ACG1000+IMC做portal认证

可以的 

ACG1000 对接 iMC‑Portal 无感知认证，新用户不认证直接上网问题
你的组网关键点：
ACG 直连核心交换机；用户网关、DHCP 服务器在无线 AC 上，不在核心，也不在 ACG。
ACG 开启跨三层 MAC 学习，但只配置了核心交换机 SNMP 同步，没有配置无线 AC。
现象：新终端拿到 IP 直接上网，不弹 Portal；ACG 拿不到终端真实 MAC，无法把 MAC 上报给 iMC 做 MAC‑Trigger 无感知绑定。
根因说明
终端网关 / DHCP 在无线 AC，ARP 表存在无线 AC 设备上，核心交换机没有用户 ARP 表。ACG 只向核心交换机做 SNMP 拉 ARP，核心拿不到无线用户 ARP，自然同步不到终端 IP‑MAC。
ACG 收到无线用户报文，二层源 MAC 是AC 封装后的隧道 MAC（AP/AC 的 MAC），不是终端真实物理 MAC。
ACG 没有拿到终端真实 MAC，无法触发 MAC‑Trigger 流程；Portal 重定向逻辑失效，流量被当成匿名用户放行，新用户直接上网。
ACG 的 “跨三层 MAC 学习” 不是全局嗅探，是通过 SNMP 读取指定三层设备的 ARP 缓存，哪台设备做网关 / DHCP，ACG 就必须 SNMP 同步哪台设备，不是只同步直连的核心交换机。
❌错误：只添加核心交换机到 ACG 跨三层 SNMP 列表。
✅正确：无线 AC（用户网关、DHCP 所在设备）必须加到 ACG 的 SNMP 同步列表，读取 AC 的 ARP 表。
补充：iMC 侧无感知认证（MAC‑Trigger）依赖 ACG 上报终端真实 MAC；没有正确 MAC，iMC 无法做 MAC 自动绑定，同时 Portal 重定向异常，匿名流量直接放行上网。
完整整改步骤
1、ACG 侧：跨三层 MAC 同步配置（关键）
用户网关 / DHCP 在无线 AC，无线 AC 必须开启 SNMP‑V2C 只读团体字；
ACG【用户管理‑认证管理‑跨三层 MAC 识别‑SNMP 同步】：
添加无线 AC 的管理 IP，团体字与 AC 保持一致；
同时保留核心交换机条目；
开启全局【启用跨三层 MAC 识别】；
开启全局【MAC 敏感模式】user mac‑sensitive enable；
同步周期建议 60‑120 秒，超时 5 秒；
ACG 会同时拉核心交换机 ARP、无线 AC 的 ARP 表，获取无线终端 IP‑MAC 映射关系。
验证：ACG 页面查看 SNMP 同步结果，能否看到无线终端 IP + 真实终端 MAC，而不是 AC/AP 的 MAC。
2、ACG Portal 远程 Portal 对接 iMC 检查
Portal 认证方式：必须为【可跨三层认证方式】，不能是二次地址分配认证；MAC‑Trigger 无感知仅支持 “可跨三层认证方式”。
iMC 的 Portal 服务配置：接入服务里面勾选 【启用 Portal 无感知认证（MAC‑Trigger）】，开启 MAC 地址自动绑定；
iMC 与 ACG 时间必须 NTP 同步，时间差不能超过 5 分钟；
iMC 侧放行 UDP‑1812/1813，Portal 报文端口；ACG 配置正确的 NAS‑IP，iMC 已添加 ACG 作为接入设备。
3、无线 AC 侧检查（无线用户网关 / DHCP 所在地）
无线 AC 开启 SNMP V2C 只读，团体字和 ACG 配置完全一致，不能带特殊字符；
无线 AC 上确认：用户 VLAN 的 ARP 表完整，能看到所有无线终端 IP‑MAC 映射；
如果无线是本地转发：用户 ARP 表在接入交换机，此时 ACG 需要 SNMP 同步所有接入 POE 交换机；
你的场景是AC 集中转发，网关在 AC，ARP 表全部存在 AC 上，只需要同步 AC 即可。
4、安全策略排查（新用户直接上网最容易踩坑）
ACG 安全策略是否存在高优先级免认证策略，直接放行未认证匿名用户网段；
如果有一条策略源为用户网段，动作允许，高于 Portal 认证策略，终端直接上网，根本不走 Portal 重定向。
Portal 免认证规则只能放行 iMC、DNS、DHCP，不能放行整个用户网段。
5、验证排错命令
ACG 命令行：
bash
#查看学习到的跨三层IP‑MAC映射表
display user ip‑mac‑binding snmp

#查看Portal在线用户，看MAC是否为终端真实MAC，而不是AC的MAC
display portal user all

#查看匿名用户，异常情况下匿名用户大量存在
display user anonymous
如果display user ip‑mac‑binding snmp看不到无线终端，说明 SNMP 读取 AC 的 ARP 失败，优先排查 AC 的 SNMP 配置、ACL 是否阻断 ACG 访问 AC 的 SNMP UDP‑161 端口。
两种备选方案（如果无线 AC 不允许开 SNMP）
部分项目不允许 AC 对外开启 SNMP，跨三层 SNMP 同步无法实现：
方案 A（推荐改动组网）：把用户网关下移到核心交换机，DHCP 在核心，AC 只做无线管理，用户 ARP 表在核心，ACG 只需要同步核心交换机 SNMP 即可。
方案 B：放弃 ACG+IMC 的 MAC‑Trigger 无感知；改用 iNode 802.1X 认证实现无感知。
现象总结
DHCP / 网关不在 ACG 直连的核心交换机，而在无线 AC，仅同步核心交换机 ARP，拿不到无线终端 IP‑MAC。ACG 识别不到终端真实 MAC，MAC‑Trigger 流程无法触发，Portal 重定向失效，匿名用户直接放行，出现 “新用户无需认证直接上网”。

带的都是核心交换机的MAC ，只能直连识别？