指的是fw或者第三方服务器提供认证页面对用户进行认证。

Portal，入口。Portal认证通常也称为Web认证，一般将Portal认证网站称为门户网站。它提供了一种较为简单的用户认证方法，对用户而言，相对其它认证方式更易于使用。它有两大特色：

• 免客户端

只需要网页浏览器（如IE）支持，即可为用户提供认证服务，不需要安装专门的客户端或者拨号程序。免客户端软件对于像宾馆、酒店等公共网络节点，免客户端软件是一个基本要求。

• 新业务载体

利用Portal认证的门户功能，运营商可以将小区广播、广告、信息查询、网上购物等业务放到Portal上。用户上网时会强制地看到上述信息。

Portal认证的基本方式是通过在Portal页面的显著位置设置认证窗口，用户开机获取IP地址后，通过登录Portal认证页面进行认证，认证通过后即可访问Internet。

关于portal认证的更多理解，可以移步什么是portal 认证 （转） - 简书 (jianshu.com)https://www.jianshu.com/p/398d5701639e

写的比较详细。

fw内置portal认证

根据触发方式的不同，分为事前认证和会话认证。

•事前认证，也即主动Portal：用户必须知道PORTAL服务器的IP地址，主动登陆PORTAL服务器进行认证，之后才能访问网络。如果用户需要通过多种业务形式访问网络资源，建议使用事前认证。

•会话认证，也即强制Portal：未认证用户访问网址，都会先强制重定向到PORTAL服务器进行认证，用户不需要记忆Portal服务器的IP地址。如果用户只使用单一的http业务（80端口）访问网络资源，建议适用会话认证，非http业务报文会被fw丢弃。

自定义portal认证

单独部署外部portal服务器，比如华为agile controller（指安装了agile controller的服务器）。fw收到访问者的http业务时，将http请求重定向到agile controller的portal认证页面，由agile controller处理认证请求。根据fw是否参与用户认证，分为两种。

方式一：fw不参与用户认证

由portal服务器独立完成用户认证。

方式二：fw参与用户认证

用户在fw中首次上线后，如果用户终端的ip地址频繁变更，当fw收到访问者的请求时仍可能提示用户再次认证，此时可以采用方式二。

如果用户终端的ip地址发生变更，fw将在一段时间内（ac配置的mac地址有效时间内）向ac发起用户mac认证，在mac认证过程中无需用户输入认证信息（用户无感知），方便用户访问业务。 如果ac无响应或者mac认证失败，fw将向用户推送portal认证页面。用户重新进行认证。

免认证

用户不输入用户名和密码就可以完成认证并访问网络资源。注意免认证不是不认证。免认证虽然用户不需要输入用户名和密码，但是fw可以获取到用户和ip地址的对应关系，从而基于用户进行策略管理。

适用场景

免手工输入

安全要求严格

实现思路

将本地用户名和ip、mac或者ip-mac双向绑定，fw通过识别ip/mac和用户的双向绑定关系，确定访问者的身份，进行免认证的访问者只能适用特定的ip/mac地址来访问网络资源。

上网用户单点登录

fw不是认证点，通过获取其他认证系统的用户登录消息，使用户在fw上线。

ad单点登录

经过ad服务器认证后，自动通过fw认证，由此访问响应网络资源。

实现方式

安装单点登录服务程序接收pc消息

管理员在ad监控器上部署ad单点登录服务，在ad服务器上设置登录脚本和注销脚本，同时在fw上配置ad单点登录参数，接收ad单点登录服务发送的用户登录/注销消息。

登录过程

1、访问者登录ad域，ad server 向用户返回登录成功消息并下发登录脚本

2、访问者pc执行登录脚本，将用户登录信息发送给ad监控器

3、ad监控器连接到ad服务器查询登录用户信息，如果能查询到该用户的信息则转发用户登录信息到fw

4、fw从登录信息中提取用户和ip的对应关系添加到在线用户表。

安装单点登录服务程序查询ad服务器安全日志

管理员需要在ad监控器上部署ad单点登录服务，同时在fw上配置ad单点登录参数，接收ad单点登录服务发送的用户登录消息。

用户上线过程

1、访问者登录ad域，ad server记录用户上线信息到安全日志中

2、ad监控器通过ad服务器提供的wmi接口，连接到ad服务器查询安全日志，获取用户登录消息

3、ad监控器转发用户登录消息到fw，用户在fw上线。

fw监控ad认证报文

无需在ad服务器上安装程序，fw通过监控访问者登录ad server的认证报文获取认证结果，如果认证成功将用户和ip对应关系添加到在线用户表。

当fw部署在访问者和ad服务器之间时，fw可以直接获取认证报文，如果认证报文未经过fw，则需要将ad server发给访问者的认证结果报文镜像到fw。