思科WLC无线Portal认证跳转到1.1.1.1显示网络不可达？虚拟接口和预认证ACL两处先查
用思科 WLC 带无线 Portal 认证的公司常碰上这么一幕：员工或访客连上 WiFi，弹重定向页面时地址栏是一个 1.1.1.1，浏览器直接提示网络不可达，认证页死活出不来，网也上不去。设备都在线、无线信号也正常，卡住的其实是"认证页这条路"。
这个 1.1.1.1 是 WLC 虚拟接口的默认占位地址，认证页面并不是真的放在这个 IP 上，而是由控制器代答的。客户端打不开它，通常是四类原因：一是预认证 ACL 没放行——Portal 认证前用户还没登录，流量默认被拦，此时必须先放行到虚拟接口的 80/443 和 DNS 查询，否则重定向一落地就被自己的 ACL 挡死；二是虚拟接口地址与公网真实地址撞车——1.1.1.1 如今是公网上人尽皆知的 DNS 服务器地址，客户端对它的请求一旦被路由送向公网，控制器就代答不上；三是配置了虚拟接口主机名但 DNS 上没有对应解析记录，跳转域名解析不到，同样显示不可达；四是多控制器组网时客户端流量实际终结在另一台设备上，重定向指向的虚拟接口和流量路径对不上，访客锚点（mobility anchor）场景高发。
按这个顺序查，五步从现象到根源：
- 先确认基础联网：客户端连上后查看拿到的 IP、网关和 DNS，能 ping 通网关说明无线和 DHCP 正常，再往下查认证环节，别一上来就动控制器配置。
- 检查预认证 ACL：找到 guest WLAN 挂的 ACL，确认规则顺序是先放行 UDP 53 的 DNS、再放行到虚拟接口地址的 80/443，最后才是拒绝所有。顺序反了，认证页永远弹不出来。
- 换掉虚拟接口地址：把虚拟接口 IP 从 1.1.1.1 改成保留网段里的地址（例如 192.0.2.1），避开公网真实路由；如果配了虚拟接口主机名，同步在 DNS 上把解析记录指过去。
- 核对流量路径：两台以上控制器组网、又做了访客锚点的，逐项核对两边虚拟接口配置是否一致、客户端状态是否停在待认证阶段、重定向计数有没有增长，判断流量到底走到哪台设备。
- 认证页实测：用一部从没连过的手机完整走一遍弹窗、输账号、出网三步，比看十遍配置都可靠。
预防记两条：访客网络每次改动配置前后都导出留档，出问题能快速回退；虚拟接口地址从规划之初就避开公网在用网段，省得日后排障时真假难辨。
贵州诚鑫致达科技交付无线网络时，访客认证必须拿一部陌生手机实测三遍——弹得出、认证得过、网页打得开，三步全过才算交付完成。