为什么高校普遍要做两次认证
高校网络常常和多家运营商合作，学生用的是运营商给的账号上网。于是学生连网要做两次判断：第一次在学校这边的认证计费系统做合法性校验，第二次在运营商的AAA系统做鉴权。蓝海卓越V7支持四种高校二次认证场景，区别主要在学校AAA扮演什么角色、BRAS怎么参与、运营商故障影响多大。选错场景，要么学校失去控制权，要么实现复杂度失控。
场景一：AAA转发，学校只做转发
用户的Portal请求发到学校AAA，学校AAA验完合法性后，直接把请求转发给运营商AAA，实际鉴权由运营商完成。优点是实现简单，学校侧压力小；缺点是运营商一故障，全校网络都受影响，学校可控性差。它适合运营商主导、学校AAA能力较弱只做转发的情形。如果学校希望自己掌握合法性判断、不想被运营商故障绑架，就别选这个。
场景二：本地AAA加BRAS转发，学校保留控制权
用户请求先在学校AAA完成第一次认证，认证成功后再由Portal向BRAS发起请求，BRAS转到运营商AAA做第二次鉴权。学校在这里有独立认证能力，运营商故障不影响合法性判断，可控性强。代价是需要BRAS设备支持，实现比场景一复杂。适合学校AAA具备独立能力、需要对用户有控制权的情形。多数想自己掌控认证策略的高校，落在这类。
场景三：双资源访问控制，不下运营商AAA
这个场景常被误解成必须依赖运营商。其实不是。用户分免费和收费两类，认证后学校AAA向BRAS或AC下发不同的RADIUS参数：免费用户只能访问校园内网，收费用户拿到内网加完整互联网。权限区分靠RADIUS属性，不涉及运营商AAA。它适合要区分资源访问范围、比如科研内网要限制访问的情形。实现需要BRAS或AC支持RADIUS属性下发，比前两种复杂一层，但把资源权限这件事讲清楚了。
场景四：多运营商分区域，自动路由
外网同时接两到三家运营商，学校AAA上划出电信、联通、移动几个区域，每个学生只属于一个区域。Portal和BRAS、AAA交互完成后，学校AAA通过tunnel-server-endpoint这个RADIUS属性把对应运营商AAA地址下发给BRAS，BRAS据此自动向那家运营商发起二次认证。体验最好，多运营商自动路由；但实现最复杂，要求BRAS支持tunnel-server-endpoint属性。适合多运营商并存、要按区域自动选路的高校。
代拨场景补充：网关和运营商AAA要直连
代拨场景下，代拨网关和运营商AAA要直接通信，中间不能插别的设备，所有用户做二次认证：学校RADIUS先判合法性，再到运营商AAA鉴权，上网期间用MAC无感知做到无感。这里有个硬约束，代拨网关必须和运营商AAA直连，否则链路不成立。二次认证也不都依赖BRAS，场景一、二用BRAS，场景三用BRAS或AC，场景四必须用BRAS。选型时把这些依赖列清楚，方案才落得了地。
四种场景怎么选，以及风险在哪
运营商主导选场景一，学校控制选场景二，科研资源隔离选场景三，多运营商自动选路选场景四。风险上，场景一运营商故障全校受灾要避开；场景四实现最重，BRAS属性支持要提前核验；代拨设备限制和MAC无感知有效期要单独评估。二次认证的本质是学校和运营商之间权责切分，认证系统只是把这套切分用标准协议落地，不是把复杂问题一键抹平。
四种场景对比，一眼看清复杂度
把四场景放一起看：场景一认证两次、学校只转发、不用BRAS、运营商故障全校受灾、实现最简单；场景二学校独立认证加BRAS转发、合法性判断不受运营商故障影响、中等复杂；场景三学校独立认证加权限下发、用BRAS或AC执行访问控制、较复杂；场景四学校独立认证加区域分配、BRAS自动路由、最复杂。复杂度往上走，学校控制权也往上走。选哪个，本质是拿复杂度换控制权，没有绝对好坏。
运维与故障：运营商挂了怎么办
场景一的死穴是运营商一故障全校断网，所以学校可控需求强的别选它。场景二三四里学校AAA先做合法性判断，运营商故障不影响这步，用户体验至少不掉到完全断网。但这要求学校AAA自身高可用：心跳检测、多后端、双机热备都要配。二次认证链路长，任何一段抖动都影响体验，所以健康检测、兜底策略、告警要写进运维手册，不能等出事再补。
选型前先问清楚的清单
动手前先和老师、运营商确认：学校AAA是只转发还是能独立认证？现有BRAS型号是否支持对应RADIUS属性？要不要区分免费和收费资源？接了几家运营商、要不要自动选路？代拨网关和运营商AAA能否直连？这几个答案定了，场景自然落位。信息不全时宁可不选型，也别把补救方案说成推荐方案，这是role-5明文禁止的。
代拨设备限制的硬约束
场景四和代拨都依赖BRAS或代拨网关的特定能力，比如tunnel-server-endpoint属性、和运营商AAA直连。这些不是所有设备都支持，选型前必须拿型号去核。把不支持的设备硬塞进方案，上线必然卡在二次认证这一步。所以二次认证方案的技术答疑口径是：能做升级与并存，但是否可落地取决于属性映射、联调条件和回退方案完整性，绝不喊零改造直接迁移。