ACG旁挂m-lag核心旁边怎么做短信认证？

在M-LAG核心旁挂ACG做短信认证，核心思路是让用户流量经过ACG，由ACG完成Portal重定向和短信验证，认证通过后再放行到上行防火墙。
部署要点：
1. ACG旁挂接入
ACG以二层或三层方式旁挂到M-LAG核心。推荐三层旁挂，核心上配置VLAN接口与ACG互联。
核心上写策略路由（PBR），将需要认证的用户网段流量下一跳指向ACG。
2. M-LAG核心配置
确保M-LAG成员设备上PBR配置一致，且下一跳ACG的互联地址在两边都可达。
如果ACG是单机旁挂，注意不要在M-LAG上做跨设备聚合到ACG，直接用普通物理口或单臂路由口即可。
3. ACG关键配置
接口配置：与核心互联的接口配置IP，并开启Portal认证。
认证方式：在ACG上创建Portal认证策略，认证方式选择“短信认证”，配置短信网关（对接短信平台）。
免认证策略：放行DNS、短信网关IP、以及Portal页面服务器地址，否则用户未认证前无法获取验证码。
认证后放行：认证通过后，ACG将用户流量正常转发回核心，再由核心送到上行防火墙。
4. 流量路径
用户→核心（PBR引流）→ACG（Portal+短信认证）→核心→上行防火墙→外网。
回程流量需确保从防火墙回来经过核心后能回到ACG，再返回用户，避免来回路径不一致导致认证状态异常。
核心配置示例（以VLAN 100为用户网段，ACG互联地址10.1.1.2）：
acl advanced 3000
rule 0 permit ip source 192.168.100.0 0.0.0.255
policy-based-route pbr_authen permit node 10
if-match acl 3000
apply next-hop 10.1.1.2
在用户网关VLAN接口下应用：
interface Vlan-interface100
ip policy-based-route pbr_authen
注意事项：
M-LAG两台核心都要配置相同的PBR，且ACG互联VLAN要透传两台核心。
如果ACG支持双机，可考虑ACG也做HA，但旁挂单机也能实现功能。
短信认证前必须放行DNS和短信平台流量，否则用户收不到验证码。