功能介绍：

Web认证是一种对用户访问网络的权限进行控制的身份认证方法，这种认证方法不需要用户安装专用的客户端认证软件，使用普通的浏览器软件就可以进行身份认证。未认证用户使用浏览器上网时，接入设备会强制浏览器访问特定站点。在指定的web站点进行认证操作。锐捷Web认证有2个版本，不同版本的Web认证流程不同，我们将其分别称为锐捷一代Web认证和锐捷二代Web认证。此外我司在设备端也实现了一个简易版的portal服务器功能，称为内置web认证。

适用场景说明

Web认证是一种对用户访问网络的权限进行控制的身份认证方法，这种认证方法不需要用户安装专用的客户端认证软件，使用普通的浏览器软件就可以进行身份认证。适合无线终端不想或不能安装认证客户端（特别是手机、平板电脑等）但是又想对网络中的客户做准入控制

优点：无线终端不需要安装客户端，使用web浏览器即可

缺点：需要增加portal（推送认证的web界面）和radius服务器（用于储存客户端用户名和密码的设备）

一、组网需求

客户需要通过使用AC内部提供的页面对无线用户进行认证，启用内置Web认证功能

二、组网拓扑

三、配置要点

1、启用内置eportal AAA认证

2、配置radius服务器IP及KEY等相关配置

3、WLAN启用web认证

4、配置SNMP功能

5、SAM（radius）服务器配置

四、配置步骤

1、启用eportal  AAA认证

AC-1(config)#aaa new-model   //启用AAA认证功能

AC-1(config)#aaa accounting network default start-stop group radius  //定义用户上线下线审计默认使用列表

AC-1(config)#aaa authentication iportal default group radius  //定义内置web认证默认使用列表

2、配置radius服务器IP及KEY

AC-1(config)#radius-server host 192.168.33.244 key ruijie //配置radius服务器KEY及IP（密码后面不能有空格）

AC-1(config)#ip radius source-interface vlan 90  //AC使用vlan 90 的IP地址和radius对接

AC-1(config)#radius dynamic-authorization-extension enable  //配置AC支持radius扩展属性

AC-1(config)#radius-server attribute 31 mac format ietf  //如和我司的ESS对接或者和其他厂商对接出现无法踢用户下线的情况，可以尝试调整MAC格式

3、放通网关ARP

AC-1(config)#http redirect direct-arp 192.168.33.1 //必须开放无线用户网关arp

4、开启内部重定向端口

AC-1(config)#http redirect port 8081  //此端口默认生成不能进行修改及配置

5、在AC上对wlan1开启web认证功能

AC-1(config)#wlansec 1

AC-1(config-wlansec)# web-auth portal iportal //启用内置web认证

AC-1(config-wlansec)# webauth //启用web认证功能

6、SAM（radius）服务器配置

1）登陆SAM服务器--->“系统管理”--->“设备管理”

2）选择“添加”

3）添加设备，填充设备相关参数“设备IP地址”、“设备类型”、“具体型号”、“设备key”、“读写Community”，点击“保存”。

注：目前SAM设备只有3.50和3.81版本支持内置eportal认证

五、配置验证

1、无线用户连接无线网络，可以弹出认证页面并且认证通过

2、登陆到AC上通过show web-auth all 确认无线用户在web认证状态。