什么是Portal认证？

iMaster NCE-Campus为RADIUS服务器

• 上线流程（Portal2.0）
  
  Portal认证上线流程（Portal2.0）
  1. 用户在Portal认证页面输入用户名和密码后，客户端向Portal服务器发起Portal认证请求。
  2. Portal服务器将用户输入的用户名和密码封装在Portal 2.0协议认证请求报文（REQ_AUTH）中，并发送给接入设备。(该步骤不支持穿越NAT)。
  3. 接入设备根据获取到的用户名和密码，向RADIUS服务器发送RADIUS认证请求（ACCESS-REQUEST）。
  4. RADIUS服务器对用户名和密码进行认证。如果认证成功，则RADIUS服务器向接入设备发送认证接受报文（ACCESS-ACCEPT）；如果认证失败，则RADIUS服务器返回认证拒绝报文（ACCESS-REJECT）。
• 下线流程（Portal2.0，用户主动注销）
  
  Portal认证下线流程（Portal2.0，用户主动注销）
  1. 客户端发起注销认证请求。
  2. Portal服务器向接入设备发送下线通知报文（REQ_LOGOUT）。
  3. 接入设备向RADIUS服务器发送计费停止报文（ACCOUNTING-REQUEST），并将用户从在线列表中删除。并向Portal服务器发送用户下线响应报文（ACK_LOGOUT）。
  4. RADIUS服务器返回计费结束响应报文（ACCOUNTING-RESPONSE），并将用户从在线列表中删除。
  5. Portal服务器将用户从在线列表删除，用户下线。
• 下线流程（Portal2.0，管理员强制下线）

  当iMaster NCE-Campus作为RADIUS服务器和Portal服务器时，管理员在iMaster NCE-Campus界面强制用户下线时，iMaster NCE-Campus会同时发下线通知给RADIUS服务器和Portal服务器，然后RADIUS服务器和Portal服务器分别给接入设备发送下线通知。根据设备接收到下线报文的先后不同，处理流程不同：

  情况1：设备先收到RADIUS服务器发来的下线通知

  
  Portal认证下线流程（Portal2.0，设备先收到RADIUS服务器发来的下线通知）
  情况2：设备先收到Portal服务器发来的下线通知

  
  Portal认证下线流程（Portal2.0，设备先收到Portal服务器发来的下线通知）
  1. 管理员在iMaster NCE-Campus界面强制终端用户下线。
  2. NCE同时通知RADIUS服务器和Portal服务器用户下线。
  3. RADIUS服务器和Portal服务器同时向接入设备发送下线通知报文，RADIUS服务器发送（DM Request），Portal服务器发送（REQ_LOGOUT）。
  4. 接入设备根据接收到报文的先后进行处理。
     • 如果先接收到RADIUS服务器的下线报文，接入设备向RADIUS服务器发送下线响应报文（DM ACK/NAK）和停止计费请求报文（ACCOUNTING-REQUEST），同时向Portal服务器发送用户在设备上主动下线通知报文（NTF_LOGOUT），并将用户从在线列表中删除。
     • 如果先接收到Portal服务器的下线报文，接入设备向Portal服务器发送下线响应报文（ACK_LOGOUT），同时向RADIUS服务器发送停止计费请求报文（ACCOUNTING-REQUEST），并将用户从在线列表中删除。
  5. RADIUS服务器向接入设备发送停止计费响应报文（ACCOUNTING-RESPONSE），同时将用户从在线列表中删除。如果是情况1，Portal服务器会向接入设备发送下线响应报文（ACK_NTF_LOGOUT）；如果是情况2，Portal服务器会向接入设备下发响应确认报文（AFF_ACK_LOGOUT），同时将用户从在线列表中删除。
• 上线流程（HACA）
  
  Portal认证上线流程（HACA）
  1. 客户端访问网络发起HTTPS请求。
  2. HTTPS报文经过接入设备时，对于访问Portal服务器或设定的免认证网络资源的HTTPS报文，接入设备允许其通过；对于访问其它地址的HTTPS报文，接入设备将其URL地址重定向到Portal认证页面。
  3. 用户在Portal认证页面输入用户名和密码，向HACA服务器发起认证请求。
  4. HACA服务器校验用户名密码，校验通过后，通过HTTPS/2 通道给设备下发终端用户的授权。
  5. 接入设备接收到授权请求后，对接入终端进行授权并通过HTTPS/2通道将授权结果给HACA服务器，HACA服务器根据设备返回的授权结果，返回给客户端。
  6. HACA服务器向客户端发送认证结果报文，通知客户端认证成功，并将用户加入自身在线用户列表。
• 下线流程（HACA，用户主动注销）
  
  Portal认证下线流程（HACA，用户主动注销）
  1. 客户端发起注销认证请求。
  2. Portal服务器向接入设备发送下线通知报文（REQ_LOGOUT）。
  3. 接入设备将用户从在线列表中删除，并向Portal服务器发送用户下线响应报文（ACK_LOGOUT）。
  4. Portal服务器将用户从在线列表删除，用户下线。
• 下线流程（HACA，管理员强制注销）

  当iMaster NCE-Campus作为HACA服务器时，管理员在iMaster NCE-Campus界面强制用户下线时，iMaster NCE-Campus会同时发下线通知给HACA服务器。

  
  Portal认证下线流程（HACA，管理员强制注销）
  1. 管理员在iMaster NCE-Campus强制终端用户下线。
  2. iMaster NCE-Campus同时通知HACA服务器用户下线。
  3. HACA服务器向接入设备发送下线通知报文（REQ_LOGOUT）。
  4. 接入设备接收到HACA服务器的下线报文，接入设备向HACA服务器发送下线响应报文（ACK_LOGOUT）并将用户从在线列表中删除。
• 上线流程（HTTP/HTTPS协议）
  
  Portal认证上线流程（HTTP/HTTPS协议）
  1. 用户在Portal认证页面输入用户名和密码后，客户端向Portal服务器发起Portal认证请求。
  2. Portal服务器通知客户端向接入设备发起Portal认证请求。
  3. 客户端向接入设备发起Portal认证请求（HTTP POST/GET）。
  4. 接入设备根据获取到的用户名和密码，向RADIUS服务器发送RADIUS认证请求（ACCESS-REQUEST）。
  5. RADIUS服务器对用户名和密码进行认证。如果认证成功，则RADIUS服务器向接入设备发送认证接受报文（ACCESS-ACCEPT）；如果认证失败，则RADIUS服务器返回认证拒绝报文（ACCESS-REJECT）。
• 下线流程（HTTP/HTTPS协议，用户主动注销）
  
  Portal认证下线流程（HTTP/HTTPS协议）
  1. 用户单击注销，客户端向Portal服务器发起注销请求。
  2. Portal服务器通知客户端向接入设备发起注销请求。
  3. 客户端向接入设备发起用户注销请求。
  4. 接入设备根据用户注销请求信息向Radius服务器发起停止计费请求，同时向客户端反馈注销响应。
  5. RADIUS服务器返回计费停止响应，并停止计费。

iMaster NCE-CampusRADIUS中继服务器

用户使用第三方RADIUS服务器，iMaster NCE-Campus将用户的RADIUS报文中继到第三方的RADIUS服务器进行认证授权和计费处理。

iMaster NCE-Campus作为Portal服务器和RADIUS中继服务器的Portal认证流程

1. 客户端通过HTTPS协议发起连接请求。
2. HTTPS报文经过接入设备时，对于访问Portal服务器或设定的免认证网络资源的HTTPS报文，接入设备允许其通过；对于访问其它地址的HTTPS报文，接入设备将其URL地址重定向到Portal认证页面。
3. 用户在Portal认证页面输入用户名和密码，向Portal服务器发起认证请求。
4. Portal服务器与接入设备之间进行CHAP（Challenge Handshake Authentication Protocol，质询握手验证协议）认证交互，Portal服务器发起Portal挑战字请求报文（REQ_CHALLENGE）。若采用PAP（Password Authentication Protocol，密码验证协议）认证则Portal服务器无需与接入设备进行PAP认证交互，而直接进行第6步。
5. 接入设备向Portal服务器回应Portal挑战字应答报文（ACK_CHALLENGE）。
6. Portal服务器将用户输入的用户名和密码封装成认证请求报文（REQ_AUTH）发往接入设备。
7. 接入设备根据获取到的账号和密码，向RADIUS服务器发送认证请求（ACCESS-REQUEST），其中密码在共享密钥的参与下进行加密处理。RADIUS中继转发认证请求报文。
8. RADIUS服务器对账号和密码进行认证。如果认证成功，RADIUS服务器向RADIUS客户端发送认证接受报文（ACCESS-ACCEPT）；如果认证失败，则返回认证拒绝报文（ACCESS-REJECT）。由于RADIUS协议合并了认证和授权的过程，因此认证接受报文中也包含了用户的授权信息。RADIUS中继转发认证结果报文。
9. 接入设备根据接收到的认证结果接入/拒绝用户。如果允许用户接入，则接入设备向RADIUS服务器发送计费开始请求报文（ACCOUNTING-REQUEST）。RADIUS中继转发计费请求报文。
10. RADIUS服务器返回计费开始响应报文（ACCOUNTING-RESPONSE），并开始计费，将用户加入自身在线用户列表。如果开启了MAC优先的Portal认证，RADIUS服务器同时将终端的MAC地址和Portal认证连接的SSID加入服务器缓存和数据库中（只有二层认证方式支持MAC优先的Portal认证）。RADIUS中继转发计费响应报文。
11. 接入设备向Portal服务器返回Portal认证结果（ACK_AUTH），并将用户加入自身在线用户列表。
12. Portal服务器向客户端发送认证结果报文，通知客户端认证成功，并将用户加入自身在线用户列表。
13. Portal服务器向接入设备发送认证应答确认（AFF_ACK_AUTH）。

云平台中继认证（API方式）

用户自行搭建第三方Portal服务器，iMaster NCE-Campus将用户重定向到第三方的Portal服务器，第三方Portal服务器完成用户身份校验之后，调用iMaster NCE-Campus的认证授权API，通过HACA协议对用户进行授权。

API方式认证流程

1. 客户端发起认证请求后，接入设备将其访问的URL地址重定向到iMaster NCE-Campus。
2. iMaster NCE-Campus将URL地址重定向到第三方Portal服务器。
3. 第三方Portal服务器推送Portal认证页面。
4. 用户输入用户名和密码登录。
5. 第三方Portal服务器校验用户名和密码后，调用iMaster NCE-Campus的授权API给用户授权。
6. iMaster NCE-Campus记录和保存用户名，MAC地址和IP地址信息，通过HACA通道给接入设备下发授权。
7. 接入设备向iMaster NCE-Campus返回授权结果。
8. 第三方Portal服务器调用iMaster NCE-Campus的查询API查询授权结果。
9. 第三方Portal服务器通过Portal认证界面将认证结果通知给用户。
10. 用户认证成功并进行网络资源访问。

云平台中继认证（RADIUS中继方式）

用户使用三方Portal服务器和三方RADIUS服务器，iMaster NCE-Campus将用户重定向到第三方的Portal服务器进行Portal认证，第三方Portal服务器再将用户的认证信息提交到iMaster NCE-Campus，然后iMaster NCE-Campus作为RADIUS中继将认证信息发送给第三方的RADIUS服务器进行身份校验和授权。

1. 客户端发起认证请求后，接入设备将其访问的URL地址重定向到iMaster NCE-Campus。
2. iMaster NCE-Campus将URL地址重定向到第三方Portal服务器。
3. 第三方Portal服务器推送Portal认证页面。
4. 用户输入用户名和密码登录。
5. 第三方Portal服务器将用户认证信息发送给iMaster NCE-Campus，iMaster NCE-Campus作为RADIUS中继将认证信息发送给第三方的RADIUS服务器进行身份校验和授权。
6. 认证授权通过后，iMaster NCE-Campus给接入设备下发授权参数。
7. iMaster NCE-Campus将Portal认证页面重定向到认证成功页面。
8. 用户认证成功并进行网络资源访问。

iMaster NCE-Campus作RADIUS服务器

设备对接第三方Portal服务器，iMaster NCE-Campus作RADIUS服务器

iMaster NCE-Campus作为RADIUS中继服务器

设备对接第三方Portal服务器，iMaster NCE-Campus作RADIUS中继服务器