accel-ppp 搭建 PPPoE 服务器完整教程（VMware 实战版）

目标：把一台 Linux 虚拟机变成”宽带认证服务器”（BRAS），Windows 虚拟机用系统自带的”宽带连接（PPPoE）”输入账号密码即可拨号上网，流量经服务器 NAT 出公网。

基于 官方仓库 master 分支 源码编译；配置中所有关键字段（[ip-pool]、[dns]、模块名等）均已对照源码与 man 手册核实。

第 10 章是本次实战的真实踩坑记录（含日志证据、源码依据），以后排错可直接对照。

目录

  1. 原理速览
  2. 实验环境与网络规划
  3. 编译安装 accel-ppp
  4. 配置文件 /etc/accel-ppp.conf（最终版，逐行注释）
  5. 账号文件 /etc/ppp/chap-secrets
  6. NAT 转发（客户端上外网的关键）
  7. 启动服务（前台 / systemd）
  8. Windows 客户端拨号
  9. 验证（三层递进）
  10. 踩坑实录（5 个真实故障）
  11. 日常运维命令
  12. 故障速查表
  13. 附录：纯净版配置（可直接粘贴）

1. 原理速览

1.1 PPP 与 PPPoE 的关系

  • PPP（Point-to-Point Protocol）：点对点链路层协议，与底层介质无关。一次连接分三步：
    1. LCP：协商链路参数（MRU、认证方式等）
    2. 认证：PAP / CHAP / MSCHAPv2
    3. NCP（IPCP）：分配 IP 地址、DNS
  • PPPoE = PPP over Ethernet（RFC 2516）：以太网上没有”点对点”概念，所以先要发现对方，再在二者之间跑 PPP。家庭宽带的”宽带拨号上网”就是它。

1.2 一次完整拨号的报文流程

客户端(Windows)                                     服务器(accel-ppp)
   │ ── PADI（广播：谁是服务器？）──────────→ │  ┐
   │ ←── PADO（我是 xx，AC-Cookie=0x065c…）── │  │ 发现阶段
   │ ── PADR（我选你，原样带回 AC-Cookie）──→ │  │ (EtherType 0x8863)
   │ ←── PADS（分配 Session ID=sid）───────── │  ┘
   │ ── LCP ConfReq/Ack（协商 MRU、认证方式）─→ │  ┐
   │ ── PAP AuthReq（账号/密码）────────────→ │  │ 会话阶段
   │ ←── PAP AuthAck（认证成功）───────────── │  │ (EtherType 0x8864)
   │ ── IPCP（请求 IP、DNS）────────────────→ │  │ 每包带 sid
   │ ←── IPCP Ack（10.10.10.x / 223.5.5.5）── │  ┘
   │ ════════ 之后所有 IP 包都在此 PPP 会话内 ════════ │
   │ ── PADT（任意一方，拆链）──────────────→ │


  • AC-Cookie：服务器在 PADO 里塞一个随机 cookie，客户端 PADR 必须原样带回，用于防伪造/防 DDoS。如果日志报 incorrect AC-Cookie，几乎一定是同一二层里有两个服务器在应答（见踩坑 2）。
  • 各平台都能拨：Windows 自带”宽带连接”；Linux 用 pppd + rp-pppoe；macOS 在网络设置里添加 PPPoE 服务；家用路由器 WAN 口的”宽带拨号上网”本质就是 PPPoE 客户端。

1.3 路由器 WAN 口各种”拨号”对照

路由器 WAN 类型 实际协议 说明
PPPoE（宽带拨号上网） PPP over Ethernet 国内家庭宽带最常见，需账号密码
PPPoA PPP over ATM 老 ADSL 时代
动态 IP（自动获得） DHCP / IPoE 无认证，或运营商做 MAC 绑定
静态 IP 手工配置 专线
L2TP / PPTP VPN 二次拨号 部分地区大内网（如学校）再套一层认证

2. 实验环境与网络规划

角色 系统 网卡 说明
PPPoE 服务器 Linux VM（Debian/Ubuntu） ens33 accel-ppp 监听 + NAT 出口
PPPoE 客户端 Windows 10/11 VM 以太网 用系统”宽带连接”拨号

VMware 网络要求：

  • 两台 VM 挂在同一个 VMnet（PPPoE 发现阶段靠以太网广播，必须同二层）；
  • 服务器 VM 自身要能上网（VMnet 选 NAT 模式，或桥接到宿主网络均可）。

地址规划（与本次联调环境一致）：

项目 值
客户端地址池 10.10.10.10 - 10.10.10.254
服务器侧网关 IP 10.10.10.1
下发 DNS 223.5.5.5 / 114.114.114.114
测试账号 user1 / pass123
AC 名称 accel-bras（随意）
监听网卡 ens33

双网卡方案：想让”PPPoE 接入面”与”上联面”分离（更接近真实 BRAS），给服务器加第二块网卡，interface= 写接入网卡，iptables -o 写上联网卡。本教程按单网卡（ens33 兼两职，VMware NAT 型 VMnet）记录。

3. 编译安装 accel-ppp

3.1 安装依赖（Debian/Ubuntu）

apt-get update
apt-get install -y build-essential cmake git \
  libssl-dev libpcre3-dev liblua5.1-0-dev libpam0g-dev \
  libnl-3-dev libnl-genl-3-dev pkg-config \
  linux-headers-$(uname -r)


3.2 编译

git clone --depth 1 -b master https://github.com/accel-ppp/accel-ppp.git
cd accel-ppp && mkdir -p build && cd build

cmake -DCMAKE_INSTALL_PREFIX=/usr \
      -DCMAKE_BUILD_TYPE=Release \
      -DBUILD_IPOE_DRIVER=TRUE \
      -DBUILD_VLAN_MON_DRIVER=TRUE \
      -DKDIR=/usr/src/linux-headers-$(uname -r) ..

make -j$(nproc)
make install


  • BUILD_IPOE_DRIVER / BUILD_VLAN_MON_DRIVER 是 IPoE 与 VLAN 监控的内核驱动，纯 PPPoE 实验可不带；带上才需要 -DKDIR 内核头文件路径。
  • 仓库地址就是官方上游 https://github.com/accel-ppp/accel-ppp.git，master 分支，无需 fork。

3.3 安装产物清单

/usr/sbin/accel-pppd            # 主程序
/usr/lib64/accel-ppp/*.so       # 模块目录（个别发行版是 /usr/lib/accel-ppp）
/usr/etc/accel-ppp.conf.dist    # 官方示例配置（排错参照物，找不到就 find / -name "accel-ppp.conf*"）
/usr/bin/accel-cmd              # 命令行管理工具


排查提示：日志若报 can't load module xxx，先 ls /usr/lib64/accel-ppp/ 确认该 .so 存在。本环境模块分布在 auth/、extra/、ipv6/、logs/、radius/、shaper/、triton/、vlan-mon/ 子目录。

3.4 目录准备

mkdir -p /var/log/accel-ppp


4. 配置文件 /etc/accel-ppp.conf（最终版，逐行注释）

这是本次联调跑通后的最终配置，直接照抄即可（注意第 5 章的账号文件）：

# ============================================================
# [modules] 模块加载：不写 = 功能不存在
# 踩坑点①：chap-secrets 是"账号库"，auth_* 是"认证协议"，两类都要加载
# ============================================================
[modules]
log_file                        # 文件日志
pppoe                           # PPPoE 服务端
auth_pap                        # PAP（Windows 拨号实测协商到 PAP）
auth_chap_md5                   # CHAP
auth_mschap_v1                  # MSCHAPv1
auth_mschap_v2                  # MSCHAPv2（Windows 默认优先）
chap-secrets                    # 读 /etc/ppp/chap-secrets
ippool                          # IP 池。注意：模块名叫 ippool，配置段却叫 [ip-pool]！

[core]
log-error=/var/log/accel-ppp/core.log
thread-count=4

# ============================================================
# [ppp] 每条 PPP 会话的公共参数
# ============================================================
[ppp]
verbose=3                       # 日志详细度：排障用 3，稳定后可降 1
min-mtu=1280
mtu=1492                        # PPPoE 标准值 = 1500 - 8（PPPoE 头）
mru=1492
ccp=0                           # 关 CCP 压缩协商（消除无关日志）
mppe=deny                       # 拒绝 MPPE 加密协商
lcp-echo-interval=20            # 保活探测间隔
lcp-echo-failure=3              # 连续失败次数 → 判定掉线
#ipv4=require                   # 可选：强制 IPv4 协商（deny|allow|prefer|require）
#ipv6=deny                      # 可选：IPv6 同上（默认就是 deny）

# ============================================================
# [pppoe] 接入层
# ============================================================
[pppoe]
verbose=1
ac-name=accel-bras              # AC 名称，客户端可见，随意
interface=ens33                 # 监听网卡（客户端所在二层）

# ============================================================
# IP 地址池
# 踩坑点②：段名必须是 [ip-pool]，不是 [ippool]！
# 依据：accel-pppd/extra/ippool.c:450 → conf_get_section("ip-pool")
# ============================================================
[ip-pool]
gw-ip-address=10.10.10.1        # 服务器侧 ppp 接口地址（即客户端的网关）
10.10.10.10-254                 # 裸行 = 地址段，分配给客户端

# ============================================================
# DNS 下发
# 踩坑点③：客户端拿 DNS 的唯一入口是 IPCP 的 DNS 选项，
# 读取点：accel-pppd/ppp/ipcp_opt_dns.c:167/171
#         conf_get_opt("dns", "dns1") / ("dns", "dns2")
# 在 [ip-pool] 里写 attr-dns1/attr-dns2 会被静默忽略（旧版才支持）
# ============================================================
[dns]
dns1=223.5.5.5
dns2=114.114.114.114

# ============================================================
# 账号库
# ============================================================
[chap-secrets]
chap-secrets=/etc/ppp/chap-secrets

# ============================================================
# CLI 管理
# ============================================================
[cli]
telnet=127.0.0.1:2000           # 人肉登录：telnet 127.0.0.1 2000
tcp=127.0.0.1:2001              # accel-cmd 用
password=accel                  # CLI 密码

# ============================================================
# 日志
# ============================================================
[log]
log-file=/var/log/accel-ppp/accel-ppp.log
log-emerg=/var/log/accel-ppp/emerg.log
log-fail-file=/var/log/accel-ppp/auth-fail.log    # 认证失败单独记录
copy=1                          # 同时输出到 stdout（前台跑时终端能看到）
level=3                         # 排障期可提到 5


5. 账号文件 /etc/ppp/chap-secrets

# client    server    secret    IP addresses
user1       *         pass123   *


格式说明（pppd 兼容格式，列间用空格/Tab）：

列 含义
1 用户名
2 服务器名（仅为兼容标准，写 *）
3 密码
4 分配的 IP：* = 从 [ip-pool] 池里取；写固定 IP 则分配固定 IP；也可写池名

6. NAT 转发（客户端上外网的关键）

# 1. 开启内核转发
sysctl -w net.ipv4.ip_forward=1
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf

# 2. 源地址伪装：拨号网段从 ens33 出去
iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o ens33 -j MASQUERADE

# 3. 放行转发
iptables -A FORWARD -i ppp+ -o ens33 -j ACCEPT
iptables -A FORWARD -i ens33 -o ppp+ -m state --state ESTABLISHED,RELATED -j ACCEPT


  • ppp+ 是通配符，匹配所有 pppX 拨号接口；
  • 双网卡方案把 -o ens33 换成上联网卡；
  • 先验证服务器自己能上网：ping 223.5.5.5。

7. 启动服务

方式 A：前台（调试推荐）

accel-pppd -c /etc/accel-ppp.conf


  • 前台终端”没输出”是正常的：启动日志走 /var/log/accel-ppp/accel-ppp.log，只有日志模块加载之前的致命错误才打到 stderr；
  • 另开一个窗口 tail -f /var/log/accel-ppp/accel-ppp.log 观察；
  • Ctrl+C 停止。

方式 B：systemd（常驻）

/etc/systemd/system/accel-ppp.service：

[Unit]
Description=accel-ppp (PPPoE/L2TP/PPTP) VPN daemon
After=network.target

[Service]
Type=simple
ExecStart=/usr/sbin/accel-pppd -c /etc/accel-ppp.conf
Restart=on-failure
RestartSec=3

[Install]
WantedBy=multi-user.target


systemctl daemon-reload
systemctl enable --now accel-ppp
journalctl -u accel-ppp -f


⚠️ 最重要的规矩：只能有一个实例

systemd 起了一个、又手动起一个 = 同一二层出现两个 PPPoE 服务器，客户端必报 incorrect AC-Cookie（见踩坑 2）。启动前先确认干净：

pkill -f accel-pppd ; sleep 1 ; pgrep -af accel-pppd   # 应无输出


8. Windows 客户端拨号

图形界面：

  1. 设置 → 网络和 Internet → 拨号 → 设置新连接（或控制面板 → 网络和共享中心 → 设置新的连接或网络 → 连接到 Internet）
  2. 选 宽带 (PPPoE)
  3. 输入 user1 / pass123 → 连接

命令行方式：

rasdial "宽带连接" user1 pass123
rasdial "宽带连接" /disconnect


9. 验证（三层递进）

服务器侧：

tail -f /var/log/accel-ppp/accel-ppp.log
# 期望看到：PADI→PADO→PADR→PADS sid=0001 → LCP → PAP AuthAck → IPCP 分配 10.10.10.x


客户端侧（逐层定位，哪层断修哪层）：

ipconfig /all
::  期望：PPP 适配器  IPv4=10.10.10.x  网关=10.10.10.1  DNS=223.5.5.5/114.114.114.114

ping 10.10.10.1        :: ① 隧道通
ping 223.5.5.5         :: ② NAT/转发通（任意公网 IP）
ping www.baidu.com     :: ③ DNS 通 → 全部打通


10. 踩坑实录（本次实战的真实故障，按时间线）

坑 1：ccp: failed to get flags: Bad file descriptor

error: ens33: ccp: failed to get flags: Bad file descriptor
info: ens33: disconnected


结论：无害噪音——会话拆除瞬间 CCP 还在尝试读 socket。[ppp] 加 ccp=0、mppe=deny 后不再出现。不要被它带偏，它不是掉线原因。

现象：客户端反复拨不上。日志显示 PADO 发出的 AC-Cookie 与 PADR 带回来的对不上。

原因：同一二层里跑了两个 accel-pppd 实例（systemd 起了一个，前台又手动起了一个）。PADI 广播被两个实例同时应答，客户端把 A 实例的 cookie 通过 PADR 发给了 B 实例。

解决：pkill -f accel-pppd，只留一个实例。

教训：同一 L2 只能有一个 PPPoE 服务实例；用 systemd 就别再手动起。

坑 3：认证层空转 → 38 秒后客户端超时拆链

现象：PADS 成功（sid=0001）、LCP 协商完成、auth_layer_start 之后两边都没动静，客户端等 38 秒发 LCP TermReq 掉线。

原因：[modules] 里只写了 chap-secrets（账号存哪），没写 auth_pap 等认证协议模块 → 服务器在 LCP 里根本不提出”要认证”，Windows 干等。

解决：补 auth_pap / auth_chap_md5 / auth_mschap_v1 / auth_mschap_v2。

教训：chap-secrets 是”密码本”，auth_* 才是”验密码的协议”，两类都要加载。

坑 4：no free IPv4 address

recv [IPCP ConfReq <addr 0.0.0.0> ...]
warn: ppp0: ppp: no free IPv4 address
send [LCP ProtoRej <8021>]


现象：认证成功后客户端要 IP，服务器说没地址，直接把 IPCP（协议号 0x8021）拒绝并拆链。

原因：配置段写成了 [ippool]，而这个版本源码只认 [ip-pool]（accel-pppd/extra/ippool.c:450 → conf_get_section("ip-pool")），地址池等于没配。

解决：

sed -i 's/^\[ippool\]$/[ip-pool]/' /etc/accel-ppp.conf


教训：模块名 ≠ 配置段名。[modules] 里写 ippool，配置段必须叫 [ip-pool]。拿不准时去源码里搜 conf_get_section()，那才是真名。

坑 5：能连上、ping 公网 IP 通，ping 域名不通

ping 10.10.10.1    ✓（隧道）
ping 111.63.65.247 ✓（NAT）
ping www.baidu.com ✗


原因：试图在 [ip-pool] 里用 attr-dns1= / attr-dns2= 下发 DNS，但当前版本解析 [ip-pool] 时只认 gw-ip-address / shuffle / reload-orphan / gw / tunnel / 裸地址段，未知键直接 continue 静默忽略。DNS 的真正读取点在 accel-pppd/ppp/ipcp_opt_dns.c:167/171 → conf_get_opt("dns", "dns1"/"dns2")。

解决：删掉 attr-dns1/attr-dns2 两行，新增 [dns] 段（见第 4 章）。

教训：配置项放错段 = 静默失效，不会报任何错。accel-ppp 对无法识别的键一律跳过。

11. 日常运维命令

# 日志
tail -f /var/log/accel-ppp/accel-ppp.log
journalctl -u accel-ppp -f

# 会话管理（密码对应 [cli] password）
telnet 127.0.0.1 2000
  > show sessions          # 当前在线会话
  > terminate <sid>        # 踢掉指定会话
# 也可用 /usr/bin/accel-cmd 执行同样命令（参数对应 [cli] 配置）

# 抓 PPPoE 报文（发现 0x8863 / 会话 0x8864）
tcpdump -i ens33 -n 'pppoed or pppoes'

# 检查 NAT
iptables -t nat -S POSTROUTING
cat /proc/sys/net/ipv4/ip_forward    # 应为 1


12. 故障速查表

现象 / Windows 错误码 原因 处理
discard PADR (incorrect AC-Cookie) 二层里有两个服务实例 pkill -f accel-pppd 只留一个
拨号后 30~40 秒掉线、日志无认证报文（错误 691） [modules] 缺 auth_* 协议模块 补 4 个 auth 模块
no free IPv4 address（错误 734/738） 地址池段名或格式错 段名必须 [ip-pool]，池内写裸地址段
ping 公网 IP 通、ping 域名不通 DNS 未下发 [dns] 段；删 [ip-pool] 里无效的 attr-dns
ping 10.10.10.1 都不通（错误 651） 二层不通 / 监听网卡错 两 VM 同一 VMnet；interface= 写对网卡
ping 公网 IP 也不通 NAT / 转发没开 ip_forward=1 + MASQUERADE + FORWARD 放行
认证失败（错误 691） 账号密码错 / 协议不匹配 查 /etc/ppp/chap-secrets 与 auth-fail.log
can't load module xxx 模块文件不在搜索路径 ls /usr/lib64/accel-ppp/ 确认
服务器前台”没输出” 正常现象 日志在 /var/log/accel-ppp/accel-ppp.log

13. 附录：纯净版配置（可直接粘贴）

/etc/accel-ppp.conf：

[modules]
log_file
pppoe
auth_pap
auth_chap_md5
auth_mschap_v1
auth_mschap_v2
chap-secrets
ippool

[core]
log-error=/var/log/accel-ppp/core.log
thread-count=4

[ppp]
verbose=3
min-mtu=1280
mtu=1492
mru=1492
ccp=0
mppe=deny
lcp-echo-interval=20
lcp-echo-failure=3

[pppoe]
verbose=1
ac-name=accel-bras
interface=ens33

[ip-pool]
gw-ip-address=10.10.10.1
10.10.10.10-254

[dns]
dns1=223.5.5.5
dns2=114.114.114.114

[chap-secrets]
chap-secrets=/etc/ppp/chap-secrets

[cli]
telnet=127.0.0.1:2000
tcp=127.0.0.1:2001
password=accel

[log]
log-file=/var/log/accel-ppp/accel-ppp.log
log-emerg=/var/log/accel-ppp/emerg.log
log-fail-file=/var/log/accel-ppp/auth-fail.log
copy=1
level=3


/etc/ppp/chap-secrets：

user1       *         pass123   *


启动清单：

mkdir -p /var/log/accel-ppp
pkill -f accel-pppd                    # 确保无残留实例
accel-pppd -c /etc/accel-ppp.conf      # 或 systemctl start accel-ppp
tail -f /var/log/accel-ppp/accel-ppp.log


源码引用基于官方 master（本环境编译版本 c9d9381）：accel-pppd/extra/ippool.c:450、accel-pppd/ppp/ipcp_opt_dns.c:167。