WLAN 接入认证全景：Portal、802.1X、无感与免认证怎么配

机场连 Wi-Fi 弹登录页输手机号、餐馆扫码即上、酒店用房号+随机密码连网——背后都是 Portal 认证。按国家规定，接入互联网前必须通过身份认证；考虑到移动终端装客户端不现实、但几乎都带浏览器，Web 认证就成了最自然的选择。

一、WLAN 场景的四要素

客户端是带浏览器的终端；接入设备在 WLAN 里通常是 AC（Access Controller）或胖 AP；Portal 服务器提供认证页；AAA 服务器做认证、授权、计费。接入设备像”门卫”：认证前把 HTTP 请求重定向到 Portal，认证中与 AAA 交互，通过后放行。

二、内置 vs 外置 Portal 服务器

交换机/AC 多内置 Portal 服务器，账号密码存在设备本地，受存储与性能限制，只适合功能简单、人数少的场景（如小餐馆）。要微信接入、短信接入等复杂功能，或体育馆、机场、大型商场等高密度场所，必须用独立硬件承载的外置 Portal（如华为 Agile Controller），以获得充足性能与功能扩展。

三、AAA 决定权限大小

不同用户权限不一样：访客认证后通常只允许上 Internet，员工认证后可进内部业务系统。终端认证后能访问什么，由 AAA 服务器说了算——这正是用同一套 Portal 区分”访客网”与”员工网”的依据。

四、有线无线一体化

Portal 不只用于无线：有线终端可由交换机做 Web 准入，无线终端由 AC 做 Portal，二者可纳入同一套接入方案，打造有线无线一体认证。酒店做客房 Wi-Fi 时，也可把前台有线办公与客房无线访客用同一 AAA 体系分级管理。

一、四种形态的差异

二、体验与安全的取舍

认证强度与体验是一对权衡：强度越高，交互越重。酒店访客的最优解往往是「Portal 首次 + 终端识别无感」——第一次用短信/微信完成身份，之后同终端自动放行，既不反复打扰，又保留可追溯性。员工侧坚持 802.1X，因为可审计与可收敛的价值远大于一次输入的成本。

三、配置模板（可直接套用）

配套三件事：每个角色一个地址段、每个角色一套认证方式、每个角色一份访问控制清单；再把所有角色的日志汇到一处，出了问题能按角色回溯。