客户门户¶

客户自服务门户让你的客户自己登录看他那几条专线的带宽，不用再打电话问 NOC。

门户是可选的，默认关着。开之前先把客户线路理清楚——门户上显示的每一张图，都来自「这条专线落在哪台设备的哪个口」这条记录。认错一条，客户就会看到别人的带宽图，所以自动关联只认唯一命中，拿不准的留着让人处理。

先理线路¶

「可视化 → 客户门户」。它做的事只有一件：把设备接口和客户、站点、专线编号对上。四个页签分别是客户线路、客户、客户账号、自服务门户。

客户线路是一张行业标准的线路清单：客户编号 / 服务名称 / 业务编码 / 带宽 / 设备 / 接口 / 接口描述。线路有三条来路，可以混用：

从配置洞察同步：接口描述的解析统一在配置洞察里做（这一页不再自己解析一遍—— 同一件事两处各解析一遍，结果迟早不一样，而这份数据是门户的数据源）。同步条件出厂是空的，按你们自己的描述规范填一次，比如"描述里含 CUS"。
导入：CSV 一行一条线路，可以带落地口。模板可以直接下载，导出的文件能原样导回去。
新建线路：手工加，适合零星补登。

客户自动关联先问按什么关联：客户编号（精确匹配）或客户名称（看客户名有没有出现在线路编号、接口描述里）。按名称匹配只认唯一命中，命中两家以上的单独列出来交给人定。手动挂的关系标成「人工」，之后的同步不会覆盖它。

开通门户¶

「可视化 → 客户门户 → 自服务门户 → 启用」。点完就不用管了：应用把部署请求写进数据卷，宿主机上的代理接手起容器，界面上能看到进度。

门户是一个独立进程，用的是同一个镜像（VCONFIG_ROLE=portal）。它不连数据库——所有数据都经内部接口向 vConfig 取，租户过滤在 vConfig 这一侧做。所以那台跑门户的机器上不落任何业务数据，放在 DMZ 也不会把库暴露出去。

想放到另一台机器上，就在「新增门户实例」里选「另一台机器」，界面会给一条安装命令，在那台机器上执行即可。

禁用是立刻生效的：所有门户令牌当场吊销，已经登录的客户也会被断开——不是等会话过期。

客户账号¶

「可视化 → 客户门户 → 客户账号」。建账号时会自动给该客户开通门户，密码在建的时候就显示出来，可一键复制。重置密码同理。

一个客户可以有多个账号，主账号只是个标记，权限没有差别——客户端没有"管理别人账号"这回事。

域名与端口¶

默认门户和管理端都在 443，靠域名分流（内网 aiops.example.com、外网 portal.example.com 这种用法）。这不需要第二个 IP：分流器只读 TLS 握手里的服务器名，把门户域名的连接转给门户，其余一律给管理端——不认识的名字、没有名字的连接都走管理端，所以它绝不会把访客误送进门户。

不填门户域名就退回「门户单独占一个端口」，那时客户要记一个带端口号的地址。

启用域名分流会重建一次容器，约 30 秒打不开，界面会先问一遍。管理端同时保留一个内部端口（18443）作后路：分流器万一挂了，管理员还进得去。

证书¶

「自服务门户 → 上传证书」。传证书文件和私钥文件即可，或者点「沿用系统证书」直接用管理端那张（多数 ISP 拿的是 *.公司域名 的通配证书，管理端和门户本来同域）。

上传时当场校验：证书与私钥是否配对、有没有过期、覆盖哪些域名。
私钥不能带密码——门户是无人值守启动的，没人去输。
不传的话门户用自签证书，客户第一眼看到的是浏览器的「不安全」，前面所有功夫都会打折。

客户看到什么¶

左边是他的站点和专线，右边是带宽图：下行/上行、峰值、95 值、合同带宽占比。时间范围从 1 小时到 1 年，也可以直接在图上拖出任意一段。

默认不显示设备名和接口名（「给客户看设备与接口名」开关，默认关）——多数 ISP 不希望客户知道自己落在哪台设备上。
界面语言由客户自己选，共 8 种，首次进来按浏览器语言判断。
左上角显示你的 Logo 和门户名，页脚是你在系统设置里填的那份——客户看到的是你的品牌，不是 vConfig 的。
数据取不全时会明说：缺了几个口、数据从哪天开始。宁可写"更早的没有保存"，也不画一条编出来的曲线。

升级¶

门户容器在 compose 之外，所以升级时由 vconfigctl update 收尾时自动把它换到新镜像，不用手工操作。