简介：无线网络部署的第一步是理解接入点（AP）的基础配置，它决定了终端能否安全、稳定地接入有线网络。胖AP与瘦AP的模式选择影响控制权归属，而管理VLAN与业务VLAN的划分、DHCP服务的正确下发，则是终端能否获取IP地址的关键。通过合理规划SSID模板、安全策略和射频参数，不仅能解决“连上却上不了网”的典型故障，还能为多AP场景下的信道优化与漫游体验打下基础。在办公区、教室等密集场景中，掌握这些原理即可快速定位问题。本文以AP基本配置实验为主线，逐步演示Console登录、VLAN/DHCP规划、SSID与VAP绑定，以及信道、功率和漫游阈值的调试方法，帮助你从“能连上”走向“连得好”。

1. AP基本配置到底在配什么：一个让终端真正"能上网"的实验

AP基本配置这个实验，在2024年的网络课程实验里看起来最不起眼，翻车率却一直排在前三。前面几个实验配交换机、配路由器，至少还能用网线连上去 ping 通；到了 AP 这步，设备不接网线也能"看着正常"，终端连上 SSID 却拿不到 IP，才是最常见的失败现场。这份实验要做的，是把一台出厂状态的无线接入点变成能广播网络名、能认证终端、能分配地址的可用节点，解决的是无线终端如何安全、稳定地接入有线网络的问题。适合正在做实训作业的学生，也适合第一次在办公区、教室部署 Wi-Fi 的新手。我的建议是：别把精力花在把 SSID 取名这种仪式感上，先搞清楚管理 VLAN、业务 VLAN 和 DHCP 到底是由谁负责的。

2. AP上线前的三件事：Console登录、胖瘦模式、业务地址规划

拿到一台 AP，别急着配 Wi-Fi，先把登录入口、工作模式和地址分配理清楚。这三件事决定了后面所有配置能不能生效。很多人第一次做 AP 实验，习惯跳过规划直接敲配置，结果往往是 SSID 建好了、安全模板也绑上了，终端却一直显示"正在获取 IP 地址"。所以这一章把上线前的步骤做扎实，后面才不会被玄学问题缠住。

2.1 Console登录：不依赖网络的最后入口

AP 出厂时管理地址是未知的，也可能和你的电脑不在同一个网段，唯一的可靠入口就是 Console。Console 线一头接 AP 的 console 口，另一头接电脑的串口或 USB 转串口，然后用终端软件连接。要注意的是，很多 USB 转串口芯片需要先装驱动，不然终端软件里根本看不到对应端口。

# 终端软件串口参数设置：波特率 9600、数据位 8、停止位 1、无校验、无流控 # AP 上电后连续回车，进入命令行 <AP> system-view [AP] sysname AP-Office-01 [AP] interface vlanif 1 [AP-Vlanif1] ip address 192.168.10.2 255.255.255.0 [AP-Vlanif1] quit [AP] save

这里的sysname是给 AP 起名字，建议把位置和用途写进去，比如AP-Office-01就是办公区 1 号 AP，后续登录多台设备时不会搞混。interface vlanif 1是进入管理接口，默认所有流量都走 VLAN 1，先把管理地址配成192.168.10.2，方便你用网线直连测试。最后的save非常关键，很多实验做完了没保存，重启一次回到出厂状态，前面的功夫白费。

不同厂商的命令关键字会有差异，有的用hostname，有的用set system name，但目的都一样。如果你第一次进入设备，提示有默认密码，先查手册确认初始凭证，登录后第一件事就是改掉，否则后续开了远程管理就等于把设备暴露在网络上。

2.2 胖AP还是瘦AP：接管模式决定后续所有配置

AP 的工作模式直接决定接下来的配置路径。胖 AP 独立完成射频发射、认证、地址分配，适合单台设备和实验环境；瘦 AP 只保留射频功能，控制面全部交给 AC，两者之间通过隧道协议通信，适合几十上百台 AP 的集中管理场景。课程实验里最常见的是胖 AP 起步，因为一台设备加一根网线就能验证全流程。如果模拟器或真机默认工作在瘦 AP 模式，就得先看 AC 是否可达，否则配完 SSID 也不生效。

# 查看当前 AP 工作模式 display ap-mode # 切换到胖 AP 模式，多数设备需要重启生效 ap-mode ap # 如果实验要求瘦 AP 模式，则切回 ap-mode fit

display ap-mode只是查看，不会改动设备；ap-mode ap才是切换命令。注意这个命令在不同的设备上写法差别很大，有的叫workmode，有的在全局视图下直接输入undo wlan之类，务必以实验手册为准。切换工作模式之前，先把现有配置保存一份，因为部分设备在切换模式后会用默认配置重新启动，相当于做了一次恢复出厂。胖瘦模式选错了，后面所有 SSID 和安全配置都可能白做。

2.3 VLAN与DHCP：终端拿不到IP的问题大多出在这里

即使 SSID 能搜到、密码也能通过，只要 DHCP 没配对，终端就永远停在"获取 IP 地址"这一步。做 AP 基本配置时，建议从一开始就按工程习惯把网络分成管理网络和业务网络：管理 VLAN 给 AP 自己用，业务 VLAN 给无线终端用。两者分开，排查问题时一眼就能看出流量走错了哪里。

# 批量创建管理 VLAN 和业务 VLAN vlan batch 10 20 # 管理 VLAN 接口 interface vlanif 10 ip address 192.168.10.1 255.255.255.0 quit # 业务 VLAN 接口 interface vlanif 20 ip address 192.168.20.1 255.255.255.0 dhcp select global quit # 全局开启 DHCP 并配置地址池 dhcp enable ip pool pool-wlan network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 192.168.20.1 quit

这段配置里，vlan batch 10 20是一次性创建两个 VLAN，少打一个空格都会报错。dhcp select global表示该接口从全局地址池获取分配范围，也可以写成dhcp select interface直接在接口下配置，效果一样。ip pool pool-wlan是给无线终端建的地址池，network定义了网段，gateway-list是终端拿到的网关地址，必须和业务 VLAN 接口地址一致。如果 AP 本身不支持配置 DHCP，就把同样的地址池建在上层交换机或路由器上，终端请求会通过 VLAN 透传过去，原理完全一样。这里配错一个数字，后面所有无线配置都白搭。

3. 让Wi-Fi可见：SSID模板、无线安全与多VLAN的配置顺序

设备能 ping 通、DHCP 池也建好了，才算真正开始"配 Wi-Fi"。这一步的核心是把 SSID 模板、安全模板和 VAP 模板绑定到一个射频接口上，缺少任何一环，终端都看不到网络或连不上。很多人的实验卡在 3.1 和 3.2 之间，就是因为只建了模板，忘了绑定射频。

3.1 先建SSID模板还是先建VAP模板

SSID 是终端看到的网络名称，VAP 模板是把 SSID、安全策略、业务 VLAN 打包在一起的"虚拟接入点"。建议先把 SSID 模板建好，再建 VAP 模板引用它，最后统一挂到射频上。顺序看起来简单，但实际配置时经常有人把 VAP 模板建好了，却忘了在射频接口下引用，结果终端什么都搜不到。

# 进入 WLAN 配置视图 wlan # 创建 SSID 模板 ssid-profile name ssid-office ssid OFFICE-5G quit # 创建 VAP 模板 vap-template name vap-office ssid-profile ssid-office service-vlan vlan-id 20 quit # 进入射频 0，绑定 VAP 模板 radio 0 vap-template vap-office quit

这里的ssid office-5g中 SSID 名字区分大小写，终端搜索时的大小写必须完全一致。service-vlan vlan-id 20是最容易漏的一行，它告诉 AP 这个 SSID 下所有终端都划分到 VLAN 20，也就是上一章建好的业务网段。如果漏了这行，终端能搜到信号、能连上，但拿不到 IP，因为数据帧不知道该往哪个 VLAN 送。radio 0一般对应 2.4G 射频，radio 1对应 5G 射频，不同设备编号可能不同，先查看再绑定。

3.2 WPA2还是WPA3：实验环境的安全策略选择

SSID 能看到了，下一步是加密。实验室里最常用的还是 WPA2-PSK，因为终端兼容性最好，配置也简单。WPA3 对老旧手机和部分物联网设备支持不太好，实验环境没必要强行上。PSK 密码必须 8 位以上，Wi-Fi 联盟规定最少 8 字符，实验归实验，不建议用纯数字或连续字符。

# 创建安全模板 security-profile name sec-office security wpa2 psk pass-phrase Lab@2024 aes quit # 回到 VAP 模板，绑定安全模板 vap-template name vap-office security-profile sec-office quit

wpa2是协议版本，psk是预共享密钥方式，pass-phrase后面跟的就是 Wi-Fi 密码，aes是加密套件。这里有一个常见误区：很多人还在用 TKIP，因为它兼容老设备，但 TKIP 已经过时，而且会让新手机出现连接慢、速率低的问题。工程上统一用 AES，实验也一样。密码设置成Lab@2024这类带大小写和符号的组合，既是实验要求，也能顺便养成好习惯。安全模板建了不绑定不生效，这是排查时最容易被忽略的点。

3.3 多SSID共用一台AP：员工、访客、IoT的分网设计

一台 AP 可以同时广播多个 SSID，每个 SSID 绑定不同的 VLAN 和安全策略，实现员工、访客、物联网设备的隔离。实验做到这一步，已经从"基本配置"往工程实践跨了一大步。访客 SSID 只允许访问外网，员工 SSID 才能访问内网资源，靠的就是 VLAN 隔离。

# 访客安全模板 security-profile name sec-guest security wpa2 psk pass-phrase Guest@2024 aes quit # 访客 SSID 模板 ssid-profile name ssid-guest ssid GUEST quit # 访客 VAP 模板 vap-template name vap-guest ssid-profile ssid-guest service-vlan vlan-id 30 security-profile sec-guest quit # 同样绑定到射频 0 radio 0 vap-template vap-guest quit

建多个 VAP 模板时要注意射频接口的容量，一般每个射频最多支持十几个 VAP，实验里两三个完全够用。还要确认访客 VLAN 30 的地址池也已经建好，否则访客连上之后依然拿不到 IP。多 SSID 场景最容易出问题的不是配置本身，而是忘了把 VLAN 30 的 DHCP 池和上行口放行配置好。

4. 让Wi-Fi好用：信道、功率、漫游三个必须调的参数

SSID 能连上、地址能拿到，这只是"能用"。实验报告交到这一步已经合格，但真实场景里"能用"和"好用"之间还差着几个射频参数。这一章的内容在基本配置实验里经常被一笔带过，恰恰是最容易从"别人家 Wi-Fi"和"自己家 Wi-Fi"拉开差距的地方。

4.1 2.4G信道只有 1/6/11：为什么自动信道不靠谱

2.4G 频段虽然有 1 到 13 共 13 个信道，但真正互不干扰的只有 1、6、11 三个。实验里很多人图省事用自动信道，周围一堆 AP 挤在一起，信号满格但网速极慢，这就是典型的信道重叠导致的干扰。工程做法是人工规划，相邻 AP 尽量错开。

# 射频 0 对应 2.4G radio 0 channel 1 bandwidth 20 quit # 射频 1 对应 5G radio 1 channel 149 bandwidth 40 quit

channel 1表示固定用 1 信道，bandwidth 20是频宽。2.4G 建议锁 20MHz，抗干扰能力更好；5G 可以用 40MHz 甚至 80MHz 换速率，但信道选择要先确认设备支持哪些信道范围。实验环境只有一台 AP 时，自动信道也能用，但你要清楚自动信道选中的往往不是最优解。信道不是越大越好，2.4G 用 13 信道虽然合法，很多老设备却搜不到。

4.2 发射功率：调最大反而是漫游差的开始

初学配置的人总喜欢把发射功率调到最大，觉得信号强就是好。实际恰恰相反，功率过大会让终端在很远的地方还顽固地挂着这个 AP，信号弱、重传多，整个网络速度都被拖慢。多 AP 场景下，相邻 AP 的功率必须错开，否则终端漫游时根本不切换。这个道理在实验里体会不深，但设计思路要从现在建立。

# 进入射频视图 radio 0 eirp 10 quit radio 1 eirp 14 quit

eirp是等效全向辐射功率，单位 dBm，室内环境一般建议 10 到 17 之间调节。实验里一台 AP 距离终端不到两米，功率 10 和 20 的体验差别不大，但在真实办公室，功率每调高 3dB，覆盖半径明显变大，干扰也同步变大。工程上的思路不是"让所有地方信号都满格"，而是"让每个位置都有且只有一个最优 AP 提供服务"。发射功率是无线优化里最容易产生玄学感觉的参数，实际上用仪器扫一圈就能看出问题。

4.3 漫游阈值：把-85改成-75，信号满格不走的老毛病会好很多

终端默认要等到当前信号降到很低才愿意切换 AP，结果就是人已经走到另一个 AP 旁边，手机还连着远处那个弱信号 AP。解决办法是调整漫游阈值，让终端更早触发切换。这个参数在不同厂商设备上叫法不同，常见的有 RSSI 阈值、漫游触发电平、智能漫游开关，实验里找到对应的配置项调一下就行。

# 部分设备在射频视图下配置漫游阈值 radio 0 roam rssi-threshold -75 quit

rssi-threshold -75表示当终端接收信号低于 -75dBm 时，允许触发漫游切换到更强信号的 AP。默认值通常是 -85 甚至更低，改成 -75 后切换更积极。但阈值不是越小越好，调成 -65 会导致终端在两个 AP 之间反复横跳，反而更不稳定。办公场景一般从 -75 开始试，然后根据实际漫游测试结果微调。漫游效果最终还取决于手机厂商的漫游策略，这也是无线里最像"黑匣子"的部分，但阈值调对了，体验提升立竿见影。

5. AP配置避坑指南：5个最容易翻车的排查现场

这一章把 AP 基本配置里最高频的 5 个故障现场整理出来，每个都按"现象、原因、解决"写。实验做完了可以对照检查，工作中遇到类似问题也能少走弯路。

5.1 现象：终端能连上SSID但拿不到IP

这是 AP 实验里最常见的翻车点，现象是手机能搜到网络、能输入密码、显示已连接，但 IP 地址一直是 169.254 开头，或者一直转圈。

原因通常是业务 VLAN 和 DHCP 地址池配置不一致。VAP 模板里service-vlan写成 20，但 DHCP 地址池建在了别的网段；或者是 DHCP 配置在交换机上，而交换机的上行口没有放行业务 VLAN。还有一种情况是地址池租期耗尽，实验里不常见。

解决方法是先看终端拿到的 IP 网段，再顺着 VAP 模板、业务 VLAN、DHCP 地址池三层查一遍。在设备上执行display ip pool查看地址池状态，确认network网段和service-vlan一致。

# 查看地址池分配情况 display ip pool name pool-wlan

如果地址池正常，再查接入交换机连接 AP 的接口是否配置了 trunk 并放行 VLAN 20。很多模拟器实验里，AP 直接连在交换机上，交换机接口默认只在 VLAN 1，业务 VLAN 20 的 DHCP 请求根本到不了网关，终端自然拿不到地址。

5.2 现象：重启一下，刚才配的全没了

辛辛苦苦敲了一堆命令，实验报告也写了，结果 AP 一重启，所有配置恢复到出厂状态。这条在实训室出现的频率极高，几乎每个班都会有人中招。

原因是没有保存配置。很多设备的配置分为"当前配置"和"保存配置"，你敲的命令只存在于当前配置里，断电或重启后就丢了。模拟器也一样，关闭模拟器工程前不保存，下次打开照样回到原点。

解决方法是配置完成后执行保存命令。常见设备在系统视图下输入save，有些设备还会询问是否覆盖原配置文件，输入Y确认即可。保存完成后可以用display saved-configuration查看保存结果，确保文件里真的有内容。

[AP] save # 提示是否确认保存，输入 Y 确认

我的习惯是每完成一小节配置就保存一次，而不是全部配完再保存。实验过程中突然断电，至少不用从头再来。顺便提醒一句，模拟器里也要养成这个习惯，很多模拟器关掉工程时不提示保存，配置直接就没有了，这算是没有后悔药可吃的环节。

5.3 现象：手机搜不到 5G 信号

实验里配好了 5G 频段的 SSID，手机却只看到 2.4G 的，怎么刷新都搜不到 5G。

原因有三个方向：第一，5G 射频接口没有绑定 VAP 模板，SSID 只在 2.4G 射频上广播；第二，手机离 AP 太远，5G 信号衰减快，被终端自行隐藏；第三，5G 信道配置超出了设备支持范围，射频起不来。

解决方法是先检查射频状态和模板绑定。执行display radio查看两个射频接口的工作状态，确认 radio 1 是 up 状态且已经绑定了 VAP 模板。如果射频是 down，查看信道配置是否合法，5G 的 149 信道在绝大多数设备上都支持，但个别地区码或老旧设备可能有限制。最后再拿另一台手机交叉验证，排除终端自身不支持 5G 的可能。

5.4 现象：隐藏 SSID 之后手机反而连不上

有人觉得隐藏 SSID 更安全，把广播关掉之后，手机搜不到网络，手动添加又提示"网络不存在"或者连不上。

原因在于隐藏 SSID 只是不广播信标帧，终端搜索网络时需要主动发送探测请求，而部分手机的省电策略会抑制后台扫描，导致手动添加也会失败。隐藏 SSID 本身也不解决安全问题，因为抓包工具依然能从终端发出的连接请求里提取到 SSID 名称。

解决方法是实验环境不要用隐藏 SSID，直接用 WPA2-PSK 或 WPA3 加密就够了。Wi-Fi 安全靠的是加密和认证，不是把网络名藏起来。如果确实有隐藏需求，比如某些内部网络，要同时告知终端用户手动添加时必须选择正确的安全类型，不能选"开放式网络"。

5.5 现象：手工指定信道后网络更卡了

原本自动信道用着还行，手动把 2.4G 信道改成 13 或自动扫描出来的某个信道后，网速反而变差了。

原因可能是周边环境存在固定干扰源，比如无线鼠标、微波炉占用相近频率；也可能是改了 13 信道后，部分手机或老旧终端根本不支持，只能换到其他信道，信号反而更差。自动信道最大的问题不是选错，而是不会随环境变化自动调整。

解决方法是把 2.4G 固定在 1、6、11 三个信道里选一个，用终端上的 Wi-Fi 扫描功能看看周边哪个信道最空。实验里只有一台 AP，选哪个影响都不大，但如果你以后部署多台 AP，信道规划表应该在图纸阶段就定好，而不是在设备上一格一格试出来的。

6. 验证配置的三板斧：从"能连上"到"连得好"

配置完成后不要急着写实验报告，先做一轮验证。验证不是连上 Wi-Fi 打开网页就算完，而是要有步骤地确认连通性、速率和漫游表现。这一步能把实验报告从"我配完了"提升到"我验证过了"。

6.1 第一步：从 ping 网关到持续打流

先让终端连接 Wi-Fi，查看获取到的 IP 是否属于业务网段，然后 ping 网关地址确认二层通畅。网关通了，再 ping 一个外网地址确认路由和 NAT 没问题。最简单的命令是ping 192.168.20.1，如果通了，说明 AP 到终端的链路正常。

更进一步的验证是持续打流，确认无线速率是否稳定。实验环境可以找一台电脑做服务端，终端做客户端，用打流工具持续传数据观察速率曲线。无线速率受距离和干扰影响明显，如果速率剧烈波动，回头检查信道和发射功率设置。

6.2 第二步：抓包确认信标帧和认证流程

抓包是排障和验证的利器。用抓包工具监听无线网卡，可以看到 AP 周期性广播的信标帧，里面有 SSID 名称、支持的速率、加密套件类型。确认信标帧里广播的加密方式确实是 AES 而不是 TKIP，连接过程有没有完整的四次握手。

抓包时要注意，普通网卡默认只能抓到自己的流量，要看信标帧需要把无线网卡切换到监听模式。这一步在实验环境可能比较麻烦，但至少要做到：连接过程中终端和 AP 之间完成了认证和关联，DHCP 交互有 Discover、Offer、Request、Ack 四个阶段。能抓到这四个包的完整交互，地址分配的问题就能排除。

6.3 第三步：把实验结论沉淀成部署习惯

在实验室里把 AP 基本配置跑通，最大的收获不是那几条命令，而是建立一套检查顺序：先看管理模式，再查 VLAN 和 DHCP，然后才轮到 SSID 和安全模板。配置出现问题时，顺着这个顺序排查，比在 WLAN 视图里反复敲命令要高效得多。

我自己的习惯是每次配完 AP，都要做三件收尾事：保存配置并记录，手机连接后做一次 ping 网关和外网的测试，最后站在距离 AP 五米和十米的位置各测一次信号强度。简单三步，基本能避免大多数"当时能连，第二天不行"的尴尬。无线环境变化很快，配置时的选择要为后续排查留出线索，这些习惯越早养成，后面吃过的亏就越少。希望帮到你。

本文还有配套的精品资源，点击获取