1. 从一堆家用路由到华为ACAP方案到底怎么选先说说我为什么会去折腾华为的ACAP。早些年做小办公室、民宿、快递网点这类场景的无线覆盖图省事就用几个家用路由器做无线中继或者Mesh刚开始能用人一多就露馅走到走廊尽头信号还有两格但网页死活打不开开会的时候十几台设备一起连视频卡成PPT最要命的是漫游从会议室走到工位手机还死死拽着原来的那台设备不放要手动关一下Wi-Fi再打开才恢复。这些毛病的根源不是路由器不够贵而是家用方案天生就缺一个统一的指挥官每台设备各管各的谁也不知道隔壁那台在干什么。华为的ACAP就是冲着这个问题来的。ACAccess Controller接入控制器负责统一下发配置、管理所有AP、协调信道和功率、处理漫游APAccess Point接入点只负责把无线信号打出去、把数据回传。小到几十平的门店大到几层楼的办公区、酒店客房走廊、学校教室只要涉及多台无线设备协同这套架构就比堆家用路由器靠谱得多。这篇内容适合三类人看一是刚接触华为无线设备、手里有AC和AP但不知道怎么下手的网络运维新手二是想给自己的办公场地或者出租房源做一套稳定无线覆盖的技术爱好者三是平时主要做有线、临时被安排去配WLAN的救火队员。我会从选型思路一直讲到命令行实操把那几个真正卡人的点——AP为什么上不了线、SSID配好了为什么连不上、连上了为什么上不了网——掰开揉碎讲清楚。1.1 家用Mesh和ACAP的本质差别在哪很多人会问现在家用Mesh做得也挺好为什么要上企业级的ACAP我一般用一句话回答Mesh解决的是够不够用ACAP解决的是管不管得住。区别体现在几个地方。第一是配置下发。ACAP里你在AC上改一次SSID密码所有AP同步生效一台都不用碰Mesh虽然也能同步但节点数量一多同步链路本身就脆弱掉一个节点可能整片区域的配置都开始飘。第二是射频协调。AC能看到所有AP的实时信道占用和干扰情况可以自动或者手动把相邻AP错开到1、6、11或者不同5G信道Mesh节点之间大多是各自为战很容易出现两台设备挤在同一信道互相干扰。第三是漫游体验。企业级AP支持802.11k/v/r协议族终端在移动前就能拿到邻居AP的信息切换过程可以做到几十毫秒打电话、开视频会议基本无感家用Mesh的切换往往要几百毫秒甚至更久。第四是可管理性。AC上能看到每个AP的在线状态、每个终端的信号强度、关联时长、流量大小出了问题至少知道从哪查。不过话说回来ACAP也不是万能的。它的部署成本和调优门槛都比家用方案高需要提前规划VLAN、网段、POE供电还要有人懂命令行。所以我的建议是单间小户型、两三台设备能覆盖的场景别折腾ACAP一旦设备数量超过3台、覆盖面积跨房间跨楼层、或者对漫游和稳定性有要求就该认真考虑这套方案了。1.2 华为AC和AP的常见组合与选型对照华为的无线产品线不算少选型的时候很容易看花眼。我把常见的几个档位整理成表方便你按场景对号入座。角色常见型号定位与适用场景备注ACAC6005 / AC6605中小型办公、门店、多房间覆盖老型号但存量巨大二手市场活跃ACAirEngine 9700S 系列中大型园区、多AP集中管理性能强支持更多AP管理数量AC一体化网关路由AC合一小型分支、无独立AC预算少一层设备但扩展性受限APAirEngine 5761 / 5762 系列室内放装、吸顶安装Wi-Fi 6主流选择APAirEngine 6761 系列高密度场景会议室、报告厅三射频容量大AP面板AP如 AirEngine 5761-11W酒店客房、办公室墙面86盒安装美观带网口选型的时候我最看重两个参数AC能管理的AP数量上限和单AP的并发带机量。AC部分型号出厂自带一定数量的AP授权超出就要单独购买License这个坑很多人是买回来才发现所以下单前一定问清楚这台AC默认带几个AP授权。AP这边别只看标称速率要看它支持的空间流数量和5G频段能力——双频双流的AP在几十个人的办公环境里基本够用但如果一堆人同时开视频会议上三射频或者更高规格的型号会舒服很多。还有个细节容易被忽略AP的供电方式。吸顶AP大多走PoE供电需要交换机支持802.3af/at标准面板AP有的是PoE有的要求本地取电。如果你手上的交换机是老式百兆不带PoE的那要么换交换机要么给每个AP单独拉电源工程量差很多。1.3 数据转发方式隧道转发还是本地转发这是华为WLAN配置里第一个真正需要做决策的地方也是很多人配完发现能连上但速度慢的元凶。隧道转发tunnel的意思是终端发出的所有数据先从AP通过CAPWAP隧道封装好送到AC再由AC解封装后转发到上层网络。优点是AC能看清所有流量方便做统一的安全策略、限速、审计缺点是AC成为流量瓶颈所有数据都要绕一圈AC的性能和带宽直接决定整网速度。本地转发direct-forward的意思是AP自己把终端数据直接扔进本地接入交换机的业务VLAN不再绕到AC。优点是转发路径短、时延低、AC压力小适合流量大的场景缺点是AC看不到具体流量内容一些依赖AC集中处理的功能会受限。我的经验法则是这样AP数量少、总流量不大、需要精细管控的场景用隧道转发AP数量多、单AP流量大比如酒店、宿舍、办公区大量下载用本地转发。大部分中大型部署管理报文走隧道、业务数据走本地是性价比最高的组合。本地转发的配置关键在VAP模板上加一行并确保AP上联的交换机端口放通了业务VLANwlan vap-profile name vap-office forward-mode direct-forward注意本地转发模式下AP所连的接入交换机端口必须是Trunk并且放通业务VLAN如果漏了这一步终端会出现能关联上SSID、拿到IP、但完全上不了网的典型症状。2. 配置前的参数规划与物理准备真正开始敲命令之前规划阶段花的时间越多后面返工越少。我见过太多人是拿到设备直接进命令行配到一半发现网段冲突了、VLAN规划不合理、DHCP和AC的地址池打架只能重置重来。这一章就把规划、供电、开局三件事讲透。2.1 一张表把VLAN、网段、DHCP规划清楚无线网络至少要划分两个逻辑网络AP管理网和终端业务网。前者是AP和AC通信用的后者是给手机电脑上网用的两者必须分开否则终端广播会把AP的管理流量搅乱。我通常按下面的模板做规划你可以直接抄用途VLAN ID网段示例网关DHCP服务器说明AP管理10010.100.0.0/2410.100.0.1AC或核心交换机AP从此网段获取IP员工业务20010.200.0.0/2310.200.0.1AC或核心交换机给内部终端使用访客业务30010.300.0.0/2410.300.0.1AC或核心交换机单独限速、隔离AC管理100复用10.100.0.1--AC的CAPWAP源地址规划的时候有几个点要卡死。第一AP管理网段不要和业务网段重叠否则DHCP分配的时候会出现跨网段混乱。第二业务网段要预留足够地址一个/24只有254个可用地址办公区人多的时候不够用建议直接上/23。/23听起来奇怪其实就是把两个连续的/24合并可用地址从254涨到510。第三把DHCP做在哪里要提前定。可以在AC上做配置简单适合小规模也可以在核心交换机或独立DHCP服务器上做适合大规模、多AC场景。AC做DHCP的话AP地址池里记得加Option 43这是后面AP上线能不能成功的关键。2.2 PoE供电和布线最容易返工的地方物理层的问题往往比配置问题更难查因为它不会给你报错只会表现为AP不上线或者上网断断续续。供电方面主流吸顶AP功耗在12W到25W之间PoE交换机要么支持802.3af15.4W要么支持802.3at30W。如果AP标称峰值功耗超过15.4W而交换机只给af可能出现AP反复重启、或者射频功率打不满的情况。我在一个项目里就遇到过AP能上线但5G信号特别弱查了半天才发现是供电不足导致射频降功率。布线方面网线质量直接影响PoE损耗。理论上PoE供电距离100米但实际工程中线径细、材质差的网线在70米左右就开始掉电尤其是高功率AP。我的建议是超五类以上、纯铜线芯、单段不要超过80米跨越楼层的时候中间加个接入交换机更稳妥。安装位置也很讲究。吸顶AP最好是挂在走廊天花板或者房间中央天花板别塞在弱电箱里、别贴着金属吊顶、别紧挨着承重墙的钢筋网。这三种情况我都见过信号衰减得非常离谱用户抱怨明明装了好几个AP还是没信号一查全是位置问题。2.3 AC开局管理地址、时间和LicenseAC到手第一件事不是配WLAN而是把地基打好。先配管理地址和默认路由让它能被管理、能上网system-view sysname AC6605 vlan batch 100 200 300 interface Vlanif100 description AP_Mgmt ip address 10.100.0.1 255.255.255.0 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 100 200 300 ip route-static 0.0.0.0 0.0.0.0 10.100.0.254然后配时区和NTP。这一步很多人觉得无所谓其实时间不准会导致日志时间戳错乱、证书校验失败、故障排查时完全对不上时间线。养成习惯开局就配clock timezone BJ add 08:00:00 ntp-service unicast-server 10.100.0.254接着确认License。华为AC的管理AP数量受License限制用display license查看已激活的AP数量和授权数量。如果授权不够AP会卡在未授权状态上不了线。二手设备尤其要注意这一点我见过买回来的AC授权被前一家用完了得重新购买才能扩容。提示配置改完记得save。华为设备很多配置是running-config生效但不自动保存掉电重启后一夜回到解放前这是新手最容易吃的亏。3. AC核心配置让AP成功上线AP能不能上线是整套方案里第一个大关卡。上不了线后面SSID什么的都无从谈起。这一章我把上线的原理、配置、排查讲完整。3.1 CAPWAP与DHCP Option 43的来龙去脉AP开机之后做三件事获取IP地址、找到AC、建立CAPWAP隧道。CAPWAP是AP和AC之间的通信协议隧道建立起来之后AC才能给AP下发配置。问题出在第二步——AP怎么找到AC。如果AP和AC在同一个二层网络里AP可以广播找AC简单直接。但实际部署中AP往往分散在不同楼层的不同网段广播过不去这时候就需要DHCP Option 43告诉APAC的地址是xxx去找它。Option 43在华为AP场景下有两种常见写法。sub-option 2是直接写AC的IP地址sub-option 3是写ASCII字符串格式。我在实操中最常用的是sub-option 2dhcp enable ip pool ap-pool network 10.100.0.0 mask 255.255.255.0 gateway-list 10.100.0.1 option 43 sub-option 2 ip-address 10.100.0.1如果你的环境里用ASCII格式写法是option 43 sub-option 3 ascii 10.100.0.1。两种都可以但要注意写错格式AP会完全无视表现为AP拿到了IP但就是不上线抓包能看到它在反复发Discovery报文。配置完DHCP还要在AC上指定CAPWAP的源接口也就是AC用哪个地址和AP建立隧道capwap source interface vlanif100这一行的作用是告诉AC用Vlanif100这个地址作为隧道的本端地址。千万别漏配漏了的话即使AP能找到AC隧道也建不起来。3.2 AP认证模式与批量加白名单AC怎么判断这个AP是我的、可以接入靠的是认证模式。华为AC常见的有三种no-auth不认证谁都能上、mac-authMAC白名单认证、sn-auth序列号认证。生产环境我一律推荐mac-auth。no-auth虽然方便但意味着任何一台华为AP接进网络就会被AC接管这在安全上是不能接受的。mac-auth需要你把每台AP的MAC地址录进ACwlan ap auth-mode mac-auth ap-id 1 ap-mac 00e0-fc12-3456 ap-name AP-1F-Corridor ap-group officeAP的MAC地址贴在设备背面标签上也有的是印在内包装盒上。批量录入的时候AC一般支持通过文件导入把MAC、AP ID、AP名称、AP组整理成文本批量上传几十台AP几分钟搞定比一条条敲效率高得多。这里有一个容易踩的坑录MAC的时候格式一定要对。华为设备的MAC通常写成00e0-fc12-3456这种形式中间是短横线三段。如果你从别的地方复制来的MAC带冒号或者全大写AC可能识别不了导致AP一直上不了线。我一般会把MAC统一格式化之后再录。如果没有现成模板也可以先在AC上把认证模式设成no-auth让AP自动上线再在AC上看到每台AP的MAC然后把这些MAC导出来重新做成白名单最后切回mac-auth。这个方法在少量AP时特别顺手。3.3 验证AP上线状态与失败排查配完之后用display ap all看结果。正常上线的AP状态是nornormal未上线的是fault或者根本不在列表里。display ap all display ap online-fail-record allonline-fail-record这条命令非常有用它会告诉你AP上线的失败原因比如MAC未认证、License不足、CAPWAP建链超时等等。我排查AP上线问题基本都是从这条命令开始。常见的失败原因和对策我列个表遇到问题直接对号入座现象可能原因排查方向AP完全不在列表未上电/未连接到网络看AP指示灯检查网线和PoEAP拿到IP但不上线Option 43缺失或格式错误在AP上抓包看Discovery报文提示MAC未认证白名单没录或MAC格式错display ap all对比MAC提示License不足AP授权数量不够display license查看授权状态反复fault/nor供电不稳或链路闪断检查PoE功率和网线质量跨网段AP不上线CAPWAP源接口没配display capwap configuration还有一个隐形杀手——AC和AP之间的UDP端口被防火墙拦了。CAPWAP用UDP 5246和5247两个端口如果中间有防火墙或者ACL必须放通这两个端口否则包能出去、回复回不来AP反复超时。4. WLAN业务配置从SSID到终端能上网AP上线只是完成了管理通道真正让手机能连上用起来还得配WLAN业务。华为这套配置逻辑走的是模板化路线理解模板之间的关系你会发现其实很清晰。4.1 三件套安全模板、SSID模板、VAP模板华为WLAN业务配置的核心是三个模板我习惯叫它三件套安全模板security-profile定义加密方式、密码、认证方式管的是怎么证明你是合法用户。SSID模板ssid-profile定义对外广播的网络名管的是手机搜到的那个名字。VAP模板vap-profile把安全模板、SSID模板和业务VLAN绑在一起是一个完整的虚拟接入点管的是这个SSID用哪个网段、哪个认证、多少并发。三个模板配好之后还得把VAP模板挂到AP组或者具体AP的射频上才算真正生效。射频分为2.4Gradio 0和5Gradio 1一般两个都要挂这样双频终端才能择优连接。完整的一套配置如下wlan regulatory-domain-profile name cn country-code cn security-profile name sec-psk security wpa2 psk pass-phrase Huawei2024 aes ssid-profile name ssid-office ssid Office-WiFi vap-profile name vap-office service-vlan vlan-id 200 ssid-profile ssid-office security-profile sec-psk ap-group name office regulatory-domain-profile cn radio 0 vap-profile vap-office wlan 1 radio 1 vap-profile vap-office wlan 1这里面有几个细节值得强调。country-code一定要配而且要和实际所在地一致因为不同地区的射频法规不一样配错会导致某些信道不可用甚至AP射频异常。pass-phrase密码长度至少8位WPA2-PSK建议用字母加数字加符号的复杂组合纯数字容易被暴力破解。wlan 1的编号是VAP的序号一个射频上可以挂多个VAP比如同时广播员工和访客两个SSID编号从1开始递增。配完之后用display vap ssid all看VAP状态正常应该是ON。如果VAP是off通常是模板挂载没生效或者AP还没上线。4.2 射频调优信道、功率、频宽怎么给WLAN的稳定性一半在配置一半在射频调优。射频调优我一般分三步走先让AC自动跑一遍再看结果手动微调最后定期复检。第一步让AC自动调优。在AP组上开启自动信道和功率选择ap-group name office radio 0 auto-channel-select enable auto-tx-power-select enable radio 1 auto-channel-select enable auto-tx-power-select enableAC会周期性扫描环境给每个AP挑一个相对干净的信道和合适的发射功率。自动调优对新手很友好但要注意调优周期通常配置在凌晨或者业务低谷否则调优瞬间会有短暂断连。第二步手动微调。自动调优不是万能的尤其在密集部署里它可能会让两台相邻AP用了同一个信道。我一般会在调优结果基础上做两件事一是检查2.4G信道是否集中在1、6、11这三个互不重叠的信道上二是检查5G信道是否避开雷达信道DFS因为雷达信道碰到雷达信号会强制切换造成短暂断网。固定信道和功率的配置radio-2g-profile name radio2g channel 20mhz 1 6 11 radio-5g-profile name radio5g channel 40mhz 36 44 149 157第三步频宽的选择。2.4G建议只开20MHz因为2.4G频段本来就挤开40MHz只会加重干扰。5G可以开40MHz甚至80MHz牺牲一点穿墙能力换取更高的速率。高密度场景会议室、报告厅反而建议把频宽收窄因为宽频宽意味着占用更多频谱资源用户一多反而不够分。发射功率方面新手最大的误区是功率越大越好。功率调太高虽然覆盖变广但相邻AP之间重叠区域也变大终端会频繁在AP间来回跳而且是假漫游——看着信号满格实际速率上不去。我的经验是功率以覆盖边缘信号强度在-65dBm左右为目标相邻AP之间保证有15%到20%的重叠区就够。4.3 漫游、限速、访客网络与ACL策略基础WLAN能上网之后真正的体验优化才开始。漫游优化的核心是让终端该切的时候果断切。华为AC支持802.11k/v/r可以在VAP模板上开启vap-profile name vap-office roam-optimize同一网段内的多AP漫游终端切换时IP不变上层应用基本无感。如果AP分布在不同网段就得考虑在AC或者核心层做漫游组配置否则切换会重新拿IP、断几秒。限速是防止个别用户拖垮整网的重要手段在VAP模板上给每个客户端限速vap-profile name vap-office rate-limit client up 2048 rate-limit client down 8192上行2Mbps、下行8Mbps对普通办公和刷视频完全够用又能防止有人下大文件把整条线路占满。如果是宿舍或者合租场景限速值可以适当放大。访客网络我建议单独开一个VLAN、单独建一套模板配上更严格的限速和隔离。访客网络的配置和员工网络几乎一样只是把service-vlan换成访客VLAN、安全模板换成访客专用的密码vap-profile name vap-guest service-vlan vlan-id 300 ssid-profile ssid-guest security-profile sec-guest rate-limit client up 1024 rate-limit client down 4096ACL策略用来做访问控制。比如只允许访客访问公网、禁止访问内网服务器就在AC或者上层设备上配ACL把访客VLAN的流量限制在网关之外。这套组合下来访客用得舒心内部网络也安全。5. 常见故障排查与避坑实录配置这东西看别人配一遍觉得简单自己上手就各种问题。这一章我把自己这些年踩过的坑整理出来算是给后来人铺路。5.1 AP上线类问题速查表AP上不了线我按照从物理到逻辑的顺序排查效率最高。先看AP指示灯再看IP再看隧道最后看认证和授权。排查顺序检查项命令/方法结论1AP指示灯目视不亮没电或坏了闪红灯未上线2是否拿到IPAP Console或抓包没IP查DHCP和VLAN3能否Ping通ACAP侧测试不通查路由和ACL4Option 43display ip pool缺失则补配5CAPWAP源display capwap configuration未配则补6MAC白名单display ap all不在名单则加7Licensedisplay license不足则扩容8失败记录display ap online-fail-record按提示定位这张表我基本是背下来的实际项目里90%的AP上线问题都能在8步内定位。还有一类问题特别隐蔽AP上联的交换机端口没做Trunk或者VLAN放通不全。管理VLAN没放通AP连IP都拿不到业务VLAN没放通本地转发模式下AP上线正常但终端上不了网。我曾经在一个项目里排查了整整一下午最后发现是上联端口少放了一个业务VLAN。5.2 终端连不上、连上不能上网的定位链路这个问题比AP上线更常见因为它的层次更多。我习惯按下面这条链来走第一步终端能不能搜到SSID。搜不到看AP的VAP是否ONSSID模板是否配置正确广播是否被禁用。第二步能不能关联输密码后连上。连不上看安全模板的密码和加密方式是否和终端兼容老设备可能不支持WPA3。第三步能不能拿到IP。连上了但显示无Internet访问或者IP地址不可用看业务VLAN的DHCP是否配置、地址池是否耗尽、网关是否正确。第四步能不能上网。拿到IP了但打不开网页看AC或核心的上联是否有默认路由、DNS是否可达、是否被ACL拦了。第五步速率是否正常。能上网但特别慢看终端关联的是2.4G还是5G、信号强度多少、AP是否过载。这套链路走下来问题基本都能定性。我遇到过一个典型案例终端能连、能拿到IP、就是打不开网页查了半天发现是DNS配错了网关能Ping通但域名解析不了。所以排查的时候别忘了DNS这一环。5.3 性能与稳定性调优的经验之谈配置对了只是及格线真正拉开差距的是调优。第一控制单AP带机量。双频AP标称能带几十上百个终端但实际体验好的带机量要打个对折。如果某片区域人特别多加AP比调参更有效。第二2.4G尽量留给物联网设备。手机电脑能上5G就上5G2.4G信道窄、干扰大只适合智能家居、打印机这类低带宽设备。可以在AC上做频谱导航让终端优先连5Gvap-profile name vap-office band-steer enable第三及时清理不必要的SSID。每个SSID都会周期性发送Beacon帧SSID越多管理开销越大。我见过一个AP上挂了8个SSID光是广播帧就占了不少空口资源直接导致实际吞吐下降。第四关注AP的CPU和内存。display ap performance all能看每台AP的负载如果某台AP长期高负载要么加AP要么调整功率让它和邻居分担。第五别忽略固件版本。华为AP和AC的软件版本要匹配跨大版本可能功能不支持。升级前一定看官方版本说明别盲目刷最新版我踩过升级后某个模板命令变了的坑。6. 日常运维与容易被忽略的细节配置完成、上线跑起来只是起点后面长期运维才是真考验。6.1 版本升级、配置备份与双机热备配置备份要形成习惯。华为设备可以用save保存到本地也可以配FTP/TFTP自动备份到服务器。我一直建议配置改完立刻备份并且在变更前留一份旧配置出问题能快速回滚。版本升级要谨慎。小版本内升级一般安全跨大版本要查兼容性列表、看是否支持降级。升级时间选在业务低谷提前通知用户。双机热备是对稳定性有要求场景的标配。两台AC做VRRP主备一台挂了另一台接管AP会自动重新建立隧道。热备配置涉及HSBHot Standby通道和VRRP配置量不小但关键时刻能救命。中小企业如果预算有限至少要把配置备份和快速恢复流程准备好。6.2 日常巡检要看哪些指标我给自己定的巡检清单大概是这几项每周看一次问题基本能提前发现AP在线率display ap all看有没有fault或者失踪的AP。信道占用看有没有AP扎堆在同一信道。客户端分布看是不是所有终端都挤在一两台AP上。认证失败次数异常升高往往意味着有人在爆破密码或者终端兼容问题。流量趋势某条链路流量异常增长可能是有人在跑大流量业务。日志告警关注AP掉线、射频异常、DHCP耗尽这类关键告警。巡检这件事做的目的不是完成任务而是在用户抱怨之前发现问题。一个AP掉线三天没人管用户只会觉得这网真烂而不会去区分是设备问题还是网络问题。最后分享一个我自己的习惯每做一个WLAN项目我都会把网段规划、AP位置图、配置备份、关键命令清单整理成一个文档放在自己能随时翻到的地方。过半年再回来维护打开文档五分钟就能进入状态。这套东西看着土但真的省时间。