钉钉授权认证，实名授权准入

1方案说明

在企业园区网络中，需要结合钉钉实现网络安全准入实名认证，方案中企业网络设备可以是华为（如AC6005、AC6605、三层交换机）或者H3C新华三(WX2510H、WX3540H、WX2560H)或所有支持Portal协议、CMCC协议的任何网络设备。

网络设备结合OpenPortal认证计费系统做好Portal认证及Radius认证计费AAA对接、Mac快速认证、MAC-Trigger快速认证等无感知认证对接的基础上，做一下配置即可实现基于钉钉认证的网络准入实名认证方案。

2一、钉钉开放平台配置

1. 1.在【移动接入应用】-【登录】中新建应用

备注：LocalTest为Portal认证服务器本地内网部署，OpenPortal应用为服务器Portal认证服务器公网云部署

1. 2.在【企业内部开发】-【H5微应用】中新建应用

备注：LocalTest为Portal认证服务器本地内网部署，OpenPortal应用为服务器Portal认证服务器公网云部署

新建的应用配置如下图：

备注1：LocalTest为Portal认证服务器本地内网部署

备注2：OpenPortal应用为服务器Portal认证服务器公网云部署

3二、OpenPortal认证计费系统中配置如下

1. 1.在【Portal管理】-【钉钉认证设置】中添加或编辑已有项目

分别按要求填入在【钉钉开放平台】中添加的【移动接入应用-登录】和【企业内部开发-H5微应用】中的AppId、AppIdSecret和AgentId、AppKey、AppSecret

公网云服务器部署模式下可以打开【用户绑定】（只有在企业组织中的钉钉号才能认证成功）

内网本地服务器部署模式下不能打开【用户绑定】

1. 2.在【系统管理】-【系统全局设置】中，修改【公网地址】栏目

备注：本地内网部署模式下为服务器内网IP，公网云部署模式下为服务器公网IP或者域名

钉钉认证的接入账户组名称配置如下图：

4三、认证步骤

1. 1.PC端出现下列页面后，手机打开钉钉，扫描页面中的二维码

1. 2.移动终端在这个页面会自动跳转到钉钉，进行下一步的用户授权步骤

1. 3.认证系统后台认证记录

5备注：设备免认证放行列表

认证前必须放行 DNS 与下列域名，否则终端首次关联 SSID 后无法与钉钉服务器交互完成认证。钉钉认证页走 HTTP（TCP 80）/ HTTPS（TCP 443），页面骨架与样式分别来自 g.alicdn.com / o.alicdn.com，漏放时最常见的是「页面能打开，但样式全丢、按钮点不动」。

1. 钉钉核心业务域名（必须）

2. 静态资源 CDN（必须）

3. 补充域名（按需，认证页异常时排查）

4. 基础设施

• DNS：认证前必须放行（UDP / TCP 53）。域名免认证依赖设备侧的解析结果，DNS 不放行，后面所有域名规则都匹配不到。
• DHCP：建议同时放行（UDP 67 / 68），否则终端连地址都拿不到，谈不上认证。

6华为 AC 免认证放行配置

华为 AC（V200R 系列）通过 free-rule-template 配置免认证规则，模板要绑定到 Portal 服务器模板，再在接口或无线服务模板下引用才生效。

system-view
free-rule-template name dingtalk_auth
free-rule 1 destination ip 114.114.114.114 mask 255.255.255.255
free-rule 2 destination ip 223.5.5.5 mask 255.255.255.255
free-rule 10 destination domain login.dingtalk.com
free-rule 11 destination domain oapi.dingtalk.com
free-rule 12 destination domain api.dingtalk.com
free-rule 13 destination domain dingtalk.com
free-rule 20 destination domain g.alicdn.com
free-rule 21 destination domain o.alicdn.com
free-rule 22 destination domain gw.alicdn.com
free-rule 23 destination domain at.alicdn.com
free-rule 24 destination domain open.dingtalk.com
free-rule 25 destination domain h5.dingtalk.com
free-rule 26 destination domain static.dingtalk.com
quit

portal-server-template name dingtalk_portal
free-rule-template dingtalk_auth
quit
interface Vlan-interface100
portal dingtalk_portal
quit

• 域名免认证规则对子域名生效：配 dingtalk.com 即可覆盖 login.dingtalk.com / oapi.dingtalk.com / api.dingtalk.com，主域优先即可。
• 静态资源都在 alicdn.com 下，不在钉钉主域内，必须单独放行；用泛域 alicdn.com 一条就能兜住 g. / o. / gw. / at. 四段。
• AirEngine 9700 / AC6000 配套 AP 场景用透传域写法：passthrough-domain name .dingtalk.com id 1 ＋ passthrough-domain name .alicdn.com id 2，在 acl 6000 下用 rule permit ip destination passthrough-domain … 放行两个透传域，最后 free-rule acl 6000。
• 云管理 Campus 版本不用敲命令，直接在「网络配置 › 站点配置 › 认证点 › 默认放行规则」里加上表中的域名即可。
• 接口下的引用命令随版本略有差异（部分版本为 portal apply web-server），以设备 ? 提示为准。

7H3C AC 免认证放行配置

H3C AC 在系统视图下用 portal free-rule 逐条配置免认证规则，再在接口或无线服务模板下引用 Portal 认证模板。

system-view
portal free-rule 1 destination udp 53
portal free-rule 2 destination tcp 53
portal free-rule 3 destination ip 114.114.114.114 32
portal free-rule 4 destination ip 223.5.5.5 32
portal free-rule 10 destination domain login.dingtalk.com
portal free-rule 11 destination domain oapi.dingtalk.com
portal free-rule 12 destination domain api.dingtalk.com
portal free-rule 13 destination domain dingtalk.com
portal free-rule 20 destination domain g.alicdn.com
portal free-rule 21 destination domain o.alicdn.com
portal free-rule 22 destination domain gw.alicdn.com
portal free-rule 23 destination domain at.alicdn.com
portal free-rule 24 destination domain open.dingtalk.com
portal free-rule 25 destination domain h5.dingtalk.com
portal free-rule 26 destination domain static.dingtalk.com
quit

interface Vlan-interface100
portal apply profile dingtalk_portal
quit

• 旧版 Comware（V5 / V7 早期）命令为 portal free-rule rule-id destination domain domain-name，含义一致。
• 域名免认证同样依赖设备侧 DNS 解析，务必先放行 DNS 与 DNS 服务器 IP。
• 部分老型号不支持域名免认证，只能按 IP 放行；钉钉 IP 随阿里云调度变化，仅适合临时排查。

8放行验证与排障

• 终端关联 SSID 后不认证，浏览器访问 login.dingtalk.com 能正常解析并打开，说明 free-rule 已生效。
• 认证页空白 / 样式丢失：多为 g.alicdn.com、o.alicdn.com、gw.alicdn.com 未放行。
• 扫码后认证失败：检查 oapi.dingtalk.com 与 api.dingtalk.com 是否放行，再确认 AC 出口公网 IP 没有被出口策略拦截。
• 自建应用场景：钉钉开放平台里配置的回调地址必须能从公网访问，AC / 出口的公网 IP 要能到达该地址；不通时用户侧表现是「授权完回到认证页又要求重新登录」。
• 规则都放了仍失败：先确认 DNS 可用，再确认设备型号支持域名免认证，并检查已有 ACL 没有把 free-rule 流量先行拦掉。