问
同一台bras上两个不同的接口做IPOE认证
1小时前提问
- 0关注
- 0收藏，39浏览
zhiliao_Gixe
五段
原因：H3C RADIUS NAS地址优先级为「接口视图IPOE配置的ip nas-ip > 全局radius nas-ip > 接口主IP」。若全局配置了radius nas-ip，或两个IPOE接口均未配置单独的ip nas-ip，则认证时NAS地址会取全局配置值，导致两个接口显示同一NAS地址。
排查命令：
1. 全局视图：display radius nas-ip（查全局NAS配置）
2. IPOE接口视图：display this | include nas-ip（查接口单独NAS配置）
3. 会话视图：display ipoe session all（查会话实际NAS地址）
解决：需两个接口显示不同NAS时，要么分别在两个IPOE接口下配置ip nas-ip 对应接口IP，要么删除全局radius nas-ip配置，让接口用自身主IP。
排查命令：
1. 全局视图：display radius nas-ip（查全局NAS配置）
2. IPOE接口视图：display this | include nas-ip（查接口单独NAS配置）
3. 会话视图：display ipoe session all（查会话实际NAS地址）
解决：需两个接口显示不同NAS时，要么分别在两个IPOE接口下配置ip nas-ip 对应接口IP，要么删除全局radius nas-ip配置，让接口用自身主IP。
结论先说：不是 “接口 IP”，而是 BRAS 上 RADIUS 客户端的 “源地址 / NAS-IP” 配死了同一个地址，所以两个接口上的 IPoE 用户，在认证服务器上都显示成 “另一个接口的地址”（其实是同一个 NAS-IP）。
一、为什么会这样（最常见 3 点）
-
RADIUS 客户端用了同一个 Loopback / 源地址 BRAS 上一般配：plaintext
radius scheme xxx primary authentication x.x.x.x source ip x.x.x.x <-- 这里写死一个地址（比如Loopback0）不管用户从哪个物理接口上来，发给 RADIUS 的NAS-IP-Address永远是这个source ip，不是物理接口 IP。 -
两个接口属于同一个认证域 / 同一个 BRAS 实例 IPoE 是 “按域 / 按设备” 认证，不是 “按物理接口” 认证。 同一台 BRAS、同一个认证域下所有接口，NAS 地址都一样。
-
没有按接口指定不同的 NAS-IP（高级配置） 默认：全局 / 域下统一 NAS-IP 少数场景才会：接口下单独指定 radius source ip（但很多平台不支持或不推荐）。
二、你看到的现象对应关系
- 接口 A（1/0/1）IP：10.1.1.1
- 接口 B（1/0/2）IP：10.2.2.1
- Radius source ip：1.1.1.1（Loopback）
结果：
- 接口 A 上线 → 认证服务器看到 NAS=1.1.1.1
- 接口 B 上线 → 认证服务器看到 NAS=1.1.1.1 你以为是 “另一个接口地址”，其实是统一的 NAS 源地址。
三、快速排查命令（H3C）
bash
运行
# 查radius方案源地址
display radius scheme
# 查认证域绑定的radius
display domain
# 查接口下是否有特殊radius配置
display ip subscriber interface GigabitEthernet x/x/x
四、要让两个接口显示不同 NAS 地址（可选）
如果认证服务器必须按 “不同 NAS 地址” 区分用户，需要：
- 建两个不同的 radius scheme，各用不同 source ip
- 建两个不同的认证域，分别绑定不同 scheme
- 接口 A 绑定域 A、接口 B 绑定域 B
bash
运行
radius scheme 1
source ip 1.1.1.1
radius scheme 2
source ip 2.2.2.2
domain a
radius scheme 1
domain b
radius scheme 2
interface GigabitEthernet 1/0/1
domain a
interface GigabitEthernet 1/0/2
domain b是按照不同接口指定不同的bas地址的，认证域也是指定了不同的bas地址的
zhiliao_ywjyAb
发表时间：1小时前
更多>>
是按照不同接口指定不同的bas地址的，认证域也是指定了不同的bas地址的
zhiliao_ywjyAb
发表时间：1小时前
在同一台 BRAS 上，不同接口做 IPOE 认证时，认证服务器（如 RADIUS/AAA 服务器）显示的 NAS-IP 地址却指向了另一个接口的地址，这通常是由以下几个核心原因导致的。你可以根据实际组网情况逐一排查：
1. 设备全局 NAS-IP 配置未区分接口
在绝大多数 BRAS 设备（如 H3C、华为等）上，NAS-IP 是一个全局属性。如果你在系统视图下配置了全局的
radius nas-ip，那么无论终端从哪个接口接入，BRAS 向认证服务器发送 RADIUS 报文时，都会统一使用这个全局配置的 IP 地址作为源 NAS-IP。- 排查建议：检查设备的全局配置，看是否配置了固定的
nas-ip命令。如果业务需要区分接口，需要取消全局配置，并在对应的认证域（Domain）或接口视图下，针对不同的业务配置不同的 NAS-IP 参数。
2. 存在 NAT（网络地址转换）干扰
如果 BRAS 和认证服务器之间存在防火墙、路由器等中间网络设备，且这些设备配置了 NAT（网络地址转换）策略，可能会将 BRAS 发出的 RADIUS 报文（通常是 UDP 1812/1813 端口）的源 IP 地址进行了转换。
- 排查建议：检查 BRAS 到认证服务器之间的网络路径，确认是否有 NAT 设备将不同接口的 IP 统一转换成了同一个公网 IP 或特定的内网 IP。
3. 认证服务器识别逻辑或展示问题
部分认证服务器在展示或记录日志时，可能并非直接读取 RADIUS 报文中的
NAS-IP-Address 属性，而是直接抓取了UDP 报文的源 IP 地址。- 排查建议：如果 BRAS 存在多出口或复杂的选路策略，可能导致报文源 IP 与预期的 NAS-IP 不一致。你可以在认证服务器上抓包，直接查看 RADIUS 报文内部的实际属性，确认究竟是报文源 IP 变了，还是 NAS-IP 属性本身被带错了。
4. 接口或域（Domain）配置交叉
在配置 IPOE 认证时，通常会将不同接口划入不同的认证域（Domain）。如果两个接口的业务配置出现了交叉（例如，两个接口下的用户都被指向了同一个认证域，而该域中绑定了特定的 NAS-IP 参数），就会导致服务器接收到的 NAS-IP 相同。
- 排查建议：检查 BRAS 上两个接口的配置，确认它们是否绑定了不同的认证域，以及各个域内的
radius scheme或 NAS-IP 相关参数是否被正确区分。
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明