华为 NE40 ME60 BRAS 对接 OpenPortal，MAC 快速认证 + Portal 认证

# =============================================================
# 华为 NE40 ME60 BRAS 对接 OpenPortal —— Portal + RADIUS 认证配置（MAC 快速认证优先）
# 场景：二层普通用户(IPoE) + MAC 快速认证优先 + Portal 认证 + 网间网出口
# 版本：NE40 ME60 BRAS（华为 NE40E / NE40E-M / NE40E-F 与 ME60），V8 平台（V800R011C10 及以上）
# 四域：mac-pre / mac-post / portal-pre / portal-post
# 修订：V1.1 增加 radius local-ip all、simple type1、portal-server、http-hostcar、dns、idle-cut 等
# 修订：V1.2 增加网间网出口 VLAN10（g1/0/10 子接口 100.0.0.1，网关 100.0.0.254）+ 默认路由修正
# 修订：V1.3 增加 RADIUS 下发属性落地（用户名替换 / 用户组 / 域 / Filter-Id）
# 修订：V1.5 纠正 Portal 端口语义：2000=BRAS 侦听端口（OpenPortal 的 BAS端口），50100=Portal 服务器侦听端口
# 修订：V1.7 补充 HW-Domain 属性来源：OpenPortal「接入账户组→详细信息」，不指定域时必须留空
# 修订：V1.8 新增 13.5：UA(159) 为交换机/AC 特性、走计费报文，BRAS 不支持；BRAS 可上送 HW-Dhcp-Option(187)
# 修订：V1.9 新增 13.6：终端主机名识别（Option 12 + OpenPortal 终端主机名管理）
# 修订：V1.10 纠正 MAC 格式结论：写法差异由 OpenPortal 侧自适应，设备侧不改 calling-station-id mac-format
# 对接：OpenPortal（BAS IP 10.0.0.1、BAS端口 2000、服务器 Portal 端口 50100、密钥 portal、设备类型 华为、CoA 3799）
# =============================================================

# ---------- 0. 设备基础 ----------
sysname NE40-ME60-BRAS

# BAS 业务授权（二层普通用户接入必需，槽位号按单板实际位置填写）
license
 active bas slot 1

# 业务 VLAN（子接口 dot1q 终结方式下非必需，保留便于二层口扩展）
# 10=网间网出口  100=用户业务  500=服务器互联
vlan batch 10 100 500

# ---------- 1. 服务器互联接口（VLAN 500 / g1/0/1）----------
# 与 Portal、RADIUS 服务器互联的三层子接口，该地址即 BAS-IP / NAS-IP
interface GigabitEthernet1/0/1.500
 description TO_Portal_RADIUS_Server_10.0.0.2
 vlan-type dot1q 500
 ip address 10.0.0.1 255.255.255.0

# ---------- 2. 网间网出口（VLAN 10 / g1/0/10）----------
# 出口物理口：只承载 VLAN10，不做认证，禁止用户从此口上线
interface GigabitEthernet1/0/10
 description TO_Internet_Firewall_100.0.0.254
 # 上行口不启用 bas，避免用户侧流量误入认证流程
 undo shutdown

# 出口子接口：dot1q 终结 VLAN10，与上级防火墙三层对接
interface GigabitEthernet1/0/10.10
 description TO_Internet_Firewall_VLAN10
 vlan-type dot1q 10
 # 与防火墙互联地址；掩码按现场实际，本例按 /24（网关 .254 与本地 .1 同网段）
 # 若现场为 /30 等小掩码，必须确认 .254 确在同网段，否则默认路由不可达
 ip address 100.0.0.1 255.255.255.0

# ---------- 3. RADIUS 服务器组 ----------
radius-server group rd1
 radius-server type standard
 # 认证 / 计费服务器
 radius-server authentication 10.0.0.2 1812 weight 0
 radius-server accounting 10.0.0.2 1813 weight 0
 # 共享密钥，与 RADIUS / Portal 服务器一致
 radius-server shared-key-cipher portal
 # 超时与重传
 radius-server retransmit 3
 radius-server timeout 5
 # 认证请求携带认证类型属性，便于服务器区分 MAC 认证 / Portal 认证用户
 radius-attribute include HW-Auth-Type

# ---------- 4. RADIUS DM / CoA 三件套 ----------
# 【1/3】允许本机地址作为 RADIUS 报文（含 CoA/DM）的本地地址
# DM/CoA 是服务器主动发往设备 3799 端口的报文，只有被纳入 RADIUS socket 的本地地址才能接收
# 安全起见生产可精确指定：radius local-ip 10.0.0.1
# 注意：此处绑定的是 10.0.0.0/24 侧地址，与出口 100.0.0.1 无关，不要写成出口地址
radius local-ip all

# 【2/3】允许 10.0.0.2 作为 RADIUS 授权服务器（DM 强制下线 / CoA 动态改授权），仅放通该地址
radius-server authorization 10.0.0.2 shared-key-cipher portal

# 【3/3】授权服务器端口，默认 3799，一般不修改，列出备查
# radius-server authorization port 3799

# ---------- 5. Portal 服务器 ----------
# 【设备侧侦听端口】本机侦听 Portal 协议报文的 UDP 端口，缺省 2000
# 对应 OpenPortal「设备对接默认设置 → BAS端口」= 2000，服务器往 BRAS 发报文的目的端口
web-auth-server listening-port 2000
# 【服务器侧目的端口】设备发往 Portal 服务器的目的 UDP 端口，缺省 50100，key 与服务器一致
# 对应 OpenPortal 服务器自身侦听 Portal 业务的 UDP 50100 —— 注意不是 BAS端口，两个端口不同
web-auth-server 10.0.0.2 port 50100 key simple portal
# 协议版本：优先 V2，兼容 V1
web-auth-server version v2 v1
# 使能 Portal 功能
web-auth-server enable

# ---------- 6. 用户地址池（192.168.0.0/24，DHCP 下发）----------
ip pool pool100 bas local
 gateway 192.168.0.1 255.255.255.0
 section 0 192.168.0.2 192.168.0.254
 # 用户 DNS（与域视图 dns primary-ip 保持一致，域视图优先）
 dns-server 114.114.114.114 8.8.8.8

# ---------- 7. 用户组 + 免认证放行 ----------
# 未认证用户组（认证前域使用）
user-group pre-grp
# 认证通过用户组（认证后域使用；如需限速/ACL 在此挂策略）
user-group post-grp

# 免认证放行：Portal 服务器地址 + 用户 DNS
acl number 6000
 rule 5 permit ip source user-group pre-grp destination ip-address 10.0.0.2 0
 rule 10 permit ip source user-group pre-grp destination ip-address 114.114.114.114 0
 rule 15 permit ip source user-group pre-grp destination ip-address 8.8.8.8 0

# 未认证用户的其余流量：拒绝（由前域重定向引导到 Portal 页面）
acl number 6001
 rule 5 permit ip source user-group pre-grp destination ip-address any

# 流分类
traffic classifier pre-allow operator or
 if-match acl 6000
traffic classifier pre-deny operator or
 if-match acl 6001

# 流行为
traffic behavior pre-allow
 permit
traffic behavior pre-deny
 deny

# 流量策略：先放通免认证地址，其余拒绝
traffic policy pre-policy
 share-mode
 classifier pre-allow behavior pre-allow precedence 1
 classifier pre-deny  behavior pre-deny  precedence 2

# 全局入方向应用（对用户组 UCL 生效）
traffic-policy pre-policy inbound

# ---------- 8. AAA 方案与四个域 ----------
aaa
 # 允许 HTTP 重定向到 Portal 页面
 http-redirect enable
 # 二层 IPoE 用户以报文 MAC 作"纯用户名"，密码统一（MAC 简化认证关键）
 default-user-name include mac-address
 default-password cipher portal
 # 对强制 Web 认证用户的 HTTP 报文做 host CAR，防止 HTTP 报文洪水冲击主控 CPU
 http-hostcar enable

 # 认证方案：MAC 认证（前域使用）
 authentication-scheme mac-radius
  authentication-mode radius
  # MAC 认证失败：不下线，强制转入 Portal 认证前域弹页面
  authening authen-fail online authen-domain portal-pre

 # 认证方案：认证后域使用（MAC / Portal 认证通过后统一走 RADIUS 授权）
 authentication-scheme post-radius
  authentication-mode radius

 # 认证方案：Portal 认证前域使用（不认证）
 authentication-scheme none-scheme
  authentication-mode none
  # 认证通过后从 Portal 认证后域上线
  authening authen-redirect online authen-domain portal-post

 # 计费方案
 accounting-scheme radius-acct
  accounting-mode radius
  accounting realtime 15
 accounting-scheme none-acct
  accounting-mode none

 # ===== ① MAC 认证前域：用户上线先落此域，先用 MAC 向 RADIUS 认证 =====
 domain mac-pre
  authentication-scheme mac-radius
  accounting-scheme none-acct
  radius-server group rd1
  ip-pool pool100
  # 域视图下发 DNS（优先级高于地址池；RADIUS 下发优先级最高）
  dns primary-ip 114.114.114.114
  dns second-ip 8.8.8.8
  # 绑定未认证用户组 → 仅可访问 Portal 与 DNS
  user-group pre-grp
  # 使能 MAC 认证（RADIUS 记录 MAC-账号关联，实现二次上线免输入）
  mac-authentication enable

 # ===== ② MAC 认证后域：BAS 接口的认证后域，全权限 + 计费 =====
 domain mac-post
  authentication-scheme post-radius
  accounting-scheme radius-acct
  radius-server group rd1
  ip-pool pool100
  user-group post-grp
  # 闲置切断：10 分钟内业务流量低于阈值即下线，及时释放 IP 与会话
  # V8 新版本等价写法：idle-cut 10 zero-rate
  idle-cut 10 0

 # ===== ③ Portal 认证前域（重定向域）：仅放通 Portal/DNS，弹认证页面 =====
 domain portal-pre
  authentication-scheme none-scheme
  accounting-scheme none-acct
  ip-pool pool100
  # 域视图下发 DNS（用户地址在此域分配，必须能解析域名才能触发重定向）
  dns primary-ip 114.114.114.114
  dns second-ip 8.8.8.8
  user-group pre-grp

  # ---- Web 强制认证服务（HTTP 重定向）----
  # Portal 服务器地址
  web-server 10.0.0.2
  # 强制重定向 URL
  web-server url http://10.0.0.2
  # HTTP 方式：get —— 参数随 URL query string 传递（与 URL 带参需求匹配）
  web-server mode get
  # URL 参数：用户 IP → wlanuserip
  web-server redirect-key user-ip-address wlanuserip
  # URL 参数：用户 MAC → mac；simple=明文，type1=冒号格式 aa:bb:cc:dd:ee:ff
  web-server redirect-key user-mac-address mac simple type1
  # URL 参数：设备 IP(NAS-IP 10.0.0.1) → basip
  # 注意：basip 必须取 10.0.0.1，不能取出口地址 100.0.0.1
  web-server redirect-key mscg-ip basip

  # ---- Portal 强制认证服务（Portal 协议 V2 交互）----
  # Portal 服务器地址与跳转 URL（与 web-server 侧保持一致）
  portal-server 10.0.0.2
  portal-server url http://10.0.0.2
  # Portal 协议重定向报文中的 MAC 参数名，须与 web-server 侧一致
  # 若该侧也需冒号格式，可加 type1：portal-server redirect-key user-mac-address mac simple type1
  portal-server redirect-key user-mac-address mac simple

 # ===== ④ Portal 认证后域：Portal 认证通过后全权限 + 计费 =====
 domain portal-post
  authentication-scheme post-radius
  accounting-scheme radius-acct
  radius-server group rd1
  ip-pool pool100
  user-group post-grp
  idle-cut 10 0

 quit

# ---------- 9. 用户业务接口与认证点（按 VLAN 使能）----------
# 用户业务子接口：终结 VLAN 100，认证点即"按 VLAN"生效
interface GigabitEthernet1/0/2.100
 description USER_SERVICE_VLAN100
 vlan-type dot1q 100
 bas
  # 二层普通用户(IPoE)；前域=mac-pre（MAC 优先），后域=mac-post
  access-type layer2-subscriber default-domain pre-authentication mac-pre authentication mac-post
  # 认证方式：Web(Portal)；配合前域 mac-authentication enable 形成 MAC 优先
  authentication-method web
  # 可选：加快认证触发（按版本支持情况开启）
  # arp-trigger
  # ip-trigger

# ---------- 10. 路由 ----------
# 默认路由指向上级防火墙（原占位 10.0.0.254 必须删除，避免错误引流）
# 若此前已配过：undo ip route-static 0.0.0.0 0 10.0.0.254
ip route-static 0.0.0.0 0.0.0.0 100.0.0.254

# 服务器网段 10.0.0.0/24 为直连路由，不受默认路由影响（无需额外静态路由）
# 若服务器与 NE40 ME60 BRAS 之间跨网段，需保证回程路由指向 10.0.0.1

# 可选：出口链路 BFD 联动，链路故障秒级切换（按对端是否支持 BFD 决定）
# ip route-static 0.0.0.0 0.0.0.0 100.0.0.254 bfd all-as

# ---------- 11. NAT 归属（二选一，切勿两端同时做）----------
# 【方案 A：NAT 在上级防火墙做（推荐，出口安全设备统一管控）】
# 本机不配任何 NAT，但必须确认防火墙侧三项：
#   ① 源 NAT：192.168.0.0/24 → 防火墙出口公网地址（或 100.0.0.1）
#   ② 回程路由：ip route-static 192.168.0.0 255.255.255.0 100.0.0.1
#      —— 缺这条的典型现象：认证通过、能 ping 通网关，但打不开网页
#   ③ 安全策略放通 192.168.0.0/24 至 untrust 区域
#
# 【方案 B：NAT 在 NE40 ME60 BRAS 上做（出口地址为公网时可如此）】
# nat address-group nat-egress
#  mode pat
#  section 0 100.0.0.1 100.0.0.1
# acl number 3000
#  rule 5 permit ip source 192.168.0.0 0.0.0.255
# interface GigabitEthernet1/0/10.10
#  nat outbound 3000 address-group nat-egress
# 说明：NE40 ME60 BRAS 若为 V8 新版本 NAT 实例/策略形态，等价改写为
#   nat instance / nat-policy + source-nat，报错时按 "?" 取当前版本关键字

# ---------- 12. 可选：用户限速（不需要 EDSG，用 qos-profile 即可）----------
# qos-profile 10M
#  car cir 10000 cbs 1870000 green pass red discard inbound
#  car cir 10000 cbs 1870000 green pass red discard outbound
# aaa
#  domain mac-post
#   qos-profile 10M inbound
#   qos-profile 10M outbound
#  domain portal-post
#   qos-profile 10M inbound
#   qos-profile 10M outbound

# ---------- 13. RADIUS 下发属性落地（用户名 / 用户组 / 域）----------

# 【13.1】用服务器下发的用户名替换本地生成的用户名
# 场景：MAC 快速认证时本地用户名=MAC，服务器在 Access-Accept 中回标准 1 号属性 User-Name
#       （如 zhangsan@isp1），需要把在线用户名改成真实账号
# 关键：默认只有 EAP / RADIUS proxy 用户的用户名会被替换，IPoE 用户默认【不替换】，必须显式开启
radius-server group rd1
 # 对 IPoE 用户启用"用服务器下发的用户名替换本地用户名"
 radius-attribute apply user-name match user-type ipoe
 quit

# 开启后：display access-user 里 User-Name 由 MAC 变为真实账号，
# 后续计费报文、日志、CoA/DM 匹配均使用新用户名。

# 【13.2】服务器下发用户组（HW-Usr-Group-Name / VSA 26-251）后本地如何生效
# 前提一：设备上必须存在同名用户组，否则下发不生效
#         组名 1~32 位，仅字母 / 数字 / 下划线，区分大小写
user-group vip-grp
user-group normal-grp

# 前提二：全局 inbound 方向只能挂一条 traffic-policy，
#         必须把新组的分类器【合并进已有 pre-policy】，不要重复执行 traffic-policy inbound
acl number 6100
 rule 5 permit ip source user-group vip-grp destination ip-address any
acl number 6101
 rule 5 permit ip source user-group normal-grp destination ip-address any

traffic classifier vip-cls operator or
 if-match acl 6100
traffic classifier normal-cls operator or
 if-match acl 6101

# 组策略：VIP 放行并限速 50M，普通组放行并限速 10M
traffic behavior vip-behavior
 permit
 car cir 50000 cbs 6250000 green pass red discard
traffic behavior normal-behavior
 permit
 car cir 10000 cbs 1250000 green pass red discard

# 合并后的统一策略（替换第 7 节的 pre-policy）
traffic policy pre-policy
 share-mode
 classifier pre-allow    behavior pre-allow    precedence 1
 classifier pre-deny     behavior pre-deny     precedence 2
 classifier vip-cls      behavior vip-behavior      precedence 3
 classifier normal-cls   behavior normal-behavior   precedence 4

traffic-policy pre-policy inbound

# 可选：不本地预建组，让服务器直接创建动态用户组
# aaa
#  remote-download user-group enable
#  remote-download user-group check interval 300
#  quit

# 可选：服务器用 HW-Data-Filter(VSA 26-82) 动态下发 ACL（最细粒度，按需开启）
# aaa
#  remote-download acl enable
#  quit

# 【13.3】服务器下发域名后本地如何切域
# 上行：设备用 HW-Domain-Name(VSA 26-138) 告知服务器用户实际落在哪个域（漫游域/强制域）
# 下行：设备"按服务器信息切域"有两条路：A=域属性 HW-Domain-Name（OpenPortal 接入账户组→详细信息）
#       B=用户名中的域名后缀 user@domain。A 无需额外命令，域存在即生效
#       A 的前提：目标域已在设备上创建，且 BAS 接口 permit-domain 放通，否则认证失败
#       认证阶段由 13.1 替换用户名带出域名；CoA 阶段需显式开启下面这条
# ---- OpenPortal 侧对应关系（域属性从哪来）----
#   NAS列表 → 高级扩展 = 华为高级（或 Mac认证账户+华为高级）才回该属性
#   域名的值 = 接入账户组 → 详细信息 字段；该字段留空 = 不下发 Domain
#   *** 不指定域时务必留空，不要乱填 ***
#   填了域名但本机无该域：关闭漫游=认证失败；开启漫游=落漫游域（策略全不对）
#   本方案域由 BAS 接口 default-domain 与 authening 决定，服务器不需要指定域 → 留空
radius-server coa update username

# 可选：允许服务器用 DM 报文按"用户名"强制下线（服务器只能拿到真实用户名时）
# radius-server dm-request support username

# 可选：域白名单，防止服务器下发任意域导致用户落到未预期域
# 语法随版本差异较大，配置前用 ? 确认
# interface GigabitEthernet1/0/2.100
#  bas
#   permit-domain mac-pre mac-post portal-pre portal-post

# 【13.4】Filter-Id（标准 11 号属性）下发 ACL / 用户组
# 解析顺序固定：先当 ACL 编号 → 编号不存在再当用户组名 → 都找不到 = 授权失败（不是忽略！）
# 服务器侧值的要求：1~32 字节，不能带 @（含 @ 只取 @ 前），不能带 " in"/" out" 后缀
# 报文内多个 Filter-Id 只有最后一个生效，建议只下发一个

# 路径 A：服务器下发 ACL 编号，设备必须预先配好该 ACL 及规则
acl number 3000
 rule 5 permit ip destination 10.0.0.0 0.0.0.255
 rule 10 deny ip
# 服务器侧：Filter-Id = 3000

# 路径 B：服务器下发用户组名（推荐，多用户复用一套 ACL，不占 ACL 规格）
# 服务器侧：Filter-Id = vip-grp
# 组与策略配置见 13.2（user-group + ACL source user-group + traffic-policy）

# 路径 C：动态 ACL，规则由服务器用 HW-Data-Filter(26-82) 下发，设备无需预配 ACL
# aaa
#  remote-download acl enable
#  quit

# 【13.5】终端信息上送（UA / DHCP Option）
# 【结论】NE40 ME60 BRAS 无法把浏览器 User-Agent 放进 RADIUS 报文
#   - 承载 UA 的属性是 HW-HTTP-UA(26-159)，但它属于交换机/AC 的 NAC 终端类型感知特性
#     触发命令 http parse user-agent enable 只在这些产品上存在，BRAS 的
#     radius-attribute include 可选项里没有 UA / 终端类型
#   - 且该属性走【计费报文 Accounting-Request】，不是认证请求；只对明文 HTTP Get 有效
#   - 现场一行验证：http parse user-agent enable ?   （报 Unrecognized 即不支持）
#   - 真要 UA：由 OpenPortal 采集（它本就在 HTTP 层），或接入交换机上送，或前置代理

# 【BRAS 能做的】在 Access-Request 中携带 DHCP Option 作为终端指纹
#   Option 12=主机名(价值最高) 55=参数请求列表 60=Vendor Class ID 61=Client ID
#   属性：HW-Dhcp-Option = 26-187（注意：交换机/AC 上是 158，号段不通用）
#   前提：用户必须通过本机 DHCP 获取地址；静态 IP 或旁挂 DHCP 不经本机时无 Option 可送
radius-server group rd1
 # 只带 Option 12（主机名）：187 是"一个属性里打包多个 option"，
 # 总长受 RADIUS 253 字节限制，塞太多会把后面的 option 挤掉
 radius-attribute include hw-dhcp-option 12
# 若不需要终端指纹，删除上面这条即可（不影响认证）
# 可选：计费报文上送访问 URL（属增值业务/审计，不是 UA，本方案未启用）
# radius-attribute include hw-web-url accounting-request

# 【13.6】终端主机名识别（Option 12 → OpenPortal「终端主机名管理」）
# 链路：终端 DHCP Option 12 = 主机名 → BRAS 本地池分配时缓存 →
#       Access-Request 的 26-187 里带 0C<len><主机名ASCII> →
#       OpenPortal「高级扩展=华为高级」解析 → 按 MAC 写入「终端主机名管理」表
# 注意：主机名来自终端自己填的 Option 12，Windows/iOS/macOS 基本都带，
#       部分安卓不带 → 该 MAC 无主机名，需在 OpenPortal 页面手工补录
#
# 【MAC 格式不用改】设备 31 属性缺省是 xxxx-xxxx-xxxx（华为 4-4-4 横杠小写），
#   OpenPortal 表格显示 11:22:33:44:55:66（冒号），两种写法由 OpenPortal 侧
#   自适应/归一化，设备侧保持缺省即可 —— 所以本节的生效配置只有 13.5 那一条
#   radius-attribute include hw-dhcp-option 12，此处无需再配任何命令。
#
# 【仅当 OpenPortal 明确不支持缺省格式时才启用下面这条（默认不加）】
#   作用范围是整个 RADIUS 组：认证与计费报文同时改变，
#   会影响计费话单、上网行为管理/审计等按固定 MAC 格式解析的下游系统
# radius-server group rd1
#  calling-station-id mac-format colon-split mode2
#  quit
#   老版本（V5/V600）该命令位于 radius-server template 视图，配置前用 ? 确认
#
# 同理：若 OpenPortal 的「MAC标识」取的是 User-Name 而非 31 属性，
#   也应由 OpenPortal 侧适配，不要改设备 default-user-name 的 MAC 分隔符
# 验证：display radius-server configuration group rd1   # 确认 hw-dhcp-option 已 include

# ---------- 14. 验证命令（不写入配置，部署后手工执行）----------
# display radius-server configuration group rd1
# display web-auth-server configuration        # 核对本机侦听端口 2000 与服务器目的端口 50100
# display web-auth-server statistics           # 收发计数：只增不收=对端端口或密钥不对
# display udp                                  # 核查 2000/50100 是否已被其他业务占用
# display access-user domain mac-pre
# display access-user domain mac-post
# display access-user domain portal-pre
# display access-user domain portal-post
# display access-user
# display ip pool name pool100
# display aaa offline-record all
# display ip routing-table 0.0.0.0            # 确认默认路由下一跳为 100.0.0.254
# display interface GigabitEthernet1/0/10.10  # 出口子接口 UP / 收发计数
# ping -a 100.0.0.1 100.0.0.254               # 用出口地址 ping 防火墙
# display access-user                     # 核对 User-Name 为真实账号、UCL-Group 为服务器下发的组名