1. 无线控制器AC入门从零理解华为AC的配置逻辑很多刚接触企业级无线网络的兄弟第一次拿到华为ACAccess Controller无线接入控制器的时候心里是发怵的。交换机、路由器配过不少命令行也敲得挺顺手但一看到AC里那一堆WLAN相关的模板、VAP、AP组、射频参数脑子就有点转不过来。我当初也是这么过来的第一次上机实操的时候盯着屏幕愣了十几分钟不知道该从哪下手。其实华为AC的配置逻辑并不复杂它本质上就是一套“模板化”的思路。你把无线网络需要的东西拆开来看AP怎么上线、射频怎么发信号、SSID叫什么、用户怎么认证、数据怎么转发——每一个环节在AC里都有对应的模板或者配置文件。你只要把这些模板按顺序配好再让AP和这些模板关联起来无线网络就能跑起来。听起来是不是跟搭积木差不多对就是这么回事。这篇文章我打算从实际操盘的角度把华为AC的“简单配置”这件事讲透。所谓简单配置不是让你只配一个能用的网络就完事而是帮你建立一套清晰的配置框架知道每一步在做什么、为什么这么做、不这么做会怎样。适合谁看刚入行的网络运维、需要自己动手配无线的小团队IT、还有那些考了认证但缺少实操经验的朋友。我会尽量用大白话把原理说清楚同时给出可以直接参考的配置步骤和参数说明。先说一下我自己的经验背景。我在一线做网络运维和项目实施有些年头了华为的AC从早期的AC6005、AC6605到现在的AirEngine系列都摸过。不同型号、不同版本的VRP系统在命令上会有细微差别但核心逻辑是一致的。下面我以最常见的旁挂二层组网场景为主线来展开这也是中小型项目里用得最多的方式。2. 配置前的整体规划想清楚再动手比什么都重要2.1 组网方式的选择与背后逻辑在动手敲命令之前有一件事比配置本身更重要——想清楚你的AC在网络里处于什么位置。这个问题决定了后面所有配置的方向。华为AC的组网方式主要分两大类直连式和旁挂式。直连式就是AC直接串在业务链路里用户的流量必须经过AC旁挂式则是AC旁路在核心交换机旁边只负责管理AP和下发配置用户数据流量走核心交换机转发。为什么中小型项目更推荐旁挂二层组网原因很简单。直连式虽然配置直观但AC变成了业务流量的瓶颈一旦AC出问题整个无线网络就瘫了。旁挂式则把管理流量和业务流量分开了AC只处理AP的管理报文和认证相关的东西用户上网的数据直接由核心交换机转发性能和可靠性都好得多。而且旁挂式对现有网络改造最小你不需要动原来的有线网络架构把AC接上去、配好回程路由就行。具体来说旁挂二层组网的典型拓扑是这样的AC旁挂在核心交换机上AP也接在核心交换机或者接入交换机再上联到核心上AC和AP在同一个二层网络里通过VLAN互通。AC上配置一个管理用的VLAN接口AP通过DHCP获取到IP地址后通过CAPWAP协议跟AC建立隧道。用户的数据流量则由核心交换机直接转发到网关不经过AC。这个方案的好处是AC的负担轻转发效率高而且AC宕机时已经上线的用户可能还能继续用取决于具体配置不会一断全断。2.2 地址规划与VLAN设计规划阶段第二件重要的事是地址和VLAN的规划。我见过太多项目因为前期规划混乱后期排查问题的时候一头雾水。建议至少规划三个VLAN一个管理VLAN给AP用一个业务VLAN给无线用户用如果AC本身需要独立的管理地址还可以再分一个。管理VLAN和业务VLAN一定要分开这是基本原则。为什么因为AP的管理流量和用户的数据流量混在一起的话广播风暴、ARP攻击之类的问题会直接影响AP的稳定性而且排查故障的时候你根本分不清是AP的问题还是用户的问题。具体怎么分举个例子管理VLAN用VLAN 100网段192.168.100.0/24AC的管理接口地址设为192.168.100.1DHCP服务器给AP分配192.168.100.10到192.168.100.200这个范围。业务VLAN用VLAN 200网段192.168.200.0/24网关设在核心交换机上比如192.168.200.1。AC上不需要配业务VLAN的接口地址因为用户流量不经过AC。这样规划的好处是清晰、好记、好排查。注意AP的DHCP Option 43字段需要指向AC的IP地址否则AP获取到IP后不知道去找哪个AC。这个坑我踩过AP死活不上线查了半天才发现是DHCP没配Option 43。2.3 版本与License确认还有一个容易被忽略的准备工作确认AC的软件版本和License容量。华为AC的AP管理数量是受License控制的默认可能只支持几个AP如果你要管理几十个AP必须提前导入足够的License。这个在项目前期就要确认好别等到现场配置完了发现AP上不了线那就尴尬了。查看License的命令是display license导入License需要通过华为的授权文件具体操作可以查对应版本的文档。软件版本方面建议使用华为官方推荐的稳定版本不要盲目追新。新版本可能引入一些新功能但也可能带来新的bug。如果你是在生产环境部署最好先在测试环境验证一下。查看版本的命令是display version升级版本之前一定要备份配置文件命令是save然后指定文件名。3. 核心配置实操一步步把无线网络跑起来3.1 基础网络配置与AP上线好规划清楚了开始动手。第一步是AC的基础网络配置。登录AC的方式一般是通过Console口或者SSHConsole口适合第一次上电配置SSH适合远程管理。登录进去之后先进入系统视图system-view然后配置AC的管理接口。假设管理VLAN是100AC的地址是192.168.100.1/24vlan 100 quit interface Vlanif 100 ip address 192.168.100.1 255.255.255.0 quit接下来配置AC的上行口把连接核心交换机的接口设为Trunk模式允许管理VLAN通过interface GigabitEthernet 0/0/1 port link-type trunk port trunk allow-pass vlan 100 quit如果AC和AP在同一个二层网络里AP的流量会带着VLAN 100的标签到达ACAC通过Vlanif 100接口跟AP通信。如果AC和AP之间跨了三层网络那就需要配置CAPWAP源接口指定AC的IP地址并且确保AP能路由到AC。这里我们先按二层组网来配。基础网络通了之后配置AP的DHCP。如果AC本身兼做DHCP服务器可以这样配dhcp enable ip pool ap-pool network 192.168.100.0 mask 255.255.255.0 gateway-list 192.168.100.1 option 43 sub-option 2 ip-address 192.168.100.1 quit interface Vlanif 100 dhcp select global quit这里的关键是option 43 sub-option 2 ip-address 192.168.100.1这一行它告诉AP去哪里找AC。没有这一行AP获取到IP后不会自动上线。这个配置我强烈建议用全局地址池的方式比接口地址池更灵活后面扩展也方便。AP上线还需要在AC上配置CAPWAP源接口capwap source interface Vlanif 100这条命令告诉AC用哪个接口的IP地址跟AP建立CAPWAP隧道。配完之后AP应该就能自动上线了。查看AP状态的命令是display ap all如果AP的State显示为“nor”或者“fault”说明还没正常上线。正常上线的话State应该是“nor”并且能看到AP的型号、MAC地址、IP地址等信息。3.2 配置AP认证与安全策略AP上线之后默认是自动认证的也就是说任何AP只要网络通了就能上线。这在测试环境没问题但在生产环境有安全风险——万一有人拿个AP接进来也能上线怎么办所以建议配置MAC地址认证或者SN认证。MAC认证就是只允许特定MAC地址的AP上线SN认证则是根据AP的序列号来认证。配置MAC认证的方式是wlan ap auth-mode mac-auth ap-id 1 ap-mac 00e0-fc12-3456 quit这里ap-id 1是你给这个AP分配的编号ap-mac后面跟AP的MAC地址。配完之后只有这个MAC地址的AP才能上线。如果你有多个AP就重复这个步骤每个AP一个ap-id。批量配置的话可以用ap-mac后面跟多个MAC地址或者用ap-group来批量管理。实操心得MAC认证虽然安全但维护起来麻烦每次换AP都要改配置。如果AP数量多建议用SN认证因为SN是写在AP硬件里的不容易伪造而且华为的AC支持自动发现AP的SN配置起来更省事。3.3 配置WLAN业务模板SSID、安全与VAPAP上线了接下来就是配置无线业务让用户能搜到WiFi信号并连接。华为AC的WLAN配置是模板化的主要涉及几个模板SSID模板、安全模板、VAP模板。这三个模板的关系是这样的SSID模板定义WiFi的名字安全模板定义认证和加密方式VAP模板把SSID模板和安全模板绑在一起然后VAP模板再跟AP组关联。这样设计的好处是复用性强比如你有多个AP组可以用同一个SSID模板但不同的安全策略。先配SSID模板wlan ssid-profile name office-wifi ssid Office-WiFi quit这里office-wifi是模板名字Office-WiFi是用户搜到的WiFi名称。名字可以随便取但建议用有意义的英文或拼音避免中文和特殊字符有些终端对中文SSID支持不好。然后配安全模板。如果是开放网络不加密可以配成opensecurity-profile name open-sec security open quit但开放网络谁都能连不安全。一般建议用WPA2-PSK或者WPA3-PSKsecurity-profile name wpa2-sec security wpa2 psk pass-phrase YourPassword123 aes quit这里的YourPassword123是WiFi密码aes是加密算法。WPA2-PSK是目前兼容性最好的方式WPA3更安全但有些老设备不支持。如果是对安全要求高的场景比如企业办公建议用WPA2-Enterprise配合RADIUS服务器做802.1X认证这样每个用户有自己的账号密码离职后账号一删就上不了网了。接下来配VAP模板把SSID和安全模板绑在一起vap-profile name office-vap ssid-profile office-wifi security-profile wpa2-sec service-vlan vlan-id 200 quit这里的service-vlan vlan-id 200指定了业务VLAN用户的数据流量会打上VLAN 200的标签。这个VLAN必须跟核心交换机上的配置对应否则用户上不了网。最后把VAP模板跟AP组关联ap-group name default vap-profile office-vap wlan 1 radio all quitwlan 1是VAP的编号范围是1到16radio all表示2.4G和5G射频都生效。配完之后AP会自动下发配置用户就能搜到Office-WiFi这个信号了。3.4 射频参数调优与功率控制无线信号能用了但好不好用是另一回事。射频参数的调优直接影响用户体验尤其是AP密集部署的场景。华为AC默认的射频参数是自动的包括信道和功率都是自动选择。自动模式在大多数场景下够用但在高密度场景下可能需要手动干预。先说信道。2.4G频段只有1、6、11三个不重叠的信道如果AP密集自动选信道可能会选到相邻的导致干扰。这时候可以手动指定wlan radio-2g-profile name radio2g channel 20mhz 1 quit5G频段的信道多得多干扰相对小一般保持自动就行。但如果你发现某个AP的5G信号特别弱可以手动调功率radio-5g-profile name radio5g power auto quit功率自动模式下AC会根据AP的邻居关系自动调整功率避免覆盖过强导致干扰。如果自动模式效果不好可以手动设成功率值比如power 50表示50%功率。但手动设功率需要你对现场覆盖有清晰的了解否则容易调出覆盖盲区。注意射频调优不是一劳永逸的事。周围环境变化比如隔壁新装了一个AP、办公室重新装修都可能影响信号质量。建议定期用display radio-2g-profile和display radio-5g-profile查看当前射频状态必要时重新调优。4. 常见问题排查那些年我踩过的坑4.1 AP不上线怎么办AP不上线是新手遇到最多的问题。排查思路要按层次来从物理层往上查。先看AP的电源灯亮不亮不亮就是供电问题检查PoE交换机或者电源适配器。灯亮了但不闪烁可能是AP没拿到IP地址检查DHCP配置和VLAN配置。如果AP拿到了IP但不上线检查Option 43和CAPWAP源接口配置。我遇到过一个案例AP的DHCP获取到了IP但就是不上线。查了半天发现是核心交换机上管理VLAN的接口没配dhcp select global导致AP的DHCP请求被丢弃了。还有一个案例是AC的CAPWAP源接口配错了配成了业务VLAN的接口AP找不到AC。所以排查的时候一定要逐项确认物理连接、VLAN配置、DHCP配置、Option 43、CAPWAP源接口一个都不能少。4.2 用户连不上WiFi或连上没网用户连不上WiFi可能的原因很多。先看用户能不能搜到SSID搜不到就是VAP模板没生效或者射频没开。搜到了但连不上可能是密码错了或者安全模板配置有问题。连上了但没网多半是业务VLAN或者网关配置的问题。我整理了一个速查表方便大家快速定位现象可能原因排查命令搜不到SSIDVAP模板未关联AP组、射频未开启display vap-profile all连不上WiFi密码错误、安全模板不匹配display security-profile all连上没网业务VLAN不通、网关未配display vlan、display ip interface brief网速慢信号弱、干扰大、信道冲突display station all、display radio-2g-profile频繁掉线AP负载过高、漫游配置问题display ap performance4.3 漫游体验差的优化思路漫游是无线网络里比较高级的话题但中小型项目也会遇到。用户从办公室走到会议室WiFi断了重连这就是漫游没配好。华为AC支持二层漫游和三层漫游二层漫游配置简单只要AP在同一个二层网络里AC会自动处理漫游。三层漫游需要配置漫游组和隧道复杂一些。优化漫游体验的关键是让AP之间的信号覆盖有重叠但重叠区域不要太大。一般建议相邻AP的信号强度在-65dBm到-70dBm之间这样终端会在信号变弱之前主动切换到更强的AP。如果重叠区域太大终端可能会“粘”在一个AP上不切换导致网速慢。如果重叠区域太小终端走到两个AP中间时会断线重连。实操心得漫游问题很多时候是终端的问题不是网络的问题。有些老手机、便宜的手机漫游逻辑写得不好信号很弱了还不切换。这种情况你网络侧怎么调都没用只能建议用户换终端。所以排查漫游问题的时候先确认是不是所有终端都有问题如果只有个别终端有问题那大概率是终端的原因。5. 配置备份与日常维护别等出事再后悔5.1 配置文件备份与恢复配置配好了第一件事就是备份。我见过太多人配完就不管了结果AC故障重启后配置丢了或者换设备的时候发现没备份只能凭记忆重新配。华为AC的备份很简单save这条命令会把当前配置保存到默认的配置文件里。但默认配置文件只有一个如果配错了想回滚怎么办建议在关键节点手动备份多个版本save configuration.cfg这样会保存一个名为configuration.cfg的配置文件。恢复的时候用startup saved-configuration configuration.cfg然后重启AC。注意恢复配置文件会覆盖当前配置操作前一定要确认清楚。5.2 日常巡检要看哪些指标AC配好之后不是就没事了日常巡检很重要。我一般会看这几个指标AP在线数量、用户在线数量、AP的CPU和内存利用率、射频的信道利用率和干扰情况。查看AP在线数量的命令是display ap all查看用户在线数量的命令是display station all查看AP性能的命令是display ap performance。如果发现某个AP的用户数特别多其他AP用户很少说明负载不均衡可能需要调整射频功率或者加AP。如果发现某个AP的信道利用率很高说明干扰大可能需要手动调信道。这些指标不用天天看但至少每周看一次发现问题及时处理。5.3 版本升级的注意事项版本升级是运维里风险比较高的操作。升级前一定要做三件事备份配置文件、确认新版本的兼容性、准备好回滚方案。华为AC的升级一般是通过TFTP或者FTP把新版本文件传到AC上然后指定启动文件重启。升级过程中AC会重启无线网络会中断几分钟所以一定要在业务低谷期操作。升级完成后先检查AP是否全部上线用户是否能正常连接然后再观察一段时间确认没有异常。如果发现问题立即回滚到旧版本。回滚的方法跟升级类似只是指定旧的启动文件。我个人的经验是如果当前版本稳定运行没有必须升级的理由就不要轻易升级。新版本可能修复了一些bug但也可能引入新的问题生产环境稳定第一。6. 进阶技巧让无线网络更好用的几个配置6.1 配置AP的LED灯开关这个技巧很小但很实用。AP的LED灯在白天还好晚上在会议室或者酒店房间里一闪一闪的很影响休息。华为AC可以控制AP的LED灯开关wlan ap-led off quit这条命令会关闭所有AP的LED灯。如果只想关某个AP的可以先进入那个AP的视图再配。这个功能在酒店、医院病房这类场景特别有用用户反馈很好。6.2 配置定时重启释放资源AP长时间运行可能会出现内存泄漏或者性能下降的问题定时重启是个简单有效的办法。华为AC支持定时重启APwlan ap restart timer 04:00 quit这条命令会让AP每天凌晨4点自动重启。重启过程大概一两分钟对用户影响很小。但要注意如果所有AP同时重启无线网络会短暂中断所以建议分批重启或者选择业务最少的时间段。6.3 配置用户限速保证公平性如果无线网络里有用户下载大文件可能会把带宽占满影响其他人。华为AC支持基于用户或者基于SSID的限速vap-profile name office-vap rate-limit client up 4096 rate-limit client down 8192 quit这里up 4096表示上行限速4Mbpsdown 8192表示下行限速8Mbps。限速值根据实际带宽和用户数量来定一般办公场景下行8Mbps够用了如果是视频会议多的场景可以适当放宽。限速的好处是保证每个用户都有基本的带宽不会因为个别人的行为影响整体体验。6.4 配置黑白名单控制终端接入有时候需要禁止某些终端接入无线网络比如员工的私人设备或者已知有问题的终端。华为AC支持基于MAC地址的黑白名单wlan sta-mac 00e0-fc12-3456 deny quit这条命令会把MAC地址为00e0-fc12-3456的终端加入黑名单禁止它接入。白名单则是只允许列表中的终端接入其他一律拒绝。白名单更安全但维护量大适合终端数量少且固定的场景。黑名单适合临时封禁某个终端操作简单。7. 我个人在实际操作中的几点体会配华为AC这件事说难不难说简单也不简单。核心是要理解它的模板化逻辑知道每个模板的作用和它们之间的关系。我刚开始配的时候总是记不住哪个模板要先配、哪个后配后来画了一张图贴在显示器旁边配了几次就记住了。另一个体会是配置之前一定要把网络规划做好。VLAN怎么分、地址怎么规划、AP怎么命名、SSID怎么设计这些看起来是小事但直接影响后期的维护效率。我见过一个项目AP的名字全是默认的几十个AP根本分不清哪个是哪个排查问题的时候只能一个个拔网线试效率极低。后来我养成了一个习惯AP的命名规则统一用“楼层-区域-编号”的格式比如“3F-East-01”一看就知道在哪。最后说一个容易被忽略的点文档。配置完成后把网络拓扑、VLAN规划、IP地址分配、SSID和密码、AP位置这些信息整理成文档存在团队共享的地方。别觉得这是浪费时间等半年后你或者你的同事需要排查问题的时候这份文档能救命。我现在的习惯是每做完一个项目花半个小时把文档整理好后面省下来的时间远远超过这半个小时。无线网络这东西配好只是开始后面的优化和维护才是真正考验人的地方。希望这篇内容能帮你少走一些弯路把无线网络配得稳稳当当的。