PPPoE o DHCP: come l'ISP autentica la tua connessione fibra

Quando colleghi il router alla linea fibra, prima ancora di navigare deve succedere una cosa: la rete dell'operatore deve capire chi sei e assegnarti un indirizzo IP. Esistono due approcci principali, PPPoE e DHCP, e la scelta ricade sull'operatore, non sul cliente. Sapere quale usa la tua linea è la prima cosa da verificare quando sostituisci il router.

PPPoE: la sessione autenticata

PPPoE (Point-to-Point Protocol over Ethernet) incapsula una sessione PPP dentro frame Ethernet. Il router avvia un dialogo in due fasi:

• Discovery: il router manda un PADI in broadcast, il concentratore dell'operatore (BRAS/BNG) risponde con un PADO, seguono PADR e PADS che stabiliscono l'ID di sessione.
• Session: parte la negoziazione LCP, poi l'autenticazione via PAP o CHAP con username e password, infine IPCP assegna indirizzo IP, gateway e DNS.

Il vantaggio è il controllo: l'operatore lega la sessione a credenziali specifiche, non alla porta fisica o al MAC. Se sposti il router, la linea ti segue. Il RADIUS centralizzato tiene traccia di sessioni attive, banda assegnata e accounting.

Lo svantaggio è l'overhead. L'incapsulamento PPPoE consuma 8 byte per pacchetto, portando la MTU utile da 1500 a 1492 byte. Se il router non gestisce correttamente il MSS clamping, ottieni il classico sintomo: il ping funziona, la navigazione HTTP su alcuni siti si blocca a metà caricamento. La regola su MikroTik è una sola riga:

# Adatta l'MSS TCP alla MTU reale della sessione PPPoE
/ip firewall mangle add chain=forward protocol=tcp tcp-flags=syn \
  action=change-mss new-mss=clamp-to-pmtu out-interface=pppoe-out1

DHCP: consegna diretta

Con DHCP il router non autentica nulla. Manda un DHCPDISCOVER, riceve un DHCPOFFER dal server dell'operatore e ottiene indirizzo, netmask, gateway e DNS. L'identificazione avviene a monte, in genere tramite:

• Option 82 (DHCP Relay Agent Information), che l'apparato di accesso inserisce nel pacchetto indicando porta fisica e circuit ID;
• binding sulla porta OLT/ONT, dove la linea è già associata al contratto nel sistema di provisioning;
• VLAN dedicata per cliente in scenari business.

Il traffico viaggia in Ethernet puro: MTU piena a 1500 byte, nessun overhead, nessun MSS clamping da configurare. La sessione non "cade" nel senso PPP del termine: se il lease scade e non viene rinnovato, semplicemente perdi l'indirizzo.

Confronto pratico

Come capire quale usa la tua linea

Tre indizi immediati:

1. Il contratto o la mail di attivazione contiene credenziali PPPoE? Se vedi qualcosa come utente@dominio-operatore.it con una password, è PPPoE.
2. Il router prende IP senza configurazione? Se colleghi un router nuovo, imposti la WAN in DHCP client e la linea funziona subito, l'operatore usa DHCP.
3. Guarda i log del router. Su MikroTik /log print where topics~"pppoe" mostra i tentativi di sessione; se non c'è nulla e vedi solo dhcp-client, hai la risposta.

Attenzione al caso ibrido: alcune reti richiedono VLAN tagging sulla WAN (tipicamente VLAN 835 o 100 a seconda dell'infrastruttura), indipendentemente dal metodo di autenticazione. Un router che non tagga correttamente non arriva nemmeno alla fase di discovery.

Errori tipici in sostituzione router

• Credenziali PPPoE sbagliate: l'autenticazione CHAP fallisce silenziosamente e il router riprova ogni 30 secondi. Nei log compare LCP terminated o authentication failed.
• VLAN mancante: la porta WAN è fisicamente up ma non passa nessun frame utile.
• MTU lasciata a 1500 su PPPoE: navigazione parziale, VPN che non si stabiliscono, file di grandi dimensioni che si interrompono.
• MAC address filtering su reti DHCP legacy: alcune configurazioni storiche legano il lease al MAC del vecchio apparato. Il clone MAC risolve, ma è una pratica in disuso.

La direzione del mercato

Le reti FTTH moderne, in particolare quelle GPON e XGS-PON, si stanno spostando verso DHCP con Option 82 e IPv6 con prefix delegation. Il motivo è pratico: senza overhead PPP l'MTU resta pulita, il provisioning è automatico e l'identificazione avviene già a livello di OLT, dove la porta ottica è univocamente associata al contratto.

PPPoE sopravvive dove serve autenticazione portabile o dove l'infrastruttura di accesso è condivisa fra più operatori, scenario tipico dell'unbundling. Non sparirà a breve, ma sulle nuove attivazioni in fibra pura è sempre meno frequente.

Se stai configurando un router su una linea Velix, il metodo corretto è indicato nella scheda tecnica di attivazione. In caso di dubbio, il supporto può verificare il profilo della linea in pochi minuti.