简介这是一份围绕华为AC6005无线控制器的配置实例文档面向网络工程师、无线局域网运维人员及备考华为无线认证的读者。内容同时覆盖直接转发与隧道转发两种典型组网并分别给出交换机、路由器、AC三台设备的完整配置文件参考。关键配置点包含VLAN批量创建、Trunk接口与PVID、端口隔离、DHCP服务、CAPWAP源接口、WLAN安全模板WPA2-PSK加密以及AP注册参数等每一类命令都有明确用途说明可直接对应实际项目中的地址规划与业务VLAN划分。压缩包内为1个Word文档docx大小仅26KB目前已有398人学习。读者可将其中完整示例作为配置速查手册快速替换为自己的VLAN、IP及口令当遇到AP无法上线、业务VLAN不通、终端获取不到IP等常见故障时也能对照配置段逐项排查避免从零开始逐条敲命令。无论用于实验室练习还是真实项目开局这份简洁文档都能节省大量查阅资料的时间。1. 一份 AC6005 配置实例真正难的不是那几十行命令AC6005 是华为面向中小型园区和分支机构的无线接入控制器配上若干 FIT AP 就构成了最常见的 ACAP 组网。很多人手上都有一份「华为AC6005配置实例.docx」几十行命令照着敲完结果 AP 卡在 fault 状态不上线或者终端连上了 SSID 却死活拿不到地址。问题基本不在命令拼写而在这份实例没写清它假设的前提AP 管理 VLAN 是二层还是三层、业务流量走隧道转发还是本地转发、国家码有没有配。这篇文章按一份配置实例真正该有的顺序展开——先定组网和转发模式再打通 VLAN 与 DHCP然后把 WLAN 模板串起来最后给出 AP 上不了线、终端拿不到地址的排障路径。照着做在一台真机或者 eNSP 里都能把 ACAP 跑通。2. 先定组网前提AC6005 摆在哪、用户流量怎么走AC6005 在拓扑里只有两种常见摆法一种是 AC 自己就是 AP 管理网段的网关另一种是 AC 旁挂在核心旁边、只负责控制面。这两种摆法决定了 DHCP 配在哪、Option 43 配在哪、AC 的上行口要不要放通业务 VLAN。很多「配置实例」的通病是只给命令不给拓扑假设你抄到一半才发现自己的场景和它对不上。所以别急着进 wlan 视图先把下面三件事定下来。2.1 直连还是旁挂先看 AP 管理网段的网关在谁身上判断标准只有一个AP 通过 DHCP 拿到的那个网关地址在 AC 身上还是在三层交换机身上。直连组网适合单栋楼、中小办公场景。AC6005 的下行口接接入交换机AP 管理 VLAN 的 VLANIF 建在 AC 上DHCP 也建在 AC 上AC 既是 AP 的网关也是用户的网关。这种组网命令最集中一份实例就能写完缺点是所有用户流量默认要回到 AC 转发。旁挂组网在大型园区里更常见。AC6005 挂在一台华为三层交换机的旁边AP 管理网段的网关、DHCP 服务器都在交换机上AC 只通过 CAPWAP 隧道和 AP 建立控制关系。这时候你抄到的那份「AC6005 配置实例」如果只写了 AC 侧的命令你在 AC 上配 DHCP 是没意义的——地址池得建在那台三层交换机上Option 43 也得跟着搬过去。华为交换机配置 DHCP 的命令和 AC 上的写法基本一致搬迁成本不高但前提是你先知道要搬。组网方式AP 管理网段网关DHCP / Option 43 位置典型适用直连AC 做网关AC6005 的 VLANIFAC6005单栋楼、中小办公、分支旁挂核心做网关华为三层交换机的 VLANIF三层交换机多栋楼、大型园区注意AC6005 的实际可管理 AP 数量和 License 有关。动手前先用命令确认规格别等第 N 个 AP 怎么都注册不上才发现是授权数量到顶。2.2 隧道转发与本地转发选错的代价半年后才出现WLAN 的转发模式分两种在 VAP 模板里一个参数就能切。隧道转发是默认模式。用户报文在 AP 上被封装进 CAPWAP 数据隧道一路回到 AC 解封装再由 AC 转发到业务网络。它的好处是接入层交换机不需要感知业务 VLAN安全策略和网关集中在一台设备上配置最省事。代价也明确所有用户流量都压在 AC 上AC 的上行口带宽和 CPU 转发能力就是整个无线网络的带宽天花板。测试环境里十个终端看不出区别等一层楼几百个终端同时在线、有人开始传大文件或者看视频会议卡顿投诉就来了。本地转发直接转发则是把用户报文在 AP 上直接打上业务 VLAN 标签从 AP 的上行口送进交换机AC 只保留控制隧道。转发路径短、时延低、AC 压力小是园区无线规模上去之后的常规选择。代价是业务 VLAN 必须一直延伸到接 AP 的那些交换机端口接 AP 的端口要从 access 改成 trunkpvid 设成 AP 管理 VLAN、allow-pass 业务 VLAN。配置上的区别就是在 VAP 模板里加一行forward-mode direct-forward但配套的有线侧改动一点都不能省——这是本地转发最常见的翻车点。另外提醒一句eNSP 里的 ACAP 本地转发配置实例能跑通不代表真机交换机端口不用改模拟器对 VLAN 标签的处理和真实接入交换机不完全一样。2.3 跨三层时 AP 怎么找到 ACOption 43 与 capwap source interfaceAP 上电后要先找到 AC 才能下载配置和固件。二层组网时 AP 直接广播就能发现 AC但同一个广播域里塞几百个 AP 显然不现实所以跨三层的部署方式更常见靠的就是 DHCP Option 43。给 AP 分配地址的地址池里要下发 AC 的 IP。华为 AC 侧常见的写法是# 在 AC 上为 AP 管理网段建地址池 [AC] dhcp enable [AC] ip pool ap-pool [AC-ip-pool-ap-pool] network 192.168.100.0 mask 255.255.255.0 [AC-ip-pool-ap-pool] gateway-list 192.168.100.1 [AC-ip-pool-ap-pool] option 43 sub-option 3 ascii 192.168.100.1 [AC-ip-pool-ap-pool] quitnetwork/gateway-list决定 AP 拿到的地址和网关关键的是option 43它把 AC 的地址告诉 AP。sub-option 3 是 ASCII 形式的 AC IP这是比较常见的一种写法部分较老的 AP 版本按 sub-option 2 的 IP 格式解析实际下发哪种用display ap online-fail-record all看 AP 的失败原因最快能定位。光有 Option 43 还不够。AC 必须知道用哪个接口作为 CAPWAP 隧道的源地址否则 AP 收到回包时源地址对不上隧道建不起来# 指定 CAPWAP 源接口必须是 AC 上与 AP 路由可达的接口 [AC] wlan [AC-wlan-view] capwap source interface vlanif 100这里的vlanif 100是 AC 上通向 AP 管理网段的接口。旁挂组网时这个接口的地址必须是 AP 能路由到的那一个而不是随便一个管理口。配完用display capwap configuration核对源接口是否符合预期。3. 开局配置实例从 Console 登录到 VLAN 与 DHCP 打通组网前提定下来之后才轮到敲命令。这一章按真机开局的顺序走物理登录、改掉默认凭据、划分 VLAN、打通三层、把 DHCP 和 Option 43 配好。做完这一步AP 至少应该能在display ap all里被看到——哪怕状态还不是 normal。3.1 从 Console 到 SSH把管理通道做扎实新设备到手第一步永远是 Console。终端软件按 9600 波特率、8 数据位、无校验、1 停止位连接回车就能进用户视图。默认账号密码以设备标签和具体版本为准第一次登录后立刻改掉这是没有任何商量余地的习惯。# Console 登进去之后改设备名、开 SSH AC6005 system-view [AC6005] sysname AC [AC] stelnet server enable [AC] aaa [AC-aaa] local-user admin password irreversible-cipher YourStrongPass [AC-aaa] local-user admin privilege level 15 [AC-aaa] local-user admin service-type ssh [AC-aaa] quit [AC] user-interface vty 0 4 [AC-ui-vty0-4] authentication-mode aaa [AC-ui-vty0-4] protocol inbound ssh [AC-ui-vty0-4] quitprivilege level 15给的是最高权限生产环境里按需分配protocol inbound ssh把 VTY 限制成只收 SSHTelnet 就别开了。irreversible-cipher表示密码以不可逆方式保存比明文存储安全。这几行看起来和业务无关但真出故障要远程排查时能不能登进去决定了你是十分钟解决还是开车去机房。3.2 VLAN 与 VLANIF管理、业务、AP 管理段三张网分开VLAN 规划是整份配置实例的骨架。推荐至少分三段AP 管理 VLAN放 AP 自己的地址、业务 VLAN放用户地址、以及设备管理 VLAN。三张网混在一个网段里后面查 ARP 冲突、DHCP 地址池耗尽能查到你怀疑人生。# 批量建 VLAN10 员工业务、20 访客业务、100 AP 管理 [AC] vlan batch 10 20 100 # 上行口放通所有需要的 VLAN [AC] interface gigabitethernet 0/0/1 [AC-GigabitEthernet0/0/1] port link-type trunk [AC-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 100 # AP 管理网段的网关建在 AC 上直连组网场景 [AC] interface vlanif 100 [AC-Vlanif100] ip address 192.168.100.1 255.255.255.0port trunk allow-pass里列出的 VLAN 是逐条生效的少写一个业务 VLAN本地转发场景下用户就会完全不通。业务网段的 VLANIF 建在 AC 还是建在核心交换机上取决于第 2 章定的组网方式别两处都建不然就是 IP 冲突。接口的实际编号和数量跟 AC6005 的型号后缀有关敲之前用display interface brief看一眼面板上真实存在的接口名比对着文档猜靠谱。3.3 DHCP 与 Option 43让 AP 拿到地址并找到 AC地址池要在 AP 上电之前准备好否则 AP 会一直处在找不到 IP 的状态靠display ap all什么都看不见只能看交换机的 MAC 表。# 全局使能 DHCP然后分别为 AP 和业务建池 [AC] dhcp enable [AC] ip pool ap-pool [AC-ip-pool-ap-pool] network 192.168.100.0 mask 255.255.255.0 [AC-ip-pool-ap-pool] gateway-list 192.168.100.1 [AC-ip-pool-ap-pool] option 43 sub-option 3 ascii 192.168.100.1 [AC-ip-pool-ap-pool] excluded-ip-address 192.168.100.1 [AC-ip-pool-ap-pool] quit [AC] ip pool user-pool [AC-ip-pool-user-pool] network 192.168.10.0 mask 255.255.255.0 [AC-ip-pool-user-pool] gateway-list 192.168.10.1 [AC-ip-pool-user-pool] dns-list 223.5.5.5 [AC-ip-pool-user-pool] quitexcluded-ip-address把 AC 自己的网关地址从池子里摘出去避免分配冲突。dns-list按现场实际填写。每个池配完回到接口视图下调用对应的地址池直连场景下就是在vlanif 100和vlanif 10上分别dhcp select global。如果 DHCP 建在华为三层交换机上命令结构完全一致只是设备角色不同。地址池建成后用display ip pool name ap-pool used看已分配情况AP 上电后这里应该很快出现租约记录一直为空说明链路或 VLAN 放通有问题而不是 AC 的问题。4. WLAN 模板串接把 SSID、安全模板和 VAP 绑到 AP 组上有线侧打通之后才轮到真正属于 WLAN 的部分。这部分命令看着多但逻辑很清晰射频相关的配到 AP 组业务相关的配到 VAP 模板VAP 里再引用 SSID 模板和安全模板最后一句话把 VAP 绑到 AP 组的射频上。串不起来的地方基本都是漏了某一步引用。4.1 国家码与射频模板不配它射频根本不工作这是新手最容易忽略、也最致命的一步。华为 AP 在没有下发国家码的情况下射频处于不可用状态AP 甚至可能显示已上线但完全不发信号。配置实例里如果跳过这一段你后面所有模板配得再对也没有意义。[AC] wlan [AC-wlan-view] regulatory-domain-profile name CN [AC-wlan-regulate-domain-CN] country-code cn [AC-wlan-regulate-domain-CN] quit # 建 AP 组并把射频模板绑到组上 [AC-wlan-view] ap-group name ap-group-1 [AC-wlan-ap-group-ap-group-1] regulatory-domain-profile CNcountry-code cn决定了允许使用的信道集合和最大发射功率改错国家码可能导致某些信道用不了或者功率超出当地允许范围。射频信道和功率建议在 AP 组下按 radio 单独调2.4G 用 1/6/11 这类不重叠信道5G 打开 80MHz 带宽给高密场景留余量。这些参数没有万能值现场勘测之后再定。4.2 SSID、安全、VAP 三个模板的参数怎么填三个模板各管一件事很多人会把它们混在一起记不住SSID 模板管「叫什么名字」安全模板管「怎么认证加密」VAP 模板管「这个 SSID 用哪个 VLAN、怎么转发」最后绑定决定「在哪些 AP 的哪些射频上广播」。# SSID 模板 [AC-wlan-view] ssid-profile name ssid-office [AC-wlan-ssid-prof-ssid-office] ssid Huawei-Office [AC-wlan-ssid-prof-ssid-office] quit # 安全模板WPA2-PSK AES [AC-wlan-view] security-profile name sec-office [AC-wlan-sec-prof-sec-office] security wpa2 psk pass-phrase YourWifiPass aes [AC-wlan-sec-prof-sec-office] quit # VAP 模板绑业务 VLAN、引用上面两个模板 [AC-wlan-view] vap-profile name vap-office [AC-wlan-vap-prof-vap-office] service-vlan vlan-id 10 [AC-wlan-vap-prof-vap-office] ssid-profile ssid-office [AC-wlan-vap-prof-vap-office] security-profile sec-office [AC-wlan-vap-prof-vap-office] forward-mode tunnelsecurity wpa2 psk pass-phrase ... aes里算法写 aes别用 tkip兼容性老旧且安全性差。service-vlan vlan-id 10是用户业务 VLAN隧道转发时这个值决定 AC 把用户流量送到哪个 VLAN。SSID 名建议不要带中文字符和空格部分老旧终端对中文 SSID 的兼容性一直不怎么样。4.3 AP 认证与 VAP 绑定把整条链路闭合AP 要能被 AC 管起来需要认证模式和白名单VAP 要在射频上生效需要显式绑定。这一步做完display ap all里状态变成 normal终端就能搜到 SSID 了。# 回到 wlan 视图配置 AP 认证方式和 AP 条目 [AC-wlan-view] ap auth-mode mac-auth [AC-wlan-view] ap-id 1 ap-mac 00e0-fc12-3456 [AC-wlan-view] ap-id 2 ap-mac 00e0-fc12-7890 # 把 AP 加入 AP 组 [AC-wlan-view] ap-group name ap-group-1 [AC-wlan-ap-group-ap-group-1] ap-id 1 [AC-wlan-ap-group-ap-group-1] ap-id 2 # 在 AP 组的 radio 02.4G和 radio 15G上绑定 VAP [AC-wlan-ap-group-ap-group-1] vap-profile vap-office wlan 1 radio 0 [AC-wlan-ap-group-ap-group-1] vap-profile vap-office wlan 1 radio 1ap-id后面的编号只是 AC 内部的索引跟 AP 型号无关ap-mac必须写 AP 标签上的 MAC写成上行交换机的 MAC 是常见笔误。wlan 1是 VAP 的编号同一个射频上可以有多个 VAP比如员工和访客各一个 SSID编号不冲突即可。提示AC6005 默认的 AP 认证方式是 MAC 认证白名单为空时的行为在不同版本上不完全一致。生产环境建议显式配置认证模式并逐个录入 AP MAC避免出现「谁的 AP 都能注册」的情况。4.4 本地转发实例让业务流量不进 AC 隧道隧道转发改成本地转发AC 侧只动一行但接入交换机的端口必须跟着改两侧都改完才成立。# AC 侧VAP 模板改成直接转发 [AC-wlan-view] vap-profile name vap-office [AC-wlan-vap-prof-vap-office] forward-mode direct-forward [AC-wlan-vap-prof-vap-office] quit # 接入交换机侧接 AP 的端口改成 trunk [SW] interface gigabitethernet 0/0/1 [SW-GigabitEthernet0/0/1] port link-type trunk [SW-GigabitEthernet0/0/1] port trunk pvid vlan 100 [SW-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 100port trunk pvid vlan 100保证 AP 自己的管理报文不带标签送出时落到正确的 VLANallow-pass vlan 10是让打了业务 VLAN 标签的用户报文能穿过去。这两条少一条表现都是「AP 能上线、终端能连 SSID、但完全上不了网」而且现象一模一样所以改完一定要两边都核对。验证本地转发是否真生效可以在 AC 上执行display vap ssid Huawei-Office看转发模式字段再在接入交换机对应的业务 VLAN 下看 MAC 地址表里有没有出现无线终端的 MAC。出现了说明用户流量确实走了本地转发而不是绕回 AC。5. 排障与避坑AP 上不了线、终端拿不到地址的 5 个现场高频原因WLAN 的故障现象高度相似但成因可能完全在不同的层次。下面这五条是现场最常碰到的每条都按「现象 → 原因 → 解决」写遇到问题时按顺序套。5.1 AP 状态一直是 fault或者反复上下线现象display ap all里能看到 AP但 State 字段长时间不是 normal或者一会儿 normal 一会儿 fault。原因三种可能居多。一是 AP 到 AC 的路由或 VLAN 不通CAPWAP 隧道建不起来二是 Option 43 下发的 AC 地址不对或者capwap source interface指到了一个 AP 路由不到的接口三是 AC 上缺少该 AP 型号对应的固件包AP 升级失败后反复重试。解决先在 AC 上执行display ap online-fail-record all这个命令会直接给出 AP 上线的失败原因和阶段。如果显示是发现阶段失败检查 DHCP 和路由如果是版本阶段失败把对应型号的 AP 固件包上传到 AC 再让 AP 重新上线。5.2 AP 上线正常但终端搜不到 SSID现象AP 状态 normal但手机、笔记本扫描不到任何无线信号。原因最常见的是没配国家码射频处于未配置状态不工作其次是 VAP 没有绑定到 AP 组对应的 radio 上或者绑定到了 radio 1 而现场 AP 只有单频还有一种情况是射频被手动关闭过。解决先核对regulatory-domain-profile是否配置并绑定到 AP 组再执行display vap ssid Huawei-Office确认 VAP 在哪些 AP、哪些射频上生效。如果只在一个 radio 上生效把另一个 radio 也绑上。射频状态可以用display radio all之类的命令逐个查看。5.3 终端连上 SSID但拿不到 IP 地址现象无线关联成功终端显示正在获取 IP 地址然后失败或者拿到 169.254 开头的地址。原因分成两类。隧道转发下多半是 AC 上业务 VLAN 的地址池没配、或者地址池耗尽本地转发下多半是接 AP 的交换机端口没放通业务 VLAN用户报文根本到不了网关。解决先在 AC 上display ip pool name user-pool used看池子余量池子空了就扩网段。本地转发场景下在业务 VLAN 的网关上查看地址池租约如果没有来自无线网段的请求就是二层没通回头检查交换机端口的 trunk 配置和 pvid。5.4 本地转发改完之后终端能连但完全访问不了网络现象改成本地转发后SSID 正常、关联正常、也拿到了 IP但 ping 不通网关。原因AC 侧改了forward-mode direct-forward接入交换机侧没改AP 上行口还是 access 模式打上业务 VLAN 标签的用户报文直接被丢弃。也可能交换机改了但allow-pass里漏了业务 VLAN。解决接 AP 的端口必须是 trunkpvid 是 AP 管理 VLANallow-pass 同时包含管理 VLAN 和业务 VLAN。核对命令时用display port vlan看端口的实际生效配置别只看配置文件里写了什么。5.5 AP 反复重启或者只有 2.4G 有信号现象AP 每隔几分钟重启一次或者 5G 射频的 SSID 时有时无。原因供电不足是高频原因。AP 需要 802.3at 供电接入交换机只提供 802.3af 时AP 可能降功率运行甚至反复重启双频同时满功率工作时电流需求更高表现就是某个射频起不来。解决先查接入交换机端口的供电协商结果确认是否达到 802.3at 标准。不满足就换交换机或者给 AP 单独接电源适配器。另外顺手核对一下 AC 的 License 数量和 AP 型号支持能力排除规格层面的限制。6. 把配置实例做成可验收的文档eNSP 复现与批量生成脚本真机之前先在模拟器里过一遍是成本最低的做法。eNSP 里通常用 AC6605 代替 AC6005配置命令体系基本一致国家码、AP 组、VAP 绑定这套逻辑都能验证AP 型号和固件版本在模拟器里选择有限本地转发在模拟环境下的表现也和真机有出入所以模拟器用来验证配置结构真机用来验证转发行为两者不能互相替代。很多人是在 eNSP 无线网络配置实例或者网络赛道的练习题里第一次接触 ACAP这套流程同样适用。AP 数量一多手工敲ap-id和ap-mac就容易出错。我一般把 AP 清单写成 CSV用脚本生成命令再贴进设备import csv # AP 清单csv 每行是 ap_id, ap_mac, ap_name with open(ap_list.csv, newline, encodingutf-8) as f, \ open(ap_config.txt, w, encodingutf-8) as out: for row in csv.DictReader(f): ap_id row[ap_id].strip() mac row[ap_mac].strip().lower() # 生成注册命令MAC 统一小写并保持 xxxx-xxxx-xxxx 格式 out.write(fap-id {ap_id} ap-mac {mac}\n) # 组内绑定和 VAP 绑定可以统一追加避免每个 AP 重复生成 out.write(ap-group name ap-group-1\n) out.write(vap-profile vap-office wlan 1 radio 0\n) out.write(vap-profile vap-office wlan 1 radio 1\n) print(已生成 ap_config.txt)脚本里的ap_id必须唯一且不与现有 AP 冲突ap_mac保持华为的xxxx-xxxx-xxxx分段格式大小写不影响匹配但统一小写便于比对。生成的文件不要直接整段粘贴执行先扫一遍有没有重复 MAC——CSV 里出现重复行是常事重复 MAC 会让 AP 反复注册失败排查起来很费时间。配置做完之后验收清单比配置文件本身更值得留档。下面这几条命令我一般会全部跑一遍把输出截图存进交付文档检查项命令期望结果AP 上线状态display ap all所有 AP State 为 normalAP 上线失败原因display ap online-fail-record all无异常记录VAP 生效范围display vap ssid Huawei-Office覆盖全部目标 AP 和射频CAPWAP 源接口display capwap configuration与规划一致在线终端display station all关联用户数与预期相符DHCP 地址池占用display ip pool name ap-pool used租约数与 AP 数量匹配最后说一个自己的习惯改完无线配置别急着走拿两三台不同品牌的终端连一次分别跑一遍网页、视频和一次大文件传输再拔掉一台 AP 的网线看终端能不能漫游到隔壁。这几分钟能揪出大部分隐藏问题比事后接到投诉再回机房划算得多。希望帮到你。本文还有配套的精品资源点击获取