1. 项目概述从零上手华为WLAN最近在整理网络设备的学习笔记发现很多刚接触企业级网络的朋友对无线局域网WLAN的配置既好奇又有点发怵。尤其是华为的设备功能强大但体系也相对复杂。我把自己这些年从踩坑到熟练的WLAN基础配置过程梳理了一下形成这份笔记。它不是什么高深的理论研究就是一个一线工程师的实操记录目标是让你看完后能独立在华为的AC无线控制器和AP接入点上从零开始配通一个安全、可用的无线网络。无论你是正在备考华为认证的网络新人还是需要临时维护公司无线网络的运维兄弟甚至是自己在家折腾企业级AP的爱好者这份以“配通”为核心的指南应该都能帮到你。我们会绕过那些冗长的协议细节直接聚焦在配置命令行和关键参数上用最直白的话解释每个步骤在干什么以及为什么这么干。2. 核心思路与拓扑设计在动手敲命令之前理清思路比什么都重要。华为WLAN的典型部署离不开“AC瘦AP”的架构。你可以把AC理解成无线网络的大脑负责统一管理、配置和转发策略而AP就是遍布各个角落的触手只负责发射无线信号和接入终端。这种架构的好处是集中管理在AC上改个配置所有AP都能同步更新运维效率极高。2.1 基础网络拓扑与地址规划一个最小化的实验拓扑通常包含以下设备一台AC可以是物理设备如AC6005也可以是ENSP模拟器中的AC组件、若干台AP同样是物理或模拟AP、一台三层交换机用于互联、以及一台DHCP服务器和一台用于测试的PC。AP和AC之间通过交换机连接它们共同所在的网络段被称为“管理VLAN”通常也是AP获取IP地址从而发现AC的VLAN。地址规划是避免后续混乱的关键。我建议至少规划三个逻辑网段管理VLAN例如VLAN 100用于AC与AP之间的CAPWAP隧道通信。AP通过DHCP在此VLAN获取地址并通过Option 43字段或DNS方式发现AC的地址。业务VLAN例如VLAN 101无线终端用户实际获取IP地址、访问网络的VLAN。这个VLAN的网关通常在三层交换机或AC上。接口地址为AC、交换机的管理接口以及互联接口分配明确的IP地址。注意在真实环境或使用华为ENSP Pro等模拟器时务必确保AP能通过DHCP正确获得管理VLAN的IP并且网络层三层路由是通的这是AP能够成功注册到AC的大前提。很多新手问题都卡在这一步。2.2 关键配置逻辑链条整个配置过程遵循一条清晰的逻辑链理解它配置时就不会迷失基础网络打通先在交换机和AC上创建VLAN配置Trunk链路放通相关VLAN确保物理和链路层连通。AC基础准备配置AC的源接口地址通常用Loopback或VLANIF接口这个地址是AP识别AC的“身份标识”。AP上线通过配置正确的DHCP Option 43或DNS记录引导AP发现AC。在AC上确认AP状态为“normal”。创建WLAN业务这是面向用户的配置包括创建SSID无线网络名称、绑定安全策略和业务VLAN。验证与调优终端连接测试并根据需要调整射频、功率等参数。3. 详细配置步骤拆解接下来我们以一个典型的办公室场景为例一步步完成配置。假设管理VLAN是100业务VLAN是101AC的地址是192.168.100.1。3.1 第一步交换机基础配置首先配置连接AP和AC的交换机假设为S5700系列。核心任务是创建VLAN并将连接AP和AC的接口配置为Trunk模式允许相关VLAN通过。# 进入系统视图 system-view # 创建管理VLAN 100和业务VLAN 101 vlan batch 100 101 # 配置连接AP的接口假设为G0/0/1 interface GigabitEthernet 0/0/1 port link-type trunk # 接口模式设为Trunk port trunk allow-pass vlan 100 101 # 允许VLAN 100和101通过 # 配置连接AC的接口假设为G0/0/24 interface GigabitEthernet 0/0/24 port link-type trunk port trunk allow-pass vlan 100 101如果AC的管理地址需要从一个三层接口获取还需要在交换机上配置VLANIF接口作为网关interface Vlanif 100 ip address 192.168.100.254 24 # 作为AP所在网段的网关3.2 第二步AC的基础网络与源接口配置登录到AC如AC6005的命令行界面。system-view sysname AC # 可选给设备命名 # 创建VLAN vlan batch 100 101 # 配置AC的源接口。AP通过这个IP地址来识别和连接AC。 # 通常使用Loopback接口因为它永远在线。 interface LoopBack 0 ip address 192.168.100.1 32 # 接下来需要将连接交换机的物理接口加入VLAN。假设AC连接交换机的接口是G0/0/1。 interface GigabitEthernet 0/0/1 port link-type trunk port trunk allow-pass vlan 100 101 # 创建业务VLAN的接口作为无线用户的网关。 interface Vlanif 101 ip address 192.168.101.1 24配置完成后使用display ip interface brief检查VLANIF和Loopback接口的IP地址状态是否为UP。3.3 第三步配置AP上线这是让无线网络“活”起来的关键一步。AP需要知道AC在哪里。方法一通过DHCP Server的Option 43字段最常用在你的DHCP服务器上可以是交换机、路由器或专用服务器为VLAN 100的作用域配置Option 43参数。Option 43的值是AC的IP地址的十六进制格式。对于IP地址192.168.100.1其十六进制表示为C0 A8 64 01。在华为交换机上做DHCP Server的配置示例如下# 在交换机上配置 dhcp enable interface Vlanif 100 ip address 192.168.100.254 24 dhcp select interface dhcp server option 43 hex C0A86401 # 关键配置告知AP AC的地址方法二在AC上配置AP认证可选但推荐为了防止非法AP接入可以在AC上设置白名单。首先查看AP的SN号通常在设备标签上然后在AC上添加# 进入WLAN视图 wlan # 添加AP指定AP的SN号和型号假设为AP4050DN ap-id 0 ap-mac 00e0-fc12-3456 # 使用AP的MAC地址标识 ap-name Office-AP1 ap-type AP4050DN # 提交配置 commit all此时给AP上电并连接到配置好的交换机接口。回到AC使用display ap all命令查看。当AP的“State”字段显示为“normal”时恭喜你AP已经成功注册到AC了。实操心得如果AP状态长时间是“download”或“fail”九成是网络连通性问题。请按顺序检查1) AP是否从正确的VLAN获取到了IPdisplay dhcp client在AP上查看2) AP能否ping通AC的源接口地址3) AC上的防火墙或安全策略是否阻止了CAPWAP端口UDP 5246和5247。3.4 第四步创建WLAN业务SSID与安全AP上线后它只是一个空的信号发射器。我们需要创建无线服务即用户能搜索并连接到的那个网络。wlan # 1. 创建安全模板定义接入认证和加密方式。这里用最常用的WPA2-PSK个人版。 security-profile name office-security security wpa2 psk pass-phrase MyOfficeWiFi123 aes # 密码建议复杂些 # 2. 创建SSID模板定义无线网络名称。 ssid-profile name office-ssid ssid Office-WiFi # 这就是用户搜到的网络名 # 3. 创建VAP模板Virtual AP将业务VLAN、安全模板和SSID模板绑定起来。 vap-profile name office-vap service-vlan vlan-id 101 # 指定业务VLAN ssid-profile office-ssid security-profile office-security # 4. 将VAP模板应用到指定的AP或AP组。这里应用到之前上线的AP 0。 ap-id 0 vap-profile office-vap wlan 1 radio all # 在AP的2.4G和5G射频上都生效 commit all这段配置完成后你的手机或电脑就应该能搜索到名为“Office-WiFi”的无线网络输入密码“MyOfficeWiFi123”即可连接。4. 核心功能进阶与优化配置基础网络通了但一个健壮的商用网络还需要更多考虑。下面分享几个提升体验和安全的进阶配置。4.1 射频调优与信道规划默认情况下AP的射频参数是自动的但在AP密集部署的环境如办公区、会议室手动规划能大幅减少干扰提升稳定性。wlan # 进入指定AP的射频视图radio 0是2.4G radio 1是5G ap-id 0 radio 0 # 将信道带宽固定为20MHz减少2.4G频段的干扰 channel 20mhz # 手动指定一个相对干净的信道如6需现场扫描确定 channel 6 # 调整发射功率为中等避免信号过强产生同频干扰 eirp 15 radio 1 # 5G频段干扰少可以使用更高的80MHz带宽提升速率 channel 80mhz channel 149 eirp 20 commit使用display radio all可以查看所有AP的射频状态和信道信息。定期使用AC的频谱分析功能或手机APP如“华为智能运维”扫描环境信道使用情况是优化的重要依据。4.2 用户接入控制与限速开放的网络存在风险我们需要对接入的用户进行管理和约束。创建用户接入模板进行限速wlan # 创建一个流量模板限制每个用户的上下行速率 traffic-profile name user-limit user-rate 2048 downstream # 下行限速2Mbps user-rate 1024 upstream # 上行限速1Mbps # 在VAP模板中引用这个流量模板 vap-profile name office-vap traffic-profile user-limit基于MAC地址的接入控制黑白名单# 创建ACL规则禁止某个特定设备接入 acl name black-list 3000 # 创建高级ACL 3000 rule 5 deny source-mac 0001-0203-0405 # 拒绝此MAC地址 # 在VAP模板的安全方向调用此ACL vap-profile name office-vap access-control layer2 source acl name black-list对于允许列表只需将rule动作改为permit并在VAP模板中应用即可。4.3 无线网络隔离与访客网络在酒店、商场等场景需要隔离连接在同一SSID下的不同用户防止互访。wlan # 创建一个隔离组 traffic-profile name isolate-group traffic-segregate enable # 启用流量隔离 # 将此模板应用到VAP vap-profile name guest-vap traffic-profile isolate-group对于访客网络最佳实践是创建一个独立的SSID如“Company-Guest”绑定到一个与内网隔离的专用VLAN如VLAN 102并启用Portal认证或更复杂的限速策略确保其无法访问内部资源。5. 日常运维与故障排查实录配置不是一劳永逸的日常运维和问题排查是网络工程师的必修课。5.1 常用诊断命令速查遇到问题按顺序执行以下命令能快速定位大部分故障命令功能说明关键信息查看点display ap all查看所有AP状态State列normal为正常fault/download为异常。IP Address列确认AP获取的IP是否正确。display station ssid Office-WiFi查看连接指定SSID的所有终端查看终端MAC、关联的AP、信号强度(RSSI)、连接速率。信号强度低于-75dBm通常体验不佳。display connection ssid Office-WiFi查看指定SSID的详细连接统计查看发送/接收报文数、重传率。重传率过高10%可能意味着干扰严重。display vap ssid Office-WiFi查看指定SSID的VAP信息确认VAP状态是否为ON以及绑定的业务VLAN是否正确。display radio all查看所有射频状态关注Channel信道和Power功率设置是否合理。ping -a 192.168.100.1 192.168.100.10从AC源IP去ping AP的IP测试AC与AP之间的三层网络连通性这是AP上线的基石。5.2 典型问题排查流程问题一终端搜索不到SSID信号。检查AP状态display ap all确认目标AP状态为normal。检查VAP配置display vap确认对应AP和射频上的VAP状态为ON且SSID配置正确。检查射频开关进入AP射频视图radio 0/1使用display this查看是否有radio disable命令射频被手动关闭了。物理环境检查AP指示灯是否正常常亮或慢闪天线是否连接牢固。问题二终端能连接SSID但无法获取IP地址。检查业务VLAN配置在AC上display vap确认终端关联的VAP绑定的业务VLAN如VLAN 101。检查DHCP服务器确认该业务VLAN的DHCP服务已开启且地址池充足。可以在AC或交换机上抓包capture packet查看DHCP交互过程。检查网关互通确认业务VLAN的网关接口如AC的Vlanif 101状态为UP且与DHCP服务器之间路由可达。问题三终端上网速度慢、时断时续。检查信号强度display station ssid xxxx查看终端的RSSI值。如果低于-70dBm考虑调整AP位置或功率。检查信道干扰使用display radio all查看周边信道使用情况。2.4G频段尽量使用1、6、11这三个互不重叠的信道并优先使用5G频段。检查终端数量与带宽单个AP接入终端过多如超过30个或总带宽不足会导致拥塞。考虑增加AP密度或配置每用户限速。检查有线侧问题可能不在无线。在AC上ping业务网关和外网排查有线网络是否存在丢包或延迟。5.3 配置备份与版本升级定期备份配置是运维的好习惯。# 保存当前配置到设备flash save # 将配置文件备份到TFTP服务器假设服务器IP是10.1.1.100 tftp 10.1.1.100 put vrpcfg.zip对于AP和AC的版本升级务必先查阅官方版本的《版本升级指导书》。一般流程是从华为官网下载目标版本文件上传到AC的flash然后在AC上指定AP的升级版本并触发升级。切记要在业务低峰期进行并做好回退方案。无线网络的配置和优化是一个持续的过程没有一劳永逸的“银弹”。最好的学习方式就是结合理论在实验环境或非核心网络里大胆实践、反复调试。每次解决一个实际问题你对整个体系的理解就会加深一层。这份笔记里的命令和思路是一个坚实的起点希望能帮你少走些弯路更快地享受驾驭无线网络的乐趣。