如何配置华为无线控制器，并实现AP上线与Wi-Fi覆盖？

华为无线控制器作为企业无线网络的核心大脑，其配置的优劣直接决定了整个无线网络的稳定性、安全性和用户体验，一个结构清晰、规划合理的配置方案，是实现高效无线网络管理的基础，本文将系统性地介绍华为无线控制器的关键配置流程与核心概念，旨在为网络管理员提供一份清晰、实用的配置指南。

登录与基础配置

首次配置华为AC（无线控制器）通常需要通过Console口进行物理连接，使用默认账户登录，进入命令行界面后，首要任务是进行基础网络配置,为后续的远程管理和AP接入创造条件。

配置AC的管理IP地址，这个IP地址是AC在网络中的身份标识，用于与AP（Access Point）建立CAPWAP（Control and Provisioning of Wireless Access Points）隧道，以及供管理员进行Web或SSH远程登录，我们会为管理地址规划一个独立的VLAN，例如VLAN 100,并配置相应的IP地址和子网掩码。

配置路由，如果AC的管理IP地址与AP或网络出口不在同一网段，就需要配置静态路由或动态路由协议（如OSPF），确保AC能够与网络中的其他设备正常通信，配置一条默认路由指向网关,是常见的基础操作。

为了安全和管理便利，建议修改默认管理员密码，配置SSH服务以取代不安全的Telnet，并正确设置系统时间和时区,这对于日志审计和故障排查至关重要。

AP接入与管理

AP的接入是无线网络配置的核心环节，AC需要能够发现、认证并管理网络中的所有AP，华为AC支持两种主要的AP发现模式：二层发现和三层发现。

• 二层发现：当AP与AC处于同一个广播域（即同一VLAN）时，AP通过广播CAPWAP发现报文来寻找AC，这种方式配置简单,但仅适用于小型网络。
• 三层发现：在跨网段的大型网络中，必须使用三层发现，其关键在于DHCP Option 43选项，管理员需要在DHCP服务器上为AP配置Option 43，其值为AC的IP地址，当AP获取IP地址时，会同时读取Option 43，从而得知AC的IP位置,并主动向AC发起注册请求。

AP在向AC注册时，AC可以对AP进行认证，以确保只有授权的AP才能接入网络,常见的认证方式包括：

1. MAC地址认证：在AC上预配置允许接入的AP的MAC地址列表,安全但管理繁琐。
2. SN认证：在AC上预配置允许接入的AP的序列号（SN）,比MAC认证更可靠。
3. 不认证：任何发现AC的AP都可以接入，配置简单但存在安全风险,仅适用于受信任的环境。

配置完成后，管理员可以通过display ap all命令查看所有AP的注册状态,确认其是否已成功上线。

网络规划与VLAN配置

合理的VLAN规划是构建高性能、高安全无线网络的基础，通过VLAN，可以将不同业务、不同用户群体的无线流量进行隔离，避免广播风暴，并为实施不同的安全策略提供可能,一个典型的规划如下表所示：

在AC上，需要创建这些VLAN，并为业务VLAN配置接口IP地址，作为无线客户端的网关，需要配置DHCP服务，AC可以内置DHCP服务器，为AP和无线客户端分配IP地址，也可以作为DHCP中继,将客户端的DHCP请求转发给指定的DHCP服务器。

WLAN业务配置

WLAN业务配置是用户能够感知到的部分，即创建SSID（Service Set Identifier），在华为AC中,一个完整的WLAN业务配置通常涉及以下几个逻辑模板的组合：

1. 安全模板：定义无线网络的认证和加密方式，为员工网络配置WPA2-PSK或更安全的802.1X认证；为访客网络配置开放认证,但通过Portal服务器进行网页认证。
2. 业务集：创建SSID，并将其与安全模板进行绑定，创建一个名为“HWC-Staff”的业务集，关联到WPA2-PSK的安全模板。
3. VAP模板：将业务集与指定的业务VLAN关联起来，VAP（Virtual Access Point）是AC上虚拟出来的接入点，一个VAP就代表一个SSID及其所有属性，将“HWC-Staff”业务集与VLAN 200关联。
4. AP组：为了简化管理，将功能或位置相似的AP划分到同一个AP组，将配置好的VAP模板应用到AP组中，这样,该组内所有AP都会自动下发并广播指定的SSID。

通过这种模块化的配置方式，管理员可以灵活地组合不同安全策略和VLAN,创建出满足不同业务需求的无线网络。

配置下发与验证

所有配置完成后，AC会自动将配置下发给AP组内的所有AP，这个过程是自动的，无需管理员干预，管理员可以通过命令行检查配置是否生效，使用display vap all命令可以查看所有VAP的运行状态，包括SSID、VLAN、关联的AP和在线用户数，使用display station all则可以查看当前所有连接到无线网络的用户信息。

至此，一个基础的华为无线控制器配置流程已基本完成，从基础网络设置，到AP管理，再到业务规划和最终的用户接入，每一步都环环相扣,共同构建起一个稳定可靠的企业级无线网络。

相关问答 (FAQs)

问题1：AP无法注册到AC，应如何排查？

解答： AP注册失败是一个常见问题，排查思路应遵循“由下至上”的原则。

1. 物理与网络连通性：首先检查AP是否正常供电，网线是否插好，在AC上Ping AP的IP地址（如果AP已获取到IP），或从AP侧Ping AC的IP,确保三层网络可达。
2. DHCP配置：确认AP是否能够从DHCP服务器获取到IP地址，如果使用三层发现，务必检查DHCP Option 43是否已正确配置,且其值为AC的IP地址。
3. CAPWAP隧道状态：在AC上使用display capwap tunnel命令查看隧道状态，如果状态为“down”，可能是中间防火墙阻止了CAPWAP的控制端口（默认UDP 5246）和数据端口（默认UDP 5247）。
4. AP认证信息：检查AC上是否配置了AP的MAC或SN认证，如果配置了,确保AP的信息已正确添加到白名单中。
5. 版本兼容性：确认AP的软件版本与AC的软件版本是否兼容,不兼容的版本可能导致注册失败。

问题2：为什么要为不同用户群体（如员工、访客）规划不同的VLAN？

解答： 为不同用户群体规划独立的VLAN是企业网络设计的基本原则,主要基于以下三点考虑：

1. 安全性：VLAN是实现网络隔离最直接有效的方法，将员工内部网络与访客网络隔离开，可以防止访客设备访问公司内部敏感资源，如文件服务器、办公系统等,极大地提升了网络安全性。
2. 性能优化：每个VLAN都是一个独立的广播域，将用户分散到不同VLAN中，可以有效减小单个广播域的规模，减少广播报文（如ARP请求）对网络带宽的占用和网络设备的冲击,提升整体网络性能。
3. 策略差异化：独立的VLAN为实施差异化的网络策略提供了基础，可以为员工VLAN配置更高的带宽优先级和访问权限，而为访客VLAN配置较低的带宽限制,并强制其所有流量经过防火墙进行安全审计。