对于校园网如何进行用户识别——captive portal的原理学习总结

一、技术名称总结

这一技术的核心称为 Captive Portal（强制门户），中文常译为“认证门户”或“强制门户”。它是通过拦截未认证用户的网络流量，强制跳转到指定登录页面的技术。

---

二、技术提供方与部署逻辑

Captive Portal的实现主体并非传统意义上的“网络服务商”（如电信、联通），而是由 网络的管理方 自行部署，例如：

• 校园网：由学校网络中心或IT部门部署。

• 企业网：由企业IT团队配置。

• 公共场所Wi-Fi：由商场、咖啡馆等自行或委托第三方服务商部署。

具体实现方式分为两种：

1. 本地部署

   • 使用路由器、防火墙（如Cisco、Huawei设备）或开源软件（如pfSense、OpenWRT）配置。

   • 例如：学校购买支持Captive Portal功能的路由器，自行配置拦截规则和登录页面。

2. 云服务商方案

   • 部分厂商（如Aruba、Fortinet）提供云端Captive Portal服务，管理方通过云平台配置策略。

   • 适用于连锁店等分散场景，统一管理多个地点的网络认证。

---

三、流量如何根据账号监控

认证后的流量监控主要通过以下技术实现：

1. 认证会话绑定

• IP/MAC绑定：用户登录后，网关记录其账号与IP地址、MAC地址的关联。后续流量通过IP/MAC识别用户。

• 会话表（Session Table）：网关维护一个会话表，记录用户的上网时间、流量大小等（如通过NetFlow协议）。

2. 访问控制列表（ACL）

• 基于账号权限设置ACL规则，例如：

  • 学生账号：禁止访问游戏网站。

  • 教师账号：允许访问学术数据库。

• 示例配置（防火墙规则）：

  # 允许教师组访问学术库IP
  iptables -A FORWARD -s 教师IP段 -d 学术库IP -j ACCEPT
  # 禁止学生组访问游戏端口
  iptables -A FORWARD -s 学生IP段 -p tcp --dport 游戏端口 -j DROP

3. 深度包检测（DPI）

• 部分高级网络设备支持DPI技术，可解析流量内容（如HTTP URL、应用协议），结合账号实现精细控制。

• 例如：检测到某账号频繁使用P2P下载，自动限速或告警。

4. 审计与日志

• 网关记录用户的上网行为日志（如访问域名、流量大小），并与账号关联，用于后续审计。