华为ENSP里做无线实验AP加AP的三层组网加漫游是我这两年带新人时反复被问到的一个组合场景。很多人第一次搭的时候AP能上线但一漫游就掉线或者干脆两个AP各管各的客户端在中间来回横跳。这个实验的价值在于它把CAPWAP隧道、三层转发、AC内漫游这几件事串到了一起是理解企业级无线组网最直接的一块敲门砖。我这次会从拓扑设计一路讲到排错把参数计算、命令配置、eNSP模拟器的坑都摊开说清楚。适合刚接触华为无线、想搞明白FIT AP怎么在三层网络里被AC统一管理、并且想亲手验证漫游效果的网络从业者和学生。1. 三层组网到底解决什么问题先把设计思路说透1.1 二层组网的老毛病要理解三层组网的意义得先知道二层组网哪里不舒服。二层组网指的是AC和AP的管理地址、业务地址处在同一个广播域AP和AC之间通过同一个VLAN打交道。这种结构在小场景里没毛病一个AC下挂十几个AP所有AP的网关和AC都在一个网段配起来快报文的走向也简单。问题出在规模上来之后。一个AC理论上能管几百甚至上千个AP如果这些AP全塞进一个二层广播域广播报文、ARP请求会把这个域撑得非常难受网络里的主机会被无关的广播消耗掉大量资源。更要命的是二层网络很难做跨区域的收敛一个园区有好几栋楼每栋楼一个二层域更顺手但你不想为每栋楼单配一个AC那样成本和管理都扛不住。还有一个现实问题原生的二层漫游客户端从一个AP走到另一个AP如果两个AP在同一个二层域里面STA的IP地址可以保持不变漫游很平滑。可一旦跨越三层边界比如从A栋漫游到B栋客户端的IP就面临重新的问题。三层组网要解决的核心就是让AC集中管理跨三层的AP同时借助一些机制把漫游做顺。1.2 三层组网的分工逻辑三层组网里AP和AC不再强求在同一个二层域。AP的管理地址可以各自落在不同的网段AP的网关放在核心交换机或者专门的网关设备上AC通过路由可达的地址来管理这些AP。这么设计的直接好处是AC的位置可以很灵活放在数据中心或者核心机房都行AP只要IP可达AC就能被纳管。我画这个实验拓扑时的思路是这样的核心交换机作为AP管理和业务流量的网关AC单独挂在一个互联VLAN里AP通过接入交换机上联到核心。AP的管理报文走VLAN 10无线业务走VLAN 20AC和核心之间用VLAN 100互联。AP发出的CAPWAP隧道报文源地址是AP的管理地址目的地址是AC的CAPWAP源地址这两个地址之间只要路由可达隧道就能建起来跟它们是不是同一个网段没有关系。这里有个关键认知三层组网的本质是把“控制面”和“数据面”解耦。AC负责管理、认证、下发的配置这是控制面真正的用户数据要按业务转发模式走。默认的隧道转发模式下业务数据也要封装进CAPWAP数据隧道送回AC再从AC转发出去。这带来一个连锁反应业务流量的路径被拉长了但换来的是AC对业务的集中管控和统一策略。理解了这一点后面配漫游就不会迷糊。1.3 eNSP里选设备与搭拓扑eNSP模拟器里做无线实验设备选型直接决定实验能不能走通。我这里用的AC是AC6605AP用AP2050或者AP4050系列核心和接入交换机用S5700STA用模拟器自带的无线终端。版本上建议用比较新的eNSP版本太老的版本里AC6605的WLAN模板可能不全CAPWAP调试起来会很别扭。拓扑连法是AC的GE0/0/1接核心交换机的GE0/0/1两者都在VLAN 100核心交换机的GE0/0/2 trunk到接入交换机接入交换机接两个APAP所在的接口划到VLAN 10无线客户端STA关联到AP。两个AP都注册到同一个AC上归属同一个AP组这样它们下发的无线参数一致漫游才有基础。注意eNSP里的AP数量和射频资源是有限制的两个AP两次射频别太多不然模拟器会卡。另外AP上线前一定要确认AC的CAPWAP源地址配好了否则AP找不到回家的路。2. CAPWAP隧道与漫游的底层逻辑2.1 AC、FIT AP和CAPWAP两种隧道FIT AP本身是个“瘦”设备自己不保存完整配置开机后第一件事是找一个AC然后把自己挂上去。找AC的方式有两种一种是通过DHCP的Option 43字段把AC的地址告诉它另一种是通过DNS解析。实验里最常用的是Option 43简单直接。AP拿到AC地址后会和AC建立两条CAPWAP隧道。一条是控制隧道用UDP 5246端口负责AP和AC之间传管理报文、配置下发、认证信息另一条是数据隧道用UDP 5247端口负责封装用户的业务数据。控制隧道先建建好之后AC才能把无线模板推给APAP才有能力开射频、广播SSID。数据隧道可以理解成一条运数据的“管子”用户的每一个包都被塞进这条管子里送到AC。在三层组网里这两条隧道的源目地址跨越了网段所以必须保证AP到AC的三层可达。我习惯在配置前先ping一下从AP的网关方向ping AC的CAPWAP地址通了再往下走。这一步看着多余实际上能省掉后面八成的“AP不上线”问题。2.2 漫游时STA在做什么漫游说白了就是客户端从一个AP换到另一个AP而且尽量让上层应用无感。客户端决定漫游的触发因素主要是信号质量当前AP的信号弱到一定程度它就会去扫描周围有没有更强的AP。扫描到之后它向新AP发关联请求新AP确认后完成切换。问题在于标准的重新关联过程里如果用了WPA2企业级认证客户端要重新经历一次完整的认证握手这个时间可能几百毫秒甚至更长视频、语音这种对时延敏感的业务就卡了。所以就有了优化机制OKC机会密钥缓存就是其中之一。OKC的原理是客户端第一次认证成功后AC会把派生的PMK缓存起来并且把这个PMK通过AC间的安全通道或者本地缓存共享给其他AP。客户端漫游到新AP时直接拿缓存的PMK派生出新的会话密钥跳过了完整的EAP认证流程切换时间能压到几十毫秒级。OKC的报文交互大致是STA在新AP上发起关联新AP发现这个STA有缓存的安全上下文于是走缓存的快速路径完成四次握手而不用再去RADIUS服务器兜一圈。这套机制在AC内漫游时表现最明显因为PMK的缓存就在同一个AC里不需要跨设备同步。2.3 二层漫游与三层漫游的区别漫游分二层和三层区别就在业务子网变不变。二层漫游是客户端从一个AP换到另一个AP但两个AP下的业务VLAN是同一个客户端拿到的还是同一个IP网络层完全无感。三层漫游是客户端换AP后业务子网也可能变了为了保持客户端的IP不变需要一个类似家乡代理的机制把流量引回去。在同AC内部如果两个AP挂在同一个业务VLAN上那就是标准的二层漫游也是这个实验最容易跑通的形态。如果业务VLAN不同那就涉及同AC内的三层漫游AC会为客户端维护一个家乡隧道把数据引回原来的网关。跨AC的漫游就更复杂需要配置AC间的漫游组和隧道实验里通常先不做。我建议先把同AC下的二层漫游跑通确认STA能在两个AP之间平滑切换再去碰三层漫游。这个顺序能帮你把问题隔离不至于一上来就被一堆配置绕晕。3. 手把手搭实验从VLAN规划到AP上线3.1 IP与VLAN规划表动手前先把规划定死这是我一贯的做法配置的时候照表填可以杜绝一多半的地址冲突和VLAN错位。我的规划如下表项目VLAN网段网关/接口用途AP管理VLAN 10192.168.10.0/24核心VLANIF10: 192.168.10.1AP的IP地址无线业务VLAN 20192.168.20.0/24核心VLANIF20: 192.168.20.1STA的IP地址AC互联VLAN 100192.168.100.0/24AC VLANIF100: 192.168.100.1核心VLANIF100: 192.168.100.2CAPWAP隧道AC的CAPWAP源地址是192.168.100.1DHCP里通过Option 43把这个地址告诉AP。AP的管理网关是192.168.10.1。业务网关是192.168.20.1DHCP也为STA分配VLAN 20网段的地址。提示规划表里的网关地址和CAPWAP源地址一定不要混。AP的网关和AC地址不是同一个这正是三层组网的特点很多人在这里配错导致AP找不到AC。3.2 核心交换机与AC基础配置先配核心交换机把VLAN、VLANIF、DHCP和路由搞定。核心交换机是S5700配置如下system-view sysname CoreSW vlan batch 10 20 100 interface Vlanif10 ip address 192.168.10.1 24 interface Vlanif20 ip address 192.168.20.1 24 interface Vlanif100 ip address 192.168.100.2 24 interface GigabitEthernet0/0/1 port link-type access port default vlan 100 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20然后是DHCP。我给AP和STA各建一个地址池AP的池子里加上Option 43。核心交换机在做DHCP服务器时需要在VLANIF上开启全局地址分配dhcp enable ip pool ap-pool network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 option 43 sub-option 2 ip-address 192.168.100.1 ip pool sta-pool network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 interface Vlanif10 dhcp select global interface Vlanif20 dhcp select globalAC这边配置VLANIF100并指定CAPWAP源接口system-view sysname AC vlan batch 100 interface Vlanif100 ip address 192.168.100.1 24 capwap source interface vlanif100到这里AC和核心之间的三层连通性就有了。关键就是AC的CAPWAP源地址要能被子网内的AP路由访问到核心有直连路由默认就能通。3.3 DHCP与Option 43让AP找到ACAP上线流程有三步拿IP、找AC、建隧道。第一关是拿IP由核心交换机的ap-pool负责AP的管理地址落在192.168.10.0/24。第二关是找AC靠的就是Option 43。Option 43是DHCP的一个扩展选项用来告诉AP它的AC在哪里。华为的实现里常用的写法是sub-option 2填AC的IP地址。很多人在这一步翻车是因为把Option 43写成了AP管理网段的AC地址或者忘了在地址池上应用。我配完DHCP后习惯用display ip pool name ap-pool used看一眼有没有AP确实拿到了地址。如果地址没分出去别急着查无线配置先确认AP的接口VLAN和DHCP放行没问题。注意如果AC本身也做DHCP服务器那么Option 43填AC自己的地址即可。这个实验里我们用核心做DHCPOption 43就填AC的192.168.100.1两者别混。3.4 无线业务模板与AP上线AC上的WLAN配置是重头戏。我把它拆成四块AP认证、射频域、安全模板、SSID和VAP模板。先让AP以MAC认证的方式上线wlan ap auth-mode mac-auth ap-id 0 ap-mac 00e0-fc00-0001 ap-name AP1 ap-id 1 ap-mac 00e0-fc00-0002 ap-name AP2然后是射频域、安全、SSIDregulatory-domain-profile name cn-domain country-code cn security-profile name sec-wpa2 security wpa2 psk pass-phrase Huawei123 aes ssid-profile name ssid-test ssid test-wifi vap-profile name vap-test service-vlan vlan-id 20 security-profile sec-wpa2 ssid-profile ssid-test最后把模板挂到AP组上两个AP都加入默认组default射频0和射频1都下发VAPap-group name default regulatory-domain-profile cn-domain vap-profile vap-test wlan 1 radio 0 vap-profile vap-test wlan 1 radio 1配完之后用display ap all看AP状态。State那一列如果是fault说明AP没上线得回去查CAPWAP隧道如果是nor说明隧道建好了如果显示为正常在服务状态那AP就能干活了。我第一次做的时候卡在AP一直nor但不下发业务后来发现是AP的MAC写错了改过来立刻就好。4. 让漫游真正跑起来参数配置与验证手法4.1 AC上的漫游相关配置华为AC里同AC内AP之间的漫游默认是开启的不需要额外命令去“打开”。要跑通漫游前提条件有这么几个两个AP在同一个AC下SSID和安全模板完全一致业务VLAN一致射频域一致。满足了这些客户端从AP1的覆盖范围走到AP2理论上会自动切过去。但“默认开启”不等于“什么都不用管”。如果你的安全模板用的是PSK那漫游时客户端重新做四次握手时间稍长但能接受。如果用企业级认证就建议开启OKC或者快速漫游来缩短切换。华为的几款AC在WLAN视图下有漫游优化相关的命令可以针对AC内漫游做微调wlan roam-threshold -70漫游门限我一般给到-70dBm左右意思是当前AP的信号弱过这个值客户端就更倾向于去找新的AP。这个值设得太高客户端会在信号还不错的时候乱漫游设得太低又会拖到信号很烂才切切换时会顿一下。实际调的时候要结合AP的发射功率和实际覆盖来试。提示漫游门限不是越小越好也不是越大越好。我一般先在-70试如果发现客户端“赖着不走”就调到-65如果频繁横跳就调到-75。4.2 eNSP里怎么模拟信号切换这是eNSP做漫游实验最大的坑模拟器里的无线客户端不能真的“移动”你没法像真机那样拿着笔记本从一个房间走到另一个。所以eNSP里验证漫游常见有两种替代做法。第一种是手动把STA先从AP1断开关联再让它关联AP2。操作上就是把STA的无线连接关掉再打开观察它重新关联到了哪个AP。这种方法能验证“AP2能不能正常接纳客户端”但严格来说不算漫游只能算重新关联。第二种是调节AP的发射功率把AP1的功率调低模拟信号变弱逼着客户端切换。这个更接近真实漫游的触发条件。华为AP的射频功率可以在AP的射频视图里调整wlan ap-id 0 radio 0 power autoeNSP里如果功率调节不生效那就只能接受模拟器的局限把重点放在配置正确性和AC侧的记录上。我在真机上做过同样的配置漫游切换基本是秒级的eNSP只能给你一个配置层面的验证。4.3 用display命令看漫游结果不管用哪种方式触发最终都要在AC上验证结果。最常用的命令是查看STA的关联信息display station all display station assoc-info 0assoc-info里会显示这个客户端当前关联在哪个AP、哪个射频上。你触发切换后再执行一次如果关联的AP-ID变了就说明切换生效了。另外display station roam-track这类漫游跟踪命令在某些版本上可以看到漫游的历史记录能帮你判断切换是主动漫游还是掉线重连。我验证的时候习惯做一个对比切换前记下STA的IP和关联AP切换后确认IP还是192.168.20.x没变但关联AP变成了ID 1。IP不变说明业务会话没断关联AP变了说明切换真的发生了。这两条同时满足才算漫游成功。注意如果STA的IP变了那说明它经历的是断开重连不是漫游。漫游的判定标准里IP地址保持不变是很重要的一条。5. 排错实录AP不上线、漫游失败怎么查5.1 AP上线失败的常见原因AP不上线是最磨人的问题我按经验排了个优先级。第一查三层可达性从AP的网关ping AC的CAPWAP地址不通就先查路由和VLAN。第二查Option 43地址池里有没有写对AC的地址。第三查AP的MAC认证ap-mac要和AP实际MAC完全一致大小写和分隔符都不能错。第四查CAPWAP源接口capwap source interface vlanif100这条命令漏了的话AC根本不会去应答AP的发现报文。还有一种情况是AP拿到了地址也找到了AC但状态一直是nor不变成normal。这多半是AP和AC的版本不匹配或者AC上缺少对应的AP型号库。eNSP里相对少见但真机上是常客。遇到这种先去查AC支持的AP型号列表。排查的时候display ap all和display ap online-fail-record all是两个必看的命令后者会直接告诉你AP上线失败在哪个阶段省掉大量瞎猜时间。5.2 漫游不切换的排查顺序如果AP上线了客户端也能上网就是漫游不动我一般按这个顺序查。先确认两个AP的无线模板是不是同一套SSID、安全、VLAN必须一致有一处不同客户端就会当成两个独立的网络谈不上漫游。再确认两个AP是不是在同一个AC下跨AC的漫游配置复杂得多不是默认就能跑的。然后确认客户端本身支不支持漫游有些模拟器或老终端的无线驱动比较“固执”信号弱了也不主动切。再就是门限的问题。如果漫游门限设得太低客户端会死守当前AP不放手表现出来就是“不切换”。这时候调高门限值试试。最后看覆盖如果两个AP的信号交叠区太小客户端可能直接从AP1掉线再去关联AP2中间有个明显的断档这会被误判成漫游失败实际上是覆盖设计的问题。5.3 常见问题速查表我把这些年踩过的坑整理成一张表方便你对着查现象可能原因排查动作AP状态长期nor版本不匹配或型号库缺失查display ap online-fail-record allAP拿不到IP接口VLAN错、DHCP未放行查AP接入口PVID和地址池使用情况AP找不到ACOption 43地址错或CAPWAP源未配核对地址池和capwap source客户端能上网但漫游不动模板不一致、门限过低比对两个AP的VAP和安全模板调门限漫游后IP变了实际是断线重连检查业务VLAN是否一致切换到新AP后认证失败PMK缓存未生效开启OKC或检查认证服务器状态这张表里的每一条都是我或者身边的人真实遇到过的。尤其是最后一条企业级认证环境下漫游失败八成和密钥缓存没走通有关把OKC打开往往就好了。5.4 我个人的几个实操心得做了这么多遍有几个体会是文档里不会写的。第一个是别小看baseline的作用配之前先把两个AP单独跑通各自能广播SSID、客户端能关联上网再去配漫游。一上来就配两个AP出了问题你很难判断是AP本身的问题还是漫游的问题。第二个是把调试信息用起来。eNSP和真机都支持抓CAPWAP报文debugging相关的命令虽然会刷屏但在AP不上线的时候看两眼能直接看到协议卡在哪一步。我第一次做的时候就是靠抓包发现AC根本没回发现响应顺着查才发现CAPWAP源接口漏配了。第三个是记录配置变更。漫游门限、功率这些参数一改很可能带来新的现象。我习惯在实验笔记里写清楚每次改了哪个参数、改前改后的现象这样回溯起来不用靠记忆。无线实验的参数耦合程度高一个参数动了另一个现象就变了没有记录很容易绕圈。第四个是关于eNSP的局限要心里有数。它在配置层面能帮你验证AC和AP的交互逻辑但真机上的漫游体验、切换时延、OKC的实际收敛这些还是要在真实设备上跑才算数。把eNSP当成配置演练场把真机当成最终验收环境这个定位理清楚了整个学习路径会顺很多。
