ac+IMC portal认证问题

看下认证记录提示什么

页面可以弹出，代表HTTP 重定向、围墙花园放行 iMC 网页、DNS 基础链路是通的；故障集中发生在：iMC 提交认证请求→RADIUS 交互、iMC 给 AC 发送 Portal 上线通知报文、BAS‑IP/NAS‑IP、Portal 共享密钥、无线服务模板域配置、防火墙拦截 Portal UDP 报文这几个环节H3C。

一、原理简单说明

1. 用户提交短信验证码，iMC 后台先调用 RADIUS 向 AC 做身份认证；
2. RADIUS 认证通过后，iMC 会向 AC 的 UDP 50100 端口发送 Portal‑Success 通知报文，通知 AC 放行该终端；
3. AC 收到这条 50100 报文之后，才会放开终端网络权限，同时通知浏览器跳转认证成功页面；
4. 转圈反复重定向 = iMC 完成 RADIUS 鉴权，但是 AC 没有收到 / 丢弃 iMC 发过来的 Portal Success 通知报文，AC 不放通终端，浏览器反复被重定向回登录页H3C。

二、按优先级逐项排查

1、检查 Portal 通信密钥（高频）

AC 上portal server imc视图下的 portal key，和 iMC‑UAM 接入设备配置里面填写的 Portal 密钥必须完全一致（区分大小写、空格）。密钥不一致，AC 直接丢弃 iMC 的 50100 Portal 通知报文，终端页面一直转圈，iMC 日志里面可能显示认证成功，但是 AC 侧用户不在线H3C。 AC 查看配置：

iMC 路径：【用户‑接入策略管理‑Portal 服务管理‑设备配置】，编辑该 AC 设备核对 Portal 共享密钥。

2、检查 BAS‑IP（Portal 报文源 IP）配置，极易踩坑

iMC 向 AC 发送 Portal 通知报文时，会校验报文中携带的BAS‑IP，必须和 iMC 接入设备中登记的 AC IP 完全匹配，否则报文直接丢弃。

• AC 侧无线服务模板下配置正确portal bas‑ip X.X.X.X，该 IP 为 AC 和 iMC 通信的真实源 IP（管理 VLAN 接口 IP）；
• iMC 接入设备配置页面，设备 IP 填写该 BAS‑IP；不能填写 NAT 转换后的地址，不能填 VIPH3C。

组网存在 NAT 场景：iMC 看到 Portal 报文源 IP 被 NAT 改变，BAS‑IP 校验失败，报文丢弃，现象就是页面转圈。尽量保证 AC 访问 iMC、iMC 回写给 AC 的 UDP50100 报文不经过 NAT。

###3、网络层面放行 UDP50100 端口（Portal 协议端口）

重点！RADIUS 使用 UDP1812/1813；iMC 主动发给 AC 的 Portal 上线通知报文使用 UDP 50100，很多防火墙只放通 1812/1813，漏掉 50100 端口。

1. 中间防火墙、AC 本地 ACL、安全域策略，必须允许 iMC 服务器 IP 访问 AC 的 UDP 50100；
2. 在 AC 上抓包或者 debug，确认是否收到来自 iMC 的 UDP50100 报文。

AC 调试命令（故障复现时执行）：

如果调试看不到来自 iMC 的 50100 报文：防火墙拦截；能收到报文但是打印丢弃：密钥错误 / BAS‑IP 校验失败。

###4、RADIUS 与 ISP 认证域检查

1. 无线服务模板下配置portal domain xxx，指定 Portal 使用的 ISP 域；
2. ISP 域内 RADIUS 方案配置正确，RADIUS 密钥和 iMC 接入设备密钥一致；
3. iMC 的 UAM 日志确认 RADIUS Access‑Accept 已经返回给 AC；

如果 RADIUS 认证本身被拒绝，也会出现页面异常转圈，优先看这两条命令输出。

###5、无线本地转发场景额外检查 AP 本地转发模式：

1. 围墙花园免认证规则，放行 iMC 完整地址，终端未认证阶段可以正常访问 portal 网页；
2. portal bas‑ip 填写 AC 管理 IP，不要填写 AP 的 IP；
3. 确认无线服务模板下面：portal enable method direct（远程 Portal direct 模式），不要误配为 layer3。

###6、iMC 服务器侧检查

1. 查看 iMC jserver/uam日志，确认短信认证流程完成，已经尝试向 AC 发送 Portal success 通知；
2. iMC 服务器本机防火墙、Windows 防火墙放行出站 UDP50100；
3. iMC 接入设备配置中设备类型选择 H3C；Portal 端口保持默认 50100。

## 三、快速定位判断小技巧

1. iMC 日志显示该用户认证已经成功上线，但是 AC 上display portal user看不到该终端用户 → 问题就是iMC 发给 AC 的 Portal Success 通知报文没有被 AC 正常接收处理，重点排查：UDP50100 放行、portal 密钥、BAS‑IP/NAT 问题。
2. iMC 日志就提示认证失败 → 排查 RADIUS、短信服务、账号策略。

## 四、补充常见坑

1. 只放通 RADIUS 的 UDP1812/1813，忘记放行 Portal 协议 UDP50100；
2. 网络存在 NAT 转换，iMC 收到报文源 IP、BAS‑IP、iMC 接入设备登记的 ACIP 三者不一致；
3. Portal 密钥存在看不见的空格、大小写不一致；
4. 无线模板没有指定 portal domain，使用系统缺省域，域下 RADIUS 方案配置错误。