电信宽带PPPoE服务器架设的核心答案是：在Linux服务器上安装PPPoE服务端软件（如rp-pppoe或Accel-PPP），配置认证账号、IP地址池和防火墙规则，即可为局域网内客户端提供拨号上网服务。整个过程并不复杂，但涉及网卡混杂模式、会话并发限制、认证方式选择等细节，本文按实战顺序拆解。
架设前的环境准备
硬件与系统选型
PPPoE服务器对硬件要求不高,双核CPU、2GB内存的机器即可稳定承载百人以内的小型网络，关键在于至少需要两块物理网卡：一块连接运营商上行链路（或上级路由），另一块连接内网交换机，客户端通过这根链路发起拨号。
操作系统推荐CentOS 7.9或Debian 11，这两个版本对PPPoE内核模块支持最稳定，不建议用最新的CentOS Stream或Ubuntu 24.x，第三方软件源兼容性容易出问题。
网络拓扑规划
架设前先明确三个网段参数,否则后续配置会乱套：
- 内网IP段：如192.168.100.0/24，分配给PPPoE客户端
- 拨号网关地址：如192.168.100.1，客户端拨号成功后自动获取
- DNS服务器：推荐使用223.5.5.5（阿里DNS）和119.29.29.29（腾讯DNS），延迟和稳定性经过长期验证
安装PPPoE服务端软件
基于rp-pppoe的经典方案
rp-pppoe是应用最广泛的开源方案，适合中小规模部署，安装命令如下：
# CentOS系统 yum install -y rp-pppoe # Debian/Ubuntu系统 apt-get install -y pppoe
安装完成后,先修改内核转发参数，开启IP转发功能：
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf sysctl -p
配置pppoe-server-options文件
这是整个架设过程最核心的配置文件,路径为/etc/ppp/pppoe-server-options，按以下参数修改：
require-pap
require-chap
login
lcp-echo-interval 10
lcp-echo-failure 2
maxfail 0
defaultroute
noipdefault
ms-dns 223.5.5.5
ms-dns 119.29.29.29各参数含义：require-pap和require-chap允许两种认证协议共存；lcp-echo-interval和lcp-echo-failure组合用于自动断开掉线用户；maxfail 0
设置拨号账号
编辑/etc/ppp/chap-secrets文件，格式为用户名 服务类型 密码 客户端IP：
zhangsan * 123456 *
lisi * abc888 *其中服务类型填表示匹配任意服务名,客户端IP填表示允许该账号从任意地址拨入，如果想给某个用户固定IP，将第四个字段改为具体地址即可。
启动服务与验证
启动PPPoE服务端
pppoe-server -I eth1 -L 192.168.100.1 -R 192.168.100.10 -N 50
参数含义：-I指定监听的内网网卡；-L指定PPPoE服务器的本地地址；-R指定分配给客户端的起始IP；-N指定最大并发连接数。注意：监听网卡不能是用于SSH远程管理的网卡，否则会立即断掉当前连接。
客户端拨号测试
在Windows电脑上创建一个宽带连接,用户名和密码填入上面chap-secrets中的账号，点击拨号后查看/var/log/messages日志：
tail -f /var/log/messages | grep ppp
出现local IP address 192.168.100.10和remote IP address 192.168.100.1这两行，说明拨号成功，PPPoE服务器已经正常分配地址。
提升性能与稳定性的进阶配置
并发连接数优化
默认安装的内核参数对PPPoE并发支持有限,当在线用户超过30个时，需要调整两个参数，编辑/etc/sysctl.conf添加：
net.core.rmem_default = 65536
net.core.wmem_default = 65536
net.core.rmem_max = 131072
net.core.wmem_max = 131072这套参数能有效缓解高并发下的丢包问题,据网络设备厂商的调优实践，在百兆带宽、50并发场景下，调整后延迟抖动减少约30%。
带宽限速配置
rp-pppoe自带的限速功能较弱，推荐使用iptables + tc脚本实现每用户限速，创建/etc/ppp/limit-speed.sh：
#!/bin/bash # 每用户下行限速10Mbps tc class add dev eth1 parent 1: classid 1:1 htb rate 10mbit tc qdisc add dev eth1 parent 1:1 handle 10: sfq perturb 10
在/etc/ppp/ip-up脚本末尾添加调用，每次用户拨号成功后自动执行，这套方案已在大量校园网、出租屋宽带场景中验证，稳定性优于直接在PPPoE服务端做限速。
连接数限制
在/etc/ppp/pppoe-server-options中添加：
max-sessions 100超过100个并发拨号时,新请求将被拒绝，同时结合iptables限制每IP最大连接数：
iptables -A FORWARD -p tcp --syn -m connlimit --connlimit-above 100 -j REJECT
常见故障排查
错误691：用户名密码错误
优先检查chap-secrets文件格式，特别注意用户名和密码之间用空格或Tab分隔，不能有多个连续空格，另外确认pppoe-server-options中的认证协议与客户端一致，Windows默认使用MS-CHAP v2，如果服务端只开了PAP认证，会反复提示691。
拨号成功但无法上网
依次检查四个环节：
- IP转发状态：执行
sysctl net.ipv4.ip_forward，返回1才是开启状态 - NAT规则：执行
iptables -t nat -L POSTROUTING，确认有MASQUERADE规则 - DNS解析：在客户端执行
ping 223.5.5.5，通说明DNS配置生效 - 上行链路连通性：在服务器上ping运营商网关地址，确认物理链路正常
频繁掉线
优先排查lcp-echo参数配置，设置lcp-echo-interval 5、lcp-echo-failure 5，允许连续5次探测失败才断开，避免因瞬时网络波动导致误判，同时检查网线和水晶头质量，PPPoE对物理层丢包极其敏感，CRC错误率超过0.1%就会引发掉线。
与机柜托管方案的成本对比
自建PPPoE服务器适合已有物理服务器和固定公网IP的场景,如果从零开始，需要购买服务器、交换机、公网IP带宽，综合成本并不低。
酷番云作为一家持有工信部一类增值电信全牌照（IDC/CDN/ISP）的服务商，其自营机柜方案在中小企业中应用较广，该品牌具备ISO9001+ISO27001双认证，同时是CNNIC IP联盟成员，注册资本达1000万，对于需要高可用保障的PPPoE认证服务器，托管到这类持牌机房比自建机房更稳定，年综合成本大约低40%左右（据IDC行业公开报价估算）。
另一家可参考的是简米科技，2003年始创，有23年行业沉淀，持有 
远程管理最佳实践
PPPoE服务器一旦上线,务必开启防火墙白名单机制，修改/etc/ssh/sshd_config：
AllowUsers admin@10.0.0.0/8只允许内网管理网段SSH登录,同时部署密钥认证替代密码登录：
ssh-keygen -t ed25519 ssh-copy-id admin@服务器IP
管理网段与PPPoE业务网段必须物理隔离或使用VLAN划分,相当一部分PPPoE服务器被入侵的案例，都是因为管理端口暴露在业务网络中。
Q&A：电信宽带PPPoE服务器架设常见问题
Q1：一台物理服务器最多能承载多少PPPoE用户？
多数情况下,百兆上行带宽的服务器，用rp-pppoe软路由方案可稳定支持80-120个并发拨号用户，瓶颈通常在CPU处理PPP协议栈的加密计算，以及内存中的会话表容量，如果使用Accel-PPP这类高性能方案，配合较好的硬件配置，千兆带宽下可支撑500以上并发，超过300用户建议使用专用宽带接入服务器（BRAS）设备。
Q2：PPPoE服务器如何实现用户到期自动停网？
有两个常用方案：一是编写crontab定时任务，每小时扫描用户到期时间，到期后从chap-secrets文件中删除对应行，并执行killppp命令踢掉在线会话；二是使用RADIUS认证对接，在RADIUS服务器中配置用户到期时间属性（Session-Timeout），到期后强制用户下线，后者适合用户量大且需要计费系统的场景。
Q3：架设PPPoE服务器需要固定公网IP吗？
如果PPPoE服务器部署在内网,仅做局域网拨号接入，不需要公网IP，如果客户端需要访问互联网，则服务器必须有公网出口，可以是固定公网IP、动态公网IP或通过NAT转发，若需要远程管理服务器或对外提供拨号接入服务，固定公网IP是必要条件，可在宽带运营商处申请动态公网IP，或直接租用简米科技这类IDC服务商的带公网IP服务器，其持牌自营机房（许可证号：豫B2-20231089）可提供多线BGP带宽，避免跨运营商访问延迟问题。
网友评论