下午三点半网络中心电话准时响起电话那头是宿舍区学生焦急的声音“Wi-Fi连上了但网页怎么都打不开。”这类工单在每个高校信息化部门几乎每天都在重复。表面上看是“网不好”实际上真正决定你能不能上网的是校园网认证计费这条看不见的链路。而在这条链路上不同学校走的路线完全不同有的学校用的是自主搭建的AAA模式有的则采用运营商参与的代拨模式。这两种模式不仅决定了你登录页长什么样还决定了账号归谁、计费归谁、出了故障该查谁。这篇文章就把校园网认证计费的两种主流架构掰开揉碎讲清楚适合高校网络维护人员、计费产品相关从业者以及每一个对“登录页为什么不弹出来”感到好奇的校园网用户。1. 同样是输账号密码背后却是两套完全不同的玩法1.1 先把认证计费链路图画出来很多教程一上来就讲协议、讲报文容易把新手劝退。我先用一个最直白的视角来看校园网当你连上校园Wi-Fi或者插上网线的那一刻你的终端其实处在一个“不放行”的状态。所谓“不放行”就是接入设备知道你的设备在线但不会让你的流量直接到达互联网除非你完成了一次认证。这条链路上大致有这几个角色用户终端手机、笔记本、宿舍路由器等负责发起上网请求。接入设备宿舍区的AP、交换机或者楼道里的ONU负责把你的流量送到上层。认证网关常见的是BRAS宽带远程接入服务器、AC无线控制器、或者一台高性能认证网关。它负责拦截未认证流量把用户引导到认证页面。认证与计费服务器通常是RADIUS服务器加数据库负责校验账号密码、下发授权策略、记录在线时长和流量。出口设备防火墙、出口路由器、运营商专线负责把合法流量送去互联网。理解了这条链路很多问题就有了解释。比如登录页弹不出来可能是认证网关没有正确拦截HTTP请求比如认证成功却上不了网可能是RADIUS服务器返回的授权策略没有下发到接入设备。1.2 三种常见接入认证方式Portal、802.1X、PPPoE校园网里最常见的三种认证方式是Portal网页认证、802.1X客户端认证和PPPoE拨号认证。三者的区别非常直观认证方式用户操作界面是否需要装客户端常见部署位置典型应用场景Portal认证网页登录页不需要浏览器即可无线控制器、认证网关全校无线网、访客网络802.1X认证系统自带或专用客户端通常需要交换机、AP有线办公区、高安全区域PPPoE认证拨号连接系统自带BRAS宿舍宽带、运营商合作区三种方式本身不分好坏主要看场景。Portal认证对用户最友好手机连上Wi-Fi自动弹页面但前提是浏览器得访问一个HTTP明文地址才能被重定向。802.1X安全性和管控能力更强但配置对普通用户不太友好很多学生装不上客户端或者配置出错。PPPoE则非常成熟运营商宽带最常用学校宿舍区如果和运营商合作经常能看到这种登录方式。1.3 一次网页认证背后发生了什么假设你用的是Portal认证连上校园网后打开浏览器此时背后发生了四件事你的终端通过DHCP拿到一个校内IP地址但此时所有流量都会被网络设备标记为“未认证”。你访问一个HTTP网站HTTP请求到达认证网关网关发现这个用户未认证直接拦截。认证网关返回一个302重定向把你的浏览器引导到校园网认证页面的URL。你输入学号和密码认证服务器校验通过向接入设备下发“放行”指令同时开始记录计费字段。很多人好奇“校园网验证网址原理”其实就是这个重定向机制。比如你访问http://connectivitycheck.xxx.com这类探测地址校园网设备会把请求重定向到认证页面所以手机系统会判断“当前网络需要登录”。这也是为什么苹果和安卓设备连上校园Wi-Fi后会自动弹出“需要登录网络”的提示。有一个很常见的坑现在很多APP默认走HTTPS加密连接如果你直接打开某个HTTPS网站认证网关无法在80端口上拦截就不会自动跳转登录页。这时候手动输入一个HTTP站点的地址比如校园网认证页面的URL就能触发跳转。2. AAA模式高校自主认证计费的“标准答案”2.1 认证、授权、计费到底怎么分工AAA是Authentication认证、Authorization授权、Accounting计费三个英文单词的缩写。很多教材把它讲得玄乎我用一个生活例子说明认证就是门禁你刷脸进小区系统确认“你是业主”。授权就是门禁之后你能去哪些楼层你是业主能进单元门但进不了物业机房。计费就是水电表你住了多久、用了多少水电气月底出账单。在校园网里认证解决“你是谁”——通过学号工号和密码确认用户身份授权解决“你能干什么”——比如学生套餐允许50M带宽教师套餐允许100M带宽访客账号只能访问校内资源计费解决“你用了多少”——记录用户上线时间、下线时间、产生的上行流量和下行流量再换算成套餐额度或账单。AAA模式的核心价值在于这三个环节集中在一个平台上管理学校信息中心可以自定义所有策略。这也是大部分高校教学区和办公区采用AAA模式的原因——账号自主、策略自主、数据自主。2.2 RADIUS是AAA的神经系统AAA的具体实现协议目前业内基本就是RADIUSRemote Authentication Dial-In User Service一家独大新一代的Diameter协议在教育网里用得不多。RADIUS协议运行在UDP之上默认端口是1812认证和1813计费。RADIUS交互过程大致是这样的接入设备NAS收到用户认证请求封装成Access-Request报文发给RADIUS服务器报文里带着用户账号、密码加密过的、NAS的IP、用户所在端口等属性。RADIUS服务器查数据库校验账号密码然后回Access-Accept允许或者Access-Reject拒绝。如果认证通过终端就可以上网。此时NAS会向RADIUS服务器发Accounting-Request开始计费服务器回Accounting-Response确认。用户下线时NAS再发一个Accounting-Request停止计费里面带有上线时长、上下行流量等属性。这里要特别提几个关键属性User-Name账号通常是学号。Framed-IP-Address分配给用户的IP地址。Acct-Input-Octets / Acct-Output-Octets上行/下行流量字节数。Acct-Session-Time在线时长秒。Acct-Interim-Update中间更新报文用来定期上报流量和时长。我见过不少刚接触校园网计费的人问如果用户一直在线学校怎么知道他用了多少流量答案就是中间更新报文。NAS每隔5分钟或者10分钟向RADIUS服务器上报一次当前累计流量服务器记录并持续累加。所以哪怕你一个月不关机流量统计也不会丢。2.3 计费策略怎么落地AAA模式的计费策略完全由学校自身的RADIUS服务器和计费系统决定。常见的策略有这么几种计费方式实现原理典型场景包月不限量只校验账号有效状态不关心流量教师办公、研究生实验室按时长计费基于Acct-Session-Time累计时长某些校内公共机房按小时收费按流量计费基于Acct-Input/Output-Octets累计流量学生套餐赠送流量超出需要购买带宽分档认证通过后下发不同的QoS策略普通用户10M高优先级用户50M这里有一个技术点需要展开带宽限制并不是RADIUS服务器直接“卡”出来的而是RADIUS在Access-Accept报文里通过Filter-Id、Huawei-Input-Bandwidth这类私有属性通知接入设备“给这个用户限速多少”。真正执行限速的是BRAS或接入交换机。所以如果一个学校说“校园网限速”那不是运营商在捣鬼而是认证计费系统下发的策略起了作用。还有一点很关键账号共享在AAA模式下很容易被发现。传统做法是把账号和IP/MAC绑定同一个账号同时只能在一个终端登录第二个终端尝试认证时要么顶掉前一个要么被直接拒绝。更高阶的方案是通过在线用户管理平台检测到同一账号多终端并发时自动告警。3. 代拨模式运营商账号走进校园的另一种架构3.1 代拨到底“代”了什么“代拨”两个字拆开来理解就是“代替拨号”。在高校场景里代拨指的是学校侧的一台集中设备代替成百上千个用户向运营商发起宽带拨号从而让用户能够上网。注意这里用户手上的账号往往是运营商的宽带账号而不是学校自建的学号账号。代拨模式的典型拓扑是这样的用户终端 → 校园网接入设备交换机/AP/ONU → 学校代拨设备支持PPPoE代拨的BRAS或网关 → 运营商宽带接入服务器 → 互联网用户接入校园网之后校园网内部可能会弹一个Portal页面让用户选择运营商也可能不弹页面直接走默认线路。用户在手机或者电脑上拨号但其实这个拨号请求并不会直接打到运营商的BAS上而是在校园网的BRAS处被终结再由BRAS使用同一账号向运营商重新发起一次拨号。用户侧的“拨号连接”和运营商侧的“拨号会话”不是同一条物理管道但账号是同一个。3.2 代拨出现的原因代拨模式不是技术上的偶然而是运营商与高校合作的产物。很多高校宿舍区的宽带是由运营商投资建设或者联合运营的运营商希望用户使用自己的宽带账号以便计费和产品捆绑。如果每个用户都直接向运营商拨号学校网络中心就变成了“纯管道”对用户管理能力极弱。代拨模式则让学校在网络中间层加了一道控制点用户账号来自运营商但学校可以管控哪些用户允许使用网络。学校的BRAS可以把用户的拨号请求集中起来统一走运营商出口便于多运营商线路调度。校园网内部的下发IP、DHCP、DNS等参数仍然由学校规划用户感知上依然是校园网。这个模式在运营商合作的宿舍区非常常见。很多学生缴费是在运营商APP上缴的宽带费但上网时却要输入校园网账号正是因为代拨设备做了账号对应和映射。3.3 AAA与代拨的对照表很多人在网上问“校园网和运营商宽带账号到底什么关系”其实只要分清模式就不乱了。我列一个对比表把两种模式的关键差异摆出来对比维度AAA模式代拨模式账号归属学校自建账号学号/工号运营商宽带账号为主认证位置校内RADIUS服务器运营商认证系统或学校代拨设备转发计费主体学校计费系统运营商BOSS系统策略自由度高学校自定义套餐和权限低受运营商产品约束用户入口Portal / 802.1X客户端运营商拨号 校园内Portal故障排查查校内RADIUS日志即可需要排查学校设备加运营商侧状态典型区域教学区、办公区、图书馆合作运营的宿舍区需要强调一点现实中的高校网络很少是单纯一种模式。很多学校的教学区走AAA模式宿舍区又叠加了代拨模式甚至同一个宿舍区里同时有多家运营商线路需要用户在Portal里选择“电信”“移动”或“联通”。这种混合架构不是设计混乱而是运营层面的现实妥协。4. 从这些常见校园网“怪现象”反推你所在网络是哪种模式4.1 连上Wi-Fi不自动跳登录页先查重定向链路“校园网不跳转登录界面”是出现频率最高的求助帖。这个问题在两种模式下都可能出现但排查方向完全不同。先理解原理登录页能弹出来依赖认证网关把未认证用户的HTTP请求重定向到认证页面。以下是几个常见原因你访问的是HTTPS站点认证网关无法在80端口拦截所以不重定向。解决方法是手动输入认证页面地址或者访问一个明文HTTP地址。手机开启了私有MAC地址每次连接都会生成新MAC认证网关无法识别同一个用户导致无法关联到待认证页面。DHCP没有正确分配到IP地址终端本身并没有真正接入校园网。DNS被劫持或异常域名解析失败页面无法加载。在代拨模式下不跳转还有一种可能你用的是运营商拨号客户端而校园网内网Portal只作为辅助校验如果代拨会话没有建立成功Portal也不会正常弹出。排查方法很简单断开Wi-Fi重新连接然后手动访问http://1.1.1.1或者校园网认证页地址。如果还是不出来检查DHCP获取到的IP是不是内网地址段再看DNS配置是否正常。4.2 “无互联网连接”和延迟跳动是谁造成的手机连上Wi-Fi后一直在“无互联网连接”和正常网络之间横跳这个现象几乎每个校园网用户都遇到过。背后的逻辑不复杂手机系统在连接Wi-Fi后会主动访问一个探测服务器来确认网络是否真正可用这个探测请求通常是HTTP明文请求。在未认证状态下校园网设备会拦截并重定向这个请求手机发现返回的不是预期响应就判定为“无互联网连接”。但关键问点在于即使你完成认证后有些终端依然会短暂显示“无互联网连接”这是因为终端的连通性检测有缓存重启Wi-Fi或者忽略网络重新连接即可恢复。至于“校园网延迟一直跳”常见原因有三个无线信号问题宿舍里大量设备共用同一个AP信道拥塞时延自然波动大。出口拥塞晚高峰时段大量用户同时在线出口带宽打满每个连接都在排队。限速策略认证计费系统下发的带宽档位不足表现为视频卡顿、游戏延迟高。如果你是在SA模式下用Radius下发的限速策略那么延迟跳跃更可能是DDoS式拥塞需要联系信息中心看BRAS的接口流量和用户会话数。4.3 IP地址段透露的信息很多校园网用户会注意到自己的IP地址长得比较奇怪比如172.17.1.2、10.10.16.58。这其实是RFC1918规定的私有IPv4地址段。校园网内部用私有地址非常正常因为公网IPv4地址早就枯竭了学校不可能给每个学生分配一个公网IP。从IP地址段也能大致判断网络模式AAA模式下通常全校统一规划私有地址段可能是10.x.x.x或172.x.x.x出口统一做NAT转换。代拨模式下用户有可能看到运营商级的私网地址例如100.64.x.x这是运营商级NATCGN专用地址段。如果宿舍区拨号后拿到的IP是100.64.x.x基本可以判断运营商介入了网络。顺便说一句IPv6。很多同学抱怨“校园网用不了IPv6”多数情况下不是学校没开通而是认证计费系统不支持IPv6的RADIUS属性。IPv6环境下用户上线也需要计费如果RADIUS没有扩展IPv6地址相关的属性NAS就无法为IPv6流量完成认证。现在新建的校园网认证计费系统基本都支持了老旧的系统升级慢才是主因。4.4 Ubuntu这类Linux系统为什么容易“翻车”用Ubuntu连接校园网问题率明显比Windows和手机高。原因不在系统差而是校园网认证客户端的兼容性普遍偏科。Portal认证还算好至少浏览器是通用的你只要记住认证页面地址手动打开就能登录。但802.1X认证就比较麻烦了Linux下常见的方案是配置wpa_supplicant对普通学生有门槛。如果学校采用的是PPP拨号方式Ubuntu自带的NetworkManager也能配置PPPoE只要在“网络设置”里添加DSL/PPPoE连接输入运营商给的用户名密码即可。但这里有个坑校园网内的IPv6往往需要额外的DHCPv6配置默认PPPoE拨号只获取IPv4地址。给Linux用户的建议是优先使用网页Portal登录不要安装来路不明的第三方客户端如果是802.1X网络参照学校网络中心给出的Linux配置文档利用wpa_supplicant完成认证不要尝试用任何“免认证”或“绕过认证”的工具这不仅违反校园网使用规定攻击认证系统还可能导致账号封禁甚至法律风险。合规渠道永远是第一选择遇到问题直接给信息中心打电话或在线报修。5. 从管理员视角看两种模式的选型与真实演进5.1 高校网络常常是“混合架构”如果你去拆解一所高校真实运行的认证计费架构会发现它往往是混合的。校园核心区、教学楼、图书馆这些地方网络属于学校自建自维自然用AAA模式统一身份认证平台对接账号由信息中心管理。宿舍区则经常是运营商合作建设代拨模式作为运营商业务落地的技术载体。这种混合架构带来一个现实问题故障定位更复杂。同一个学生白天在教学楼用学号上Portal晚上回宿舍用运营商账号拨号出了问题他只能找信息中心“报修”但信息中心不一定能直接看到运营商侧的数据。所以很多学校信息中心需要维护两套系统一套自建RADIUS一套运营商的代拨管理系统。从投入产出角度看完全抛弃运营商自建宿舍宽带并不现实运营商在链路建设、出口带宽、外网资源方面有优势。代拨模式恰恰是双方利益平衡的产物它让运营商获得了计费权同时保留了学校对用户接入的管理权。5.2 无线校园网搭建中的模式取舍这几年很多学校在推进全校无线覆盖新建无线校园网时到底选AAA还是代拨需要先想清楚场景。我直接说结论校园教学办公区无线网尽量用AAA Portal配合无感知认证。用户第一次登录之后接入设备记录MAC和账号绑定关系下次进入覆盖区域自动放行体验接近“走到哪都有网”。宿舍区无线网如果已经确定了运营商合作模式可以采用代拨校园Portal的双层架构运营商负责出口和计费学校Portal负责用户在校园内的接入准入。访客网络不要走日常认证计费系统单独划一个SSID临时账号或者短信验证码时长2小时自动失效。很多网络工程专业的学生做“基于ensp的校园网设计与配置”这类课题时方案里经常只画了交换机、路由器、AC、AP但缺少RADIUS服务器和认证流程的设计。实际上企业级组网认证计费设计才是最有信息量的部分。好的设计应该能回答这几个问题用户在哪个设备上被认证RADIUS服务器部署在哪个区域计费数据多久同步一次认证服务器宕机时是否有逃生策略5.3 认证计费系统正在走向“统一身份”最后聊一个趋势。现在的校园网认证计费系统已经不是单纯“让用户上网收费”的工具而是和整个学校的统一身份认证平台深度绑定的。以前学号归教务处管、校园卡归财务管、Wi-Fi账号归信息中心管互不相通。现在越来越多学校在做账号打通一个学号既是上网账号也是校园卡绑定的身份标识还是各类业务系统的登录名。这意味着AAA模式的外延在扩大RADIUS只是最底层的接入认证协议之上还有CAS、OAuth、LDAP等身份源在协同工作。代拨模式则在校园网边缘继续承担与运营商对接的职能短期内不会消失。对我们这些实际维护网络的人来说一个重要的经验是别迷信任何一种模式。同一个校园里不同区域、不同用户群体、不同付费主体的需求不一样选择哪种架构最终取决于运营场景。我见过用一个RADIUS服务器解决全校所有认证的小型校区也见过维护着四五个厂商BRAS、对接多家运营商的大型高校两边都运行得很好。关键是把认证计费链路想清楚出了问题能顺着链路一步步定位到具体设备。这里再分享一个排障经验有一次宿舍区大面积反馈“认证成功但上不了网”管理员查了校内RADIUS日志全部正常最终发现是代拨设备和运营商BAS之间的PPPoE会话老化机制不一致用户侧已经重新拨号运营商侧还保留着旧会话导致流量黑洞。从那以后我们给代拨设备配置了更短的会话空闲超时时间并做了定期探测重建机制。这类问题在纯AAA模式下几乎不会出现属于代拨模式特有的坑排查时要有意识往这个方向想。