目  录

1 UCM

1.1 UCM简介

1.1.1 UCM基本功能结构

1.1.2 UCM用户类型

1.1.3 UCM用户接入基本流程

1.1.4 UCM转发与控制分离功能

1.2 UCM配置限制和指导

1.3 UCM配置任务简介

1.4 UCM配置准备

1.5 配置转发与控制分离工作模式

1.5.1 配置UP的工作模式

1.6 配置BRAS接入用户特有功能

1.6.1 配置接口Down后对BRAS在线用户采取的策略

1.6.2 配置接口上允许接入的最大用户数

1.6.3 配置BRAS在线用户流量统计的频率模式

1.6.4 配置接入用户日志信息功能

1.6.5 配置整机上线接入用户会话数目的告警阈值（一体化设备）

1.6.6 配置每slot用户数超限告警功能

1.6.7 配置接口的nas-port-type属性

1.6.8 配置设备使用四维接口形式与AAA服务器对接

1.7 配置接入用户公共管理功能

1.7.1 配置业务跟踪对象功能

1.8 UCM显示和维护

 

1 UCM

1.1  UCM简介

UCM（User Connection Management，用户连接管理）是一个统一用户管理组件，用于对各类接入用户的连接进行集中管理，可实现简化用户管理和运维的目的。

1.1.1  UCM基本功能结构

如图1-1所示，接入用户认证上线过程中会涉及到5大功能组件。其中UCM组件是其余四个组件之间的桥梁，负责协调各组件间的交互关系并协助完成用户连接的建立、维护和拆除等功能。

图1-1 UCM基本功能结构示意图

 

本章内容仅介绍各组件的基本功能，各组件详细功能的介绍，请参见相关组件模块手册。

各组件基本功能如下：

·     用户接入识别组件

负责识别和处理用户的各种接入协议报文，并在用户认证过程中获取用户的用户名、密码及物理位置等信息，从而为实现合法用户接入提供信息依据和安全保障。

·     UCM组件

是其他四个组件之间的桥梁，负责协调用户接入识别、AAA管理、地址管理等组间之间的交互关系，并协助完成用户连接的建立、维护和拆除等功能。

·     AAA组件

负责对用户进行认证、授权和计费。

·     地址管理组件

负责为接入用户分配IP地址，并通过对用户IP地址的统一管理来确保IP地址资源等到合理使用。

·     业务控制组件

负责对用户接入的基本业务和增值业务的访问权限、带宽和QoS策略等进行控制。

1.1.2  UCM用户类型

根据用户的应用场景不同，UCM可管理用户可分为如下两类：

·     设备管理类用户：用于登录设备，对设备进行配置和监控。此类用户可以提供FTP、HTTP、HTTPS、Telnet、SSH、Terminal和PAD服务。

·     网络接入类用户：用于通过设备接入网络，访问网络资源。此类用户可以提供IPoE、PPPoE、L2TP服务。其中，IPoE、PPPoE和L2TP统称为BRAS特性（Broadband Remote Access Server，宽带远程接入服务器）。

1.1.3  UCM用户接入基本流程

本章内容仅介绍用户接入认证的基本流程，各协议详细接入认证流程的介绍，请参见相关协议模块手册。

(1)     获取认证信息

接入识别组件收到用户终端发出的连接请求报文后，从报文中提取用户名、密码及物理位置等信息，将信息发送给UCM组件要求认证。

(2)     请求认证

UCM组件根据接入限制等条件判断是否允许用户接入。如果允许，则将认证信息转发给AAA组件。

(3)     认证和授权

AAA组件根据AAA方案进行认证和授权，并将认证结果及授权信息返回给UCM组件。

(4)     请求分配IP地址

如果认证成功，UCM组件向地址管理组件申请IP地址。

(5)     分配IP地址

地址管理组件根据用户信息，分配IP地址（远程地址需要到外部的DHCP服务器分配），并将分配结果返回给UCM组件

(6)     允许用户上线

UCM组件将认证结果及申请到的IP地址返回给接入识别组件，接入识别组件允许用户上线。

(7)     计费和控制

用户上线后，AAA组件、业务控制组件共同负责对用户使用的基本业务、增值业务进行计费、带宽限制、QoS等控制。

1.1.4  UCM转发与控制分离功能

1. 转发与控制分离功能介绍

为解决传统BRAS（Broadband Remote Access Server，宽带远程接入服务器）中存在的控制平面与转发平面能力不匹配、无法共享资源以及新业务部署不及时等问题，业界提出了基于vBRAS（Virtual Broadband Remote Access Server，虚拟化宽带远程接入服务器）的转发与控制分离方案。

转发与控制分离是指将转发平面与控制平面完全解耦，二者互不约束。在转发与控制分离方案中，包括CP和UP两种角色，由二者共同实现BRAS功能。其中：

·     CP（Control Plane，控制平面）：负责完成用户身份认证、地址分配与管理等控制平面功能。其中，CP一般由vBRAS系列虚拟宽带远程接入服务器担任。

·     UP（User Plane，用户平面）：负责完成用户数据流量转发和流量控制等转发平面功能。其中，UP可由路由器或者vBRAS虚拟宽带远程接入服务器担任。

CP和UP之间通过建立如下三条通道实现转发与控制分离功能：

·     管理通道：用作CP和UP之间配置下发的通道。

·     控制通道：用作CP和UP之间表项下发的通道。

·     协议通道：用作CP和UP之间协议报文交互的通道

2. BRAS工作模式

在转发与控制分离的组网环境中，BRAS有三种工作模式：普通模式、控制模式和转发模式。其中控制模式和转发模式又统称为转发与控制分离模式。

·     普通模式：本模式下，不区分CP和UP，BRAS模块的控制及数据转发业务均由同一台设备完成。工作在本模式的设备称作一体化设备。

·     控制模式：即session模式，该模式基于远端接口实现CP功能。当CP所连接的UP设备支持IPoE、PPPoE或L2TP功能时，可采用session模式，工作在session模式的CP将会向UP发送BRAS会话信息，UP根据从CP收到的BRAS会话信息指导数据报文转发。

·     转发模式：本模式下，设备仅完成数据转发业务。工作在本模式的设备称作UP。

 

1.2  UCM配置限制和指导

对于没有采用AAA认证的Telnet用户，不受UCM管理。

当接口上存在上线的UCM用户时，不能对该接口执行以下操作：

·     IRF端口和IRF物理端口绑定：port group interface

·     接口拆分：using

·     切换以太网接口的工作模式：port link-mode

·     POS接口和三层GE接口间类型切换：port-type switch gigabitethernet，port-type switch pos

·     端口加入业务环回组：port service-loopback group

·     为远程源镜像组配置反射端口：mirroring-group reflect-port

·     将接口加入聚合组：port link-aggregation group

有关IRF端口和IRF物理端口绑定的详细介绍，请参见“虚拟化技术配置指导”中的“IRF”。

有关接口拆分、切换以太网接口的工作模式、POS接口和三层GE接口间类型切换的详细介绍，请参见“接口管理配置指导”中的“以太网接口”。

有关端口加入业务环回组的详细介绍，请参见“二层技术-以太网交换配置指导”中的“业务环回组”。

有关为远程源镜像组配置反射端口的详细介绍，请参见“网络管理和监控配置指导”中的“镜像”。

有关将接口加入聚合组的详细介绍，请参见“二层技术-以太网交换配置指导”中的“以太网链路聚合”。

1.3  UCM配置任务简介

UCM配置任务如下：

(1)     配置转发与控制分离工作模式

¡     配置UP的工作模式

(2)     配置BRAS接入用户特有功能

¡     配置接口Down后对BRAS在线用户采取的策略

¡     配置接口上允许接入的最大用户数

¡     配置BRAS在线用户流量统计的频率模式

¡     配置接入用户日志信息功能

¡     配置整机上线接入用户会话数目的告警阈值（一体化设备）

¡     配置每slot用户数超限告警功能

¡     配置接口的nas-port-type属性

¡     配置设备使用四维接口形式与AAA服务器对接

(3)     配置接入用户公共管理功能

¡     配置业务跟踪对象功能

1.4  UCM配置准备

UCM组件是通过协调AAA、地址管理等组件间的交互关系并协助完成用户连接的建立、维护和拆除等功能，从而实现简化用户管理的目的。因此为实现简化用户管理的目的，需要各组件和UCM组件相互配合，并完成如下配置准备：

·     若配置的是DHCP触发方式，需要安装并配置好DHCP服务器。如果是DHCP中继组网，接入设备还需启动DHCP中继功能。

·     如果通过远端RADIUS服务器进行身份认证，则首先保证RADIUS服务器已安装并配置成功，其次需要在RADIUS服务器上配置相应的用户名和密码，然后在接入设备端进行RADIUS客户端的相关设置。如果需要通过远端的安全策略服务器进行安全检测和授权，则需要在H3C iMC安全策略服务器上配置相应的安全策略，并在接入设备上指定安全策略服务器的IP地址。RADIUS客户端以及安全策略服务器的具体配置请参见“BRAS业务配置指导”中的“AAA”。

·     如果通过本地设备进行身份认证，则需要在接入设备上配置相关的本地用户及其属性。本地用户的具体配置请参见“BRAS业务配置指导”中的“AAA”。

·     保证用户、接入设备和各服务器之间路由可达。

·     在转发分支分离组网环境中，请提前规划好哪些设备作为UP，哪些作为CP。

1.5  配置转发与控制分离工作模式

 

1.5.1  配置UP的工作模式

1. 功能简介

在转发与控制分离模式组网环境中，当UP上联的CP工作在session模式时，需要通过本节配置指定设备工作在转发模式。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置设备的工作在转发模式。

work-mode user-plane

缺省情况下，BRAS接入设备工作在普通模式。

1.6  配置BRAS接入用户特有功能

1.6.1  配置接口Down后对BRAS在线用户采取的策略

1. 功能简介

缺省情况下，接口Down时，会强制该接口下的在线用户下线，当接口恢复Up后，下线用户需要重新认证上线。为避免因接口反复进行Up/Down切换导致用户频繁上下线，可通过本命令配置接口Down后，允许用户保持在线状态。

2. 配置限制和指导

本功能仅适用于PPPoE和IPoE接入用户。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     配置接口Down后对BRAS在线用户采取的策略。

user-policy interface-down online [ no-user-detect ]

缺省情况下，接口Down后，强制BRAS用户下线。

在配置接口Down后允许用户保持在线状态的情况下，为避免在接口Down到恢复Up期间，因在线探测失败导致用户被强制下线，可在命令中指定no-user-detect参数。

1.6.2  配置接口上允许接入的最大用户数

1. 配置限制和指导

在BRAS转发与控制分离组网环境下，本功能仅在CP上配置后才生效。

如果本命令配置的最大接入用户数小于当前接口上（或接口上VLAN内）已经接入的用户数，则该配置可以执行成功，且在线的用户不会受影响，但系统将不允许该接口上（或接口上VLAN内）再接入新的用户。

本命令与pppoe-server session-limit per-vlan、认证域下的access-limit同时配置时，三者可以同时生效，由于控制的角度不同，因此该接口上（或接口上VLAN内）允许接入的最大PPPoE用户数会收到三重限制，即仅在三者均未达到最大用户数限制时才允许接入新的PPPoE用户。

本命令与认证域下的access-limit命令同时配置时，两者可以同时生效，由于控制的角度不同，因此该接口上（或接口上VLAN内）允许接入的最大BRAS用户数会收到双重限制，即仅在两者均未达到最大用户数限制时才允许接入新的BRAS用户。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     配置接口上允许接入的最大用户数。

access-limit user-number [ start-vlan start-vlan [ end-vlan end-vlan ] [ qinq qinq-vlan ] ]

缺省情况下，未限制接口上允许接入的最大用户数。

1.6.3  配置BRAS在线用户流量统计的频率模式

1. 功能简介

通过本配置，管理员可根据实际需要调整设备更新BRAS在线用户流量统计信息的频率。设备目前支持如下三种频率模式：

·     fast模式：当对BRAS用户的流量的统计信息的精确度要求较高时，可配置本模式。

·     normal模式：当对BRAS用户的流量的统计信息的精确度要求一般时，可配置本模式。

·     slow模式：当对BRAS用户的流量的统计信息的精确度要求较低时，可配置本模式。

2. 配置限制和指导

在BRAS转发与控制分离组网环境下，本功能仅在CP上配置后才生效。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置BRAS在线用户流量统计的频率模式。

flow-statistics frequency { fast | normal | slow }

缺省情况下，BRAS在线用户流量统计的频率模式为normal模式。

1.6.4  配置接入用户日志信息功能

1. 功能简介

接入用户日志是为了满足网络管理员维护的需要，对用户的上线成功、上线失败、正常下线和异常下线的信息进行记录，包括用户名、IP地址、接口名称、内外层VLAN、MAC地址、上线失败原因、下线原因等。设备生成的日志信息会交给信息中心模块处理，信息中心模块的配置将决定日志信息的发送规则和发送方向。关于信息中心的详细描述请参见“网络管理和监控配置指导”中的“信息中心”。

2. 配置限制和指导

为了防止设备输出过多的接入用户日志信息，一般情况下建议不要开启此功能。

在BRAS转发与控制分离组网环境下，本功能仅在CP上配置后才生效。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启接入用户日志信息功能。

access-user log enable [ abnormal-logout | failed-login | normal-logout | successful-login ] *

缺省情况下，BRAS接入用户日志信息功能处于关闭状态。

1.6.5  配置整机上线接入用户会话数目的告警阈值（一体化设备）

1. 功能简介

整机上线接入用户会话数目，是指整个设备上线的IPoE会话、PPPoE会话和L2TP会话的总数目。（独立运行模式）

整机上线接入用户会话数目，是指整个IRF系统上线的IPoE会话、PPPoE会话和L2TP会话的总数目。（IRF模式）

可通过本命令分别配置接入用户会话数的上限、下限告警阀值，使得接入用户会话数目大于或小于某个设定值时能够自动触发告警，便于管理员及时了解现网的在线用户情况。管理员可通过display access-user命令查看当前在线接入用户总数。

假定整机允许上线的接入用户会话的最大数目为a，上限告警阈值为b，下限告警为c，则：

·     当在线接入用户会话数目超过上限a×b或低于下限a×c时，都将输出对应警告信息。

·     当在线接入用户会话数目恢复到正常数值范围后，输出恢复信息。

为避免特殊情况下在线接入用户会话数目在临界区反复变化导致频繁输出告警信息和恢复信息，当在线接入用户会话数目从上限或下限恢复时，系统内部有一个缓冲区，缓冲区大小为在线接入用户会话数目上下限差值的10%，假定为d，d=a×(b－c)÷10，仅当在线接入用户会话数目恢复到小于a×b－d或大于a×c＋d时才会输出恢复信息。

例如，假定a为1000，b为80%，c为20%，d=a×(b－c)÷10=1000×(80%－20%)÷10=1000×60%÷10=600÷10=60，则：

·     当在线接入用户会话数目超过上限a×b=1000×80%=800时，输出上限告警信息。当在线接入用户会话数目恢复到小于a×b－d=800－60=740时，输出恢复信息。

·     当在线接入用户会话数目低于下限a×c=1000×20%=200时，输出下限告警信息。当在线接入用户会话数目恢复到大于a×c＋d=200＋60=260时，输出恢复信息。

2. 配置限制和指导

配置上限告警阈值必须大于下限告警阈值。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置上线接入用户会话数目的告警阈值。

access-user session-threshold { lower-limit lower-limit-value | upper-limit upper-limit-value }

缺省情况下，上线接入用户会话数目的上限告警阈值为100，下限告警阈值为0。

1.6.6  配置每slot用户数超限告警功能

1. 功能简介

可通过本命令配置每slot接入用户数的告警阈值，使得接入用户数超过某个设定值时能够自动触发告警，便于管理员及时了解现网的在线用户情况。

每slot接入用户数阈值告警功能仅用于对接入的IPoE、PPPoE和L2TP用户数进行统计。其中：

·     对于双栈PPPoE用户，如果配置了统一计费方式，则按一个用户数进行统计；如果配置了分别计费方式，则按两个用户数进行统计。

·     对于双栈IPoE用户，按两个用户数进行统计。

·     对于IPoE专线用户，每个接口专线用户按两个用户数进行统计，每个子网专线用户按一个用户数进行统计。

·     对于IPoE专线子用户，每个子用户按一个用户数进行统计。

·     对于LAC端L2TP用户的用户数统计原则同PPPoE用户；对于LNS端的L2TP用户不计入用户数统计。

假定每slot允许接入的最大用户数为a，配置的告警阈值为b，则：

·     当接入用户数超过告警上限a×b时，将输出对应警告信息。

·     当接入用户数恢复到正常数值范围后，输出恢复信息。

为避免特殊情况下接入用户数在临界区反复变化导致频繁输出告警信息和恢复信息，当接入用户数从阈值上限恢复时，系统内部有一个缓冲区，缓冲区大小为配置的告警阈值的10%，假定为c，c=a×b÷10，仅当接入用户数恢复到小于a×b－c时才会输出恢复信息。

例如，假定a为1000，b为80%，则c=a×b÷10=1000×80%÷10=800÷10=80，则：

·     当接入用户数超过告警上限a×b=1000×80%=800时，输出上限告警信息。

·     当接入用户数恢复到小于a×b－c=800－80=720时，输出恢复信息。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置每slot接入用户数的告警阈值。

slot-user-warning-threshold threshold-value

缺省情况下，每slot接入用户数的告警阈值为100。

(3)     开启每slot接入用户数的Trap告警功能。

snmp-agent trap enable slot-user-warning-threshold

缺省情况下，每slot接入用户数的Trap告警功能处于关闭状态。

1.6.7  配置接口的nas-port-type属性

1. 功能简介

本特性用来配置RADIUS认证计费时所携带的nas-port-type属性。关于nas-port-type属性的详细介绍请参见RFC 2865。

2. 配置限制和指导

本特性配置后仅对新接入的用户生效，对当前已经存在用户无影响。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     配置接口的nas-port-type属性。

nas-port-type { 802.11 | adsl-cap | adsl-dmt | async | cable | ethernet | g.3-fax | hdlc | idsl | isdn-async-v110 | isdn-async-v120 | isdn-sync | piafs | sdsl | sync | virtual | wireless-other | x.25 | x.75 | xdsl }

缺省情况下，接口的nas-port-type属性为ethernet。

1.6.8  配置设备使用四维接口形式与AAA服务器对接

1. 功能简介

转发与控制分离组网中，本命令仅需要在CP设备上配置，无需在UP设备上配置。具体为：CP设备上远端接口的形式为UP ID加接口名称，如Remote-GE1024/3/1/2，其中1024表示UP ID值，3/1/2表示三维接口名称。缺省情况下，CP设备与AAA服务器交互的过程中，对于涉及到的接口相关信息（如NAS-PORT-ID等），CP设备使用三维接口形式与服务器对接。当需要在AAA服务器上明确接入用户的上线UP时，可以通过本命令配置CP使用四维接口形式与服务器对接。配置本命令后，CP将在原三维接口的基础上新增一维UP ID，形式为up-id/原三维接口。

一体化组网中，缺省情况下，设备与AAA服务器交互的过程中，对于涉及到的接口相关信息（如NAS-PORT-ID等），设备使用不带chassis信息的三维接口形式与服务器对接。在IRF组网中，当需要在AAA服务器上明确接入用户的上线IRF成员设备时，可以通过本命令配置设备使用带chassis信息的四维接口形式与服务器对接。

2. 配置限制和指导

配置命令行后只对新上线的用户生效。

一体化组网中，本功能仅适用于接入用户通过物理接口上线的情况，不适用于接入用户通过三层聚合接口等全局接口上线的情况。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置设备使用四维接口形式与AAA服务器对接。

access-user four-dimension-mode enable

缺省情况下，设备使用三维接口形式与AAA服务器对接。

1.7  配置接入用户公共管理功能

1.7.1  配置业务跟踪对象功能

1. 功能简介

业务跟踪对象功能是为了满足网络管理员维护的需要，管理员通过创建业务追踪对象可以追踪接入用户的上下线相关信息，并且通过指定不同的匹配参数，可以实现对特定用户的追踪。

2. 配置限制和指导

开启本功能会时占用大量系统资源，建议仅在故障诊断时使用，一般情况下不要使用。

当配置输出信息到日志服务器时，请确保设备与指定的日志服务器之间路由可达并且日志服务器配置正确。

主备倒换（主用主控板和备用主控板之间）后本命令的配置自动失效，需要重新配置。（独立运行模式）

主备倒换（全局主用主控板和全局备用主控板之间）后本命令的配置自动失效，需要重新配置。（IRF模式）

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置业务跟踪对象功能。

trace access-user object object-id { access-mode { ipoe | lns | pppoe } | c-vlan vlan-id | interface interface-type interface-number | ip-address ip-address | mac-address mac-address | s-vlan vlan-id | tunnel-id tunnel-id | username user-name } * [ aging time | output { file file-name | syslog-server server-ip-address | vty } ] *

trace access-user object object-id [ access-mode { ipoe | lns | pppoe } | c-vlan vlan-id | interface interface-type interface-number | ip-address ip-address | mac-address mac-address | s-vlan vlan-id | tunnel-id tunnel-id | username user-name ] * calling-station-id calling-station-id

如果指定interface参数，当接入接口所在slot或subslot重启后，业务跟踪对象配置会自动失效，需要重新配置。

1.8  UCM显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后UCM的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行cut和reset命令可以清除UCM统计信息。

表1-1 UCM显示和维护

操作	命令
显示接入用户的信息	（独立运行模式） display access-user [ [ { { auth-type { admin | bind | ike | mac-auth | ppp | pre-auth | web-auth } | domain domain-name | interface interface-type interface-number [ s-vlan svlan-id [ c-vlan cvlan-id ] ] | ip-pool pool-name | ip-pool-group ip-pool-groupname | ip-type { dual-stack | ipv4 | ipv6 } | ipv6-address-protocol { dhcpv6 | nd } | ipv6-cpe-mode { ipv6 | ipv6-pd } | ipv6-pool pool-name | ipv6-pool-group ipv6-pool-groupname | lac-ip lac-ip-address | lns-ip lns-ip-address | mac-address mac-address | remote-name tunnel-name | start-time start-time start-date end-time end-time end-date | user-address-type { ds-lite | ipv6 | nat64 | private-ds | private-ipv4 | public-ds | public-ipv4 } | user-group user-group-name | user-type { lac | leased | lns | pppoe | pppoa } | username user-name | vpn-instance vpn-instance-name | vxlan vxlan-id [ vxlan-id-max ] | slot slot-number } * | time time [ slot slot-number ] } [ count | verbose ] | { { ip-address ipv4-address | ipv6-address ipv6-address | ipv6-prefix ipv6-prefix/prefix-length | public-ip-address public-ip-address } [ vpn-instance vpn-instance-name ] | user-id user-id } [ slot slot-number ] [ verbose ] ] | { count | verbose } ] （IRF模式） display access-user [ [ { { auth-type { admin | bind | ike | mac-auth | ppp | pre-auth | web-auth } | domain domain-name | interface interface-type interface-number [ s-vlan svlan-id [ c-vlan cvlan-id ] ] | ip-pool pool-name | ip-pool-group ip-pool-groupname | ip-type { dual-stack | ipv4 | ipv6 } | ipv6-address-protocol { dhcpv6 | nd } | ipv6-cpe-mode { ipv6 | ipv6-pd } | ipv6-pool pool-name | ipv6-pool-group ipv6-pool-groupname | lac-ip lac-ip-address | lns-ip lns-ip-address | mac-address mac-address | remote-name tunnel-name | start-time start-time start-date end-time end-time end-date | user-address-type { ds-lite | ipv6 | nat64 | private-ds | private-ipv4 | public-ds | public-ipv4 } | user-group user-group-name | user-type { lac | leased | lns | pppoe | pppoa } | username user-name | vpn-instance vpn-instance-name | vxlan vxlan-id [ vxlan-id-max ] | chassis chassis-number slot slot-number } * | time time [ chassis chassis-number slot slot-number ] } [ count | verbose ] | { { ip-address ipv4-address | ipv6-address ipv6-address | ipv6-prefix ipv6-prefix/prefix-length | public-ip-address public-ip-address } [ vpn-instance vpn-instance-name ] | user-id user-id } [ slot slot-number ] [ verbose ] ] | { count | verbose } ]
显示各slot上接入用户的备份状态	display access-user backup-state
显示接入用户下线原因的统计信息	display access-user offline-reason statistics [ verbose ]
显示UP上的接入用户信息	display access-user user-plane [ auth-type { bind | mac-auth | ppp | pre-auth | web-auth } | [ interface interface-type interface-number [ s-vlan svlan-id [ c-vlan cvlan-id ] ] | { ip-address ipv4-address | ipv6-address ipv6-address } [ vpn-instance vpn-instance-name ] | ip-type { dual-stack | ipv4 | ipv6 } | lns-ip lns-ip-address | mac-address mac-address | slot slot-number | user-type { lac | pppoe | pppoa } | user-id user-id | vpn-instance vpn-instance-name ] * [ count | verbose ]
清除接入用户下线原因的统计信息	reset access-user offline-reason statistics
显示用户数峰值的历史信息	（独立运行模式） display max-user history [ slot slot-number ] （IRF模式） display max-user history [ chassis chassis-number slot slot-number ]
显示业务跟踪对象的配置信息	display trace access-user [ object object-id ]
强制接入用户下线	（独立运行模式） cut access-user [ { auth-type { admin | bind | ike | mac-auth | ppp | pre-auth | web-auth } | domain domain-name | interface interface-type interface-number [ s-vlan svlan-id [ c-vlan cvlan-id ] ] | ip-pool pool-name | ip-type { dual-stack | ipv4 | ipv6 } | ipv6-pool pool-name | mac-address mac-address | user-address-type { ds-lite | ipv6 | nat64 | private-ds | private-ipv4 | public-ds | public-ipv4 } | user-profile profile-name [ both | inbound | outbound ] | username user-name | vpn-instance vpn-instance-name | vxlan vxlan-id [ vxlan-id-max ] | slot slot-number } * | { { ip-address ipv4-address | ipv6-address ipv6-address | ipv6-prefix prefix-address/prefix-length } [ vpn-instance vpn-instance-name ] | user-id user-id } ] （IRF模式） cut access-user [ { auth-type { admin | bind | ike | mac-auth | ppp | pre-auth | web-auth } | domain domain-name | interface interface-type interface-number [ s-vlan svlan-id [ c-vlan cvlan-id ] ] | ip-pool pool-name | ip-type { dual-stack | ipv4 | ipv6 } | ipv6-pool pool-name | mac-address mac-address | user-address-type { ds-lite | ipv6 | nat64 | private-ds | private-ipv4 | public-ds | public-ipv4 } | user-profile profile-name [ both | inbound | outbound ] | username user-name | vpn-instance vpn-instance-name | vxlan vxlan-id [ vxlan-id-max ] | chassis chassis-number slot slot-number } * | { { ip-address ipv4-address | ipv6-address ipv6-address | ipv6-prefix prefix-address/prefix-length } [ vpn-instance vpn-instance-name ] | user-id user-id } ]
清除用户数峰值的历史信息	（独立运行模式） reset max-user history [ slot slot-number ] （IRF模式） reset max-user history [ chassis chassis-number slot slot-number ]