master-local问题，角色已经同步过去了，但是portal界面弹不出来

[succa shao]

配置了master-local，将AP指定在master上的时候，portal能够正常弹出；但是如果把AP指定到local上的时候，portal却不能正常弹出，而且在终端上是可以不通过portal认证直接上网，查看local上的相关角色也是和master上的是一样；这样是哪里出现了问题？

[Honggang Zhao]

是否已经启用了Redundancy, 客户端状态已经同步到另一个Controller上。

[succa shao]

问题已解决，在local上输入firewall allow-tri-session命令后，就没问题了。

谢谢

---

Honggang Zhao wrote:

是否已经启用了Redundancy, 客户端状态已经同步到另一个Controller上。

---

Spoiler

[Honggang Zhao · Accepted solution]

如果firewall allow-tri-session没有启用，客户端弹不出Portal，应该也不能上网的。你的配置里客户端没有经过Portal认证的情况下可以上网，是这样设计的吗？

[succa shao]

eh... 

是我描述的不够准确额，windows客户端，右下角的网络图标显示的是可接入internet的状态，而不是不连接internet的状态，使用ping 命令测试可ping通所有地址。当时就未测试是否能打开网站等，只测试了portal无法打开。

[kzhu]

应该是guest用户网关不在AC上

[Honggang Zhao]

是的。如果Guest的网关不在AC上，需要在AC上为Guest使用的VLAN配置一个IP地址。也可以Enable "Allow Tri-session with DNAT"。