简介无线网络部署的第一步是理解接入点AP的基础配置它决定了终端能否安全、稳定地接入有线网络。胖AP与瘦AP的模式选择影响控制权归属而管理VLAN与业务VLAN的划分、DHCP服务的正确下发则是终端能否获取IP地址的关键。通过合理规划SSID模板、安全策略和射频参数不仅能解决“连上却上不了网”的典型故障还能为多AP场景下的信道优化与漫游体验打下基础。在办公区、教室等密集场景中掌握这些原理即可快速定位问题。本文以AP基本配置实验为主线逐步演示Console登录、VLAN/DHCP规划、SSID与VAP绑定以及信道、功率和漫游阈值的调试方法帮助你从“能连上”走向“连得好”。1. AP基本配置到底在配什么一个让终端真正能上网的实验AP基本配置这个实验在2024年的网络课程实验里看起来最不起眼翻车率却一直排在前三。前面几个实验配交换机、配路由器至少还能用网线连上去 ping 通到了 AP 这步设备不接网线也能看着正常终端连上 SSID 却拿不到 IP才是最常见的失败现场。这份实验要做的是把一台出厂状态的无线接入点变成能广播网络名、能认证终端、能分配地址的可用节点解决的是无线终端如何安全、稳定地接入有线网络的问题。适合正在做实训作业的学生也适合第一次在办公区、教室部署 Wi-Fi 的新手。我的建议是别把精力花在把 SSID 取名这种仪式感上先搞清楚管理 VLAN、业务 VLAN 和 DHCP 到底是由谁负责的。2. AP上线前的三件事Console登录、胖瘦模式、业务地址规划拿到一台 AP别急着配 Wi-Fi先把登录入口、工作模式和地址分配理清楚。这三件事决定了后面所有配置能不能生效。很多人第一次做 AP 实验习惯跳过规划直接敲配置结果往往是 SSID 建好了、安全模板也绑上了终端却一直显示正在获取 IP 地址。所以这一章把上线前的步骤做扎实后面才不会被玄学问题缠住。2.1 Console登录不依赖网络的最后入口AP 出厂时管理地址是未知的也可能和你的电脑不在同一个网段唯一的可靠入口就是 Console。Console 线一头接 AP 的 console 口另一头接电脑的串口或 USB 转串口然后用终端软件连接。要注意的是很多 USB 转串口芯片需要先装驱动不然终端软件里根本看不到对应端口。# 终端软件串口参数设置波特率 9600、数据位 8、停止位 1、无校验、无流控 # AP 上电后连续回车进入命令行 AP system-view [AP] sysname AP-Office-01 [AP] interface vlanif 1 [AP-Vlanif1] ip address 192.168.10.2 255.255.255.0 [AP-Vlanif1] quit [AP] save这里的sysname是给 AP 起名字建议把位置和用途写进去比如AP-Office-01就是办公区 1 号 AP后续登录多台设备时不会搞混。interface vlanif 1是进入管理接口默认所有流量都走 VLAN 1先把管理地址配成192.168.10.2方便你用网线直连测试。最后的save非常关键很多实验做完了没保存重启一次回到出厂状态前面的功夫白费。不同厂商的命令关键字会有差异有的用hostname有的用set system name但目的都一样。如果你第一次进入设备提示有默认密码先查手册确认初始凭证登录后第一件事就是改掉否则后续开了远程管理就等于把设备暴露在网络上。2.2 胖AP还是瘦AP接管模式决定后续所有配置AP 的工作模式直接决定接下来的配置路径。胖 AP 独立完成射频发射、认证、地址分配适合单台设备和实验环境瘦 AP 只保留射频功能控制面全部交给 AC两者之间通过隧道协议通信适合几十上百台 AP 的集中管理场景。课程实验里最常见的是胖 AP 起步因为一台设备加一根网线就能验证全流程。如果模拟器或真机默认工作在瘦 AP 模式就得先看 AC 是否可达否则配完 SSID 也不生效。# 查看当前 AP 工作模式 display ap-mode # 切换到胖 AP 模式多数设备需要重启生效 ap-mode ap # 如果实验要求瘦 AP 模式则切回 ap-mode fitdisplay ap-mode只是查看不会改动设备ap-mode ap才是切换命令。注意这个命令在不同的设备上写法差别很大有的叫workmode有的在全局视图下直接输入undo wlan之类务必以实验手册为准。切换工作模式之前先把现有配置保存一份因为部分设备在切换模式后会用默认配置重新启动相当于做了一次恢复出厂。胖瘦模式选错了后面所有 SSID 和安全配置都可能白做。2.3 VLAN与DHCP终端拿不到IP的问题大多出在这里即使 SSID 能搜到、密码也能通过只要 DHCP 没配对终端就永远停在获取 IP 地址这一步。做 AP 基本配置时建议从一开始就按工程习惯把网络分成管理网络和业务网络管理 VLAN 给 AP 自己用业务 VLAN 给无线终端用。两者分开排查问题时一眼就能看出流量走错了哪里。规划对象推荐值说明管理 VLANVLAN 10网段 192.168.10.0/24AP、AC 使用业务 VLANVLAN 20网段 192.168.20.0/24无线终端使用DHCP 位置网关设备或核心交换机推荐由网关统一下发DNS网关地址或内网DNS实验环境配网关即可无线密码WPA2-PSK8位以上混合实验够用工程建议更强# 批量创建管理 VLAN 和业务 VLAN vlan batch 10 20 # 管理 VLAN 接口 interface vlanif 10 ip address 192.168.10.1 255.255.255.0 quit # 业务 VLAN 接口 interface vlanif 20 ip address 192.168.20.1 255.255.255.0 dhcp select global quit # 全局开启 DHCP 并配置地址池 dhcp enable ip pool pool-wlan network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 192.168.20.1 quit这段配置里vlan batch 10 20是一次性创建两个 VLAN少打一个空格都会报错。dhcp select global表示该接口从全局地址池获取分配范围也可以写成dhcp select interface直接在接口下配置效果一样。ip pool pool-wlan是给无线终端建的地址池network定义了网段gateway-list是终端拿到的网关地址必须和业务 VLAN 接口地址一致。如果 AP 本身不支持配置 DHCP就把同样的地址池建在上层交换机或路由器上终端请求会通过 VLAN 透传过去原理完全一样。这里配错一个数字后面所有无线配置都白搭。3. 让Wi-Fi可见SSID模板、无线安全与多VLAN的配置顺序设备能 ping 通、DHCP 池也建好了才算真正开始配 Wi-Fi。这一步的核心是把 SSID 模板、安全模板和 VAP 模板绑定到一个射频接口上缺少任何一环终端都看不到网络或连不上。很多人的实验卡在 3.1 和 3.2 之间就是因为只建了模板忘了绑定射频。3.1 先建SSID模板还是先建VAP模板SSID 是终端看到的网络名称VAP 模板是把 SSID、安全策略、业务 VLAN 打包在一起的虚拟接入点。建议先把 SSID 模板建好再建 VAP 模板引用它最后统一挂到射频上。顺序看起来简单但实际配置时经常有人把 VAP 模板建好了却忘了在射频接口下引用结果终端什么都搜不到。# 进入 WLAN 配置视图 wlan # 创建 SSID 模板 ssid-profile name ssid-office ssid OFFICE-5G quit # 创建 VAP 模板 vap-template name vap-office ssid-profile ssid-office service-vlan vlan-id 20 quit # 进入射频 0绑定 VAP 模板 radio 0 vap-template vap-office quit这里的ssid office-5g中 SSID 名字区分大小写终端搜索时的大小写必须完全一致。service-vlan vlan-id 20是最容易漏的一行它告诉 AP 这个 SSID 下所有终端都划分到 VLAN 20也就是上一章建好的业务网段。如果漏了这行终端能搜到信号、能连上但拿不到 IP因为数据帧不知道该往哪个 VLAN 送。radio 0一般对应 2.4G 射频radio 1对应 5G 射频不同设备编号可能不同先查看再绑定。3.2 WPA2还是WPA3实验环境的安全策略选择SSID 能看到了下一步是加密。实验室里最常用的还是 WPA2-PSK因为终端兼容性最好配置也简单。WPA3 对老旧手机和部分物联网设备支持不太好实验环境没必要强行上。PSK 密码必须 8 位以上Wi-Fi 联盟规定最少 8 字符实验归实验不建议用纯数字或连续字符。# 创建安全模板 security-profile name sec-office security wpa2 psk pass-phrase Lab2024 aes quit # 回到 VAP 模板绑定安全模板 vap-template name vap-office security-profile sec-office quitwpa2是协议版本psk是预共享密钥方式pass-phrase后面跟的就是 Wi-Fi 密码aes是加密套件。这里有一个常见误区很多人还在用 TKIP因为它兼容老设备但 TKIP 已经过时而且会让新手机出现连接慢、速率低的问题。工程上统一用 AES实验也一样。密码设置成Lab2024这类带大小写和符号的组合既是实验要求也能顺便养成好习惯。安全模板建了不绑定不生效这是排查时最容易被忽略的点。3.3 多SSID共用一台AP员工、访客、IoT的分网设计一台 AP 可以同时广播多个 SSID每个 SSID 绑定不同的 VLAN 和安全策略实现员工、访客、物联网设备的隔离。实验做到这一步已经从基本配置往工程实践跨了一大步。访客 SSID 只允许访问外网员工 SSID 才能访问内网资源靠的就是 VLAN 隔离。# 访客安全模板 security-profile name sec-guest security wpa2 psk pass-phrase Guest2024 aes quit # 访客 SSID 模板 ssid-profile name ssid-guest ssid GUEST quit # 访客 VAP 模板 vap-template name vap-guest ssid-profile ssid-guest service-vlan vlan-id 30 security-profile sec-guest quit # 同样绑定到射频 0 radio 0 vap-template vap-guest quitSSIDVLAN用途加密OFFICE-5G20员工无线网WPA2-PSKOFFICE-2.4G20员工无线网WPA2-PSKGUEST30访客网络WPA2-PSK建多个 VAP 模板时要注意射频接口的容量一般每个射频最多支持十几个 VAP实验里两三个完全够用。还要确认访客 VLAN 30 的地址池也已经建好否则访客连上之后依然拿不到 IP。多 SSID 场景最容易出问题的不是配置本身而是忘了把 VLAN 30 的 DHCP 池和上行口放行配置好。4. 让Wi-Fi好用信道、功率、漫游三个必须调的参数SSID 能连上、地址能拿到这只是能用。实验报告交到这一步已经合格但真实场景里能用和好用之间还差着几个射频参数。这一章的内容在基本配置实验里经常被一笔带过恰恰是最容易从别人家 Wi-Fi和自己家 Wi-Fi拉开差距的地方。4.1 2.4G信道只有 1/6/11为什么自动信道不靠谱2.4G 频段虽然有 1 到 13 共 13 个信道但真正互不干扰的只有 1、6、11 三个。实验里很多人图省事用自动信道周围一堆 AP 挤在一起信号满格但网速极慢这就是典型的信道重叠导致的干扰。工程做法是人工规划相邻 AP 尽量错开。# 射频 0 对应 2.4G radio 0 channel 1 bandwidth 20 quit # 射频 1 对应 5G radio 1 channel 149 bandwidth 40 quitchannel 1表示固定用 1 信道bandwidth 20是频宽。2.4G 建议锁 20MHz抗干扰能力更好5G 可以用 40MHz 甚至 80MHz 换速率但信道选择要先确认设备支持哪些信道范围。实验环境只有一台 AP 时自动信道也能用但你要清楚自动信道选中的往往不是最优解。信道不是越大越好2.4G 用 13 信道虽然合法很多老设备却搜不到。4.2 发射功率调最大反而是漫游差的开始初学配置的人总喜欢把发射功率调到最大觉得信号强就是好。实际恰恰相反功率过大会让终端在很远的地方还顽固地挂着这个 AP信号弱、重传多整个网络速度都被拖慢。多 AP 场景下相邻 AP 的功率必须错开否则终端漫游时根本不切换。这个道理在实验里体会不深但设计思路要从现在建立。# 进入射频视图 radio 0 eirp 10 quit radio 1 eirp 14 quiteirp是等效全向辐射功率单位 dBm室内环境一般建议 10 到 17 之间调节。实验里一台 AP 距离终端不到两米功率 10 和 20 的体验差别不大但在真实办公室功率每调高 3dB覆盖半径明显变大干扰也同步变大。工程上的思路不是让所有地方信号都满格而是让每个位置都有且只有一个最优 AP 提供服务。发射功率是无线优化里最容易产生玄学感觉的参数实际上用仪器扫一圈就能看出问题。4.3 漫游阈值把-85改成-75信号满格不走的老毛病会好很多终端默认要等到当前信号降到很低才愿意切换 AP结果就是人已经走到另一个 AP 旁边手机还连着远处那个弱信号 AP。解决办法是调整漫游阈值让终端更早触发切换。这个参数在不同厂商设备上叫法不同常见的有 RSSI 阈值、漫游触发电平、智能漫游开关实验里找到对应的配置项调一下就行。# 部分设备在射频视图下配置漫游阈值 radio 0 roam rssi-threshold -75 quitrssi-threshold -75表示当终端接收信号低于 -75dBm 时允许触发漫游切换到更强信号的 AP。默认值通常是 -85 甚至更低改成 -75 后切换更积极。但阈值不是越小越好调成 -65 会导致终端在两个 AP 之间反复横跳反而更不稳定。办公场景一般从 -75 开始试然后根据实际漫游测试结果微调。漫游效果最终还取决于手机厂商的漫游策略这也是无线里最像黑匣子的部分但阈值调对了体验提升立竿见影。5. AP配置避坑指南5个最容易翻车的排查现场这一章把 AP 基本配置里最高频的 5 个故障现场整理出来每个都按现象、原因、解决写。实验做完了可以对照检查工作中遇到类似问题也能少走弯路。5.1 现象终端能连上SSID但拿不到IP这是 AP 实验里最常见的翻车点现象是手机能搜到网络、能输入密码、显示已连接但 IP 地址一直是 169.254 开头或者一直转圈。原因通常是业务 VLAN 和 DHCP 地址池配置不一致。VAP 模板里service-vlan写成 20但 DHCP 地址池建在了别的网段或者是 DHCP 配置在交换机上而交换机的上行口没有放行业务 VLAN。还有一种情况是地址池租期耗尽实验里不常见。解决方法是先看终端拿到的 IP 网段再顺着 VAP 模板、业务 VLAN、DHCP 地址池三层查一遍。在设备上执行display ip pool查看地址池状态确认network网段和service-vlan一致。# 查看地址池分配情况 display ip pool name pool-wlan如果地址池正常再查接入交换机连接 AP 的接口是否配置了 trunk 并放行 VLAN 20。很多模拟器实验里AP 直接连在交换机上交换机接口默认只在 VLAN 1业务 VLAN 20 的 DHCP 请求根本到不了网关终端自然拿不到地址。5.2 现象重启一下刚才配的全没了辛辛苦苦敲了一堆命令实验报告也写了结果 AP 一重启所有配置恢复到出厂状态。这条在实训室出现的频率极高几乎每个班都会有人中招。原因是没有保存配置。很多设备的配置分为当前配置和保存配置你敲的命令只存在于当前配置里断电或重启后就丢了。模拟器也一样关闭模拟器工程前不保存下次打开照样回到原点。解决方法是配置完成后执行保存命令。常见设备在系统视图下输入save有些设备还会询问是否覆盖原配置文件输入Y确认即可。保存完成后可以用display saved-configuration查看保存结果确保文件里真的有内容。[AP] save # 提示是否确认保存输入 Y 确认我的习惯是每完成一小节配置就保存一次而不是全部配完再保存。实验过程中突然断电至少不用从头再来。顺便提醒一句模拟器里也要养成这个习惯很多模拟器关掉工程时不提示保存配置直接就没有了这算是没有后悔药可吃的环节。5.3 现象手机搜不到 5G 信号实验里配好了 5G 频段的 SSID手机却只看到 2.4G 的怎么刷新都搜不到 5G。原因有三个方向第一5G 射频接口没有绑定 VAP 模板SSID 只在 2.4G 射频上广播第二手机离 AP 太远5G 信号衰减快被终端自行隐藏第三5G 信道配置超出了设备支持范围射频起不来。解决方法是先检查射频状态和模板绑定。执行display radio查看两个射频接口的工作状态确认 radio 1 是 up 状态且已经绑定了 VAP 模板。如果射频是 down查看信道配置是否合法5G 的 149 信道在绝大多数设备上都支持但个别地区码或老旧设备可能有限制。最后再拿另一台手机交叉验证排除终端自身不支持 5G 的可能。5.4 现象隐藏 SSID 之后手机反而连不上有人觉得隐藏 SSID 更安全把广播关掉之后手机搜不到网络手动添加又提示网络不存在或者连不上。原因在于隐藏 SSID 只是不广播信标帧终端搜索网络时需要主动发送探测请求而部分手机的省电策略会抑制后台扫描导致手动添加也会失败。隐藏 SSID 本身也不解决安全问题因为抓包工具依然能从终端发出的连接请求里提取到 SSID 名称。解决方法是实验环境不要用隐藏 SSID直接用 WPA2-PSK 或 WPA3 加密就够了。Wi-Fi 安全靠的是加密和认证不是把网络名藏起来。如果确实有隐藏需求比如某些内部网络要同时告知终端用户手动添加时必须选择正确的安全类型不能选开放式网络。5.5 现象手工指定信道后网络更卡了原本自动信道用着还行手动把 2.4G 信道改成 13 或自动扫描出来的某个信道后网速反而变差了。原因可能是周边环境存在固定干扰源比如无线鼠标、微波炉占用相近频率也可能是改了 13 信道后部分手机或老旧终端根本不支持只能换到其他信道信号反而更差。自动信道最大的问题不是选错而是不会随环境变化自动调整。解决方法是把 2.4G 固定在 1、6、11 三个信道里选一个用终端上的 Wi-Fi 扫描功能看看周边哪个信道最空。实验里只有一台 AP选哪个影响都不大但如果你以后部署多台 AP信道规划表应该在图纸阶段就定好而不是在设备上一格一格试出来的。6. 验证配置的三板斧从能连上到连得好配置完成后不要急着写实验报告先做一轮验证。验证不是连上 Wi-Fi 打开网页就算完而是要有步骤地确认连通性、速率和漫游表现。这一步能把实验报告从我配完了提升到我验证过了。6.1 第一步从 ping 网关到持续打流先让终端连接 Wi-Fi查看获取到的 IP 是否属于业务网段然后 ping 网关地址确认二层通畅。网关通了再 ping 一个外网地址确认路由和 NAT 没问题。最简单的命令是ping 192.168.20.1如果通了说明 AP 到终端的链路正常。更进一步的验证是持续打流确认无线速率是否稳定。实验环境可以找一台电脑做服务端终端做客户端用打流工具持续传数据观察速率曲线。无线速率受距离和干扰影响明显如果速率剧烈波动回头检查信道和发射功率设置。6.2 第二步抓包确认信标帧和认证流程抓包是排障和验证的利器。用抓包工具监听无线网卡可以看到 AP 周期性广播的信标帧里面有 SSID 名称、支持的速率、加密套件类型。确认信标帧里广播的加密方式确实是 AES 而不是 TKIP连接过程有没有完整的四次握手。抓包时要注意普通网卡默认只能抓到自己的流量要看信标帧需要把无线网卡切换到监听模式。这一步在实验环境可能比较麻烦但至少要做到连接过程中终端和 AP 之间完成了认证和关联DHCP 交互有 Discover、Offer、Request、Ack 四个阶段。能抓到这四个包的完整交互地址分配的问题就能排除。6.3 第三步把实验结论沉淀成部署习惯在实验室里把 AP 基本配置跑通最大的收获不是那几条命令而是建立一套检查顺序先看管理模式再查 VLAN 和 DHCP然后才轮到 SSID 和安全模板。配置出现问题时顺着这个顺序排查比在 WLAN 视图里反复敲命令要高效得多。我自己的习惯是每次配完 AP都要做三件收尾事保存配置并记录手机连接后做一次 ping 网关和外网的测试最后站在距离 AP 五米和十米的位置各测一次信号强度。简单三步基本能避免大多数当时能连第二天不行的尴尬。无线环境变化很快配置时的选择要为后续排查留出线索这些习惯越早养成后面吃过的亏就越少。希望帮到你。本文还有配套的精品资源点击获取 
长河君 · 2026/10/17 17:23:30 · 阅读 1.2k AP基本配置详解：从Console登录到VLAN与SSID绑定，解决终端拿不到IP
简介无线网络部署的第一步是理解接入点AP的基础配置它决定了终端能否安全、稳定地接入有线网络。胖AP与瘦AP的模式选择影响控制权归属而管理VLAN与业务VLAN的划分、DHCP服务的正确下发则是终端能否获取IP地址的关键。通过合理规划SSID模板、安全策略和射频参数不仅能解决“连上却上不了网”的典型故障还能为多AP场景下的信道优化与漫游体验打下基础。在办公区、教室等密集场景中掌握这些原理即可快速定位问题。本文以AP基本配置实验为主线逐步演示Console登录、VLAN/DHCP规划、SSID与VAP绑定以及信道、功率和漫游阈值的调试方法帮助你从“能连上”走向“连得好”。1. AP基本配置到底在配什么一个让终端真正能上网的实验AP基本配置这个实验在2024年的网络课程实验里看起来最不起眼翻车率却一直排在前三。前面几个实验配交换机、配路由器至少还能用网线连上去 ping 通到了 AP 这步设备不接网线也能看着正常终端连上 SSID 却拿不到 IP才是最常见的失败现场。这份实验要做的是把一台出厂状态的无线接入点变成能广播网络名、能认证终端、能分配地址的可用节点解决的是无线终端如何安全、稳定地接入有线网络的问题。适合正在做实训作业的学生也适合第一次在办公区、教室部署 Wi-Fi 的新手。我的建议是别把精力花在把 SSID 取名这种仪式感上先搞清楚管理 VLAN、业务 VLAN 和 DHCP 到底是由谁负责的。2. AP上线前的三件事Console登录、胖瘦模式、业务地址规划拿到一台 AP别急着配 Wi-Fi先把登录入口、工作模式和地址分配理清楚。这三件事决定了后面所有配置能不能生效。很多人第一次做 AP 实验习惯跳过规划直接敲配置结果往往是 SSID 建好了、安全模板也绑上了终端却一直显示正在获取 IP 地址。所以这一章把上线前的步骤做扎实后面才不会被玄学问题缠住。2.1 Console登录不依赖网络的最后入口AP 出厂时管理地址是未知的也可能和你的电脑不在同一个网段唯一的可靠入口就是 Console。Console 线一头接 AP 的 console 口另一头接电脑的串口或 USB 转串口然后用终端软件连接。要注意的是很多 USB 转串口芯片需要先装驱动不然终端软件里根本看不到对应端口。# 终端软件串口参数设置波特率 9600、数据位 8、停止位 1、无校验、无流控 # AP 上电后连续回车进入命令行 AP system-view [AP] sysname AP-Office-01 [AP] interface vlanif 1 [AP-Vlanif1] ip address 192.168.10.2 255.255.255.0 [AP-Vlanif1] quit [AP] save这里的sysname是给 AP 起名字建议把位置和用途写进去比如AP-Office-01就是办公区 1 号 AP后续登录多台设备时不会搞混。interface vlanif 1是进入管理接口默认所有流量都走 VLAN 1先把管理地址配成192.168.10.2方便你用网线直连测试。最后的save非常关键很多实验做完了没保存重启一次回到出厂状态前面的功夫白费。不同厂商的命令关键字会有差异有的用hostname有的用set system name但目的都一样。如果你第一次进入设备提示有默认密码先查手册确认初始凭证登录后第一件事就是改掉否则后续开了远程管理就等于把设备暴露在网络上。2.2 胖AP还是瘦AP接管模式决定后续所有配置AP 的工作模式直接决定接下来的配置路径。胖 AP 独立完成射频发射、认证、地址分配适合单台设备和实验环境瘦 AP 只保留射频功能控制面全部交给 AC两者之间通过隧道协议通信适合几十上百台 AP 的集中管理场景。课程实验里最常见的是胖 AP 起步因为一台设备加一根网线就能验证全流程。如果模拟器或真机默认工作在瘦 AP 模式就得先看 AC 是否可达否则配完 SSID 也不生效。# 查看当前 AP 工作模式 display ap-mode # 切换到胖 AP 模式多数设备需要重启生效 ap-mode ap # 如果实验要求瘦 AP 模式则切回 ap-mode fitdisplay ap-mode只是查看不会改动设备ap-mode ap才是切换命令。注意这个命令在不同的设备上写法差别很大有的叫workmode有的在全局视图下直接输入undo wlan之类务必以实验手册为准。切换工作模式之前先把现有配置保存一份因为部分设备在切换模式后会用默认配置重新启动相当于做了一次恢复出厂。胖瘦模式选错了后面所有 SSID 和安全配置都可能白做。2.3 VLAN与DHCP终端拿不到IP的问题大多出在这里即使 SSID 能搜到、密码也能通过只要 DHCP 没配对终端就永远停在获取 IP 地址这一步。做 AP 基本配置时建议从一开始就按工程习惯把网络分成管理网络和业务网络管理 VLAN 给 AP 自己用业务 VLAN 给无线终端用。两者分开排查问题时一眼就能看出流量走错了哪里。规划对象推荐值说明管理 VLANVLAN 10网段 192.168.10.0/24AP、AC 使用业务 VLANVLAN 20网段 192.168.20.0/24无线终端使用DHCP 位置网关设备或核心交换机推荐由网关统一下发DNS网关地址或内网DNS实验环境配网关即可无线密码WPA2-PSK8位以上混合实验够用工程建议更强# 批量创建管理 VLAN 和业务 VLAN vlan batch 10 20 # 管理 VLAN 接口 interface vlanif 10 ip address 192.168.10.1 255.255.255.0 quit # 业务 VLAN 接口 interface vlanif 20 ip address 192.168.20.1 255.255.255.0 dhcp select global quit # 全局开启 DHCP 并配置地址池 dhcp enable ip pool pool-wlan network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 192.168.20.1 quit这段配置里vlan batch 10 20是一次性创建两个 VLAN少打一个空格都会报错。dhcp select global表示该接口从全局地址池获取分配范围也可以写成dhcp select interface直接在接口下配置效果一样。ip pool pool-wlan是给无线终端建的地址池network定义了网段gateway-list是终端拿到的网关地址必须和业务 VLAN 接口地址一致。如果 AP 本身不支持配置 DHCP就把同样的地址池建在上层交换机或路由器上终端请求会通过 VLAN 透传过去原理完全一样。这里配错一个数字后面所有无线配置都白搭。3. 让Wi-Fi可见SSID模板、无线安全与多VLAN的配置顺序设备能 ping 通、DHCP 池也建好了才算真正开始配 Wi-Fi。这一步的核心是把 SSID 模板、安全模板和 VAP 模板绑定到一个射频接口上缺少任何一环终端都看不到网络或连不上。很多人的实验卡在 3.1 和 3.2 之间就是因为只建了模板忘了绑定射频。3.1 先建SSID模板还是先建VAP模板SSID 是终端看到的网络名称VAP 模板是把 SSID、安全策略、业务 VLAN 打包在一起的虚拟接入点。建议先把 SSID 模板建好再建 VAP 模板引用它最后统一挂到射频上。顺序看起来简单但实际配置时经常有人把 VAP 模板建好了却忘了在射频接口下引用结果终端什么都搜不到。# 进入 WLAN 配置视图 wlan # 创建 SSID 模板 ssid-profile name ssid-office ssid OFFICE-5G quit # 创建 VAP 模板 vap-template name vap-office ssid-profile ssid-office service-vlan vlan-id 20 quit # 进入射频 0绑定 VAP 模板 radio 0 vap-template vap-office quit这里的ssid office-5g中 SSID 名字区分大小写终端搜索时的大小写必须完全一致。service-vlan vlan-id 20是最容易漏的一行它告诉 AP 这个 SSID 下所有终端都划分到 VLAN 20也就是上一章建好的业务网段。如果漏了这行终端能搜到信号、能连上但拿不到 IP因为数据帧不知道该往哪个 VLAN 送。radio 0一般对应 2.4G 射频radio 1对应 5G 射频不同设备编号可能不同先查看再绑定。3.2 WPA2还是WPA3实验环境的安全策略选择SSID 能看到了下一步是加密。实验室里最常用的还是 WPA2-PSK因为终端兼容性最好配置也简单。WPA3 对老旧手机和部分物联网设备支持不太好实验环境没必要强行上。PSK 密码必须 8 位以上Wi-Fi 联盟规定最少 8 字符实验归实验不建议用纯数字或连续字符。# 创建安全模板 security-profile name sec-office security wpa2 psk pass-phrase Lab2024 aes quit # 回到 VAP 模板绑定安全模板 vap-template name vap-office security-profile sec-office quitwpa2是协议版本psk是预共享密钥方式pass-phrase后面跟的就是 Wi-Fi 密码aes是加密套件。这里有一个常见误区很多人还在用 TKIP因为它兼容老设备但 TKIP 已经过时而且会让新手机出现连接慢、速率低的问题。工程上统一用 AES实验也一样。密码设置成Lab2024这类带大小写和符号的组合既是实验要求也能顺便养成好习惯。安全模板建了不绑定不生效这是排查时最容易被忽略的点。3.3 多SSID共用一台AP员工、访客、IoT的分网设计一台 AP 可以同时广播多个 SSID每个 SSID 绑定不同的 VLAN 和安全策略实现员工、访客、物联网设备的隔离。实验做到这一步已经从基本配置往工程实践跨了一大步。访客 SSID 只允许访问外网员工 SSID 才能访问内网资源靠的就是 VLAN 隔离。# 访客安全模板 security-profile name sec-guest security wpa2 psk pass-phrase Guest2024 aes quit # 访客 SSID 模板 ssid-profile name ssid-guest ssid GUEST quit # 访客 VAP 模板 vap-template name vap-guest ssid-profile ssid-guest service-vlan vlan-id 30 security-profile sec-guest quit # 同样绑定到射频 0 radio 0 vap-template vap-guest quitSSIDVLAN用途加密OFFICE-5G20员工无线网WPA2-PSKOFFICE-2.4G20员工无线网WPA2-PSKGUEST30访客网络WPA2-PSK建多个 VAP 模板时要注意射频接口的容量一般每个射频最多支持十几个 VAP实验里两三个完全够用。还要确认访客 VLAN 30 的地址池也已经建好否则访客连上之后依然拿不到 IP。多 SSID 场景最容易出问题的不是配置本身而是忘了把 VLAN 30 的 DHCP 池和上行口放行配置好。4. 让Wi-Fi好用信道、功率、漫游三个必须调的参数SSID 能连上、地址能拿到这只是能用。实验报告交到这一步已经合格但真实场景里能用和好用之间还差着几个射频参数。这一章的内容在基本配置实验里经常被一笔带过恰恰是最容易从别人家 Wi-Fi和自己家 Wi-Fi拉开差距的地方。4.1 2.4G信道只有 1/6/11为什么自动信道不靠谱2.4G 频段虽然有 1 到 13 共 13 个信道但真正互不干扰的只有 1、6、11 三个。实验里很多人图省事用自动信道周围一堆 AP 挤在一起信号满格但网速极慢这就是典型的信道重叠导致的干扰。工程做法是人工规划相邻 AP 尽量错开。# 射频 0 对应 2.4G radio 0 channel 1 bandwidth 20 quit # 射频 1 对应 5G radio 1 channel 149 bandwidth 40 quitchannel 1表示固定用 1 信道bandwidth 20是频宽。2.4G 建议锁 20MHz抗干扰能力更好5G 可以用 40MHz 甚至 80MHz 换速率但信道选择要先确认设备支持哪些信道范围。实验环境只有一台 AP 时自动信道也能用但你要清楚自动信道选中的往往不是最优解。信道不是越大越好2.4G 用 13 信道虽然合法很多老设备却搜不到。4.2 发射功率调最大反而是漫游差的开始初学配置的人总喜欢把发射功率调到最大觉得信号强就是好。实际恰恰相反功率过大会让终端在很远的地方还顽固地挂着这个 AP信号弱、重传多整个网络速度都被拖慢。多 AP 场景下相邻 AP 的功率必须错开否则终端漫游时根本不切换。这个道理在实验里体会不深但设计思路要从现在建立。# 进入射频视图 radio 0 eirp 10 quit radio 1 eirp 14 quiteirp是等效全向辐射功率单位 dBm室内环境一般建议 10 到 17 之间调节。实验里一台 AP 距离终端不到两米功率 10 和 20 的体验差别不大但在真实办公室功率每调高 3dB覆盖半径明显变大干扰也同步变大。工程上的思路不是让所有地方信号都满格而是让每个位置都有且只有一个最优 AP 提供服务。发射功率是无线优化里最容易产生玄学感觉的参数实际上用仪器扫一圈就能看出问题。4.3 漫游阈值把-85改成-75信号满格不走的老毛病会好很多终端默认要等到当前信号降到很低才愿意切换 AP结果就是人已经走到另一个 AP 旁边手机还连着远处那个弱信号 AP。解决办法是调整漫游阈值让终端更早触发切换。这个参数在不同厂商设备上叫法不同常见的有 RSSI 阈值、漫游触发电平、智能漫游开关实验里找到对应的配置项调一下就行。# 部分设备在射频视图下配置漫游阈值 radio 0 roam rssi-threshold -75 quitrssi-threshold -75表示当终端接收信号低于 -75dBm 时允许触发漫游切换到更强信号的 AP。默认值通常是 -85 甚至更低改成 -75 后切换更积极。但阈值不是越小越好调成 -65 会导致终端在两个 AP 之间反复横跳反而更不稳定。办公场景一般从 -75 开始试然后根据实际漫游测试结果微调。漫游效果最终还取决于手机厂商的漫游策略这也是无线里最像黑匣子的部分但阈值调对了体验提升立竿见影。5. AP配置避坑指南5个最容易翻车的排查现场这一章把 AP 基本配置里最高频的 5 个故障现场整理出来每个都按现象、原因、解决写。实验做完了可以对照检查工作中遇到类似问题也能少走弯路。5.1 现象终端能连上SSID但拿不到IP这是 AP 实验里最常见的翻车点现象是手机能搜到网络、能输入密码、显示已连接但 IP 地址一直是 169.254 开头或者一直转圈。原因通常是业务 VLAN 和 DHCP 地址池配置不一致。VAP 模板里service-vlan写成 20但 DHCP 地址池建在了别的网段或者是 DHCP 配置在交换机上而交换机的上行口没有放行业务 VLAN。还有一种情况是地址池租期耗尽实验里不常见。解决方法是先看终端拿到的 IP 网段再顺着 VAP 模板、业务 VLAN、DHCP 地址池三层查一遍。在设备上执行display ip pool查看地址池状态确认network网段和service-vlan一致。# 查看地址池分配情况 display ip pool name pool-wlan如果地址池正常再查接入交换机连接 AP 的接口是否配置了 trunk 并放行 VLAN 20。很多模拟器实验里AP 直接连在交换机上交换机接口默认只在 VLAN 1业务 VLAN 20 的 DHCP 请求根本到不了网关终端自然拿不到地址。5.2 现象重启一下刚才配的全没了辛辛苦苦敲了一堆命令实验报告也写了结果 AP 一重启所有配置恢复到出厂状态。这条在实训室出现的频率极高几乎每个班都会有人中招。原因是没有保存配置。很多设备的配置分为当前配置和保存配置你敲的命令只存在于当前配置里断电或重启后就丢了。模拟器也一样关闭模拟器工程前不保存下次打开照样回到原点。解决方法是配置完成后执行保存命令。常见设备在系统视图下输入save有些设备还会询问是否覆盖原配置文件输入Y确认即可。保存完成后可以用display saved-configuration查看保存结果确保文件里真的有内容。[AP] save # 提示是否确认保存输入 Y 确认我的习惯是每完成一小节配置就保存一次而不是全部配完再保存。实验过程中突然断电至少不用从头再来。顺便提醒一句模拟器里也要养成这个习惯很多模拟器关掉工程时不提示保存配置直接就没有了这算是没有后悔药可吃的环节。5.3 现象手机搜不到 5G 信号实验里配好了 5G 频段的 SSID手机却只看到 2.4G 的怎么刷新都搜不到 5G。原因有三个方向第一5G 射频接口没有绑定 VAP 模板SSID 只在 2.4G 射频上广播第二手机离 AP 太远5G 信号衰减快被终端自行隐藏第三5G 信道配置超出了设备支持范围射频起不来。解决方法是先检查射频状态和模板绑定。执行display radio查看两个射频接口的工作状态确认 radio 1 是 up 状态且已经绑定了 VAP 模板。如果射频是 down查看信道配置是否合法5G 的 149 信道在绝大多数设备上都支持但个别地区码或老旧设备可能有限制。最后再拿另一台手机交叉验证排除终端自身不支持 5G 的可能。5.4 现象隐藏 SSID 之后手机反而连不上有人觉得隐藏 SSID 更安全把广播关掉之后手机搜不到网络手动添加又提示网络不存在或者连不上。原因在于隐藏 SSID 只是不广播信标帧终端搜索网络时需要主动发送探测请求而部分手机的省电策略会抑制后台扫描导致手动添加也会失败。隐藏 SSID 本身也不解决安全问题因为抓包工具依然能从终端发出的连接请求里提取到 SSID 名称。解决方法是实验环境不要用隐藏 SSID直接用 WPA2-PSK 或 WPA3 加密就够了。Wi-Fi 安全靠的是加密和认证不是把网络名藏起来。如果确实有隐藏需求比如某些内部网络要同时告知终端用户手动添加时必须选择正确的安全类型不能选开放式网络。5.5 现象手工指定信道后网络更卡了原本自动信道用着还行手动把 2.4G 信道改成 13 或自动扫描出来的某个信道后网速反而变差了。原因可能是周边环境存在固定干扰源比如无线鼠标、微波炉占用相近频率也可能是改了 13 信道后部分手机或老旧终端根本不支持只能换到其他信道信号反而更差。自动信道最大的问题不是选错而是不会随环境变化自动调整。解决方法是把 2.4G 固定在 1、6、11 三个信道里选一个用终端上的 Wi-Fi 扫描功能看看周边哪个信道最空。实验里只有一台 AP选哪个影响都不大但如果你以后部署多台 AP信道规划表应该在图纸阶段就定好而不是在设备上一格一格试出来的。6. 验证配置的三板斧从能连上到连得好配置完成后不要急着写实验报告先做一轮验证。验证不是连上 Wi-Fi 打开网页就算完而是要有步骤地确认连通性、速率和漫游表现。这一步能把实验报告从我配完了提升到我验证过了。6.1 第一步从 ping 网关到持续打流先让终端连接 Wi-Fi查看获取到的 IP 是否属于业务网段然后 ping 网关地址确认二层通畅。网关通了再 ping 一个外网地址确认路由和 NAT 没问题。最简单的命令是ping 192.168.20.1如果通了说明 AP 到终端的链路正常。更进一步的验证是持续打流确认无线速率是否稳定。实验环境可以找一台电脑做服务端终端做客户端用打流工具持续传数据观察速率曲线。无线速率受距离和干扰影响明显如果速率剧烈波动回头检查信道和发射功率设置。6.2 第二步抓包确认信标帧和认证流程抓包是排障和验证的利器。用抓包工具监听无线网卡可以看到 AP 周期性广播的信标帧里面有 SSID 名称、支持的速率、加密套件类型。确认信标帧里广播的加密方式确实是 AES 而不是 TKIP连接过程有没有完整的四次握手。抓包时要注意普通网卡默认只能抓到自己的流量要看信标帧需要把无线网卡切换到监听模式。这一步在实验环境可能比较麻烦但至少要做到连接过程中终端和 AP 之间完成了认证和关联DHCP 交互有 Discover、Offer、Request、Ack 四个阶段。能抓到这四个包的完整交互地址分配的问题就能排除。6.3 第三步把实验结论沉淀成部署习惯在实验室里把 AP 基本配置跑通最大的收获不是那几条命令而是建立一套检查顺序先看管理模式再查 VLAN 和 DHCP然后才轮到 SSID 和安全模板。配置出现问题时顺着这个顺序排查比在 WLAN 视图里反复敲命令要高效得多。我自己的习惯是每次配完 AP都要做三件收尾事保存配置并记录手机连接后做一次 ping 网关和外网的测试最后站在距离 AP 五米和十米的位置各测一次信号强度。简单三步基本能避免大多数当时能连第二天不行的尴尬。无线环境变化很快配置时的选择要为后续排查留出线索这些习惯越早养成后面吃过的亏就越少。希望帮到你。本文还有配套的精品资源点击获取