企业WiFi认证系统能不能和现有AC配合好，不在认证系统本身，在AC有没有External Portal能力。很多项目售前阶段说"支持Radius就可以对接"，实施时才发现AC只有内置Portal，不支持跳转到外部认证页面，整个认证方案要推倒重来。AC对接是企业WiFi认证上线前必须验的硬门槛，不能靠品牌名气猜。
Radius不等于External Portal
这是最常见的误解。AC支持Radius只说明它能把认证请求转发给Radius服务器，不代表它能把用户浏览器重定向到外部Portal页面。External Portal是AC上的独立能力，需要AC支持中国移动Portal协议1.0或2.0，或者支持自定义Portal URL跳转。有些AC的Radius只用于802.1X认证，Portal认证只能用AC自带的页面，这种情况下外部认证系统只能做Radius后端，做不了自定义认证页面和多因素认证。
必须确认的六项信息
第一项是AC品牌和型号，不同品牌的External Portal实现差异很大。华为、H3C、锐捷的企业级AC基本都支持，但具体型号要查固件版本。第二项是固件版本，同一型号不同固件版本的Portal能力可能不一样，有些老固件只支持内置Portal。第三项是是否支持External Portal或第三方Portal跳转，这是核心问题，答案必须是"支持"而不是"应该可以"。第四项是AC是否已有内置Portal在运行，如果有，切换到外部Portal要不要清空配置。第五项是需要对接哪些认证方式，短信、微信、LDAP、双因子每种对AC的要求不同。第六项是现网控制点在哪里，AC是在核心层还是汇聚层，决定了Portal重定向的流量路径。
主流厂商AC的对接要点
蓝海卓越V7系统能对接华为、中兴、H3C、锐捷、RUCKUS、ARUBA、思科等主流厂商的AC和BRAS设备。华为AC的External Portal配置在认证模板里，需要指定Portal服务器IP和端口，配合Radius模板使用。H3C的Portal配置在ISP域下，需要注意Portal版本号和V7侧一致。锐捷AC的Portal支持WEB认证和PPPoE认证两种模式，企业WiFi一般用WEB认证。RUCKUS和ARUBA的AC在External Portal配置上更灵活，但中文文档少，配置时要注意RADIUS共享密钥和NAS-ID的对应关系。
Portal协议版本要对齐
中国移动Portal协议有1.0和2.0两个版本，AC和认证系统必须用同一个版本。版本不对最典型的现象是认证页面能弹出来，但输入账号密码后没反应，或者认证成功了但AC没放行。排查时先在AC上看Portal协议版本，再到V7后台看Portal服务配置，两边一致才能继续。有些AC同时支持两个版本，配置时不要选错。
AC不支持External Portal怎么办
三种处理方式，按改造成本从低到高排。第一种是加认证网关串接在AC上层，由网关做Portal重定向和准入控制，AC只做无线转发，这种方式不换AC但要改网络拓扑。第二种是把AC的内置Portal和V7的Radius后端配合，认证页面用AC自带的，账号认证走V7的Radius，缺点是认证页面不能自定义、多因素认证做不了。第三种是更换支持External Portal的AC，成本最高但架构最干净。项目前期发现AC不支持，比上线后才发现要好得多。
联调时最容易卡的三个点
第一个是AC到Portal服务器的路由不通，Portal页面弹不出来。要在AC上ping Portal服务器IP，还要确认AC到Portal服务器的端口没有被防火墙拦截。第二个是Radius共享密钥不一致，AC侧和V7侧的密钥必须完全一致，多一个空格都不行。第三个是NAS-ID或AC IP配置错误，V7通过NAS-ID识别是哪台AC发来的认证请求，配错了认证请求会被拒绝或匹配到错误的策略。
多AC场景的注意事项
企业有多个楼层或多个建筑用不同AC时，每个AC都要独立配置External Portal和Radius。V7侧可以按AC NAME、SSID、AC IP等参数组合推送不同的Portal页面，员工SSID推LDAP认证页、访客SSID推短信认证页，这个4W+B推送策略在多AC场景下尤其有用。但要注意每个AC的NAS-ID必须唯一，否则日志和计费会混在一起分不清是哪个区域的用户。
验收时必须测的场景
AC对接不能只测"能认证成功"，要测完整生命周期：未认证用户连接WiFi是否自动弹出认证页、认证成功后是否正常放行、断开重连是否触发重新认证或走无感知、账号过期是否被拒绝、不同SSID是否推送不同页面、AC重启后配置是否保留。六个场景全过才算对接完成，只测一个认证成功就签字，上线后一定出问题。
企业WiFi认证系统和AC对接的核心原则是：先验能力再谈方案，External Portal是硬门槛不是可选项。售前阶段把AC品牌型号、固件版本、Portal协议版本、Radius配置四项确认清楚，实施阶段按联调清单逐项过，验收阶段测完整生命周期。做到这三步，AC对接不会成为项目延期的理由。