企业微信认证，实名授权准入

1方案说明

在企业园区网络中，需要结合企业微信实现网络安全准入实名认证，方案中企业网络设备可以是华为（如AC6005、AC6605、三层交换机）或者H3C新华三(WX2510H、WX3540H、WX2560H)或所有支持Portal协议、CMCC协议的任何网络设备。

网络设备结合OpenPortal认证计费系统做好Portal认证及Radius认证计费AAA对接、Mac快速认证、MAC-Trigger快速认证等无感知认证对接的基础上，做一下配置即可实现基于企业微信认证的网络准入实名认证方案。

2一、企业微信平台配置

1. 1.在企业微信平后台【我的企业】中，找到并复制企业ID
2. 2.在企业微信平后台【应用管理】中，创建自建应用
3. 3.进入刚才创建的自建应用，找到并复制AgentId、Secret，配置好应用的企业组织可见范围
4. 4.进入刚才创建的自建应用，【开发者接口】中，配置【网页授权及JS-SDK】【企业微信授权登录】【企业可信IP】中的认证服务器公网域名及IP地址

如下图所示：

3二、OpenPortal认证计费系统中配置如下

在Portal系统后台-【Portal管理】-【钉钉企微设置】中设置企业微信的相关配置

如下图所示：

企业微信认证的接入账户组名称配置如下图：

4三、认证步骤

1. 1.PC端，手机打开企业微信，扫描页面中的二维码，下一步的用户授权步骤
2. 2.移动终端，保存认证页面二维码，打开企业微信，扫描二维码进行，下一步的用户授权步骤
3. 3.在企业微信中授权并完成认证

5备注：设备免认证放行列表

认证前必须放行 DNS 与下列域名，否则终端首次关联 SSID 后无法与企业微信服务器交互完成认证。企微认证页要同时走「网页授权（OAuth）+ JS-SDK + 静态资源」三条链路，静态资源分散在 wwcdn.weixin.qq.com / rescdn.qqmail.com / cdn-go.cn 三处，漏放时最常见的是「能跳转，但二维码不出来或按钮点了没反应」。

1. 企业微信核心业务域名（必须）

2. 补充域名（按需，认证页异常时排查）

3. 基础设施

• DNS：认证前必须放行（UDP / TCP 53）。域名免认证依赖设备侧的解析结果，DNS 不放行，后面所有域名规则都匹配不到。
• DHCP：建议同时放行（UDP 67 / 68），否则终端连地址都拿不到，谈不上认证。

6华为 AC 免认证放行配置

华为 AC（V200R 系列）通过 free-rule-template 配置免认证规则，模板要绑定到 Portal 服务器模板，再在接口或无线服务模板下引用才生效。

system-view
free-rule-template name wecom_auth
free-rule 1 destination ip 114.114.114.114 mask 255.255.255.255
free-rule 2 destination ip 223.5.5.5 mask 255.255.255.255
free-rule 10 destination domain i.work.weixin.qq.com
free-rule 11 destination domain open.work.weixin.qq.com
free-rule 12 destination domain open.weixin.qq.com
free-rule 13 destination domain qyapi.weixin.qq.com
free-rule 14 destination domain work.weixin.qq.com
free-rule 15 destination domain wwcdn.weixin.qq.com
free-rule 16 destination domain rescdn.qqmail.com
free-rule 17 destination domain cdn-go.cn
free-rule 18 destination domain report.url.cn
free-rule 19 destination domain badjs.weixinbridge.com
free-rule 20 destination domain aegis.qq.com
free-rule 21 destination domain qy.weixin.qq.com
free-rule 22 destination domain js.aq.qq.com
free-rule 23 destination domain login.work.weixin.qq.com
free-rule 24 destination domain long.open.weixin.qq.com
quit

portal-server-template name wecom_portal
free-rule-template wecom_auth
quit
interface Vlan-interface100
portal wecom_portal
quit

• 域名免认证规则对子域名生效：配 work.weixin.qq.com 即可覆盖 i.work.weixin.qq.com / open.work.weixin.qq.com / login.work.weixin.qq.com，主域优先。
• 但 open.weixin.qq.com、wwcdn.weixin.qq.com、rescdn.qqmail.com、cdn-go.cn 都不在 work.weixin.qq.com 主域内，必须逐条放行——这几条漏掉，最常见的就是「二维码不出来」。
• AirEngine 9700 / AC6000 配套 AP 场景用透传域写法：passthrough-domain name .work.weixin.qq.com id 1、passthrough-domain name .weixin.qq.com id 2，再在 acl 6000 下放行这两个透传域，最后 free-rule acl 6000；qqmail / cdn-go / qq.com 等域仍按域名逐条配置。
• 云管理 Campus 版本不用敲命令，直接在「网络配置 › 站点配置 › 认证点 › 默认放行规则」里加上表中的域名即可。
• 接口下的引用命令随版本略有差异（部分版本为 portal apply web-server），以设备 ? 提示为准。

7H3C AC 免认证放行配置

H3C AC 在系统视图下用 portal free-rule 逐条配置免认证规则，再在接口或无线服务模板下引用 Portal 认证模板。

system-view
portal free-rule 1 destination udp 53
portal free-rule 2 destination tcp 53
portal free-rule 3 destination ip 114.114.114.114 32
portal free-rule 4 destination ip 223.5.5.5 32
portal free-rule 10 destination domain i.work.weixin.qq.com
portal free-rule 11 destination domain open.work.weixin.qq.com
portal free-rule 12 destination domain open.weixin.qq.com
portal free-rule 13 destination domain qyapi.weixin.qq.com
portal free-rule 14 destination domain work.weixin.qq.com
portal free-rule 15 destination domain wwcdn.weixin.qq.com
portal free-rule 16 destination domain rescdn.qqmail.com
portal free-rule 17 destination domain cdn-go.cn
portal free-rule 18 destination domain report.url.cn
portal free-rule 19 destination domain badjs.weixinbridge.com
portal free-rule 20 destination domain aegis.qq.com
portal free-rule 21 destination domain qy.weixin.qq.com
portal free-rule 22 destination domain js.aq.qq.com
portal free-rule 23 destination domain login.work.weixin.qq.com
portal free-rule 24 destination domain long.open.weixin.qq.com
quit

interface Vlan-interface100
portal apply profile wecom_portal
quit

• 旧版 Comware（V5 / V7 早期）命令为 portal free-rule rule-id destination domain domain-name，含义一致。
• 域名免认证同样依赖设备侧 DNS 解析，务必先放行 DNS 与 DNS 服务器 IP。
• 企微公网 IP 会变化，无法按域名放行时按 IP 只能作临时排查。

8放行验证与排障

• 终端关联 SSID 后不认证，浏览器访问 work.weixin.qq.com 能正常解析并打开，说明 free-rule 已生效。
• 能跳转但二维码不显示：多为 wwcdn.weixin.qq.com、rescdn.qqmail.com、cdn-go.cn 未放行。
• 授权完回调失败：企业微信管理后台的「企业可信 IP」需包含 AC / 出口的公网 IP，回调会校验来源 IP。
• 私有化部署：确认用的是企业定制的私有化域名清单，公版清单在私有化环境里不生效。
• 规则都放了仍失败：先确认 DNS 可用，再确认设备型号支持域名免认证，并检查已有 ACL 没有把 free-rule 流量先行拦掉。