华为无线AP配置实战：CAPWAP隧道建立与SSID绑定避坑指南

简介这份资源是河南大学软件学院《无线网络与安全技术》课程的实验报告9主题为Fat AP基本配置面向网络工程等专业正在学习无线网络配置的学生。报告完整记录了将AP转换为Fat AP模式、创建无线虚拟接口、配置无线服务模板、绑定无线射频接口等关键步骤并附有命令行截图与思考题解答。资源包共1个doc文件大小约2.4MB内容涵盖实验目的、技术原理、实验步骤、结果分析与总结其中对无线虚拟接口、服务模板、射频接口三大关键参数的配置命令及含义有详细说明还记录了STA连接失败、胖瘦转换出错、undo命令使用等排错过程。目前已有89人学习适合需要完成同类实验或理解H3C无线配置流程的读者参考可帮助快速掌握Fat AP基础配置与故障诊断思路。1. 一份实验报告文档为什么值得单独拆开讲如果你正在学网络工程、准备考 HCIA 或 HCIP或者刚进公司被丢了一台无线 AP 让你“先配通再说”那你大概率会遇到一个尴尬局面理论课讲 SSID、VLAN、CAPWAP 讲得头头是道真拿到设备却不知道第一步敲什么。这份《2225060346_汤岚淇_实验报告9_AP基本配置(2024).doc》就是冲着这个断层来的——它是一份完整的 AP 基本配置实验记录覆盖了从设备上电、AC 发现、SSID 绑定到终端接入验证的全流程。适合两类人一是需要交实验报告的学生可以直接对照步骤复现二是刚接触无线控制器的新手工程师把它当成一份可落地的配置清单来用。下面我不复述文档内容而是把它拆成能照着敲、能排错的实战路径。2. AP 上线与 AC 发现先搞懂 CAPWAP 再动手2.1 为什么 AP 不是插上网线就能用很多人第一次接触瘦 APFit AP时会翻车网线插好、指示灯也亮了但 SSID 死活搜不到。根本原因在于瘦 AP 本身没有完整配置它必须通过 CAPWAP 协议从 AC无线接入控制器拉取配置才能工作。CAPWAP 分两条通道控制通道走 UDP 5246负责 AP 注册、配置下发数据通道走 UDP 5247负责业务报文转发。AP 上电后的动作顺序是获取 IP 地址 → 发现 AC → 建立 CAPWAP 隧道 → 下载配置 → 正常广播 SSID。发现 AC 的方式常见有三种二层广播发现、DHCP Option 43 指定、DNS 解析。实验环境里最常用的是 DHCP Option 43因为跨网段场景下广播到不了 AC。这份实验报告里用的就是 Option 43 方案下面把关键配置拆开。2.2 DHCP 服务端配置 Option 43在 AC 或核心交换机上配置 DHCP 地址池时需要给 AP 所在网段下发 Option 43告诉 AP 去哪里找 AC。以华为设备为例# 进入全局配置模式 system-view # 创建 AP 管理网段的地址池 ip pool ap-pool network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 114.114.114.114 # 配置 Option 43sub-option 1 为 AC 的 IP 地址十六进制 option 43 sub-option 1 ip-address 192.168.100.1 # 排除 AC 自身地址避免冲突 excluded-ip-address 192.168.10.1 192.168.10.10 quit逻辑说明option 43 sub-option 1 ip-address后面的地址是 AC 的源接口地址AP 拿到这个地址后会主动向它发起 CAPWAP 连接。参数上要注意不同厂商对 Option 43 的编码格式不一样华为用 sub-option 1 直接跟 IP思科则常用十六进制字符串配之前先确认设备型号。地址池的 gateway 必须指向 AP 网段的网关否则 AP 连网关都出不去更别提找 AC。2.3 AC 侧放行 AP 并指定源接口AP 能发现 AC 只是第一步AC 还得愿意让这台 AP 上线。默认情况下 AC 可能只允许已认证的 AP 接入实验环境里通常先关闭认证或把 AP 的 MAC 加入白名单# 在 AC 上配置 CAPWAP 源接口 capwap source interface vlanif 100 # 关闭 AP 认证实验环境用生产环境慎用 wlan ap auth-mode no-auth quit # 查看 AP 是否上线 display ap allcapwap source interface指定 AC 用哪个接口和 AP 建隧道这个接口必须是 AP 能路由到的地址。ap auth-mode no-auth表示不校验 AP 身份任何 AP 都能上线生产环境里应该用 MAC 认证或 SN 认证。执行display ap all后如果 State 列显示nor或fault说明 AP 没正常上线需要回到 2.4 排查。2.4 验证 AP 上线的三个检查点AP 上线失败时按这个顺序查最快检查点命令正常表现AP 是否拿到 IP在 AP 接入口抓包或看 DHCP 日志AP 有 192.168.10.x 地址AP 能否 ping 通 AC在 AP 上 ping AC 源接口地址通CAPWAP 隧道是否建立display capwap configuration显示已建立如果 AP 拿不到 IP查 DHCP 地址池有没有配错网段如果 ping 不通 AC查路由和 VLAN 放行如果隧道没建起来查 Option 43 的地址是不是写成了 AC 的业务地址而不是源接口地址。这三个检查点覆盖了八成以上的上线问题。3. SSID 与安全模板配置把无线信号真正放出来3.1 SSID 模板、安全模板、VAP 模板的关系AP 上线后只是“设备在线”还没有广播任何无线信号。要让手机搜到 Wi-Fi需要配置三个模板并绑定SSID 模板定义网络名称安全模板定义认证和加密方式VAP 模板把前两者绑在一起并指定业务 VLAN。很多新手配完 SSID 发现搜不到就是因为只配了 SSID 模板没做 VAP 绑定。常见做法是先在 AC 上创建模板再在 AP 组里引用。下面按顺序来。3.2 创建 SSID 模板与安全模板# 创建 SSID 模板名称为 test-wifi wlan ssid-profile name ssid-test ssid test-wifi quit # 创建安全模板WPA2PSK 认证 security-profile name sec-test security wpa2 psk pass-phrase MyPassword123 aes quitssid test-wifi就是手机搜到的 Wi-Fi 名称建议不要用中文或特殊字符部分终端兼容性差。安全模板里wpa2 psk表示 WPA2 个人版pass-phrase后面跟 8 到 63 位密码aes是加密算法。如果实验报告里用的是开放认证把 security 那行换成security open即可但生产环境千万别这么干。3.3 VAP 模板绑定与业务 VLAN 指定# 创建 VAP 模板绑定 SSID 和安全模板 vap-profile name vap-test ssid-profile ssid-test security-profile sec-test service-vlan vlan-id 200 quit # 在 AP 组中引用 VAP 模板 ap-group name default vap-profile vap-test wlan 1 radio all quitservice-vlan vlan-id 200表示无线用户打上 VLAN 200 的标签这个 VLAN 必须在 AC 和上层网络中都放行否则终端连上 Wi-Fi 也拿不到 IP。radio all表示 2.4G 和 5G 射频都生效。绑定完成后用display vap ssid test-wifi可以查看 VAP 是否正常。3.4 终端接入验证与常见关联失败配置完成后用手机或笔记本搜索test-wifi输入密码连接。如果连不上按以下顺序排查搜不到 SSID检查 VAP 是否绑定到 AP 组display vap看状态是否为 up。搜到但连不上检查安全模板的密码和加密方式是否与终端匹配。连上但没 IP检查业务 VLAN 是否在交换机上放行DHCP 地址池是否配置。连上但上不了网检查 VLAN 接口地址和上行路由。这份实验报告里记录了一个典型翻车点VAP 模板绑定了但 AP 组的radio参数没写all导致只有 2.4G 生效5G 终端搜不到信号。改完立刻正常。4. 避坑与排查AP 配置里最容易翻车的五个地方4.1 现象AP 一直显示 fault重启也没用原因AC 上没有配置 CAPWAP 源接口或者源接口地址 AP 路由不可达。解决display capwap configuration确认源接口在 AP 上 ping 该地址不通就查路由。4.2 现象AP 上线了但 SSID 搜不到原因VAP 模板没有绑定到 AP 组或者绑定了但 radio 参数不对。解决display vap ssid 名称查看状态确认radio all已配置。4.3 现象终端连上 Wi-Fi 后拿不到 IP 地址原因业务 VLAN 没有在接入交换机上放行或者 DHCP 地址池没配。解决在交换机上display vlan确认 VLAN 存在且端口 trunk 放行在 AC 上display ip pool确认地址池有可用地址。4.4 现象Option 43 配了但 AP 还是找不到 AC原因Option 43 的地址写成了 AC 的业务地址而不是 CAPWAP 源接口地址或者不同厂商编码格式不匹配。解决确认 AC 上capwap source interface是哪个接口Option 43 就写那个接口的 IP。华为设备用sub-option 1 ip-address思科用十六进制别混。4.5 现象无线信号时有时无ping 延迟忽高忽低原因AP 供电不足或网线质量差导致 CAPWAP 隧道抖动。解决检查 PoE 交换机功率是否足够换超五类以上网线display ap performance看 AP 的 CPU 和内存是否过载。5. 从实验报告到真实项目三个能直接复用的技巧5.1 用 display 命令组合快速定位问题实验报告里只写了基本配置但真实排错时我习惯把几条 display 命令串起来用# 一条命令看 AP 状态、VAP 状态、CAPWAP 状态 display ap all display vap ssid test-wifi display capwap configuration display station alldisplay station all能看到当前连上来的终端 MAC 和关联的 AP如果终端列表为空但手机显示已连接说明关联到了别的 AP 或者认证没通过。这四条命令覆盖了从 AP 到终端的完整链路比一条条翻日志快得多。5.2 把配置模板化下次直接改参数实验报告里的配置是写死的但真实项目里 AP 数量多、SSID 多建议把模板命名规范化。比如ssid-项目名-用途、vap-项目名-楼层这样display的时候一眼能看出对应关系。另外安全模板里的密码不要用实验用的简单密码生产环境至少 12 位混合字符。5.3 验证无线覆盖的一个笨办法配置完成后别只站在 AP 旁边测。我一般会拿着手机走一圈重点测三个位置AP 正下方、隔一堵墙、隔两堵墙。如果隔两堵墙信号掉到 1 格但还能连说明覆盖基本合格如果直接断连要么加 AP要么调射频功率。display ap performance里能看到 AP 的发射功率和信道2.4G 用 1、6、11 三个不重叠信道5G 信道多但穿墙差按场景选。从那以后我每次配完 AP都强制走一遍“AP 上线 → VAP 绑定 → 终端关联 → 漫游测试”四步少一步都可能在上线后被用户投诉。希望帮到你。本文还有配套的精品资源点击获取