在 NGFW 上做 Portal 认证：实验过程与要点

把下一代防火墙（NGFW）当统一准入网关，让内网终端访问 Internet 前先过 Portal 认证，是中小网络常见的一种落地做法。下面以一个实验拓扑讲清配置思路。

一、实验目标

内网 Client 访问 Telnet Server / Internet 前必须先 Portal 认证，认证通过才放行；防火墙做 SNAT，让 Client 用公网地址段（如 202.1.1.1–202.1.1.5）出网；同时允许 Web 网管主机通过防火墙接口登录管理。

二、基础与防火墙配置

先配接口 IP 并开启网关服务（如 G1/0/0 内网、G1/0/1 外网），把内网口加入 trust 安全域、外网口加入 untrust；配缺省路由指向运营商。管理接口放行 http/https/ping 以便 Web 网管登录。

三、配置 Portal 认证

在防火墙上启用 Portal 认证功能，指定认证页与认证/计费服务器（RADIUS）；将需要强制认证的域内用户流量引到 Portal 流程。未认证时 HTTP 被重定向到认证页，用户输入凭据经防火墙送 RADIUS 校验，通过后才下发放行规则并做 SNAT 出网。

四、要点与排错

常见坑：安全策略没放行 Portal 服务器与 RADIUS 的通行，导致页面打不开或校验失败；SNAT 与认证策略的顺序要让”认证前只通 Portal/RADIUS、认证后才通 Internet”；trust/untrust 域划分错了会要么弹不出页、要么认证后仍是隔离。验证时分两步：先确认能弹出 Portal 页，再确认认证后业务可达。

一、实验环境与目标

典型环境：一台具备 Portal 认证能力的防火墙作为出口直连互联网，终端在认证前只能访问免鉴权地址，认证通过后按策略放行；认证方式可先用本地账号或对接 RADIUS。实验目标不是「能弹出登录页」，而是验证完整链路：触发重定向 → 认证通过 → 策略切换 → 出网正常 → 会话到期收回权限。

二、配置步骤

三、认证前后策略差异

这是整个实验最需要想清楚的一处：未认证终端的流量并非完全禁止，而是被限定在免鉴权地址段内（够它拿到地址、解析域名、访问登录页）；认证通过后，防火墙把该终端从「访客受限组」切到「访客放行组」，放行范围扩大到互联网，同时开始记录流量与时长。两组策略的差异要写得明确，否则出问题时分不清是认证问题还是策略问题。

四、「认证成功仍然上不了网」的三个常见原因

① NAT 源地址转换没做或没覆盖访客地址池，表现为终端有地址但无出网；② 放行策略的下一跳或出接口写错，表现为内网互通正常、出网不通；③ 会话建立后被策略回程匹配拦掉，表现为「网页打得开一半就断」，这多半是回程流量没有放行或状态表没有保持。三个问题都可以用「在认证前/认证后各做一次同源 ping 与 curl 对比」来快速切分。

五、实验该留下什么

配置导出、策略顺序截图、认证前后各一次的对测试结果、异常场景（断认证服务器、地址池耗尽）的表现记录。这些既是验收依据，也是后续扩容或换设备时的对照材料。