Portal 认证的底层机制：重定向、地址改写与免鉴权白名单

Portal 认证的故障大多出在三个技术环节上：重定向、地址改行/放行、白名单。把这三件事的机制搞清，排查就不靠猜。

一、重定向：把请求”引”到登录页

终端在未认证状态下发出的 HTTP 请求，设备识别出目标不是放行地址后，返回 302 或内部改写，把请求指向 Portal 服务器的登录页面。关键点有三个：① 请求与响应都要经过设备（或网关）才能被拦；② 登录页与相关静态资源、接口必须在白名单里，否则页面加载不出来，用户看到的是白屏；③ HTTPS 流量无法被透明重定向，设备通常靠 DNS 探测或客户端探测提示来触发一次 HTTP 交互，这是「连上 Wi-Fi 什么都不弹」的常见原因。

二、放行：地址改写与权限下发两条路

一种做法是地址改写：设备把终端发往互联网的包的目标地址改成代理地址，流量经设备转发出去；另一种是权限下发：设备把终端 MAC 标记为已认证，流量按策略直接放行。前者对应用透明性好、便于做免鉴权与统计，后者对终端透明、适合网关型部署。两种都要处理「认证过期或会话失效后如何收回权限」，否则会出现「认证过了就一直能用」的漏洞。

三、白名单：最容易配漏的地方

免鉴权白名单至少要包含：DNS 服务器（否则终端连域名都解析不了，重定向无从触发）、Portal 服务器及其接口域名、计费与消息推送接口、以及后续业务需要的公共域名。白名单里的目标同样会被设备代理或直放，所以别把内网服务地址误加进去。配置完做一次全流程验证：能否弹出登录页、能否完成认证、认证后能否访问外网、认证前能否访问内网（应为否）。

四、排查顺序

固定四步：① 抓包看有没有 302/改写动作（没有则是没拦到）；② 有改写但页面不出（查白名单与 Portal 可达性）；③ 页面出但认证失败（查 AAA 链路、共享密钥、地址池）；④ 认证成功但上不了网（查放行策略、DNS、出口路由与连接数）。按这个顺序走，每步都有明确判据，不会来回试。

三、Portal 机制要点

• 重定向 → 未认证流量 302 到认证页。
• 改写 → 部分方案改写目的 IP 实现拦截。
• 白名单 → 指定域名/IP 免拦截。

理解底层才调得动：白名单本质是”哪些目的不被改写/重定向”。配错一个验证域名，客人就卡在加载页，前台投诉爆棚。