简介：这是一份河南大学软件学院《无线网络与安全技术》课程的实验报告，主题为Fat AP基本配置，适合网络工程专业学生及无线网络入门学习者参考。报告完整记录了AP从Fit模式切换为Fat模式、通过console线连接并登录命令行、创建无线虚拟接口与服务模板、绑定无线射频接口等关键配置过程，同时梳理了无线虚拟接口、无线服务模板、无线射频接口的技术原理，并针对STA能搜索到信号但无法获取IP的典型故障给出了诊断思路。资源为单个doc文档，大小2.4MB，内容包含实验环境说明、配置命令、步骤截图及撤销配置的排错记录，便于对照实际操作进行学习。目前已有90人学习浏览，可作为无线网络配置实验的参考资料。
1. 一份叫「AP 基本配置」的实验报告，为什么值得逐条较真
实验报告9_AP基本配置这个标题，看着像课堂作业，实际是无线网络里最容易翻车的起点。很多人在这关犯同一个错：SSID 能搜到、密码也能过，终端就是上不了网，折腾半天发现是 VLAN 或工作模式没配对。AP 基本配置不是「设个 WiFi 密码」那么轻，它决定 AP 能不能被管理、业务能不能通、后续漫游和优化有没有地基。
这篇笔记按实验报告覆盖的完整链路拆：先定 FAT 和 FIT 模式，再逐项落 SSID、加密、信道、VLAN、DHCP，最后收在踩坑和验证手段上。适合正在补这个实验的初学者，也适合熟手在批量部署前把边界参数再过一遍。
2. 先分清楚 FAT 和 FIT：同样的 AP，两种完全不同的配置路径
拿到一台 AP，第一个要回答的问题不是「密码设什么」，而是「这台 AP 用哪种模式」。FAT AP 独立工作，配置全存在本地；FIT AP 是瘦终端，所有配置由 AC 下发。模式选错，后面的命令写再多也是白搭。这一章把两种模式的入口和最小配置动作分别走一遍。
2.1 第一次进 AP：Console 登录、改密码、开远程管理的标准动作
FAT 和 FIT 共用同一条第一步：拿到 AP 后先进系统。实验室最稳的方式是 Console 串口线，因为 AP 出厂 IP 未知、也没有 DHCP 响应时，Web 和 SSH 都进不去。用串口线接上后，终端软件把波特率设成 9600、数据位 8、停止位 1、无校验，通电后回车就能看到用户视图提示符。这个过程别跳过，后面所有排查都要靠「能不能进系统」来缩小范围。
进系统后第一件事改默认密码，第二件事开远程管理，两个动作连着做：
# 进入系统视图 <AP> system-view # 给 Console 口配置密码认证 [AP] user-interface console 0 [AP-ui-console] authentication-mode password [AP-ui-console] set authentication password cipher Lab2024@wlan [AP-ui-console] quit # 开启 Telnet 并给虚拟终端配置密码 [AP] telnet server enable [AP] user-interface vty 0 4 [AP-ui-vty0-4] authentication-mode password [AP-ui-vty0-4] set authentication password cipher Lab2024@wlan [AP-ui-vty0-4] quit # 保存配置，否则重启全丢 [AP] save逻辑说明：Console 口认证只影响串口登录，vty 是后续 Telnet/SSH 的入口，两个都要配。很多初学者只配了 Console，结果想从电脑远端连 AP 才发现连不上，又得跑一趟机柜插串口线。密码里的 cipher 表示设备以密文保存密码，查看配置时不会直接暴露原文。
参数说明：密码至少 8 位且含大小写和数字；如果型号支持 SSH，优先ssh server enable而不是 Telnet，因为 Telnet 的密码和配置在链路上是明文。save执行后设备会确认，敲 Y 回车，看到配置保存成功提示才算数。这一步是整个 AP 基本配置里最容易被漏掉、代价也最大的动作。
2.2 FAT AP 自己扛一切：从 SSID 到信道的最小可上网命令集
FAT AP 把所有无线参数存在本地，不依赖任何控制器。校园实验室和小型办公室只有一两台 AP 时，用 FAT 最直接。代价是每台 AP 都要单独配置，改一次 SSID 密码得逐台上设备。明确了这点，再来看配什么：SSID、加密、VAP 绑定射频，最少三步：
<AP> system-view [AP] wlan # 1. 创建 SSID 模板，名字叫 lab-ssid [AP-wlan] ssid-profile name lab-ssid [AP-wlan-ssid-lab-ssid] ssid lab-ssid [AP-wlan-ssid-lab-ssid] quit # 2. 创建安全模板，WPA2-PSK + AES [AP-wlan] security-profile name lab-security [AP-wlan-sec-lab-security] security wpa2 psk passphrase Lab2024@wlan aes [AP-wlan-sec-lab-security] quit # 3. 创建 VAP 模板，把 SSID 和安全模板绑到一起 [AP-wlan] vap-profile name lab-vap [AP-wlan-vap-lab-vap] ssid-profile lab-ssid [AP-wlan-vap-lab-vap] security-profile lab-security [AP-wlan-vap-lab-vap] quit # 4. 把 VAP 应用到 2.4G 射频口 [AP-wlan] radio 0 [AP-wlan-radio0] vap-profile lab-vap [AP-wlan-radio0] quit [AP] save逻辑说明：这个顺序是主流企业级 AP 通用的模板式思路。SSID 模板只负责广播名字，安全模板负责加密和密码，VAP 模板把两者组合起来再绑到射频口。radio 0 通常是 2.4G，radio 1 是 5G；如果 5G 也要覆盖，对 radio 1 再应用一次同样的 VAP。
参数说明：security wpa2 psk passphrase末尾的aes表示加密套件选 CCMP/AES 而不是 TKIP，这里必须明确写，否则设备可能落到兼容模式协商出弱加密。密码至少 8 位。实验室 WPA2-PSK 足够；如果实验硬性要求 WPA3，把关键字换成 wpa3 psk，但要注意旧终端可能不支持。
2.3 FIT AP 交给 AC：CAPWAP 上线链路与 Option 43 的完整配置
FIT AP 不保存无线配置，开机后通过 CAPWAP 协议从 AC 拉取。这种模式下基本配置的难点不在 AP，而在「怎么让 AP 找到 AC」这条链路：AP 通过 DHCP 拿到管理地址和 Option 43 里的 AC 地址，再和 AC 建 CAPWAP 隧道，AC 校验通过后把 SSID、加密、VLAN 推给 AP。任何一环断了，AP 就停在未上线状态。
DHCP 侧的关键是 Option 43。不同厂商子选项定义略有差异，但核心格式都是「子选项类型 + 长度 + AC 地址十六进制」。假设 AC 管理 IP 是 192.168.1.2，十六进制是 c0 a8 01 02，Linux DHCP 服务器配置如下：
# /etc/dhcp/dhcpd.conf 中为 AP 所在管理网段配置 Option 43 subnet 192.168.10.0 netmask 255.255.255.0 { range 192.168.10.100 192.168.10.200; option router 192.168.10.1; option domain-name-servers 192.168.10.1; # 子选项类型 0，长度 4，后面是 AC 地址 c0 a8 01 02 option vendor-encapsulated-options 00:04:c0:a8:01:02; }参数说明：00是子选项类型，有的厂商用01，以 AC 侧文档为准；04表示后面跟 4 字节；c0 a8 01 02即 192.168.1.2。如果实验室没有 Linux DHCP，在路由器或三层交换机上用dhcp option 43类似命令配置，思路一样。
AC 侧配置：
<AC> system-view [AC] wlan # 指定 CAPWAP 源地址，AP 只认源为这个地址的 AC 响应 [AC-wlan] ac source-ip 192.168.1.2 # 实验室允许任意 MAC 上线；生产环境必须改成 mac-auth [AC-wlan] ap auth-mode no-auth # 查看 AP 是否上线，State 应该是 normal [AC-wlan] display wlan ap all逻辑说明：ac source-ip必须和 Option 43 下发的地址一致，否则 AP 收到 AC 地址也会因源地址不匹配丢弃报文。ap auth-mode no-auth实验省事，但意味着任何 AP 都能注册进来，正式部署要改成 mac-auth 并手工加入 AP 的 MAC。最后一行是验证入口，State 从 fault 变 normal 才算上线链路通了。
补充一个高频坑：CAPWAP 隧道使用 UDP 5246/5247，中间串了防火墙要放通；AP 和 AC 时间偏差过大会导致 DTLS 握手失败，实验室最好在两边都配 NTP。
3. 射频与业务参数拆解：SSID、加密、信道和功率该怎么落
模式定完，进入参数层。AP 基本配置的核心不是敲多少条命令，而是每个参数选什么值、为什么。这一章把 SSID/VAP、加密认证、信道频宽功率三组参数拆开讲。
3.1 VAP 绑定逻辑：一个射频口怎么挂多个 SSID
一台 AP 要同时提供员工网和访客网，靠的就是多个 VAP。每个 VAP 是「SSID + 安全 + VLAN」的组合体，绑到射频口后成为一个终端可见的无线网络。模板之间的关系如下：
| 配置对象 | 负责内容 | 典型例子 |
|---|---|---|
| ssid-profile | SSID 广播名、是否隐藏 | lab-ssid、lab-guest |
| security-profile | 加密方式、密码、认证 | WPA2-PSK、WPA3-PSK |
| vap-profile | 组合 SSID + 安全 + VLAN | 员工网、访客网 |
| radio | 物理射频口，radio0 为 2.4G，radio1 为 5G | radio0 + vap-profile |
理解了这张表，多 SSID 就是重复建模板的事：新建一个 lab-guest 的 SSID 模板、一个 guest-security 安全模板、一个 guest-vap 的 VAP 模板，VAP 里绑不同 VLAN 实现隔离，再应用到同一个 radio。注意终端可见的 SSID 别超过三四个，信标帧开销会让整体效率明显下降。
边界参数：每个 VAP 有最大接入终端数，默认值往往偏低，实验室并发高时要调大；VAP 里也能配每用户限速，这属于进阶，不是基本配置。
3.2 WPA2-PSK、WPA3 与 802.1X：实验室和企业场景各选什么
加密选型直接决定终端能不能连、账号好不好管。常见方案对比：
| 方式 | 适用场景 | 需要额外设备 | 注意点 |
|---|---|---|---|
| WPA2-PSK | 实验室、小办公室 | 无 | 密码≥8位，加密套件选AES |
| WPA3-PSK | 新终端为主 | 无 | 旧设备不支持，需开兼容模式 |
| 802.1X / WPA2-Enterprise | 企业、按账号管理 | RADIUS 服务器 | 配置链路长，需证书或账号密码 |
| MAC 认证 + PSK | 设备允许列表 | 无 | 适合实验，不适合访客 |
实验报告场景选 WPA2-PSK 最省事，一条命令就能满足安全要求。题目如果要求 WPA3，开 WPA3-PSK 并保留 WPA2 过渡模式，否则几台旧笔记本会直接连不上。无论哪种，都不要选 TKIP，它是为了兼容 802.11g 时代的老设备留下的，性能差且已被破解工具覆盖，没有任何新部署选它的理由。
802.1X 在实验里容易翻车的原因是链路长：RADIUS 服务器、共享密钥、证书或账号源、AC 上启用 AAA，四段里任何一段出错都表现为「连上又断开」。如果不是实验硬性要求，不建议在基本配置阶段碰它。
3.3 信道、频宽与功率：一张规划表避免无线打架
无线参数里最容易被忽略的是射频三件套。很多实验报告只写了 SSID 和密码，信道功率全默认，结果多台 AP 一开就互相干扰。规划表如下：
| 频段 | 推荐信道 | 频宽建议 | 功率建议 |
|---|---|---|---|
| 2.4G | 1、6、11，相邻 AP 错开 | 20MHz | 15dBm 左右 |
| 5G | 36、44、149、153，避开 DFS 信道 | 40MHz 起步，干扰少可 80MHz | 17–20dBm |
2.4G 一共 14 个信道，但只有 1、6、11 互不重叠，其余信道之间都有频谱交叠。两台 AP 分别选 1 和 3，互相干扰比选 1 和 6 还严重。这是所有 2.4G 规划的第一原则。频宽方面，2.4G 开 40MHz 等于同时占两个相邻信道，在密集环境里反而更慢；5G 信道资源多，40MHz 起步，周围没干扰才升 80MHz。
功率不是越大越好。信号满格但速率差的「假满格」，多半是功率过大造成同频干扰。覆盖靠 AP 密度而不是单台功率，实验室里 15dBm 起步测试，用终端走一圈看哪个位置掉速，再决定加不加功率。配置时用channel和tx-power类命令，配完用display wlan radio all核对生效值。
4. 让 AP 真正「入网」：管理 VLAN、业务 VLAN 与 DHCP 联动配置
AP 能广播 SSID 只是第一步，终端连上后要拿地址、通网关，才算真正入网。这一章解决的是数据链路：管理流量和业务流量怎么分、地址从哪来。
4.1 上联口 Trunk 放哪些 VLAN：AP 和终端各走各的网
常见做法是把 AP 的管理网段和无线终端业务网段分开。AP 自己的 IP 走管理 VLAN，终端无线流量由 VAP 打上业务 VLAN 标签上行。交换机接 AP 的口要配成 Trunk：
# 交换机连接 AP 的接口：Trunk，PVID 为管理 VLAN 10 [Switch] interface GigabitEthernet0/0/1 [Switch-GigabitEthernet0/0/1] port link-type trunk [Switch-GigabitEthernet0/0/1] port trunk pvid vlan 10 [Switch-GigabitEthernet0/0/1] port trunk allow-pass vlan 10 20 [Switch-GigabitEthernet0/0/1] quitAP 侧，VAP 模板里绑定业务 VLAN：
[AP-wlan] vap-profile name lab-vap [AP-wlan-vap-lab-vap] ssid-profile lab-ssid [AP-wlan-vap-lab-vap] security-profile lab-security # 业务 VLAN 在这里绑定，终端拿的是这个 VLAN 的地址 [AP-wlan-vap-lab-vap] vlan 20 [AP-wlan-vap-lab-vap] quit [AP] save逻辑说明：PVID 10 意味着 AP 发送的未打标管理帧默认归到 VLAN 10，AP 自己的 IP 从这里拿；终端无线帧被 VAP 打上 VLAN 20 标签上行，交换机 Trunk 允许 10 和 20 通过。如果交换机只allow-pass vlan 10漏了 20，现象就是 AP 在线、SSID 正常，但终端永远拿不到 IP。
如果上联口被配成 access，只能承载单个 VLAN，管理和业务混在一起，单 AP 实验勉强能跑，多 AP 一上线就乱。Trunk + PVID 分离是正规做法，也是实验报告里值得专门写清楚的一步。
4.2 DHCP 地址池与网关：终端拿到 IP，配置才叫闭环
业务 VLAN 打通后，还要有 DHCP 给终端发地址。实验环境最省事的是在网关设备上开全局 DHCP：
# 网关开启 DHCP，建立管理网段和业务网段两个地址池 [Gateway] dhcp enable [Gateway] ip pool ap-pool [Gateway-ip-pool-ap-pool] network 192.168.10.0 mask 255.255.255.0 [Gateway-ip-pool-ap-pool] gateway-list 192.168.10.1 [Gateway-ip-pool-ap-pool] dns-list 192.168.10.1 [Gateway] ip pool client-pool [Gateway-ip-pool-client-pool] network 192.168.20.0 mask 255.255.255.0 [Gateway-ip-pool-client-pool] gateway-list 192.168.20.1 [Gateway-ip-pool-client-pool] dns-list 192.168.10.1 # 在 VLAN 接口上应用全局地址池 [Gateway] interface Vlanif 10 [Gateway-Vlanif10] ip address 192.168.10.1 255.255.255.0 [Gateway-Vlanif10] dhcp select global [Gateway] interface Vlanif 20 [Gateway-Vlanif20] ip address 192.168.20.1 255.255.255.0 [Gateway-Vlanif20] dhcp select global逻辑说明：管理网段 192.168.10.0/24 给 AP，业务网段 192.168.20.0/24 给终端，两个网段在网关处隔离。Vlanif10 的地址就是管理网网关，Vlanif20 的地址是终端网关，地址池里的 gateway-list 必须和 Vlanif 地址一致，否则终端拿到地址也找不到出口。
参数说明：如果 DHCP 服务器不在网关而在独立服务器上，接口要改dhcp select relay并指向服务器地址，VLAN 间还得通路由。DNS 别忘配，否则终端能上 IM 打不开网页，排查时很容易被误导。地址池范围建议预留一部分固定地址段，用excluded-ip-address排除掉网关和预留地址。
5. AP 配置常见问题与排查：五条高频踩坑记录
这一章写的都是真实环境里反复出现的现象，按「现象 → 原因 → 解决」整理，配置前先看一遍能省大量排障时间。
5.1 AP 在 AC 上一直离线
现象：AC 上display wlan ap all显示 AP 长时间处于 offline 或 fault，重启 AP 无效。
原因：最常见有三处。一是 AP 没从 DHCP 拿到地址，管理 VLAN 没放通；二是 Option 43 缺失或 AC 地址写错；三是 AP 和 AC 时间偏差过大导致 CAPWAP 的 DTLS 握手失败。还有一个隐蔽原因：AC 的源 IP 没配，AP 发来请求但没有可用的响应地址。
解决：按链路逐段查。先登进 AP 看管理地址是否获取成功，能 ping 通 AC 源 IP 再谈上层；查 DHCP 服务器上 Option 43 的十六进制是否对应 AC 地址；最后在两端配 NTP，把时间拉齐。排查顺序别乱，直接从 AC 端查会漏掉链路前半段。
5.2 终端连上 SSID 却拿不到 IP
现象：手机显示已连接 WiFi，但无互联网，手动配一个静态 IP 后能通。
原因：业务 VLAN 没在上联口放通，VAP 绑定的 VLAN 和 DHCP 地址池网段不一致，或地址池已经耗尽。实验环境里最常见的是第二种：VAP 里绑了 VLAN 20，但地址池建在了 192.168.10.0/24，终端拿到的地址和网关不在同一网段。
解决：在 AC 上查看 VAP 绑定的 VLAN，和交换机 Trunk 放通的 VLAN、网关地址池网段三处对齐。手动给终端配一个业务网段的 IP 验证连通，能通就说明问题在 DHCP 侧，不能通则查 Trunk 放通。
5.3 信号满格但网速极差
现象：终端显示信号 -50dBm 左右，但协商速率只有几 Mbps，ping 延迟忽高忽低。
原因：2.4G 信道重叠，附近 AP 选了两两干扰的信道；或者某台 AP 频宽开到了 40MHz 且落在重叠区；再或者功率开满 20dBm，同频 AP 之间互相压制。
解决：2.4G 全部收敛到 1、6、11 三个信道并按 AP 位置错开；频宽统一降回 20MHz；功率从 20dBm 降到 15dBm 左右。改完再测一轮，如果速率上来，说明问题就在射频三件套。
5.4 5G 频段搜不到或反复掉线
现象：手机只看到 2.4G 的 SSID，5G 的 SSID 不出现；即使出现，连接几秒后断开。
原因：国家码不对导致当前信道不在允许范围；或者信道被手动锁定在 DFS 雷达信道，AP 检测到雷达信号后主动避让；也有一部分旧终端不支持 36–64 这类低信道。国情不同，同一块射频支持的信道列表不一样，出厂默认可能是别国的。
解决：检查 AP 的国家码配置，设置成实验所在地的值；5G 信道改用 149、153 等非 DFS 信道。先在射频上恢复 auto 信道确认 5G 能正常广播，再逐步锁定信道，避免一上来就锁一个 DFS 信道。
5.5 重启后所有配置丢失
现象：配置完成后断电再上电，AP 回到出厂状态，SSID 和密码全没了。
原因：FAT AP 配置没执行 save，掉电后配置区没有写入；FIT AP 则是 AC 侧配置没有下发成功，或 AP 根本没上线，本地又没存档；还有可能是保存到了错误的配置区域，设备默认加载了另一份空配置。
解决：养成「改完就 save」的习惯，退出到用户视图执行 save，看到确认提示再断电。FIT 模式在 AC 上确认配置已经 commit 并下发到 AP，再验证 AP 侧display current-configuration里能看到 SSID。实验室里可以专门练习一次「配完即断电重启」，用这个动作检验配置是否真正落盘。
6. 配置完成的验证套路：三条命令、一次抓包和一个贴标签习惯
配置写完不等于做完，验证要成套路。我一般按三层走：设备层看状态，数据层看协商，链路层看报文。
设备层三条命令最常用：
# 在 AC 上看 AP 与终端在线状态 [AC] display wlan ap all [AC] display station summary # 在 AP 上看射频信道、频宽和功率的生效值 [AP] display wlan radio alldisplay wlan ap all看 State 是否为 normal；display station summary看终端协商速率和信号强度，速率明显偏低说明射频参数有问题；display wlan radio all核对信道和功率是不是你配置的数值——有些实验环境里设备会自动调优，生效值和配置值不一致是正常的，但你要知道差在哪。
数据层验证用终端实测：手机连上 SSID 后，先确认拿到的是业务网段地址，再 ping 网关和外网地址。ping 网关通、ping 外网不通，问题在出口路由；两者都不通，问题在 DHCP 或 VLAN。
链路层抓包是最硬的证据。在 AP 上联交换机口做端口镜像，抓 DHCP 四步报文确认地址获取正常；抓 CAPWAP 报文确认 AP 与 AC 隧道建立。Wireshark 里过滤dhcp或capwap，一眼能看到停在哪个阶段。这个手段在排查「拿不到 IP」这类问题时，比猜配置快得多。
现场习惯上，我强烈建议每台 AP 贴一张标签，写清 MAC 后四位、安装位置、SSID 和所属 AC。实验环境设备少可能无所谓，但设备一多，没有标签的 AP 出了故障只能靠拔线试，效率极低。另一个习惯是配置前先导出一份当前配置存本地，改完导出第二份做对比，哪条命令有问题一目了然。
几年前我在某公司做网络维护，就因为改完信道没 save，半夜断电后整层楼无线瘫痪，第二天靠备份配置才恢复。从那以后我养成了「改一条、验证一条、save 一次」的习惯，也写进了每份实验报告的注意事项里。希望这篇笔记帮你在 AP 基本配置上少走几步弯路，把时间留给真正有价值的无线优化。
本文还有配套的精品资源，点击获取
