本文导读

展开导读

文档首页/ 华为乾坤/ 云管理网络/ API参考/ 云平台中继认证/ 云平台中继认证（API方式）/ 配置云平台中继认证（云AP，第三方Portal服务器对接，API）

配置云平台中继认证（云AP，第三方Portal服务器对接，API）

更新时间：2025-02-17 GMT+08:00

组网场景

某企业组网拓扑如图所示，企业使用第三方Portal服务器进行页面推送和认证，企业开发者自行搭建第三方Portal服务器，通过调用控制器的北向API进行终端认证授权、授权结果查询、强制用户下线等操作。

认证流程

终端用户在访问互联网时，连接Wi-Fi的SSID，登录由第三方Portal服务器推送的Portal页面进行认证。第三方服务器调用iMaster NCE-Campus认证授权API，给AP设备授权终端Wi-Fi接入权限，从而使终端用户访问互联网。

图1 API方式认证流程
点击放大

数据规划

表1 用户接入数据规划
数据类型	取值	说明
SSID	wlan-guest	-
WLAN安全策略	开放网络Open+Portal认证	-
对接方式	API	-
推送协议	HTTP	-
Portal免认证	ON	-
Portal免认证有效期	2小时	-
默认放行规则	名称：ACL ACL编号：6000 规则列表：域名*.third_portal.com IP 10.10.10.1/32	放通DNS服务器IP地址和第三方Portal服务器域名。

表2 Portal页面推送策略规划
数据类型	取值	说明
名称	DemoPush	-
接入方式	无线	-
SSID匹配	ON	匹配SSID进行推送策略
SSID	wlan-guest	匹配SSID进行推送策略
认证方式	云平台中继认证	-
对接方式	API	-
第三方认证URL	http://third_portal.com	填写第三方Portal服务器的认证URL。

表3 认证授权规划表
配置项		数据
认证规则	名称	DemoAuthRule
	认证方式	用户接入认证
	启用Portal-HACA协议	ON
	接入方式	WIFI
授权结果		默认
授权规则	名称	DemoAuthorRule
	认证方式	用户接入认证
	启用Portal-HACA协议	ON
	接入方式	WIFI
	授权结果	允许接入

表4 第三方北向API账户
数据类型	取值
用户类型	三方系统接入用户
用户名	demo@test.com
密码	Example@123
角色	Open Api Operator

前置条件

云AP已在iMaster NCE-Campus上线。

配置思路

在控制器管理面，开启中继协议端口和HTTP协议端口。
在控制器租户业务面，配置云平台中继认证，Portal推送策略和认证授权。
在控制器租户业务面，创建北向API账号。
在第三方Portal服务器开发应用，调用控制器北向API进行终端认证授权、授权结果查询、强制用户下线等操作。

配置步骤

开启中继协议端口和HTTP协议端口。
1. 使用系统管理员账号登录iMaster NCE-Campus管理面。
2. 在主菜单中选择“产品 > 软件管理 > 部署产品软件”，单击“更多 > 修改配置参数”，将“ENABLE_RADIUS_PORT”和“ENABLE_8445”设置为“true”，单击“确定”。
3. （可选）对于四平面安装场景，内部通信平面、北向平面、南向平面和业务平面相互隔离，RADIUS服务器仅通过北向平面可达，此时需要“开启ENABLE_RADIUS _PORT(是否启用radius中继相关端口)”设置为“true”，单击“确定”。配置完成后，在“网络配置 > 全局设置 > 模板管理”创建“RADIUS中继服务器”模板的时候，“源平面”选择“北向面”。
  说明：
  
  如果是容灾部署场景，需要在主备集群下，将ENABLE_RADIUS_PORT、ENABLE_RADIUS_NORTH参数配置为相同数值。
4. 单击右上角图标，查看是否配置成功。
5. 等待大约10分钟之后，在主菜单中选择“维护 > 运维管理 > 全景监控”，左侧选择“服务监控”，单击“服务”页签，搜索“CampusAccesscfgService”和“PortalServerService”，检查“CampusAccesscfgService”和“PortalServerService”服务是否重启成功，确认状态正常后再配置中继认证其他配置。
在云AP上配置Portal认证的SSID。
1. 使用租户管理员账号登录iMaster NCE-Campus业务面。
2. 在主菜单中选择“网络配置 > 站点配置 > 站点配置”。选择需要配置的站点，单击“传统视图”页签。在页面左侧导航栏中选择“AP > Wi-Fi”，单击“SSID”页签，单击“创建”，配置SSID。配置完成后，单击“下一步”。
3. 配置“WLAN安全策略”为“开放网络Open+Portal认证”，“页面推送方式”选择“云平台中继认证”，“对接方式”选择“API”，“推送协议”选择“HTTP”。
4. 开启Portal免认证，免认证有效期默认2小时。
5. 配置默认放行规则。单击“默认放行规则”右侧的“...”，在弹出的”选择模板”对话框中单击”创建”，设置ACL模板规则，放通DNS服务器的地址和第三方Portal服务器的域名。
  
  说明：
  
  配置默认放行规则，添加默认放行的地址或域名后，用户在认证前可访问该地址或域名。
6. 勾选逃生策略，单击“下一步”。
7. 策略控制使用默认的配置，单击“确定”。
配置Portal页面推送策略。云平台中继API认证模式下，用户需配置Portal 推送策略，终端关联WI-FI后，根据Portal推送策略给终端用户推送指定的Portal页面。
1. 在主菜单中选择“准入管理 > 准入策略 > 页面管理”，单击“Portal页面推送策略”页签。
2. 单击”创建”，配置Portal页面推送策略，设置Portal页面推送名称和关联的SSID，并选择接入方式为“无线”，“认证方式”选择“云平台中继认证”，“对接方式”选择“API”，填写“第三方认证URL”，配置完成后，单击“确认”。
配置授权结果和授权规则。
1. 配置授权结果。本案例使用默认的授权结果。
2. 配置授权规则。在主菜单中选择“准入管理 > 准入策略 > 认证授权”，单击“授权规则”页签。单击“创建”，“认证方式”选择“用户接入认证”，开启“启用Portal-HACA协议”。“接入方式”选择“WIFI”。根据需求配置匹配条件。“授权结果”选择“允许接入”。单击“确定”。
创建北向API账号。
1. 使用租户管理员账号登录iMaster NCE-Campus控制器，在主菜单中选择“系统 > 用户管理 > 用户管理”。
2. 选择“用户”页签，单击“创建”，选择“三方系统接入”，填写用户名和密码，单击“下一步”。
3. 进入“所属用户组”页面后，单击“下一步”。
4. 进入“选择角色”页面后，对该账号进行角色授权，选择角色“Open API Operator”，单击“下一步”。
5. 进入“选择管理对象”业务后，开启“选择所有资源”开关。
6. 继续直至完成账号创建。

第三方Portal服务器开发指导。

获取用户Token，第三方Portal服务使用北向API账号的用户名和密码获取用户token，用于后续调用，若token过期，则需要重新获取。具体请参考iMaster NCE-Campus {version} RESTful API开发指南的“获取token”章节。以下截图以Insomnia调用截图为例。

用户上线流程开发指导。

开发者搭建第三方Portal服务器，用于Portal页面推送和用户登录等功能。以下截图为示例，开发者可自行设计Portal认证页面。

用户接入SSID为“wlan-guest”的WLAN网络后，会自动访问第三方Portal的URL地址，本案例为“http://third_portal.com”，并固定携带如下参数：apmac，uaddress，umac，ssid(base64加密后)，nodeIp，siteId，则访问第三方Portal服务器的URL为“http://third_portal.com/?apmac=xxxxxxxxxx01&uaddress=10.1.1.76&umac=xxxxxxxxxx02&authType=10&lang=zh_CN&vendor=huawei&ssid=d2xhbi1ndWVzdA==&pushPageId=xxxxxxxx&nodeIp=x.x.x.x&siteId=xxxxxxxx”，第三方Portal服务器的应用需要对这些参数做记录，后续调用授权终端用户API和强制用户下线API时会用到。

其中部分参数解释见下表：

参数	说明
apmac	认证终端接入的设备的MAC地址(用于大致的定位)。
uaddress	认证终端的IP地址。
umac	认证终端的MAC地址。
ssid	认证终端接入的SSID(用于多个SSID时区分)
nodeIp	控制器的南向IP地址(用于对接多个控制器时区分)

用户输入用户信息，上传至Portal服务器的逻辑由第三方Portal服务器实现。
第三方Portal服务器收到用户信息后，对其进行校验，若验证通过则执行以下步骤；若验证不通过，则返回认证失败的页面，让用户重新输入用户信息。
1. 调用授权终端用户API，控制器放通用户上网的权限。具体请参考iMaster NCE-Campus {version} RESTful API开发指南的“授权终端用户”章节，以下截图以Insomnia调用截图为例。
2. 调用查询授权结果API，确认授权是否成功。若授权成功，则进行下一步，返回登录成功的页面；若授权不成功，则返回错误界面，让用户重试或尝试联系管理员。具体请参考iMaster NCE-Campus {version} RESTful API开发指南的“查询授权结果”章节。
第三方Portal服务器返回用户登录成功界面，上线流程结束。以下截图为示例，开发者可以自行设计登录成功页面。

用户下线流程开发指导。
用户下线有两种方式：方式一：用户断开Wi-Fi链接，控制器会结束此次授权；方式二：管理员希望注销某用户时或用户主动下线时，通过以下流程调用API强制下线。
1. 用户单击登录成功界面的“注销”按钮，或管理员注销某用户。
2. 第三方Portal服务器收到注销请求，调用查询授权结果API，查询用户在线状态，具体请参考iMaster NCE-Campus {version} RESTful API开发指南的“查询授权结果”章节。
3. 调用强制用户下线API，注销此用户，具体请参考iMaster NCE-Campus {version} RESTful API开发指南的“强制用户下线”章节，以下截图以Insomnia调用截图为例。
4. 再次调用查询授权结果API，确认注销结果。如果注销成功，则用户界面重定向至登录界面(管理员注销场景不重定向)。

验证配置结果

用户终端接入SSID为“wlan-guest”的WLAN网络，在浏览器输入网络地址（认证通过后可以访问到的地址），查看页面可以成功跳转到第三方Portal认证页面，输入用户名、密码进行登录，登录成功后即可访问网络。
查看认证规则配置信息。
在主菜单中选择“准入管理 > 准入策略 > 认证授权”，单击“认证规则”页签，可以分别查看配置的认证规则和授权规则信息。
查看用户接入认证信息。
用户认证通过后，在主菜单中选择“准入管理 > 准入运维 > 在线用户控制”，单击“在线用户”页签。可以查看用户接入信息。

父主题： 云平台中继认证（API方式）

上一篇：用户认证示例

下一篇：云平台中继认证（RADIUS方式）

意见反馈

文档内容是否对您有帮助？

有帮助没帮助

提供反馈

提交成功！非常感谢您的反馈，我们会继续努力做到更好！您可在我的云声建议查看反馈及问题处理状态。

系统繁忙，请稍后重试

在使用文档中是否遇到以下问题

内容与产品页面不一致

内容不易理解

缺失示例代码

步骤不可操作

搜不到想要的内容

缺少最佳实践

意见反馈（选填）

0/500

请至少选择一项反馈信息并填写问题反馈

字符长度不能超过500

直接提交取消

如您有其它疑问，您也可以通过华为云社区问答频道来与我们联系探讨

智能客服提问云社区提问

配置云平台中继认证（云AP，第三方Portal服务器对接，API）

组网场景

认证流程

数据规划

前置条件

配置思路

配置步骤

验证配置结果

相关文档

意见反馈

文档内容是否对您有帮助？

7*24

备案

专业服务

退订

建议反馈

售前咨询热线

文档反馈