无线portal认证不成功
- 0关注
- 0收藏，32浏览
问题描述：
无线portal认证不成功，debug信息如下：
*Aug 12 15:19:54:410 2026 BGAC PORTAL/7/REDIRECT-EVENT: The user ip is 192.168.10.100; the redirect url is ***.***:10443/api/emgr/v1/wifi/portal/redirect/guest/33?nasip=221%2E7%2E47%2E75&userip=192.168.10.100&apmac=BC%2DD0%2DEB%2DE1%2DE3%2D60
*Aug 12 15:19:54:410 2026 BGAC PORTAL/7/HTTP_REDIRECT-ERROR: SSL encryption failure.
*Aug 12 15:19:54:410 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Compose the redirect packet successfully.
*Aug 12 15:19:54:410 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Processed SSL application data.
*Aug 12 15:19:54:410 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Compose RST reply packet.
*Aug 12 15:19:54:410 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Append tcp reply mbuf, mss=1024 len=20 seq=96f906 ack=5a084ae4.
*Aug 12 15:19:54:410 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Send RST packet successfully.
*Aug 12 15:19:54:410 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Destroy RedirNode.
*Aug 12 15:19:54:412 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Receive the packet(flag:0x11,datalen:0,srcIP:192.168.10.100,dstIP:20.50.88.242,seq:0x5a084ae4,ack:0x96f906,dataLen:0, sport:49944, dport:443)
*Aug 12 15:19:54:412 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Append tcp reply mbuf, mss=1024 len=20 seq=96f906 ack=5a084ae5.
*Aug 12 15:19:54:412 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Compose tcp cheat pkt(flag:0x11) successfully.
*Aug 12 15:19:54:412 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Reply tcp cheat pkt(flag:0x11) successfully.
*Aug 12 15:19:54:436 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Receive the packet(flag:0x2,datalen:0,srcIP:192.168.10.100,dstIP:20.50.201.205,seq:0xdb805e70,ack:0x0,dataLen:0, sport:49945, dport:443)
*Aug 12 15:19:54:436 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: create the redirect node successfully.
*Aug 12 15:19:54:436 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Append tcp reply mbuf, mss=1200 len=24 seq=96f4b8 ack=db805e71.
*Aug 12 15:19:54:436 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Compose tcp cheat pkt(flag:0x2) successfully.
*Aug 12 15:19:54:436 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Reply tcp cheat pkt(flag:0x2) successfully.
*Aug 12 15:19:54:441 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Receive the packet(flag:0x10,datalen:0,srcIP:192.168.10.100,dstIP:20.50.201.205,seq:0xdb805e71,ack:0x96f4b9,dataLen:0, sport:49945, dport:443)
*Aug 12 15:19:54:441 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Compose tcp cheat pkt(flag:0x10) null.
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Receive the packet(flag:0x18,datalen:462,srcIP:192.168.10.100,dstIP:20.50.201.205,seq:0xdb805e71,ack:0x96f4b9,dataLen:462, sport:49945, dport:443)
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Restructure success, Stream complete.
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: BIO wrote 462 bytes into SSL.
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: SSL negotiation message Recv Unknown TLS version [length 0005]unknown
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: SSL negotiation message Recv Unknown TLS version [length 01c9]unknown
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: SSL negotiation message Send Unknown TLS version [length 0005]unknown
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: SSL negotiation message Send TLS 1.2 Handshake [length 0039], ServerHello
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: SSL negotiation message Send Unknown TLS version [length 0005]unknown
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: SSL negotiation message Send TLS 1.2 Handshake [length 0308], Certificate
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: SSL negotiation message Send Unknown TLS version [length 0005]unknown
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: SSL negotiation message Send TLS 1.2 Handshake [length 0004], ServerHelloDone
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: BIO read 852 bytes from SSL.
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Processed SSL handshake.
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Append tcp reply mbuf, mss=1024 len=872 seq=96f4b9 ack=db80603f.
*Aug 12 15:19:54:444 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Data send this time: 852, left: 0.
*Aug 12 15:19:54:450 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Receive the packet(flag:0x10,datalen:0,srcIP:192.168.10.100,dstIP:20.50.201.205,seq:0xdb80603f,ack:0x96f80d,dataLen:0, sport:49945, dport:443)
*Aug 12 15:19:54:450 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Compose tcp cheat pkt(flag:0x10) null.
*Aug 12 15:19:54:454 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Receive the packet(flag:0x11,datalen:0,srcIP:192.168.10.100,dstIP:20.50.201.205,seq:0xdb80603f,ack:0x96f80d,dataLen:0, sport:49945, dport:443)
*Aug 12 15:19:54:454 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Append tcp reply mbuf, mss=1024 len=20 seq=96f80d ack=db806040.
*Aug 12 15:19:54:454 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Destroy RedirNode.
*Aug 12 15:19:54:454 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Compose tcp cheat pkt(flag:0x11) successfully.
*Aug 12 15:19:54:454 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Reply tcp cheat pkt(flag:0x11) successfully.
*Aug 12 15:19:54:459 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Receive the packet(flag:0x10,datalen:0,srcIP:192.168.10.100,dstIP:20.50.201.205,seq:0xdb806040,ack:0x96f80e,dataLen:0, sport:49945, dport:443)
*Aug 12 15:19:54:459 2026 BGAC PORTAL/7/HTTP_REDIRECT-EVENT: Compose tcp cheat pkt(flag:0x10) null.
1. 检查AC Portal HTTPS重定向配置
命令：display current-configuration | include portal
确认是否配置portal https-redirect enable，且绑定的SSL服务器策略/证书有效。
2. 验证SSL证书有效性
命令：display pki certificate access-control-policy、display pki certificate
检查证书是否过期、颁发者是否受信、是否匹配重定向域名/IP，证书链是否完整。
3. 检查端口与连通性
确认AC本地10443端口（重定向URL端口）未被占用，且终端到AC的TCP 10443端口可达，中间无防火墙拦截SSL握手。
4. 排查SSL版本/加密套件兼容
命令：display ssl server-policy
确认AC SSL策略启用的TLS版本（建议TLS1.2/1.3）、加密套件与终端浏览器兼容，无禁用不兼容算法。
5. 收集进一步debug
开启debug：debugging portal all、debugging ssl server
复现故障后查看SSL握手阶段具体报错（如证书校验失败、密钥协商失败），定位根因。
常见根因：Portal HTTPS重定向绑定的SSL证书无效/过期、SSL策略配置的加密套件与终端不兼容、端口被占用。
Portal 重定向故障分析
关键 debug 报错
plaintext
BGAC PORTAL/7/HTTP_REDIRECT‑ERROR: SSL encryption failure.
SSL negotiation message Recv Unknown TLS version
现象：终端发起 HTTPS (443) 访问，AC 做 TCP 欺骗劫持、尝试 SSL 代理重定向，SSL 加密处理失败，直接回复 RST 销毁重定向节点，Portal 页面弹不出来。
重定向 URL 是 HTTPS 地址 ***:10443/api/emgr/v1/wifi/portal/redirect，端口 10443。
根因说明
H3C AC / 防火墙内置的 Portal 本地 SSL 劫持模块，对 TLS 版本、加密套件支持有限：
手机终端（安卓 /iOS）使用 TLS1.3 发起 HTTPS 请求；AC 内置 SSL 劫持模块不兼容 TLS1.3，日志打印Recv Unknown TLS version，直接报SSL encryption failure，发送 RST 断开 TCP 会话，重定向失败。
注意：这是设备做透明劫持（TCP cheat）的 SSL 代理失败，不是 Portal 服务器证书问题。
HTTP 访问网站可以正常弹出 Portal；HTTPS 站点就直接 RST，无法弹窗，和你日志现象完全吻合。
日志流程复盘：
1. 手机建 TCP 连接，AC 回复 tcp‑cheat 报文欺骗三次握手；
2. 手机上送 TLS1.3 握手报文，AC 的 SSL 解析器识别不了 TLS1.3 版本；
3. 输出SSL encryption failure，构造 RST，销毁 RedirNode，重定向失败。
4 套可行解决方案（按工程优先级排序）
方案 1【推荐】全局关闭 HTTPS 透明劫持，使用 DNS‑redirect 方式（DNS 重定向）
不做 TCP 层面 SSL 劫持，靠 DNS 欺骗把域名解析指向 Portal 服务器，规避 AC 处理 TLS 握手。
shell
portal free‑rule
undo http‑redirect https enable #关闭https透明劫持，该命令是关键点
portal dns‑redirect enable
⚠️注意：部分老版本不支持portal dns‑redirect，则只能走方案 2、3。
方案 2 Portal 强制使用 HTTP 重定向 URL（改造对接平台）
当前重定向地址是https://xxx:10443/...，让第三方平台提供HTTP（http://，非 https）的 Portal 回调地址。
手机 HTTPS 上网时，AC 只劫持 HTTP 流量；HTTPS 流量不再劫持；使用 DNS 重定向将用户引导到 HTTP 的 Portal 页面。
很多第三方 WiFi 平台支持 HTTP 回调地址。
方案 3 放行 Portal 服务器域名，配置 Portal 免认证，关闭对 Portal 服务器 IP 的劫持
把 Portal 平台 IP 加到 portal free‑rule，AC不对 Portal 服务器 IP 做 TCP 劫持。
注意：你的重定向端口是 10443 非标准 443，部分版本 TCP 劫持只识别 80/443，10443 端口本身就存在兼容性风险。
shell
portal free‑rule ip‑destination 20.50.88.244 0
portal free‑rule ip‑destination 20.50.201.205 0
方案 4 AC 版本升级
升级 AC 到新版本，新版本增强 TLS1.3 兼容。
老版本（早期 R66xx、R67xx）内置 SSL 模块不支持 TLS1.3，升级后部分修复，但无法 100% 兼容所有手机终端 TLS1.3 变种。
重要排查点
测试手机关闭 5G，使用 Wi‑Fi 访问HTTP 网站（如***.***）
如果访问 http 网站可以弹出 Portal 页面，访问 https 网站失败 → 确认就是 TLS1.3 劫持不兼容问题，就是日志中这个故障。
你的重定向端口是10443，非标准 443 端口：部分版本 AC 的http‑redirect https仅劫持目的端口 443；10443 端口的 HTTPS 流量不会被劫持，需要确认端口是否在劫持范围内。
补充：苹果手机特殊现象
iOS 以上版本，强制使用 TLS1.3，只要开启 https‑redirect，就大概率复现 SSL encryption failure，RST 断开，无法弹窗，这是该类对接的经典坑。
快速定位验证命令
bash
display portal configuration
display portal free‑rule
看是否开启了：http‑redirect https enable，开启就是做 HTTPS 透明劫持。
总结
日志核心报错SSL encryption failure + Recv Unknown TLS version，是AC 内置 SSL 劫持模块无法处理手机终端的 TLS1.3 握手，会话直接 RST，重定向失败。
优先执行：undo http‑redirect https enable + 开启portal dns‑redirect enable，改用 DNS 重定向方式，避开 TCP 层 SSL 劫持。
如果设备版本过低，没有 dns‑redirect 能力，则需要第三方对接平台提供 HTTP 的 Portal 回调地址，或者升级 AC 版本。
终端登录能够弹出认证页面，但是输入验证码后提示认证失败
终端登录能够弹出认证页面，但是输入验证码后提示认证失败
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明