本思路适用于以下用户：

1.上海电信宽带，SDN光猫桥接，路由器拨号。

2.想利用光猫唯一的2.5G口上网，同时正常观看IPTV。

为了完成这个配置，你需要：

1.一台2.5G SDN光猫（比如中兴 FT7615TV3）

2.一台支持配置DNSmasq的路由器（比如华硕全系）

3.一台2.5G二层网管交换机（瑞昱的公版方案交换机即可）

在配置之前，你需要了解：

1.上海电信的IPTV采用A/B面双认证，A面为互联网认证，B面为IPTV专网认证，两者之间的流量通过VLAN隔离，其机顶盒的LAN口是一个Trunk口。只有同时通过两个认证才能正常收看节目。

2.上海电信的2.5G SDN光猫配置是，

(a). LAN1是2.5G口，是仅提供互联网业务的Access口。

(b). 标识为ITV的LAN2并不能传输IPTV流量，该接口用途不明。

(c). LAN3/LAN4是千兆口，是提供IPTV和互联网业务的Trunk口。

在光猫路由模式下，这两个口同时连接互联网和IPTV专网，将机顶盒插入这两个口即可顺利观看IPTV。

在光猫桥接模式下，这两个口的PPPoE拨号功能被交给路由器，本身并不能连接互联网，但使用IPoE认证的IPTV专网依然可以正常连接。

因此，我们只需要将LAN3/4的IPTV业务分离出来，再把这个业务同路由器上的互联网业务合并到一个Trunk口，让机顶盒同时接通互联网和IPTV专网，即可正常收看节目。

不过，上海电信的IPTV机顶盒在执行互联网（A面）认证的时候需要执行一些特殊的鉴权参数，只有在路由器一侧设置正确的鉴权报文，机顶盒才能正确通过A面认证。

所以，在配置交换机的VLAN之前，我们先来配置路由器一侧的鉴权报文。

首先，假设我们已经成功拨号上网，且路由器支持DNSmasq。这里以华硕路由器为例。

1.先打开路由器的jffs分区和SSH。

2.用SSH客户端登录到路由器，用户名和密码与Web管理端相同。

3.定位到 /jffs/configs/，创建dnsmasq.conf.add文件。

4.在文件中填入以下内容：

dhcp-option-force=125,00:00:00:00:1a:02:06:48:47:57:2d:43:54:03:04:5a:58:48:4e:0a:02:20:00:0b:02:00:55:0d:02:00:2e:3c:1e:00:00:01:00:02:03:43:50:45:03:0e:45:38:20:45:50:4f:4e:20:52:4f:55:54:45:52:04:03:31:2e:30

dhcp-option=60,00:00:01:06:68:75:61:71:69:6e:02:0a:48:47:55:34:32:31:4e:20:76:33:03:0a:48:47:55:34:32:31:4e:20:76:33:04:10:32:30:30:2e:55:59:59:2e:30:2e:41:2e:30:2e:53:48:05:04:00:01:00:50

dhcp-option=15

dhcp-option=28

5.保存文件

6.用以下命令重启DNSmasq服务：service restart_dnsmasq

至此，路由器一侧的鉴权报文配置完毕。

接下来我们来配置二层网管交换机，这里以一台8个2.5G电口，一个10G光口的交换机为例。

在配置VLAN之前，先来搞清楚交换机和光猫、路由器之间的物理连接拓扑。

1.交换机的1号口连接路由器的任意LAN口，该端口是用于获得互联网流量的Access口。

2.交换机的2号口连接光猫的LAN3或者LAN4，该端口用于获得IPTV专网流量，但由于IPTV业务同时存在业务VLAN和组播VLAN，所以该端口是Trunk口。

3.交换机的3号口连接IPTV机顶盒，该端口是最终的TrunK口。

理解了这些物理拓扑，我们就可以来配置交换机的VLAN。

上海电信的IPTV业务VLAN是85，组播VLAN是51。互联网流量虽然没有分配VLAN，但我们必须给它分配一个VLAN，比如VLAN10，否则虽然可以通过认证，但实测无法看电视。

首先是互联网流量一侧，我们的路由器并不知道VLAN10的存在，所以我们要让路由器进入交换机的流量归为VLAN10，所以我们将交换机所有端口的PVID（Native VLAN）全部设置为10，接受的帧类型为全部接受。如下图所示：

完成这一步后，我们先来看看最终的VLAN配置，然后根据下面这张图，我们来逐步拆解这样配置的原因。

首先，VLAN1是交换机的默认VLAN，所有端口都属于这个VLAN，这不是我们要关心的VLAN。

下面，让我们来看1号口，如上文所述，该端口仅负责互联网流量，所以该端口仅属于VLAN10，而且所有流量都因为PVID的存在被归为VLAN10。而且，由于上文提到了，我们的路由器并不知道VLAN10的存在，所以所有划入VLAN10的流量绝对不可以打标签，否则将导致交换机上的所有设备无法正常上网。

接下来是2号口，如上文所述，该端口仅负责IPTV专网流量，所以该端口既需要属于VLAN85（业务VLAN），也需要属于VLAN51（组播VLAN），由于这两组VLAN在光猫内部均为带标签传输，所以交换机一侧的这两个VLAN流量也要带标签传输。值得注意的是，2号口不传输互联网流量，所以该端口不需要成为VLAN10的成员。基于这一原因，PVID设置为10并不影响该端口正常工作，所有识别为VLAN10的流量均会被丢弃。

接着是3号口，如上文所述，该端口需要聚合互联网流量和IPTV专网流量，所以该端口既需要不带标签的VLAN10流量，也需要带标签的VLAN85和VLAN51流量。

如果需要让IPTV机顶盒接任意端口均可正常播放，可以将3号口的配置复制到剩余的端口，最终就会形成如图的配置，至此，机顶盒应该能正常通过A/B面认证并可以收看节目了。

不过，由于IPTV的流量是组播流量，这样的配置虽然可以收看节目，但是可能会引发组播风暴导致电视节目卡死，甚至机顶盒和交换机停摆奔溃，所以我们还有最后一步要做。

我们要打开交换机的IGMP侦听（IGMP Snooping）功能，这样就不会产生组播风暴了。如下图所示：

至此，我们可以正常收看电视节目了。

通过以上配置，我们可以实现最初的目标了，即：

1.上海电信宽带，SDN光猫桥接，路由器拨号。 2.利用光猫唯一的2.5G口上网，同时正常观看IPTV。

这样我们的配置就完成了。