手里有一台思科2702插上电之后LED闪了半天网线也接了电脑上却找不到任何可用的SSID管理页面也进不去。很多朋友第一次拿到这台设备都会懵其实原因很简单2702出厂是瘦APCAPWAP模式它自己不会工作必须找到无线控制器才能拿到配置和无线参数。这篇博文就把思科2702从瘦AP刷成胖APautonomous模式的完整配置过程写清楚包括固件选择、TFTP刷写、首次配置无线SSID以及我在实际项目里踩过的坑。适合手里有2702、又不想额外买控制器的个人用户、实验室和中小型项目参考。1. 项目概述与整体设计思路1.1 2702胖AP到底是个什么东西思科2702系列是一台双频企业级无线接入点支持2.4GHz和5GHz硬件性能在当年属于中高端水平。它分为2702I内置天线和2702E外置天线支持802.11n整机速率不算差二手市场也常见。但它的默认系统是瘦AP也就是CAPWAP模式必须由无线控制器WLC统一管理。在这种模式下AP本身没有完整的配置文件开机后会不断尝试去发现控制器找不到控制器就一直处于“待命”状态无线功能完全不开放。把瘦AP刷成胖AP本质上是把AP的固件从“WLC的客户端”切换成“独立可管理的接入点”。刷完之后AP自己就能承载无线配置不需要控制器直接在AP上配置SSID、加密方式、管理地址和DHCP服务。这个过程在思科体系里叫“autonomous模式”和瘦AP模式是两套不同的镜像文件。1.2 为什么要从瘦AP改成胖AP最直接的原因是省钱。一台2702瘦AP如果要用起来要么买一台兼容的无线控制器要么在VMware里搭虚拟控制器但对个人用户和小型办公室来说这个成本和学习曲线都偏高。而刷成胖AP之后设备本身就是一个完整的无线AP接上网络就能用适合家庭、实验室、临时展会、仓库等场景。另一个原因是灵活性。瘦AP在无控制器时几乎是一块砖但胖AP可以独立完成SSID隔离、访客网络、无线加密、甚至DHCP分配。我在项目里遇到过很多次客户只缺一两台AP覆盖盲区不想动现有控制器架构这时候用一台胖AP单独开一个SSID是最快的解决方案。当然刷胖AP也有成本。固件切换后这台AP就不再被无线控制器纳管如果后续企业要统一管理需要再刷回瘦AP。另外刷机本身有风险操作不当可能变砖所以下面的准备工作和每一步操作都要仔细看。1.3 做这个项目前必须想清楚的风险刷机之前先泼一盆冷水。第一2702的胖AP固件并不像家用路由器那样随手就能下载思科官网需要CCO账号部分旧版本固件可能已经不在公开下载列表里需要花点时间找。第二AP刷机过程中如果断电、串口线松动、TFTP传输中断轻则固件损坏重则引导区异常处理起来很麻烦。所以我的建议是先准备好完整的TLB适配操作确认手头有可用的胖AP固件再开始刷。如果设备还在保修期或者企业生产环境在用不建议折腾。二手玩具、测试环境、个人实验室才是刷胖AP最舒服的场景。2. 刷机前准备硬件、固件与网络环境2.1 硬件接线清单刷机需要准备这几样东西思科2702 AP一台确认型号是AIR-CAP2702I或AIR-CAP2702E。支持802.3atPoE的交换机端口、PoE供电模块或者48V PoE注入器。2702功率需求不低普通PoE可能无法正常启动。一条Console线通常是RJ45转DB9转接头加USB转串口线。很多USB转串口芯片不稳定建议优先用FT232芯片的线。一台Windows电脑安装好Tftpd64或3CDaemon作为TFTP服务器。一条普通网线用于AP的GE口连接TFTP服务器或上级交换机。接线顺序很关键先把Console线连接电脑和AP再打开串口终端最后给AP通电。串口终端参数我一般设置为9600波特率、8位数据位、无校验、1位停止位也就是9600/8-N-1。2702的引导程序默认走这个参数如果进入系统后看到乱码可以试试115200但引导阶段基本是9600。2.2 固件文件怎么选2702的胖AP固件命名有规律常见的文件格式是tar包命名大致为 ap3g2-k9w7-tar.版本号.tar。注意中间这个“w7”代表autonomous胖AP固件而“w8”代表轻量级瘦AP固件。两者完全不能混用下载固件时一定要看清楚这个标记。以我常用的版本为例文件名类似 ap3g2-k9w7-tar.153-3.JF17.tar。不同小版本号功能有差异但刷机流程基本一致。下载固件前最好把文件放到一个没有中文和空格的目录比如 C:\tftp避免TFTP服务器读取路径时出问题。如果下载到的固件是zip包先解压确认里面包含系统镜像和引导文件。如果只有单独的bin文件刷机后也有可能可用但tar包的完整性最好推荐优先用tar包。2.3 搭建TFTP传输环境TFTP服务器配置看起来简单但坑不少。打开Tftpd64后把当前目录设置成固件所在目录然后查看电脑本机IP地址。比如电脑IP是192.168.1.100那AP在引导阶段就需要把TFTP服务器地址指到192.168.1.100。这里有一个容易被忽略的点Windows防火墙。Tftpd64首次运行会弹出防火墙拦截提示一定要允许它在专用网络和公用网络上通信。否则AP发来的TFTP请求会被Windows静默丢弃刷机卡在等待状态。另外网线不要接到AP的另一个端口上玩环路2702只有一个GE口直接和电脑网口连或者通过傻瓜交换机中转都可以。如果电脑有多个网卡建议把Wi-Fi先禁用只保留有线网卡否则TFTP流量可能走错网卡。3. 实操把2702从瘦AP刷成胖AP3.1 进入AP的bootloader菜单进入引导菜单的标准操作是先断开AP电源然后用笔尖或卡针按住AP机身上的MODE键不松手再插上电源。大约几秒后串口终端会打印出引导信息看到类似“Button pressed”的提示并且在屏幕出现ap:提示符时松开MODE键。如果一切正常你会在串口终端里看到类似这样的界面Restarting system. ... ap注意提示符是ap还是ap:不同引导版本显示略有差异但都是同一个交互环境。如果你的终端完全没有输出先检查Console线驱动和COM口编号再检查AP是否正常供电。2702启动时如果功率不足可能只亮一个指示灯Console也可能无输出。在ap提示符下输入set可以查看当前引导环境变量。正常情况会显示已有的IP地址、子网掩码、默认网关、TFTP服务器等参数。如果是空白的按下一步设置即可。3.2 用TFTP方式上传胖AP固件在ap提示符下配置临时网络参数命令如下set IP_ADDRESS 192.168.1.252 set IP_SUBNET_MASK 255.255.255.0 set DEFAULT_ROUTER 192.168.1.1 set TFTP_SERVER 192.168.1.100 set TFTP_FILE ap3g2-k9w7-tar.153-3.JF17.tar这里IP_ADDRESS是AP引导阶段使用的临时IP必须和电脑TFTP服务器IP在同一网段。TFTP_SERVER就是电脑的IP地址。TFTP_FILE是固件文件名一定要和TFTP目录里的文件名一字不差注意大小写和扩展名。设置完成后输入tftpdnld系统会提示是否确认下载输入y回车。随后AP会通过TFTP从电脑拉取固件串口终端会显示TFTP download success之类的提示或者看到大量点号、百分号滚动。整个传输时间取决于固件大小和网络质量一般需要几分钟到十几分钟不等。传输完成后输入bootAP会重新引导开始解包并写入Flash。这个过程自动进行串口会看到大量解压和写Flash的日志。请务必保持供电稳定不要在写Flash阶段断电否则很容易变砖。3.3 刷完后的首次启动如果固件正确重新引导后串口会进入正常的IOS加载流程不再出现ap提示符。启动完成后系统会提示Press RETURN to get started!按回车进入命令行出现ap的用户模式提示符。输入enable回车进入特权模式默认没有密码直接进入。这时候可以输入show version查看IOS版本确认文件名称是“ap3g2-k9w7”开头就说明胖AP固件已经生效。如果刷完后依然回到ap引导提示符或者反复重启说明固件没有正确写入Flash或者镜像不适合这台AP的硬件版本。不用慌重新回到3.1节再执行一次TFTP上传同时确认固件文件没有下载损坏。4. 胖AP网络初始化与无线配置4.1 配置管理地址和Web管理胖AP启动后默认所有接口都是关闭状态需要手动配置管理IP。2702在autonomous模式下管理接口是BVI1也就是桥组虚拟接口。配置命令如下configure terminal hostname AP-2702 interface bvi1 ip address 192.168.1.2 255.255.255.0 no shutdown exit ip default-gateway 192.168.1.1 ip http server ip http secure-server line con 0 logging synchronous exit配置完成后可以用show ip interface brief查看BVI1是否UP。这里要注意BVI1的IP地址只是AP自身的管理地址不影响无线客户端桥接上网。如果你把AP接到公司内网需要给BVI1分配一个内网空闲IP并且保证默认网关正确。如果你更喜欢图形界面管理启用ip http server之后浏览器访问https://192.168.1.2或http://192.168.1.2就能进入AP的Web管理页面。首次登录会有自签名证书警告直接继续即可。Web页面里也可以完成SSID和无线安全配置但对网络工程师来说CLI更高效。4.2 配置第一个WPA2-PSK无线网络无线配置的核心是定义SSID然后把它绑定到2.4G和5G射频接口上。2702的射频接口分别是dot11Radio 02.4GHz和dot11Radio 15GHz。这里以配置一个名为MyHome的WPA2-PSK网络为例configure terminal dot11 ssid MyHome authentication open wpa-psk ascii 7 MyPassw0rd exit interface dot11Radio 0 no shutdown encryption mode ciphers aes-ccm ssid MyHome station-role root exit interface dot11Radio 1 no shutdown encryption mode ciphers aes-ccm ssid MyHome station-role root exit命令顺序不能乱。先定义SSID模板再到射频接口下引用SSID。authentication open表示开放认证配合WPA2-PSK使用不是真的开放无密码。encryption mode ciphers aes-ccm只允许AES加密禁用TKIP这是WPA2的标准做法。如果需要隐藏SSID可以在SSID模板下加broadcast-ssid disable但默认还是建议开启广播避免客户端连接问题。信道和功率建议使用自动或者根据现场环境固定。国家代码会限制可用信道如果需要调整在全局配置模式下用dot11 country命令设置但部分国家代码可能影响5G信道范围新手不建议改动。4.3 DHCP与上网链路规划胖AP本身可以当作一个二层无线交换机来看无线客户端默认和有线口在同一个桥接组里。也就是说如果AP的GE口接到上级路由器路由器开启DHCP那无线客户端就能直接从路由器获取IP地址不需要在AP上做任何DHCP配置。但在隔离测试环境里如果AP只想独立组网也可以在AP上开启DHCP服务service dhcp ip dhcp pool Clients network 192.168.50.0 255.255.255.0 default-router 192.168.50.1 dns-server 8.8.8.8 exit此时BVI1的地址可以设置成192.168.50.1无线客户端获取192.168.50.x网段。但要注意如果你还把AP的GE口接到了上级局域网那192.168.50.0这个网段的路由需要规划清楚否则客户端即使拿到IP也访问不了外部网络。在大多数中小型场景里我推荐让AP透明桥接也就是不在AP上做DHCP无线客户端和有线电脑都由主路由统一分配IP。这样最省事也最不容易出问题。5. 常见问题与排查技巧实录5.1 固件传不上去怎么办刷机中最常见的就是TFTP传输失败。现象是输入tftpdnld后一直提示超时或者在串口里反复出现TFTP: writing file...又跳回ap提示符。排查思路按照下面顺序来确认电脑防火墙已经放行Tftpd64最快速的办法是直接关闭Windows防火墙测试。确认AP的临时IP和电脑IP在同一网段比如AP是192.168.1.252电脑是192.168.1.100掩码都是255.255.255.0。确认TFTP服务器目录里确实存在对应的固件文件文件名大小写完全一致。换一条网线或者把AP和电脑的直连网口重新插拔。如果Tftpd64日志里完全没有任何请求记录说明AP发出的TFTP请求没有到达电脑多半是IP或网线问题。有时候旧版本bootloader对TFTP请求的窗口很敏感我遇到过交换机端口协商问题导致丢包的情况把交换机接口speed和duplex固定成100/full之后就好了。如果是直连电脑一般不用考虑这个。5.2 AP反复重启或一直无SSID刷完胖AP固件后AP如果一直在循环重启先不要急着怀疑硬件。最常见的原因是把瘦AP固件当成胖AP固件刷进去了或者下载的固件文件不完整。重新下载正确的w7版本tar包重新刷一次基本都能解决。另一个原因是刷完后没有清除旧配置。虽然从瘦AP到胖AP通常不需要但为了保险在特权模式下执行write erase reload让AP恢复到出厂默认配置。重启后重新配置BVI1和SSID。我遇到过一台AP刷完胖AP固件之后无线始终不广播SSID后来发现是射频接口被之前的配置shutdown了show interface dot11Radio 0显示administratively down执行no shutdown后恢复正常。如果一直找不到SSID还可以用show dot11 ssid和show dot11 radio summary查看SSID是否已经绑定到射频以及射频是否正常工作。射频接口如果显示“disabled”可能是国家代码、信道或硬件错误导致。5.3 无线能连上但上不了网这是胖AP配置里最多的售后问题。客户端能连上SSID说明无线链路和加密都是正常的问题通常出在二层桥接或网关。先看客户端能不能获取到IP地址。如果获取不到说明AP和上级DHCP服务器之间链路有问题或者AP的GE口没有UP或者上级路由器接口做了VLAN隔离。在AP上执行show bridge group可以查看桥接组成员确认GE口和无线电口是否都加入到了同一个桥组。如果客户端能拿到IP但Ping不通网关检查BVI1的地址是否和上级网络冲突或者AP的默认网关是否配置正确。有很多人只配了BVI1的IP但忘了配ip default-gateway导致Ping通局域网但出不了网。还有一个容易忽略的点有些上级交换机在端口上开启了端口安全或DHCP Snooping会把AP桥接过来的无线客户端当成非法设备拦截。这种时候需要在交换机端口上做相应放行AP本身没有太多可调的。写在最后的实操体会折腾2702胖AP最忌讳的就是不看资料直接插电乱试。我前前后后刷了不少台AP也帮朋友救过砖最大的体会是固件版本和TFTP环境决定了百分之八十的成败。只要文件正确、网络稳定、供电没问题刷机过程本身并不复杂。刷完之后也别急着接生产环境先在一台独立的交换机上用手机连一下SSID验证基础和上网都通了再考虑部署。最后再分享一个小技巧刷机前把AP的标签拍张照记下序列号和固件版本去下载固件时能少走很多弯路。希望这篇配置记录能让你少浪费几个晚上的时间。