SecPath ACG1000上网行为管理配置了密码认证 不弹认证界面

基础环境确认（第一步检查）

1. 确认终端流量完整经过 ACG1000 转发；旁路镜像模式下 Portal 重定向功能无效。
2. 终端 IP、子网掩码、网关、DNS 配置正确；终端能 ping 通 ACG 的内网接口 IP。
3. 浏览器关闭代理、VPN 插件；优先访问普通 HTTP 网站（不要直接访问 HTTPS 网站），HSTS 网站不会触发重定向弹窗H3C。

测试：浏览器手动直接访问 ACG 认证地址 http://ACG内网IP/portal，看能否打开密码登录页面。

• 手动访问能打开：重定向逻辑故障；
• 手动访问打不开：网络 / 策略拦截 Portal 页面本身。

二、认证策略配置检查（Web 界面）

路径：【用户管理】→【用户认证】→【认证策略】

1. 认证策略状态：启用；认证方式选择「本地密码认证」。
2. 适用网段：源地址必须包含内网用户网段，不能只写部分地址。
3. 认证前权限：认证前必须允许访问 Portal 自身页面，不要全部 deny。
4. 高级选项：开启HTTPS 请求重定向（R6609 及以后版本需要勾选，否则访问 https 不会触发弹窗）深信服技术...。

注意：ACG 认证策略匹配逻辑从上往下匹配，如果上面有免认证策略匹配了该网段，下面密码认证策略不会生效。

三、安全 / 控制策略关键点（高频踩坑）

路径：【上网行为管理】→【策略管理】→IPv4 策略

1. 认证服务器、ACG 自身内网接口 IP，必须全局排除（免认证）；如果没有排除，未认证终端访问 Portal 页面直接被阻断，弹不出窗口H3C。
2. 不要配置 deny 全部内网到外网的策略；认证前流量要交给 Portal 模块处理，不要提前被控制策略丢弃。

快速验证：将测试终端 IP 加入【全局白名单】，白名单用户不做认证；加入之后终端可以正常上网，说明流量确实经过 ACG，问题定位在 Portal 认证策略本身。

四、区分部署模式重点注意事项

① 透明（网桥）模式

1. 必须配置 BVI 接口 IP（网桥管理 IP），Portal 重定向依赖 BVI‑IP，没有 BVI‑IP 无法完成重定向。
2. 上下行接口正确加入网桥组；线路绑定选择网桥 BVI 接口。
3. 上下游三层设备需要存在回程路由指向 BVI‑IP 网段。

② 路由模式

1. 内网接口为三层接口，配置正确 IP 地址；终端网关指向 ACG 内网接口 IP。
2. ACG 要有外网默认路由；NAT 策略配置正确。

五、命令行检查命令

六、常见根因汇总

1. 旁路部署！旁路模式不支持 Portal 页面重定向，只能审计，不能弹窗认证。
2. 认证策略未启用、源网段没有包含用户终端网段；上方存在优先级更高的免认证策略。
3. 透明模式没有配置 BVI 网桥 IP，重定向功能无法工作。
4. 没有把 ACG 自身 IP 加入免认证全局排除，未认证终端访问 portal 页面直接被策略阻断。
5. 只测试 HTTPS 网页，HSTS 网站阻止 http 重定向；测试必须用普通 HTTP 网站。
6. 浏览器开启代理 / VPN，流量绕过 ACG 设备，重定向报文到达不了终端。
7. 版本 BUG，老版本 R6609 早期版本 HTTPS 重定向缺陷，建议升级到 R6618 正式版本。

七、快速定位手段

1. 手动浏览器访问http://ACG内网IP/portal
   • ✅能打开页面：问题在流量重定向，检查认证策略、HTTPS 重定向开关；
   • ❌打不开页面：检查安全策略全局排除，路由是否通。
2. 将测试 IP 加入全局白名单，如果加入后立刻可以上网，代表流量经过设备，故障聚焦 Portal 认证配置。

终端到ACG通吗 

终端到ACG通