BRAS+IPOE

BRAS / 汇聚设备做静态路由 + HTTP 重定向

思路：

1. 在 BRAS 上创建 Loopback，绑定 1.1.1.1/32（这个地址不需要在公网，仅内网）
2. 做策略：目的 IP = 1.1.1.1 的 80 流量，执行 http-redirect 302，定向到 http://192.168.1.1/portal
3. 放行去往 192.168.1.1 的流量，防止重定向死循环
4. IPoE 用户无论是否认证，这条策略都生效（放通这条目的 IP 的重定向）

如果不想所有用户都命中，可以叠加 if-match user-group，只对 IPoE 用户组生效；同时配置 portal free-rule，放行 192.168.1.1，不然跳不过去。

IPoE+Web‑Portal（SR8800‑X/CR16000‑F 这类 BRAS）：

1. DHCP 获取 IP 的 IPoE 用户：未认证时，任意 HTTP 访问外网，BRAS 自动做 URL 重定向到 Portal 页面；
2. 用户自己手工设置静态 IP（未知源 IP IPoE），同样支持 HTTP 重定向，但是有前提：接口开启ip subscriber，ISP 域配置认证前域（pre‑auth），放行 Portal 服务器免认证，开启 URL 重定向规则ip subscriber if‑matchH3C。

注意：不是 “访问 1.1.1.1 这个 IP 强制跳转”，而是用户浏览器发起任意 HTTP 请求（目的 IP 不管是 1.1.1.1 还是其他外网），BRAS 拦截 HTTP 80 报文，302 重定向返回 Portal 服务器地址http://192.168.1.1。 ❌BRAS 不能实现：用户仅仅在地址栏敲1.1.1.1，不发出 HTTP 访问就直接跳转；必须要有浏览器 HTTP 报文触发重定向。

关键配置要点（Comware V7 BRAS IPoE+Portal）

1. BAS 接口下开启 IPoE 子 scriber 功能

pre‑auth‑domain是认证前 ISP 域，未认证用户会进入这个域，做重定向 + 免放行 Portal 服务器。

2. 认证前域配置（pre‑auth‑domain）

• 认证方案：不认证；授权方案绑定认证前用户组；计费不计费
• 用户组 ACL 放行 Portal 服务器192.168.1.1的 80/443（免认证，否则重定向后页面打不开）
• 配置 URL 重定向规则：所有未认证用户的 http 请求重定向到 Portal 地址

ip subscriber if‑match这条就是 IPoE 子 scriber 的 URL 重定向命令，对静态手工配置 IP 的 IPoE 用户生效H3C。

3. 认证前域 ACL 免认证，放行 Portal 服务器

未认证用户必须允许访问192.168.1.1，否则重定向之后页面无法加载。

4. 认证成功后切换到正式业务域 认证通过后，BRAS 把用户从 pre‑auth‑domain 切换到正式业务 ISP 域，不再执行重定向，正常访问网络。

常见坑点

1. ❌只配置 portal 全局 web‑server，不配置ip subscriber if‑match：手工静态 IP 的 IPoE 用户不会触发重定向；DHCP 的 IPoE 可以，静态手工 IP 不行。
2. ❌认证前域没有放行 Portal 服务器 IP：重定向 302 返回了，但是浏览器访问192.168.1.1报文被拒绝，页面空白。
3. ❌HTTPS 访问（443）：设备默认不能直接解密 HTTPS 报文，无法做 URL 重定向；浏览器直接访问https://1.1.1.1不会触发跳转；必须访问 HTTP 网站（80 端口）才可以触发重定向。
4. 未知源 IP 模式才支持静态手工 IP；如果是手工配置静态 IPoE 会话（静态 IPoE 用户），需要确认会话绑定 pre‑auth 域。

验证命令