访客 WiFi 怎么隔离才不被甲方安全部驳回？

---

---

一、开场：一个选择，决定 AC 累不累、网络卡不卡

上一课我们把办公 WiFi 用模板配出来了，不知道你有没有注意 VAP 里那条命令：forward-mode tunnel。当时我留了个扣子，这一课就来拆它。

先说个我亲历的项目。有家单位三百多号人，一开始所有 AP 都做了集中转发，业务数据全绕回 AC。平时没事，一到早上大家集中开电脑、连 WiFi，AC 的 CPU 就蹿到 80% 以上，时不时有人喊网慢。后来我们把办公网改成本地转发，AC 立刻就轻松了，投诉也没了。

转发方式解决的是一个很根本的问题：终端的数据，到底在哪转进有线网？ 是在 AP 本地直接转，还是先打个隧道绕回 AC 再转。这个选择直接影响 AC 的性能压力、AP 到交换机的 VLAN 怎么配，也决定了访客网络怎么隔离。这一课讲透。

---

二、两种转发方式：数据到底走哪条路

1. 集中转发（隧道转发 tunnel）

• 终端的业务数据和 AP 的管理流量都封装进 CAPWAP 隧道，AP 把无线数据帧打包成 CAPWAP 报文发给 AC；
• AC 收到后解封装，再把数据转进有线网络，策略、认证、NAT 都集中在 AC 上处理；
• 好处是管控集中、配置简单，AP 侧的交换机只需要放行管理 VLAN；
• 代价是所有业务流量都要绕 AC 一圈，AC 性能和 AC 到 AP 之间的带宽压力大，AC 一旦成了瓶颈，全网都慢。

2. 本地转发（直接转发 direct）

• CAPWAP 隧道只承载管理流量（注册、配置下发、射频调优），业务数据不绕 AC；
• AP 在本地把无线数据解封装，通过自己的有线口直接转进有线网络；
• 好处是业务就地转发、不占 AC 资源、延迟低，AC 挂了只要 AP 还在线，已关联的终端业务往往还能继续；
• 代价是AP 上行的交换机端口必须放行对应的业务 VLAN，策略要在网络侧做，配置和规划相对复杂一点。

3. 一张表对比

对比项	集中转发 tunnel	本地转发 direct
业务数据路径	AP→隧道→AC→有线	AP→本地有线口→有线
CAPWAP 承载	管理 + 业务	仅管理
AC 性能压力	大，易成瓶颈	小
AP 侧交换机放行	仅管理 VLAN	管理 VLAN + 各业务 VLAN
策略/NAT	集中在 AC	分散在网络侧
适用	小规模、强管控	中大规模、高并发

4. 还有个容易被忽略的点：AC 挂了会怎样

• 集中转发：业务隧道全断，AC 一宕，所有终端的业务都受影响，属于“一损俱损”，对 AC 的可靠性要求很高，通常要双机热备；
• 本地转发：CAPWAP 只走管理，AC 挂了之后，已经关联的终端数据照样在 AP 本地转，业务短时不中断，只是没法下发新配置、做不了新接入的认证，抗故障能力明显更强；
• 这也是为什么大规模园区偏爱本地转发，不光是减轻 AC 性能，更是缩小故障域，不让一台设备的问题拖垮全网。

5. 类比

• 集中转发像所有报销单都得寄回总部盖章，规矩统一，但总部一忙全公司排队，总部一停全公司没法报销；
• 本地转发像给各分公司授权，自己就能盖章入账，效率高、不压总部，总部临时出问题也不影响分公司日常，但得把权限和规矩提前交代清楚。

---

三、无线 VLAN：管理 VLAN 和业务 VLAN 别搞混

1. 两类 VLAN 各管各的

• 管理 VLAN：AP 自己用，AP 上电后通过 DHCP 拿到管理网段地址、发现并注册 AC，走的是 CAPWAP 管理流量；
• 业务 VLAN：终端用，就是 VAP 里 service-vlan 指定的 VLAN，终端连上后拿到这个网段的地址；
• 两者一定分开规划，别让 AP 管理地址和终端业务地址混在一个网段，既不安全也不好排障。

为什么管理网段这么敏感？因为 AP 的管理地址能直接登录设备、改配置，一旦和终端混在一起，任何一个连上 WiFi 的人都可能摸到设备管理入口。所以管理 VLAN 通常还要配合 ACL，只允许网管服务器和运维终端访问，普通终端根本路由不到管理网段，这是无线安全里很基础但很关键的一条。

2. 不同转发方式，VLAN 配法不一样

• 集中转发：业务 VLAN 终结在 AC，AP 到交换机这一段只透传管理 VLAN，交换机端口配置简单；
• 本地转发：业务数据要从 AP 有线口直接进网，AP 上行的交换机端口必须配置成 trunk，同时放行管理 VLAN 和所有业务 VLAN，漏放一个，对应 WiFi 就会连上却上不了网。

3. 本地转发的交换机配置

<SW> system-view
[SW] sysname AccessSW
[AccessSW] interface GigabitEthernet 0/0/1
[AccessSW-GigabitEthernet0/0/1] port link-type trunk
[AccessSW-GigabitEthernet0/0/1] port trunk pvid vlan 100
[AccessSW-GigabitEthernet0/0/1] port trunk allow-pass vlan 100 10 20
[AccessSW-GigabitEthernet0/0/1] quit

• vlan 100 是管理 VLAN，作为 PVID 让 AP untagged 上来就能拿管理地址；
• vlan 10（办公）、vlan 20（访客）是业务 VLAN，必须放行，本地转发才能通；
• 集中转发时这里只放行 vlan 100 即可，业务 VLAN 不用透传到 AP。

---

四、配置：把转发方式和业务 VLAN 落到 VAP

1. 集中转发 VAP

[AC] wlan
[AC-wlan-view] vap-profile name VAP_OFFICE
[AC-wlan-vap-prof-VAP_OFFICE] forward-mode tunnel
[AC-wlan-vap-prof-VAP_OFFICE] service-vlan vlan-id 10
[AC-wlan-vap-prof-VAP_OFFICE] quit

2. 改成本地转发

[AC-wlan-view] vap-profile name VAP_OFFICE
[AC-wlan-vap-prof-VAP_OFFICE] forward-mode direct
[AC-wlan-vap-prof-VAP_OFFICE] service-vlan vlan-id 10
[AC-wlan-vap-prof-VAP_OFFICE] quit

改成 direct 后，别忘了去 AP 上行交换机把业务 VLAN 放行，否则业务会断。

3. 验证

[AC-wlan-view] display vap-profile name VAP_OFFICE
Profile name   Forward mode   Service VLAN
VAP_OFFICE     direct         VLAN 10

关键看 Forward mode 是 direct 还是 tunnel、Service VLAN 是否正确，再到终端确认能拿到地址、能上网。

---

五、访客 WiFi 隔离：这样做才不会被安全部驳回

1. 隔离的三板斧

• 独立 SSID + 独立 VAP + 独立业务 VLAN：访客单独走 VLAN20，和办公 VLAN10 网段隔离；
• ACL 限制访问范围：访客网段只允许访问互联网，显式禁止访问内网办公网段、服务器和设备管理地址；
• 开启用户隔离 + Portal 认证：访客之间不能互访，上网走网页认证或临时账号，记录行为满足审计。

2. 访客 ACL 配置

[EG] acl 3020
[EG-acl-adv-3020] rule deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
[EG-acl-adv-3020] rule deny ip source 192.168.20.0 0.0.0.255 destination 192.168.100.0 0.0.0.255
[EG-acl-adv-3020] rule permit ip source 192.168.20.0 0.0.0.255
[EG-acl-adv-3020] quit

• 先 deny 访客到办公网段、到管理网段，最后再 permit 放行其他流量（即只让它访问公网），默认拒绝、按需放行才稳妥；
• 规则顺序不能反，一旦 permit 写在前面，后面的 deny 就不生效了；
• 配合用户隔离，访客连彼此的设备也访问不到，这正是安全检查最看重的点。

3. 类比

• 访客网络像写字楼里的访客通道：能到大堂、能出大门，但刷不开办公区的门禁，访客之间也互相进不了各自的房间。

讲个被安全检查打回的整改

有个单位图省事，访客和办公共用一个 WiFi、一个网段，安全检查时外来设备能直接访问内网共享和打印机，当场被点名。整改就是前面这套：访客独立 SSID 和 VLAN20、ACL 封内网、Portal 认证加用户隔离，AP 一台没动，只改逻辑配置，复查一次通过。

访客隔离的关键不在 AP，而在 VAP 对应的 VLAN、ACL 和用户隔离策略。

---

六、500 人的网，本地还是集中？

转发方式选型决策路径

• 几十人、AP 不多、强管控：集中转发省心，AC 完全扛得住，业务 VLAN 也不用在交换机上到处放行；
• 几百上千人、AP 多、并发高：优先本地转发，业务就地走、不压 AC，配合有线侧统一做策略；
• 实际大型园区常是混合模式：访客、需要强审计的流量走集中，办公大流量走本地；
• 选型别只看“哪种先进”，算清楚 AC 的性能余量、终端并发数和现网 VLAN 规划再定，没有绝对答案，以实际设备和业务为准。

还有个现场细节：广播、组播流量在集中转发下会被隧道统一收敛，AC 能做组播抑制；本地转发下这类报文直接在 AP 所在的二层扩散，如果业务 VLAN 划得太大、终端太多，广播风暴和大量发现报文会白白占空口。所以无论哪种转发，业务 VLAN 都不宜过大，按楼层或部门把网段切小，本身就是在减少无效广播。

---

七、配置不生效？常见问题排查

现象	命令	看到什么	判断	动作
本地转发连上没网	display vap-profile、查交换机	业务 VLAN 未放行	trunk 漏放业务 VLAN	交换机放行 VLAN
改转发后断网	display vap all	模式已切但 VLAN 没跟上	配套没改	同步改交换机放行
访客能进内网	display acl	缺 deny 或顺序错	ACL 问题	调整规则顺序
终端拿不到地址	display ip pool	业务网段无分配	VLAN/DHCP 问题	查 service-vlan、地址池
AP 注册异常	display ap all	管理 VLAN 不通	管理 VLAN 未放行	查管理 VLAN、PVID
集中转发 AC 高	display cpu-usage	CPU 持续偏高	AC 成瓶颈	改本地转发/扩容

---

八、🔧 运维视角 & 📐 设计视角

🔧 运维视角：

• 改转发方式是“两头都要动”的活：AC 改 VAP，交换机改 VLAN 放行，漏一头就断；
• 改之前先 display 备份 VAP 和交换机端口配置，变更安排在业务低峰；
• 排障先分清是管理 VLAN 问题（AP 注册）还是业务 VLAN 问题（终端上网）。

📐 设计视角：

• 管理 VLAN、业务 VLAN、访客 VLAN 在设计阶段就分清楚，地址段独立；
• 预判终端规模和 AC 性能，提前决定转发方式，避免上线后再大改；
• 访客隔离要把“独立网段 + ACL + 用户隔离 + 认证审计”当成一套整体设计。

---

九、思科对照

目的	华为	思科
集中转发	forward-mode tunnel	FlexConnect 中央交换
本地转发	forward-mode direct	FlexConnect 本地交换
业务 VLAN	service-vlan vlan-id	WLAN client vlan
访客隔离	ACL + 用户隔离	ACL + peer blocking
看 VAP	display vap all	show wlan summary

名词不同，集中/本地的设计思想和 VLAN 隔离逻辑完全一致。

---

十、小结与命令速查表

• 集中转发业务和管理都走 CAPWAP 隧道回 AC，管控集中但 AC 压力大；本地转发只走管理隧道，业务就地转、AC 轻松；
• 管理 VLAN 给 AP 注册、业务 VLAN 给终端，本地转发必须在交换机放行业务 VLAN；
• 访客隔离靠独立 VLAN + ACL 封内网 + 用户隔离 + Portal 认证；
• 选型看规模和 AC 性能，大网优先本地、强管控用集中，混合模式也常见。

本篇命令速查表：

目的	关键命令
设转发方式	forward-mode tunnel / direct
设业务 VLAN	service-vlan vlan-id
交换机放行 VLAN	port trunk allow-pass vlan
看 VAP	display vap-profile name
看所有 VAP	display vap all
看 AP 状态	display ap all
看 CPU	display cpu-usage

---

十一、思考题 & 评论区接招

💬 互动题（评论区接招）：

500 人的网，你选本地转发还是集中转发？

1. 不看资料，说说两种转发方式数据路径的区别，本地转发为什么要在交换机放行业务 VLAN？
2. 你们现网用的是哪种？AC 的 CPU 平时余量多少？
3. 访客 WiFi 是怎么隔离的？有没有被安全检查提过整改？

把你的转发方案和 VLAN 规划（打码）发在评论区，我帮你看选型和隔离策略合不合理。

---

系列导航：

• 上一课：第 47 课《AC 三大模板》
• 下一课：第 49 课《漫游与高密覆盖》
• 专栏主页：[网络工程师进阶：企业组网实战——从交换机配置到园区网交付]

我是你们的老网工。这一课你已经能独立选对转发方式、规划无线 VLAN、把访客网络隔离干净了。可现实里还有个硬骨头：人一多、AP 一多，无线就容易出问题——会议室一开大会，几百台手机同时抢一个 AP，全场掉线；AP 之间走动，切换顺不顺、重叠区该留多大？实在布不了线的角落又怎么补盲？下一课《漫游与高密覆盖》，我们接着啃。