一、要求的定义

1.共有57所中小学获得校园网接入认证，教师上网，学生不准上网

2.有线和无线认证为统一认证，互联网接入控制采用PORTAL认证。

3.每所学校都分别接入互联网，教育局统一控制教师的账号。

4.在后期阶段，可以通过对接管理系统的数据库来执行身份认证。

5.对于相同的账号，允许多个终端同时在线。如果允许上网的人数超过了这个数字，先上网的用户将被踢出这条线。

6.用户只有在访问网络和认证后才能访问学校的内部和外部资源。

二 .方案描述：

1.每个学校使用一个流量控制网关设备接入互联网，互联网线路由学校直接应用到电信公司。

2.流量控制网关连接到主交换机，学校内部网络服务器、无线交流控制器等内部网络资源都通过有线方式连接到主交换机

3.NAC准备控制器连接到主交换机，POE交换机连接到NAC准备设备，无线AP和有线计算机同时连接到交换机，进行混合组网，交换机上不需要划分VLAN

4.门户认证适用于所有访问互联网的用户。同时支持账户密码认证、短信认证、自助注册认证和微信认证。

5.统一认证接入系统，通过网络接入教育局机房，学校的NAC设备与教育局机房统一认证接入系统对接，实现多种认证方式

6.统一认证接入系统与教育局数据库系统接口，通过接口读取认证用户信息，实现用户的统一管理。每次身份验证成功时，用户身份验证数据都会写入统一身份验证访问系统。

7.微信认证可以通过与公共号码对接来实现

四.认证方法和说明

1.帐户密码验证

portal认证需要NAC和统一的认证接入系统来实现认证。过程如下：

用户终端访问网络并自动弹出门户页面

用户需要在页面上输入帐户密码以进行身份验证。

如果认证成功，系统将发布认证参数配置并授权用户的权限配置。

用户正常访问互联网
认证成功后，通过设置媒体访问控制非感知认证模式，使用户终端能够访问认证，无需再次弹出门户页面，实现全自动认证。改善用户的在线体验。
如果用户更换终端设备，PORTAL页面会再次弹出，要求用户输入账户密码进行认证。

2.微信公众号码认证

微信公众号认证需要与微信公众号服务器联动才能实现认证。过程如下：

用户终端访问网络并自动弹出门户页面

用户点击门户页面上的微信wifi按钮，用微信公众号调出微信WIFI页面，点击认证。此时，微信预发布在新南威尔士州实现，需要统一认证平台和新南威尔士州之间的相互访问(预发布时间通常为2分钟)认证成功后，跳转到关注页面，引导用户关注。

用户选择关注公共号码，腾讯会关注信息，通知公共号码服务器，公共号码服务器调用统一认证接入系统界面，进行开户，开户后，用户将被认证并提交到互联网，用户将正常上网。

如果用户选择不关注公共号码，开户和在线认证将不会提交给用户。旅行一段时间后，用户的网络将断开，无法访问互联网，PORAL页面将再次弹出。

关注公共号码且认证成功后，通过设置媒体访问控制无意义认证模式，使用户终端能够访问认证，无需再次弹出门户页面，实现全自动认证。改善用户的在线体验。

如果用户更换终端设备，门户页面会再次弹出，要求用户重新使用微信和WIFI进行认证。

3、三方数据库对接认证

第三方数据库对接身份验证需要统一的身份验证访问系统和第三方链接来实现身份验证。过程如下：

用户终端访问网络并自动弹出门户页面

用户需要在页面上输入帐户密码以进行身份验证。

统一认证访问系统首先查询该帐户是否存在于本地计算机中。如果是这样，认证将基于本地计算机数据库。如果不是，则通过接口查询第三方数据库提供的账户信息，并根据返回的结果决定是否释放或拒绝用户认证结果。第三方数据库提供的界面至少应包括：用户名、密码和状态

如果认证成功，第三方数据库接口返回用户信息，包括用户的手机号码、真实姓名、到期时间等信息；统一认证访问系统将用户信息写入本地数据库以开立账户。下一次身份验证将直接从本地计算机读取。

如果认证成功，系统将发布认证参数配置并授权用户的权限配置。

用户正常访问互联网

认证成功后，通过设置媒体访问控制非感知认证模式，使用户终端能够访问认证，无需再次弹出门户页面，实现全自动认证。改善用户的在线体验。
如果用户更换终端设备，PORTAL页面会再次弹出，要求用户输入账户密码进行认证。

4.媒体访问控制没有感知认证

媒体访问控制没有感知认证，与所有认证方法一起使用。其基本过程如下：

当用户第一次认证时，统一认证准入系统记录用户的媒体访问控制地址

当用户再次连接到网络时，网络接入控制器将接收用户的接入网络请求(网络接入控制器和用户必须在同一第2层网络中)。NAC设备收到请求后，将用户的MAC地址提交给统一认证接纳系统进行认证。统一认证接入系统接收国家认监委的认证请求，判断用户身份为合法正常用户，然后释放用户，使用户

可以正常上网

在整个过程中，从用户连接到网络到身份验证成功大约需要1-2秒。由于所有的认证都是由NAC设备发起和完成的，因此用户的互联网终端不会有任何提示，并且会弹出门户页面，用户在没有认证的情况下就能感觉到正常的互联网接入。然而，在该平台上，可以看到用户已经完成了认证，并且可以看到用户终端的在线状态。

5.媒体接入控制绑定认证

统一认证接入系统支持绑定用户互联网终端的媒体访问控制地址。

用户终端绑定可以在1和99之间自由设置

设置媒体访问控制绑定后，管理员无需手动绑定，用户在第一次身份验证成功后会自动绑定。

绑定的终端数量满后，系统不会自动绑定新的媒体访问控制地址。如果用户更换互联网终端，管理员需要手动清除用户的MAC地址，或者用户需要通过自助系统清除绑定的MAC，实现新终端的MAC绑定

6.编辑和修改门户认证页面

统一认证访问系统的门户模板页面支持多种编辑和修改方式，包括：

网页管理页面，编辑图片和文本，链接

自定义模板上传

下载后修改和编辑现有模板

网站管理页面编辑模板的源代码。

支持个人电脑模板和手机模板的单独编辑，并在手机和个人电脑上显示不同的内容