前情提要
为什么换光猫？
当然又是运营商办一个超千兆的宽带居然没有配套光猫的老剧本。
年初在联通办理宽带时，运营商只有一个1000M网口的华为光猫，还是一个带有无线的巨物，和弱电箱完全不匹配。当时营业厅表示拿到2.5G光猫会通知我。
半年过去了，一台中兴2.5G光猫到位了，体积更加巨大，而我也早就打算换成纯有线的光猫。于是直接拿到一台贝尔XG-040G-MF来换。
有什么新限制？
在三年前，内蒙古联通可能是全国对光猫认证管控最宽松的地方，只要用普通用户从旧猫上抓到LOID，再配置到新猫上就可以直接通过OLT认证。
而这几年，光猫OLT认证的限制层层加深。
这次替换中发现，似乎除了传统的LOID和序列号检查之外，MAC、型号都有可能在验证范围内。
常规步骤
采集旧光猫信息
使用user用户登录旧光猫，把你能找到的所有信息都截图，主要包括设备信息、LOID、INTERNET接口配置。
改地区
我相信各位拿到XG-040G-Mx一定也拿到了web管理员的密码，登录之后直接访问 http://192.168.1.1/opid_setting.cgi ，选择你的地区并提交。
这个操作或许未必有用，你的区域或许完全没有采购过这款光猫，也没有任何入库的信息。
另外，不要用命令修改地区，手残容易砖，还要TTL救砖。
获取SU密码
首先访问 http://192.168.1.1/opid_setting.cgi 并找到supassword字段的密文，
接着，不要找什么解密工具，直接丢给AI，让它算。
开启telnet
打开 http://192.168.1.1/system.cgi?telnet 并开启telnet，
这个时候你就可以用user账户登录telnet，并通过su提权了。
修改硬件信息
- 首先执行
ritool dump对所有输出进行备份； - 修改硬件信息：
# 完整序列号
ritool set YPSerialNum ZTEGAABBCCDD
# 厂商编号为序列号前4
ritool set MfrID ZTEG
# G984Serial为序列号后8为
ritool set G984Serial AABBCCDD
# 把设备型号也伪装起来
ritool set Mnemonic 'ZXHN MODEL'
# MAC直接查看设备底部标签
ritool set MACAddress 80:2d:1a:aa:97:40- 执行
ritool dump仔细检查修改的信息是否准确； - 执行
cfgcli -r将设备配置恢复出厂设置 - 执行
reboot重启
再来一遍
由于修改了硬件信息，还恢复了出厂设置，SU密码已经发生了变化，telnet也已经默认关闭，你还需要重新算一个密码，并启动telnet。
修改SU密码
这一步可能不太有所谓，正常来说SU密码不会变化，把最后这次算出来的记好就可以，如果你希望修改一个好记忆的，执行 cfgcli -s InternetGatewayDevice.DeviceInfo.X_CT-COM_ServiceManage.SuPassword 新密码
配置OLT认证
使用web管理员用户登录，现在远程管理界面上启用LOID认证方式（默认为password认证），并填写LOID；
接着回到登录界面上，从装维入口进入，填写LOID开始认证，有可能直接卡40%，但不重要；
重新登录进去，查看PON信息和OLT认证状态，我们需要看到PON已连接且状态为5，OLT状态为已认证；
RMS状态无所谓，成功就会自动下发配置，不成功手动配置也可以。
配置网络接入
- 首先在网络侧配置中，删除默认的TR069接口；
- 这时光猫会直接进入新建INTERNET接口界面，选择模式“桥接”（不打算桥接自己研究）；
- 填入VLAN ID；
- 接口选择2.5G网口，多选了也没用；
- 保存
如果一切顺利，你的路由器应该已经完成拨号了。
避坑环节
获取SU密码
实际上贝尔XG-040G的密码是AES-256-CBC、固定Key/IV方式计算的，可以搜到做好的解密工具，但是有些下载链接已经失效，而且论坛里来源不明的程序最好不要轻易运行。既然固定Key/IV都是公开的，直接让AI算可能是最方便的办法。
另外，这个设备每次修改序列号都会造成SU密码的变化，但SU密码似乎有一个数量不大的池，多改几次就会发现重复密码。
设备识别码
华为光猫的设备信息页上除了序列号信息，还可以看到一个“联通设备标识”，而中兴的光猫上只有“设备识别码”，字符串结构是OUI+SN，如 AABBCC-01FFFFFFFF011FFF11ZTEGAABBCCDDEE 中，连字符前的串为OUI，厂商表示4位+随后8位是SN，但最后的EE什么都不是，通过这个字符串就可以得到最关键的SN信息。
华为光猫不成功
相同的配置步骤，伪装中兴光猫没有问题，但伪装华为光猫一直不成功，PON状态未连接，光模块静默不发光。
我的判断是华为光猫设备信息界面上显示的信息并不是发给OLT的信息，最可疑的是设备型号信息。
中兴光猫的型号非常简单，在设备标签和web界面都可以看到，结构为 ZXHN G7615V2 ，但华为光猫有两个型号。一个是联通定制型号WO-37，一个是华为的设备型号V175，在标签和设备信息界面都可以查到，而我怀疑这两个型号都不是提交OLT认证的型号，真实型号可能是 OptiXstar V175 。
我也是从这件事中判断设备型号也是OLT认证的一部分。
