关于imc主备切换后portal认证问题

一、这个页面功能是什么（核心作用）
路径：用户 > 接入策略管理 > 业务参数配置 > 系统配置 > 统一地址文件 IP 配置
该 IP 是Portal 重定向、iNode 客户端、终端获取地址文件时，对外暴露的统一服务 IP。
当 iMC 做主备双机、交换机不支持 Portal 主备双地址下发时，这里填虚拟漂移 IP（主备共用 VIP）是标准官方方案，不能分别填主机 / 备机实 IP。
二、能不能靠这个页面实现主备 Portal 无感知切换？
结论：可以，但必须配套 iMC 主备集群虚拟 IP（VIP），不能填主 / 备物理 IP
错误做法：IPv4 地址填主机实 IP、备机实 IP
切换后交换机推送的 Portal 地址仍是旧主机 IP，终端跳转失败、弹不出认证页；
地址文件下载、iNode 策略更新全部指向旧主机，认证中断。
正确做法：填入iMC 主备漂移虚拟 VIP（独立于主备物理网卡 IP，故障时自动飘到备机）
交换机只下发这一个 VIP 作为 Portal 认证地址；
主设备故障，VIP 自动切换到备机，终端跳转、文件下载、iNode 对接地址不变，无感知。
三、两种 iMC 主备部署对应配置方案
方案 1：iMC 自带双机热备（PLAT 主备，内置漂移 VIP，推荐）
先在 iMC【系统管理 - 双机配置】完成主备，配置业务虚拟 VIP（IPv4 必填，IPv6 按需）；
回到截图页面「统一地址文件 IP 配置」，IPv4 输入这个业务 VIP，IPv6 有则填对应 IPv6 虚拟地址；
保存确定，iMC 会同步更新所有 Portal 推送、地址文件下载服务的对外服务地址；
主备切换逻辑：
正常：VIP 绑定主服务器网卡，所有终端 Portal 请求访问主机；
主机宕机 / 手动切换：双机组件检测故障，VIP 自动飘至备机网卡；
交换机无需修改任何配置，下发的 Portal 地址始终是 VIP，终端认证不中断。
方案 2：第三方负载均衡 / VRRP 实现 VIP（无 iMC 内置双机，用防火墙 / 交换机 VRRP）
防火墙 / 三层交换机配置 VRRP 虚拟 IP 作为统一 Portal VIP；
主备 iMC 服务器同网段，网关指向 VRRP；
截图页面统一地址填写 VRRP 虚拟 IP；
切换逻辑：VRRP 设备检测主链路故障，VIP 切换至备链路，流量转发到备 iMC。
四、为什么不能填主机物理 IP？关键业务影响
Portal 重定向故障
交换机推送的 Portal URL 固定读取本页面配置 IP，填主机实 IP，主机下线后 URL 无法访问，终端打开网页不会弹出认证页面。
安全策略 / 地址文件下载失败
iNode 客户端、终端准入下载地址库、病毒库文件时，域名 / IP 取自本页面配置，指向宕机主机则下载失败，准入校验拦截终端。
主备切换后需要手动修改页面 IP，无法自动切换，业务中断，不符合客户交换机不支持双 Portal 地址的场景需求。
五、完整配置操作步骤
完成 iMC 主备双机配置，确认业务虚拟 VIP 正常，主机持有 VIP、备机处于备用；
进入截图页面，IPv4 输入主备共用虚拟漂移 IP（不要填主机 1、备机 2 实 IP）；
若部署 IPv6 准入，补充填写 IPv6 虚拟地址，无则留空；
点击确定保存，等待 3 分钟配置全局同步；
验证：终端接入，抓包看交换机推送的 Portal 跳转地址 = 填写的 VIP；
模拟主备切换：手动停止主机 imc 服务，确认 VIP 漂移至备机，终端重新打开网页可正常弹出 Portal，无断认证。
六、补充配套注意事项
虚拟 VIP 必须和主备服务器管理 / 业务网卡同网段，三层互通；
防火墙放行 VIP 80、443、TCP 8080（Portal、地址文件、iNode 通信端口）；
ADCampus 场景下 SNA 控制器推送 Portal 地址同样读取该页面配置，填 VIP 后 SDN 网络无需额外调整；
若当前已填写主机实 IP，切换 VIP 后，需要清空交换机原有动态推送缓存，或终端重新接入测试。
总结
该页面可以实现主备 Portal 统一认证地址，但必须填写主备共用虚拟漂移 VIP，不能填主机物理 IP；
主备切换依靠 iMC 双机组件 VIP 漂移 / 上游 VRRP 完成，本页面仅负责统一对外服务地址，不负责 IP 切换；
填物理 IP 会导致切换后 Portal、准入文件全部访问失败，无法满足客户交换机仅支持单一 Portal 地址的需求。

针对Portal交换机无法配置主备地址的场景，可以，并且推荐通过配置虚拟IP（VIP）的方式，为两台iMC服务器提供一个统一的访问地址。Portal交换机只需将认证指向这个VIP即可，从而实现主备切换对下层的透明。

⚙️ 核心配置思路

1. 配置虚拟IP（VIP）：在iMC的主备管理（双机热备）功能中，配置一个与主、备机同网段且未被占用的IP地址作为VIP。两台iMC服务器需配置相同的VIP。

2. 交换机指向VIP：在Portal交换机上，将所有指向iMC的配置（如Portal服务器、RADIUS服务器等）的IP地址，全部设置为这个VIP。

3. 实现主备切换：VIP会与当前活跃的主iMC服务器绑定。当主设备故障时，备机通过心跳检测到后会自动接管VIP；管理员也可以手动执行切换。

⚠️ 关键注意事项与风险

• VIP网络可达性：VIP必须与主、备机同网段，并且该IP地址在整个网络中是唯一且未被占用的。

• 多组件配置一致性：Portal认证涉及多个组件，需确保交换机侧所有相关配置的IP都指向VIP。

• 会话同步与平滑切换：主备切换后，已认证用户的会话可能无法同步，导致用户被强制下线。建议部署会话同步机制并适当调整认证超时等参数。

• 备机权限：在冷备场景下，需确保备机有足够的操作权限来接管服务。

• 版本与兼容性：实施前，请务必确认你的iMC和交换机软硬件版本支持此功能。