上网行为管理短信认证问题

桥接口和管理口都是可以的

用管理口的话你应该只能路由模式，桥接口则是透明部署的

https://www.h3c.com/cn/d_202509/2647516_30005_0.htm#_Toc209000404

透明模式做短信认证，桥接口 BVI 必须配置 IP 地址，只靠独立管理口无法完成 Portal 重定向与短信交互
一、为什么 BVI 必须配地址（你的故障根源）
Portal 页面重定向机制硬性要求
用户终端访问网页时，HTTP 302 跳转强制把浏览器指向ACG 桥接口 BVI IP加载短信认证页面。
现在 BVI 无 IP，终端无法和 ACG 建立 TCP 会话，根本弹不出认证页；就算能弹出，提交手机号时请求无法回传给 ACG。
短信交互双向流量依赖 BVI 网段互通
终端提交验证码请求→发到 BVI 地址→ACG 处理后访问外网短信网关；返回验证码页面也要走 BVI 地址回包。
独立管理口仅用于设备登录运维，不参与业务用户的认证报文转发，两条接口隔离，路由不通。
官方典型配置强制规则：透明桥短信认证场景，BVI 地址必须和终端用户业务网段同网段 / 三层可达。
二、你的组网问题拆解
拓扑：终端网段 <-> ACG 桥口 (BVI 无 IP) <-> 核心交换机；ACG 单独拉一根管理口接核心（有独立管理网段路由）
故障链路断层：
终端（业务网段） ↔ 无 IP 的 BVI（无三层通信） ↔ ACG 管理口（另一网段）
终端和 ACG 之间三层不通，Portal 重定向报文直接丢弃，短信认证流程中断。
三、最简修复方案（两步补齐 BVI 地址）
1. 给网桥 BVI 配置同业务网段静态 IP（关键）
Web 路径：网络配置→接口→网桥接口，编辑 BVI1，新增静态 IPv4 地址
示例：终端业务网段 192.168.1.0/24，分配 192.168.1.253 255.255.255.0
要求：该 IP 不能和网段内其他设备冲突，核心交换机存在回程路由指向这个 BVI 地址。


BVI配置IP界面
2. 核心交换机补充回程路由（必须）
终端网段网关在核心，核心需要把去往 BVI 地址的流量回指 ACG：
plaintext
ip route-static 192.168.1.253 255.255.255.255 ACG下联核心的物理接口IP
否则认证页面回包无法抵达终端。
四、仅配独立管理口，就算有路由也无法替代 BVI IP 的 3 个原因
Portal 重定向目标固定为BVI 地址，不识别管理口 IP，无配置修改入口；
终端 DHCP 网关指向核心，三层转发时，认证请求源 IP 是业务网段，目的是 BVI 地址，无 BVI IP 则目的地址不可达；
ACG 内部认证服务绑定网桥实例，管理口属于独立三层接口，服务无法跨接口转发用户认证报文。
五、短信认证全套配套自检（BVI 配完后仍失败检查）
1. ACG 外网连通性（发验证码依赖）
DNS 配置公网 DNS（114.114.114.114 / 223.5.5.5），启用 DNS 全局代理
ACG 默认路由指向出口防火墙，能 ping 通短信服务商域名 / IP
安全策略放行 ACG 访问外网 80/443 端口
2. 短信服务配置校验
系统管理→服务器管理→短信服务：厂商、账号、密码、接口地址、短信模板签名全部和服务商备案一致，点击测试连通无报错。
3. 认证策略与用户识别范围
用户管理→认证管理：启用短信认证，绑定短信服务对象
用户识别范围填入全部访客业务网段，否则 ACG 不拦截流量、不触发认证
认证策略匹配访客网段，动作选择短信 Portal 认证
4. 终端侧 DHCP 配置
核心 DHCP 地址池下发正确网关 + DNS，不能只下发内网 DNS（无法解析短信平台域名）。
六、补充两种特殊场景说明
多业务 VLAN 透明桥
BVI 配置主 IP + 多个同网段从 IP，覆盖所有访客 VLAN 网段；核心为每个网段配置回程路由指向 BVI 对应 IP。
不想占用业务网段 IP（折中方案，不推荐）
核心交换机配置策略路由 PBR：把访客 80/443 流量强制转发到 ACG 独立管理口 IP；
缺陷：改动核心策略路由，运维复杂，部分终端存在兼容性问题，官方优先推荐 BVI 同网段 IP 方案。
快速排错命令（ACG 控制台）
plaintext
display interface BVI 1 # 确认BVI已存在IP地址
display ip routing-table # 确认ACG有到短信网关外网路由
display portal auth-fail-record # 查看认证失败详细日志