

用户组

用户组指具有相同角色、相同权限等属性的一组用户（终端）的集合。每个用户组可以关联不同的ACL、CAR、报文优先级，因而通过用户组授权，可以实现对每类用户进行基于ACL的访问控制、基于VLAN的访问控制、流量控制以及优先级控制，管理更灵活。

比如，由于ACL资源有限，当每用户需要的授权ACL较多时，上线授权的用户数无法达到规格，但实际用户数很大，用户权限的分类比较少的，此时可以使用用户组，每一组用户复用ACL，以利用有限的ACL支持较大规格的用户进行ACL授权。 用户组可以在RADIUS服务器上配置，也可以在设备端配置（需在AAA域下应用）。如果用户希望使用RADIUS服务器下发的用户组授权，需要保证RADIUS服务器上下发的用户组在设备上已经配置（不需在AAA域下应用）。

RADIUS服务器下发用户组授权的方式和下发ACL ID的方式一样，都是用11号标准属性Filter-Id来携带，属性值填充用户组名称。11号属性将优先被当成ACL编号处理。当设备上不存在该ACL编号的时候，则当成用户组处理，如果设备上也不存在该用户组时，则授权失败。

RADIUS服务器下发的用户组授权优先级高于设备端配置的用户组授权，当服务器下发的用户组授权失败后，用户会采用设备端配置的用户组授权。

free-rule

用户认证成功之前，为满足用户基本的网络访问需求，需要用户认证成功前就能获取部分网络访问权限。可在free-rule模板中配置free-rule规则，满足用户的认证成功前的网络访问需求。

用户的free-rule可以通过普通的free-rule定义，也可以通过ACL定义。普通的free-rule由IP地址、MAC地址、接口、VLAN等参数确定；通过ACL定义的free-rule由ACL规则确定。两种方式定义的free-rule都能够指定用户无需认证就可以访问的目的IP地址。除此之外，ACL定义的free-rule还能够指定用户认证成功前就可以访问的目的域名。

基于域名定义用户的free-rule有时要比基于IP地址简单方便。例如，某些认证用户由于没有认证账号，必须首先在运营商提供的官方网站上注册申请会员账号；或者通过微博、微信等第三方账号进行登录。这就要求用户认证通过前，能够访问特定的网站。由于用户记忆网站的域名要比记忆其IP地址容易的多，所以，此时可以通过ACL定义的free-rule，指定用户认证成功前即可访问以上网站域名。

客户端主动下线

由用户发起的主动下线，例如用户点击注销按钮，客户端向Portal服务器发送用户注销请求。

对于Portal协议，Portal服务器收到用户的下线请求后，会通知客户端下线成功，而不需要等待接入设备对下线的确认。对于HTTP/HTTPS协议，Portal服务器收到用户的下线请求后，会通知客户端向接入设备发送用户下线通知。

Portal协议

具体下线流程如图2-22所示。

图2-22 客户端主动下线流程图

1. 客户端向Portal服务器发送用户注销请求。
2. Portal服务器向客户端发送用户注销响应，并向接入设备发送用户下线通知报文（REQ_LOGOUT）。

3. 接入设备向RADIUS服务器发送停止计费请求报文（ACCOUNTING-REQUEST），并将用户下线。同时，接入设备向Portal服务器发送用户下线响应报文（ACK_LOGOUT）。

   Portal服务器收到用户下线响应后，将用户下线。

4. RADIUS服务器返回停止计费响应报文（ACCOUNTING-RESPONSE），并将用户下线。

HTTP/HTTPS协议

具体下线流程如图2-23所示，以HTTP协议为例。

图2-23 客户端主动下线流程图

1. 客户端向Portal服务器发送用户注销请求。
2. Portal服务器通知客户端向接入设备发送用户注销请求，并将用户下线。
3. 客户端向接入设备发送用户注销请求。
4. 接入设备向RADIUS服务器发送停止计费请求报文（ACCOUNTING-REQUEST），并将用户下线。同时，接入设备向客户端发送用户注销响应报文。
5. RADIUS服务器返回停止计费响应报文（ACCOUNTING-RESPONSE），并将用户下线。

接入设备控制用户下线

接入设备控制用户下线有两种方式：

• 在接入设备上执行命令cut access-user强制指定用户下线。
• 在接入设备上配置用户探测功能，用于探测用户是否在线。当用户在指定的时间内无响应，则认为用户下线，删除用户表项。

具体下线流程如图2-24所示。这里以Portal协议为例介绍下线探测的下线流程，对于HTTP/HTTPS协议，接入设备不会向Portal服务器发送用户下线通知。

图2-24 用户下线探测流程图

1. 下线探测过程。

   接入设备获取到客户端IP地址，启动下线探测定时器，周期为time-length（三层Portal认证的握手周期通过命令authentication timer handshake-period time-length进行配置，探测方式为ICMP报文探测；二层Portal认证用户的握手周期通过命令portal timer offline-detect time-length，探测方式为ARP报文探测）。假如握手周期为3T，则设备会在T、2T时刻进行用户探测。以0～T时间段为例，T～2T与之类似，不再赘述。（该流程仅适用于从S5720-EI、S5720-HI、S5730-HI、S5731-H-K、S5731-H、S5731S-H、S5731-S、S5731S-S、S6720-HI、S5732-H-K、S5732-H、S6730-H、S6730-H-K、S6730S-H、S6730-S、S6730S-S、S6720-EI和S6720S-EI认证上线的用户。其他款型设备不对用户流量进行检测，在T、2T时刻立即发送探测报文。）

   • 如果在0～T时间段内，有用户流量经过设备，则在T时刻，设备认为用户在线，该时刻设备不会再发送探测报文，并重置探测定时器（即3T）周期。
   • 如果在0～T时间段内，没有用户流量经过设备，则在T时刻，设备无法感知到用户是否在线，该时刻设备会发送探测报文。如果设备收到用户的回应报文，则认为用户在线，并重置探测定时器；如果未收到，则认为用户已下线。
   • 如果在2T～3T时间段内，有用户流量经过设备，则在3T时刻，设备认为用户在线，该时刻设备重置探测定时器。
   • 如果在2T～3T时间段内，没有用户流量经过设备，则在3T时刻，设备无法感知到用户是否在线，认为用户已下线。

   如果在T、2T、3T时刻，设备均认为用户已下线，则设备会删除该用户的所有相关表项。为防止用户PC闲置时被异常下线，请不要将握手周期设置的过小，推荐使用默认值。

2. 接入设备向Portal服务器发送用户下线通知（NTF_LOGOUT），并将用户下线。同时，接入设备向RADIUS服务器发送停止计费请求报文（ACCOUNTING-REQUEST）。

3. Portal服务器向接入设备发送用户下线响应报文（AFF_ACK_LOGOUT），并将用户下线。RADIUS服务器向接入设备发送停止计费响应报文（ACCOUNTING-RESPONSE），并将用户下线。

认证服务器强制用户下线

服务器强制用户下线有以下方式：

• RADIUS服务器可通过DM报文（Disconnect Message）强制用户下线。DM是指用户离线报文，即由RADIUS服务器端主动发起的强制用户下线的报文。
• RADIUS服务器通过授权RADIUS标准属性Session-Timeout和Termination-Action。其中，Session-Timeout为用户在线时长定时器，Termination-Action属性值为0表示将用户下线。当用户在线的时长达到定时器指定的数值时，设备会将用户下线。

具体下线流程如图2-25所示，以RADIUS服务器通过DM报文强制用户下线为例。

图2-25 认证服务器强制用户下线流程图

1. RADIUS服务器向接入设备发送用户下线请求（DM Request）。

2. 接入设备向Portal服务器发送下线通知（NTF_LOGOUT），并将用户下线。同时，接入设备向RADIUS服务器发送下线响应（DM ACK）及停止计费请求报文（ACCOUNTING-REQUEST）。

   使用HTTP/HTTPS协议时，接入设备不会向Portal服务器发送下线通知。

3. Portal服务器向接入设备发送用户下线响应报文（AFF_ACK_LOGOUT），并将用户下线。RADIUS服务器向接入设备发送停止计费响应报文（ACCOUNTING-RESPONSE），并将用户下线。

Portal服务器强制用户下线

当管理员注销用户或Portal服务器主动探测发现用户已经离线等事件发生时，Portal服务器将用户下线，并向接入设备发送下线通知。

具体下线流程如图2-26所示。这里以使用Portal协议的Portal服务器为例介绍下线流程，使用HTTP/HTTPS协议的Portal服务器强制用户下线时直接将用户下线，不会通知接入设备将用户下线。

图2-26 Portal服务器强制用户下线流程图

1. Portal服务器向接入设备发送用户下线通知报文（REQ_LOGOUT）。

2. 接入设备向RADIUS服务器发送停止计费请求报文（ACCOUNTING-REQUEST），并将用户下线。同时，接入设备向Portal服务器发送用户下线响应报文（ACK_LOGOUT）。

   Portal服务器收到用户下线响应后，将用户下线。

3. RADIUS服务器返回停止计费响应报文（ACCOUNTING-RESPONSE），并将用户下线。

用户静默定时器

用户在60秒内认证失败的次数超过指定的次数（通过命令portal quiet-times fail-times）时，接入设备会将该用户静默一段时间（通过命令portal timer quiet-period quiet-period-value配置），在静默期间，接入设备会丢弃该用户的Portal认证请求。具体静默流程如图2-27所示，以使用Portal协议认证为例。

图2-27 用户被静默流程图

Portal服务器探测定时器

设备对Portal服务器的探测方式有Portal方式和HTTP方式两种。对于采用Portal协议的Portal认证，设备两种探测方式都支持，对于HTTP/HTTPS方式的Portal认证，仅支持HTTP方式的探测。

Portal方式的Portal服务器探测：Portal服务器定期发送心跳报文给接入设备，接入设备通过检测此报文来判断服务器的可达状态，如果接入设备在指定的探测周期内（通过命令server-detect interval interval-period）收到Portal心跳报文或者其它认证报文，则认为此次探测成功且服务器可达（状态为Up），否则认为此次探测失败。当对某一Portal服务器连续探测失败次数超过最大次数（通过命令server-detect max-times times）时，接入设备会将该Portal服务器的状态由Up改变为Down。

HTTP方式的Portal服务器探测：设备按照探测周期发送HTTP报文给Portal服务器，Portal服务器进行回应，如果接入设备在指定的探测周期内（通过命令server-detect interval interval-period配置）收到回应报文，则认为探测成功。否则认为此次探测失败。连续探测失败次数超过最大次数（通过命令server-detect max-times times配置）时，接入设备会将该Portal服务器的状态由Up改变为Down。

具体探测流程如图2-28和图2-29所示。

建议在接入设备上配置的Portal服务器探测周期interval-period大于在Portal服务器上配置的心跳报文周期T。

图2-28 Portal方式的Portal服务器探测

图2-29 HTTP方式的Portal服务器探测

同时，接入设备将会做出以下动作，使管理员能够实时掌握网络中Portal服务器的状态或保证用户一定的网络访问权限。

• 发送告警：Portal服务器可达或者不可达的状态改变时，发送告警信息给网管，其中记录了Portal服务器IP地址以及该服务器的当前状态。
• 发送日志：Portal服务器可达或者不可达的状态改变时，发送日志信息给网管，其中记录了Portal服务器IP地址以及该服务器的当前状态。
• 启用Portal逃生机制：状态为Up的Portal服务器数目小于或等于设置的最小值（通过命令server-detect critical-num critical-num）时，暂时取消接口的Portal认证，允许所有Portal用户访问指定的网络资源，请参见NAC逃生机制中的“Portal服务器Down”授权。之后，当接入设备收到某Portal服务器的心跳报文，或者收到其它认证报文（例如用户下线报文），或者HTTP探测成功时，接入设备会将该Portal服务器的状态由Down改变为Up，如果状态为Up的Portal服务器数目大于设置的最小值，则恢复该接口的Portal认证功能。

用户信息同步定时器

Portal服务器周期性地（周期为Tps）将在线用户信息通过用户信息同步请求报文（USER_SYN）发送给接入设备。接入设备在开启Portal用户信息同步功能之后，即启动用户信息同步定时器，在用户信息同步周期内（通过命令user-sync interval interval-period配置），收到用户同步请求报文后，将其中携带的在线用户信息与自己的在线用户信息进行对比。

• 同步请求报文中的用户信息与设备上实际用户信息相同时，则设备不对该同步请求报文进行响应，只是将这些用户标记为已同步。
• 设备上存在未同步用户时，回应同步请求报文。如果在达到同步最大次数（通过命令user-sync max-times times配置）仍未同步成功，设备会将该用户强制下线。
• 仅在Portal上存在的用户，设备回应同步请求报文，Portal服务器将其删除。

具体同步流程如图2-30所示。

图2-30 用户信息同步流程图

该功能仅适用于使用Portal协议的外置Portal服务器认证场景。目前接入设备仅支持和华赛TSM Portal服务器同步用户信息。

建议接入设备配置的interval-period x times的值应该大于Portal服务器发送同步请求报文的时间间隔，否则设备可能会在达到最大失败次数后，由于收不到Portal服务器的同步请求报文，将用户强制下线。

用户下线重传定时器

为使Portal服务器能够接收到用户下线报文，保证Portal服务器上的用户在线信息正确，接入设备提供用户下线报文重传功能，在用户下线重传周期period内，接入设备没有收到Portal服务器的用户下线应答报文，会重传用户下线报文，最多重传times次（通过命令portal logout resend times timeout period配置）。

具体下线流程如图2-31所示。

图2-31 用户下线流程图

内置Portal服务器心跳探测定时器

用户认证通过后，推送给用户一个连接保持页面，表示该用户处于认证状态。这个连接保持页面中嵌入心跳程序，定期向接入设备发送心跳报文表示该用户在线。如果在指定的心跳探测时间内（通过命令portal local-server keep-alive interval interval-value配置）接入设备没有收到用户发送的心跳报文或认证报文，则可以认为该用户异常离线，并指定该用户下线。具体心跳探测流程如图2-32所示。

图2-32 内置Portal服务器心跳探测流程图

目前Windows7系统下浏览器IE8、Firefox3.5.2、Chrome28.0.1500.72、Opera12.00支持心跳程序。

使用Java1.7及以上版本的浏览器不支持心跳程序。

当用户使用内置Portal服务器进行认证时，作为内置Portal服务器的设备会向用户强制推送登录页面，随后用户在登录页面上输入用户名和密码即可进行认证。

设备支持对登录页面进行自定义设计，以满足用户的个性化需求，例如用户可以在登录页面上加载Logo图片、广告图片、使用说明、免责声明，也可以更改登录页面的背景图片或背景颜色。

如图2-33所示，用户使用默认的登录页面进行登录。

图2-33 初始登录页面

如图2-34所示，用户执行命令portal local-server logo load logo-file在登录页面上加载了Logo图片。Logo图片的大小需小于等于128K，推荐大小591*80像素。

图2-34 带有Logo图片的登录页面

如图2-35所示，用户执行命令portal local-server ad-image load ad-image-file在登录页面上加载了广告图片。广告图片的大小需小于等于256K，推荐大小670*405像素。

图2-35 带有广告图片的登录页面

如图2-36所示，用户执行命令portal local-server page-text load string在登录页面上加载了使用说明页面。

图2-36 带有使用说明页面的登录页面

如图2-37所示，用户执行命令portal local-server policy-text load string在登录页面上加载了免责声明页面。

图2-37 带有免责声明页面的登录页面

如图2-38所示，用户执行命令portal local-server background-image load { background-image-file | default-image1 }更改了登录页面的背景图片。

图2-38 更改背景图片的登录页面