电信又一新动作：上网业务不再使用 PPPoE 新装宽带无法改桥接

[oblivion]

昨天一前同事在微信联系我，
他说新装了电信的 1000M 宽带，他让装维改桥接，装维表示现在不能改桥接了，并把光猫超级密码、宽带账号密码给了他。
他自己进去光猫改桥接一直没成功，改桥接，路由器配置拨号用户名密码，不能上网。
问我能不能帮他改桥接，我想改桥接是非常简单的事情，没几分钟就能改好，运营商不给改桥接都是借口。

下班回家后让同事用热点打开向日葵，我连接过去帮他改桥接，进入光猫页面后我也不知所措了，上网认证方式竟然不是 PPPoE ，无奈只能让他先用路由模式上网。

请问大家这种 IPoE 认证的上网业务如何改桥接呢，光猫下的设备需要怎么配置 IPoE 拨号上网？

运营商：江苏电信（常州）
模式：XGPON
光猫型号：ZXHN F7010C

目前的光猫上网业务配置信息：

根据电信支撑回复的内容：
DHCP Option 的计算涉及到了动态的 Challenge Secret 和使用 SM3 、SM4 算法来生成
因此一段时间内是没有桥接并通过认证的方案，故暂时放弃。

另外关于 IPv6 默认阻断入向连接的情况，电信可以帮修改后台配置下发生效不进行阻断。

所以目前不改桥接，IPv4 使用 DMZ ，IPv6 使用默认配置，也能获得与以前桥接一致的体验。




另一帖是某地移动改造 IPoE 和纯 IPv6 接入，使用 4in6 上网的情况，相比电信侵入性更低，设备兼容性更好：
https://v2ex.com/t/875467

有电信负责技术的群友表示：未来电信会要求厂商在光猫内置 PPPoE 服务器，让原有的设备无缝迁移，不会中断业务。

即：光猫 IPoE 认证获得地址（路由）正常上网后，光猫下面的设备也可以 PPPoE 拨号也可以 DHCP 上网，但是 PPPoE 服务器是光猫本身，相当于 Faker 了一个 PPPoE 服务器来对原有的用户拨号上网设备无缝迁移。

拓扑：
用户终端 - 用户自己路由器（ PPPoE 拨号）- 光猫（ PPPoE 服务器）- 光猫（ NAT ）- 光猫（ IPoE 的 WAN ）- 运营商出口

很不幸看到了谣言满天飞，有很多小白在完全不相关的问题上添油加醋。

对于 IPoE 我们应该欢迎而不是恐惧。

具体请查看对于 IPoE 的总结贴： /t/875762

举个例子，一个一直正在 Windows XP 的人，从来不知道有新的操作系统，
突然有一天有人告诉他有 Windows 11 可以用了，这人大呼，有刁民要害朕。

[XiLingHost]

IPoE 应该就是直接 DHCP+Radius 认证吧

[ghjexxka]

看起来如果路由器不支持的话，改了桥接也用不了

[100240v]

早就弃电信用联通啦

[processzzp]

IPoE 就没必要改桥接啦，放心用

以前用 PPPoE 的时候改桥接，是因为光猫性能太烂，PPPoE 协议的开销又很大，不改桥接速度跑不上去，现在 IPoE 的开销已经很小了

[qazplkm]

需要更换支持 IPoE 的路由器

[EVJohn]

https://www.right.com.cn/forum/thread-4110060-1-1.html

[maskj4]

@processzzp 我一直以为他们改桥接是为了,公网 IP

[XiLingHost]

试试改桥接之后你自己的路由的 WAN 口配置为 VLAN 1229 ，然后使用 DHCP 方式获取 IP ，如果获取不到就把 mac 地址改成光猫的 mac 试试

[oblivion]

@processzzp #4 这个光猫性能没问题，但是他还是想改桥接
@maskj4 #7 改桥的需求接确实是为了直接使用公网 IP

[oblivion]

@EVJohn #6 我看过这些教程，这个是上网业务认证，不能像 IPTV 那样抓包，所以是拿不到认证信息的
@XiLingHost #8 直接 DHCP 没用的，需要给 DHCP 增加认证数据实现 IPoE 拨号

[100240v]

不能改桥接，那二级路由能接吗?

[cwbsw]

两个月前才刚发过个 PPPoE 什么时候才能淘汰的帖子，没想到电信这就安排上了。
https://v2ex.com/t/859349
帖子里那些坚持 PPPoE 不可替代的出来走两步？

[oblivion]

@100240v #11 可以接，电信送了两个 WiFi6 AX3000 的路由器，默认已经是配置好的

[gam2046]

IPoE 协议本身并不复杂，只是目前常见的家用路由器应该是没有支持的。

如果是为了让路由获得公网 IP ，可以尝试一下 openwrt 这类，应该具有 IPoE 的支持。

而且 IPoE 的使用，已经有很长的历史了，绝大多数家庭中的机顶盒认证一直是 IPoE

[q9339]

看起来 IPOE 是不是 可以互联内网作为使用啊 ？

[heiher]

光猫改桥接，然后 OpenWRT 路由器 WAN 口用 DHCP 方式，手工指定 Option 是不是就可以了，但认证具体采用的是怎样的 Option 就不清楚了

[march1993]

pppoe 时代的 ipv6 就是 IPoE 吧？

[datou]

找个支持 IPoE 的路由器完事了

[ghjexxka]

想起来前几天那个“精准限速”的贴好像就是江苏的，感觉两个存在联系

[erfesq]

我靠，这么鸡贼，用 ipoe 的话应该改不了桥接了，我看 ipv4 获取是用 dhcp+，这种用的应该是 mac 之类的了，鸡贼

[dianso]

2022 了， 还桥接？？？？？

[wangyuyang3]

目前没见到过支持 IPoE 拨号的 OpenWrt/lede 固件。去 github 或者恩山问问看？

[heiher]

你说还有没有一种可能是桥接后 PPPoE 拨号也行？

[shikkoku]

江苏上海电信似乎都对新技术使用上比较积极。

[kokutou]

云宽带吗

[465456]

坐等大神出教程

[q1angch0u]

@heiher 估计连账密都没有…
真棒啊…运营商也扛不住 pppoe 了吗……

[geekvcn]

@wangyuyang3 Openwrt 都支持 IPoE ，没见过不支持的固件。IPoE 就是 DHCP 的扩展，OpenWrt 配置 WAN 口为 DHCP 客户端，修改 MAC 地址，添加 Option60 、Option12 、Option55 就行了

[ohiu]

想请教一下大家 ipoe 下公网 IP 落不到路由器上，为了少一层 NAT 应该选择桥接模式还是 AP 模式，他们两者有什么区别

[q1angch0u]

@ohiu 该桥接就是为了少一层 nat 吧…

[465456]

https://www.right.com.cn/forum/thread-5925883-1-1.html

[465456]

找到一些资料，IPoE 改桥接好麻烦，要抓包，第一步就卡住一大堆小白（镜像抓包）

[geekvcn]

@465456 根本不需要，IPTV 因为配置信息都下发到机顶盒里所以要抓包，IPoE 直接在光猫里，有超密，直接备份光猫配置文件，解密配置文件里面所有参数信息都是现成的

[lns103]

@dianso 我们这边电信光猫默认关闭 upnp ，需要超级密码进入修改，很影响 bt 下载和 p2p 游戏，另外 ipv6 防火墙也不能通过 user 账号修改，部分型号甚至使用超级管理员也没有修改的地方。（让师傅改个桥接就可以避免这些问题

[killadm]

ipoe 就是带认证的 dhcp,好像是多个 option60?一般是 iptv 通过 ipoe 联网，internet 第一次见。
可以试试 padvan 或 openwrt ，都支持 ipoe 。

[trott]

wan 口直接设置 DHCP ，vlan 1229 应该就可以拿到公网 ip 了吧

[Kiriya]

华硕路由貌似支持 IPOE ，用动态 ip 下方设置有开启账号认证，应该就是 IPOE 认证

[TuxcraFt]

楼主是不是忘记有个东西叫做 DMZ ？

[Love4Taylor]

不知道移动什么时候跟进

[oblivion]

@dianso #21
@ohiu #29
@q1angch0u #30
@lns103 #34
@TuxcraFt #38

希望改桥接是因为路由模式下，光猫会默认 drop 全部 IPv6 入向连接，并且无端口映射选项，也无对于关闭功能

[cloudsigma2022]

对端同时 支持 pppoe 和 ipoe ，直接把封装类型改成 pppoe 就行了。

[heiher]

@oblivion #40 光猫里关闭防火墙不知道有没有用

[oblivion]

@gam2046 #14
@heiher #16
@datou @18
@wangyuyang3 #22
@q1angch0u #27
@geekvcn #28
@465456 #32
@geekvcn #33
@killadm #35

感谢大家回复，统一回复一下：
1.已经看到相关资料。
2.因为是上网业务，上联直接是 XGPON ，无法抓包。
3.这个 IPoE 看起来是非标准协议，因为设置界面中有“启用 IPoE 拨号”选项，并且需要设置用户名密码，该用户名密码直接使用 PPPoE 方式拨号提示 691 。
4.目前已经拿到用户名和密码，但是整个 IPoE 拨号过程并无技术资料。

因此看起来这个 IPoE 拨号应该属于一种未公开的私有协议。
不知道有没有电信的 IPoE 拨号对应的技术文档或者相关资料呢，需要发送哪些信息进行认证。

如图，需要配置 IPoE 拨号用户名密码：

[cloudsigma2022]

这个就是封装类型不一样，业务其实都是一样的。同一个账户和密码，再 pppoe 和 ipoe 类型下，都能成功拨号。

[cloudsigma2022]

> 3.这个 IPoE 看起来是非标准协议，因为设置界面中有“启用 IPoE 拨号”选项，并且需要设置用户名密码，该用户名密码直接使用 PPPoE 方式拨号提示 691 。


wan 口封装不一样，删除 wan 口，重新新建，改封装后，再拨号

[oblivion]

@cloudsigma2022 #41 已测试不支持 PPPoE ，拨号 691 ，PPPoE Scan Tool 显示不到对端 PPPoE Server

@heiher #42 防火墙无法关闭，只有高中低三种模式，以及一个启用 IPV6 SESSION 功能，
防火墙设置低，IPV6 SESSION 启用与否都不能实现 IPv6 入站放行。

[cloudsigma2022]

ipoe 不是什么新协议，老的 华为 ma5671 都支持的



[cloudsigma2022]

> 已测试不支持 PPPoE ，拨号 691 ，PPPoE Scan Tool 显示不到对端 PPPoE Server

扫不到，可能是因为 vlan 不对。

[06_taro]

@oblivion
IPoE 是很标准的协议
RFC894 ，没准比您出生的时间还早

[oblivion]

@cloudsigma2022 #44 #45 已经尝试 PPPoE 方式的桥接 /路由两种方式均无法拨号成功

配置：
https://imgur.com/a/ZHGJFB4

报错信息：

[oblivion]

@cloudsigma2022 #47 尝试过更换光猫，MA5671/B610 中的 IPoE 认证并不支持配置 IPoE 认证用户名密码，也无法获取到 IP
@06_taro #49 RFC 中的 IPoE 并未提到“IPoE 拨号认证”的方式，也没有提到需要提供用户名 /密码的 IPoE 认证模式。

[cloudsigma2022]

691 means “Access was denied because the user name and/or password was invalid on the domain." Either you have a typeo in the username or password, or there's an issue on the ISP side

可能要问下电信小哥 pppoe 的 vlan id ，用户名，密码。
最有可能的是 vlan id 问题。

[doumeki]

看了下， 好像 IPoE 和桥接不冲突， 封装类型选 IPoE,连接模式还是可以选桥接的。 不过没有试过倒底能不能用。

[oblivion]

@cloudsigma2022 #52 电信区域支撑回复：线路不支持 PPPoE ，无法桥接后通过 PPPoE 拨号上网

[oblivion]

@doumeki #53 关键点在桥接 IPoE 后，后方设备如何实现“IPoE 拨号认证”

[TuxcraFt]

光猫的 DMZ 设置为路由器静态 IP ，IPv6 在光猫链接方式里面搞一搞就 OK 了
当然我不是太懂网络，就凭感觉搞一搞。 你要问具体是怎么回事 我无法答复……

[disk]

ipoe 本身不包含身份验证，你还得搞清楚它用了什么身份验证协议，抓包需要光电交换机成本太高了

[Naples]

期待 ipoe

[oblivion]

@cwbsw #12
@heiher #23
@shikkoku #24
@q1angch0u #27

根据宽带讨论群小伙伴的反馈，移动也改为 IPoE 认证了，移动不需要特殊认证，可以随意桥接
新开了一贴： https://v2ex.com/t/875467

[lin559671]

用户名居然是 mac 地址，有意思

[FightPig]

江苏电信现在公网 ip 也要不到了，我自己家的去年要的还给了

[wtdd]

可能只是暂时更改后技术不熟练吧

[q1angch0u]

看这账号是 mac 地址，感觉有可能是 dhcp 的时候把账密透传过去，然后用于 aaa ？
要想改桥接，目前我最建议的方法就是想办法抓到它 DHCP Discover 的包…

[wwbfred]

我有个问题，他们这么搞，前期一大堆的 PPPOE 的客户一会儿一个电话，运维不嫌麻烦么？

[M5tuA]

@FightPig 0527 ，这周一新装宽带还能电话客服改公网，025 还是不行

[dndx]

IPoE 不就是以太网上跑 IP 包吗，谁家里的局域网不是 IPoE ，根本不是什么新鲜技术。

至于这个 IPoE+，应该是某种定制化的认证方式，802.1x ，DHCP Options ，具体是什么只能靠抓包看了。

[Imsw93]

这不就是 DHCP+认证嘛……TPLINK 都支持的方式啊……

[beijiaoff]

@ohiu
@q1angch0u 桥接模式是 NAT 由路由器来做，ap 模式是 NAT 由光猫来做。

[swiftg]

看看诊断菜单里可不可以抓包光口的数据，我接触的几款比较新的光猫都可以抓包光口数据，包括拨号的过程。不可以的话就看呢你听不能想办法 telnet 进去，放个 tcpdump 进去抓包

[swiftg]

抓包到认证过程后就可以在 openwrt 的网卡配置里手动指定各种 option ，甚至直接发送十六进制数据

[newmlp]

我杭州电信就是猫里面是 ipoe ，我改桥接后用路由器 pppoe 拨号上网的。。。

[jacy]

试一试找 10000 要宽带账号密码，说不定有个正常的 pppoe 账号

[tankren]

DHCP 不是更好吗， 设备如果不能 PPPoE 硬解，速率受限

[keepeye]

问问电信能不能改成混合模式

[psh2129]

上海，自己光猫使用中，千 M

[acbot]

@465456 对，研究相应的方法分享教程才是正路，主动权不在你我手上，既然运营商都在往这方面改我们就不要再在改回 PPPOE 的思路上去多花精力了，就像明明收 v4 用 v6 是趋势现在就不应该去把精力用在能不能开通 v4 或如何去杠 v4 的问题上了因为就算你现在有也不定说啥时候就掉了。

[ghwolf007]

是不是就彻底不能多拨了。。。。

[lxr760]

这是不是跟上海电信的云宽带原理一样 把网关从用户测上移到运营商那边了

[oblivion]

@geekvcn #28 感谢大佬提供的解决方案。但是按照当地电信业务支撑回复，他们确实是自己造了一个 IPoE 认证的轮子，
目前是按照中国电信企业标准 CTC 4.0 标准（ 2020 年发布）中的《 IPoE 互联网业务接入认证规范》《 IPoE 互联网电视业务接入认证规范》进行鉴权认证的。
但是目前该规范还没有公开，支撑仅仅是告诉了前同事认证过程：
1.网关由 ITMS 在网关每次启动或定期下发 Challenge Secret ，包含失效时间。
2.网关使用 NTP 更新到标准时间。
3.取得网关中配置的用户名、密码、LOID 、MAC 。
4.使用 SM3 、SM4 算法按照要求拼接计算出 Option 55 、Option 60 、Option 61 、Option 90 、Option 125 。
5.中间设备标记 Option 82 。
6.DHCP 正常流程

因此难点并不在抓包，而是抓包获取到的参数具有时效性，特别是需要 ITMS 定期提供 Challenge Secret 。
并且没有相关资料可查询到这些规范。

[ngv2]

IPoE 和桥接不冲突，看运营商是否支持或者愿意改。
我这里（非中国大陆），桥接后直接 dhcp 就可以上网了。
以下是 OpenWrt 的配置

config interface 'wan'
option _orig_ifname 'eth0'
option _orig_bridge 'false'
option proto 'dhcp'
option device 'eth0'

ip addr show 的结果
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
inet 200.000.000.000/23 brd 200.000.000.255 scope global eth0

[heiher]

https://doc.mbalib.com/view/e38d4f2929d576a37ec850bcabbbae1b.html

[aoling]

我的 iptv 就改桥接路由拨号，变成无线 iptv 了

[heiher]

中国电信-IPoE 接入认证规范又分为 session 级和非 session 级，刚查了一下区别：

以 IPoE 认证方式接入时，又可以分为 session 级和非 session 级两种具体的实现模型。这两种模型的主要区别是 NAS （即 BRAS 、SR 设备）是否与 AAA 服务器进行 Radius 报文交互，对终端的账号、密码进行校验。

Session 级 IPoE 认证要求 NAS 设备与 AAA 服务器交互 Radius 报文，由 AAA 判断准确性，并回复设备认证响应报文。

非 Session 级 IPoE 认证时，NAS 设备不需要和 AAA 服务器交互 Radius 报文，而是由 DHCP Server 和 AAA 服务器之间交互报文，来完成账号密码的校验。

[allanpk716]

当时装宽带，跟小哥说要在我的路由器拨号，他是得打电话给后台设置的，他们不给你改就是不行的

[oblivion]

@swiftg #70 按照电信的回复 option 需要特定算法动态计算，所以抓包固定 option 的方案只能用一段时间，过一段时间还要重新抓
@heiher #83 这份文档相当老了，是目前各地电信 IPTV 主要的认证方式，上网业务认证是 2020 年新出的规范

[Imsw93]

@oblivion 那就只有等大佬解出整个认证机制加密方式，做一个单独的程序来挂载了

[heiher]

还是要先抓包看看内容再说，或许实际上没那么复杂呢。先把光猫的 telnet 打开看看能不能抓到光口数据；不行的话，买一根一分二分光线，配个光模块镜像看看？

[ZeroKong]

@wwbfred 估计只有新装是这样，然后再慢慢切

[Archeb]

个人觉得，从原理上来说这个认证应该也不会很难搞。

因为这个规范必然要发给各家光猫厂商进行实现。光猫厂商那么多，完全有机会把他的固件弄出来分析、逆向甚至拿到这部分源码。估计等他全面铺开之后很快会有人弄出来。

[oblivion]

@heiher @Archeb @cloudsigma2022 @geekvcn 感谢大佬们的回复。

有电信负责技术的群友表示未来电信会要求厂商在光猫内置 PPPoE 服务器，让原有的设备无缝迁移，不会中断业务。

即光猫 IPoE 认证获得地址（路由）正常上网后，光猫下面的设备也可以 PPPoE 拨号也可以 DHCP 上网，但是 PPPoE 服务器是光猫本身，相当于 Faker 了一个 PPPoE 服务器来对原有的用户拨号上网设备无缝迁移。

[cloudsigma2022]

@oblivion #90

内置 pppoe server , 至少需要更新固件。短期，应该不难全面铺开。新猫还好说，老猫，估计没有厂商愿意更新固件。毕竟吃力不讨好。

[acbot]

@oblivion "...光猫内置 PPPoE 服务器..." 这个方案我总感觉是不是曲折了点，并且不知道它的意义在哪里，直接桥接或者转接这个 DHCP 下去应该也行吧，因为下游设备 WAN 口都支持 DHCP 接入啊，为啥非得拨号呢。

[elboble]

Ipoe 是 dhcp+option60 或者 82 字段，所以不是任意设备都能用，要符合局方规范

[mikeluckybiy]

@oblivion 没任何意义，除了增加故障率、增加光猫负荷，更卡顿之外，没有任何意义

[Andreas8]

这不是技术升级了吗？都什么年代了还拨号🐻

[heiher]

光猫 IPoE 封装桥接，路由器 WAN 口直接常规 DHCP ，光猫 relay DHCP 时改写增加认证信息是最好的。

@oblivion 刚登了光猫发现 Web 页面的诊断功能里就有镜像，可以把 WAN 口数据镜像到某个 LAN 口上，试试抓包看看呢。

[wtdd]

@oblivion 原来如此，看来老猫无忧了……

[oblivion]

@cloudsigma2022 #91 回复是只有新光猫会有，IPoE 改造也只针对新用户
@acbot #92
@mikeluckybiy #94 IPoE 改造后直接 DHCP 是可用的，内置 PPPoE Server 仅仅是为了兼容原来使用 PPPoE 的用户，有性能问题直接改 DHCP 即可
@heiher #96 抓包看了，确认是动态计算的 option ，每次重启光猫都会变。relay 的方案也反馈给电信技术了，他们需要评估。

[lxr760]

@oblivion 即光猫 IPoE 认证获得地址（路由）正常上网后，光猫下面的设备也可以 PPPoE 拨号也可以 DHCP 上网，但是 PPPoE 服务器是光猫本身，相当于 Faker 了一个 PPPoE 服务器来对原有的用户拨号上网设备无缝迁移。


如果宽带本身带公网 ip 。走你说的这种方式 pppoe 拨号以后还能获取到公网吗

[mrzx]

呵呵，楼上一堆只看表面，绝不是做网络这个行业的。

这样搞，光猫性能负担更重了。。

长远来看
其实就是不想让用户直接轻松拿到 IPV6 地址，中间非要过一层他们的设备（光猫）。。然后利用光猫来控制家庭宽带的 ipv6 所有进出流量，分担上一层路由器网关的压力，并且做到更精确管控。

并且以后电信想进军物联网，好了，ipv6 网关也是它的，它说了算。。。。。真实下了一盘大棋。。。

你们真以为是让用户 ipv4 和 ipv6 之间无缝迁移这个目的吗？真的吗？现在一堆路由器默认就开启了 ipv6,从 windows xp 之后网卡默认跑的就是双栈（ ipv6 和 ipv4 都开）。。直接打个电话，通知客户换个支持 ipv6 的路由器不是更简单？