华三无线控制器+UC部署portal认证+深信服单点登录

一般都是跟ldap配合做单点，不一定支持跟深信服做单点登录。

联系售前确认下吧是否支持 

要实现华三无线控制器（WAC）Portal认证与深信服上网行为管理的单点登录（SSO），核心思路是让深信服AC信任并接收WAC传递的用户认证信息，从而避免二次认证。实现这一目标主要有两种主流方案。

方案一：深信服AC作为第三方Portal服务器（推荐）

这是最直接的对接方式，由深信服AC统一作为Portal服务器处理认证。

• 配置核心：在深信服AC上配置“第三方控制器”对接。您需要进入 接入管理 > 接入认证 > 联动对接设置 > 控制器对接（或 用户认证与管理 > 认证控制器），新增一个H3C无线控制器。

• 关键参数：在此过程中，需要正确选择Portal协议（通常为华为Portal 2.0/IMC），并填写WAC的IP地址、共享密钥和端口号，确保两端参数一致。

• WAC侧配置：在H3C WAC上，将Portal认证服务器指向深信服AC的IP地址。同时，建议在WAC上配置Portal Web服务器模板，并开启 captive-bypass ios optimize enable 命令，以优化iOS设备的弹窗体验。

方案二：通过RADIUS协议实现单点登录

如果您的WAC本身已经通过RADIUS服务器（如H3C EIA）完成了认证，可以利用RADIUS协议的计费报文来实现单点登录。

• 配置核心：在深信服AC上，启用 “Radius单点登录” 功能。当WAC将用户的认证和计费信息转发给RADIUS服务器时，深信服AC会监听并解析这些Radius报文，从中获取用户名等信息，从而让用户在AC上自动上线。

• WAC侧配置：确保WAC的RADIUS计费报文会经过深信服AC，或者在网络层面确保深信服AC能够接收到这些报文。这通常需要网络拓扑的支持。

方案三：H3C EIA/IMC与深信服AC对接

如果您的环境使用的是H3C的EIA或IMC作为认证服务器，可以实现更紧密的集成。

• 配置核心：深信服AC支持与H3C IMC/EIA进行单点登录对接。通常，需要将深信服AC作为Radius客户端添加到H3C IMC中，并配置相应的共享密钥。

• 关键点：深信服AC默认监听UDP端口 61442 来接收H3C IMC的单点登录信息，请确保此端口不被阻塞。

.

 重要注意事项

• 版本兼容性：请确认深信服AC的版本在 11.8及以上，这些版本明确支持与华三无线控制器进行Portal认证对接。

• AC旁路模式限制：如果深信服AC是旁路模式部署，它可能无法直接支持与第三方控制器的Portal对接，需要改为网关或网桥模式才能实现单点登录。

• 会话保持：为防止无线终端漫游或IP地址变更后需要重新认证，建议在深信服AC上开启 “跨VLAN漫游不重新认证” 功能，并启用“首次认证自动绑定”MAC地址。

• 避免认证冲突：如果WAC本地也配置了Portal认证，请确保其指向的是深信服AC，避免两者都尝试进行本地认证而导致冲突。在深信服AC上配置认证策略时，也可以将WAC的IP地址加入免认证规则，确保流量能被正确处理。

 排错与验证

如果对接后单点登录不生效，可以按以下步骤排查：

1. 检查连通性：确保WAC和深信服AC之间的网络路由可达，且相关端口（如Portal的50100、Radius的1812/1813、SSO的61442）未被防火墙拦截。

2. 验证配置一致性：重点检查共享密钥（Shared Secret）、Portal协议类型和端口号在两端是否完全一致。这是最常见的失败原因。

3. 查看日志：在深信服AC的“系统日志”或“用户认证日志”中，查看是否有来自WAC的认证请求，以及请求被拒绝的原因。

4. 调试WAC：在H3C WAC上，使用 debugging portal all 命令查看Portal报文的交互过程，确认认证请求是否成功发送给了深信服AC。