radius认证
二次地址分配是指在802.1X或Web Portal接入方式中，初始DHCP时为用户预分配IP地址（通常为私网地址），在用户通过认证后，重新为用户分配地址（通常为公网地址）的技术。这是 因为如果在用户开机后未经过认证，DHCP时全部为用户分配公网IP地址，显然是对IP地址资源的极大浪费。采用二次地址分配则可以较为有效的解决公网地 址不足的问题，提高公网地址的利用率。
二次地址分配的配置是在BRAS上配置认证域时配置的，需要启用二次地址分配功能并配置地址池。
中国移动WLAN业务PORTAL协议规范介绍
一、用户上线认证流程
上线流程完成用户账号的认证，并把认证结果通知Portal Server，Portal server将会通知WLAN用户并且显示相应的认证结果。
用户上线认证方式有两种：CHAP和PAP，其中CHAP方式为必选功能，PAP方式为可选功能。
1.1、用户上线Chap认证流程
- 用户访问网站，经过AC重定向到Portal Server，Portal Server推送认证页面；
- 用户填入用户名、密码，提交页面，向Portal Server发起连接请求；
- Portal Server向AC请求Challenge；
- AC分配Challenge给Portal Server；
- Portal Server向AC发起认证请求；
- 而后AC进行RADIUS认证，获得RADIUS认证结果；
- AC向Portal Server送认证结果；
- Portal Server将认证结果填入页面，和门户网站一起推送给客户；
- Portal Server回应确认收到认证结果的报文。
1.2、用户上线Pap认证流程
- 用户访问网站，经过AC重定向到Portal Server，Portal Server推送认证页面；
- 用户填入用户名、密码，提交页面，向Portal Server发起连接请求；
- Portal Server向AC发起认证请求；
- 而后AC进行RADIUS认证，获得RADIUS认证结果；
- AC向Portal Server送认证结果；
- Portal Server将认证结果填入页面，和门户网站一起推送给客户；
- Portal Server回应确认收到认证结果的报文。
二、用户下线流程
用户下线流程包括用户主动发起下线流程，和用户异常下线流程：AC侦测到用户下线，主动通知Portal server。
2.1、用户下线流程
- 用户发起下线请求到Portal Server。
- Portal Server向AC请求下线。
- AC回应Portal Server下线请求。
- Portal Server推送下线结果页面给用户。
2.2、用户异常下线流程
用户异常下线流程:AC侦测用户下线流程，主动通知Portal server。
- AC侦测到用户下线，向Portal Server请求下线；
- Portal Server回应下线成功；
三、数据报文
3.1、报文格式
协议包采用固定长度头加可变长度的属性字段组成，属性字段采用TLV格式，具体如下图所示。
3.2、报文字段说明
Ver
Ver字段是协议的版本号，长度为 1 字节，目前定义的值为 0x01；
Type
Type字段定义报文的类型，长度为 1 字节，目前其值的如下图所示
Pap/Chap
Pap/Chap字段定义此用户的认证方式，长度为 1 字节，只对Type值为 0x03 的认证请求报文有意义：
-
- Chap方式认证，值：0x00
- Pap 方式认证，值：0x01
Rsv
Rsv目前为保留字段，长度为 1 字节，在所有报文中值为 0
SerialNo
(1)、SerialNo字段为报文的序列号，长度为 2 字节，由Portal Server随机生成，Portal Server必须尽量保证不同认证流程的SerialNo在一定时间内不得重复，在同一个认证流程中所有报文的SerialNo相同；
(2)、Portal Server发给AC设备的报文
a、由Portal Server发出的Type值为1、3的请求报文其SerialNo都是随机生成数；
b、由Portal Server向AC设备发出的Type值为5的(REQ_LOGOUT)报文其SerialNo值分两中情况：当ErrCode为0 时(请求用户下线报文)，SerialNo值为一个随机生成数；当ErrCode为1时，SerialNo值可能和Type值为1或3的报文 (请求Challenge超时, 或请求认证超时) 相同，具体要看是请求Challenge超时还是请求认证超时；
c、由Portal Server向AC设备发出的认证成功确认报文（Type值为7的报文）SerialNo和其发出的相应请求报文的SerrialNo相同；比如对于Type值为7的报文其SerialNo值和Type值为3的请求认证报文相同；
(3)、每一个由AC设备发给Portal Server的响应报文的SerialNo必须和Portal Server发送的相应请求报文的SerialNo一样，否则Portal Server会丢掉从AC设备发来的响应报文； 比如Type值为2的报文其SerialNo值必须和Type值为1的报文相同，Type值为4的报文其SerialNo值必须和Type值为3的报文相同，Type值为6的报文其SerialNo值必须和Type值为5的报文相同。
ReqID
(1)、ReqID字段长度为 2 个字节，由AC设备随机生成，尽量使得在一定时间内ReqID不重复。
(2)、在Chap认证方式中：
a、AC设备在Type为2 (ACK-CHALLENGE) 的请求Challenge响应报文中把该ReqID的值告诉Portal Server；
b、在Type值为3、4、7 ( REQ-AUTH, ACK-AUTH, AFF-ACK-AUTH ) 的报文中ReqID字段的值都和Type值为2的报文中此字段的值相同；
c、在Type值为 5 (REQ-LOGOUT) 的报文中，若报文表示请求Challenge 超时则此字段值为0 ；若报文表示请求认证超时则此字段值和Type值为2 (ACK-CHALLENGE)的报文中此字段的值相同；
(3)、在Pap认证方式中，此字段无意义，其值为0；
(4)、在Type值为 5 (REQ-LOGOUT) 的报文中，若报文表示请求下线时则此字段值为0 ；
(5)、在Type值为1、6 (REQ-CHALLENGE , ACK-LOGOUT) 的报文中，该字段均无意义，值都为 0；
UserIP
UserIP字段为Portal用户的IP地址，长度为 4 字节，其值由Portal Server根据其获得的IP地址填写
在所有的报文中此字段都要有具体的值
UserPort
UserPort字段目前没有用到，长度为 2 字节，在所有报文中其值为0
ErrCode
ErrCode字段和Type字段一起表示一定的意义，长度为 1字节，具体如下：
(1)、对于Type值为1、3、7的报文，ErrCode字段无意义，其值为0；
(2)、当Type值为 2 时：
ErrCode＝0，表示AC设备告诉Portal Server请求Challenge成功；
ErrCode＝1，表示AC设备告诉Portal Server请求Challenge被拒绝；
ErrCode＝2，表示AC设备告诉Portal Server此链接已建立；
ErrCode＝3，表示AC设备告诉Portal Server有一个用户正在认证过程中，请稍后再试；
ErrCode＝4，则表示AC设备告诉Portal Server此用户请求Challenge失败（发生错误）；
(3)、当Type值为 4 时：
ErrCode＝0，表示AC设备告诉Portal Server此用户认证成功；
ErrCode＝1，表示AC设备告诉Portal Server此用户认证请求被拒绝；
ErrCode＝2，表示AC设备告诉Portal Server此链接已建立；
ErrCode＝3，表示AC设备告诉Portal Server有一个用户正在认证过程中，请稍后再试；
ErrCode＝4 ，表示AC设备告诉Portal Server此用户认证失败（发生错误）；
(4)、当Type值为 5 时：
ErrCode＝0，表示此报文是Portal Server发给AC设备的请求下线报文；
ErrCode＝1，表示此报文是在Portal Server没有收到AC设备发来的对各种请求的响应报文，而定时器时间到（即超时）时由Portal Server发给AC设备的报文；
(5)、当Type值为 6 时：
ErrCode＝0，表示AC设备告诉Portal Server此用户下线成功；
ErrCode＝1，表示AC设备告诉Portal Server此用户下线被拒绝；
ErrCode＝2, 表示AC设备告诉Portal Server此用户下线失败（发生错误）；
(6)、对Type为REQ_INFO时，ErrCode无意义，其值为0；
(7)、对Type为NTF_LOGOUT时，ErrCode含义如下：
(8)、对Type为ACK_INFO时，ErrCode含义如下：
AttrNum
AttrNum字段表示其后边可变长度的属性字段属性的个数，长度为 1 字节（表示属性字段最多可有255个属性），其值在所有的报文中都要根据具体情况赋值。
Attr：报文属性字段
Attr字段（属性字段）是一个可变长字段，由多个属性依次链接而成，每个属性的格式为TLV格式。
整体的Attr可能由多个属性TLV组成
报文属性字段说明如下：
(1)、属性类型(AttrType)
(2)、属性长度(AttrLen)
AttrLen字段表示属性的长度，长度为1字节，其值是整个属性三个字段AttrType、AttrLen、AttrValue的长度之和。
(3)、属性值(AttrValue)
AttrValue的值为具体的属性值，比如用户名、口令等，长度有些可变，有些固定（具体见表6.2），但最长不能超过253(255-2)字节。
四、参数
1、此协议规定承载报文的是UDP协议，也即报文为UDP报文，AC设备在固定端口2000（参照《BNAS宽带接入服务器技术规范－YD1148》修订）上等待接收Portal Server发来的各种请求报文和确认报文。
2、 PORTAL强制相关参数
当AC实现强制PORTAL功能时，要求在强制PORTAL URL中包含以下参数：
具体参数格式示例如下：
http://www.portal.com?wlanuserip=10.1.2.34&wlanacname= ACN.CTY.PRO.OPE
http://www.portal.com?wlanusername=IMSI@SIM
允许在”?”后面有其他的参数，但是名称不能以wlan作为起始。
3、 Chap认证的相关说明：
(1)、challenge的生成(AC生成) ：
challenge由AC设备在收到请求Challenge报文的时候随机生成，长度为16个字节，跟随Challenge应答报文下发到Portal Server。
(2)、Chap_Password(Chap密码)的生成：
Chap_Password的生成遵循标准的Radious协议中的Chap_Password 生成方法（参见RFC2865）。
密码加密使用MD5算法，MD5函数的输入为ChapID ＋ Password ＋Challenge (ReqID有AC生成, ChapID是ReqID的低8位)
其中，ChapID取ReqID的低 8 位，Password的长度不够协议规定的最大长度，其后不需要补零。
Chap_Password = MD5 (ChapID+ Password + Challenge )
4、无论采用Chap认证还是Pap认证，都允许用户口令为空；
5、当用户向Portal Server提交的连接请求里用户名为空时，Portal Server在向AC设备发送认证请求时应用一个缺省的用户名代替（比如***）；
6、认证流程中各种报文所带属性的个数（建议）：
(1)、请求Challenge 报文：0个属性；
(2)、对请求Challenge响应的报文：若请求Challenge成功则为1个属性—Challenge属性，若请求Challenge失败则属性个数为0个；
(3)、请求认证报文：2个属性，分别为用户名、PassWord 或ChapPassWord ；
(4)、对请求认证的响应报文：0个属性；
(5)、请求下线报文或表示超时的报文：0个属性；
(6)、对请求下线的响应报文：0个属性；
(7)、Portal Server对收到从AC设备发来的认证成功报文的确认：0个属性；
(8)、强制下线请求：0个属性；
(9)、查询请求和回应：待定；
7、报文的长度限制是最小16字节，最大1024（1K）字节；
8、从支持多国语言的角度出发，认证结果信息进行统一编码，由Portal Server根据用户语言上下文推送对应信息的页面。