华三无线网络实战：从零到一构建AC+AP企业级无线覆盖

1. 项目启动：为什么选择华三AC+AP架构？

如果你正在为办公室、学校或者一个中小型园区规划无线网络，大概率会听到“AC+AP”这个方案。我做了这么多年网络项目，发现很多朋友初次接触时，会觉得这玩意儿特别复杂，又是控制器又是接入点，还有一堆VLAN、路由的配置，看着就头大。但说实话，一旦你理解了它的工作逻辑，并且亲手用模拟器或者真机搭一遍，就会发现它其实是一套非常优雅、稳定且易于管理的企业级无线解决方案。今天，我就以华三的设备为例，带你从零开始，手把手走一遍完整的部署流程。咱们不搞纯理论，就聊实战，把我踩过的坑、总结的技巧都分享给你。

那么，AC+AP到底是个啥？你可以把它想象成一个公司的管理体系。AC（无线控制器）就是公司的“大脑”或“总指挥部”，它不直接面对员工（终端用户），而是负责制定所有的规章制度（无线策略）、管理所有的部门经理（AP）。而AP（无线接入点）就是各个部门的“经理”，它们分布在不同楼层、不同区域，直接为员工（手机、电脑）提供服务，但做什么、怎么做，全都听总指挥部（AC）的指令。这种架构最大的好处就是“集中管理，分布覆盖”。你不需要跑到每个AP面前去调参数，在AC上统一配置好，所有AP自动同步，管理效率极高，而且能实现无缝漫游——员工拿着手机从A区走到B区，Wi-Fi信号自动切换，视频会议都不会卡一下。

为什么选华三？在华三的AC+AP方案里，AC和AP之间通过一个叫CAPWAP的隧道协议进行通信。这个隧道就像一条加密的专属高速公路，所有AP的管理流量、用户的数据流量都通过这条隧道和AC交互。这样做有两个核心优势：第一是安全，数据封装传输，不易被窃听；第二是灵活，AP可以部署在任何能连接到AC的网络位置，甚至可以跨三层网络，只要IP能通就行。咱们这次实战的目标，就是把这套逻辑落地，从画图纸（网络规划）到买材料（设备选型模拟），再到施工（配置上线），最后验收（测试调优），给你一个清晰、可复现的路线图。

2. 战前准备：模拟器与网络规划

动手敲命令之前，准备工作做得好，后面能省下一大半的折腾时间。我强烈建议，无论你最后用不用真机，都先在模拟器上把整个流程跑通。这就像飞行员在模拟舱里训练，成本低、容错高，随便你怎么“炸”配置，重启一下虚拟机就好。

2.1 搭建你的虚拟实验室

华三官方提供了免费的模拟器HCL（H3C Cloud Lab），这绝对是学习神器。你去官网下载最新版本就行，安装过程没啥坑。我用的版本是V5.7.1，比较稳定。这里有个小经验：创建拓扑时，交换机尽量选用CE6850型号。我试过用S5820，在部分版本里做VLAN和DHCP有时会有一些奇怪的问题，而CE6850作为数据中心交换机模拟企业核心，兼容性更好，更贴近真机行为。我们的基础拓扑需要这几样“设备”：一台作为AC的无线控制器（比如WX3500H）、一台作为核心交换机的CE6850、一台作为接入交换机的CE6850，以及至少两个AP（比如WA6320）。用线缆把它们按“接入交换机-AP”、“接入交换机-核心交换机”、“核心交换机-AC”的顺序连接起来。

模拟器里的AP型号后面带着“-HCL”后缀，这是专门为模拟器优化的镜像，功能齐全。真机部署时，你当然需要购买实际的硬件设备，但配置逻辑和命令绝大部分是相通的。最大的区别在于：第一，PoE供电。模拟器里你不需要关心，但真机上，连接AP的交换机端口必须执行poe enable命令，否则AP没电启动不了。第二，License授权。真机AC通常需要购买AP的接入授权License，模拟器里一般没有这个限制。所以用模拟器学习，可以让你完全聚焦在技术实现本身。

2.2 绘制你的网络蓝图：VLAN与IP规划

规划是网络的灵魂，绝对不能拿到设备就开配。我们需要划分几个逻辑区域，用VLAN来隔离。根据我的经验，一个典型的中小型企业无线项目，至少需要规划三个VLAN：

1. 管理VLAN（比如VLAN 56）：这是给网络设备自己“聊天”用的。你的AC、核心交换机、接入交换机的管理IP都应该在这个VLAN里。想象一下，如果设备的管理地址和用户数据混在一起，一旦用户网络出问题，你可能连设备都登不上去，排查就抓瞎了。所以，单独的管理VLAN是运维安全的生命线。
2. AP管理VLAN（比如VLAN 101）：这是AP设备本身获取IP地址、并与AC建立CAPWAP隧道的专用网络。把AP的管理流量和终端业务流量分开，能有效避免广播风暴等风险影响到AP的稳定控制。
3. 终端业务VLAN（比如VLAN 10）：这才是员工手机、电脑连接Wi-Fi后真正使用的网络。它的网关通常设在核心交换机上。

IP地址也要提前规划好。我习惯用一个Excel表格列清楚，比如：

规划好了，心里就有了一张清晰的地图，接下来配置命令就是按图索骥，不容易乱。

3. 核心配置：打通网络血脉

设备上电，线缆连好，模拟器启动成功，我们就要开始敲命令了。这一部分的目标是让网络“通”起来，让AP能拿到地址，能找到AC，让终端的数据能出去。咱们按照从底层到上层的顺序来。

3.1 第一步：创建VLAN并配置管理IP

首先，在三台设备（AC、核心、接入）上分别创建我们规划好的VLAN，并给管理VLAN配上IP。注意，华三的设备默认所有端口都在VLAN 1里，我们第一步就是跳出这个默认VLAN。

# 在AC上操作 <AC> system-view [AC] sysname AC # 给设备改个名，方便识别 [AC] vlan 101 [AC-vlan101] description AP-vlan [AC-vlan101] quit [AC] vlan 56 [AC-vlan56] description GuanLi-vlan [AC-vlan56] quit [AC] vlan 10 [AC-vlan10] description Terminal-vlan [AC-vlan10] quit # 配置AC的管理IP [AC] interface Vlan-interface 56 [AC-Vlan-interface56] ip address 192.168.56.11 24 [AC-Vlan-interface56] quit # 在核心交换机（HeXin）上操作 <HeXin> system-view [HeXin] vlan 101 [HeXin-vlan101] description AP-vlan [HeXin-vlan101] quit [HeXin] vlan 56 [HeXin-vlan56] description GuanLi-vlan [HeXin-vlan56] quit [HeXin] vlan 10 [HeXin-vlan10] description Terminal-vlan [HeXin-vlan10] quit # 配置核心交换机的管理IP，以及终端和AP的网关IP [HeXin] interface Vlan-interface 56 [HeXin-Vlan-interface56] ip address 192.168.56.10 24 [HeXin-Vlan-interface56] quit [HeXin] interface Vlan-interface 10 [HeXin-Vlan-interface10] ip address 192.168.10.1 24 [HeXin-Vlan-interface10] quit [HeXin] interface Vlan-interface 101 [HeXin-Vlan-interface101] ip address 192.168.101.1 24 [HeXin-Vlan-interface101] quit # 在接入交换机（JieRu）上操作 <JieRu> system-view [JieRu] vlan 101 [JieRu-vlan101] description AP-vlan [JieRu-vlan101] quit [JieRu] vlan 56 [JieRu-vlan56] description GuanLi-vlan [JieRu-vlan56] quit [JieRu] vlan 10 [JieRu-vlan10] description Terminal-vlan [JieRu-vlan10] quit # 配置接入交换机的管理IP [JieRu] interface Vlan-interface 56 [JieRu-Vlan-interface56] ip address 192.168.56.12 24 [JieRu-Vlan-interface56] quit

3.2 第二步：配置DHCP服务，让设备自动获取地址

我们让核心交换机兼任DHCP服务器，为AP和终端自动分配IP地址。这比在每个终端上手动配置静态IP省事太多了，尤其是AP数量多的时候。

# 在核心交换机（HeXin）上开启DHCP功能并创建地址池 [HeXin] dhcp enable # 全局开启DHCP # 为终端用户（VLAN 10）创建地址池 [HeXin] dhcp server ip-pool Terminal-vlan [HeXin-dhcp-pool-Terminal-vlan] gateway-list 192.168.10.1 # 指定网关 [HeXin-dhcp-pool-Terminal-vlan] network 192.168.10.0 mask 255.255.255.0 # 分配网段 [HeXin-dhcp-pool-Terminal-vlan] dns-list 8.8.8.8 # 配置DNS，这里用公共DNS示例，实际请用内部或运营商DNS [HeXin-dhcp-pool-Terminal-vlan] expired day 0 hour 8 # 租期8小时 [HeXin-dhcp-pool-Terminal-vlan] forbidden-ip 192.168.10.1 # 排除网关地址，防止冲突 [HeXin-dhcp-pool-Terminal-vlan] quit # 为AP设备（VLAN 101）创建地址池 [HeXin] dhcp server ip-pool AP-GuanLi [HeXin-dhcp-pool-AP-GuanLi] gateway-list 192.168.101.1 [HeXin-dhcp-pool-AP-GuanLi] network 192.168.101.0 mask 255.255.255.0 [HeXin-dhcp-pool-AP-GuanLi] forbidden-ip 192.168.101.1 # 同样排除网关 [HeXin-dhcp-pool-AP-GuanLi] quit

这里有个细节：AP的地址池通常不需要配置DNS，因为AP主要任务是与AC通信，不直接上网。但给终端用户的地址池一定要配DNS，否则用户能连上Wi-Fi却打不开网页。

3.3 第三步：配置Trunk链路，让VLAN通行无阻

现在VLAN和IP都有了，但它们在设备间还是孤岛。我们需要在设备互联的端口上配置为Trunk类型，并允许相关的VLAN通过，就像在岛屿之间架起桥梁。

# 配置AC连接核心交换机的端口（假设是G1/0/0） [AC] interface GigabitEthernet 1/0/0 [AC-GigabitEthernet1/0/0] port link-type trunk # 设置为Trunk模式 [AC-GigabitEthernet1/0/0] port trunk permit vlan 10 56 101 # 允许VLAN 10, 56, 101通过 [AC-GigabitEthernet1/0/0] undo port trunk permit vlan 1 # 禁止默认VLAN 1通过，安全起见 [AC-GigabitEthernet1/0/0] quit # 在核心交换机上，配置连接AC和接入交换机的端口 [HeXin] interface GigabitEthernet 1/0/1 # 假设连AC [HeXin-GigabitEthernet1/0/1] port link-type trunk [HeXin-GigabitEthernet1/0/1] port trunk permit vlan 10 56 101 [HeXin-GigabitEthernet1/0/1] undo port trunk permit vlan 1 [HeXin-GigabitEthernet1/0/1] quit [HeXin] interface GigabitEthernet 1/0/2 # 假设连接入交换机 [HeXin-GigabitEthernet1/0/2] port link-type trunk [HeXin-GigabitEthernet1/0/2] port trunk permit vlan 10 56 101 [HeXin-GigabitEthernet1/0/2] undo port trunk permit vlan 1 [HeXin-GigabitEthernet1/0/2] quit # 在接入交换机上，配置上联端口和连接AP的端口 [JieRu] interface GigabitEthernet 1/0/1 # 上联核心 [JieRu-GigabitEthernet1/0/1] port link-type trunk [JieRu-GigabitEthernet1/0/1] port trunk permit vlan 10 56 101 [JieRu-GigabitEthernet1/0/1] undo port trunk permit vlan 1 [JieRu-GigabitEthernet1/0/1] quit # 连接AP的端口配置（假设G1/0/2和G1/0/3接AP） [JieRu] interface GigabitEthernet 1/0/2 [JieRu-GigabitEthernet1/0/2] poe enable # 真机必配！给AP供电 [JieRu-GigabitEthernet1/0/2] port access vlan 101 # 将端口划入AP管理VLAN [JieRu-GigabitEthernet1/0/2] quit [JieRu] interface GigabitEthernet 1/0/3 [JieRu-GigabitEthernet1/0/3] poe enable [JieRu-GigabitEthernet1/0/3] port access vlan 101 [JieRu-GigabitEthernet1/0/3] quit

这里的关键点：连接AP的端口是Access模式，并指定属于VLAN 101。这样AP一插上电，从该端口发出的数据帧就会被打上VLAN 101的标签，从而从核心交换机那里获取到VLAN 101网段的IP地址。而设备之间的互联端口必须是Trunk，才能承载多个VLAN的流量。

3.4 第四步：配置路由，让网络内外互通

目前，我们所有设备都在同一个大的二层网络里（通过Trunk），但AC和接入交换机需要知道，如果要去往互联网或者其他网络，数据包该扔给谁。所以我们需要配置默认路由，指向核心交换机，因为核心交换机通常作为网络的出口网关。

# 在接入交换机上配置默认路由，指向核心交换机的管理地址 [JieRu] ip route-static 0.0.0.0 0.0.0.0 192.168.56.10 # 在AC上配置默认路由，同样指向核心交换机 [AC] ip route-static 0.0.0.0 0.0.0.0 192.168.56.10

这条命令的意思是：对于所有目标地址（0.0.0.0/0），下一跳都交给192.168.56.10（核心交换机）去处理。这样，AC和接入交换机就有了基本的“指路牌”。

4. 无线核心：AC上的关键配置

基础网络打通后，重头戏来了——配置无线控制器AC。这是让无线网络“活”起来的关键。

4.1 为AC配置AP管理地址

AP通过DHCP拿到IP（如192.168.101.x）后，它需要知道AC在哪里。AC必须有一个接口的IP地址与AP在同一个网段（VLAN 101），作为CAPWAP隧道的终点。

[AC] interface Vlan-interface 101 [AC-Vlan-interface101] ip address 192.168.101.250 24 [AC-Vlan-interface101] quit

我习惯把AC的这个地址设成网段里一个比较靠后、容易记的地址，比如.250，避免和DHCP分配的地址冲突。

4.2 开启AP自动上线与固化

这是华三AC的一大便利功能。开启后，新接入的AP可以自动被发现并注册到AC上，大大简化了部署。

[AC] wlan auto-ap enable # 开启AP自动发现功能 [AC] wlan auto-persistent enable # 开启AP自动固化功能

自动固化非常重要。如果不开启，AP在AC重启后，之前自动上线的记录会丢失，需要重新发现。开启后，AP的信息会被保存下来，重启后自动恢复关联。

4.3 创建无线服务模板（SSID与加密）

服务模板定义了无线网络的基本属性：名字（SSID）、加密方式、密码等。这里要分模拟器和真机两种情况，因为模拟器的无线终端可能不支持复杂的加密认证。

模拟器环境（用于功能测试）：

[AC] wlan service-template 1 # 创建服务模板，编号1 [AC-wlan-st-1] ssid H3C-Test # 设置无线网络名称 [AC-wlan-st-1] service-template enable # 启用该服务模板 [AC-wlan-st-1] quit

模拟器里我们通常先不加密，确保终端能连上，测试连通性。

真实环境（必须加密）：

[AC] wlan service-template Office-WiFi [AC-wlan-st-Office-WiFi] ssid H3C-Office # 设置一个正式的SSID [AC-wlan-st-Office-WiFi] akm mode psk # 认证模式为预共享密钥（个人常用WPA2-Personal） [AC-wlan-st-Office-WiFi] preshared-key pass-phrase simple MyStrongPass123! # 设置密码 [AC-wlan-st-Office-WiFi] cipher-suite ccmp # 加密套件为CCMP（AES），安全性高 [AC-wlan-st-Office-WiFi] security-ie rsn # 安全信息元素为RSN（WPA2） [AC-wlan-st-Office-WiFi] service-template enable [AC-wlan-st-Office-WiFi] quit

在真机上，安全配置是必须的。akm mode psk配合preshared-key是最常见的家用/中小企业加密方式。密码要设置得复杂一些。

4.4 高级安全：MAC地址认证与白名单

对于安全性要求更高的场景，比如企业访客网络、或者只允许特定设备接入，我们可以使用MAC地址认证或白名单。

MAC地址认证（802.1X的一种简化）：这种方式要求终端连接时，其MAC地址必须在AC上预先配置为本地用户，并输入对应密码。

# 首先在服务模板中启用MAC认证 [AC] wlan service-template Secure-WiFi [AC-wlan-st-Secure-WiFi] ssid Secure-Net [AC-wlan-st-Secure-WiFi] client-security authentication-mode mac [AC-wlan-st-Secure-WiFi] service-template enable [AC-wlan-st-Secure-WiFi] quit # 然后为特定MAC地址创建本地用户（假设终端MAC为 00e0-0802-1235） [AC] local-user 00e008021235 class network # 用户名就是MAC地址 [AC-luser-network-00e008021235] password simple 00e008021235 # 密码可以设为MAC或自定义 [AC-luser-network-00e008021235] service-type lan-access # 服务类型为局域网接入 [AC-luser-network-00e008021235] quit

这种方式下，只有创建了本地用户的MAC地址才能成功认证上网。注意：如果启用了MAC认证但没创建任何用户，那么所有设备都无法接入。

MAC地址白名单：这是一种更简单的过滤方式，只允许列表中的MAC接入，无需密码。

[AC] wlan whitelist mac-address 00e0-0802-1235

执行这条命令时，AC会提示断开所有已连接的客户端。白名单生效后，只有列表中的设备可以连接该无线网络，其他设备即使知道密码也会被拒绝。白名单的优先级通常高于普通密码认证。

4.5 将AP与无线服务模板绑定

AP上线后，我们需要告诉它：“你身上的无线电，要发射哪个无线信号（服务模板）”。有两种主流方式：单个AP绑定和AP组绑定。

方式一：为单个AP手动绑定（适合AP型号、配置各异的环境）首先，你需要知道AP的序列号（SN号）。在模拟器里，把鼠标悬停在AP设备图标上，通常会显示其MAC地址，这个地址在模拟环境中常被用作序列号。

[AC] wlan ap AP-01 model WA6320-HCL # 创建AP，命名为AP-01，指定型号 [AC-wlan-ap-AP-01] serial-id H3C_12-4B-54-B1-04-00 # 填入该AP的序列号（模拟器用MAC） [AC-wlan-ap-AP-01] radio 1 # 进入5G射频模块（radio1通常是5GHz） [AC-wlan-ap-AP-01-radio-1] channel 36 # 手动指定信道，避免自动选择冲突 [AC-wlan-ap-AP-01-radio-1] service-template Office-WiFi vlan 10 # 绑定服务模板，并指定业务VLAN [AC-wlan-ap-AP-01-radio-1] radio enable # 开启射频，开始发射信号 [AC-wlan-ap-AP-01-radio-1] quit [AC-wlan-ap-AP-01] radio 2 # 进入2.4G射频模块 [AC-wlan-ap-AP-01-radio-2] service-template Office-WiFi vlan 10 [AC-wlan-ap-AP-01-radio-2] radio enable [AC-wlan-ap-AP-01-radio-2] quit [AC-wlan-ap-AP-01] quit

这里的关键是service-template Office-WiFi vlan 10。它做了两件事：让AP的射频发射名为“H3C-Office”的无线信号；并且所有连接这个信号的终端，其数据流量都会被标记为VLAN 10，从而从核心交换机的VLAN 10网关获取IP上网。

方式二：使用AP组进行批量绑定（适合AP型号统一、配置相同的环境）当你有几十上百个相同型号的AP时，一个个配置会累死。AP组可以让你批量管理。

[AC] wlan ap-group Floor-1 # 创建一个名为“Floor-1”的AP组 [AC-wlan-ap-group-Floor-1] ap AP-01 # 将AP-01加入这个组 [AC-wlan-ap-group-Floor-1] ap-model WA6320-HCL # 指定组内AP的型号配置 [AC-wlan-ap-group-Floor-1-ap-model-WA6320-HCL] radio 1 [AC-wlan-ap-group-Floor-1-ap-model-WA6320-HCL-radio-1] service-template Office-WiFi vlan 10 [AC-wlan-ap-group-Floor-1-ap-model-WA6320-HCL-radio-1] radio enable [AC-wlan-ap-group-Floor-1-ap-model-WA6320-HCL-radio-1] quit [AC-wlan-ap-group-Floor-1] quit

之后，任何被加入Floor-1组的AP（前提是型号匹配），都会自动应用组里的射频配置。缺省组（default-group）是所有未指定组的AP的归宿，但你不能手动向里面添加或删除AP。

5. 验收与调优：让网络更稳定高效

配置全部完成后，别急着庆祝。我们需要进行验收测试和必要的优化。

5.1 基础验收检查清单

1. AP上线状态：在AC上执行display wlan ap all。查看所有AP的“State”字段，应该是“Run”状态。如果显示“Idle”或“Download”，说明AP没拿到IP或者没找到AC，需要回头检查VLAN、DHCP和路由。
2. 无线信号发射：用手机或电脑搜索Wi-Fi，应该能看到你配置的SSID（如“H3C-Office”）。尝试连接并输入密码。
3. 终端获取IP：连接成功后，查看终端是否获得了VLAN 10网段（如192.168.10.x）的IP地址。
4. 网络连通性测试：让终端ping一下核心交换机的网关（192.168.10.1），再ping一下外网地址（如8.8.8.8）。如果第一步通第二步不通，检查核心交换机的上行出口和NAT配置。
5. 漫游测试（可选）：如果部署了多个AP，拿着手机在两个AP覆盖区域之间走动，用ping -t持续ping网关，观察丢包情况。好的AC+AP方案应该能做到快速切换（丢1-3个包以内）。

5.2 无线网络优化实战技巧

配置能通只是及格线，优化得好才是高手。分享几个我常用的调优命令：

信道规划：2.4GHz频段干扰严重，尽量使用1、6、11这三个互不干扰的信道。5GHz频段干净很多，可以多用。

# 进入AP的射频视图，手动指定信道 [AC-wlan-ap-AP-01-radio-1] channel 149 # 5G信道 [AC-wlan-ap-AP-01-radio-2] channel 6 # 2.4G信道，尽量用1、6、11 # 或者，让AP自动选择信道，但排除一些受雷达影响的DFS信道（如52-64） [AC-wlan-ap-AP-01-radio-1] channel auto-select blacklist 52 56 60 64

功率调整：不是信号越强越好，过强的信号会导致AP之间干扰。在AC的射频视图下，可以用max-power或power-level命令适当降低发射功率，尤其是AP部署密集的场合。

双AC冗余配置（高可用）：对于关键业务，可以部署两台AC做一主一备。

# 在主AC上为AP配置备份AC [AC-wlan-ap-AP-01] backup-ac ip 192.168.101.2 # 填写备份AC的IP地址 [AC-wlan-ap-AP-01] priority 7 # 设置优先级，值越小优先级越高，主AC通常设6，备AC设7或更大 [AC-wlan-ap-AP-01] wlan tunnel-preempt enable # 启用隧道抢占，主AC恢复后，AP能切回来

这样，当主AC故障时，AP会自动与备份AC建立隧道，业务不中断。

走到这一步，一个完整可用的华三AC+AP企业无线网络就已经构建成功了。从规划到配置，每一步都有它的道理。模拟器演练让你敢于尝试，真机部署时心里有底。无线网络运维是个持续的过程，后期你可能还会遇到信号盲区、个别终端兼容性问题、流量高峰期的拥塞等，这时候就需要用到更高级的射频优化、负载均衡和流量分析功能了。但无论如何，把今天这个从零到一的框架搭稳了，后续的所有优化都有了坚实的基础。下次如果你需要做访客隔离、或者做无线认证Portal，都可以在这个框架上继续添加配置。