Linux无线网卡AP模式：hostapd+dnsmasq+NAT配置实战

手里有块开发板、一台装了 Linux 的旧笔记本，或者一台只有网口没有无线模块的工控机，临时要给几台设备组个无线局域网，路由器又不在手边——这种场景我碰过太多次。把 Linux 主机上的无线网卡从 station（客户端）模式切成 AP（Access Point）模式，让它自己变成热点，是最省事、最不依赖外设的解法。事情听起来简单，实际卡人的地方特别多：网卡驱动到底支不支持 AP、NetworkManager 会不会在背后把接口抢回去、hostapd 起来了但客户端拿不到 IP、能连上却上不了外网、换个 5G 信道直接起不来……每一环都够你耗掉半天。这篇学习记录就是把我自己踩过的坑和最后跑通的那套配置整理出来，涵盖网卡能力确认、hostapd 与 dnsmasq 的配合、NAT 转发，以及一些只有在现场才会碰到的怪问题。不管你是刚接触 Linux 网络配置的新手，还是想在嵌入式板子上做 SoftAP 的老手，下面这套思路和配置基本都能直接抄。

1. 动手之前，先摸清网卡的底子

1.1 用 iw list 确认 AP 模式能力

这一步是分水岭。很多 USB 无线网卡在 Windows 下能被各种"随身 WiFi 助手"一键切成热点，但换到 Linux 上，驱动未必把 AP 能力暴露出来。判断方法很直接：插上网卡，确认接口名（通常是 wlan0 或 wlp3s0），然后执行iw list，找到Supported interface modes这一段。

iw dev # 输出里能看到 Interface wlan0 / type managed 之类的信息 iw list | sed -n '/Supported interface modes/,/Band/p'

如果输出里出现* AP，说明驱动层支持；如果只有managed、monitor，那这条路基本就堵死了，要么换网卡，要么改驱动。这里有个容易被忽略的点：iw list读的是内核里 mac80211 上报的能力集，而厂商私有驱动（比如一些 USB 小模块）如果没走 mac80211 框架，iw根本不认这个接口，你会看到nl80211 not found或者接口压根不出现。这种情况得先lsmod、dmesg | tail确认驱动加载没加载。

接下来要看的是valid interface combinations这一段。它决定了你能不能"一卡两用"——同时当客户端又当热点。典型输出长这样：

valid interface combinations: * #{ managed } <= 1, #{ AP } <= 1, total <= 2, #channels <= 1

#channels <= 1是关键：它意味着所有虚拟接口必须待在同一个信道上。如果你一边连着家里的 5G 热点，一边想在自己 AP 上跑 2.4G 信道 6，那是做不到的，驱动会直接拒绝。我在这上面栽过一次，折腾了半天 hostapd 起不来，最后才发现是信道冲突。

1.2 驱动与固件的坑比想象中深

网卡认出来了、iw list里也有 AP，不代表一定跑得起来，真正的拦路虎往往是固件和驱动版本。市面上常见的几类无线芯片，在 Linux 下表现差别很大。

Realtek 的 RTL8852BE 这类 PCIe 网卡，走的是 rtw89 驱动，主线内核从 5.16 之后支持逐渐完善。早期版本iw list里能看到 AP，但 hostapd 一启动就报nl80211: Could not configure driver mode。解决办法通常是升级内核到较新版本，或者从厂商仓库里拉对应分支编译。而 AIC8800D40 这种 USB 模块更典型——它在很多国产小主机、随身 WiFi 硬件上出现，但主线内核压根没有驱动，必须自己编译厂商提供的源码，编译前还得先确认内核头文件版本匹配。

驱动装好之后还有固件。dmesg里出现Direct firmware load for xxx.bin failed就说明固件没放对位置。大多数发行版把固件放在/lib/firmware，驱动代码里写死的路径通常是/lib/firmware/rtlwifi/或/lib/firmware/aic8800/这种子目录，路径错一个字母就加载失败。

提示：装驱动之前先把内核版本记下来（uname -r），然后对照厂商 README 里的支持列表。厂商驱动对内核版本极其敏感，差一个小版本就可能编译不过。

还有一类问题是国家码（regulatory domain）。无线网卡出厂时带的信道表来自 EEPROM，但内核还叠加了一层监管限制。iw reg get看当前设置，如果显示country 00: DFS-UNSET，很多信道会被标记为不可用，hostapd 会直接拒绝启动。用iw reg set CN或写进/etc/conf.d/wireless-regdom（不同发行版路径不一样），再配合 hostapd 配置里的country_code=CN，基本就能解决。

1.3 单网卡还是双网卡，选型决定后面所有事

架构上其实只有两种玩法，选错方向后面全是白费功夫。

双网卡方案是最稳的：一张无线网卡专门做 AP，一张有线网卡（或者另一张无线网卡）做上行，通过 NAT 把客户端流量转出去。这种方案我强烈推荐，因为不用考虑信道共享、接口并发这些恶心事，调试起来也简单——AP 侧的配置和上行侧完全解耦。

单网卡方案就是一张无线网卡既当热点又负责上行。它要么把上行也走无线（网卡同时做 STA + AP），依赖前面说的 interface combinations 支持；要么干脆不接外网，只做本地局域网，比如几个设备之间互相传文件、做调试网。后者其实很常见：给嵌入式板子开一个热点，手机连上去用浏览器访问板子上的管理页面，压根不需要外网。

我自己的习惯是，只要手边有网口，一律走双网卡方案；只有在真的只有一个无线接口时，才去啃单网卡的并发配置。这个判断看着简单，但能省掉后面一半的调试时间。

2. 方案选型：为什么是三件套

2.1 hostapd 而不是 NetworkManager 的共享模式

现在很多桌面发行版（Ubuntu、Fedora）的图形界面里点两下就能开热点，背后是 NetworkManager 调用 hostapd 加上自己的 DHCP 和 NAT 实现。这条路径能用，但不适合作为学习记录，原因有两个：一是它把细节全藏起来了，出问题只能看journalctl里的层层日志；二是它在无桌面的服务器版、嵌入式系统里根本没这套东西。

直接用 hostapd 则完全可控。它只负责一件事：让网卡进入 AP 模式、处理 802.11 的认证和关联、管理客户端接入。至于给客户端分 IP、把流量转出去，它一概不管——这正是它设计得好的地方，职责单一，出问题好定位。

2.2 三段式分工：认证、地址、转发

跑通一个能上网的热点，实际需要三个组件各司其职。

这套组合的好处是每一层都能单独测：hostapd 起来后能搜到 SSID 说明二层通了；客户端拿到 IP 说明 DHCP 通了；能 ping 通网关说明链路通了；能上外网说明 NAT 通了。一旦出问题，顺着这四步往下查，基本三分钟能定位。

2.3 开干之前必须做的环境清理

这是最容易翻车的一步，我把它单独拎出来。Linux 桌面发行版里，NetworkManager 和 wpa_supplicant 默认都在跑，它们会牢牢抓住无线接口。你前脚ip link set wlan0 down，后脚 NetworkManager 就把它拉起来重新扫描，hostapd 直接报错退出。

清理顺序大致是这样：

# 1. 解除 rfkill 软阻塞，很多笔记本有硬件开关或 Fn 组合键 rfkill list rfkill unblock wifi # 2. 让 NetworkManager 别管这个接口（不要直接 stop 服务，其他网卡还要用） nmcli dev set wlan0 managed no # 3. 停掉可能占用接口的 wpa_supplicant systemctl stop wpa_supplicant.service 2>/dev/null # 4. 清掉接口上的残留配置 ip link set wlan0 down ip addr flush dev wlan0

如果你用的是 systemd-networkd 而不是 NetworkManager，思路一样：在对应.network文件里把 wlan0 设为Unmanaged=yes，然后 reload。Debian 老版本用/etc/network/interfaces的话，确保 wlan0 没有auto声明。

注意：nmcli dev set wlan0 managed no是临时的，重启失效。要永久生效得写配置文件，或者在启动脚本里每次都执行一遍。我习惯写进脚本，反正最后都要做开机自启。

还有一个隐蔽的坑是systemd-resolved。它默认监听 53 端口，dnsmasq 一起来就报failed to create listening socket for port 53: Address already in use。两种处理方式：一是在 dnsmasq 配置里加bind-interfaces只绑 wlan0，二是把 resolved 的 stub listener 关掉。

3. 实操：把 wlan0 变成热点

3.1 依赖安装与静态 IP 设置

先装包。Debian/Ubuntu 系：

apt update apt install hostapd dnsmasq iw iproute2 iptables

关于 nftables 还是 iptables：新一点的发行版（Debian 11+、Ubuntu 22.04+）默认是 nftables 后端，iptables 命令其实是 nft 的兼容层。两者都能用，但别混着写规则，不然iptables -L和nft list ruleset看到的完全对不上。我后面两套都会给。

装完 hostapd 后，Debian 会自动启用hostapd.service，而它默认读的配置文件里没内容，会失败退出。建议先禁用，等配置写好再手动启动：

systemctl unmask hostapd systemctl disable hostapd

然后是给 AP 接口配静态 IP。这里不需要改/etc/network/interfaces，直接在启动脚本里用 ip 命令最快，也最不容易被系统网络管理覆盖：

ip addr add 192.168.50.1/24 dev wlan0 ip link set wlan0 up

选网段也有讲究。192.168.50.0/24 这种不常被家用路由器占用的段比较安全；192.168.1.0/24 和 192.168.0.0/24 撞车概率极高，尤其是你的上行网络也在同一段时，会出现路由混乱——客户端明明拿到了 IP，但发包发不出去。

3.2 hostapd.conf 逐行拆解

配置文件我建议放/etc/hostapd/hostapd.conf，下面是 2.4G 的最小可用版本：

interface=wlan0 driver=nl80211 ssid=MyLinuxAP hw_mode=g channel=6 ieee80211n=1 wmm_enabled=1 macaddr_acl=0 auth_algs=1 ignore_broadcast_ssid=0 country_code=CN ieee80211d=1 wpa=2 wpa_passphrase=YourStrongPass wpa_key_mgmt=WPA-PSK wpa_pairwise=TKIP rsn_pairwise=CCMP

几个参数的选型逻辑值得说一下。hw_mode=g表示 2.4G，hw_mode=a是 5G。信道别乱选：2.4G 只有 1、6、11 三个互不重叠的信道，选 3 或者 9 会造成邻频干扰，实测吞吐掉得厉害。ieee80211n=1打开 802.11n，能显著提升速率，但需要配合 HT 能力声明，有些老网卡开了反而连不上，可以先不加，跑通了再加。

wpa_pairwise=TKIP这行现在其实可以去掉，因为wpa=2只走 WPA2-PSK，而rsn_pairwise=CCMP已经指定了 CCMP 加密。留着 TKIP 是为了兼容极老的设备，但会导致强制走 WPA2-TKIP 混合模式，反而降低速率。新设备多的场景直接删掉这行。

5G 版本的配置需要额外几行：

hw_mode=a channel=149 ieee80211ac=1 ieee80211d=1 vht_oper_chwidth=1 vht_oper_centr_freq_seg0_idx=155

这里channel选 149 是有理由的——它是 5G 里的非 DFS 信道。像 52-64、100-144 这些属于 DFS 频段，hostapd 启动前要做 CAC（信道可用性检查），要等 60 秒甚至更久，日志里会卡在DFS start CAC。测试阶段直接用 149、153、157、161 这些高频段信道，启动是秒开的。

vht_oper_chwidth=1是 80MHz 带宽，中心频率索引要根据主信道算。比如主信道 149，80MHz 覆盖 149-161，中心是 155，所以写 155。这里写错的后果是 hostapd 报Invalid VHT channel configuration直接退出。

3.3 dnsmasq 的最小配置

/etc/dnsmasq.d/ap.conf或者直接塞进/etc/dnsmasq.conf末尾：

interface=wlan0 bind-interfaces dhcp-range=192.168.50.10,192.168.50.200,255.255.255.0,12h dhcp-option=3,192.168.50.1 dhcp-option=6,192.168.50.1 domain-needed bogus-priv log-dhcp

interface=wlan0加bind-interfaces的组合，是让 dnsmasq 只在无线接口上监听 DHCP 和 DNS，避免和系统上其他服务抢端口。dhcp-option=3把默认网关指到 AP 自己，dhcp-option=6把 DNS 也指过来——因为 dnsmasq 本身能做 DNS 转发，上行的 DNS 服务器它会从/etc/resolv.conf里读。

坑在这里：如果上行网络的 DNS 是通过 DHCP 拿的，而且你的发行版用了 systemd-resolved，/etc/resolv.conf里可能只有一个127.0.0.53的 stub 地址。dnsmasq 去问这个地址，而 resolved 又只监听本机的 loopback，问题是能通的，但偶尔会有查询延迟。更稳的做法是给 dnsmasq 显式指定上游：

no-resolv server=223.5.5.5 server=119.29.29.29

log-dhcp建议先在调试阶段加上，能清楚看到哪个客户端在什么时候拿了哪个 IP，出问题时省一半时间。

3.4 打开转发与 NAT

内核默认不允许转发，得先打开：

sysctl -w net.ipv4.ip_forward=1 # 永久生效写进 /etc/sysctl.d/99-ap.conf echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-ap.conf

iptables 版本：

WAN=eth0 AP=wlan0 iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o $WAN -j MASQUERADE iptables -A FORWARD -i $WAN -o $AP -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -A FORWARD -i $AP -o $WAN -j ACCEPT

三条规则的分工：第一条是源地址伪装，把内网地址翻译成上行口的地址发出去；第二条允许已建立连接的回包进来；第三条允许内网主动发起的流量出去。这两条 FORWARD 缺一不可，只写第三条的话，客户端能发请求但收不到响应，表现为"能连上、能拿到 IP、就是打不开网页"。

nftables 版本：

nft add table ip nat nft add chain ip nat postrouting '{ type nat hook postrouting priority 100 ; }' nft add rule ip nat postrouting oifname "eth0" ip saddr 192.168.50.0/24 masquerade nft add table inet filter nft add chain inet filter forward '{ type filter hook forward priority 0 ; policy drop ; }' nft add rule inet filter forward iifname "wlan0" oifname "eth0" accept nft add rule inet filter forward iifname "eth0" oifname "wlan0" ct state established,related accept

注意 nft 里policy drop是个陷阱——如果系统里已经有其他 forward 规则，加这条会覆盖默认策略，导致别的转发失效。稳妥点先nft list ruleset看看现状。

3.5 一键启动脚本与开机自启

把上面所有步骤串起来，写成/usr/local/bin/ap-up.sh：

#!/bin/bash set -e IFACE=wlan0 WAN=eth0 AP_IP=192.168.50.1 SUBNET=192.168.50.0/24 rfkill unblock wifi nmcli dev set $IFACE managed no 2>/dev/null || true ip link set $IFACE down ip addr flush dev $IFACE ip addr add $AP_IP/24 dev $IFACE ip link set $IFACE up sysctl -w net.ipv4.ip_forward=1 >/dev/null systemctl restart hostapd systemctl restart dnsmasq iptables -t nat -C POSTROUTING -s $SUBNET -o $WAN -j MASQUERADE 2>/dev/null || \ iptables -t nat -A POSTROUTING -s $SUBNET -o $WAN -j MASQUERADE iptables -C FORWARD -i $WAN -o $IFACE -m state --state RELATED,ESTABLISHED -j ACCEPT 2>/dev/null || \ iptables -A FORWARD -i $WAN -o $IFACE -m state --state RELATED,ESTABLISHED -j ACCEPT iptables -C FORWARD -i $IFACE -o $WAN -j ACCEPT 2>/dev/null || \ iptables -A FORWARD -i $IFACE -o $WAN -j ACCEPT echo "AP is up. SSID: MyLinuxAP, Gateway: $AP_IP"

用iptables -C先检查再添加，是为了让脚本可重复执行。直接-A的话，手动跑两次脚本就会插入重复规则，虽然功能上不冲突，但iptables -L看起来会很乱。

停机的脚本反过来写一遍，主要是 flush 地址、停服务、删 NAT 规则。写完后chmod +x,再写个 systemd unit 挂在network.target之后启动，就实现了开机自动变热点。

4. 验证链路与常见问题排查

4.1 从客户端侧倒着验一遍

配置完别急着说"好了"，按这个顺序验证：

# 第 1 步：AP 起来了没 systemctl status hostapd --no-pager hostapd_cli status iw dev wlan0 info # 应该看到 type AP # 第 2 步：dnsmasq 在听吗 ss -lunp | grep :67 # DHCP 是 UDP 67 ss -ltnp | grep :53 # 第 3 步：客户端连上后，在服务器侧看租约 cat /var/lib/misc/dnsmasq.leases # 第 4 步：在客户端上测通链路 ping 192.168.50.1 # 网关通不通 ping 223.5.5.5 # 外网 IP 通不通（排除 DNS 问题） nslookup example.com # DNS 通不通

这个顺序的精妙之处在于它把问题切成了互不干扰的几段。ping 223.5.5.5通但nslookup不通，那一定是 DNS 配置问题，跟网络转发没关系；反过来ping 网关都不通，那 NAT 压根不用看，问题在二层或者 DHCP。

服务器侧抓包也很有用，尤其当客户端"连上但没反应"时：

tcpdump -i wlan0 -n port 67 or port 68

如果看到客户端的 DHCP Discover 但没看到 Offer，那就是 dnsmasq 没绑对接口或者被防火墙拦了。如果连 Discover 都看不到，说明二层关联有问题，回去看 hostapd 日志。

4.2 常见问题速查表

4.3 提升稳定性与吞吐的几个调优

跑通只是起点，实际用起来还得调。首先是关闭省电模式，无线网卡默认会进 PSM 省电状态，作为 AP 时会导致响应延迟波动很大：

iw dev wlan0 set power_save off

其次是带宽选择。2.4G 上千万别开 40MHz（HT40），因为整个 2.4G 频段才 83MHz 宽，开 40M 意味着占用两个信道，会和几乎所有邻居打架，实际体验反而更差。5G 上 80MHz（VHT80）才是合理选择，条件允许的话 160MHz 也可以试，但需要网卡和驱动同时支持。

第三是并发客户端数。hostapd 默认的max_num_sta是 2007，实际上受限于网卡和 CPU。用树莓派这种单板机做 AP，同时挂十几个客户端跑满带宽时，CPU 会先到瓶颈，因为整个数据转发路径要过一遍协议栈。这时候可以打开内核的net.core.netdev_max_backlog和调整txqueuelen，但根本上还是换个性能好点的主机。

还有个容易被忽略的点：wlan0 和 eth0 的 MTU 不一致。如果上行是有线千兆（MTU 1500），无线侧也是 1500，一般没事。但要是上行走了 PPPoE 之类的环境，MTU 会被压到 1492，客户端发大包时会出现"能打开小网页、大文件下载卡死"的诡异现象。用ip link show对比一下两边的 MTU，必要时给 AP 侧调小。

5. 几个折腾很久才搞明白的细节

5.1 那些只有现场才会碰到的坑

坑一：ip addr flush忘了做。如果 wlan0 之前被 NetworkManager 或 dhcpcd 配过地址，直接ip addr add会加上第二个地址，而不是替换。结果是接口上同时挂着 192.168.1.x 和 192.168.50.1，客户端拿到的网关可能是错的。养成"先 down、再 flush、再加地址、最后 up"的习惯，顺序不能乱。

坑二：dnsmasq 和 systemd-resolved 抢 53 端口。症状很隐蔽——dnsmasq 服务显示 active，但journalctl -u dnsmasq里有一行failed to create listening socket for port 53。它其实还在提供 DHCP，只是 DNS 挂了，表现就是"能上网但域名解析不了"。处理办法是给 dnsmasq 加bind-interfaces，它就不会去抢 0.0.0.0:53，只在 wlan0 上监听。

坑三：iptables 规则重启就没了。我一开始每次重启都要手动跑脚本，后来才知道要么写iptables-save，要么直接用 systemd unit 在启动时重建规则。这里不建议用iptables-persistent那种包，因为服务器上其他服务也可能在改规则，持久化会带来意外的规则冲突。用脚本重建虽然土，但每一版规则都看得见。

坑四：hostapd 的配置文件权限。里面明文写着wpa_passphrase，文件权限设成 644 的话任何用户都能读到。改成chmod 600，并且确保 hostapd 服务以 root 运行。这条看似不起眼，但在一台多用户共用的机器上很关键。

5.2 嵌入式与 buildroot 环境的差异

如果目标是一块嵌入式板子，比如跑 Buildroot 的国产 SoC 平台，思路一样，但细节全变了。

内核配置层面必须打开这几项：CONFIG_CFG80211、CONFIG_MAC80211、CONFIG_NL80211_TESTMODE，对应无线子系统和 hostapd 需要的 netlink 接口。USB 无线模块（比如 AIC8800D40 这类）还得额外把厂商驱动编进内核或作为外部模块编译，同时把.bin固件文件打到 rootfs 的/lib/firmware对应目录下，Buildroot 里用BR2_ROOTFS_OVERLAY挂一个 overlay 目录最方便。

用户空间包要选：BR2_PACKAGE_HOSTAPD、BR2_PACKAGE_HOSTAPD_DRIVER_NL80211、BR2_PACKAGE_DNSMASQ、BR2_PACKAGE_IPTABLES（或者BR2_PACKAGE_NFTABLES）、BR2_PACKAGE_IW。hostapd 在 Buildroot 里会依赖 libnl 和 openssl（或者 mbedtls），构建时如果报 openssl 找不到，往往是BR2_PACKAGE_OPENSSL没勾上。

还有个很实用的技巧：用 mac80211_hwsim 做无硬件验证。它是内核自带的虚拟无线驱动，能凭空造出几个假的无线接口，支持 AP 模式。在板子上还没接真网卡、或者调试驱动之前，先用它把整套 hostapd + dnsmasq 流程跑通，确认配置逻辑没错，再换真硬件，能省大量时间：

modprobe mac80211_hwsim radios=2 iw dev # 会看到 wlan0 和 wlan1

两个虚拟接口之间可以互相连接，一个做 AP 一个做 STA，用来验证配置是否正确非常方便。

5.3 关于调试节奏的一点个人经验

折腾这类配置，我最大的体会是别想着一口气把全流程配完再测。正确节奏是层层递进：先让 hostapd 起来，用手机搜到 SSID 就算这一层过了；再配 dnsmasq，看到手机拿到 IP 算过了；再开转发，能 ping 通外网算过了；最后加 NAT，能打开网页算过了。每过一层存一次配置，出问题时退回上一版，比对着几十行配置猜要快得多。

另外，journalctl -u hostapd -f和dmesg -w这两个窗口建议一直开着。hostapd 的日志非常诚实，几乎所有握手失败、信道切换、认证错误都会打出来，只是很多人不去看。我遇到过最离谱的一次是客户端的加密方式和 AP 不匹配，日志里就一行WPA: 4-Way Handshake failed，看了日志两分钟解决，不看的话能猜一天。

现在这套配置我基本是模板化保存的，换机型时只改interface、hw_mode、channel三个值就能跑。真正花时间的从来不是配置本身，而是驱动和硬件的适配——那部分每个平台都不一样，只能一单一单地趟。