华三AC与绿洲平台无线认证配置实战：从基础通信到优化调优

1. 华三AC与绿洲平台对接基础配置

第一次接触华三AC与绿洲平台对接时，我花了整整两天时间才搞明白基础通信配置。现在回想起来，其实核心就是做好三件事：DNS解析、NTP同步和Portal服务器配置。先说DNS，这是整个对接过程的第一步，也是最容易出错的地方。

配置DNS时，我发现很多工程师会忽略一个细节：不仅要配置公共DNS服务器，还要手动添加绿洲平台的域名解析。这是因为有些网络环境可能存在DNS污染或解析延迟问题。具体配置命令如下：

# 配置公共DNS服务器 dns server 114.114.114.114 # 手动添加绿洲平台域名解析 ip host oasisauth.h3c.com 101.36.161.146 ip host oasis.h3c.com 101.36.161.141

配置完成后，千万别忘了用display cloud-management state命令检查AC与云简网络的通信状态。我遇到过好几次配置正确但就是连不上的情况，最后发现是防火墙拦截了相关端口。

时间同步是另一个容易被忽视但极其重要的环节。AC与绿洲平台的时间差如果超过5分钟，就会导致认证失败。建议配置多个NTP服务器做冗余：

ntp-service enable ntp-service unicast-server registry.h3c.com priority ntp-service unicast-server pool.ntp.org ntp-service unicast-server time.windows.com ntp-service unicast-server time.nist.gov

2. 无线认证的核心配置实战

Portal认证配置是整个无线网络的核心，也是最复杂的部分。根据我的经验，90%的认证问题都出在Portal服务器配置上。先来看基础配置：

portal web-server test url http://oasisauth.h3c.com/portal/protocol server-type oauth

这里有个坑要注意：目前绿洲平台只支持HTTP协议，不支持HTTPS。很多工程师习惯性开启HTTPS，结果导致认证页面无法打开。正确的做法是：

[AC] portal local-web-server http [AC] portal host-check enable

认证优化是提升用户体验的关键。特别是对于苹果设备，如果不做特殊处理，用户会反复弹出认证页面。这是因为iOS系统会主动检测网络连通性。解决方法是通过captive-bypass配置：

portal web-server test captive-bypass ios optimize enable if-match user-agent CaptiveNetworkSupport redirect-url http://oasisauth.h3c.com/generate_404 if-match original-url http://captive.apple.com user-agent Mozilla temp-pass redirect-url http://oasisauth.h3c.com/portal/protocol

3. 终端设备认证优化技巧

不同终端设备的认证体验差异很大，需要针对性优化。安卓设备最常见的问题是微信认证后无法自动跳转，这通常是因为User-Agent匹配问题。我的解决方案是：

portal safe-redirect user-agent Android portal safe-redirect user-agent MicroMessenger portal safe-redirect user-agent Mozilla portal safe-redirect user-agent WeChat

微信相关域名也需要加入免认证规则，否则会出现认证后无法收发消息的情况。以下是经过实战验证的微信域名列表：

portal free-rule 2346257224 destination open.weixin.qq.com portal free-rule 2346257225 destination ip any tcp 5223 portal free-rule 2346257229 destination oasisauth.h3c.com portal free-rule 2346257230 destination short.weixin.qq.com ...

对于企业微信用户，还需要额外放行以下域名：

portal free-rule 2346257244 destination work.weixin.qq.com portal free-rule 2346257245 destination qyapi.weixin.qq.com

4. 高级调优与故障排查

配置完成后，如果发现部分设备认证异常，我通常按照以下步骤排查：

1. 检查DNS解析是否正常
2. 验证NTP时间同步
3. 查看Portal服务器状态
4. 检查免认证规则是否生效

一个实用的技巧是使用display portal free-rule命令查看免认证规则的匹配情况：

<AC> display portal free-rule all

如果遇到安卓设备反复弹出认证页面，可能是安全重定向配置有问题。可以尝试增加以下配置：

portal safe-redirect enable portal safe-redirect user-agent Dalvik

最后提醒一点，所有配置修改后，建议先保存配置，然后重启无线服务而不是直接重启AC，这样可以减少网络中断时间：

save reset wlan service