Aruba无线AP及AC配置详解：CAPWAP隧道、三层组网与AP上线实践

简介面向无线网络运维与学习者这是一份Aruba AP/AC配置学习文档围绕profile复用机制展开帮助读者建立以AP组、Virtual AP、Wireless LAN Profiles为主线的Aruba无线网络配置框架。文档为单份doc文件包体约1.06MB便于离线查阅与打印学习发布至今已有983人学习浏览。内容从AP组入手说明如何将相同配置的AP归类管理、如何对单个AP做参数覆盖再介绍Virtual AP实现一台物理AP承载多个WLAN、向访客与员工提供差异化服务。核心部分重点拆解Aruba Profile体系SSID Profile涵盖认证加密、DTIM/Beacon间隔、速率与RTS阈值High-throughput SSID Profile控制802.11n 40MHz带宽还涉及802.11k Profile、AAA Profile、AP Profiles及QOS Profiles等模块并突出下层Profile可被多个上层Profile复用的特性从而减少配置冗余。适合网络工程师、无线运维人员系统掌握Aruba配置思路也可作为日常调优与排错的速查资料。1. 这份Aruba无线AP及AC配置文档先帮你把组网思路理顺拿到《Aruba-无线AP及AC配置.doc》这种文档多数人以为是命令手册但真正让文档值钱的是拓扑和VLAN划分那几张图和几行字。Aruba无线AP及AC配置的难点不在单条命令而在三层组网下AP怎么找到AC、业务流量走哪条路——这两件事想不通后面配置全是对着命令抄抄完照样掉线。这篇笔记解决的是企业无线最常见的痛点AP跨网段上线、SSID下发、漫游不掉线。适合刚接手Aruba设备的网工也适合给现有有线网络补无线的运维。我按自己交付项目时的顺序把它拆成一套能照着复现的做法。2. 先看懂Aruba的ACAP架构CAPWAP隧道、转发模型和组网选型2.1 CAPWAP隧道和AC发现机制AP为什么一定要找到ACAruba的AP和AC之间走的是CAPWAP协议全称Control And Provisioning of Wireless Access Points。这个协议把隧道分成两条控制隧道用UDP 5246端口数据隧道用UDP 5247端口。AP上电后做的第一件事不是广播SSID而是先把自己的控制隧道建起来找到AC并完成注册之后才会从AC拉取配置、建立数据隧道。AP找AC的优先级顺序是静态配置的AC地址 → DHCP Option43 → DNS解析 → 二层广播/组播。三层组网下AP和AC通常不在同一个广播域前三种方式才是可靠路径。很多第一次配Aruba的人会把AC地址写死在AP上但企业网络里AP数量一多挨个写静态地址不现实DHCP下发的做法才是常态。这条消息里绕不开的两个端口值得记一下。如果调试时在接入交换机上抓包看不到CAPWAP报文先检查UDP 5246是否被ACL拦了如果AP能注册但流量不通重点看数据隧道使用的UDP 5247。Aruba的AC在注册阶段还要校验证书AP默认带的是出厂自签证书AC侧必须能信任这个证书链否则AP就会卡在注册状态反复重试。2.2 集中转发还是本地转发三层组网下的流量走向差异转发模型决定业务流量怎么走这是Aruba配置里第一个要拍板的事。集中转发模式下终端的无线流量全部进CAPWAP数据隧道经由AP封装后送到AC再由AC统一交给核心交换机。好处是策略好做、排障方便、还能在AC上做集中上网行为管控缺点是所有流量都挤过AC这一道AC的吞吐上限直接变成整个无线网络的瓶颈。本地转发模式则不同AP收到流量后直接把CAPWAP隧道拆掉终端的报文从AP的物理上行口走本地VLAN进接入交换机AC只负责下发配置和控制消息。像仓库里的扫码枪、办公区的视频会议这类大流量场景本地转发明显更合理。三层组网里这个选择尤其关键集中转发时AC和核心之间跑Trunk即可业务VLAN可以只在AC侧存在本地转发时业务VLAN必须下放到AP所接的接入交换机上而且AP上行的Trunk口得放行这些VLAN少放一个就少一片终端上网。对比项集中转发本地转发数据隧道流量封装进CAPWAP送往ACAP本地拆隧道直接转发排障便利度AC上能统一抓包看会话要看接入交换机端口日志AC吞吐压力高需要按带宽选型低AC基本只跑管理面三层组网适配业务VLAN不依赖接入交换机接入交换机必须放行业务VLAN2.3 Aruba与锐捷、华三的配置哲学对照做过锐捷AC控制器配置教程或华三AC无线组网配置的人上手Aruba通常要适应两天。锐捷的控制界面里SSID和接口是并列的配置对象向导式步骤把VLAN、DHCP、SSID串在一条配置流里交互性强新手上手快。华三的无线组网配置走的是service-template这一层把服务模板和radio绑定思路也相对直观。Aruba把配置拆成了三个嵌套层次ssid-profile负责定义无线名、加密、密码、限速策略virtual-ap负责把ssid-profile挂到一个逻辑AP上ap-group负责把virtual-ap批量绑定到一组物理AP。这种分层的好处是复用性强一个ssid-profile能被多个ap-group引用一个ap-group也能同时挂多个virtual-ap做到不同楼层、不同AP发不同SSID。代价就是新手容易迷路——改了一个profile以为生效了结果那个AP组的virtual-ap压根没引用它。热词里常出现的锐捷和华三项目核心组网方案普遍是AC旁挂核心、AP走独立管理VLAN。Aruba三层组网也是这个套路差别只在配置入口和引用关系。所以迁移项目时别急着敲命令先在纸上把哪几个SSID、挂到哪几个AP组、业务VLAN是哪些列清楚再映射到profile里的三层结构就顺了。3. 初始化Aruba AC并让AP顺利上线可复现的命令与参数3.1 控制器基础配置VLAN、管理IP和默认路由拿到一台还没拆封的Aruba AC第一步是登录串口或管理口把管理地址配上。常见做法是给控制器规划一个独立管理VLAN用这个VLAN的地址作为AC的管理IPAP和AC通信用它网管登录也用它。configure terminal interface vlan 100 description MGMT-VLAN ip address 10.10.10.2 255.255.255.0 exit ip default-gateway 10.10.10.1 ip route 0.0.0.0/0 10.10.10.1上面这段命令中interface vlan 100是进入管理VLAN的三层接口ip address后面的10.10.10.2写的是AC本机的管理IP掩码用24位ip default-gateway或ip route 0.0.0.0/0都是把AC的默认路由指向核心交换机两条命令在Aruba不同版本里有一个可用。管理IP必须跟核心交换机三层接口在同一网段否则AP能找到AC、AC却回不了包注册一样会失败。注意这里有一个容易被忽略的点AC上开了VLAN接口后如果对应物理口不放行这个VLAN接口状态不会up。所以检查时要看AC上行口是否配成了Trunk并放行VLAN 100同时核心交换机那边也要放行同一个VLAN。3.2 时钟、域名和证书AP上线的三个隐形前提AP上线卡在Not Joined状态时十有八九是AC的时钟、域名或证书没弄对。AP向AC注册时要做证书校验校验证书依赖时间戳如果AC的时钟比真实时间偏了好几个小时证书自然被判定过期或未生效。域名和证书链也类似Aruba AP出厂带的是Aruba官方证书链AC要有能力解析并信任它。clock timezone CST 8 0 ntp server 10.10.10.8 ip domain-name example.local crypto local generate rsa 2048上面的命令里ntp server指向内网NTP服务器或上级核心设备的时钟源这一步比手动clock set靠谱得多ip domain-name设置本地域名AP注册时做证书校验和DDNS查询会用到crypto local generate rsa用来生成AC自己的RSA密钥对尤其是开启HTTPS管理和证书交互的场合。没有NTP源时宁可让AC和核心交换机两台设备互相指NTP也别放任时钟跑偏。3.3 配置AP组和AP认证从License到黑白名单AP上线前先确认AC上有足够的License许可。Aruba的License按AP数量授权硬件平台不同、授权数量不同命令也不一样多数型号用license add加一次性密钥也有按订阅模式激活的。License不够时AP会注册不上或注册后被踢下线日志里能看到license violation提示。configure terminal ap-group default ap-name AP-BUILDING-01 exit ap authentication mac-auth allow 00:0C:E7:11:22:33 mac-auth deny 00:0C:E7:AA:BB:CC配置AP组时ap-group default是出厂默认组新AP注册后默认落进这个组。生产环境里更常见的做法是按楼层建多个组比如ap-group floor-3然后在组里用ap-name指定该组包含哪些AP没被任何组明确引用的AP继续落在default组。ap authentication这段是AP注册认证的白名单和黑名单按MAC地址控制。中小项目里如果AP数量少、现场物理可控可以不开MAC白名单减少后续加AP时的麻烦连锁门店或开放场所建议开着防止别人拿一台Aruba AP插到网线上蹭网络。3.4 下发SSID和VLAN映射无线业务落地的第一步到这一步AP已经能注册到AC上但终端还搜不到无线信号因为SSID还没下发。前面说过Aruba的SSID配置要过三层引用先定义ssid-profile再在ap-group里建virtual-ap最后把virtual-ap挂到SSID和VLAN上。configure terminal wlan ssid-profile office-wifi essid OFC-Office opmode wpa2-psk-aes wpa-passphrase Aruba123456 vlan 100 max-clients 200 rate-limit 2048 1024essid是终端能看到的无线名opmode指定加密模式wpa2-psk-aes是中小办公最常用的组合相对兼容性好wpa-passphrase是共享密码长度8到63位vlan定义这个SSID归属的业务VLANrate-limit后面两个数分别是下行和上行限速单位kbps。这段配置定义好之后它只是个模板还没被任何AP使用。configure terminal ap-group default virtual-ap office-wifi-vap ssid-profile office-wifi vlan 100 broadcast-filter arp exitvirtual-ap是这个SSID在AP上的逻辑实例。ssid-profile office-wifi引用了刚才定义的模板vlan 100再强调一次业务VLAN这个值如果和ssid-profile里的不一致会以virtual-ap里的为准broadcast-filter arp过滤广播ARP能明显降低无线空口占用。三层组网下如果业务VLAN不在AP本地这个vlan 100会由AC或核心交换机负责路由AP只管把终端tag到这个VLAN里。4. 三层组网下把流量走通DHCP、漫游和VLAN池的调整4.1 DHCP Option 60/43AP跨网段找AC的必经之路三层组网下AP在接入交换机的管理VLAN里拿地址AC在核心机房的另一个网段中间隔了三层设备。AP如果不知道AC在哪DHCP拿到IP后只能干瞪眼。最可靠的下发方式就是DHCP Option 60和Option 43Option 60标识AP厂商类型Option 43给AP回传AC的IP地址。subnet 10.10.20.0 netmask 255.255.255.0 { range 10.10.20.10 10.10.20.200; option routers 10.10.20.1; option vendor-class-identifier ArubaAP; option vendor-encapsulated-options 10.10.10.2; }这是ISC DHCP的写法。option vendor-class-identifier就是Option 60Aruba AP请求地址时会带上ArubaAP这个标识DHCP服务器根据它匹配后续的Option 43option vendor-encapsulated-options是Option 43里面写AC的管理IP地址10.10.10.2。如果是华为S系列交换机做DHCP服务器命令会写成dhcp server option 43 ascii 10.10.10.2思路完全一样。这里有个坑是Option 43的格式。Aruba在部分固件里接受纯ASCII的IP地址部分版本要求十六进制格式比如0x0A0A0A02对应10.10.10.2。我一般先按纯ASCII下发AP长时间找不到AC再看抓包确认服务器到底把Option 43发出去没有、格式对不对。排查时在接入交换机上用debug dhcp或抓包软件看DHCP Offer报文能直观看到Option字段内容。4.2 三层漫游和VLAN池Aruba的虚拟AP概念三层组网做漫游最怕的是终端从一个AP走到另一个AP信号切过去了终端IP没变但网关不认。Aruba解决这个问题的核心机制是VLAN池(Pool)和隧道转发结合。每个virtual-ap下可以配置多个业务VLANAP根据终端首次接入时的VLAN分配一个地址后续终端漫游到其他AP时AC会通过隧道把流量送回原VLAN所在的网关IP保持不变。configure terminal aaa profile office-aaa initial-role default-role user-vlan 200 exit wlan ssid-profile office-wifi opmode wpa2-psk-aes essid OFC-Office vlan pool 100 200 300这里aaa profile定义用户接入后的角色和VLANuser-vlan指定强制用户落到哪个VLANssid-profile里的vlan pool则把100、200、300三个网段收进同一个地址池。终端接入时AC从池里动态挑一个VLAN分配漫游时保持这个VLAN不换。需要提醒的是VLAN池里的每个网段都必须有对应的DHCP服务最好由核心交换机统一承担避免AC和核心各管几段地址排查起来扯皮。4.3 锐捷/华三组网经验迁移到Aruba时最容易拧巴的三个点做过锐捷AC控制器配置教程和华三AC无线组网配置的人转Aruba时最常踩的三处分别是SSID定义入口、AP上线管理、VLAN截获行为。锐捷的SSID和接口绑定在一起配置界面里选接口再选SSID逻辑直白华三的service-template要绑定到radio口做大规模时也是类模板思路但没有Aruba这么多层引用。Aruba的profile一层套一层改SSID加密要看ssid-profile改VLAN要在virtual-ap下再敲一次两个地方不一致时以virtual-ap为准——这条规则不记住后面排查会晕。AP上线管理上锐捷的配置习惯是直接把AP的MAC和IP绑在AC上AP上线即入指定组Aruba更推荐用AP命名和规则自动归类AP多了以后靠手工逐台绑MAC并不高效。所以从锐捷迁过来的人我建议直接学Aruba的ap-groupap-name方式AP注册后批量归组比后期逐台改组省事得多。5. Aruba无线配置避坑五个踩过才会记得的现象5.1 AP一直Not Joined日志刷CAPWAP request现象AC的AP数据库里AP状态长时间停在Not Joined控制台或syslog里反复报CAPWAP request retry。原因AP到AC的UDP 5246不通常见于接入交换机ACL拦截、Trunk允许VLAN列表没放行管理VLAN、或者AP拿到的DHCP地址和AC不在同一路由可达的网段。解决先在接入交换机上做ping测试用AP所在的接入层设备去ping AC管理IP通了再在交换机上放行UDP 5246和5247同时确认管理VLAN在AP上行的Trunk口里是allowed状态。做完这些基本能把80%的注册问题解决剩下20%看证书和时钟。5.2 控制器时间不对AP证书校验直接失败现象AP能ping通AC但注册时提示证书无效或被拒绝查看AC系统时间是乱的。原因证书有效期校验依赖绝对时间AC没配NTP且管理员手工设置时间出错AP端认为AC证书过期就拒绝建立控制隧道。解决给AC和内网核心交换机互指NTP时钟源优先级设为最高重新生成AC的RSA密钥对让AP重新发起注册。这里有个小习惯每次重启AC后先看show clock确认时间和当前时间差不超过5分钟再继续下一步配置。5.3 本地转发模式下终端拿到IP但ping不通网关现象SSID能连上终端也拿到了IP但ping网关不通外网更上不去。原因本地转发模式下业务VLAN必须在AP所接交换机上存在并放行接入交换机Trunk口只放了管理VLAN、没放业务VLANAP把终端数据打上业务VLAN标签发出去后被交换机直接丢弃。解决去接入交换机把业务VLAN加进AP上行口的allowed vlan同时确认业务VLAN的三层网关在核心交换机上存在且核心到接入的Trunk也放行该VLAN。改完Trunk后再让终端重连一次基本上立刻恢复。5.4 漫游掉线重现同频邻区优化和802.11r参数现象终端在AP-A和AP-B之间移动时信号切换要好几秒视频会议直接断开重连。原因客户端发生了跨信道漫游但AP没有启用802.11r快速漫游重新关联时延太长还可能是两个AP的射频工作在互相干扰的同一信道信号互相打架导致终端切换时探测不到目标AP。解决在ssid-profile里启用fast transition模式同时通过AC的ARM调优把邻接AP错开信道。Aruba的无线射频管理默认带自动调优但AP布点密度大时建议手动检查一次信道规划避免自动调优把两个相邻AP排到同一信道。5.5 SSID和VLAN对不上终端连上却上不了网现象无线能连上IP也拿到了但访问内网资源时部分服务可用、部分服务不可用查看终端IP发现落在了错误的网段。原因ssid-profile里写了VLAN 100virtual-ap里又写了VLAN 200Aruba在部分版本以virtual-ap下的配置优先导致终端被分到VLAN 200但DHCP、网关策略都按VLAN 100规划网络自然不正常。解决把两个位置的VLAN统一成同一个值或者只在virtual-ap下定义VLANssid-profile里不写VLAN字段。排查时用show wlan ssid-profile和对应AP的show ap-group对照看两边VLAN不一致就是问题本身。6. 用show命令验证Aruba配置状态顺手把射频参数调到不玄学配置完别急着收工先用三条show命令把状态坐实。show ap database看每一台AP的注册状态、IP、AP组归属目标是所有AP都显示Upshow wlan ssid-profile office-wifi看SSID的加密、VLAN、限速参数是否和规划一致show ap debug system-status看AP的内存、CPU和射频状态AP长期跑在满载状态用户体验不会好。三条命令输出正常再拿一台终端连上SSIDping网关、ping外网、漫游走一圈基本能交付。射频参数方面我习惯把两个值固定下来一个是禁用老旧低速率的兼容在ssid-profile或射频profile里关掉1Mbps和2Mbps速率省下的空口时间能让整体带宽明显提升另一个是发射功率Aruba默认开自动功率调优但会议室、仓库这种高密度场景把功率上限压在15dBm附近反而比开满功率更稳终端更容易漫游。自动调优结果可以信但每季度看一次现场报表AP位置变动后手动触发一次调优比全信自动机制图省心得多。这行干久了我养成的习惯是改任何一项参数都先在记事本里记下改动前后的值出问题能一分钟回退。无线这行很多现象是环境因素叠加出来的保持配置可回退、状态可观察才不至于把时间全耗在玄学里。Aruba这套ACAP的profile思路一旦理顺后续加SSID、扩AP都比想象中省事希望帮到你。本文还有配套的精品资源点击获取