企业官网建设流程全解析

大学里最让人上火的场景，我猜很多人都有过：明明连着WiFi信号满格，打开浏览器却死活不出认证页；或者刚登录完校园网认证，过十分钟又掉线重来；再或者宿舍里买了台路由器，折腾半天把校园网账号填进去，结果整层楼都跟着断网。这些破事背后的逻辑其实就俩词——校园网认证计费的两种主流玩法：AAA模式，以及代拨模式。

这篇内容适合谁看？一类是学校里管网络的老师、学生网管，他们需要搞懂系统为什么这么设计；另一类是普通学生，被校园网折磨久了，至少得知道问题出在哪一环，排查的时候不抓瞎。我尽量少讲空泛的概念，把认证、授权、计费这三个动作拆开揉碎，再把代拨模式单独拎出来说透，最后补一批高频故障的排查思路。看完你至少能分清：哪个环节是接入设备管的，哪个环节是认证服务器管的，为什么有的校园网弹窗、有的不弹窗，为什么你换了路由器反而上不了网。

1. 校园网认证计费的基础框架与核心价值

1.1 为什么校园网必须做认证计费

先说个最直接的原因：校园网不是免费的。出口带宽是学校花钱买的，运营商专线一年几十万上百万，这钱不能白花。认证计费系统就是用来回答三个问题的——你是谁（认证）、你能用多少（授权）、你用了多少（计费）。

其次是安全和溯源。校园网里人多事杂，教学楼、图书馆、宿舍区，几万人接入同一个网络。要是没有认证，谁都能插根网线就上网，出了网络安全问题连人都找不到。有了认证，每个IP、每个MAC都能追溯到具体学号，出了事可以直接定位到人。

还有个容易被忽略的点：差异化服务。有的学生套餐是10M带宽，教师账号可能是100M，实验室设备可能需要临时开通特殊权限。这些都得靠认证计费系统来区分。说白了，认证计费系统就是校园网的“门禁+收银台+档案室”三合一。

1.2 从拨号时代到AAA框架的演进

早年间校园网也用PPPoE拨号，跟你家在运营商办的宽带一个逻辑，输入账号密码，拨上去了就有网络。这种方式简单粗暴，合规性也没问题，但它有一个明显短板——账号只能在一条线上用，跨楼栋漫游很麻烦，而且PPPoE封装对无线网络很不友好。

后来园区网引入了AAA框架。AAA是Authentication、Authorization、Accounting三个单词的缩写，翻译过来就是认证、授权、计费。你手机连上WiFi，后台其实就在走一套AAA流程：接入设备把账号密码发给认证服务器，认证服务器验明正身之后告诉接入设备“这人可以上网，给他10M带宽”，同时开始记录他用了多少时长、多少流量。这套框架解决了PPPoE时代“认线不认人”的问题，也成了现在校园网绝对的主流。

1.3 校园网里的两个核心角色：BRAS和RADIUS

要理解认证计费，必须认识两个设备。

第一个叫BRAS（Broadband Remote Access Server，宽带远程接入服务器），你可以把它理解成校园网的“关口”。所有用户的流量都要经过它才能出校园网，它是执行认证策略的地方，用户到底能不能上网，是由BRAS最终说了算的。BRAS同时也是计费数据的采集点，它记录每个会话的起止时间、上下行流量，然后把这些数据发给计费服务器。

第二个叫RADIUS服务器（Remote Authentication Dial-In User Service，远程认证拨号用户服务），它是“查户口”的。用户的账号密码对不对、这个账号有没有欠费、属于什么套餐，都在RADIUS服务器里存着。BRAS收到用户的认证请求后，转发给RADIUS服务器，RADIUS返回“同意”或“拒绝”，BRAS再照着执行。RADIUS协议的标准端口是1812（认证授权）和1813（计费），这个记不住也没关系，只要知道BRAS和RADIUS之间是用这两套通道通信就行。

很多人对认证计费的理解停留在“输个密码”的层面，实际上背后是BRAS和RADIUS之间一整套报文的你来我往。下一节我拆给你看。

2. AAA模式深度拆解：认证、授权、计费

2.1 三种典型认证方式：Portal、802.1X、PPPoE怎么选

AAA模式在校园网落地，最常见的认证方式就三种。

Portal认证就是绝大多数人印象里的“连上WiFi弹网页输账号”。它的核心机制是HTTP重定向：你连接WiFi后，没有认证的流量默认会被BRAS拦截，当你打开浏览器访问任意HTTP网站时，BRAS会把你的请求重定向到一个认证页面，你在页面上输入账号密码，认证通过后BRAS放行你的流量。优点是对终端最友好，不管手机平板还是笔记本，只要有浏览器就行，不需要装任何客户端；缺点是必须在“打开浏览器”这个动作上做文章，如果你不打开浏览器或者访问的是HTTPS网站，有时候就不会触发重定向。

802.1X认证则是“客户端接入前认证”。有线网络和部分无线网络会用这种方式，终端连上交换机或AP后，在获取IP地址之前就必须先完成认证。认证过程是在链路层进行的，用EAPOL（EAP over LAN）协议把账号密码加密传输给BRAS，再由BRAS转发给RADIUS。这种方式比Portal更安全，认证不通过，二层链路根本建不起来，但它需要终端支持802.1X协议栈，Windows和macOS自带支持，Linux得靠wpa_supplicant之类的工具，所以经常会碰到“linux连不上校园网”的难题。

PPPoE认证就是前面说的那种传统拨号方式，现在校园网里主要用于有线网络，尤其是宿舍区。BRAS和终端建立PPPoE会话，终端输入账号密码拨号，认证通过后获得一个会话。PPPoE的好处是每个用户一个单独的会话，隔离性和计费准确性最好，而且天然支持按时长计费。

这三种方式在校园网里往往同时存在，比如教学楼用Portal，办公区用802.1X，宿舍区用PPPoE，后端对接同一个RADIUS服务器。这种混合模式对用户来说是无感的，但对网络管理员来说，每一种认证方式的配置和排错思路都不同。

2.2 一次完整认证流程的报文级拆解

我以最典型的Portal认证为例，把整个流程拆给你看。

第一步，你的手机连上AP，AP通过DHCP服务器给你分配一个IP地址，你此时处于“预认证”状态，BRAS只允许你访问少数几个地址（一般是DNS服务器和认证服务器）。

第二步，你打开浏览器访问任意HTTP网站，流量到达BRAS，BRAS发现这个IP没有认证，就发一个HTTP重定向，把你的浏览器引导到Portal服务器，地址通常长得像http://172.17.x.x:8080/portal这种内网地址。

第三步，你在Portal页面输入账号密码，Portal服务器收到之后，会先和RADIUS服务器做一次认证请求。RADIUS服务器查数据库，校验账号密码是否正确、账号状态是否正常、是否欠费等，然后返回认证结果。如果通过，RADIUS同时会返回授权信息，比如带宽限制、ACL策略、会话超时时间等。

第四步，Portal服务器通知BRAS“这个用户认证通过了”，BRAS更新自己的用户表，把这个IP标记为已认证状态，同时开始发送计费报文给RADIUS的计费端口。

第五步，你再访问任何网站，BRAS直接放行，计费系统从此刻开始累计你的在线时长和流量。

这套流程看起来不复杂，但每一步都有坑。比如有的校园网不弹出认证页面，是因为你访问的是HTTPS站点，BRAS重定向的是HTTP流量，HTTPS流量被直接放行或者被重置，所以你要么手动输入认证网址，要么访问一个明文HTTP页面才能触发跳转。这个问题后面我会在排查章节细说。

2.3 计费是怎么算的：时长、流量与会话的底层逻辑

计费这件事，很多人以为就两个模式：按时长或按流量。但在技术上，计费的核心其实是“会话（session）管理”。

BRAS为一个用户分配一个会话ID，这个会话从认证通过开始，到用户下线（主动断开、超时、欠费被踢）结束。BRAS周期性发送计费报文给RADIUS服务器，报文的典型字段包括：

• Acct-Session-Time：当前会话累计秒数
• Acct-Input-Octets：下行流量字节数
• Acct-Output-Octets：上行流量字节数
• Acct-Terminate-Cause：会话结束原因（用户断开、空闲超时、管理员踢线等）

RADIUS服务器收到这些报文后写入数据库，最后定时出账，生成每个账号的账单。这套机制同时支持按时长计费（看Acct-Session-Time）和按流量计费（看Octets字段），也可以做组合套餐，比如“每月固定20G，超出后限速不断网”。

这里我要提一个很容易被用户误解的细节：你手动在终端断开WiFi，系统会通过协议主动通知BRAS会话结束，计费停止。但如果你直接走人没断开，或者信号断了，BRAS要等一个“空闲超时”或“会话超时”才能确认这个用户下线，这中间的空档期是照常计费的。所以很多学生说“我明明没上网为什么扣了流量”，大概率就是这个原因。

2.4 AAA模式的关键配置要点：BRAS与RADIUS对接

搞认证计费的网管，真正花时间的地方在BRAS和RADIUS的对接配置上。这里以某主流厂商设备的命令行风格为例，给你一个RADIUS对接的配置骨架：

# 定义RADIUS服务器模板 radius-server template campus radius-server shared-key cipher MySecretKey radius-server authentication 10.10.10.1 1812 radius-server accounting 10.10.10.1 1813 # 在BRAS上定义认证域 domain campus authentication portal radius-scheme campus authorization portal radius-scheme campus accounting portal radius-scheme campus

这几行配置的意图很明确：告诉BRAS，认证请求发给哪台RADIUS服务器、密钥是什么、认证和计费走哪个端口。其中那个共享密钥（shared-key）是设备间加密通信的命根子，BRAS和RADIUS两端必须一致，否则认证直接失败。

实际工作中最容易踩的坑就是：BRAS和RADIUS之间的密钥不一致、RADIUS服务器地址写错、或者计费端口设置成了1812而认证端口设置成了1813。这类配置错误在日志里表现为“Access-Reject”或者“no response”，排查起来需要一条条日志看，比较费工夫。

3. 代拨模式详解：运营商链路与校园网之间的桥

3.1 什么是代拨，为什么会出现代拨模式

理解代拨模式之前，你得先了解校园网的一种特殊组网情况：运营商参与建设。

很多高校的宿舍区宽带不是学校自己拉的，而是和中国移动、中国电信这类运营商合作的。运营商投资布线、提供出口带宽，但机房在学校里，接入设备也是学校在管。这时候就出现了一个问题：学生既要认证，运营商也要计费，两套系统怎么协同？

直接做法是让学生同时拨两个账号，先拨运营商PPPoE，再登校园网Portal，体验极差。于是代拨模式应运而生。所谓代拨，就是BRAS代替终端，主动向运营商的RADIUS服务器发起认证拨号，拨通之后，再走校园网的本地认证计费流程。终端用户只需要登录校园网，运营商侧的业务由BRAS代劳。

代拨模式还有一个变体应用在宿舍小路由器上：一个运营商宽带账号，通过路由器PPPoE拨号后NAT共享给宿舍多台设备。这在技术上也是一种“代拨”，只不过代拨的设备是用户自己的路由器，运营商只认一个会话。

3.2 代拨的完整流程与判断依据

以宿舍区运营商代拨为例，完整流程是这样的：

1. 你连接宿舍WiFi（或插网线），设备先做校园网的Portal认证或802.1X认证，这一步和普通AAA模式一样。
2. 认证通过后，BRAS发现你处于“代拨区”的VLAN里，于是BRAS会基于该VLAN下的运营商账号，主动发起PPPoE会话给运营商局端。
3. 运营商局端RADIUS校验这个账号，验证通过后分配一个公网/私网地址给BRAS，BRAS把这个会话作为该区域所有用户的“上联出口”。
4. 你的流量经由BRAS NAT后，从这个代拨会话出去访问互联网。
5. 运营商侧按这个代拨会话计费（通常是一口价套餐），校园网侧按你的访问时长或体验策略计费，两边各算各的账。

判断一个校园网是不是代拨模式，其实有一个很简单的土办法：你注意到宿舍区每个学生的“宽带账号”不是学校发的学号，而是运营商手机号或单独的运营商宽带账号，那基本就是代拨。学校统一下发“校园网账号+运营商账号绑定”的，也是代拨。

3.3 代拨模式下计费如何与AAA协同

代拨模式并没有抛弃AAA，它实际上是“嵌套”的AAA。

第一层AAA：终端和校园网BRAS之间，认证用的是Portal或802.1X，RADIUS服务器是校方的。这一层解决的是“能不能进校园网”的问题。 第二层AAA：校园网BRAS和运营商BRAS之间，认证用的是PPPoE，RADIUS服务器是运营商的。这一层解决的是“出口带宽谁的”的问题。

两层AAA靠BRAS连接起来。BRAS要做的事情包括：识别用户属于哪个代拨区、绑定了哪个运营商账号、该账号是否已经拨通，拨通后如何把区域内用户的流量路由进这个会话。

这种嵌套结构对性能要求很高。我在一个中等规模的宿舍区看到过：一个BRAS下面挂了6000个终端，出口只有4个运营商代拨会话，所有用户共享这4条链路的带宽。这种模式下，出口拥塞、NAT转换表满、会话老化快，都是很常见的故障。

3.4 代拨模式的优缺点与适用场景

代拨模式最大的优点是简化了用户操作——你永远只认一个校园网账号，运营商侧和学校侧的系统自己互相沟通。它也解决了运营商投资建设后的“谁接入谁付费”问题，运营商能按代拨会话给学校结算，学校也能按用户计费。

但它也有明显的短板：

一是故障域大。一个代拨会话断了，同一区域所有用户一起掉线，排查的焦点一下子就变成“BRAS和运营商之间的链路是不是跪了”。

二是带宽共享导致体验不可控。运营商代拨会话的速度，取决于最初定的套餐，但宿舍区几十人共享一条代拨链路，高峰期必然卡。你就算校园网认证的是100M套餐，出口那条代拨线路只有1000M共享给50个人，每个人实际也就20M。

三是账务对账比较复杂。学校和运营商两边都要出账，经常出现“校园网显示你有流量，运营商显示你没流量”的争议，两边数据对不齐，处理起来很费人力。

所以代拨模式最适合的场景是：运营商深度参与校园网共建、宿舍区高密度接入、且运营模式上允许学校不做精细化的按用户计费，选用统一套餐的地区。

3.5 代拨和AAA的边界划分：谁管什么

做一个简单的职能划分：

认证入口：AAA模式直接面对终端用户，代拨模式的终端侧认证也走AAA，所以学校这边始终有AAA的影子。 出口链路：代拨模式由BRAS向运营商代拨，运营商RADIUS做出口链路的认证，这是“链路级AAA”而不是“用户级AAA”。 计费职责：AAA模式学校全权负责，代拨模式学校管用户侧体验，运营商管出口带宽账单。

这个职责划分决定了排错的思路。出问题时你先判断是哪一层：终端上不了网，但BRAS代拨会话正常，那就是终端认证问题；如果代拨会话也断了，那就要先查学校和运营商之间的链路。

4. AAA模式与代拨模式的对照选型

4.1 两种模式的核心差异对照表

4.2 什么场景该用AAA，什么场景该用代拨

这个不存在万能答案，我给你的判断逻辑是“看你自己能掌握多少资源”。

如果校园网的出口是学校自己拉的、教育网加运营商专线，账号体系需要和教务、学工系统打通，靠学号统一认证，那AAA是唯一合理的选择。它身份认证精准、计费灵活、适合精细化管理和学生上网行为的差异化策略。

如果宿舍区的投资主要由运营商出、出口带宽也是运营商给的，而且宿舍区用户密度高、出口带宽成本需要运营商回收，那你没法回避代拨模式。这种情况下不要硬撑纯AAA，因为你没有独立的出口资源可以接入。

最怕的是设计阶段拍脑袋，在一个纯教育网出口的地方硬上“代拨”，结果BRAS根本没有对接运营商RADIUS的链路，那代拨就是空中楼阁。

4.3 混合组网：AAA为主干，代拨做出口

现实中的校园网很少是单一路线。我看到过不少不错的方案，是一种混合模式：全校统一采用AAA认证，在宿舍区出口路由器单独接运营商的代拨链路。

具体做法是：办公区、教学区走校园网自建出口，宿舍区在BRAS上单独划VLAN，该区域的用户完成校园网Portal认证后，流量引导到代拨链路，按运营商套餐共享带宽。这种方式兼顾了“统一身份认证”和“运营商回收成本”两个需求，部署时只需要在BRAS上做基于用户组的策略路由和出口选路。

这种组网的排错也比纯代拨简单——用户连不上网，先看校园网RADIUS日志，再看BRAS上该用户有没有拿到代拨会话，两个点二分定位，很快能缩小范围。

5. 校园网日常使用中的高频问题与排查思路

5.1 明明连上WiFi却不弹认证页面

这个问题太经典了。原因前面零散提过，这里给你一个完整的排查链路。

第一步，打开浏览器手动输入一个HTTP明文网址，比如http://123.123.123.123，不是输到搜索引擎，是直接输入地址栏。很多校园网的Portal只对HTTP流量做重定向，HTTPS流量或本地缓存的页面不会触发。

第二步，如果手动输入HTTP网址也不跳转，那就是你被放进了“预认证放行名单”里——这类名单通常包含DNS、认证服务器本身的IP，确保你能打开认证页。如果这些地址本身也无法访问，说明桥接网络或者DHCP分配异常，检查一下终端拿到的IP是不是校园网内网地址，比如10.10.x.x、172.17.x.x这类常见内网段。如果拿到的是169.254.x.x，说明DHCP没通。

第三步，确认有没有欠费或账号异常。账号过期、停机、绑定关系异常，RADIUS会拒绝认证，Portal干脆不让你登录，这个要去自助服务系统查。

5.2 连接WiFi后显示“无Internet访问”

这个说法本身就有歧义，“无Internet访问”不代表校园网内网不通。Windows识别Internet连接靠的是能否访问一个探测服务器（通常是msftconnecttest.com），如果校园网把它拉进了免认证名单，按理说可以通过；如果你处于“预认证”状态，探测请求无法通过BRAS，Windows就会这样提示，这反而说明你已经连上AP但还没过认证。

排查步骤：先看内网通不通，试着访问校园网主页或认证页面地址（比如172.17.1.2这样的内网Portal地址），能打开说明网络链路正常，只是认证没过。如果内网也不通，那就优先查AP信号、DHCP分配、交换机端口状态。

如果是代拨区，还要额外看BRAS到运营商的代拨会话有没有断。很多宿舍区路由器拨不上号，整层楼的人连上校园网却只能看看内网页面，外网彻底不通，大概率就是代拨链路的问题。

5.3 IPv6明明支持却上不了

校园网IPv6上不了，最常见的原因是认证前IPv6放行策略做得不到位。目前很多校园网的IPv6放行逻辑是：认证通过后，BRAS下发IPv6路由和RA（Router Advertisement，路由器通告）前缀，终端才能自动配置全局IPv6地址。

如果你过了认证却拿不到IPv6地址，重点查终端是否启用了IPv6协议、无线网络属性里IPv6是否被禁用，以及BRAS有没有给用户的下发前缀。还有一个很容易忽略的点：有些校园网IPv6走的是另一条出口，如果在代拨区，IPv6流量可能根本就没接到代拨链路上，那不管你怎么设置，IPv6都是不通的。

5.4 校园网延迟一直跳、游戏卡顿

“延迟一直跳”通常不是网络出口的问题，而是无线侧和QoS策略的问题。

无线侧：宿舍区高密度场景下，2.4G频段干扰严重，微波炉、蓝牙耳机都能造成干扰，同频AP之间还会互相打架。排查时可以换个5G频段试试，多数设备连5G后延迟会明显下降。

QoS侧：校园网BRAS上普遍做了用户组级别的限速策略，认证通过后限速可能直接生效。如果限速策略是“突发+持续”双桶模型，那你在打游戏的时候一旦触发流量突发，延迟会瞬间飙升。至于限速能不能自己改？改不了，这是设备端策略，换终端、换路由器都没用。

5.5 关于“免认证”现象与合规边界

网上总有人问“校园网免认证”“绕过校园网认证”这类词。从原理上讲，所谓“免认证”很多只是误用校园网本身的“免认证列表”机制。我的建议是，理解机制可以，但不要动逃费的心思。

校园网的运营维护成本是实实在在的，认证计费系统本身是为了保证网络有序。为了省几块钱网费去研究绕过认证，一旦被后台审计日志发现，轻则断网处分，重则影响个人信用记录，风险完全不成比例。我写这篇内容，技术拆解的目的始终是为了让使用者看懂系统表现、帮助排查故障，而不是教人去钻空子。

5.6 Linux终端连不上校园网的排查实例

Linux连校园网是个常年被问的问题，典型表现其实就是802.1X认证或Portal认证配置不当。

如果是802.1X的校园网，用wpa_supplicant配置最常见，一个参考配置长这样：

network={ ssid="Campus-WLAN" key_mgmt=WPA-EAP eap=PEAP identity="your_student_id" password="your_password" phase2="auth=MSCHAPV2" }

注意phase2这一行很多新手会漏掉，PEAP外面套的是MSCHAPV2，不少校园网的RADIUS后端只认这种组合。如果这样还连不上，抓包看一下EAP过程中断在哪一步，大多数情况都是证书校验问题——有些校园网要求关闭服务器证书校验，或者需要导入学校下发的CA证书。具体做法学校信息化中心一般有文档，照着配就行。

6. 写在最后：一个老网管的几点体会

校园网认证计费这个系统，看着简单，实际上涉及接入设备、认证服务器、数据库、计费出账、运营商链路多方的协同。我调试过无数次“认证通过但上不了网”的案例，最后发现是BRAS上的用户表项老化时间设得太短；也遇到过代拨会话一直拨不通，排查了两天发现是运营商RADIUS密钥大小写不匹配。

给学校网管朋友一个实操建议：一定要把你校园网的RADIUS日志和BRAS会话日志常态化采集起来，出事的时候先查日志定位，不要靠肉眼翻配置。给普通用户的一个实用技巧：在手机和电脑里把这几个地址存下来——校园网认证页面地址（通常是10.x.x.x或172.x.x.x的内网IP）、自助服务平台地址、DNS地址。遇到“不弹窗”“连不上”的时候，手动访问这几个地址，能快速判断是认证服务器的问题还是接入链路的问题。

校园网的认证计费不会消失，只会越来越智能，从Portal到802.1X，从自建出口到运营商代拨，本质上都是在安全、体验和运营成本之间找一个平衡点。你要是下次再遇到网络故障，能想到“这可能是BRAS的问题”或者“这可能是代拨会话断了”，这篇文章就没白写。