问题描述：
S8806路由器，做为学校的bras与深澜计费系统配合，启用portal认证，所有终端需要认证才能上网。
其中一台电脑A做为服务器也成功认证，但同vlan电脑B无法访问这台服务器的应用，不同vlan的电脑C也无法访问这台服务器的应用。
但：与路由器相邻的核心交换机上的终端D可以访问服务器A。
请问，我应该如何设置才能让，所有电脑可以访问服务器A。（相关配置见组网描述）
组网及组网描述：
服务器vlan配置：
interface Route-Aggregation1.44
ip address 172.26.44.254 255.255.255.0
vlan-type dot1q vid 44
portal enable method direct
portal domain hhxy
portal bas-ip 172.16.10.37
portal apply web-server h3c
portal apply mac-trigger-server h3c
SR8800 BRAS，portal enable method direct（直接 Portal），认证用户之间的互访流量（用户→用户），报文上送到 BRAS 处理H3C。
- 终端 B/C 访问服务器 A，源是 Portal 认证用户，目的也是 Portal 认证用户；BRAS 的 Portal 安全过滤机制，默认隔离认证用户之间互相访问；
- 终端 D 流量不走 BRAS 这个子接口，报文在核心交换机二层转发，不经过 Portal 过滤，所以访问正常；
- 不是路由问题，不是服务器防火墙问题；是BRAS Portal 用户隔离机制，认证用户之间三层互访被阻断。
注意：这里不是普通 VLAN 二层用户隔离，是 BRAS‑Portal 业务的用户访问控制；深澜 RADIUS 服务器如果没有下发允许互访的授权 ACL，BRAS 就会阻断用户到用户流量H3C。
两套可行解决方案（二选一，优先方案 1）
方案一：RADIUS（深澜计费）下发授权 ACL，放行访问服务器 A（推荐）
原理：RADIUS 服务器给所有 Portal 在线用户下发授权 ACL，允许访问服务器 A 的 IP；SR8806 对认证用户动态安装该 ACL，允许用户访问该服务器 IP，其他访问控制逻辑不变。
- 在 SR8806 上预先创建高级 ACL，放行去往服务器 A 的 IP（假设服务器 A IP：
172.26.44.10）
acl advanced 3044
rule permit ip destination 172.26.44.10 0
quit
⚠️授权 ACL 仅支持编号 2000‑3999；不要配置 counting/logging/fragment/established，否则授权 ACL 不生效H3C。
- 在深澜 Srun 计费系统配置：
- 在域 hhxy 对应的 RADIUS 策略，下发
filter‑id=3044； - 所有 Portal 认证用户上线，BRAS 会自动加载 ACL3044；
- 效果：所有认证后的 B、C 终端，允许访问服务器 A；其他用户隔离、上网策略维持原样。
测试：终端 B 重新 Portal 认证上线，测试访问服务器 A。
方案二：BRAS 设备配置 portal free‑rule 免认证规则（备选）
注意：free‑rule 本意用于未认证用户访问资源，但也可以用来放行去往服务器 A；该规则在 Portal 过滤的第一优先级匹配，报文直接放行，不进入 Portal 用户隔离逻辑H3C。 在 SR8806 系统视图配置：
# rule 10：所有源，目的是服务器A，直接放行
portal free‑rule 10 destination ip 172.26.44.10 255.255.255.255 interface Route‑Aggregation1.44
⚠️局限：
- 这条规则未认证用户也可以直接访问服务器 A，不需要 Portal 认证；如果业务上不允许未认证终端访问服务器，不能使用本方案；
- 如果服务器 A 后续更换 IP，需要同步修改 free‑rule。
不推荐方案：完全放开 Portal 用户之间全部互访
不建议全局放开所有认证用户互相访问，校园网会带来安全风险（学生终端互相扫描攻击）。 不要直接全部放开用户互访，只放行目标服务器 IP。
排查验证命令（SR8806 执行）
#查看当前在线portal用户
display portal user interface Route‑Aggregation1.44
#查看用户是否拿到RADIUS下发的授权ACL
display portal user all verbose
#查看ACL3044的匹配计数，访问服务器A时看hit计数是否上涨
display acl 3044
补充排查点
- 确认服务器 A 本身防火墙、系统防火墙没有拦截业务端口；
- 确认 Route‑Aggregation1.44 子接口没有额外调用入方向 ACL deny 相关流量；
- 测试时终端 B、C 需要重新 Portal 认证下线再上线，RADIUS 下发的 filter‑id ACL 是用户上线时加载，已经在线用户不会自动刷新。
现象总结
核心交换机 D 能访问，B/C 不能访问，代表二层链路、服务器本身、路由全部正常，流量经过 BRAS Portal 子接口时被 Portal 安全策略拦截。优先用深澜 RADIUS 下发 filter‑id 授权 ACL，只放行访问服务器 A，兼顾安全与业务。
感谢！！！
排查步骤：
1. 检查Portal用户状态
在S8806上执行 display portal user all，确认服务器A的Portal会话是否正常，是否存在会话但无转发权限。
若服务器A的IP为172.26.44.x，确认其MAC和IP绑定是否正确。
2. 检查ACL或用户组策略
Portal认证成功后，设备会下发授权ACL或用户组。执行 display access-list all 和 display user-group，查看是否有针对已认证用户的ACL限制了同VLAN或跨VLAN访问。
重点检查是否存在“仅允许访问网关或特定网段”的ACL规则。
3. 检查接口下的报文过滤
在Route-Aggregation1.44接口下执行 display this，查看是否配置了packet-filter或qos apply policy，可能限制了服务器A所在VLAN的入方向流量。
4. 检查路由可达性
从终端B和C分别ping服务器A的IP，若不通，在S8806上执行 display ip routing-table 172.26.44.0，确认路由正常。
若ping通但应用层不通，可能是应用端口被ACL或防火墙策略阻断。
5. 对比终端D的路径
终端D在核心交换机上，可能不经Portal认证或走了不同转发路径。检查核心交换机与S8806互联接口是否配置了portal enable，若未启用，则D的流量不受Portal策略限制，这解释了D可访问的原因。
解决方案建议：
配置免认证规则：若服务器A需要被所有终端访问，建议在S8806上为服务器A的IP配置Portal免认证规则，避免其流量受Portal会话限制。
portal free-rule 10 source ip 172.26.44.x 32
在Route-Aggregation1.44接口视图下配置。
调整授权策略：若深澜计费系统下发的用户组或ACL限制了访问，需在深澜侧调整策略，允许已认证用户互访。
检查VLAN内二层隔离：确认S8806下联交换机是否配置了端口隔离或PVLAN，导致同VLAN终端无法互访。执行 display port-isolate group 检查。
若需跨VLAN访问：确保S8806上各VLAN接口均启用Portal，且路由互通，无ACL阻断。
建议优先配置Portal免认证规则，并检查ACL策略。
谢谢！！！
谢谢！！！
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
感谢！！！