那得确认下是哪的问题，服务器下发了相关的参数字段还是中间设备有问题

在BRAS+IPoE认证环境中，用户认证后无法访问明细路由，而只能走默认路由，这通常是由策略路由（PBR）的优先级高于普通路由表，或认证后下发的策略限制了访问导致的。

下面为你梳理一下排查思路。

 核心排查思路：策略路由 (PBR) 优先级问题

根据你“认证后没下发任何ACL和User group”的描述，问题根源很可能是接口上应用了策略路由（PBR）。

• 工作机制：H3C设备在处理流量时，策略路由的优先级高于普通路由表。这意味着，只要接口上启用了PBR，所有进入该接口的流量都会优先匹配PBR规则，而不是去查找你配置的静态路由表。

• 认证前后的流量走向：

  1. 认证前：终端可能因为PBR规则未完全匹配（例如匹配特定用户组），流量按常规路径转发，因此能正常访问Portal服务器等资源。

  2. 认证后：用户状态改变，可能触发了PBR中的某条规则（例如，匹配到了某个user-group），导致流量被强制转发到了公网（下一跳10.0.0.1），从而“绕过”了你为内网资源配置的明细静态路由。

 解决方案与验证步骤

你可以按照以下步骤来定位和解决问题：

1. 检查接口策略路由配置
   检查用户所在的物理接口或VLAN虚接口下是否应用了策略路由。

   bash

   # 进入接口视图，查看配置 interface GigabitEthernet x/x/x display this

   查找输出中是否有 ip policy-based-route 或 ipv6 policy-based-route 的命令。

2. 分析策略路由规则
   如果确认有PBR，进一步查看其具体规则。

   bash

   display policy-based-route policy policy-name

   重点关注规则中匹配的ACL，特别是是否匹配了特定的user-group。一个典型的场景是，PBR通过ACL匹配了认证后的用户组，并将流量重定向到公网网关。

3. 解决方案：修改策略路由

   • 方案一（推荐）：在策略路由中增加一条优先级更高的deny规则，明确放行（即不进行策略路由）访问你内网明细路由（10.1.3.0/24, 10.1.100.0/24, 10.11.11.0/24）的流量。

     bash

     acl advanced 3002 rule 5 permit ip destination 10.1.3.0 0.0.0.255 rule 10 permit ip destination 10.1.100.0 0.0.0.255 rule 15 permit ip destination 10.11.11.0 0.0.0.255 policy-based-route policy1 permit node 2 if-match acl 3002

   • 方案二：如果PBR不是必须的，可以考虑直接删除接口下的PBR应用，让所有流量都依靠普通路由表转发。

4. 验证生效
   修改配置后，让一个用户重新认证，在其终端上ping或tracert内网资源（如10.1.3.1），看数据包是否按照你的静态路由路径转发。

 其他可能性排查

如果上述方案未能解决，还可以检查以下几点：

• 路由表与转发：在BRAS上使用display ip routing-table确认明细路由确实存在于路由表中，并且下一跳10.10.10.253是可达的。同时，检查10.10.10.253设备上是否有回程路由，确保数据能返回给终端。

• 路由优先级：检查静态路由的优先级（默认60）。只要路由存在，明细路由会因其更长的网络掩码而被优先匹配。

• 用户会话信息：使用display ip subscriber session username <用户名> verbose命令查看认证通过后的用户会话详情。确认ACL或user-profile中是否意外地下发了限制策略，阻止了访问这些内网网段。