图1 Portal标准组网方案图2. 组网说明这是一种标准的Portal组网方案。图中左下角只画了一个交换机和一个BAS设备（宽带接入服务器，是支持Portal认证的设备。如：MA5200, S3528等），在实际组网过程中，假如用户数较多，用户可以挂接在多个交换机下，多个交换机再接入到多个BAS上。所有的BAS通过一个核心路由器（也可以是高端交换机，如：S8505等）连接到互联网上，服务器（CAMS服务器，Portal服务器等）放在机房中，通过一台交换机连到核心路由器上。对于一个未认证用户，假如在IE地址栏中输入了一个互联网的地址，那么此HTTP请求在经过BAS设备时会被重定向到Portal的认证主页上，用户在认证主页中输入认证信息后提交，Portal服务器会将用户的认证信息传递给BAS设备，然后BAS再与CAMS服务器通信进行认证和计费，假如认证通过，BAS会打开用户与互联网的通路，用户可以访问互联网。进入讨论组讨论。 
图2 802.1X和Portal同时使用的组网方案图2. 组网说明这个案例融合了802.1X和Portal两种认证方式，用户访问内部局域网需要在S8505上进行802.1X认证，访问Internet需要在MA5200F上进行Portal认证，这样最大的保护了内网和外网的资源。
图3 Portal认证改造方案图2. 组网说明这是在已有网络上增加认证计费需求的一种改造方案。如上图所示，在用的网络中没有MA5200F设备，蓝色实线标明了数据的流向，所有用户通过S8505访问Internet。现在增加了认证计费的需求，那么有以下两种网络的改造方案：I. 直接将S8505替换为MA5200F，需要对现有网络进行改造，并且无法保证是否不会对现有网络造成一定的影响；II. 在S8505上侧挂一个MA5200F：这种方式对已建网络的改造最小，只需在挂接设备上（S8505）增加接入控制列表和修改默认路由，无需修改其他网络设备的硬件和软件配置，最大限度的保护了现有的网络资源。如上图，采用侧挂方案，红色实线标明了改造后数据的流向。S8505作为交换机接入用户业务，接入的VLAN不配置三层功能只实现二层功能，在S8505与MA5200之间链路上配置三层接口，使S8505和MA5200F在该链路上同时实现三层和二层通路。实际运行时，S8505将所有用户的数据通过二层转发给MA5200，MA5200F对用户数据认证通过之后，以路由转发的方式交给S8505，S8505再进行三层转发。对于从外部到达用户的数据，其传递路径与上相反，S8505查找路由表，将报文通过三层转发给MA5200F，MA5200F在S8505的二层交换域内发给S8505，最终通过S8505透传给用户。这种侧挂方案同样适用于新建网络，它可以减少主干网络的挂接点，保证主干拓扑的简捷、清楚，方便网络治理员对网络的监控和维护，同时，侧挂式的cams计费系统也利于以后的网络扩容和改造。进入讨论组讨论。 
图4 多服务域的组网方案图2. 组网说明该组网使用了多个服务域，和Portal的二次地址分配。这种组网方案比较适用于校园网，社区网，公司网，以及类似的地理位置分布较广，并且不同的地方需要采用不同的认证计费方式的局域网。什么是服务域？CAMS服务器与设备进行配合，可以实现不同区域的用户使用不同的认证计费方式。举例来说，在CAMS服务器上可以配置多种服务，比如说cams1和cams2，cams1和cams2采用不同的认证和计费方式，在设备上配置A区的用户使用cams1服务，B区的用户使用cams2服务，那么A区的用户在认证时需要输入用户名username@cams1，B区的用户需要输入用户名username@cams2，设备会根据不同的后缀名称cams1或者cams2来选择相应的认证计费方式，从而与CAMS实现认证计费的交互。什么是二次地址分配？为了减少公网IP地址资源的浪费，PORTAL通过与设备的配合，使用户在认证前使用的是私网IP地址，认证成功后再分配一个公网IP地址，
『配置环境参数』：1、计算机设置为自动获取IP地址的方式2、MA5200F的上行口地址：200.100.0.13、MA5200F对端路由器地址：200.100.0.24、RADIUS SERVER的IP地址：202.10.1.25、WEB SERVER的IP地址：202.11.1.2 『WEB认证用户的接入流程』：a) 在最开始，我们需要明确，做WEB认证的用户必须首先获取IP地址，在5200上面只有一个合法的用户才能获取到IP地址，因此，在用户进行WEB认证之前我们需要先让这个用户“合法化”，使之获取一个IP地址。这样我们首先给用户指定一个“认证前”的域，在这个域里面指定用户所使用的地址池，以及认证策略，同时利用UCL将这个域里面的用户的权限进行限制，使域里面的用户只能访问WEB服务器等资源。然后用户就会到这个指定的WEB服务器上进行认证，认证通过之后的用户将属于另外一个域，我们只需要在这个域里面将用户全部的上网权限打开就可以了。 b) 首先一个用户的报文在经过二层交换机的时候就带上了相应的VLAN ID； c) 用户的报文从5200的某一个端口进入的时候5200就会根据事先配置好的portvlan的数据来确定这样的一个用户在认证前和认证后分别是属于那个域的，在portvlan下面还配置了用户的认证方式是采用WEB认证； d) 该用户在找到自己所属的域之后就会根据域下面配置的地址池分配一个ip地址，随后用户需要登陆一个指定的WEB页面上去用自己的用户名和密码进行认证，然后根据域下面设置好的认证和计费策略来进行认证和计费（radius还是本地），认证通过之后该用户就能正常的上网了。e) 在了解了用户报文的基本接入流程之后我们就开始来配置数据，从上面的接入流程我们可以看出来，比较要害和重要的几个数据是：地址池、域、认证计费策略、PORTVLAN的数据以及RADIUS数据。 Step 1. 配置地址池 对于WEB认证的用户是首先要获取IP地址的（这个地址可以是动态获取的，也可以是静态的地址，这里我们利用动态获取地址的方法），这个地址是存在一个事先设定好的地址池中的，这个地址池可以存在一个远端的DHCP服务器上面，也可以存在5200本机上面，假如地址池是在5200上面的话那么首先就要配置这个地址池的相关参数。 [MA5200F]ip pool huawei local【说明】：创建一个名为huawei的地址池 [MA5200F-ip-pool-huawei]gateway 61.10.1.1 255.255.255.0【说明】：配置地址池的网关以及掩码[MA5200F-ip-pool-huawei]section 0 61.10.1.2 61.10.1.10【说明】：配置地址池的地址段【注】：地址池中间还需要根据具体的情况配置相应的DNS服务器。 ★ 假如采用的是外置地址池的话就按照下面的内容进行配置：注重：MA5200R007版本在采用外置地址池的情况下也需要在本地配置此地址池，所不同的在建立地址池的时候需要将地址池的属性设置为remote，而且地址池中只需要指定gateway（这里的主要作用就是生成一条用户网关的路由），而不需要配置地址段section。同时还需要建立一个DHCP SERVER组，在这个组里面指定外置DHCP SERVER的地址（注重，这里的DHCP SERVER的ip地址并不是地址池中的gateway）[MA5200F]dhcp-server group remotedhcp【说明】：建立外置一个名为remotedhcp的DHCP SERVER组[MA5200F-dhcp-server-group-remotedhcp]dhcp-server 192.168.1.10【说明】：指定此DHCP SERVER组所指向的DHCP SERVER的IP地址[MA5200F]ip pool huaweiremote remote【说明】：创建一个远端地址池[MA5200F-ip-pool-huaweiremote]gateway 61.10.1.1 255.255.255.0[MA5200F-ip-pool-huaweiremote]dhcp-server group remotedhcp【说明】：指定地址池的gateway以及绑定DHCP SERVER组OK，现在我们已经给用户配置了一个地址池，接下来我们要为用户设置相应的认证和计费方案。 Step 2. 配置radius服务器[MA5200F]radius-server group radius1【说明】：“radius1”是5200上面radius配置项的名字，长度不能超过32个字符。[MA5200F-radius-radius1]radius-server authentication 202.10.1.2 1812【说明】：配置主用radius认证服务器地址和端口号[MA5200F-radius-radius1]radius-server accounting 202.10.1.2 1813【说明】：配置主用radius计费服务器地址和端口号[MA5200F-radius-radius1]radius-server key Huawei 【说明】：共享密钥是5200和radius之间进行报文加密交互的重要参数，两端一定要设置的一致，因此在设置共享密钥之前需要和radius方面进行协商，这里我们假定共享密钥是huawei。[MA5200F-radius-radius1]radius-server type portal 【说明】：使用portal认证方式。[MA5200F-radius-radius1]undo radius-server user-name domain-included 【说明】：传给radius服务器的用户名不带域名后缀。[MA5200F-radius-radius1]radius-server traffic-unit byte【说明】：统计流量单位是byte。 Step 3. 配置Portal认证服务器和WEB服务器Portal认证服务器用来与设备交互传递认证下线等信息，WEB服务器用来提供用户认证页面等功能。这两个服务可以安装在同一台机器上，也可以在不同的机器上。[MA5200F] web-auth-server version v2 【说明】：portal认证使用2.0版本。[MA5200F] web-auth-server 202.11.1.2 key huawei 【说明】：配置Portal认证服务器IP地址和key，key要与Portal认证服务器（CAMS治理台）配置的一致。【注重】：不论是portal v1还是portal v2版本这里都需要配置web-auth-server，对于portal v1的版本这里只需要配置一个地址就可以了。 [MA5200F-aaa-domain-default0]web-server 202.11.1.2[MA5200F-aaa-domain-default0]web-server url http://202.11.1.2/portal【说明】：在指定的认证域中配置Portal认证服务器的IP地址，和Portal认证主页的位置。 Step 4. 配置认证和计费方案由于在进行WEB认证的时候需要配置两个域（认证前域和认证域），所以这里需要分别设置这两个域里面的认证和计费策略。但是由于第一个域（认证前域）仅仅是用来使用户能够获取IP地址，所以在这个域里面所指定的认证和计费方法可以尽量的简单，可以采用不认证不计费的方式，仅仅让用户能够正常的上线获取IP地址，然后通过ACL来限制用户的上网权限。用户在获取了IP地址之后就会到相应的WEB服务器上去进行认证，认证的时候用户将会属于另外一个域（认证域）（通过用户名里面所带的域名或者5200上设置的默认域名来确定用户认证的时候属于哪个域），这样在认证域里面可以采用合适的认证方法（本地或者radius）来对用户进行认证。[MA5200F]aaa【说明】：进入AAA视图[MA5200F-aaa]authentication-scheme Auth1【说明】：添加一个新的认证方案Auth1[MA5200F-aaa-authen-auth1]authentication-mode radius【说明】：在远端的radius服务器进行认证这里我们只配置了一个认证方案，这是一个radius的认证方案，为什么不配置一个认证方案给用户在WEB认证之前进行地址获取的时候使用呢？因为在5200F上面两个默认的域default0和default1，这两个域对应的认证和计费策略分别是：不认证、不计费和radius认证、radius计费。因此我们只需要将WEB认证前的用户放到default0这个域里面就能够使得用户不用认证便能获取IP地址，进而进行进一步的WEB认证。 这里我们将Auth1这一个认证方案定义为了radius（远端）认证，也就是说采用这样的一个认证方案的用户帐号是在远端的radius服务器上进行认证的，当然在实际的开局中我们也可以根据实际的情况将认证方案设置为其它的类型，如local，这样的话这个用户的帐号将在5200本地生成并进行认证。 [MA5200F]aaa【说明】：进入AAA视图[MA5200F-aaa]accounting-scheme Acct1【说明】：添加一个新的计费方案Acct1[MA5200F-aaa-accounting-acct1]accounting-mode radius【说明】：在远端的radius服务器进行计费同样，我们这里也是只配置了一个计费方案，而对于WEB认证之前用户获取地址的时候使用的也是default0里面的计费策略——不计费。 这里我们将Acct1这一个计费方案定义为了radius（远端）计费，也就是说采用这样的一个计费方案的用户是在远端计费服务器上进行计费的，当然在实际的开局中我们也可以根据实际的情况将计费方案设置为其它的类型，如local，这样的话这个用户将会在5200本地进行计费。 Step 5. 配置认证前的域这里是给WEB认证前的域（default0）添加地址池。[MA5200F-aaa-domain-default0]ip-pool first Huawei【说明】：配置域里面的地址池，对于该域的认证和计费策略这里不用配置，采用默认的设置（不认证不计费）就可以了。[MA5200F-aaa-domain-default0]ucl-group 1【说明】：配置域下面用户所属的UCL组 Step 6. 配置认证时的域这里配置的是进行WEB认证的时候所使用的域，用户在获取IP地址的时候使用的是default0的默认域。 在5200上面每一个用户都是属于一个指定的（或者是默认的）域的，因此，在进行用户的配置之前我们首先要配置用户所属的域的一些参数。 [MA5200F]aaa【说明】：进入AAA视图[MA5200F-aaa]domain isp 【说明】：新建一个名为isp的域[MA5200F-aaa-domain-isp]authentication-scheme Auth1[MA5200F-aaa-domain-isp]accounting-scheme Acct1【说明】：指定该域的认证方案和计费方案[MA5200F-aaa-domain-isp]radius-server group radius1【说明】：指定该域所使用的raidus服务器这里我们就将先前配置的radius服务器radius1指定为了此isp域所使用的radius服务器。这样属于isp域的用户都将到这样的一个radius服务器上进行认证。进入讨论组讨论。 
图5 Portal服务器信息维护界面注1：“PORTAL主页”和“CAMS用户自助主页”要与主页的实际位置一致，并且无需指定具体的主页名称，只需输入到存放主页的目录名称即可。注2：“服务类型列表”的编辑要参考CAMS的服务以及设备对不同服务的配置。注3：其它选项可以使用缺省值。 Step 2. 配置IP 地址组点击菜单【组件治理】/【PORTAL组件】/【IP地址组】进入“IP地址组治理”页面后，点击“增加”按钮来增加一组IP地址。
图6 增加IP地址组界面【注1】：一个IP地址组只能分配给一个设备，假如实际开局过程中包括多个Portal设备，那么需要为每个设备配置一个IP地址组，不同的IP地址组之间不能有交叉；【注2】：在Portal1.0中，不同端口组配置的IP地址组不能相同；在Portal2.0中，不同端口组配置的IP地址组可以相同。【注3】：假如使用二次地址分配，那么IP地址组应该是二次地址分配前的IP地址。进入讨论组讨论。 
图7 增加设备信息界面 【注1】：“IP地址”是设备与Portal服务器连接端口的IP地址，“密钥”和“二次地址分配”与设备配置的一致，其它可使用缺省值。 Step 4: 配置端口信息治理在“设备信息治理”页面中，选择某一个设备，点击右侧的 “端口信息治理”链接 ，在“设备端口信息治理”页面中，点击“增加”按钮来增加一组端口。
图8 增加设备端口组界面【注1】：选择正确的“IP地址组”，“是否NAT”要根据实际的组网情况，其它一般使用缺省值。【注2】：假如用户自行定制了的Portal认证主页，那么在“认证主页”中输入主页名称即可，不同的端口组（也就是用户）可以使用不同的Portal认证主页。 Step 5. 配置生效假如上述配置没有问题，则点击菜单【组件治理】/【PORTAL组件】/【配置生效】，令当前配置生效。 Step 6. 配置计费策略点击菜单【资费治理】/【计费策略】，进入“计费策略治理”界面，点击“增加”按钮增加一个计费策略。 Step 7. 配置服务点击菜单【服务治理】/【服务配置】，进入“服务配置”界面，点击“增加”按钮增加一个服务，在服务中选择适当的计费策略。【注1】“服务后缀”的配置要与设备一致。 Step 7. 增加用户帐号增加一个帐号用户：点击菜单【用户治理】/【帐号用户】增加一个卡号用户：点击菜单【用户治理】/【卡号用户】选择适当的“服务” 验证用户进行Portal认证：打开IE，输入任意IP地址，进入PORTAL认证界面使用任意一种Portal认证方式，输入正确的用户名和密码，用户认证成功。此时用户PC处于在线状态。进入讨论组讨论。 
portal应用配置案例.pdf 进入讨论组讨论。 新闻热点
疑难解答
