深入理解 WLAN 无线局域网原理、CAPWAP 协议与配置实现
一、WLAN 技术概述
在传统企业网络中，终端通常通过双绞线连接接入交换机，再通过交换网络完成数据通信。这种方式虽然稳定，但需要大量物理布线，终端移动也受到网络接口和布线位置的限制。
随着移动办公、无线终端和物联网设备的普及，传统有线接入方式已经无法完全满足现代企业网络的需求。WLAN（Wireless Local Area Network，无线局域网）因此成为企业网络基础设施的重要组成部分。
WLAN 并不是简单地使用无线信号替代网线，而是在传统以太网架构之上，引入了无线射频通信、无线接入控制、终端认证、射频资源管理和无线漫游等技术。
从网络工程的角度来看，WLAN 主要解决三个问题：
-
无线接入问题： 如何让无线终端通过无线射频信号接入网络。
-
集中管理问题： 如何统一管理大量分布在不同区域的 AP。
-
数据转发问题： 无线终端接入网络后，如何将数据安全、高效地转发到目标网络。
1.1 WLAN 与 IEEE 802.11
WLAN 的核心技术标准是 IEEE 802.11。
IEEE 802.11 定义了无线局域网的 MAC 层和物理层相关规范，使不同厂商的无线设备能够按照统一标准进行通信。
与传统以太网 IEEE 802.3 相比，两者最大的区别在于介质访问方式。
以太网主要通过有线介质传输数据，而 WLAN 通过无线电波传输数据。
无线介质具有共享性，同一信道内的多个无线设备可能同时竞争信道资源，因此 WLAN 需要专门的介质访问控制机制。
传统以太网曾经使用 CSMA/CD 解决共享介质下的冲突检测问题，而 IEEE 802.11 主要使用 CSMA/CA（载波侦听多路访问/冲突避免）机制。
其基本思想是：
-
发送数据之前先监听无线信道。
-
如果信道空闲，则经过规定的等待时间和随机退避后发送。
-
如果信道繁忙，则延迟发送并继续等待。
-
接收端成功接收数据后，通常需要返回 ACK 确认帧。
-
如果发送端没有收到 ACK，则可能进行重传。
需要注意，无线环境中设备通常无法像传统有线网络那样可靠地检测碰撞，因此采用冲突避免机制，并结合 ACK 和重传提高通信可靠性。
1.2 WLAN 的频段与信道
WLAN 的无线通信主要使用以下频段：
| 频段 | 特点 | 常见应用 |
|---|---|---|
| 2.4GHz | 覆盖能力较好，但信道资源相对有限，容易受到干扰 | 普通办公、物联网设备 |
| 5GHz | 可用信道较多，通常能够提供更好的无线容量 | 企业办公、高密度无线覆盖 |
| 6GHz | 提供更多频谱资源，适用于支持相应标准的 Wi-Fi 6E、Wi-Fi 7 设备 | 高密度、高性能无线接入 |
无线网络并不是频段相同就可以随意通信，还需要考虑信道、信道带宽、发射功率和终端支持能力。
例如，在 2.4GHz 频段中，多个 AP 如果使用相互重叠的信道，就可能产生同频或邻频干扰，导致信道竞争增加，降低无线网络的实际吞吐量。
因此，在企业 WLAN 部署中，需要进行合理的信道规划，而不是简单地增加 AP 数量。
1.3 WLAN 的典型组网架构
按照无线 AP 的管理方式，可以将 WLAN 分为 FAT AP 和 FIT AP 两种典型架构。
FAT AP 架构
FAT AP 又称胖 AP。
FAT AP 能够独立完成无线业务配置、用户接入和数据转发，不依赖 AC 进行集中管理。
其特点是：
-
AP 可以独立工作。
-
无线业务直接在 AP 上配置。
-
部署方式简单。
-
AP 数量增加后，管理和维护成本较高。
适合小型办公室、家庭等无线网络规模较小的场景。
FIT AP + AC 架构
FIT AP 又称瘦 AP。
FIT AP 通常需要通过 AC 进行集中管理，由 AC 统一下发无线业务配置。
其基本架构如下：
Internet
|
Router
|
Core Switch
|
+---------+---------+
| |
AC |
| |
+---------+---------+
|
Access Switch
|
+-----+-----+
| |
AP1 AP2
| |
Wireless Wireless
Clients Clients
在这种架构下：
-
AC：负责 AP 管理、业务控制和无线策略下发。
-
AP：负责无线信号覆盖和终端接入。
-
STA：负责通过无线方式接入网络。
-
Switch：负责 AC、AP 和上层网络之间的数据传输。
FIT AP 架构最大的优势是集中管理。
当企业部署几十台甚至几百台 AP 时，管理员不需要逐台登录 AP 修改配置，而是可以在 AC 上统一配置无线业务，再下发到对应 AP。
这也是企业级 WLAN 广泛采用 AC + FIT AP 架构的重要原因。
二、WLAN 核心概念与逻辑结构
在理解 WLAN 工作原理之前，需要先明确几个容易混淆的概念：SSID、BSSID、BSS、ESS 和 VAP。
这些概念分别描述无线网络的名称、标识、组织结构以及 AP 提供无线业务的逻辑实体。
2.1 SSID：无线网络名称
SSID（Service Set Identifier，服务集标识符）用于标识无线网络。
例如：
SSID: Huawei-Office
SSID: Huawei-Guest
SSID: Huawei-IoT
用户在手机或电脑上搜索 Wi-Fi 时，看到的无线网络名称就是 SSID。
在企业网络中，可以根据不同用户群体创建不同 SSID：
-
员工无线网络。
-
访客无线网络。
-
物联网无线网络。
不同 SSID 可以关联不同的安全策略和业务 VLAN，从而实现不同用户之间的逻辑隔离。
需要注意，SSID 只是无线网络名称，并不代表无线网络的安全认证信息。
即使知道 SSID，也不代表用户一定能够接入网络。
2.2 BSSID：基本服务集标识符
BSSID（Basic Service Set Identifier）用于唯一标识一个基本服务集。
在基础设施模式下，BSSID 通常对应 AP 无线接口使用的 MAC 地址。
例如：
SSID：Huawei-Office
AP1 BSSID：00-11-22-33-44-01
AP2 BSSID：00-11-22-33-44-02
AP3 BSSID：00-11-22-33-44-03
可以看到，多个 AP 可以广播相同的 SSID，但各自的 BSSID 不同。
因此：
-
SSID 表示用户看到的无线网络名称。
-
BSSID 表示具体的无线基本服务集。
这是理解无线漫游的重要基础。
2.3 BSS：基本服务集
BSS（Basic Service Set）是 IEEE 802.11 无线网络的基本组成单元。
在基础设施模式下，一个 BSS 通常由一个 AP 和关联到该 AP 的多个 STA 组成。
例如：
BSS 1
|
AP1
/ | \
STA1 STA2 STA3
同一个 BSS 中的无线终端通过 AP 完成无线通信。
2.4 ESS：扩展服务集
ESS（Extended Service Set）由多个通过分布式系统互联的 BSS 组成。
例如，企业办公楼中部署了多个 AP：
ESS
|
+-------+-------+
| | |
BSS1 BSS2 BSS3
| | |
AP1 AP2 AP3
| | |
STA群 STA群 STA群
如果这些 AP 配置相同的 SSID、安全参数和兼容的无线业务策略，终端就有机会在不同 AP 之间进行漫游。
需要注意：
相同 SSID 并不意味着一定能够无缝漫游。
漫游还受到无线信号质量、终端漫游决策、认证机制、网络配置以及漫游协议等因素影响。
2.5 VAP：虚拟接入点
VAP（Virtual Access Point，虚拟接入点）是 AP 上创建的逻辑无线接入点。
一个物理 AP 可以创建多个 VAP，每个 VAP 可以关联不同的 SSID、安全策略以及业务 VLAN。
例如：
| VAP | SSID | 安全策略 | 业务 VLAN |
|---|---|---|---|
| VAP1 | Employee | WPA2-PSK | VLAN 10 |
| VAP2 | Guest | Portal | VLAN 20 |
| VAP3 | IoT | WPA2-PSK | VLAN 30 |
通过 VAP，可以在同一台物理 AP 上提供多个逻辑隔离的无线接入业务。
这里需要建立一个重要的认识：
SSID 是无线网络的名称，VAP 是 AP 上承载无线业务的逻辑接入实体，两者不是同一个概念。
2.6 核心概念之间的关系
| 概念 | 主要作用 | 所处层面 |
|---|---|---|
| SSID | 标识无线网络名称 | 无线网络标识 |
| BSSID | 标识具体 BSS | MAC 层标识 |
| BSS | 组织单个无线基本服务集 | 无线网络结构 |
| ESS | 组织多个 BSS | 无线网络结构 |
| VAP | 在 AP 上提供逻辑无线接入业务 | 业务配置 |
理解这些概念之后，就能够从逻辑层面理解一个 AP 为什么能够广播多个 SSID，以及多个 AP 为什么能够组成一个企业无线网络。
三、AC 与 AP 的管理机制：CAPWAP 协议
在 AC + FIT AP 架构中，AP 并不是启动后就能够直接提供无线业务。
AP 必须先找到 AC，并建立管理连接，之后才能接受 AC 的配置下发。
这里就涉及 WLAN 中非常重要的协议：CAPWAP。
3.1 CAPWAP 协议概述
CAPWAP 全称 Control And Provisioning of Wireless Access Points Protocol。
它是一种用于无线接入点与无线控制器之间通信的协议。
主要解决两个问题：
-
AC 如何对 AP 进行集中管理。
-
AP 与 AC 如何进行控制信息和业务数据交互。
CAPWAP 通常基于 UDP 进行传输。
常见端口：
| 通道 | UDP 端口 | 主要用途 |
|---|---|---|
| 控制通道 | 5246 | AP 管理、配置下发、状态维护 |
| 数据通道 | 5247 | 无线用户数据传输 |
CAPWAP 逻辑上分为控制通道和数据通道。
控制通道（Control Tunnel）
主要负责 AC 与 AP 之间的管理控制。
例如：
-
AP 发现和注册。
-
AP 配置下发。
-
AP 状态监控。
-
射频参数调整。
-
AP 心跳检测。
数据通道（Data Tunnel）
主要负责无线用户数据的隧道传输。
在隧道转发模式下，AP 收到 STA 的用户数据后，会将其封装到 CAPWAP 数据隧道中，再发送给 AC。
需要特别注意：
CAPWAP 控制通道与数据通道是两个不同的逻辑通道。直接转发模式下，控制通道仍然存在，只是用户业务数据通常不经过 CAPWAP 数据隧道。
3.2 CAPWAP 的封装机制
以隧道转发为例。
当 AP 收到 STA 发送的无线数据后，需要将相关业务数据封装到 CAPWAP 数据报文中。
其逻辑结构可以理解为：
+--------------------------------+
| 外层以太网头部 |
+--------------------------------+
| 外层 IP 头部 |
+--------------------------------+
| UDP 头部（目的端口 5247） |
+--------------------------------+
| CAPWAP 数据头部 |
+--------------------------------+
| 无线用户业务数据 |
+--------------------------------+
这里需要理解隧道封装的意义：
AP 不需要直接将无线用户数据按照普通以太网业务的方式发送到最终目的网络，而是先将用户数据封装到 AP 与 AC 之间的隧道中。
AC 收到报文后进行解封装，再根据对应的业务 VLAN 和转发策略处理用户数据。
这种方式可以实现无线业务的集中转发。
另外，CAPWAP 控制通道通常会使用 DTLS 提供安全保护；数据通道是否加密则取决于设备实现和具体配置，不能简单认为所有 CAPWAP 数据流量都默认加密。
3.3 AP 上线的完整过程
AP 上线是 WLAN 部署中最重要的基础流程之一。
在实际网络中，AP 上线通常包含以下阶段：
AP 启动
|
v
获取管理 IP 地址
|
v
发现 AC
|
v
建立 CAPWAP 控制连接
|
v
DTLS 安全协商（适用时）
|
v
AP 认证
|
v
配置下发
|
v
AP 初始化完成
|
v
提供无线业务
下面从工程角度逐步分析。
第一阶段：AP 获取 IP 地址
AP 启动后，需要先获得管理网络中的 IP 地址。
通常通过 DHCP 获取。
例如：
管理 VLAN：VLAN 100
管理网段：10.0.100.0/24
AP 获取 IP 地址后，才能与 AC 进行 IP 层通信。
这里需要注意，DHCP 不只是分配 IP 地址，还可以通过 DHCP Option 43 等方式向 AP 提供 AC 的发现信息。
第二阶段：AP 发现 AC
AP 获取 IP 地址后，需要找到 AC。
常见发现方式包括：
-
二层广播发现：适用于 AP 与 AC 处于满足发现条件的同一二层网络。
-
DHCP Option 43：通过 DHCP 响应向 AP 提供 AC 地址。
-
DNS 发现：通过预定义的 AC 域名进行解析。
-
静态配置：在 AP 上预先配置 AC 地址。
实际部署中，如果 AP 与 AC 跨三层网络，通常需要提前规划 AC 发现机制。
否则 AP 虽然能够获取 IP 地址，却可能始终无法找到 AC。
第三阶段：建立 CAPWAP 控制通道
AP 找到 AC 后，会尝试与 AC 建立 CAPWAP 控制连接。
控制通道建立后，AC 和 AP 才能够进行后续的管理控制信息交互。
如果网络中存在 ACL、防火墙或 NAT，需要确保相关 CAPWAP 通信能够正常通过。
第四阶段：AP 认证
AP 与 AC 建立连接后，需要进行身份认证。
常见方式包括：
-
MAC 地址认证。
-
序列号认证。
认证方式取决于 AC 的配置和设备支持情况。
认证的目的是防止未经授权的 AP 接入无线管理系统。
第五阶段：配置下发
AP 认证通过后，AC 根据 AP 组及相关配置向 AP 下发无线业务参数。
例如：
-
SSID 模板。
-
安全模板。
-
VAP 模板。
-
射频参数。
-
信道和发射功率。
-
无线业务策略。
第六阶段：AP 提供无线服务
AP 完成初始化后，根据下发的业务配置创建无线服务，并开始广播对应 SSID。
至此，AP 才真正具备向 STA 提供无线接入服务的条件。
四、STA 接入 WLAN 的工作原理
AP 上线解决的是无线基础设施如何建立的问题，而 STA 接入解决的是用户终端如何进入无线网络的问题。
STA 的接入过程涉及 IEEE 802.11 MAC 层交互、无线安全认证以及 DHCP 地址获取。
需要特别区分：
802.11 链路认证、无线关联、用户身份认证和密钥协商，并不是同一个过程。
4.1 无线扫描（Scanning）
STA 启动无线网卡后，需要先发现周围的无线网络。
主要有两种方式：
主动扫描（Active Scanning）
STA 主动发送 Probe Request 探测请求。
附近 AP 收到请求后，可以根据相关条件返回 Probe Response。
被动扫描（Passive Scanning）
STA 监听无线信道，接收 AP 周期性发送的 Beacon 帧。
Beacon 帧中包含无线网络相关信息，例如：
-
SSID。
-
BSSID。
-
支持的速率。
-
无线能力信息。
-
安全能力信息。
STA 根据这些信息判断是否选择对应的无线网络。
4.2 802.11 链路认证（Authentication）
STA 发现目标无线网络后，需要进行 802.11 链路层认证。
这里的 Authentication 是 IEEE 802.11 MAC 层定义的认证过程。
它不能直接等同于企业网络中的 802.1X 用户身份认证。
例如，Open System Authentication 可以完成基础的链路认证流程，但它本身不代表无线网络已经完成可靠的用户身份验证。
4.3 无线关联（Association）
完成链路认证后，STA 会向 AP 发送 Association Request。
AP 根据相关策略进行处理。
如果允许关联，则返回 Association Response。
关联成功后，STA 与 AP 建立无线关联关系，AP 能够识别该 STA 的无线连接状态。
4.4 安全认证与密钥协商
无线网络还需要根据安全配置完成身份验证和密钥建立。
常见安全模式包括：
WPA2-PSK
适用于使用预共享密钥的无线网络。
STA 和无线网络使用预先配置的共享密码完成认证及后续密钥协商。
WPA2-802.1X
适用于企业级无线认证。
通常通过 802.1X 和 EAP 完成用户身份认证，并配合 RADIUS 服务器验证用户身份。
典型架构：
STA
|
| EAPOL
|
v
AP
|
| 认证请求
|
v
AC
|
| RADIUS
|
v
RADIUS Server
其中：
-
STA：发起认证。
-
AP：提供无线接入和认证报文承载。
-
AC：根据设备架构承担认证控制和策略处理。
-
RADIUS：负责用户身份验证。
需要注意，具体认证报文由 AP、AC 如何处理，取决于 WLAN 架构和认证模式。
认证通过后，还需要完成相应的密钥协商，建立安全的数据传输关系。
4.5 DHCP 获取 IP 地址
完成无线接入后，STA 还需要获得网络层地址。
通常通过 DHCP 完成。
DHCP 地址获取过程包括：
STA DHCP Server
| |
|------ Discover -------->|
| |
|<------- Offer ----------|
| |
|------ Request --------->|
| |
|<-------- ACK -----------|
获取 IP 地址后，STA 才能正常进行 IP 层通信。
例如：
IP 地址：10.0.10.100
子网掩码：255.255.255.0
默认网关：10.0.10.1
DNS：根据实验规划配置
因此，一个无线终端能够搜索到 SSID，不代表它已经真正接入企业网络。
完整的接入需要经过无线发现、认证、关联、安全协商以及 IP 地址获取等多个环节。
五、WLAN 数据转发机制
在 AC + AP 架构中，数据转发方式是一个非常重要的设计点。
不同的转发模式会直接影响业务流量路径、VLAN 部署方式、AC 性能压力以及网络故障排查方式。
常见转发方式包括：
-
直接转发（Direct Forwarding）。
-
隧道转发（Tunnel Forwarding）。
5.1 直接转发（Direct Forwarding）
直接转发也称为本地转发。
在这种模式下，AP 收到 STA 的用户数据后，会在本地进行相应的处理，再将用户业务数据转发到 AP 上联的交换网络。
数据路径：
STA
|
| 无线数据
v
AP
|
| 本地转发
v
LSW2
|
v
LSW1
|
v
Router
|
v
目标网络
这里需要注意：
AP 与 AC 之间仍然可以通过 CAPWAP 控制隧道进行管理通信，但用户业务数据不需要经过 AC 的 CAPWAP 数据隧道。
直接转发的优点：
-
用户业务数据不需要集中经过 AC。
-
降低 AC 的数据转发压力。
-
业务流量可以在接入交换网络中直接转发。
-
适合大规模无线终端和大流量业务场景。
直接转发的部署要求：
由于业务数据从 AP 本地进入交换网络，因此 AP 上联交换机必须能够正确承载无线业务 VLAN。
例如：
AP 管理 VLAN：100
无线业务 VLAN：10
AP 的管理通信使用 VLAN 100，而 STA 的业务数据通过 VLAN 10 进入有线网络。
如果 AP 上联接口没有正确放行 VLAN 10，即使 STA 已经成功连接 SSID，也可能无法正常获取业务地址。
5.2 隧道转发（Tunnel Forwarding）
隧道转发也称为集中转发。
在这种模式下，AP 收到 STA 的用户数据后，会将其封装到 CAPWAP 数据隧道中，发送给 AC。
AC 解封装后，根据对应业务策略进行转发。
数据路径：
STA
|
v
AP
|
| CAPWAP 数据隧道
|
v
AC
|
v
LSW1
|
v
Router
|
v
目标网络
隧道转发的优点：
-
无线用户业务集中经过 AC。
-
便于集中实施业务策略。
-
有利于统一控制用户业务流量。
-
适合需要集中转发和统一管理的场景。
隧道转发的部署要求：
AP 与 AC 之间必须具备稳定的 CAPWAP 数据通道。
同时，需要确保 AC 的业务出口链路、业务 VLAN、转发能力和相关策略配置正确。
5.3 两种转发方式的深度对比
| 对比项目 | 直接转发 | 隧道转发 |
|---|---|---|
| 用户数据转发位置 | AP 本地 | AC 集中 |
| 用户数据是否经过 AC | 通常不经过 | 经过 |
| CAPWAP 控制通道 | 使用 | 使用 |
| CAPWAP 数据通道 | 通常不承载用户业务 | 承载用户业务 |
| AC 转发压力 | 较低 | 较高 |
| AP 上联业务 VLAN | 需要正确透传 | 通常不需要透传用户业务 VLAN |
| 业务控制位置 | 分布式转发 | 集中式转发 |
这里有一个容易出现的误区：
直接转发并不代表 AP 与 AC 之间不再需要 CAPWAP。
AC 依然负责管理 AP，只是用户数据不再通过 AC 集中转发。
5.4 如何选择转发模式？
实际工程中，需要结合网络规模、流量模型、业务安全和设备性能进行选择。
适合直接转发的场景：
-
AP 数量较多。
-
无线业务流量较大。
-
希望降低 AC 数据转发压力。
-
接入交换网络能够完成业务 VLAN 的合理规划。
适合隧道转发的场景：
-
需要集中控制无线用户业务。
-
需要统一实施访问控制策略。
-
需要将无线业务集中引入指定网络出口。
-
AC 的转发性能能够满足业务要求。
实际项目中，不能简单认为哪种模式更先进，而应该根据业务需求进行架构设计。
六、华为 WLAN 模板化配置体系
理解 WLAN 的工作原理后，接下来就是配置实现。
华为 WLAN 采用模板化管理方式，将无线业务拆分成多个逻辑模块。
这样做的优势是：
-
降低配置复杂度。
-
提高配置复用率。
-
便于统一修改无线业务参数。
-
便于对不同 AP 进行差异化管理。
本次实验主要涉及三个模板：
-
SSID 模板。
-
安全模板。
-
VAP 模板。
6.1 SSID 模板
SSID 模板主要用于定义无线网络名称。
本次实验配置：
模板名称：wlan-ssid
SSID 名称：huawei
SSID 模板负责定义用户能够搜索到的无线网络名称。
6.2 安全模板
安全模板主要用于定义无线网络的安全认证和加密参数。
本次实验配置：
模板名称：wlan-sec
无线密码：huawei@123
实验中使用预共享密钥方式进行安全配置。
在生产环境中，建议根据用户规模和安全要求采用 WPA2-Enterprise 或 WPA3-Enterprise 等企业级安全方案，并结合 RADIUS 服务器实现身份认证。
6.3 VAP 模板
VAP 模板是无线业务配置中的重要组成部分。
它负责将 SSID、安全策略和业务 VLAN 等参数组合起来，形成 AP 上实际提供的无线接入业务。
本次实验配置：
模板名称：wlan-vap
转发模式：直接转发
业务 VLAN：VLAN 10
SSID 模板：wlan-ssid
安全模板：wlan-sec
VAP 模板将前面创建的 SSID 模板和安全模板进行引用，使无线业务参数能够形成完整的业务配置。
6.4 三大模板之间的关系
SSID 模板
|
| 定义无线名称
|
v
VAP 模板
^
|
| 引用
|
安全模板
VAP 模板
|
| 配置转发模式
| 配置业务 VLAN
v
AP 应用
|
v
无线业务
从配置逻辑上看：
-
SSID 模板解决无线网络叫什么。
-
安全模板解决无线网络如何进行安全认证。
-
VAP 模板解决无线业务如何组织、使用哪个 VLAN，以及采用什么转发模式。
最终需要将相关 VAP 业务配置关联到 AP 组或对应 AP，才能让 AP 真正提供无线接入服务。
七、eNSP 实验拓扑与配置实现
7.1 实验拓扑分析
本次实验使用华为 eNSP 搭建 WLAN 网络，拓扑包含以下设备：
| 设备 | 作用 |
|---|---|
| AR1 | 路由器，负责上层三层网络通信 |
| LSW1 | 上层交换机，连接 AC 和下层交换机 |
| LSW2 | 接入交换机，连接 AP |
| AC1 | 无线控制器，负责 AP 集中管理 |
| AP1 | 无线接入点 |
| STA1 | 无线终端 |
拓扑连接关系：
AR1
|
|
LSW1
/ \
/ \
AC1 LSW2
|
|
AP1
)))
)))
STA1
该实验采用 AC + FIT AP 架构。
AC1 连接到 LSW1，AP1 通过 LSW2 接入有线网络，STA1 通过无线方式接入 AP1。
从拓扑可以看出，AC 和 AP 并不是直接物理连接，而是通过交换网络进行通信。
这意味着在实际配置中，必须确保管理 VLAN 的二层或三层通信路径正确。
7.2 VLAN 与 IP 地址规划
根据拓扑中的规划，实验涉及两个 VLAN：
| VLAN | 网段 | 用途 |
|---|---|---|
| VLAN 10 | 10.0.10.0/24 | 无线终端业务网络 |
| VLAN 100 | 10.0.100.0/24 | AP 管理网络 |
VLAN 100：管理网络
主要负责 AP 与 AC 之间的管理通信。
AP 获取管理 IP 后，通过管理网络发现 AC，并建立 CAPWAP 控制隧道。
管理网络需要保证：
-
AP 能够获取管理 IP。
-
AP 与 AC 之间 IP 可达。
-
CAPWAP 控制报文能够正常通过。
-
DHCP 和 AC 发现机制正常。
VLAN 10：业务网络
主要用于无线终端接入后的业务通信。
STA 成功接入无线网络后，需要从 VLAN 10 对应的 DHCP 地址池中获取 IP 地址。
例如：
业务 VLAN：10
业务网段：10.0.10.0/24
这种管理 VLAN 与业务 VLAN 分离的设计，可以有效区分设备管理流量和用户业务流量。
7.3 实验配置实施流程
本次实验建议按照以下顺序进行配置。
第一步：交换机创建 VLAN
在 LSW1 和 LSW2 上创建 VLAN 10、VLAN 100。
根据接口连接关系配置交换机接口类型。
其中需要特别关注：
-
AP 管理 VLAN 100 的通信。
-
直接转发模式下业务 VLAN 10 的透传。
-
AC 与 AP 之间的网络可达性。
对于直接转发场景，AP 上联接口必须能够承载管理 VLAN 和业务 VLAN。
第二步：配置管理网络
为 AC 和 AP 规划管理 IP 地址。
AP 可以通过 DHCP 获取管理地址。
同时，需要确保 AC 的管理接口与 AP 之间具备三层通信能力。
第三步：配置 AC 发现机制
根据 AP 与 AC 的网络位置选择合适的发现方式。
如果处于同一二层网络，可以使用广播发现。
如果跨越三层网络，则需要考虑 DHCP Option 43、DNS 或静态配置。
第四步：完成 AP 注册
在 AC 上配置 AP 认证方式，并将 AP 纳入管理。
AP 成功上线后，需要检查 AP 的运行状态。
第五步：创建 SSID 模板
创建 wlan-ssid 模板，配置无线网络名称：
SSID：huawei
第六步：创建安全模板
创建 wlan-sec 模板，配置无线认证及加密参数。
第七步：创建 VAP 模板
创建 wlan-vap 模板。
配置直接转发模式、业务 VLAN 10，并引用 SSID 模板和安全模板。
第八步：将无线业务下发到 AP
将 VAP 模板关联到 AP 组或指定 AP。
等待 AC 将相关配置下发到 AP。
第九步：STA 接入测试
使用 STA1 搜索 SSID 为 huawei 的无线网络。
输入无线密码，完成无线接入。
检查 STA 是否成功获取 VLAN 10 网段中的 IP 地址。
最后测试 STA 到网关以及其他网络设备的连通性。
八、WLAN 故障排查：从控制面到数据面
实际工程中，WLAN 故障通常不是单一设备问题，而是无线接入、控制管理、二层转发、三层通信等多个环节共同作用的结果。
因此，排查 WLAN 故障时，建议按照控制面和数据面两个方向进行分析。
8.1 AP 无法上线
AP 无法上线，首先需要排查 AP 与 AC 之间的管理通信。
排查顺序：
-
检查 AP 是否正常启动。
-
检查 AP 是否获取管理 IP。
-
检查 AP 是否能够发现 AC。
-
检查 AP 与 AC 之间是否 IP 可达。
-
检查 UDP 5246 控制通道。
-
检查 AP 认证是否通过。
-
检查 CAPWAP 控制连接状态。
常见故障：
| 故障现象 | 可能原因 |
|---|---|
| AP 没有 IP | DHCP 配置错误、VLAN 不通 |
| AP 有 IP 但找不到 AC | AC 发现机制错误 |
| 能发现 AC 但无法建立连接 | 路由、ACL、防火墙或 CAPWAP 通信异常 |
| 能连接但无法上线 | AP 认证失败 |
| AP 上线后业务不正常 | 模板下发、射频或业务配置异常 |
8.2 STA 无法搜索到 SSID
如果 AP 已经上线，但 STA 无法搜索到无线网络，需要检查：
-
AP 是否正确应用 VAP 模板。
-
SSID 模板是否正确引用。
-
AP 射频是否开启。
-
对应无线频段是否正常。
-
信道和发射功率配置是否合理。
-
SSID 是否被配置为隐藏。
需要注意，AP 在线并不代表无线业务一定已经正常运行。
AP 上线只是管理层面的成功，真正提供无线服务还需要完成业务配置和射频初始化。
8.3 STA 能连接，但无法获取 IP 地址
这是企业 WLAN 中非常典型的故障。
建议重点检查：
-
STA 是否完成无线认证。
-
STA 是否成功关联 AP。
-
VAP 模板中的业务 VLAN 是否正确。
-
AP 上联交换机是否放行业务 VLAN。
-
DHCP 地址池是否有可用地址。
-
DHCP Server 或 DHCP Relay 是否正常。
对于本次实验的直接转发模式，需要特别关注 VLAN 10 是否从 AP 上联交换机一直能够到达业务网关和 DHCP 服务。
8.4 STA 能获取 IP，但无法访问其他网络
此时无线接入层通常已经基本正常，应该继续检查三层网络。
排查重点：
-
STA 默认网关是否正确。
-
网关接口是否正常。
-
VLAN 10 是否存在三层网关。
-
路由表是否存在正确路由。
-
ACL 是否限制访问。
-
出口 NAT 是否正常。
-
返回路由是否正确。
这体现了一个重要的工程排障思想：
无线接入成功，不等于端到端网络通信成功。
需要将无线接入层、二层交换层、三层路由层和出口安全策略结合起来分析。
九、工程实践中的 WLAN 设计思路
学习 WLAN 不能只停留在配置层面，还需要理解企业网络中为什么要这样设计。
9.1 管理 VLAN 与业务 VLAN 分离
将 AP 管理流量与无线用户业务流量划分到不同 VLAN，可以提高网络的可管理性和安全性。
管理 VLAN 用于设备管理，业务 VLAN 用于用户通信。
这种设计可以减少管理流量与用户业务之间的相互影响，也便于通过 ACL 等技术控制不同网络之间的访问权限。
9.2 AP 部署不等于无线覆盖优化
无线覆盖不仅取决于 AP 数量，还取决于：
-
AP 部署位置。
-
发射功率。
-
信道规划。
-
信道带宽。
-
障碍物和墙体衰减。
-
同频干扰和邻频干扰。
-
终端无线能力。
如果 AP 部署过于密集，可能会产生严重的信道竞争和同频干扰。
因此，无线网络规划需要结合现场勘测和射频分析，而不是简单地增加 AP 数量。
9.3 无线漫游设计
无线漫游是指 STA 在移动过程中，从一个 AP 切换到另一个 AP 的过程。
例如：
STA
|
| 初始连接
v
AP1
|
| 用户移动
v
AP2
|
| 继续移动
v
AP3
为了保证漫游体验，通常需要考虑：
-
AP 的 SSID 和安全策略一致性。
-
业务 VLAN 和网络策略连续性。
-
无线信号覆盖重叠。
-
终端漫游决策。
-
802.11k、802.11v、802.11r 等漫游辅助机制。
其中：
-
802.11k：帮助终端获取邻近 AP 信息。
-
802.11v：提供无线网络管理和漫游引导能力。
-
802.11r：通过快速 BSS 转换机制减少漫游时的认证切换开销。
需要注意，这些标准的支持情况取决于 AP、AC 和 STA 的能力，不能认为启用相关功能后所有终端都必然实现无感漫游。
十、今日学习总结
今天学习 WLAN，最大的收获是理解了无线网络并不是一个独立的网络系统，而是建立在传统交换和路由网络基础之上的无线接入架构。
从技术体系来看，可以将 WLAN 分成四个层次：
第一层：无线接入层
由 AP 和 STA 构成，负责无线信号覆盖、无线扫描、认证和关联。
第二层：无线控制层
由 AC 和 CAPWAP 构成，负责 AP 集中管理、配置下发和状态维护。
第三层：有线承载层
由交换机和路由器构成，负责 AP、AC 之间的管理通信以及无线业务数据转发。
第四层：业务与安全层
通过 VLAN、ACL、无线认证、加密机制和 DHCP 等技术，为无线终端提供安全、可靠的网络访问能力。
今天最需要掌握的知识点如下：
| 知识点 | 核心内容 |
|---|---|
| AC | 集中管理 AP，控制无线业务 |
| AP | 提供无线信号覆盖和终端接入 |
| STA | 无线终端 |
| SSID | 无线网络名称 |
| BSSID | 基本服务集标识 |
| BSS | 基本服务集 |
| ESS | 扩展服务集 |
| VAP | AP 上的逻辑无线接入点 |
| CAPWAP | AC 与 AP 之间的通信协议 |
| UDP 5246 | CAPWAP 控制通道 |
| UDP 5247 | CAPWAP 数据通道 |
| 直接转发 | 用户数据在 AP 本地转发 |
| 隧道转发 | 用户数据通过 CAPWAP 隧道到 AC 转发 |
| SSID 模板 | 定义无线网络名称 |
| 安全模板 | 定义无线认证与加密策略 |
| VAP 模板 | 组合无线业务、VLAN 和转发模式 |
从 HCIE 的学习角度来看，不能只记住 AC、AP、STA 的定义，更重要的是能够解释完整的通信过程。
例如：
-
AP 为什么需要先获取 IP 地址？
-
AP 如何跨网段发现 AC？
-
CAPWAP 为什么要区分控制通道和数据通道？
-
为什么直接转发仍然需要 CAPWAP 控制隧道？
-
STA 为什么能够连接 SSID，却无法获取 IP？
-
为什么同一个 SSID 可以由多个 AP 提供？
-
直接转发为什么需要关注 AP 上联接口的业务 VLAN？
这些问题能够解释清楚，才算真正理解 WLAN 的工作原理。
十一、写在最后
今天从 WLAN 的基础架构出发，逐步学习了无线网络的组织方式、AC 与 AP 的管理机制、CAPWAP 协议、STA 接入流程以及两种典型的数据转发模式。
与传统有线网络相比，WLAN 增加了无线射频这一层复杂性，但底层依然离不开 VLAN、交换、路由、DHCP 和安全策略等传统网络技术。
我认为学习 WLAN 最重要的是建立完整的数据流思维：
控制面： AP 如何发现 AC、建立 CAPWAP 隧道并接受集中管理。
接入面： STA 如何发现 SSID、完成认证关联并获取 IP 地址。
数据面： 无线用户的数据如何通过直接转发或隧道转发进入有线网络。
当这三个部分能够串联起来，再结合 eNSP 完成实际配置和抓包分析，就能够从单纯的命令配置提升到真正理解无线网络架构与通信机制的层面。
后续还需要继续深入学习 WLAN 安全认证、无线漫游、射频资源管理、信道规划以及高密度无线网络部署等技术，逐步建立完整的企业级 WLAN 知识体系。
DAMO开发者矩阵，由阿里巴巴达摩院和中国互联网协会联合发起，致力于探讨最前沿的技术趋势与应用成果，搭建高质量的交流与分享平台，推动技术创新与产业应用链接，围绕“人工智能与新型计算”构建开放共享的开发者生态。
更多推荐
1
0- 0
已为社区贡献3条内容
所有评论(0)