为什么升级阶段经常需要并存过渡
不少校园网并不是从零搭建认证体系，而是在旧 AAA 或旧认证计费系统运行多年后，逐步升级到统一认证平台。直接一次性替换风险较高：新系统尚未稳定，旧系统若同时下线，一旦对接或策略出问题，可能影响整网接入。因此在过渡阶段，往往需要新老两套体系并存一段时间，让不同用户、不同入口或不同链路分批迁移。校园网络安全认证在这类项目中的衔接问题，核心就是如何在并存期把认证请求平稳转发、分流，并保留回退能力。
Radius Proxy（认证代理）在这种场景中承担请求转发、协议透传和策略衔接的角色。它位于接入设备与后端认证体系之间，按规则把请求送到对应后端，再把结果返回前端。代理本身是衔接手段，是否采用、如何分流，取决于现网旧系统情况、迁移计划和设备配合条件。
Proxy 在并存链路中的基本位置
并存阶段，接入设备发出的认证请求先到达代理层，代理根据预先设定的规则判断本次请求应由新平台还是旧系统处理，再转发到对应后端；后端返回认证结果后，代理把结果回传给接入设备。这样前端接入设备不必直接感知后端是新是旧，迁移过程中可以按用户范围、接入区域、终端类型等规则逐步调整转发目标。
代理转发涉及认证属性和计费字段的传递。前后端之间的属性含义、字段格式需要保持一致，否则可能出现认证通过但策略不匹配、计费或会话信息错位的问题。属性映射、字段一致性和失败回退路径，必须在联调中逐项验证，不能只连通基本认证流程就判定衔接完成。
并存期常见的分流依据
分流规则通常按几类维度组织：用户范围，例如先迁移部分学院或用户组，其余留在旧系统；接入区域，例如某栋楼宇或某批无线信号先走新平台；终端或接入类型，例如有线端口与无线接入分别过渡；业务链路，例如不同运营商或不同出口链路分开评估。具体按什么维度分批，由学校迁移计划和现网拓扑决定。
不同链路应当分开评估，不能把某一条链路的验证结果外推到全部链路。某类接入在新平台上跑通，不代表其他类型终端或其他区域也具备同样条件。分批过程中保留新旧两套配置的对照，便于回退和排查；分流规则变更应有记录，避免过渡后期遗留未收敛的老策略。
割接窗口与回滚机制
平滑过渡需要预先安排割接窗口：在对日常使用影响较小的时段调整分流规则，观察认证成功率、在线状态和异常反馈。并存阶段必须准备回滚机制：如果新链路出现问题，能够把对应范围的请求切回旧体系，而不是在故障时临时拼凑切换方案。回滚触发条件、操作路径和责任人，应在实施前明确。
数据一致性是并存期的另一个关注点。新旧系统之间的账号、绑定关系、状态记录如何同步，迁移过程中以哪一侧为准，切换后历史会话和记录如何衔接，需要提前规划。迁移不是简单把请求转发过去，还要保证身份数据和状态在过渡期间可用、可核对。
联调必须覆盖的衔接点
一是属性映射：前端设备发来的认证属性到后端如何对应，返回属性如何下发回设备。二是计费或会话字段一致性：起止、时长、流量等字段在转发链路中保持含义一致，避免记录错位。三是失败回退：后端不可达、拒绝或超时时，代理如何处理，是否有兜底后端或受限放行策略。四是结果区分：不同失败原因分别标记，便于定位是后端拒绝、通道超时还是规则配置问题。
这些衔接点需要在真实或准现网环境中验证，包括正常通过、认证拒绝、后端无响应、中途掉线等分支。仅依据协议文档判断转发可行，不等于现场已经打通。涉及跨厂商设备对接时，还需确认双方协议版本和属性支持范围。
与运营商或既有 AAA 的关系
如果并存链路还涉及运营商 AAA、代拨或多运营商接入，需要单独核验接口、账号体系和策略继承关系。学校本地认证与运营商侧鉴权是不同环节，分流和转发不能混为一谈；不同运营商链路分开评估，不可单链路外推。代拨网关与运营商 AAA 之间的通讯条件、设备位置要求，按对应项目现场确认。
技术对接与商务安排分开表述：Proxy 衔接解决的是认证请求与策略在新老体系间的流转，不涉及运营结算、分账或商务合作条款。涉及多运营商的商务口径，不在技术方案中展开。
需要避免的表述与结论
按能力边界规则，升级衔接不能表述为不改动现网即可直接迁移，也不能说跳过联调即可上线，或任意旧系统都能不经对接直接打通。跨系统对接可行性取决于接口开放、字段映射、权限和联调窗口；迁移类结论需要确认旧系统并存、回滚和数据一致性方案。是否可落地，结合现场勘查和联调结果判断。
性能、并发和迁移周期不在机制描述中写死。开学季等集中时段的承载、分批迁移所需时间，需要结合硬件规格、拓扑、用户规模和试运行情况评估。方案阶段可以说明支持分阶段推进，但不承诺固定上线周期或固定性能指标。
并存期的运维与观察重点
过渡期间运维需要重点观察：新分流范围的认证是否正常、在线状态是否与后端对齐、回退路径是否可用、旧系统遗留策略是否还在生效。分批扩大范围前，先在前一批用户和区域上观察稳定表现，再逐步推进。出现认证异常时，先判断请求被转发到哪一侧、在哪一环被拒绝或超时，再对照新旧两侧记录排查。
并存期结束、旧体系退出前，应核对迁移范围是否完整、账号和绑定是否都已切换、历史记录是否保留可查。下线旧系统属于迁移收尾动作，需在确认新链路稳定、回退不再需要后按计划执行，不在本批机制描述中预设下线时点。
小结
校园网络安全认证在新老体系并存时，可通过 Radius Proxy 做请求转发、协议透传和策略衔接，按用户、区域、终端或链路分流过渡。衔接成立的前提是属性映射、字段一致性和失败回退经过联调验证，并具备割接窗口与回滚机制。不同链路分开评估，技术对接与商务安排分开。具体分流方案、迁移节奏和回退条件，以现场勘查、联调和试运行结果为准。