Portal 认证常被叫「网页认证」「免驱认证」，本质就一句话：**用浏览器完成准入，不需要在终端装任何软件**。理解它要抓住两个点：谁在拦、谁在判。

什么是 Portal 认证：一次上网到底经历了哪几步
图片素材来自免费商用图库（pixabay，摄影师 blickpixel），非本站项目实拍。

一、两个角色

接入设备（AC/交换机/网关）负责「拦」和「放」：未认证时把终端发出的网页请求重定向到 Portal 页面，认证通过后按策略改写访问权限或直接放行。Portal 服务器负责「呈现与交互」：提供登录页面、接收账号、调用认证接口、返回结果。它俩配合，缺一不可。

二、一次上网的完整过程

步骤 发生什么 关键点
1 关联 终端连上 SSID 拿到地址 地址来自隔离的访客段
2 试探 终端发任意 HTTP 请求 被接入设备捕获
3 重定向 请求被改写到登录页 放行白名单必须先配好
4 交互 用户提交账号或收短信 页面与接口在 Portal 侧
5 校验 接入设备向 AAA 校验 共享密钥与地址池要对
6 放行 下发权限，终端可出网 策略与计费规则在此生效
7 记账 记录上下线与流量 日志与计费的数据源

三、和另外两件事的区别

与「免认证 WiFi」比：免认证只是把门开着，任何人可进、无法追溯、无法限速限时长；Portal 是一次性放行加身份，差别在可运营性。与「802.1X」比：802.1X 是端口级准入，需要终端支持 Supplicant 或证书，对访客不友好；Portal 适合访客，802.1X 适合员工。

四、它的能力边界

Portal 有三个做不到的事：不能阻止未认证终端用非 HTTP 协议发包（所以必须配合 VLAN 隔离与 ACL）、HTTPS 页面无法被直接重定向（需靠 DNS 探测或客户端探测触发）、无法做到按应用精细限速（那是 QoS 的活）。认清边界，方案才不会只写一半。

五、一次上网的时序速查

时刻 终端侧 设备侧 Portal/AAA 侧
关联瞬间 拿到访客地址 标记该 MAC 为未认证 无动作
首次 HTTP 请求 以为在上网 截获并改写到登录页 返回登录页与静态资源
提交凭证 等待跳转 转发认证请求 调 AAA 校验并回执
校验通过 跳回原站点 下发权限/改写地址 记录上下线与流量起点
会话到期 再次被拦 收回权限 按策略续期或转收费

六、选型对照：什么时候用哪一种

诉求 建议 理由
只求「客人能上网」 免认证 + 强隔离 流程最简，风险靠隔离兜住
需要知道谁在用 Portal（短信/微信） 一次交互换身份，代价最低
需要防蹭与审计 802.1X 端口级准入，可控性最强
既要体验又要管控 访客 Portal + 员工 802.1X 按角色分策略，权限清晰

本文整理自公开技术文章，正文未做实质性改写，仅供技术参考。正文主体与原文基本一致，版权归原作者所有；本站仅作技术学习与方案参考，如涉侵权请联系本站删除。