简介这是一份河南大学软件学院《无线网络与安全技术》课程的实验报告主题为Fat AP基本配置适合网络工程专业学生及无线网络入门学习者参考。报告完整记录了AP从Fit模式切换为Fat模式、通过console线连接并登录命令行、创建无线虚拟接口与服务模板、绑定无线射频接口等关键配置过程同时梳理了无线虚拟接口、无线服务模板、无线射频接口的技术原理并针对STA能搜索到信号但无法获取IP的典型故障给出了诊断思路。资源为单个doc文档大小2.4MB内容包含实验环境说明、配置命令、步骤截图及撤销配置的排错记录便于对照实际操作进行学习。目前已有90人学习浏览可作为无线网络配置实验的参考资料。1. 一份叫「AP 基本配置」的实验报告为什么值得逐条较真实验报告9_AP基本配置这个标题看着像课堂作业实际是无线网络里最容易翻车的起点。很多人在这关犯同一个错SSID 能搜到、密码也能过终端就是上不了网折腾半天发现是 VLAN 或工作模式没配对。AP 基本配置不是「设个 WiFi 密码」那么轻它决定 AP 能不能被管理、业务能不能通、后续漫游和优化有没有地基。这篇笔记按实验报告覆盖的完整链路拆先定 FAT 和 FIT 模式再逐项落 SSID、加密、信道、VLAN、DHCP最后收在踩坑和验证手段上。适合正在补这个实验的初学者也适合熟手在批量部署前把边界参数再过一遍。2. 先分清楚 FAT 和 FIT同样的 AP两种完全不同的配置路径拿到一台 AP第一个要回答的问题不是「密码设什么」而是「这台 AP 用哪种模式」。FAT AP 独立工作配置全存在本地FIT AP 是瘦终端所有配置由 AC 下发。模式选错后面的命令写再多也是白搭。这一章把两种模式的入口和最小配置动作分别走一遍。2.1 第一次进 APConsole 登录、改密码、开远程管理的标准动作FAT 和 FIT 共用同一条第一步拿到 AP 后先进系统。实验室最稳的方式是 Console 串口线因为 AP 出厂 IP 未知、也没有 DHCP 响应时Web 和 SSH 都进不去。用串口线接上后终端软件把波特率设成 9600、数据位 8、停止位 1、无校验通电后回车就能看到用户视图提示符。这个过程别跳过后面所有排查都要靠「能不能进系统」来缩小范围。进系统后第一件事改默认密码第二件事开远程管理两个动作连着做# 进入系统视图 AP system-view # 给 Console 口配置密码认证 [AP] user-interface console 0 [AP-ui-console] authentication-mode password [AP-ui-console] set authentication password cipher Lab2024wlan [AP-ui-console] quit # 开启 Telnet 并给虚拟终端配置密码 [AP] telnet server enable [AP] user-interface vty 0 4 [AP-ui-vty0-4] authentication-mode password [AP-ui-vty0-4] set authentication password cipher Lab2024wlan [AP-ui-vty0-4] quit # 保存配置否则重启全丢 [AP] save逻辑说明Console 口认证只影响串口登录vty 是后续 Telnet/SSH 的入口两个都要配。很多初学者只配了 Console结果想从电脑远端连 AP 才发现连不上又得跑一趟机柜插串口线。密码里的 cipher 表示设备以密文保存密码查看配置时不会直接暴露原文。参数说明密码至少 8 位且含大小写和数字如果型号支持 SSH优先ssh server enable而不是 Telnet因为 Telnet 的密码和配置在链路上是明文。save执行后设备会确认敲 Y 回车看到配置保存成功提示才算数。这一步是整个 AP 基本配置里最容易被漏掉、代价也最大的动作。2.2 FAT AP 自己扛一切从 SSID 到信道的最小可上网命令集FAT AP 把所有无线参数存在本地不依赖任何控制器。校园实验室和小型办公室只有一两台 AP 时用 FAT 最直接。代价是每台 AP 都要单独配置改一次 SSID 密码得逐台上设备。明确了这点再来看配什么SSID、加密、VAP 绑定射频最少三步AP system-view [AP] wlan # 1. 创建 SSID 模板名字叫 lab-ssid [AP-wlan] ssid-profile name lab-ssid [AP-wlan-ssid-lab-ssid] ssid lab-ssid [AP-wlan-ssid-lab-ssid] quit # 2. 创建安全模板WPA2-PSK AES [AP-wlan] security-profile name lab-security [AP-wlan-sec-lab-security] security wpa2 psk passphrase Lab2024wlan aes [AP-wlan-sec-lab-security] quit # 3. 创建 VAP 模板把 SSID 和安全模板绑到一起 [AP-wlan] vap-profile name lab-vap [AP-wlan-vap-lab-vap] ssid-profile lab-ssid [AP-wlan-vap-lab-vap] security-profile lab-security [AP-wlan-vap-lab-vap] quit # 4. 把 VAP 应用到 2.4G 射频口 [AP-wlan] radio 0 [AP-wlan-radio0] vap-profile lab-vap [AP-wlan-radio0] quit [AP] save逻辑说明这个顺序是主流企业级 AP 通用的模板式思路。SSID 模板只负责广播名字安全模板负责加密和密码VAP 模板把两者组合起来再绑到射频口。radio 0 通常是 2.4Gradio 1 是 5G如果 5G 也要覆盖对 radio 1 再应用一次同样的 VAP。参数说明security wpa2 psk passphrase末尾的aes表示加密套件选 CCMP/AES 而不是 TKIP这里必须明确写否则设备可能落到兼容模式协商出弱加密。密码至少 8 位。实验室 WPA2-PSK 足够如果实验硬性要求 WPA3把关键字换成 wpa3 psk但要注意旧终端可能不支持。2.3 FIT AP 交给 ACCAPWAP 上线链路与 Option 43 的完整配置FIT AP 不保存无线配置开机后通过 CAPWAP 协议从 AC 拉取。这种模式下基本配置的难点不在 AP而在「怎么让 AP 找到 AC」这条链路AP 通过 DHCP 拿到管理地址和 Option 43 里的 AC 地址再和 AC 建 CAPWAP 隧道AC 校验通过后把 SSID、加密、VLAN 推给 AP。任何一环断了AP 就停在未上线状态。DHCP 侧的关键是 Option 43。不同厂商子选项定义略有差异但核心格式都是「子选项类型 长度 AC 地址十六进制」。假设 AC 管理 IP 是 192.168.1.2十六进制是 c0 a8 01 02Linux DHCP 服务器配置如下# /etc/dhcp/dhcpd.conf 中为 AP 所在管理网段配置 Option 43 subnet 192.168.10.0 netmask 255.255.255.0 { range 192.168.10.100 192.168.10.200; option router 192.168.10.1; option domain-name-servers 192.168.10.1; # 子选项类型 0长度 4后面是 AC 地址 c0 a8 01 02 option vendor-encapsulated-options 00:04:c0:a8:01:02; }参数说明00是子选项类型有的厂商用01以 AC 侧文档为准04表示后面跟 4 字节c0 a8 01 02即 192.168.1.2。如果实验室没有 Linux DHCP在路由器或三层交换机上用dhcp option 43类似命令配置思路一样。AC 侧配置AC system-view [AC] wlan # 指定 CAPWAP 源地址AP 只认源为这个地址的 AC 响应 [AC-wlan] ac source-ip 192.168.1.2 # 实验室允许任意 MAC 上线生产环境必须改成 mac-auth [AC-wlan] ap auth-mode no-auth # 查看 AP 是否上线State 应该是 normal [AC-wlan] display wlan ap all逻辑说明ac source-ip必须和 Option 43 下发的地址一致否则 AP 收到 AC 地址也会因源地址不匹配丢弃报文。ap auth-mode no-auth实验省事但意味着任何 AP 都能注册进来正式部署要改成 mac-auth 并手工加入 AP 的 MAC。最后一行是验证入口State 从 fault 变 normal 才算上线链路通了。补充一个高频坑CAPWAP 隧道使用 UDP 5246/5247中间串了防火墙要放通AP 和 AC 时间偏差过大会导致 DTLS 握手失败实验室最好在两边都配 NTP。3. 射频与业务参数拆解SSID、加密、信道和功率该怎么落模式定完进入参数层。AP 基本配置的核心不是敲多少条命令而是每个参数选什么值、为什么。这一章把 SSID/VAP、加密认证、信道频宽功率三组参数拆开讲。3.1 VAP 绑定逻辑一个射频口怎么挂多个 SSID一台 AP 要同时提供员工网和访客网靠的就是多个 VAP。每个 VAP 是「SSID 安全 VLAN」的组合体绑到射频口后成为一个终端可见的无线网络。模板之间的关系如下配置对象负责内容典型例子ssid-profileSSID 广播名、是否隐藏lab-ssid、lab-guestsecurity-profile加密方式、密码、认证WPA2-PSK、WPA3-PSKvap-profile组合 SSID 安全 VLAN员工网、访客网radio物理射频口radio0 为 2.4Gradio1 为 5Gradio0 vap-profile理解了这张表多 SSID 就是重复建模板的事新建一个 lab-guest 的 SSID 模板、一个 guest-security 安全模板、一个 guest-vap 的 VAP 模板VAP 里绑不同 VLAN 实现隔离再应用到同一个 radio。注意终端可见的 SSID 别超过三四个信标帧开销会让整体效率明显下降。边界参数每个 VAP 有最大接入终端数默认值往往偏低实验室并发高时要调大VAP 里也能配每用户限速这属于进阶不是基本配置。3.2 WPA2-PSK、WPA3 与 802.1X实验室和企业场景各选什么加密选型直接决定终端能不能连、账号好不好管。常见方案对比方式适用场景需要额外设备注意点WPA2-PSK实验室、小办公室无密码≥8位加密套件选AESWPA3-PSK新终端为主无旧设备不支持需开兼容模式802.1X / WPA2-Enterprise企业、按账号管理RADIUS 服务器配置链路长需证书或账号密码MAC 认证 PSK设备允许列表无适合实验不适合访客实验报告场景选 WPA2-PSK 最省事一条命令就能满足安全要求。题目如果要求 WPA3开 WPA3-PSK 并保留 WPA2 过渡模式否则几台旧笔记本会直接连不上。无论哪种都不要选 TKIP它是为了兼容 802.11g 时代的老设备留下的性能差且已被破解工具覆盖没有任何新部署选它的理由。802.1X 在实验里容易翻车的原因是链路长RADIUS 服务器、共享密钥、证书或账号源、AC 上启用 AAA四段里任何一段出错都表现为「连上又断开」。如果不是实验硬性要求不建议在基本配置阶段碰它。3.3 信道、频宽与功率一张规划表避免无线打架无线参数里最容易被忽略的是射频三件套。很多实验报告只写了 SSID 和密码信道功率全默认结果多台 AP 一开就互相干扰。规划表如下频段推荐信道频宽建议功率建议2.4G1、6、11相邻 AP 错开20MHz15dBm 左右5G36、44、149、153避开 DFS 信道40MHz 起步干扰少可 80MHz17–20dBm2.4G 一共 14 个信道但只有 1、6、11 互不重叠其余信道之间都有频谱交叠。两台 AP 分别选 1 和 3互相干扰比选 1 和 6 还严重。这是所有 2.4G 规划的第一原则。频宽方面2.4G 开 40MHz 等于同时占两个相邻信道在密集环境里反而更慢5G 信道资源多40MHz 起步周围没干扰才升 80MHz。功率不是越大越好。信号满格但速率差的「假满格」多半是功率过大造成同频干扰。覆盖靠 AP 密度而不是单台功率实验室里 15dBm 起步测试用终端走一圈看哪个位置掉速再决定加不加功率。配置时用channel和tx-power类命令配完用display wlan radio all核对生效值。4. 让 AP 真正「入网」管理 VLAN、业务 VLAN 与 DHCP 联动配置AP 能广播 SSID 只是第一步终端连上后要拿地址、通网关才算真正入网。这一章解决的是数据链路管理流量和业务流量怎么分、地址从哪来。4.1 上联口 Trunk 放哪些 VLANAP 和终端各走各的网常见做法是把 AP 的管理网段和无线终端业务网段分开。AP 自己的 IP 走管理 VLAN终端无线流量由 VAP 打上业务 VLAN 标签上行。交换机接 AP 的口要配成 Trunk# 交换机连接 AP 的接口TrunkPVID 为管理 VLAN 10 [Switch] interface GigabitEthernet0/0/1 [Switch-GigabitEthernet0/0/1] port link-type trunk [Switch-GigabitEthernet0/0/1] port trunk pvid vlan 10 [Switch-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 [Switch-GigabitEthernet0/0/1] quitAP 侧VAP 模板里绑定业务 VLAN[AP-wlan] vap-profile name lab-vap [AP-wlan-vap-lab-vap] ssid-profile lab-ssid [AP-wlan-vap-lab-vap] security-profile lab-security # 业务 VLAN 在这里绑定终端拿的是这个 VLAN 的地址 [AP-wlan-vap-lab-vap] vlan 20 [AP-wlan-vap-lab-vap] quit [AP] save逻辑说明PVID 10 意味着 AP 发送的未打标管理帧默认归到 VLAN 10AP 自己的 IP 从这里拿终端无线帧被 VAP 打上 VLAN 20 标签上行交换机 Trunk 允许 10 和 20 通过。如果交换机只allow-pass vlan 10漏了 20现象就是 AP 在线、SSID 正常但终端永远拿不到 IP。如果上联口被配成 access只能承载单个 VLAN管理和业务混在一起单 AP 实验勉强能跑多 AP 一上线就乱。Trunk PVID 分离是正规做法也是实验报告里值得专门写清楚的一步。4.2 DHCP 地址池与网关终端拿到 IP配置才叫闭环业务 VLAN 打通后还要有 DHCP 给终端发地址。实验环境最省事的是在网关设备上开全局 DHCP# 网关开启 DHCP建立管理网段和业务网段两个地址池 [Gateway] dhcp enable [Gateway] ip pool ap-pool [Gateway-ip-pool-ap-pool] network 192.168.10.0 mask 255.255.255.0 [Gateway-ip-pool-ap-pool] gateway-list 192.168.10.1 [Gateway-ip-pool-ap-pool] dns-list 192.168.10.1 [Gateway] ip pool client-pool [Gateway-ip-pool-client-pool] network 192.168.20.0 mask 255.255.255.0 [Gateway-ip-pool-client-pool] gateway-list 192.168.20.1 [Gateway-ip-pool-client-pool] dns-list 192.168.10.1 # 在 VLAN 接口上应用全局地址池 [Gateway] interface Vlanif 10 [Gateway-Vlanif10] ip address 192.168.10.1 255.255.255.0 [Gateway-Vlanif10] dhcp select global [Gateway] interface Vlanif 20 [Gateway-Vlanif20] ip address 192.168.20.1 255.255.255.0 [Gateway-Vlanif20] dhcp select global逻辑说明管理网段 192.168.10.0/24 给 AP业务网段 192.168.20.0/24 给终端两个网段在网关处隔离。Vlanif10 的地址就是管理网网关Vlanif20 的地址是终端网关地址池里的 gateway-list 必须和 Vlanif 地址一致否则终端拿到地址也找不到出口。参数说明如果 DHCP 服务器不在网关而在独立服务器上接口要改dhcp select relay并指向服务器地址VLAN 间还得通路由。DNS 别忘配否则终端能上 IM 打不开网页排查时很容易被误导。地址池范围建议预留一部分固定地址段用excluded-ip-address排除掉网关和预留地址。5. AP 配置常见问题与排查五条高频踩坑记录这一章写的都是真实环境里反复出现的现象按「现象 → 原因 → 解决」整理配置前先看一遍能省大量排障时间。5.1 AP 在 AC 上一直离线现象AC 上display wlan ap all显示 AP 长时间处于 offline 或 fault重启 AP 无效。原因最常见有三处。一是 AP 没从 DHCP 拿到地址管理 VLAN 没放通二是 Option 43 缺失或 AC 地址写错三是 AP 和 AC 时间偏差过大导致 CAPWAP 的 DTLS 握手失败。还有一个隐蔽原因AC 的源 IP 没配AP 发来请求但没有可用的响应地址。解决按链路逐段查。先登进 AP 看管理地址是否获取成功能 ping 通 AC 源 IP 再谈上层查 DHCP 服务器上 Option 43 的十六进制是否对应 AC 地址最后在两端配 NTP把时间拉齐。排查顺序别乱直接从 AC 端查会漏掉链路前半段。5.2 终端连上 SSID 却拿不到 IP现象手机显示已连接 WiFi但无互联网手动配一个静态 IP 后能通。原因业务 VLAN 没在上联口放通VAP 绑定的 VLAN 和 DHCP 地址池网段不一致或地址池已经耗尽。实验环境里最常见的是第二种VAP 里绑了 VLAN 20但地址池建在了 192.168.10.0/24终端拿到的地址和网关不在同一网段。解决在 AC 上查看 VAP 绑定的 VLAN和交换机 Trunk 放通的 VLAN、网关地址池网段三处对齐。手动给终端配一个业务网段的 IP 验证连通能通就说明问题在 DHCP 侧不能通则查 Trunk 放通。5.3 信号满格但网速极差现象终端显示信号 -50dBm 左右但协商速率只有几 Mbpsping 延迟忽高忽低。原因2.4G 信道重叠附近 AP 选了两两干扰的信道或者某台 AP 频宽开到了 40MHz 且落在重叠区再或者功率开满 20dBm同频 AP 之间互相压制。解决2.4G 全部收敛到 1、6、11 三个信道并按 AP 位置错开频宽统一降回 20MHz功率从 20dBm 降到 15dBm 左右。改完再测一轮如果速率上来说明问题就在射频三件套。5.4 5G 频段搜不到或反复掉线现象手机只看到 2.4G 的 SSID5G 的 SSID 不出现即使出现连接几秒后断开。原因国家码不对导致当前信道不在允许范围或者信道被手动锁定在 DFS 雷达信道AP 检测到雷达信号后主动避让也有一部分旧终端不支持 36–64 这类低信道。国情不同同一块射频支持的信道列表不一样出厂默认可能是别国的。解决检查 AP 的国家码配置设置成实验所在地的值5G 信道改用 149、153 等非 DFS 信道。先在射频上恢复 auto 信道确认 5G 能正常广播再逐步锁定信道避免一上来就锁一个 DFS 信道。5.5 重启后所有配置丢失现象配置完成后断电再上电AP 回到出厂状态SSID 和密码全没了。原因FAT AP 配置没执行 save掉电后配置区没有写入FIT AP 则是 AC 侧配置没有下发成功或 AP 根本没上线本地又没存档还有可能是保存到了错误的配置区域设备默认加载了另一份空配置。解决养成「改完就 save」的习惯退出到用户视图执行 save看到确认提示再断电。FIT 模式在 AC 上确认配置已经 commit 并下发到 AP再验证 AP 侧display current-configuration里能看到 SSID。实验室里可以专门练习一次「配完即断电重启」用这个动作检验配置是否真正落盘。6. 配置完成的验证套路三条命令、一次抓包和一个贴标签习惯配置写完不等于做完验证要成套路。我一般按三层走设备层看状态数据层看协商链路层看报文。设备层三条命令最常用# 在 AC 上看 AP 与终端在线状态 [AC] display wlan ap all [AC] display station summary # 在 AP 上看射频信道、频宽和功率的生效值 [AP] display wlan radio alldisplay wlan ap all看 State 是否为 normaldisplay station summary看终端协商速率和信号强度速率明显偏低说明射频参数有问题display wlan radio all核对信道和功率是不是你配置的数值——有些实验环境里设备会自动调优生效值和配置值不一致是正常的但你要知道差在哪。数据层验证用终端实测手机连上 SSID 后先确认拿到的是业务网段地址再 ping 网关和外网地址。ping 网关通、ping 外网不通问题在出口路由两者都不通问题在 DHCP 或 VLAN。链路层抓包是最硬的证据。在 AP 上联交换机口做端口镜像抓 DHCP 四步报文确认地址获取正常抓 CAPWAP 报文确认 AP 与 AC 隧道建立。Wireshark 里过滤dhcp或capwap一眼能看到停在哪个阶段。这个手段在排查「拿不到 IP」这类问题时比猜配置快得多。现场习惯上我强烈建议每台 AP 贴一张标签写清 MAC 后四位、安装位置、SSID 和所属 AC。实验环境设备少可能无所谓但设备一多没有标签的 AP 出了故障只能靠拔线试效率极低。另一个习惯是配置前先导出一份当前配置存本地改完导出第二份做对比哪条命令有问题一目了然。几年前我在某公司做网络维护就因为改完信道没 save半夜断电后整层楼无线瘫痪第二天靠备份配置才恢复。从那以后我养成了「改一条、验证一条、save 一次」的习惯也写进了每份实验报告的注意事项里。希望这篇笔记帮你在 AP 基本配置上少走几步弯路把时间留给真正有价值的无线优化。本文还有配套的精品资源点击获取
