H3C F100-C-X1配置PPPoE拨号失败如何排查？

Question

H3C F100-C-X1配置PPPoE拨号失败时，常见问题为物理链路或PPPoE客户端配置错误。首先确认WAN口物理状态正常，网线连接运营商光猫且接口指示灯常亮；检查接口是否加入正确安全域并启用PPPoE协议。其次，核实PPPoE拨号账号、密码是否准确，认证方式（PAP/CHAP）是否匹配运营商要求。若配置无误但仍无法拨号，可通过display pppoe-client session命令查看会话状态，结合debug pppoe报文分析发现是否收到PADO回应，判断是局端拒绝还是封装异常。同时需排除MTU过大或ACL拦截导致的拨号失败。

Answer 1

H3C F100-C-X1 PPPoE拨号失败问题深度排查指南

1. 物理层与链路状态确认

PPPoE拨号失败的首要排查点是物理链路是否正常。H3C F100-C-X1作为企业级防火墙设备，其WAN口必须确保与运营商光猫之间建立稳定连接。

• 检查WAN接口（如GigabitEthernet 0/1）的物理指示灯是否常亮或闪烁，表示链路已UP。
• 确认使用的网线为标准直通线，并尽量使用超五类及以上规格以避免信号衰减。
• 通过命令行执行 display interface GigabitEthernet 0/1 查看接口状态，重点关注“Current state”是否为UP，“Line protocol current state”是否同步UP。
• 若接口未UP，需排查光猫端口、交换机中间设备或双工模式不匹配等问题。

此外，应确认该接口已正确绑定至WAN安全域（如Untrust），否则即便链路正常也无法参与外网通信。

2. 接口配置与PPPoE协议启用

在物理层正常的基础上，需验证逻辑配置是否完整。以下为典型配置流程：

1. 进入接口视图：interface GigabitEthernet 0/1
2. 关闭IP地址分配：undo ip address
3. 启用PPPoE客户端：pppoe-client dial-bundle-number 1
4. 将接口加入安全域：zone-security untrust

配置项	示例值	说明
接口名称	GigabitEthernet0/1	实际WAN口名称可能不同
拨号捆绑号	1	需与dialer接口一致
安全域	Untrust	通常用于外网出口
PPPoE客户端状态	Enabled	必须显式开启

3. 认证参数准确性验证

PPPoE拨号依赖正确的用户名和密码进行PAP或CHAP认证。常见错误包括拼写错误、大小写混淆、特殊字符转义不当等。

dialer-rule 1 ip permit
interface Dialer1
  link-protocol ppp
  ip address ppp-negotiate
  ppp pap local-user user@isp password cipher Passw0rd!
  ppp chap user user@isp
  ppp authentication-mode pap   # 或 chap，依据运营商要求
  dialer bundle 1
  dialer-group 1

关键点在于：

• 确认运营商支持的认证方式（多数宽带采用PAP）；
• 用户名格式是否包含域名后缀（如 [e-mail]）；
• 密码加密方式建议使用cipher而非明文；
• 可通过抓包工具对比实际发送的认证字段是否符合预期。

4. 会话状态诊断与调试信息分析

当基础配置完成后仍无法拨号，应借助系统命令深入分析会话状态。

查看PPPoE会话状态：
display pppoe-client session summary
正常输出应显示Session ID、Client-MAC、Server-Name、State=Up。
若状态为“Idle”或无条目，则表示协商未开始或中途失败。

进一步启用调试功能：

debugging pppoe client packet
terminal monitor
terminal debugging

观察是否收到PADO（PPPoE Active Discovery Offer）报文。若未收到，说明局端未响应，可能是VLAN隔离、MAC过滤或BRAS未启用服务所致。

5. 高级因素排查：MTU与ACL影响

某些情况下，即使PPPoE能发起发现阶段，也可能因数据封装问题导致PPP无法建立。

graph TD A[PPPoE Discovery阶段] --> B{是否收到PADO?} B -->|否| C[检查物理链路/MAC学习] B -->|是| D[进入PPP协商] D --> E{LCP协商成功?} E -->|否| F[MTU过大或认证失败] E -->|是| G[IPCP获取地址] G --> H[拨号成功]

MTU默认为1492字节（以太网1500 - PPPoE头8字节），若接口MTU设置为1500可能导致分片失败。建议配置：

interface GigabitEthernet 0/1
pppoe-client mtu 1492

同时检查是否存在ACL规则误拦截PPPoE广播帧（Ether-Type 0x8863/0x8864）：

display acl all
traffic-filter applied to interface?