SecPath ACG1000 认证时候能重定向HTTPS吗

原理不是像 HTTP 那样 302 直接跳转；是 ACG 拦截 SSL 握手、基于 SNI 触发认证，不是 SSL 解密劫持，浏览器会报证书不安全，HSTS 网站依然很难弹。

1、版本 & 开启方式

Web 界面：用户管理→认证策略，勾选【HTTPS 请求重定向】 命令行开启：

user-policy https-portal enable

• 只支持标准 443 端口 HTTPS；非 443 端口 HTTPS 无法触发H3C
• R6618P02 之后默认开启user-policy https-portal limit-by-sni enable：默认只对www.开头域名触发；其他域名要加 SNI 白名单：

user-policy https-portal sni whitelist ***.***

• 老版本（低于 R6609）没有这个能力，HTTPS 完全不能弹 Portal

2、重要限制（运维高频踩坑）

1. HSTS 网站（baidu、taobao 等）很难弹：浏览器强制 HTTPS、禁止降级 HTTP 跳转，这是浏览器机制，ACG 无法绕过。这种场景只能让用户手动访问 http://ACG内网IP/portal。
2. 证书告警不可避免：这个 HTTPS 弹 Portal 机制会返回 ACG 自签名证书，浏览器会提示 “连接不安全”，用户必须点继续才能进认证页；无法做到无证书告警（想要无告警需要 SSL 代理解密 + 导入根证书，那是另外一套 SSL 解密策略，不是这个 https-portal 功能）。
3. 旁路模式直接不支持：旁路下 HTTPS 流量只能 Reset 阻断，不能重定向弹窗，只有 HTTP 可以弹H3C。
4. 微信小程序、部分 APP 内置浏览器校验证书严格，会直接拒绝连接、不弹出认证页面。

3、和 HTTP 重定向对比

• HTTP：标准 302 跳转，无证书报错，兼容性最好
• HTTPS SNI Portal：拦截握手、推送认证页面，证书告警、HSTS 不友好、只 443 端口

4、排错点（对应你上一条 “不弹认证”）

1. 确认是串行部署，不是旁路镜像
2. 版本≥R6609，已经开启user-policy https-portal enable
3. 测试优先用不带 HSTS 的普通 https 站点（不要直接百度）
4. ACG 自身 Portal IP 一定要在免认证白名单，否则认证页面被策略拦截

SecPath ACG1000 认证时支持 HTTPS 重定向，但需正确配置解密或放行策略。
默认情况下，未认证用户访问 HTTPS 网站时，ACG 无法解析加密报文中的 URL，只能基于 IP 或域名（若开启 SNI 检测）触发重定向。若直接对 443 端口做重定向，浏览器会因证书不匹配报错。
建议配置：
1. 启用 HTTPS 认证重定向功能（在用户认证策略中勾选“HTTPS 重定向”）。
2. 若需精确识别 URL，需在 ACG 上导入并部署 SSL 解密证书，对认证前流量做 SSL 解密。
3. 若不做解密，可仅基于目的 IP 或 SNI 域名触发重定向，用户访问 https://ip 形式可能失败，建议引导用户先访问 http 站点完成认证。
关键命令（系统视图下）：
inspect https-redirect enable
或通过 Web 界面：用户管理 > 认证策略 > 高级选项 > 启用 HTTPS 重定向。