什么是iConnect？

iConnect电子身份信息

iConnect-URL是在MUD-URL的基础上做了扩展定义。

MUD全称Manufacture Usage Description Specification，是RFC 8520定义的一种终端标识自己身份和对网络功能的诉求的方法。初期设计用于网络访问控制，后面逐步应用于其它领域。同时RFC定义了一种MUD-URL，网络访问这个MUD-URL获取到MUD描述文件，并根据该文件获取终端的身份和网络功能诉求，继而给终端开通相应的网络权限。

如图1-3所示，iConnect-URL由三部分组成。

iConnect-URL

其中终端的电子身份定义如图1-4所示。

终端的电子身份定义

iConnect终端本地认证

管理员为管理和控制不携带iConnect信息的终端而在设备上配置NAC功能，但对iConnect终端没有管理控制的要求，仅需要iConnect终端能接入网络。此时，可以在设备上使能iConnect终端不认证即上线功能。使能该功能后，设备识别出的iConnect终端不认证就可以上线。

iConnect终端的本地认证流程如图1-5所示。

iConnect终端本地认证流程

1. 无线iConnect终端关联SSID，接入无线网络。该SSID为iConnect引导SSID。
2. AP将iConnect终端的身份信息（即iConnect-URL）通过CAPWAP报文发送到设备。
3. 设备根据身份信息判断该用户为iConnect终端，同时设备已经配置iConnect终端不认证即上线功能，则保持该用户在线。否则，若用户没有携带iConnect终端身份信息，或者设备没有配置iConnect终端不认证即上线功能，则用户需要完成非iConnect终端的认证流程。

iConnect终端RADIUS认证

如果管理员未在设备上开启iConnect终端不认证即上线功能，则可以进行iConnect终端RADIUS认证。

iConnect终端的电子身份信息由RADIUS报文（华为RADIUS扩展属性26-202）携带至RADIUS服务器。

RADIUS服务器根据该信息识别终端是否为iConnect终端。如果该终端属于iConnect终端，则RADIUS服务器根据用户账号查询对应的授权策略，并将授权策略封装到认证回应报文中。针对iConnect终端，建议同时配置重定向功能有关的RADIUS属性（例如HW-Redirect-ACL或者HW-Portal-URL），从而使iConnect终端在认证成功并访问网络后被重定向到URL地址并下载EAP-TLS证书，最终触发EAP-TLS认证。

iConnect无线终端的RADIUS认证流程如图1-6所示。

iConnect无线终端RADIUS认证流程

1. 无线iConnect终端关联SSID，接入无线网络。该SSID为iConnect引导SSID。
2. AP将iConnect终端的身份信息（即iConnect-URL）通过CAPWAP报文发送到设备。
3. 设备向RADIUS服务器发送RADIUS认证请求报文，认证请求报文中携带终端身份信息。
4. RADIUS服务器通过RADIUS属性HW-MUD-URL携带的终端身份信息识别该用户为iConnect终端，同时RADIUS服务器根据账号查询该用户的授权策略（例如RADIUS属性HW-Redirect-ACL）封装并发送认证回应报文。
5. 设备按照认证回应报文中的授权策略对用户进行授权，因此在认证成功后下发重定向策略。
6. 终端被重定向到URL地址（一般是RADIUS服务器提供的Portal页面的地址）下载数字证书，并在加载该证书后完成EAP-TLS认证。