imc v7 portal认证隔离

一、核心故障根因
你当前只配置【接入场景禁止接入】失效，根本机制原因：
接入场景属于「准入安全策略校验」，Portal 远程 Web 认证流程中，SSID 场景校验时机滞后；账号密码先完成 RADIUS 身份认证成功，场景拦截仅作用于安全检查阶段，无法阻止账号登录 Portal 页面。
Portal 认证流程：终端先获取 IP→访问 Portal 页面→提交账号密码→iMC 先校验账号合法性（账号存在即允许登录页面），安全策略 / 接入场景是认证成功之后的二次管控，不能拦截跨 SSID 提交账号。
两套 Portal 服务相互独立，但是用户账号库全局共用，账号只要存在就能登录任意 Portal 页面。
通俗总结：接入场景拦不住 “登录 Portal 页面”，只能管控上线后的权限，不满足 “账号不能登录对方 SSID” 需求。
二、两套标准落地方案（推荐优先方案 1，原生 Portal 机制隔离）
✅方案 1：Portal 服务绑定专属 SSID（第一层页面拦截，首选）
实现效果：连接 A-SSID 只能弹出 A-Portal 页面；连接 B-SSID 只能弹出 B-Portal 页面，从源头隔离
路径：【用户】→接入策略管理→【Portal 服务管理】，分别编辑两套 Portal 服务
找到【高级参数】→勾选 仅允许指定 SSID 使用该 Portal 服务
PortalA 填入 SSID-A；PortalB 填入 SSID-B（区分大小写！）
保存。
⚠️配套 AC 侧关键配置（必不可少！）
AC 的 wlan service-template 中，Portal 跳转 URL 携带 SSID 上送参数，否则 iMC 接收不到 SSID 信息，该功能完全失效。
plaintext
wlan service-template portal-a
portal apply web-server 【portal服务名】
portal url-parameter ssid ssid //必须添加这条，上报终端连接的SSID名称
原理：AC 把终端实际 SSID 传给 iMC，iMC 校验当前 Portal 服务是否允许该 SSID 接入，不匹配直接拒绝跳转登录页面。
✅方案 2：接入服务 + 账号分组绑定（第二层严格身份隔离，最终兜底）
架构规划：两套账号完全隔离，A 组账号只能绑定 A 接入服务，B 组账号绑定 B 接入服务。
创建两套独立接入服务（ServiceA、ServiceB）
进入接入服务 →【无线参数】，勾选 仅允许以下 SSID 接入
ServiceA：仅填入 SSID-A
ServiceB：仅填入 SSID-B
用户分组划分
业务 A 账号统一加入【A 用户组】，组权限只授予 ServiceA；
业务 B 账号统一加入【B 用户组】，组权限只授予 ServiceB。
禁止账号同时拥有两套接入服务权限！
机制效果：
账号连接错误 SSID 发起 Portal 认证，iMC 发现账号没有对应 SSID 的接入服务，直接返回认证拒绝，无法登录。
三、你原有方案失效补充说明
接入场景配置「禁止其他 SSID 接入」属于EAD 终端准入安全策略，生效前提：
终端完成账号认证、iNode 安全检查流程。
纯网页 Portal（无 iNode 客户端场景），接入场景校验几乎不生效！
这就是配置后依旧能登录对方 SSID 的核心痛点。
四、备选兜底方案（无法改造账号分组时）
利用VLAN 绑定校验：两套 SSID 对应不同业务 VLAN
SSID-A → VLAN 100；SSID-B → VLAN200
A 组账号属性绑定允许 VLAN100；B 组账号绑定允许 VLAN200
AC 认证时将用户 VLAN 上报 iMC，VLAN 不匹配直接拒绝认证。
前提：AC 正确上报用户 VLAN，远程 Portal 环境支持 VLAN 属性传递。
⚠️高频踩坑清单
portal url-parameter ssid ssid AC 侧命令极易遗漏，缺少该条 iMC 拿不到 SSID，Portal 服务 SSID 限制完全无效；
SSID 名称大小写严格匹配，例如 Office 和 office 视为两个不同名称；
账号不要同时分配多个接入服务权限，会造成隔离逻辑失效；
AP 本地转发场景，务必确认 AC 可以采集终端 SSID 信息；
区分：页面拦截（Portal 服务 SSID 限制） > 接入服务 SSID 限制 > 接入场景准入策略（优先级从高到低）。