1. 先把架构想明白WLAN组网到底在组什么WLAN组网这件事表面上看就是AP插上网线、配个SSID、手机能连上真做起来却是另一回事一台AC、几十个AP、三四个VLAN、两种转发模式、七八个模板配置中间任何一个环节对不上AP就是不上线而且报错信息往往还很含蓄。我带过几个刚接触无线的同事做这类项目卡住的位置几乎一模一样——拓扑画得出来命令敲得进去一到排错就抓瞎。所以这次我拿一个基于eNSP的WLAN组网架构项目把从架构选型、拓扑搭建、AC配置到参数估算、故障排查的整条链路完整走一遍能照着复现也知道每一步为什么要这么做。先把话说在前面eNSP这款网络模拟器跑WLAN项目和真机不完全一样它最大的价值不是仿真出一个能用的无线网而是让你在没有硬件的情况下把ACFit AP这套架构的控制面和数据面彻底摸透。你在模拟器里把CAPWAP建链、AP上线、模板下发、隧道转发这几件事捋顺了到真机上只是把命令细节对齐一下思路是通用的。1.1 无线组网真正在解决的三件事很多人以为无线就是发个信号其实一套能管起来的WLAN核心是解决三个问题信号怎么覆盖、终端怎么认证、设备怎么集中管理。第一件事是射频层面的事取决于AP摆位、信道、功率第二件事是安全层面的事取决于认证方式和密钥第三件事才是网络架构层面的事也就是我们要用AC把所有AP统管起来。如果只有三五个AP你完全可以每台AP单独配一个SSID各管各的也就是所谓Fat AP胖AP模式。这种模式的痛点在规模一上来就暴露改个密码要登几十台设备加个新SSID要重复操作几十遍某个AP被人拔了也没人知道。所以一旦AP数量超过十台或者有多个办公区、多个楼层基本就该上ACFit AP瘦AP架构了。这也是我在这个项目里选择ACFit AP的原因——不是为了炫技而是它才是真实项目里主流的那套东西模拟一遍等于把工作中会遇到的场景提前踩了一遍。1.2 为什么我把ACFit AP当成默认答案ACFit AP的本质是控制与转发分离。AP本身只负责射频收发和加密所有配置——SSID、安全策略、射频参数、VLAN归属——都由AC统一下发。AP上电后第一件事是找AC找到之后建立一条CAPWAP隧道然后从AC那里领配置下来。这套机制的好处很直接配置集中改一次全网生效不用逐台登录AP零配置上线插上网线就能干活运维门槛大幅降低漫游体验统一同一个AC下的AP共享同一套安全上下文终端在AP之间移动时不需要重新认证可观测AC上能直接看到每台AP的在线状态、关联用户数、信道和噪声。代价也很明确AC成了单点AC挂了整个无线网就瘫。所以真实项目里才要做双AC热备、要做AC的冗余链路这些我在后面第6节会专门讲。在eNSP里搭这套东西设备选择大概是一台AC模拟器里有专门的AC设备、若干台AP比如双频的AP4050DN这类、一台接入交换机、一台汇聚或路由器做出口加上DHCP服务和PC用来验证。别小看这个精简版它已经能覆盖真实项目90%的配置逻辑。1.3 二层直连、二层旁挂、三层旁挂怎么选AC放在哪儿是WLAN组网里第一个需要拍板的决策直接决定了后面VLAN怎么划、DHCP放哪儿、CAPWAP怎么建。二层直连是最简单的一种AC串在AP到出口的必经之路上AP和AC的管理地址在同一个VLAN、同一个广播域。优点是配置最简单CAPWAP建链基本不会失败适合小型网络。缺点是AC成了流量必经节点一旦AC宕机有线业务也跟着受影响。二层旁挂是我在这个项目里用的方案AC挂在核心或汇聚交换机的旁边AP的流量不经过AC直接转发模式下但AP和AC的管理接口在同一个二层广播域里AP通过广播就能发现AC。这种方案兼顾了简单和灵活是中小型项目里最常见的做法。三层旁挂把AC放到另一个网段AP和AC跨三层通信这时候AP靠广播就找不到AC了必须靠DHCP的option 43字段把AC的IP地址告诉AP。这种方式扩展性最好适合AP分散在多个楼层、多个网段的大中型场景但配置复杂度和排错难度都上了一个台阶。组网方式AC位置AP发现AC方式适用规模主要坑点二层直连AP上行路径上二层广播小型AC是流量瓶颈单点风险高二层旁挂核心/汇聚旁侧二层广播中小型需保证管理VLAN双向放通三层旁挂独立网段DHCP option 43中大型option 43格式易写错提示在eNSP里练手建议先把二层旁挂跑通再改成三层旁挂对比一次。两者的差异集中在DHCP option 43和AC的管理接口上其余配置几乎一样对比着做理解最快。1.4 VLAN与地址规划的底层逻辑不管哪种组网方式VLAN规划都是绕不开的。WLAN场景里至少需要两类VLANAP管理VLAN和业务VLAN。管理VLAN承载AP和AC之间的CAPWAP控制报文业务VLAN承载终端用户的数据流量两者分开的好处是管理面不会被用户流量冲击也便于做安全隔离和QoS策略。我在这个项目里用的是管理VLAN 100、业务VLAN 20。地址段分配上管理网段留192.168.100.0/24业务网段留192.168.20.0/24。为什么管理网段要单独占一个C段因为一台AP至少占一个地址未来做双AC、做网管服务器、做AP的备用地址这个段还要不断往里加东西留足空间比较稳妥。业务网段的地址池大小要按峰值并发终端数 × 1.2来估这个1.2是给地址续租和临时设备留的余量。比如一个办公区峰值300台终端在线那业务池至少给到360个地址也就是/23510个可用比较舒服硬撑一个/24254个会在高峰期出现连上了但拿不到IP的问题。这个坑我踩过当时业务池按/24划的下午三点全员开会一堆人喊网连不上。2. eNSP环境准备与拓扑落地2.1 模拟器里那些容易被忽略的准备动作eNSP装好之后有几个坑必须先绕过去。第一是设备启动顺序AC和交换机要全部启动完毕再启动APAP比AC先上电的话它会一直发广播找AC找不到就进入重试状态虽然理论上AC起来之后AP会自动重连但在模拟器里这个过程可能很慢等得人心慌。第二是虚拟网卡和Cloud设备如果你要验证真实终端接入得用Cloud把模拟器里的网络桥接到本机的无线网卡上这一步经常因为本机网卡被占用或者防火墙拦截而失败。第三是最容易被忽略的一点——给模拟器足够的内存和时间。AP设备在eNSP里启动本身就慢一台AP从开机到射频就绪可能要一两分钟同时开四五台AP机器配置一般的话会非常卡。我一般习惯是先把所有设备启动起来去泡杯茶回来再开始敲配置着急连敲容易把命令敲到还没启动完的设备上白敲一遍。还有个小技巧把拓扑里的设备命名改成有含义的名字比如AC1、SW-Core、SW-Access、AP-1F-East别用默认的Device1、Device2。这个习惯在拓扑超过五个节点之后回报巨大尤其是排错的时候你一眼就能知道是哪台设备出了问题。2.2 拓扑骨架怎么搭这个项目的拓扑按二层旁挂来搭骨架是这样一个层次出口用一台路由器做NAT和上网出口下面接一台核心交换机核心交换机旁挂AC同时下联接入交换机接入交换机下面挂AP再加一到两台PC作为有线侧的验证终端。连线的时候有几个细节值得注意。AC和核心交换机之间走Trunk放通管理VLAN 100和业务VLAN 20接入交换机上联核心走Trunk同样放通这两个VLANAP接在接入交换机的某个端口上这个端口要配成TrunkPVID设成管理VLAN 100同时放通业务VLAN 20。为什么AP口要用Trunk而不是Access因为AP和AC之间要跑管理VLANAP下挂的终端要跑业务VLAN一个端口承载两个VLAN只能是Trunk。这里有个非常经典的新手错误把AP口配成Access并划进管理VLAN结果AP能上线但终端连上SSID就是拿不到地址。原因很简单业务VLAN的流量被Access口挡掉了根本到不了交换机。这个现象在模拟器和真机上一模一样我见过不止一个同事在这上面耗半天。2.3 有线侧基础配置VLAN、Trunk与DHCP配置的顺序我习惯是从下往上——先把有线侧的VLAN、Trunk、地址池都配好验证有线Side能通再接AP。这样出错的时候范围小容易定位。核心交换机上先建VLANvlan batch 20 100AC和核心之间的Trunk口interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 20 100接入交换机上联口同理AP接入口interface GigabitEthernet0/0/2 port link-type trunk port trunk pvid vlan 100 port trunk allow-pass vlan 20 100然后在AC作为管理网段和业务网段的网关上配地址和DHCPdhcp enable ip pool ap-pool network 192.168.100.0 mask 255.255.255.0 gateway-list 192.168.100.1 dns-list 223.5.5.5 excluded-ip-address 192.168.100.1 192.168.100.50 ip pool user-pool network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 223.5.5.5 interface Vlanif100 ip address 192.168.100.1 255.255.255.0 dhcp select global interface Vlanif20 ip address 192.168.20.1 255.255.255.0 dhcp select global管理池里排除掉前50个地址是留给AC、预留AP静态地址和网管设备用的这是运维习惯也是真实项目里的通行做法。2.4 上线前的连通性自检清单在动AC的无线配置之前一定要做一遍自检不然AP不上线的时候你分不清是网络没通还是无线配置错了。自检项我列一下每次项目我都按这个走AC的Vlanif100能不能ping通自己接口是否UP接入交换机到核心、核心到AC的Trunk是否放通了VLAN 100和20AP接入口的PVID是不是100VLAN 20有没有放通把一台PC接到AP所在交换机的同一个VLAN里能不能从AC的DHCP拿到100网段的地址AC上有没有开capwap source interface Vlanif100这一步没做的话AP永远找不到AC。最后这一条是最容易漏的。CAPWAP源接口决定了AC用哪个地址跟AP通信不配的话AC不知道该拿哪个IP去应答AP的发现请求AP就会一直卡在寻找AC的状态。3. AC侧无线业务配置全流程拆解3.1 CAPWAP源接口与AP上线参数无线配置的第一步永远是确定CAPWAP的源接口capwap source interface Vlanif100这条命令的作用是告诉AC所有跟AP通信的报文源地址都用Vlanif100的IP。AP收到应答之后就会用这个地址作为隧道的对端。二层组网的环境里AP靠广播就能找到AC不需要option 43。接着进入WLAN视图设置AP的认证模式wlan ap auth-mode mac-auth认证模式有三档不认证no-auth、MAC认证、SN认证。不认证意味着任何AP接进来都能上线实验室里图省事可以这么干真实项目里绝对不行——那样谁抱一台AP插到你的网口上都能接管你的无线配置。MAC认证是中型项目最常用的方式把AP的MAC地址提前录进AC的白名单只有名单里的AP才能上线。SN认证更严格一些按设备序列号来认适合对安全要求高的场景。我的习惯是即使在做实验也用MAC认证把先录MAC再上电这个流程练成肌肉记忆因为真实项目里AP到货之后第一件事就是抄MAC地址做台账。3.2 AP认证与白名单录入录入AP的操作分两步先离线添加再让AP上线ap-id 1 ap-mac 00e0-fc12-3456 ap-name AP-1F-East ap-group name defaultap-id是AC内部的编号只在本机有效随便给但建议按物理位置编排比如1F东、1F西、2F东后面查问题方便。ap-name是显示名也按位置起名。ap-group是AP组这个很关键——后面所有的模板都是绑到AP组上的同一个组里的AP共享一套配置。真实项目里AP组通常按区域划分比如办公区一个组、会议室一个组、仓库一个组因为不同区域的射频策略、SSID、甚至VLAN都可能不一样。我见过把所有AP都塞进default组的配置结果后来要给会议室单独加一个高密SSID全组AP都被迫跟着改动静特别大。所以哪怕现在只有一个区域我也建议按区域建组为扩展留余地。3.3 射频、SSID、安全模板的配置顺序AC上的无线配置是由一堆模板拼起来的新手最容易懵的就是不知道先配哪个。我总结的顺序是域管理模板 → SSID模板 → 安全模板 → VAP模板 → 绑定到AP组。这个顺序是从底层约束到业务呈现逐层往上叠。域管理模板管国家码直接决定AP能用哪些信道、发射功率上限是多少regulatory-domain-profile name cn-profile country-code cn ap-group name default regulatory-domain-profile cn-profile国家码配错的后果很有意思AP能上线SSID也能发出来但5G频段的部分信道用不了终端搜不到5G信号你会以为是终端的问题。所以这个模板虽然只有一行配置但优先级最高。SSID模板就是发出去的那个无线名字ssid-profile name ssid-office ssid Office-WLAN安全模板决定认证方式和加密算法生产环境一般用WPA2-PSK或者WPA2-Enterprisesecurity-profile name sec-office security wpa-wpa2 psk pass-phrase YourPass2024 aes密码别用纯数字也别用公司名加123这种PSK密码泄露是无线安全最常见的入口。真实项目里我一般要求密码至少12位含大小写和符号并且按区域区分——办公区一个密码、访客区一个密码访客区的做定期轮换。3.4 VAP模板绑定与业务下发VAP模板是把前面几个模板串起来的那一层同时还决定了转发模式和业务VLANvap-profile name vap-office forward-mode tunnel service-vlan vlan-id 20 ssid-profile ssid-office security-profile sec-officeforward-mode这个参数值得单独说一下。隧道转发tunnel意味着终端的数据要封装进CAPWAP隧道先送到AC再由AC转发出去直接转发direct意味着数据在AP本地就打上VLAN标签直接扔进接入交换机不经过AC。隧道转发的好处是数据集中策略好做AC能看所有流量坏处是AC变成流量瓶颈而且AP到AC这段要扛全部用户流量。直接转发的好处是路径短、AC压力小适合大流量场景坏处是AC看不到用户数据做流控和审计要靠别的设备。中小项目里隧道转发用得更多因为配置简单、策略集中大型项目里直接转发更常见尤其是视频、大文件传输多的场景。最后一步是把VAP绑到AP组ap-group name default vap-profile vap-office wlan 1 radio allwlan 1是VAP的编号一个AP组可以绑多个VAP实现多SSID。radio all表示2.4G和5G都发这个SSID。模板类型作用关键参数常见错误域管理模板国家码、信道功率约束country-code国家码错导致5G信道缺失SSID模板无线网络名称ssid中文SSID兼容性差安全模板认证与加密认证方式、密码用WEP或TKIP等弱算法VAP模板转发模式与业务VLANforward-mode、service-vlanVLAN未在链路上放通AP组模板的载体组成员全部塞进default组3.5 终端接入验证与抓包观察配置下完之后AC上可以用这几条命令确认状态display ap all display station all display vap ssid Office-WLANdisplay ap all能看到每台AP的state是不是nor正常如果显示flt或者fault说明AP和AC之间有问题display station all能看到已关联的终端包括MAC、IP、所属AP、信号强度。在eNSP里验证真实终端接入是个麻烦事因为模拟器里没有虚拟无线网卡。常见做法是用Cloud设备把模拟器网络桥接到本机的无线网卡上让本机真的去连这个SSID。这个方案能跑通但稳定性一般本机网卡被其他程序占用、防火墙拦截、模拟器版本不匹配都会导致连不上。我的经验是如果只是想验证配置逻辑对不对display station all配合模拟的STA设备就够了如果要验证真实的DHCP和上网流程再上Cloud桥接并且桥接之前先把本机的无线连接断开避免冲突。想看得更细一点可以在AC和AP之间的链路上抓包看CAPWAP的控制报文UDP 5246和数据报文UDP 5247。AP上线过程中能看到Discovery Request/Response、Join Request/Response、Configuration Status 这几个阶段走完这四步才算真正上线成功。卡在某一步问题范围立刻就缩小了。4. 参数计算AP数量、带宽与PoE预算4.1 覆盖与容量AP数量怎么估很多人配AP数量是拍脑袋其实有个粗略但好用的算法先按覆盖估再按容量校核取两者的大值。按覆盖估的话普通办公区隔断多、有石膏板墙一台AP大概覆盖200到300平米开放办公区视野好能到300到400平米会议室、培训室这种高密场景不能按面积算要按人头算一般50人以上的会议室至少放两台AP而且要考虑定向天线或者吸顶布放。仓储、厂房这种高大空间金属货架多一台AP覆盖可能只有150平米还要考虑货架遮挡。按容量估的话看单AP能带多少终端。2.4G频段实际能稳定承载20到30个活跃终端5G能到40到50个。注意是活跃终端不是关联终端——一个办公室里200台设备关联着但同时发包的可能只有60台这种场景按活跃数算就够了。但如果是一个全员用视频会议的场景那就要按关联数打折。举个具体的例子一个1500平米的办公区开放工位峰值300人同时在线主要业务是办公文档、网页、视频会议。按覆盖算1500除以300等于5台按容量算300台终端其中大约70%在5G上也就是210台在5G、90台在2.4G5G每台带50个的话需要4.2台2.4G每台带25个需要3.6台双频AP一台同时覆盖两个频段综合下来取5到6台。最后我一般再加10%到20%的余量所以这个场景布6到8台比较稳妥。4.2 CAPWAP隧道与上联带宽估算带宽这块先算单AP的峰值吞吐。以802.11ac双流为例理论协商速率867Mbps实际TCP吞吐大概在400到500Mbps之间这是实验室理想值真实办公环境有干扰、有重传能跑到250到350Mbps就算不错了。如果用的是隧道转发这部分流量全部要经过CAPWAP隧道送到AC隧道的封装开销是多少IPv4外层头20字节、UDP头8字节、CAPWAP头大概16到24字节加起来44到52字节相对于1500字节的MTU开销大约3%到3.5%。所以单AP峰值500Mbps的话隧道里实际要占520Mbps左右。上联口怎么配一台千兆口能带几台AP按峰值算一台AP 500Mbps千兆口理论上带两台就满了。但实际网络不会所有AP同时跑满峰值收敛比一般取1:3到1:5。也就是说一个千兆上联口带4到6台AP是比较合理的超过这个数就要考虑万兆上联或者链路聚合。用户侧带宽就更好算了每用户保障带宽按2到4Mbps办公场景视频会议按4到8Mbps再乘以并发用户数。300人办公区按每人3Mbps算就是900Mbps的总需求这就是为什么核心到出口至少要千兆以上最好是双千兆聚合。4.3 PoE供电预算与线缆选型AP的供电基本都走PoE这块的预算经常被忽略结果装到一半发现交换机带不动。标准有两个802.3af每端口最大15.4W802.3atPoE每端口最大30W。普通双频AP的功耗一般在10到13Waf够用如果是Wi-Fi 6的高性能AP或者带外置天线、带物联网模块的功耗可能到20W以上就得上at。算预算的方法单AP功耗乘以AP数量再留20%余量。比如24口PoE交换机整机PoE预算370W带24台12W的AP就是288W余量只有80W出头看着够但如果交换机自己还要给IP电话、摄像头供电就很紧张了。我一般建议PoE预算的使用率不要超过70%留出来的部分应对AP功耗波动和后期扩容。线缆这块千兆用超五类Cat5e就够但如果是Wi-Fi 6 AP、上联要跑2.5G甚至5G就必须上六类Cat6甚至超六类。还有一个容易被忽略的点PoE供电距离。标称100米但实际带PoE的话线径细、线材差的网线在80米左右就开始出现供电不稳、AP反复重启的现象。所以布线的时候AP点位到弱电箱的距离最好控制在70米以内。4.4 信道与功率规划信道规划是无线优化里性价比最高的一件事做和不做用户体验差一个档次。2.4G频段只有1、6、11三个完全不重叠的信道所以2.4G的规划原则就是相邻AP用不同信道形成1-6-11的蜂窝结构。一栋楼里AP密集的话2.4G基本没法避免同频干扰这时候的策略是把2.4G的功率调低、把5G的功率调高引导终端优先连5G。5G频段的可用信道多得多国内常见的非重叠信道有36、40、44、48、52、56、60、64、149、153、157、161、165足够做精细规划。5G的穿透力弱覆盖半径小所以5G的AP密度要更高但也正因为穿透弱同频干扰反而好控制。功率设置上我一般遵循低功率、密部署的原则。很多项目为了省AP数量把功率开到最大结果是一个AP覆盖了一大片但边缘用户信号弱、速率低而且这个AP的信号到处飘干扰了别的AP。正确做法是把单AP功率压到中等让覆盖边界清晰终端在AP之间切换更主动。2.4G一般设10到14dBm5G设14到17dBm具体还要看现场。在eNSP里这些参数改起来很方便ap-group name default radio-2g-profile radio-2g radio-5g-profile radio-5g radio-2g-profile name radio-2g channel 20mhz 6 eirp 12 radio-5g-profile name radio-5g channel 40mhz 36 eirp 15模拟器不会真的去算干扰但把配置流程走一遍你就知道这些参数挂在哪个模板上到真机上只需要按现场勘测结果改数字。5. 常见问题与排查实录5.1 AP不上线从物理到CAPWAP逐层剥AP不上线是WLAN项目里出现频率最高的问题我一般的排查顺序是自上而下、从物理到逻辑。先看AP有没有电。eNSP里看设备是不是启动完成真机上看AP的指示灯——常亮或者慢闪是正常快闪通常是正在找AC不亮就是没供电。供电没问题再看AP能不能拿到IP。把一台PC接到同一个交换机端口看看能不能从DHCP拿到管理网段的地址拿不到就说明VLAN或者DHCP有问题。拿到地址之后看AP和AC通不通。在AC上ping AP的管理地址通不了就是二层链路的问题检查Trunk有没有放通管理VLAN、PVID对不对。通了但AP还是不上线就去看capwap source interface配了没有、配的是不是正确的接口。再往下就是认证环节。display ap all里如果AP的state显示为flt同时AC上有告警提示MAC不匹配那就是白名单里没录这台AP或者MAC地址抄错了——这种情况太常见了抄MAC的时候少一位、大小写混了、把冒号写成了短横线都会导致匹配失败。所以录入之前一定要核对两遍。还有一种隐蔽的情况AP能上线但状态一直不稳反复上下线。这通常是链路质量问题或者CAPWAP心跳超时真机上要查网线、查光模块模拟器里一般是资源不够导致设备响应慢。5.2 终端连上却拿不到地址这个问题的现象很有迷惑性手机上能看到SSID输入密码也能连上但就是获取不到IP一直转圈。根本原因通常是业务VLAN没打通。排查路径是这样的先在AC上看display station all终端有没有出现在列表里。如果出现了但IP是空的说明AP和终端之间的无线链路正常问题在DHCP或者业务VLAN。接着看AC上业务VLAN的Vlanif有没有配地址、DHCP地址池有没有绑定到这个接口display ip pool能看到地址池的使用情况。如果AC侧都正常就往回查链路AP接入口有没有放通业务VLAN、核心到接入的Trunk有没有放通、业务VLAN在整条路径上是不是连续的。我遇到过一次接入交换机上联口只放通了管理VLAN业务VLAN漏了结果全楼的终端都连不上查了两个小时。还有一种情况是地址池耗尽了。display ip pool里看Idle的数量如果是0那就是池子不够大要么扩池子要么缩短租期。5.3 能上网但体验差速率、漫游与干扰网络通了不等于好用。用户投诉网慢的时候我不会急着改配置先做三件事看终端连的是2.4G还是5G、看信号强度、看协商速率。终端赖在2.4G上不走是最常见的问题尤其是老设备。解决办法是开启频段引导band steering让双频终端优先上5G同时把2.4G的功率压低让2.4G的覆盖边界比5G小一圈终端在远处自然就切到5G了。漫游卡顿是另一个高频问题。终端在两个AP之间移动如果切换太慢视频会议就会卡一下。影响漫游的因素包括AP的功率设置功率太大导致终端舍不得切、AC上的漫游门限、以及终端自己的漫游积极性这个你控制不了。工程上的做法是适当降低功率、开启AC的智能漫游让AC主动劝信号差的终端换AP。干扰问题在模拟器里体现不出来真机上要靠频谱分析。2.4G的干扰源太多了——微波炉、蓝牙、无线键鼠、隔壁公司的AP都会造成重传率上升。判断方法是看AP的重传率和信道利用率重传率超过20%就该考虑换信道或者加AP了。5.4 排查命令与现象对照表把常用命令和现象对起来排错的时候能省不少时间现象优先查看命令常见原因AP不上线AP状态display ap all源接口未配、MAC未录AP反复上下线CAPWAP链路display capwap configuration链路丢包、心跳超时终端无IP地址池display ip pool池耗尽、VLAN未通终端速率低关联信息display station assoc-info连在2.4G、信号弱SSID搜不到VAP状态display vap ssid xxx模板未绑定、射频关闭认证失败安全模板display security-profile密码错、加密算法不匹配注意排错时别一上来就改配置。先把现象用命令固化下来截个图存着改完再对比。不然改了三处之后网络好了你都不知道是哪一处起的作用下次遇到同样问题还是不会。6. 从仿真到真实高可用与规模扩展的考虑6.1 双AC与VRRP的思路单AC是单点这一点在真实项目里必须解决。常见的方案是双AC做VRRP热备两台AC配同一个VRRP虚拟IPAP把CAPWAP隧道建到虚拟IP上主AC挂了之后备AC接管AP重新建链中断时间通常在几十秒到几分钟。这个方案的关键点在于两台AC的配置必须完全一致——AP白名单、模板、VLAN、安全策略任何一处不一致主备切换之后AP可能上不了线或者上线了但业务不对。所以真实项目里都会做配置同步或者在变更时严格按流程两台一起改。在eNSP里做双AC实验是有价值的虽然模拟器对VRRP和CAPWAP主备切换的支持不如真机完善但你能把虚拟IP怎么配、AP怎么指向虚拟IP、切换时AP会经历什么这套逻辑走通。我的建议是先把单AC玩透再上双AC不然两套变量混在一起出了问题根本分不清是哪边。6.2 三层漫游与转发模式的取舍单个AC下的漫游是同AC漫游靠AC内部协调就行比较简单。跨AC漫游就复杂了需要AC之间同步终端信息还要处理业务VLAN在不同AC上的一致性。这部分在模拟器里很难完整验证但概念要清楚跨AC漫游的本质是让终端在换了AC之后IP地址不变、安全上下文不丢。转发模式的选择也和漫游有关。隧道转发下所有流量回AC跨AC漫游时流量路径变化小漫游体验更平滑直接转发下流量在本地出跨AC漫游时网关位置可能变化需要额外处理。所以如果项目对漫游要求高隧道转发更省心代价是AC的带宽压力。6.3 仿真环境和真机的差距最后说说这个项目里我最想分享的一点体会eNSP能教会你架构和配置逻辑但它教不了你现场感。模拟器里AP摆哪儿都行信号永远满格没有墙、没有金属货架、没有隔壁的干扰源模拟器里的终端不会漫游不会因为揣在兜里信号衰减而掉线模拟器里的交换机不会因为PoE预算不够而反复重启AP。这些在真机上全是事。所以我的用法是用eNSP把配置流程和排错路径练熟用真机把射频和物理层的问题摸透。具体来说模拟器里重点练三件事——ACFit AP的完整配置链路、二层和三层组网的差异、常见故障的排查顺序真机上重点关注三件事——AP点位勘测、信道功率实测调优、PoE和布线的物理约束。两边都练过才算真的会做无线项目。还有个小建议每次做完一个WLAN项目把配置导出来存一份按拓扑配置勘测数据问题记录归档。我现在的习惯是每个项目一个文件夹里面放拓扑图、关键配置、现场照片和一份问题清单。做了十几个项目之后回头看那份问题清单比任何教材都有用因为它记的都是你自己踩过的坑。 
长河君 · 2026/10/27 20:17:09 · 阅读 1.2k 基于eNSP的WLAN组网实战：AC+Fit AP架构配置与排错
1. 先把架构想明白WLAN组网到底在组什么WLAN组网这件事表面上看就是AP插上网线、配个SSID、手机能连上真做起来却是另一回事一台AC、几十个AP、三四个VLAN、两种转发模式、七八个模板配置中间任何一个环节对不上AP就是不上线而且报错信息往往还很含蓄。我带过几个刚接触无线的同事做这类项目卡住的位置几乎一模一样——拓扑画得出来命令敲得进去一到排错就抓瞎。所以这次我拿一个基于eNSP的WLAN组网架构项目把从架构选型、拓扑搭建、AC配置到参数估算、故障排查的整条链路完整走一遍能照着复现也知道每一步为什么要这么做。先把话说在前面eNSP这款网络模拟器跑WLAN项目和真机不完全一样它最大的价值不是仿真出一个能用的无线网而是让你在没有硬件的情况下把ACFit AP这套架构的控制面和数据面彻底摸透。你在模拟器里把CAPWAP建链、AP上线、模板下发、隧道转发这几件事捋顺了到真机上只是把命令细节对齐一下思路是通用的。1.1 无线组网真正在解决的三件事很多人以为无线就是发个信号其实一套能管起来的WLAN核心是解决三个问题信号怎么覆盖、终端怎么认证、设备怎么集中管理。第一件事是射频层面的事取决于AP摆位、信道、功率第二件事是安全层面的事取决于认证方式和密钥第三件事才是网络架构层面的事也就是我们要用AC把所有AP统管起来。如果只有三五个AP你完全可以每台AP单独配一个SSID各管各的也就是所谓Fat AP胖AP模式。这种模式的痛点在规模一上来就暴露改个密码要登几十台设备加个新SSID要重复操作几十遍某个AP被人拔了也没人知道。所以一旦AP数量超过十台或者有多个办公区、多个楼层基本就该上ACFit AP瘦AP架构了。这也是我在这个项目里选择ACFit AP的原因——不是为了炫技而是它才是真实项目里主流的那套东西模拟一遍等于把工作中会遇到的场景提前踩了一遍。1.2 为什么我把ACFit AP当成默认答案ACFit AP的本质是控制与转发分离。AP本身只负责射频收发和加密所有配置——SSID、安全策略、射频参数、VLAN归属——都由AC统一下发。AP上电后第一件事是找AC找到之后建立一条CAPWAP隧道然后从AC那里领配置下来。这套机制的好处很直接配置集中改一次全网生效不用逐台登录AP零配置上线插上网线就能干活运维门槛大幅降低漫游体验统一同一个AC下的AP共享同一套安全上下文终端在AP之间移动时不需要重新认证可观测AC上能直接看到每台AP的在线状态、关联用户数、信道和噪声。代价也很明确AC成了单点AC挂了整个无线网就瘫。所以真实项目里才要做双AC热备、要做AC的冗余链路这些我在后面第6节会专门讲。在eNSP里搭这套东西设备选择大概是一台AC模拟器里有专门的AC设备、若干台AP比如双频的AP4050DN这类、一台接入交换机、一台汇聚或路由器做出口加上DHCP服务和PC用来验证。别小看这个精简版它已经能覆盖真实项目90%的配置逻辑。1.3 二层直连、二层旁挂、三层旁挂怎么选AC放在哪儿是WLAN组网里第一个需要拍板的决策直接决定了后面VLAN怎么划、DHCP放哪儿、CAPWAP怎么建。二层直连是最简单的一种AC串在AP到出口的必经之路上AP和AC的管理地址在同一个VLAN、同一个广播域。优点是配置最简单CAPWAP建链基本不会失败适合小型网络。缺点是AC成了流量必经节点一旦AC宕机有线业务也跟着受影响。二层旁挂是我在这个项目里用的方案AC挂在核心或汇聚交换机的旁边AP的流量不经过AC直接转发模式下但AP和AC的管理接口在同一个二层广播域里AP通过广播就能发现AC。这种方案兼顾了简单和灵活是中小型项目里最常见的做法。三层旁挂把AC放到另一个网段AP和AC跨三层通信这时候AP靠广播就找不到AC了必须靠DHCP的option 43字段把AC的IP地址告诉AP。这种方式扩展性最好适合AP分散在多个楼层、多个网段的大中型场景但配置复杂度和排错难度都上了一个台阶。组网方式AC位置AP发现AC方式适用规模主要坑点二层直连AP上行路径上二层广播小型AC是流量瓶颈单点风险高二层旁挂核心/汇聚旁侧二层广播中小型需保证管理VLAN双向放通三层旁挂独立网段DHCP option 43中大型option 43格式易写错提示在eNSP里练手建议先把二层旁挂跑通再改成三层旁挂对比一次。两者的差异集中在DHCP option 43和AC的管理接口上其余配置几乎一样对比着做理解最快。1.4 VLAN与地址规划的底层逻辑不管哪种组网方式VLAN规划都是绕不开的。WLAN场景里至少需要两类VLANAP管理VLAN和业务VLAN。管理VLAN承载AP和AC之间的CAPWAP控制报文业务VLAN承载终端用户的数据流量两者分开的好处是管理面不会被用户流量冲击也便于做安全隔离和QoS策略。我在这个项目里用的是管理VLAN 100、业务VLAN 20。地址段分配上管理网段留192.168.100.0/24业务网段留192.168.20.0/24。为什么管理网段要单独占一个C段因为一台AP至少占一个地址未来做双AC、做网管服务器、做AP的备用地址这个段还要不断往里加东西留足空间比较稳妥。业务网段的地址池大小要按峰值并发终端数 × 1.2来估这个1.2是给地址续租和临时设备留的余量。比如一个办公区峰值300台终端在线那业务池至少给到360个地址也就是/23510个可用比较舒服硬撑一个/24254个会在高峰期出现连上了但拿不到IP的问题。这个坑我踩过当时业务池按/24划的下午三点全员开会一堆人喊网连不上。2. eNSP环境准备与拓扑落地2.1 模拟器里那些容易被忽略的准备动作eNSP装好之后有几个坑必须先绕过去。第一是设备启动顺序AC和交换机要全部启动完毕再启动APAP比AC先上电的话它会一直发广播找AC找不到就进入重试状态虽然理论上AC起来之后AP会自动重连但在模拟器里这个过程可能很慢等得人心慌。第二是虚拟网卡和Cloud设备如果你要验证真实终端接入得用Cloud把模拟器里的网络桥接到本机的无线网卡上这一步经常因为本机网卡被占用或者防火墙拦截而失败。第三是最容易被忽略的一点——给模拟器足够的内存和时间。AP设备在eNSP里启动本身就慢一台AP从开机到射频就绪可能要一两分钟同时开四五台AP机器配置一般的话会非常卡。我一般习惯是先把所有设备启动起来去泡杯茶回来再开始敲配置着急连敲容易把命令敲到还没启动完的设备上白敲一遍。还有个小技巧把拓扑里的设备命名改成有含义的名字比如AC1、SW-Core、SW-Access、AP-1F-East别用默认的Device1、Device2。这个习惯在拓扑超过五个节点之后回报巨大尤其是排错的时候你一眼就能知道是哪台设备出了问题。2.2 拓扑骨架怎么搭这个项目的拓扑按二层旁挂来搭骨架是这样一个层次出口用一台路由器做NAT和上网出口下面接一台核心交换机核心交换机旁挂AC同时下联接入交换机接入交换机下面挂AP再加一到两台PC作为有线侧的验证终端。连线的时候有几个细节值得注意。AC和核心交换机之间走Trunk放通管理VLAN 100和业务VLAN 20接入交换机上联核心走Trunk同样放通这两个VLANAP接在接入交换机的某个端口上这个端口要配成TrunkPVID设成管理VLAN 100同时放通业务VLAN 20。为什么AP口要用Trunk而不是Access因为AP和AC之间要跑管理VLANAP下挂的终端要跑业务VLAN一个端口承载两个VLAN只能是Trunk。这里有个非常经典的新手错误把AP口配成Access并划进管理VLAN结果AP能上线但终端连上SSID就是拿不到地址。原因很简单业务VLAN的流量被Access口挡掉了根本到不了交换机。这个现象在模拟器和真机上一模一样我见过不止一个同事在这上面耗半天。2.3 有线侧基础配置VLAN、Trunk与DHCP配置的顺序我习惯是从下往上——先把有线侧的VLAN、Trunk、地址池都配好验证有线Side能通再接AP。这样出错的时候范围小容易定位。核心交换机上先建VLANvlan batch 20 100AC和核心之间的Trunk口interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 20 100接入交换机上联口同理AP接入口interface GigabitEthernet0/0/2 port link-type trunk port trunk pvid vlan 100 port trunk allow-pass vlan 20 100然后在AC作为管理网段和业务网段的网关上配地址和DHCPdhcp enable ip pool ap-pool network 192.168.100.0 mask 255.255.255.0 gateway-list 192.168.100.1 dns-list 223.5.5.5 excluded-ip-address 192.168.100.1 192.168.100.50 ip pool user-pool network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 223.5.5.5 interface Vlanif100 ip address 192.168.100.1 255.255.255.0 dhcp select global interface Vlanif20 ip address 192.168.20.1 255.255.255.0 dhcp select global管理池里排除掉前50个地址是留给AC、预留AP静态地址和网管设备用的这是运维习惯也是真实项目里的通行做法。2.4 上线前的连通性自检清单在动AC的无线配置之前一定要做一遍自检不然AP不上线的时候你分不清是网络没通还是无线配置错了。自检项我列一下每次项目我都按这个走AC的Vlanif100能不能ping通自己接口是否UP接入交换机到核心、核心到AC的Trunk是否放通了VLAN 100和20AP接入口的PVID是不是100VLAN 20有没有放通把一台PC接到AP所在交换机的同一个VLAN里能不能从AC的DHCP拿到100网段的地址AC上有没有开capwap source interface Vlanif100这一步没做的话AP永远找不到AC。最后这一条是最容易漏的。CAPWAP源接口决定了AC用哪个地址跟AP通信不配的话AC不知道该拿哪个IP去应答AP的发现请求AP就会一直卡在寻找AC的状态。3. AC侧无线业务配置全流程拆解3.1 CAPWAP源接口与AP上线参数无线配置的第一步永远是确定CAPWAP的源接口capwap source interface Vlanif100这条命令的作用是告诉AC所有跟AP通信的报文源地址都用Vlanif100的IP。AP收到应答之后就会用这个地址作为隧道的对端。二层组网的环境里AP靠广播就能找到AC不需要option 43。接着进入WLAN视图设置AP的认证模式wlan ap auth-mode mac-auth认证模式有三档不认证no-auth、MAC认证、SN认证。不认证意味着任何AP接进来都能上线实验室里图省事可以这么干真实项目里绝对不行——那样谁抱一台AP插到你的网口上都能接管你的无线配置。MAC认证是中型项目最常用的方式把AP的MAC地址提前录进AC的白名单只有名单里的AP才能上线。SN认证更严格一些按设备序列号来认适合对安全要求高的场景。我的习惯是即使在做实验也用MAC认证把先录MAC再上电这个流程练成肌肉记忆因为真实项目里AP到货之后第一件事就是抄MAC地址做台账。3.2 AP认证与白名单录入录入AP的操作分两步先离线添加再让AP上线ap-id 1 ap-mac 00e0-fc12-3456 ap-name AP-1F-East ap-group name defaultap-id是AC内部的编号只在本机有效随便给但建议按物理位置编排比如1F东、1F西、2F东后面查问题方便。ap-name是显示名也按位置起名。ap-group是AP组这个很关键——后面所有的模板都是绑到AP组上的同一个组里的AP共享一套配置。真实项目里AP组通常按区域划分比如办公区一个组、会议室一个组、仓库一个组因为不同区域的射频策略、SSID、甚至VLAN都可能不一样。我见过把所有AP都塞进default组的配置结果后来要给会议室单独加一个高密SSID全组AP都被迫跟着改动静特别大。所以哪怕现在只有一个区域我也建议按区域建组为扩展留余地。3.3 射频、SSID、安全模板的配置顺序AC上的无线配置是由一堆模板拼起来的新手最容易懵的就是不知道先配哪个。我总结的顺序是域管理模板 → SSID模板 → 安全模板 → VAP模板 → 绑定到AP组。这个顺序是从底层约束到业务呈现逐层往上叠。域管理模板管国家码直接决定AP能用哪些信道、发射功率上限是多少regulatory-domain-profile name cn-profile country-code cn ap-group name default regulatory-domain-profile cn-profile国家码配错的后果很有意思AP能上线SSID也能发出来但5G频段的部分信道用不了终端搜不到5G信号你会以为是终端的问题。所以这个模板虽然只有一行配置但优先级最高。SSID模板就是发出去的那个无线名字ssid-profile name ssid-office ssid Office-WLAN安全模板决定认证方式和加密算法生产环境一般用WPA2-PSK或者WPA2-Enterprisesecurity-profile name sec-office security wpa-wpa2 psk pass-phrase YourPass2024 aes密码别用纯数字也别用公司名加123这种PSK密码泄露是无线安全最常见的入口。真实项目里我一般要求密码至少12位含大小写和符号并且按区域区分——办公区一个密码、访客区一个密码访客区的做定期轮换。3.4 VAP模板绑定与业务下发VAP模板是把前面几个模板串起来的那一层同时还决定了转发模式和业务VLANvap-profile name vap-office forward-mode tunnel service-vlan vlan-id 20 ssid-profile ssid-office security-profile sec-officeforward-mode这个参数值得单独说一下。隧道转发tunnel意味着终端的数据要封装进CAPWAP隧道先送到AC再由AC转发出去直接转发direct意味着数据在AP本地就打上VLAN标签直接扔进接入交换机不经过AC。隧道转发的好处是数据集中策略好做AC能看所有流量坏处是AC变成流量瓶颈而且AP到AC这段要扛全部用户流量。直接转发的好处是路径短、AC压力小适合大流量场景坏处是AC看不到用户数据做流控和审计要靠别的设备。中小项目里隧道转发用得更多因为配置简单、策略集中大型项目里直接转发更常见尤其是视频、大文件传输多的场景。最后一步是把VAP绑到AP组ap-group name default vap-profile vap-office wlan 1 radio allwlan 1是VAP的编号一个AP组可以绑多个VAP实现多SSID。radio all表示2.4G和5G都发这个SSID。模板类型作用关键参数常见错误域管理模板国家码、信道功率约束country-code国家码错导致5G信道缺失SSID模板无线网络名称ssid中文SSID兼容性差安全模板认证与加密认证方式、密码用WEP或TKIP等弱算法VAP模板转发模式与业务VLANforward-mode、service-vlanVLAN未在链路上放通AP组模板的载体组成员全部塞进default组3.5 终端接入验证与抓包观察配置下完之后AC上可以用这几条命令确认状态display ap all display station all display vap ssid Office-WLANdisplay ap all能看到每台AP的state是不是nor正常如果显示flt或者fault说明AP和AC之间有问题display station all能看到已关联的终端包括MAC、IP、所属AP、信号强度。在eNSP里验证真实终端接入是个麻烦事因为模拟器里没有虚拟无线网卡。常见做法是用Cloud设备把模拟器网络桥接到本机的无线网卡上让本机真的去连这个SSID。这个方案能跑通但稳定性一般本机网卡被其他程序占用、防火墙拦截、模拟器版本不匹配都会导致连不上。我的经验是如果只是想验证配置逻辑对不对display station all配合模拟的STA设备就够了如果要验证真实的DHCP和上网流程再上Cloud桥接并且桥接之前先把本机的无线连接断开避免冲突。想看得更细一点可以在AC和AP之间的链路上抓包看CAPWAP的控制报文UDP 5246和数据报文UDP 5247。AP上线过程中能看到Discovery Request/Response、Join Request/Response、Configuration Status 这几个阶段走完这四步才算真正上线成功。卡在某一步问题范围立刻就缩小了。4. 参数计算AP数量、带宽与PoE预算4.1 覆盖与容量AP数量怎么估很多人配AP数量是拍脑袋其实有个粗略但好用的算法先按覆盖估再按容量校核取两者的大值。按覆盖估的话普通办公区隔断多、有石膏板墙一台AP大概覆盖200到300平米开放办公区视野好能到300到400平米会议室、培训室这种高密场景不能按面积算要按人头算一般50人以上的会议室至少放两台AP而且要考虑定向天线或者吸顶布放。仓储、厂房这种高大空间金属货架多一台AP覆盖可能只有150平米还要考虑货架遮挡。按容量估的话看单AP能带多少终端。2.4G频段实际能稳定承载20到30个活跃终端5G能到40到50个。注意是活跃终端不是关联终端——一个办公室里200台设备关联着但同时发包的可能只有60台这种场景按活跃数算就够了。但如果是一个全员用视频会议的场景那就要按关联数打折。举个具体的例子一个1500平米的办公区开放工位峰值300人同时在线主要业务是办公文档、网页、视频会议。按覆盖算1500除以300等于5台按容量算300台终端其中大约70%在5G上也就是210台在5G、90台在2.4G5G每台带50个的话需要4.2台2.4G每台带25个需要3.6台双频AP一台同时覆盖两个频段综合下来取5到6台。最后我一般再加10%到20%的余量所以这个场景布6到8台比较稳妥。4.2 CAPWAP隧道与上联带宽估算带宽这块先算单AP的峰值吞吐。以802.11ac双流为例理论协商速率867Mbps实际TCP吞吐大概在400到500Mbps之间这是实验室理想值真实办公环境有干扰、有重传能跑到250到350Mbps就算不错了。如果用的是隧道转发这部分流量全部要经过CAPWAP隧道送到AC隧道的封装开销是多少IPv4外层头20字节、UDP头8字节、CAPWAP头大概16到24字节加起来44到52字节相对于1500字节的MTU开销大约3%到3.5%。所以单AP峰值500Mbps的话隧道里实际要占520Mbps左右。上联口怎么配一台千兆口能带几台AP按峰值算一台AP 500Mbps千兆口理论上带两台就满了。但实际网络不会所有AP同时跑满峰值收敛比一般取1:3到1:5。也就是说一个千兆上联口带4到6台AP是比较合理的超过这个数就要考虑万兆上联或者链路聚合。用户侧带宽就更好算了每用户保障带宽按2到4Mbps办公场景视频会议按4到8Mbps再乘以并发用户数。300人办公区按每人3Mbps算就是900Mbps的总需求这就是为什么核心到出口至少要千兆以上最好是双千兆聚合。4.3 PoE供电预算与线缆选型AP的供电基本都走PoE这块的预算经常被忽略结果装到一半发现交换机带不动。标准有两个802.3af每端口最大15.4W802.3atPoE每端口最大30W。普通双频AP的功耗一般在10到13Waf够用如果是Wi-Fi 6的高性能AP或者带外置天线、带物联网模块的功耗可能到20W以上就得上at。算预算的方法单AP功耗乘以AP数量再留20%余量。比如24口PoE交换机整机PoE预算370W带24台12W的AP就是288W余量只有80W出头看着够但如果交换机自己还要给IP电话、摄像头供电就很紧张了。我一般建议PoE预算的使用率不要超过70%留出来的部分应对AP功耗波动和后期扩容。线缆这块千兆用超五类Cat5e就够但如果是Wi-Fi 6 AP、上联要跑2.5G甚至5G就必须上六类Cat6甚至超六类。还有一个容易被忽略的点PoE供电距离。标称100米但实际带PoE的话线径细、线材差的网线在80米左右就开始出现供电不稳、AP反复重启的现象。所以布线的时候AP点位到弱电箱的距离最好控制在70米以内。4.4 信道与功率规划信道规划是无线优化里性价比最高的一件事做和不做用户体验差一个档次。2.4G频段只有1、6、11三个完全不重叠的信道所以2.4G的规划原则就是相邻AP用不同信道形成1-6-11的蜂窝结构。一栋楼里AP密集的话2.4G基本没法避免同频干扰这时候的策略是把2.4G的功率调低、把5G的功率调高引导终端优先连5G。5G频段的可用信道多得多国内常见的非重叠信道有36、40、44、48、52、56、60、64、149、153、157、161、165足够做精细规划。5G的穿透力弱覆盖半径小所以5G的AP密度要更高但也正因为穿透弱同频干扰反而好控制。功率设置上我一般遵循低功率、密部署的原则。很多项目为了省AP数量把功率开到最大结果是一个AP覆盖了一大片但边缘用户信号弱、速率低而且这个AP的信号到处飘干扰了别的AP。正确做法是把单AP功率压到中等让覆盖边界清晰终端在AP之间切换更主动。2.4G一般设10到14dBm5G设14到17dBm具体还要看现场。在eNSP里这些参数改起来很方便ap-group name default radio-2g-profile radio-2g radio-5g-profile radio-5g radio-2g-profile name radio-2g channel 20mhz 6 eirp 12 radio-5g-profile name radio-5g channel 40mhz 36 eirp 15模拟器不会真的去算干扰但把配置流程走一遍你就知道这些参数挂在哪个模板上到真机上只需要按现场勘测结果改数字。5. 常见问题与排查实录5.1 AP不上线从物理到CAPWAP逐层剥AP不上线是WLAN项目里出现频率最高的问题我一般的排查顺序是自上而下、从物理到逻辑。先看AP有没有电。eNSP里看设备是不是启动完成真机上看AP的指示灯——常亮或者慢闪是正常快闪通常是正在找AC不亮就是没供电。供电没问题再看AP能不能拿到IP。把一台PC接到同一个交换机端口看看能不能从DHCP拿到管理网段的地址拿不到就说明VLAN或者DHCP有问题。拿到地址之后看AP和AC通不通。在AC上ping AP的管理地址通不了就是二层链路的问题检查Trunk有没有放通管理VLAN、PVID对不对。通了但AP还是不上线就去看capwap source interface配了没有、配的是不是正确的接口。再往下就是认证环节。display ap all里如果AP的state显示为flt同时AC上有告警提示MAC不匹配那就是白名单里没录这台AP或者MAC地址抄错了——这种情况太常见了抄MAC的时候少一位、大小写混了、把冒号写成了短横线都会导致匹配失败。所以录入之前一定要核对两遍。还有一种隐蔽的情况AP能上线但状态一直不稳反复上下线。这通常是链路质量问题或者CAPWAP心跳超时真机上要查网线、查光模块模拟器里一般是资源不够导致设备响应慢。5.2 终端连上却拿不到地址这个问题的现象很有迷惑性手机上能看到SSID输入密码也能连上但就是获取不到IP一直转圈。根本原因通常是业务VLAN没打通。排查路径是这样的先在AC上看display station all终端有没有出现在列表里。如果出现了但IP是空的说明AP和终端之间的无线链路正常问题在DHCP或者业务VLAN。接着看AC上业务VLAN的Vlanif有没有配地址、DHCP地址池有没有绑定到这个接口display ip pool能看到地址池的使用情况。如果AC侧都正常就往回查链路AP接入口有没有放通业务VLAN、核心到接入的Trunk有没有放通、业务VLAN在整条路径上是不是连续的。我遇到过一次接入交换机上联口只放通了管理VLAN业务VLAN漏了结果全楼的终端都连不上查了两个小时。还有一种情况是地址池耗尽了。display ip pool里看Idle的数量如果是0那就是池子不够大要么扩池子要么缩短租期。5.3 能上网但体验差速率、漫游与干扰网络通了不等于好用。用户投诉网慢的时候我不会急着改配置先做三件事看终端连的是2.4G还是5G、看信号强度、看协商速率。终端赖在2.4G上不走是最常见的问题尤其是老设备。解决办法是开启频段引导band steering让双频终端优先上5G同时把2.4G的功率压低让2.4G的覆盖边界比5G小一圈终端在远处自然就切到5G了。漫游卡顿是另一个高频问题。终端在两个AP之间移动如果切换太慢视频会议就会卡一下。影响漫游的因素包括AP的功率设置功率太大导致终端舍不得切、AC上的漫游门限、以及终端自己的漫游积极性这个你控制不了。工程上的做法是适当降低功率、开启AC的智能漫游让AC主动劝信号差的终端换AP。干扰问题在模拟器里体现不出来真机上要靠频谱分析。2.4G的干扰源太多了——微波炉、蓝牙、无线键鼠、隔壁公司的AP都会造成重传率上升。判断方法是看AP的重传率和信道利用率重传率超过20%就该考虑换信道或者加AP了。5.4 排查命令与现象对照表把常用命令和现象对起来排错的时候能省不少时间现象优先查看命令常见原因AP不上线AP状态display ap all源接口未配、MAC未录AP反复上下线CAPWAP链路display capwap configuration链路丢包、心跳超时终端无IP地址池display ip pool池耗尽、VLAN未通终端速率低关联信息display station assoc-info连在2.4G、信号弱SSID搜不到VAP状态display vap ssid xxx模板未绑定、射频关闭认证失败安全模板display security-profile密码错、加密算法不匹配注意排错时别一上来就改配置。先把现象用命令固化下来截个图存着改完再对比。不然改了三处之后网络好了你都不知道是哪一处起的作用下次遇到同样问题还是不会。6. 从仿真到真实高可用与规模扩展的考虑6.1 双AC与VRRP的思路单AC是单点这一点在真实项目里必须解决。常见的方案是双AC做VRRP热备两台AC配同一个VRRP虚拟IPAP把CAPWAP隧道建到虚拟IP上主AC挂了之后备AC接管AP重新建链中断时间通常在几十秒到几分钟。这个方案的关键点在于两台AC的配置必须完全一致——AP白名单、模板、VLAN、安全策略任何一处不一致主备切换之后AP可能上不了线或者上线了但业务不对。所以真实项目里都会做配置同步或者在变更时严格按流程两台一起改。在eNSP里做双AC实验是有价值的虽然模拟器对VRRP和CAPWAP主备切换的支持不如真机完善但你能把虚拟IP怎么配、AP怎么指向虚拟IP、切换时AP会经历什么这套逻辑走通。我的建议是先把单AC玩透再上双AC不然两套变量混在一起出了问题根本分不清是哪边。6.2 三层漫游与转发模式的取舍单个AC下的漫游是同AC漫游靠AC内部协调就行比较简单。跨AC漫游就复杂了需要AC之间同步终端信息还要处理业务VLAN在不同AC上的一致性。这部分在模拟器里很难完整验证但概念要清楚跨AC漫游的本质是让终端在换了AC之后IP地址不变、安全上下文不丢。转发模式的选择也和漫游有关。隧道转发下所有流量回AC跨AC漫游时流量路径变化小漫游体验更平滑直接转发下流量在本地出跨AC漫游时网关位置可能变化需要额外处理。所以如果项目对漫游要求高隧道转发更省心代价是AC的带宽压力。6.3 仿真环境和真机的差距最后说说这个项目里我最想分享的一点体会eNSP能教会你架构和配置逻辑但它教不了你现场感。模拟器里AP摆哪儿都行信号永远满格没有墙、没有金属货架、没有隔壁的干扰源模拟器里的终端不会漫游不会因为揣在兜里信号衰减而掉线模拟器里的交换机不会因为PoE预算不够而反复重启AP。这些在真机上全是事。所以我的用法是用eNSP把配置流程和排错路径练熟用真机把射频和物理层的问题摸透。具体来说模拟器里重点练三件事——ACFit AP的完整配置链路、二层和三层组网的差异、常见故障的排查顺序真机上重点关注三件事——AP点位勘测、信道功率实测调优、PoE和布线的物理约束。两边都练过才算真的会做无线项目。还有个小建议每次做完一个WLAN项目把配置导出来存一份按拓扑配置勘测数据问题记录归档。我现在的习惯是每个项目一个文件夹里面放拓扑图、关键配置、现场照片和一份问题清单。做了十几个项目之后回头看那份问题清单比任何教材都有用因为它记的都是你自己踩过的坑。