简介：面向无线网络运维人员、网工初学者及 Aruba 方案学习者的配置文档，定位是帮助读者理解 AP 与无线控制器的联动配置思路，解决从概念到参数映射的入门难题。内容以 Aruba 的 profile 分解机制为主线：无线配置参数被拆成一个个独立 profile，下层 profile 可被多个上层 profile 复用；文中重点讲解 AP 组的默认归属与参数覆盖关系、Virtual AP 如何在一个物理 AP 上提供多个 WLAN 服务，并梳理 Wireless LAN Profiles、SSID Profile、High-throughput SSID Profile、AP Profiles、QOS Profiles 等模块及子 profile 的用途，包括认证加密、Beacon 间隔、40MHz 带宽、流量优先级和 VoIP 接入控制等配置要点。下载包为单一 doc 文件，压缩包大小约 1.06MB，轻量便于查阅保存。已有 983 人学习，适合作为 Aruba 无线网络配置入门、概念梳理与排错参考。
1. Aruba无线AP及AC配置：企业无线网里最容易卡住的一段
做了几年企业无线运维，你会发现Aruba无线AP及AC配置这个话题，几乎每次项目开局都要被拿出来聊一遍。AC（控制器）负责把几十上百个AP统一管起来，AP则做成胖瘦一体甚至纯瘦模式，即插即用。理想状态是：AP上电、注册、下发配置，业务SSID自动广播。但实际项目里，AP一直显示Down、AC上找不到AP、客户端拿到IP却上不了网，这些现象在开局头三天集中爆发。这篇东西就把我从空配置到业务跑通的完整路径讲清楚，包括AC初始化、AP发现、VLAN映射、SSID下发，以及那些让你怀疑设备是坏的、最后发现只是一个小参数没配对的坑。适合做无线开局、网络运维的朋友，也适合刚接手Aruba设备、对着文档不知道先敲哪条命令的人。
2. 先分清角色：Aruba AC和AP之间到底谁听谁的
2.1 控制器与AP的协同关系：从CAP到L2/L3漫游
Aruba的无线网络里，AP本身不是一个独立的接入点，而是一个受AC控制的"哑终端"。AP上跑的是精简系统，SSID、认证、VLAN、漫游策略都由AC统一下发。这个架构的好处是配置集中，坏处是AP一旦找不到AC，它就变成一块砖，连管理地址都没有。
理解这个协同关系，首先要分清三个角色。AC是大脑，负责认证接入、策略下发、流量转发决策；AP是手脚，负责射频空口监听和收发；客户端是中端接入者，漫游时在AP之间切换，但业务会话追踪还在AC上。Aruba把这种架构叫CAP（Controller-based AP）。当客户端从一个AP漫游到另一个AP时，AC会保持该客户端的会话状态，后端认证服务器不需要重新认证，这也是企业级场景选AC而不是让AP各自为政的核心原因。
这里有一个需要提前决定的转发模式：本地转发（Local）和集中转发（Tunnel）。集中转发模式下，客户端流量全部通过CAPWAP隧道送到AC，再出上行口，AC可以做集中安全策略和流量监管；本地转发模式下，客户端流量由AP直接上下行，隧道里只跑管理控制。两者在Aruba里的配置参数完全不同。如果机房带宽足够、安全审计要求高，建议集中转发；如果AP跨地域、上行链路紧张，本地转发更合适。这个决定要在建SSID之前做，不然后面所有策略都要返工。
2.2 初始连接方式：串口与SSH，先拿到一个能输命令的入口
新上电的Aruba AC默认不带管理IP，必须先用串口线接console口，把终端设置成9600波特率、8数据位、1停止位、无校验，然后上电。这里最容易翻车的是忘记给终端配置流控，或者用了USB转串口但驱动没装好，导致屏幕上全是乱码。正确做法是先把串口工具打开再给设备上电，上电后等启动日志稳定下来，看到登录提示。
# 串口登录后，默认账号密码通常为 admin/admin，首次登录会强制要求修改 # 进入用户管理界面后，先创建带权限的管理员并配置管理接口 (Aruba-AC) # configure terminal (Aruba-AC) # user admin password NewPass123 privilege root (Aruba-AC) # interface vlan 1 (Aruba-AC) # ip address 192.168.10.5 255.255.255.0 (Aruba-AC) # ip default-gateway 192.168.10.1 (Aruba-AC) # write memory这段命令里，configure terminal进入全局配置模式，所有后续修改都在这个模式下敲。user admin password重置admin密码，privilege root表示给这个账号管理员权限，密码强度要求8位以上且含特殊字符，如果太弱会被AC拒绝。interface vlan 1是管理接口，实际项目中最好把管理VLAN单独分一个，不要和办公用户VLAN混用。ip default-gateway是给AC穿上一层默认路由，否则AC和AP不在同一广播域时，AP完全找不到它。最后write memory是必写的一步，很多初学者配置完不保存，一重启就回到解放前。
配完管理地址后，就可以把网线插到AC上行口，然后用SSH远程登录。SSH端口默认22，如果AC前面还有防火墙，记得把管理网段的SSH放通。到这里，AC已经有了最基本的网络身份，下一步就是让AP能发现它。
3. 让AP找得到AC：发现机制与注册流程的配置要点
3.1 三种让AP找到AC的办法：DNS、DHCP Option 60/43、手动指定
AP上电后第一件事是找AC。这个"找"的动作，在Aruba系统里叫Discovery。最常见的机制有三种：DNS域名解析、DHCP Option参数、以及AP本地缓存的AC地址列表。项目开局时，我一般优先用DHCP Option，因为它不用在AP上做任何手工配置，只要DHCP服务器下发正确，AP插上网线就能自己找过来。
DHCP Option的实现逻辑是：AP作为DHCP客户端拿到IP地址后，还会额外请求Option 60（Vendor Class Identifier）。Aruba AP在Option 60里会填一个特定厂商字符串，DHCP服务器识别到这个字符串后，再在Option 43里回填AC的管理IP地址列表。配置的时候，把AC地址以十六进制格式填进Option 43，或者直接填点分十进制格式，取决于DHCP服务器是否支持对应类型。以常见的第三方DHCP服务器为例：
# 在DHCP服务器上为AP对应的作用域添加以下选项 # Option 60: 标识厂商为Aruba AP set vendor-class-identifier = "ArubaAP" # Option 43: AC管理IP为 192.168.10.5，多个地址用逗号分隔 set vendor-encapsulated-options = "192.168.10.5,192.168.10.6"注意，不同DHCP服务器对Option 43的格式要求不一样，有的要求十六进制字符串，有的接受ASCII。十六进制格式下，192.168.10.5要写成一整串十六进制字节，长度正好是4字节*地址个数。这个格式错误是最常见的坑：AP拿到的是正确IP，但Option 43解析失败，于是它就开始全网广播找AC，结果抓包看到一堆广播，AC就是不理它。另一个候选是DNS方式，AP会尝试解析aruba-master这个主机名，DNS解析到哪个IP，它就去找哪个AC。这个方法在跨三层、DHCP无法附加选项的场景更实用。
3.2 用CLI把AP拉进控制器：授权与版本同步
发现机制做完，AP会在AC上显示为unprovisioned状态。这表示AP已经和AC建立了CAPWAP隧道，但还没有被纳入某个AP组，也没有获得正式身份。Aruba的授权模型是白名单制：AC上没有授权的AP，即使能建立隧道也不会广播业务SSID。这一步需要操作者登入AC后台，把AP从unprovisioned状态改为provisioned。
# 查看当前AC下发现的AP，记录AP的序列号 (Aruba-AC) # show ap database # 批准单个AP加入，序列号通过上面命令查到的Serial#获得 (Aruba-AC) # ap provisioning-mode serial-number xxx # 将AP加入默认组，并同步AC上的配置版本 (Aruba-AC) # ap-group default-ap-group (Aruba-AC) # ap-name AP-TEST这段命令权限要求很高，普通只读账号执行不了。show ap database是开局必用的排查命令，输出里能看到AP的IP地址、MAC、状态、隧道状态。如果AP一直处于down，说明AP根本没和AC建立隧道，需要回到发现机制去查。ap provisioning-mode serial-number后面必须跟准确的序列号，序列号在AP机身标签上，也可以从DHCP服务器上通过MAC地址反查。批量开局时，我不会一台台敲，而是先让AP全部处于unprovisioned状态，然后一次性用命令把授权方式改成allowall，等所有AP上线后再收紧。
配置版本同步也很关键。AC升级后，AP里还保留旧版本固件，新上电的AP会自动向AC请求固件，但已经运行的AP不会自动重新加载，除非你手动重启它或配置里开了自动升级。授权完成后，AP会短暂重启一次去加载AC下发的固件版本，这个重启过程持续三到五分钟，期间AP指示灯闪烁全红，很多人以为设备坏了，其实它是在做版本同步。
3.3 网络规划参数：AC地址、备用AC、AP组
单台AC能带的AP数量有限，大规模项目一定要做集群或双机冗余。Aruba里把一组提供相同服务的AC叫Controller Cluster，AP发现集群里任何一个AC都能注册，注册后整个集群的配置同步。命名上常用主AC和备用AC，但实际工作方式并不是主备倒换，而是所有AC都活着，AP通过选举算法选一个主控AC建立隧道。
规划时要把三个地址段分开：AC管理地址段、AP管理地址段、用户无线网段。AC和AP之间的管理流量走CAPWAP协议，需要开放UDP 5246和5247端口，如果中间有防火墙，这两个端口放通是前提。AP的管理地址建议走静态DHCP绑定，或者用Option 67分配固定IP，这样排错时知道每个AP具体在哪台交换机下。
# 配置备用AC列表，AP会依次尝试主备地址 (Aruba-AC) # controller-ip 192.168.10.5 (Aruba-AC) # controller-ip 192.168.10.6 backupcontroller-ip命令在AOS不同版本里所在模式不同，有的在全局模式，有的在AP系统Profile里。backup关键字表示这个地址是备用。实际项目中，我习惯把两个AC的地址都填进DHCP Option 43，AP拿到列表后会自动选第一个，失败就试第二个，这比在AC侧配备用列表更可靠，因为DHCP下发的列表对AP来说是最原始的指令。另外AP组也非常重要。不同区域、不同SSID策略的AP一定要分开组，例如ap-group office和ap-group warehouse，组里绑定不同的VAP模板，这样AC下发配置时按组匹配，不会把访客网络配置推到办公区AP上。
4. 把无线业务跑起来：VLAN划分与SSID模板
4.1 设计VLAN池：管理VLAN、用户VLAN和Guest VLAN
无线业务配置之前，先把VLAN规划做干净。最常见的错误是整个园区所有无线用户都在一个VLAN里，导致广播域巨大，DHCP请求被大量AP中继，网络卡到怀疑人生。正确的规划至少分出三段：管理VLAN给AP和AC通讯，业务VLAN给办公无线终端，访客VLAN给临时访客，访客VLAN通常还要加隔离策略，防止横向渗透。如果办公区有不同的安全等级，还可以继续细分，但每个VLAN的AP需要做中继，这就要求交换机上行口支持Trunk并明确允许哪些VLAN通过。
VLAN ID在AC上的配置只需要两步：创建VLAN并命名，然后把VLAN应用到接口或中继上。AC作为L3网关时，还要顺便配好VLAN对应的网关地址。下面是一个最小化的VLAN配置：
# 在AC上创建业务VLAN和访客VLAN (Aruba-AC) # vlan 100 (Aruba-AC) # name Staff-WLAN (Aruba-AC) # vlan 200 (Aruba-AC) # name Guest-WLAN # 给VLAN配置网关地址，AC同时承担三层转发 (Aruba-AC) # interface vlan 100 (Aruba-AC) # ip address 192.168.100.1 255.255.255.0 (Aruba-AC) # interface vlan 200 (Aruba-AC) # ip address 192.168.200.1 255.255.255.0注意，AC的VLAN接口IP是无线用户默认网关的前提，如果AC走了集中转发模式，这个配置就是让客户端把AC当作网关来用。如果走本地转发，客户端网关可能在核心交换机上，AC这边就不用配网关地址，只把VLAN ID透传给AP即可。这里频繁踩坑的是：AC上创建了VLAN，但AP所在交换机没有放行对应VLAN的Trunk，导致SSID能广播，但客户端的数据帧出不了AP，表现为能连WiFi但完全没流量。
4.2 创建WLAN的完整命令序列：SSID、安全策略和角色
Aruba把无线业务配置拆成两层profile：SSID Profile定义无线空口的参数，比如SSID名称、加密方式、认证方式；Virtual AP定义这个SSID在哪个AP组上生效、绑定哪个VLAN、使用哪种转发模式。两者相辅相成。创建一个办公SSID，完整命令序列如下：
# 第一步：创建SSID Profile，定义加密和认证 (Aruba-AC) # wlan ssid-profile Staff-SSID (Aruba-AC) # essid STAFF-CORP (Aruba-AC) # opmode wpa2-psk-aes (Aruba-AC) # wpa-passphrase "Corp@2024Secret" (Aruba-AC) # max-clients 128 (Aruba-AC) # broadcast-filter arp (Aruba-AC) # exit # 第二步：创建Virtual AP，把SSID和VLAN、AP组绑定 (Aruba-AC) # wlan virtual-ap Staff-VAP (Aruba-AC) # ssid-profile Staff-SSID (Aruba-AC) # vlan 100 (Aruba-AC) # forward-mode tunnel (Aruba-AC) # exit # 第三步：把Virtual AP挂到AP组下 (Aruba-AC) # ap-group office (Aruba-AC) # virtual-ap Staff-VAP这里有几个参数需要特别说明。opmode wpa2-psk-aes表示加密方式使用WPA2-PSK加密，密码最少8位。如果企业里接入了RADIUS认证，这里的opmode会改为wpa2-enterprise-aes，并单独配置一个认证服务器组。broadcast-filter arp能减少ARP广播在无线侧的转发，是优化空口利用率常见手段。max-clients 128是单BSS最大关联客户端数，这个数值不宜设太高，因为同一个AP的射频并发能力有限，超过50个就已经需要依赖5G频段和Wave2来分担了。
forward-mode tunnel意思就是集中转发。如果改为forward-mode bridge，就是本地转发。这里要注意，本地转发模式下AC不能对客户端流量做深层策略，所有过滤都要下推到AP上的ACL或防火墙规则，排错时上下行路径都要查，复杂度会高很多。所以只要带宽和AC性能允许，我还是推荐tunnel模式，至少流量经过AC后能看到真实用户行为。
4.3 给SSID绑定VLAN和优先级：让流量走到对的方向
SSID绑定VLAN是最直白的网络隔离手段，但Aruba里还有一层Access Rule和优先级的控制。同一个SSID可以绑定多个VLAN，匹配规则按用户角色区分，比如同一个办公SSID里，IT部门的用户进VLAN100，普通员工进VLAN101，这是通过角色（Role）来实现的。角色的概念给无线网络带来很大灵活性，但也成了新手理解上的分水岭。
一个典型的用户角色配置是这样的：在AC全局配置里创建一个角色，定义这个角色能用的VLAN和允许访问的目的地址。认证成功后，AAA服务器把角色名下发给AC，AC再把用户的VLAN和ACL映射到那个角色上。这比静态绑定VLAN要灵活得多，但也意味着你要同时维护三个地方的配置：SSID Profile、Virtual AP、Role。
# 创建角色并关联VLAN和ACL (Aruba-AC) # user-role Staff-Role (Aruba-AC) # vlan 100 (Aruba-AC) # access-list session staff-acl (Aruba-AC) # exit # 在Virtual AP下把默认角色指给这个角色 (Aruba-AC) # wlan virtual-ap Staff-VAP (Aruba-AC) # access-rule set role Staff-Role这里access-list session staff-acl必须提前存在，否则角色创建会报错。ACL规则里至少要放行DHCP应答和DNS查询，很多初学者把ACL做反了，导致用户已认证但拿不到IP。我的建议是：如果项目周期紧，初期先不要引入动态角色，直接VLAN绑定走通业务，等稳定后再加角色细分。这样排错范围小，用户上线速度也快得多。
5. 排查与避坑：Aruba AC-AP调测中的5个典型问题
5.1 AP一直处于Down状态，AC日志显示CERT不存在
现象：show ap database里AP显示Down，日志里出现类似Cert not valid或Certificate not found的提示，AP指示灯一直快速交替闪烁。
原因：AP与AC之间的CAPWAP隧道建立时需要双向认证，Aruba AP在出厂时内置了厂验证书，但如果AP之前刷过第三方固件、或者AC的时钟不正确，证书验证就会失败。这个问题在设备存放时间过长、AC电池耗尽的场景特别常见，因为证书有效期依赖系统时间。
解决：先把AC的系统时钟校准到与NTP同步，然后检查AP是否被恢复过出厂设置。如果AP曾在其他AC上使用过，需要重置AP并重新授权。我通常会先复位AP上的证书区：在AC上把AP强制下线，然后执行一次AP的reset操作，再重新等它上线。如果还不行，那就只能检查AP固件是否损坏，考虑用TFTP方式重新刷固件。
5.2 用户能连WiFi但拿不到IP，AC上看不到客户端
现象：手机或电脑能搜索到SSID并完成连接，但一直显示"获取IP地址中"，最后连接失败。AC的客户端列表里看不到这个MAC地址。
原因：拿不到IP，问题通常不在无线侧，而在DHCP链路。在集中转发模式下，客户端从AP发起的DHCP请求走的是一条隧道：客户端->AP->AC->上行交换机->DHCP服务器。这条链路上任何一环没有配置DHCP中继，客户端请求就发不出去。另一个常见原因是VLAN没绑定到DHCP服务器所在网段，AC虽然给用户分配了VLAN100，但VLAN100的网关和DHCP服务器地址不在同一逻辑网络，中继无法判断往哪转发。
解决：先在AC上开启调试日志，看客户端关联事件时有没有DHCP请求进来。如果没有，那么在AC的VLAN接口上检查中继地址是否配置正确。如果中继没问题，再查上行交换机Trunk是否放行了该VLAN。我的血泪经验是：这类问题9成出在交换机Trunk或ACL上，剩下1成才是DHCP服务器本身的问题。所以排查顺序是先Ping通网关，再谈其他。
5.3 配置保存后重启丢失：忘记写保存命令的代价
现象：完成VLAN、SSID、AP组等所有配置后，AC断电重启，所有配置恢复默认。很多运维人员第一反应是设备掉电导致配置文件损坏，其实只是没有执行保存命令。
原因：Aruba AC和其他网络设备一样，运行时配置保存在RAM，断电即清空。只有敲了write memory或save config，配置才会写到Flash或其他非易失存储。这类错误在项目调试阶段很常见，因为配置过程中界面一直正常，给人一种"已经生效"的错觉。
解决：养成习惯，配置告一段落后立刻执行write memory，并在提交前用show running-config核对关键段落。批量改动时，我会在改动前先备份一份旧配置，改动后保存并记录改动时间。有一次我在排障时改了AP组名称忘了保存，结果AC在晚间重启，所有AP都回到未授权状态，第二天一早上线问题直接惊动项目组。从那以后，我把保存配置当成和敲命令一样必要的操作。
5.4 漫游失败或掉线：AP组和AC集群没配对
现象：客户端在办公区走动时，从一台AP切到另一台AP后，业务断掉或需要重新认证。在AC上看漫游日志，发现客户端走了L3漫游，但新AP和旧AP分属不同AC管理，导致会话无法交接。
原因：Aruba支持集群内AC间漫游，但前提是所有AC已被配置成同一个集群，AP也都在同一移动域内。如果两个AP被分到了不同的AP组、而这两个组又没有关联同一个移动域，客户端漫游时就会触发重新认证。还有一种情况是WLAN配置里开启了essid隐藏或加密方式不一致，漫游时客户端无法识别到这是同一网络。
解决：检查show mobility-domain输出，确保所有AC在同一个移动域。如果不在，需要在AC上执行mobility-domain命令把成员AC拉进去。同时检查AP组的Virtual AP配置，确保漫游区域内的SSID属性完全一致，包括加密方式、密码、VLAN。VLAN不一致会造成漫游后IP地址冲突或网关变化，这是漫游掉线的核心原因，一定要先确认。
5.5 升级固件后AP离线：版本不匹配的应对
现象：AC固件升级成功后，原本在线的AP批量下线，状态反复在Up和Down之间切换，日志显示固件版本不匹配或AP重启超时。
原因：AC升级后，AP侧固件版本需要同步。如果AP数量多且带宽有限，AP会逐个向AC请求新固件并重启，这个过程自然会带来短暂离线。但批量离线不恢复，通常是AC的AP镜像文件不完整或版本跨度太大，AP加载后校验失败，陷入反复重启循环。
解决：升级前先备份AC当前固件镜像，并确认AP支持的目标版本。升级过程不要断电，完成后手动检查show ap image确认AP镜像版本。对于离线AP，最好的办法是恢复AP出厂状态，让它重新进行DHCP和发现流程，通过AC的TFTP自动获取固件。如果AP始终起不来，可以用串口连接AP，查看启动日志，确认是TFTP下载失败还是校验失败。这条路走通后，以后升级固件我就会提前做测试，先在实验室升级一台AP，验证稳定再大面积升级，绝不拿生产环境当试验品。
6. 用一条命令验证AC-AP链路健康度，并把无线调优习惯固化下来
验证AC和AP之间的链路，很多人的第一反应是Ping管理地址，但Ping通只代表IP通，不代表CAPWAP隧道健康。我常用的一条命令是show ap database detail ap-name <AP名>，它能一次性输出AP的隧道状态、信号质量、客户端数量、最近重启原因。如果隧道状态显示Up但信号质量低于90%，就说明AP与AC之间的网络存在丢包，光看IP连通性发现不了。
# 查看单个AP的详细健康信息 (Aruba-AC) # show ap database detail ap-name AP-TEST # 输出中重点看 Tunnel Status、Signal/Noise、Clients、Last Reboot Reason # 查看AC到AP的控制隧道延迟，确认链路质量 (Aruba-AC) # show ap debug sys-state ap-name AP-TEST第一行命令适合每天巡检时扫一遍，第二行适合在做信道调优前确认隧道延迟。如果Last Reboot Reason出现"Lost connection with controller"，说明AP曾经掉过线，结合Signal值能判断是网络抖动还是AP位置问题。把这个命令的巡检结果存成文档，几次之后就能画出你无线网的弱覆盖地图。
最后我一般把无线调优的习惯也固化下来：每周选一天做一次信道扫描，统一5G信道为36、44、153三个非重叠信道；AP功率开到自动但限制最大EIRP不超过设备标称；5G优先，2.4G只保留兼容老设备用的那个SSID。这样做完，整个无线网的漫游和速度会有肉眼可见的改善。有一次客户投诉视频会议卡顿，排查一圈发现是2.4G频段上藏着八个AP同信道，用show ap radio扫了一遍后把信道规划改掉，问题当场消失。从那以后我再也不迷信"默认配置能用就行"，该调的参数一定要调。希望这些思路对你也有帮助。
本文还有配套的精品资源，点击获取
