导出PDF什么是认证逃生？
认证逃生是指网络设备探测到无法与认证服务器正常交互时，授予用户特定的网络访问权限，满足用户基本的网络访问需求。
什么是认证逃生
当认证服务器故障或者由于网络原因导致网络设备与认证服务器之间或者iMaster NCE-Campus与外部数据源之间无法正常交互时，会造成用户无法认证，无网络访问权限。认证逃生是指在这种情况下，iMaster NCE-Campus授予用户特定的网络访问权限，满足用户基本的网络访问需求。
- 允许用户接入，不需要认证，使用逃生VLAN。
- 允许已认证用户继续使用网络，不允许新用户接入。
- 允许用户接入，不需要认证，使用自定义逃生策略。使用此方案时需要配置逃生策略模板。
用户对网络安全性要求较高时，可选择“允许已认证用户继续使用网络，不允许新用户接入”；用户对网络安全性要求较低时，可选择“允许用户接入，不需要认证，使用逃生VLAN或者自定义逃生策略”，当iMaster NCE-Campus故障或者由于网络原因导致设备与iMaster NCE-Campus之间无法正常交互时，用户可以直接连接网络访问一些特定资源，无需认证。
为什么需要认证逃生？
在认证服务器发生故障或因网络问题导致设备与认证服务器无法正常通信时，已经过认证的正常用户访问权限将受到影响。认证逃生机制能够确保在认证服务器出现故障时，系统自动启用一定的放通规则，允许用户获得一定的网络访问权限。
认证逃生是如何工作的？
iMaster NCE-Campus提供如下场景认证逃生，详细如下表所示：
- 认证组件逃生：当控制器主备集群都故障的情况下，借用设备主备认证服务器切换的能力，在认证组件提供认证服务。
- 接入控制设备基于VLAN逃生：当认证服务器故障，用户加入逃生VLAN，基于逃生VLAN正常访问网络。
- 外部数据源逃生：对接AD服务器数据源、HTTP服务器数据源等外部数据源异常时，对新上线的历史在线用户授权最近一次授权策略。
认证方式 |
Portal HACA认证 |
Portal 2.0认证 |
|||
|---|---|---|---|---|---|
外部数据源 |
NA |
|
|
|
|
内置认证 |
|
|
|
|
|
中继认证 |
|
|
|
|
NA |
总部认证服务器故障，认证组件作为总部备份认证服务器
终端用户接入网络时，均通过总部控制器进行认证操作。在部署认证组件场景中，将认证组件1和认证组件2分别作为总部的备份认证服务器。其中，认证组件1为园区1的备份认证服务器，认证组件2为园区2和园区3的备份认证服务器，保证认证服务正常进行。
认证组件作为总部备份认证服务器
接入控制设备与认证服务器间通信异常，通过逃生VLAN逃生
终端用户认证失败后，通过逃生VLAN逃生流程
- 用户终端尝试连接到受控网络端口，触发认证流程。
- 接入控制设备向认证服务器发起认证请求，尝试进行认证。
- 如果终端未能通过认证（例如，由于提供的凭据不正确或者身份未被确认），认证服务器将拒绝认证请求。
- 接入控制设备将未通过认证的终端加入特定的逃生VLAN中，该VLAN通常是一个具有有限网络访问权限的虚拟局域网。用户终端被限制在逃生VLAN中，只能与局域网中的其他设备进行极其有限的通信，通常只允许与认证服务器进行通信。
- 未通过认证的终端可以再次尝试进行认证。在此期间，终端可以重新提供凭据，进行身份验证。
- 用户终端尝试连接到受控网络端口，触发认证流程。
- 如果用户终端提供了正确的凭据，认证服务器将通过认证，并且接入控制设备将用户终端重新放置到正常的VLAN中，允许其访问网络。
外部数据源逃生流程
外部数据源对接时可以配置逃生策略：
- 不开启逃生。
- 允许已同步用户逃生。
- 允许全部用户逃生，不校验用户身份。
外部数据源逃生过程
- 用户终端尝试连接到受控网络端口，触发认证流程。
- 接入控制设备向认证服务器发起认证请求，尝试进行认证。
- 认证服务器将用户名、密码发送至外部数据源服务器。
- 用户名、密码校验失败。
- 认证服务器匹配已配置的逃生策略。
- 认证服务器向接入控制设备下发放通授权请求。
- 未通过认证的终端可以再次尝试进行认证。
- 用户终端尝试连接到受控网络端口，触发认证流程。
- 认证服务器将通过认证，允许其访问网络。
接入管理License资源不足无法认证时逃生
用户在License资源不足无法认证时，可以开启“紧急模式开关”紧急逃生，继续使用当前License。
认证逃生的优势
认证逃生机制在认证服务器故障或网络异常时，能够自动触发逃生策略，确保用户仍然能够正常访问网络资源，从而提高网络的可用性和稳定性。
