电信又一新动作：上网业务不再使用 PPPoE 新装宽带无法改桥接

[oblivion]

昨天一前同事在微信联系我，
他说新装了电信的 1000M 宽带，他让装维改桥接，装维表示现在不能改桥接了，并把光猫超级密码、宽带账号密码给了他。
他自己进去光猫改桥接一直没成功，改桥接，路由器配置拨号用户名密码，不能上网。
问我能不能帮他改桥接，我想改桥接是非常简单的事情，没几分钟就能改好，运营商不给改桥接都是借口。

下班回家后让同事用热点打开向日葵，我连接过去帮他改桥接，进入光猫页面后我也不知所措了，上网认证方式竟然不是 PPPoE ，无奈只能让他先用路由模式上网。

请问大家这种 IPoE 认证的上网业务如何改桥接呢，光猫下的设备需要怎么配置 IPoE 拨号上网？

运营商：江苏电信（常州）
模式：XGPON
光猫型号：ZXHN F7010C

目前的光猫上网业务配置信息：

根据电信支撑回复的内容：
DHCP Option 的计算涉及到了动态的 Challenge Secret 和使用 SM3 、SM4 算法来生成
因此一段时间内是没有桥接并通过认证的方案，故暂时放弃。

另外关于 IPv6 默认阻断入向连接的情况，电信可以帮修改后台配置下发生效不进行阻断。

所以目前不改桥接，IPv4 使用 DMZ ，IPv6 使用默认配置，也能获得与以前桥接一致的体验。




另一帖是某地移动改造 IPoE 和纯 IPv6 接入，使用 4in6 上网的情况，相比电信侵入性更低，设备兼容性更好：
https://v2ex.com/t/875467

有电信负责技术的群友表示：未来电信会要求厂商在光猫内置 PPPoE 服务器，让原有的设备无缝迁移，不会中断业务。

即：光猫 IPoE 认证获得地址（路由）正常上网后，光猫下面的设备也可以 PPPoE 拨号也可以 DHCP 上网，但是 PPPoE 服务器是光猫本身，相当于 Faker 了一个 PPPoE 服务器来对原有的用户拨号上网设备无缝迁移。

拓扑：
用户终端 - 用户自己路由器（ PPPoE 拨号）- 光猫（ PPPoE 服务器）- 光猫（ NAT ）- 光猫（ IPoE 的 WAN ）- 运营商出口

很不幸看到了谣言满天飞，有很多小白在完全不相关的问题上添油加醋。

对于 IPoE 我们应该欢迎而不是恐惧。

具体请查看对于 IPoE 的总结贴： /t/875762

举个例子，一个一直正在 Windows XP 的人，从来不知道有新的操作系统，
突然有一天有人告诉他有 Windows 11 可以用了，这人大呼，有刁民要害朕。

[mrzx]

以后电信要是真敢大面积这么搞，我第一个换带宽，TMD ，我 IPV6 想开放几个端口就开放几个端口，要你光猫来决定？还要打电话给你电信，才能对我想放开的网络服务放行？你未免管的太多了吧。。。

我就喜欢桥接，我就喜欢我有公网 IP(不管是 ipv4 还是 ipv6)，我能自己控制对外的服务。。。

[465456]

有大佬测下 IPoe 和 pppoe ，openwrt 的小包的转发率吗？

[465456]

电信这一搞，这鸡巴光猫感觉不是自己的，开放哪个端口还要电信那边决定和修改

[cwbsw]

@heiher
光猫 IPoE 封装桥接，路由器 WAN 口直接常规 DHCP ，光猫 relay DHCP 时改写增加认证信息是最好的。
赞美这个方案。

[ohiu]

@beijiaoff 大概懂了，就是在光猫或者前一层有 NAT 的事实下不降低网络质量只能选 AP 模式是吗。那光猫改桥接关掉了光猫的 NAT ，路由器改桥接等于让路由器变成了交换机？

[465456]

@ngv2 OpenWrt 官方的默认软件，就能支持 ipv4 和 ipv6 双栈吗？还要不要安装其它软件例如：访问 IPv4 需要通过 4in6 隧道

[mikeluckybiy]

@mrzx 快进到电信公司用光猫挖矿

[datou]

@465456 IPv4 over IPv6 隧道是局端自动配置的，不是用户端配置

[mikeluckybiy]

@465456 和魔都 sdn 的理念差不多，魔都早就开始 sdn 接入了，光猫没有管理入口，需要电信远程下发配置，一方面是电信减少运维成本，另一方面便于管理监控。用户操作不便，更致命的还有 2 个弱点，等我玩够了再说。

[bibiisme]

@mrzx nbcs 你

[jiagm]

@march1993 IPv6 PPPoE 是实际存在的。

[hanguofu]

请问对于这个 IPoE 拨号的方式，是不是无法实现 放行 IPV6 入站 的功能呢 ？

[oblivion]

@mrzx #101
@465456 #103
@heiher
根据其他帖子来看，三家运营商均在改造，步调一致，路线一致，进度一致，已无路可退
电信可能是有公网 IPv4 包袱，而选择了这条曲折的改造路线，让公网 IPv4 直接分配到用户设备
联通早就改造了 NAT444 ，公网用户不多，用户需求不大
移动起步就没有公网 IPv4 ，直接 NAT444 ，更没有后顾之忧
可能正因如此，联通和移动选择了 ds-lite 的方式改造接入

联通： /t/875742
移动： /t/875467

@datou #108 是需要用户端配置的

@hanguofu #112 可以放行入站，但是要看光猫，联系运营商开放也可以

[CharonVIII]

@oblivion 请问您说的电信“让公网 IPv4 直接分配到用户设备”意思是 BT 和 p2p 游戏联机不受影响吗？如果受影响的话请问该怎么做您有头绪吗？我光猫后面还装了一个有 openwrt 的软路由，还是有操作空间的

[tutugreen]

不是无法改桥接吧。。

原先是光猫负责 PPPoE 拨号，桥接以后让下面的路由拨号。

现在光猫不用封装 PPPoE 了，IPoE 认证或者不认证，都可以改桥接。

就 IPoE 本身，和有没有公网 IP 没有关系，有没有公网是看他分配给你的地址是否是公网，他想分配公网就公网，私网就私网。IPv6 网络这块，其实运营商想限制，在哪里做都可以，PPPoE 照样可以在上层限制。

从理想情况看，还是有益的，省掉了 PPPoE 及 mtu 开销。

至于下面用户设备是否支持了桥接认证，运营商也不用关心，反正他们给到路由，高级用户终归会实现各类操作的。

目前光猫性能也足够，NAT 跑千兆都硬件加速的，CPU%不带动的。

[xlousp]

IPOE 鉴权，openwrt 这类开源路由器是支持的，主要是获取认证文件或者字段

[xlousp]

@doumeki 可以使用的，iptv 就是这种方式

[xlousp]

采用 ipoe 鉴权认证，需要 itms 不断下发信息，光猫运算后联网，这无疑是在光猫硬件工作量上加量不加价，性能开销不断加大，老旧光猫基本没希望，除非他们不在乎用户体验

[lovezhiqi123]

@oblivion 河南联通的 IPTV 也是 ipoe 拨号，光猫里边也是启用 IPOE 拨号认证
账号举例： [email protected]
密码：123456
这个账号可以在光猫里边 IPOE 拨号也可以在机顶盒里边 IPOE 拨号
所以说 IPOE 桥接可以搞，就是需要一个 option 60 数据而已

[oblivion]

@lovezhiqi123 #119 IPTV 用的是 2010 年发布的旧规范，静态认证的，可以抓包后直接用，上网业务是 2020 出的新规范，需要动态下发 secret 参与计算 option ，所以即使抓包也只能用一段时间。

@xlousp #118 仅仅是在 DHCP 请求时认证，认证结束后就是正常以太网了，完全 0 开销，比 PPPoE 性能更高。

@tutugreen #115 主要是电信做了一个动态认证算法，抓包出来的 option 有时效性，不能一直使用。

[deorth]

我总结一下：私有标准害死人

[lovezhiqi123]

@oblivion 我就给你看一张图你就知道了 这是我们河南联通 IPTV 的 IPOE 拨号，你可以和楼主的图对比一下

[orwtmc]

同常州人 观望

[jousca]

@465456 光猫本来就不是你的，那是运营商资产！！！！

[465456]

@jousca 运营商送的光猫，早就给我换了，是我自己的华为 MA5671

[qdmooo]

@processzzp 很多光猫自带的 upnp 是假的，不桥接的话很多主机游戏没法联网

[lns103]

@qdmooo 没见过假 UPnP ，但是我这边的光猫都是默认关闭这个的，需要超级密码才能开启，开启后可以正常使用

[beijiaoff]

@ohiu 好像还没表达清楚，不存在光猫改桥接 vs 路由器改桥接，桥接就是这俩东西搭一个特殊的桥。桥接后光猫只负责光电信号转换，路由器负责拨号以及路由 nat 。如果不桥接，光猫就全负责，你再接下级路由器的话就有两级 nat 了，除非把路由器跑在 ap 模式，那路由器就只是交换机+ap

[swiftg]

进手里最新的光猫看了下，/bin/里面已经有一个 pppoe-server 了

pppoe-server -h
Usage: pppoe-server [options]
Options:
-I if_name -- Specify interface (default eth0.)
-T timeout -- Specify inactivity timeout in seconds.
-C name -- Set access concentrator name.
-m MSS -- Clamp incoming and outgoing MSS options.
-L ip -- Set local IP address.
-l -- Increment local IP address for each session.
-R ip -- Set start address of remote IP pool.
-S name -- Advertise specified service-name.
-O fname -- Use PPPD options from specified file
(default /etc/ppp/pppoe-server-options).
-p fname -- Optain IP address pool from specified file.
-N num -- Allow 'num' concurrent sessions.
-o offset -- Assign session numbers starting at offset+1.
-f disc:sess -- Set Ethernet frame types (hex).
-s -- Use synchronous PPP mode.
-k -- Use kernel-mode PPPoE.
-u -- Pass 'unit' option to pppd.
-r -- Randomize session numbers.
-d -- Debug session creation.
-P -- Check pool file for correctness and exit.
-h -- Print usage information.

PPPoE-Server Version 3.8, Copyright (C) 2001-2006 Roaring Penguin Software Inc.
PPPoE-Server comes with ABSOLUTELY NO WARRANTY.
This is free software, and you are welcome to redistribute it
under the terms of the GNU General Public License, version 2
or (at your option) any later version.
http://www.roaringpenguin.com

[shikkoku]

我比较关注的是，如果使用 IPoE 拨号认证，那 IPv4 地址获取方式有哪些常见的高性能光猫支持 DHCP+模式？光猫性能够了那我后面的路由直接有线桥接用。

[yangzhaofeng]

主要還是 option 90 的算法有沒有公開，標準其實不能算私有的。

SM3 比較好理解，但是 SM4 的對稱密鑰如果用了 tpm 來保護那可能電信屬實是不想讓用戶用自己的設備了。

備忘：
openssl dgst -sm3 # from stdin
openssl enc -sm4<-cbc/ecb> -K <raw key> <-S salt> -in <input file> -out <output file>

[nnnccc]

我也是常州的，现在常州是新装宽带都不给公网 IP 了，说发了个文件，以前只要打个电话就可以改公网，给你账号密码是可以自己再拨号的，这个到没问题，主要是我昨天开始发现我公网 IP 拨号网关变成了 100.100.0.1 ，上网是没影响，外网也能访问，但是我平时都是多拨的，100M 上行实际给到 120 ，多拨可以到 360M ，现在变成 100.100.0.1 这个内网网关多拨不叠加了。