华三无线AC与AP配置实战：规划、上线、漫游与排障

1. 先把架构定下来：华三无线AC和AP到底解决什么问题

做无线项目做久了，会发现一个规律：真正让人头疼的从来不是“连不上”，而是“连上了不好用”。几十个AP各自为政、SSID改一遍要爬一遍天花板、某台AP信道跟隔壁撞死、用户从三楼走到一楼要断一次重连——这些问题的根子都在架构上。华三无线AC和AP这套组合，本质上就是把“分散的射频设备”收拢成“一个可集中调度、可统一策略、可统一升级”的无线网络。AC负责管理面和控制面，AP负责射频和转发，两者之间靠CAPWAP隧道建立关系。你把这层关系想明白了，后面所有的配置动作都有了落点。

这篇东西适合谁看？如果你是第一次接触华三无线、手上有一台AC和一堆AP要上线，那这里面的配置顺序、参数算法、避坑点你可以直接照着走。如果你已经用过别的厂商的AC，想快速迁移到华三这套命令体系上，那重点看第3、4章，命令风格和细节差异都写在那儿了。如果你是被“AP不上线”“漫游断流”“信道打架”这类问题折腾过的老手，第5章的排查路径和速查表应该能省你几个通宵的时间。

我自己的经验是，无线项目里 70% 的返工都不是设备不行，而是规划阶段偷了懒。所以这篇文章不打算从“怎么登录AC”开始讲，而是先把架构和算法摆出来，再往下走实操。顺序搞反了，后面全是补丁。

1.1 胖AP、瘦AP、云AP三条路线的真实取舍

很多人一上来就问“我该买胖的还是瘦的”，这个问题本身就问偏了。胖AP（FAT AP）是自己带完整配置、独立工作的形态，适合门店、小型办公这种AP数量在个位数、没有专线互联、也不打算做统一管理的场景。它的好处是单点故障不影响别人，坏处是超过 5 台之后，改个密码你就要一台一台登录，改一次错一次。瘦AP（FIT AP）剥离了配置能力，所有业务参数都由AC下发，AP本身只管射频和隧道，这是中大型场景的默认选择，也是这篇的主线。云AP是第三种，AP自己跑管理代理，配置从云端下发，适合连锁、多分支这种没有专线打通、又想要统一视图的场景。

这三条路线不是互斥的。华三不少AP型号支持在胖瘦之间切换，早期一些型号还支持通过BootWare菜单或者命令做模式转换，云AP系列走的是另一套云管理逻辑。我踩过的一个坑是：项目中途想从胖模式转瘦模式，结果发现手上这批AP的软件版本不是FIT版本，转过去之后根本注册不上AC，又得先刷版本。所以选型时一定要把“当前固件形态”确认清楚，别只看型号。

给一个我常用的判断标准：AP数量 ≤ 3 且无统一管理需求，胖AP够用；AP数量 4~200 且有一台常驻AC，瘦AP是最省心的；多分支、无专线、要跨地域统一看板，才考虑云管理形态。别为了“看起来先进”硬上云，结果分支带宽不够、云端下发超时，配置同步一半卡住，排查起来比本地还痛苦。

1.2 华三AC产品线的选型逻辑

华三的AC大致分几个层级，选型的核心就两个数：可管理AP数量和转发能力。入门级的盒式AC适合几十台AP的小型网络，接口数量和吞吐相对克制；中端的框式或高密度盒式AC能带几百台AP，支持更细的板卡扩展；再往上就是面向大型园区的高端型号，主打大容量和冗余。选的时候别只看“最大管理AP数”这一个参数，还要看它的实际转发吞吐和并发会话数——有些型号管理能力够，但数据面吞吐跟不上，AP全上线之后一跑大流量就开始丢包。

这里有个常被忽略的点：AC的部署位置决定它的压力模型。如果AC做隧道转发（业务流量全部回到AC再出去），那AC就是流量的瓶颈点，必须按峰值吞吐选；如果做本地转发（业务流量在AP本地直接进接入交换机），AC只承担管理和控制，压力小得多，同样的硬件能带更多AP。我在一个中等规模的办公场景里做过对比：同样一台AC，隧道转发跑到 60% 带宽就开始有抖动，切成本地转发之后 CPU 占用直接掉到个位数。所以选型之前先把转发模式定下来，比对着参数表挑型号有用得多。

还有一个现实约束是License。华三AC出厂自带一定数量的AP管理授权，超出部分需要单独购买。这个数字一定要在方案阶段核清楚，别等AP装完了才发现只能上线一半。License 一般和AC的序列号绑定，换设备要重新申请，这一点在备件规划里要留出提前量。

1.3 二层组网与三层组网怎么选

AC和AP之间的网络关系，决定了你后面要配什么。二层组网指的是AP和AC在同一个广播域里，AP上电后发广播或者组播找AC，配置最简单，缺点是广播域被撑大，AP一多生成树和广播风暴的风险就上来了。三层组网指的是AP和AC跨网段，AP没法靠广播找到AC，必须靠DHCP选项、DNS解析或者静态指定来定位AC地址，配置多一步，但网络结构清晰、可扩展性好。

我的实际选择习惯是这样的：单栋楼、AP数量在 30 台以内，二层组网够用，出问题也好抓包；跨楼栋、跨网段、AP数量上到 50 台以上，一律走三层，把无线管理网段单独切出来。三层组网里最关键的一步是在AC上指定CAPWAP源接口，让AP知道该往哪个地址建隧道。这条命令在不同软件版本里写法略有差异，新版本一般是capwap source interface Vlan-interface xxx，老版本可能挂在wlan视图下面，配之前先display version看一眼版本，别照着旧文档硬敲。

顺带提一句，三层组网下如果AC和AP之间隔了防火墙或者做了NAT，隧道很可能建不起来。CAPWAP 用的是 UDP 5246（控制）和 5247（数据），这两个端口必须放通，而且NAT 环境下AP看到的AC地址和AC真实地址不一致，注册会失败。这种情况要么把AC的地址做静态映射并且确认设备支持，要么干脆把AC挪到AP可达的同一侧，别在这上面耗时间。

2. 上线之前必须算清楚的几个数

无线项目最容易翻车的地方，不是配置敲错，是数量算错。AP 装少了，会议室里 80 个人抢 3 个 AP，谁也上不去；AP 装多了，信道互相干扰，覆盖重叠区反而速率掉一半；PoE 功率没算，AP 装上去反复重启，你以为设备坏了，其实是供电不够。这一章把三个必须提前算的数摊开讲。

2.1 AP数量：覆盖与容量两条线同时算

AP 数量要按两条线分别算，取大的那个。

覆盖线看的是面积和遮挡。开放办公区，一台吸顶AP大概覆盖 200~300 平方米；有隔断的独立办公室，因为墙体衰减，一台大概管 100~150 平方米；会议室、教室这种高密度小面积场景，覆盖不是问题，容量才是。仓库、厂房这种高挑空、有货架的，金属货架对 5G 信号衰减很厉害，实际覆盖半径要打七折，宁可多布两台。

容量线看的是并发终端数。算法大致是这样：先估总人数，乘以人均终端数（现在笔记本加手机，按 2~2.5 台算不夸张），再乘以忙时并发率（办公场景 60%~70%，会议场景能到 90%），得到忙时并发终端总数。然后除以单AP建议承载数——这个数别按厂商标的“最大关联数”来，那是理论值。实际经验是：普通办公，单AP 稳定承载 25~35 个活跃终端；高密度会议，控制在 20~25 个更稳；如果终端里有大量老旧设备或者 IoT 设备，还要再往下压。

举个具体例子。一个 1200 平方米的办公区，工位 150 个，人均 2 台终端，忙时并发率 65%，那么忙时并发终端 = 150 × 2 × 0.65 = 195 台。按单AP 30 台算，需要 7 台。再看覆盖线：1200 平方米按每台 250 平方米算，需要 5 台。取大的，最终布 7 台，实际部署时按 8 台报，留一台冗余。这个“留冗余”不是浪费，是给后期扩员和 AP 故障做缓冲。

提醒一句：会议室一定要单独算。一个 20 人的会议室和 20 个工位，占用面积差不多，但会议室的并发率接近 100%，而且是短时间高突发。我的做法是每个中型会议室单独放一台 AP，不做覆盖共享。

2.2 PoE供电预算：最容易被忽略的坑

AP 大多靠 PoE 供电，这一块算不清楚，前期看不出问题，后期一加设备就出故障。

先看标准。802.3af 单口最大 15.4W，PD 端可用 12.95W；802.3at 单口 30W，PD 端 25.5W；再往上是 802.3bt，能到 60W/90W。早期的双频 AP 用 af 就够，现在 Wi-Fi 6、Wi-Fi 7 的双频甚至三频 AP，射频全开加多空间流，功耗轻松超过 13W，很多型号必须用 at 才能跑满性能。有些 AP 用 af 也能点亮，但射频功率会被限制，或者第二个频段直接降规格，表现出来就是“信号有，速率上不去”。

算总账的方法是：单AP峰值功耗 × AP数量 × 1.2（冗余系数），和交换机的 PoE 总功率预算比。一台 24 口 PoE 交换机标称 370W，如果挂 20 台 25W 的 AP，就是 500W，超了。超了会怎样？交换机按优先级给电，后上电的 AP 分不到功率，或者分到了但被降级。表现出来就是某几台 AP 反复重启、上线又掉线，日志里能看到供电相关告警。

我的做法是：把 PoE 预算按 70% 使用率规划。交换机标称 370W，实际只规划 260W 左右，剩下的留给后期加 AP 或者临时接设备。另外，高功率 AP 集中的楼层，考虑用双电源或者堆叠供电，别把鸡蛋全放一台交换机上。

2.3 信道与频宽规划

信道规划这件事，自动化工具能帮你做 80%，剩下 20% 必须人工定，尤其是边界区域。

2.4G 频段只有 1、6、11 三个互不重叠的信道，密集部署下必然复用。原则是相邻 AP 不同信道，隔一台上同信道，形成蜂窝式交错。2.4G 的频宽锁死在 20MHz，别想着开 40MHz，开了就是自己给自己制造干扰。

5G 频段的可用信道多得多，低频段 36/40/44/48 是一组，52~64 是 DFS 信道（雷达避让，可能被踢），149/153/157/161 是另一组。室内高密度场景我一般优先用 36~48 和 149~161 这两组非 DFS 信道，DFS 信道留给覆盖边缘或者低密度区域。为什么避开 DFS？因为一旦检测到雷达信号，AP 会强制切信道，切换期间关联的终端全部掉线，用户体验断崖式下跌，而这种触发是不可控的。

频宽的选择要克制。80MHz 听起来香，但 5G 可用信道总共就那么几个，全开 80MHz 意味着同时只能有 5~6 个 AP 不重叠，再多了必然同频。我的常规配置是：办公场景 5G 用 40MHz，高密度会议用 20MHz，只有 AP 密度很低、追求单点峰值速率的场景才开 80MHz。这个取舍背后的逻辑很简单——频谱是共享资源，你占得越宽，邻居越难受，最后大家一起慢。

3. AC初始化与AP上线的完整实操

架构和数字都定了，接下来是动手环节。这一章按真实上线的顺序走：AC 开局 → AP 找到 AC → AP 批量纳管 → 版本和授权确认。顺序不能乱，尤其是版本和授权，很多人是先装 AP 再回头发现上不去，白折腾。

3.1 AC开局：带外管理与基础配置

新设备到手，第一件事是确认管理通道。华三AC一般有专门的带外管理口（M-GigabitEthernet 或者独立的管理电口），也可以复用业务口做带内管理。我的习惯是优先用带外管理口做初始配置，因为此时业务口还没配，用带内很容易把自己关在门外。

上电后用 Console 线连上去，波特率 9600，进去之后先看版本：

display version

这一步一定要做，因为不同版本的命令视图差异不小。确认版本之后，配管理地址：

system-view interface M-GigabitEthernet 0/0/0 ip address 10.10.10.1 255.255.255.0 quit

接着配基础的安全和管理参数：本地管理员账号、SSH、时钟（这条很多人跳过，结果日志时间全是错的，排查故障时对不上时间线）、Syslog 服务器地址。时钟这块我用 NTP 同步，clock protocol ntp加上 NTP 服务器地址，两行命令的事，但后期排障时价值极高。

配置完管理地址，把 PC 接到管理口，用 SSH 登进去做后续操作，比一直守着 Console 舒服得多。顺手把 Web 管理也开起来，华三AC的 Web 界面在初期做 AP 概览和状态查看时挺直观，但复杂配置还是命令行靠谱，两边配合着用。

3.2 让AP找到AC的三种方式

AP 上电后的第一件事是找 AC。这个过程叫 AP 发现，华三支持几种方式：二层广播/组播、DHCP 选项下发、DNS 解析、静态指定。下面逐个说。

二层广播最简单，AP 和 AC 在同一网段，AP 发广播包，AC 应答，自动就注册上了。零配置，但只适合同网段，而且 AP 一多广播包会把网络搞脏。

**DHCP 选项（Option 43）**是三层组网的主力方式。原理是在给 AP 分配地址的 DHCP 池里塞一个选项，告诉 AP “AC 的地址在这里”。华三的写法是十六进制：

dhcp server ip-pool ap-pool network 10.20.30.0 mask 255.255.255.0 gateway-list 10.20.30.1 option 43 hex 80070000010A141E01

这个十六进制串的结构是：80 07是固定标识，0000是后续长度相关字段，01表示后面跟的是 IP 地址，0A141E01就是 AC 的地址 10.20.30.1。算这个串的时候容易出错，我的做法是先把 AC 地址写出来，四位一段转十六进制，再拼前面固定的8007000001。不同版本对这段格式的处理略有差别，如果配完 AP 还是找不到 AC，先用display dhcp server ip-in-use确认地址分配正常，再抓包看 Option 43 有没有真的带出去。

DNS 方式适合跨广域、AP 数量多、DHCP 不可控的场景。让 AP 去解析一个约定的域名，AC 地址通过 DNS 返回。好处是 AC 换地址时只改 DNS 记录，不用动每一台 AP 的配置。

静态指定是最笨也最稳的方式，直接在 AC 上把 AP 的型号和序列号写死，AP 上线后按图索骥。适合 AP 数量不多、或者安全要求高、不允许自动发现的场景。命令大致是：

wlan ap-office1 model WA6320 serial-id 219801A0XXXXXX

实操心得：新项目我一般先用 DHCP Option 43 做自动发现，把 AP 快速纳管起来，验证整网连通性；等网络稳定了，再决定要不要保留自动发现。如果是长期运行的生产网，我会保留 Option 43 的同时，在 AC 上做 AP 白名单，防止有人拿一台 AP 插到网线上就自动注册进来。

3.3 AP模板、AP组与批量上线

AP 注册到 AC 只是第一步，真正让 AP “干活”的是后续的模板和组配置。

华三的逻辑是三层结构：AP 组（ap-group）→ AP 型号 → 射频（radio）→ 服务模板（service-template）。这个层级要理清楚，不然后面加个 SSID 都不知道该往哪一层塞。

我的常规做法是按区域建 AP 组，比如“一层办公”“二层会议”“仓库”，每个组里挂对应型号的 radio 配置和业务模板。这样后面想给会议室单独调功率、单独限速，直接改组就行，不用一台一台动。

一个典型的配置顺序是这样：

# 1. 建无线服务模板 wlan service-template office-wifi ssid Office-WLAN vlan 100 akm mode psk preshared-key pass-phrase simple MyPassword123 cipher-suite ccmp security-ie rsn service-template enable # 2. 建AP组，绑定型号和射频 wlan ap-group floor1 ap-model WA6320 radio 1 service-template office-wifi vlan 100 radio enable radio 2 service-template office-wifi vlan 100 radio enable # 3. 把AP加入组 wlan ap ap-1f-01 ap-group floor1

注意service-template X vlan Y这一行，VLAN 是绑在 radio 上的，不是绑在模板上的。这个设计的意义是同一台 AP 的不同射频可以映射到不同 VLAN，方便做双频分离。我第一次接触时按别的厂商思路把 VLAN 写在模板里，结果怎么都不生效，卡了半小时。

批量上线方面，如果 AP 数量多，可以用文件的批量导入，或者在 AC 上开自动发现 + 默认模板，AP 一上线就先套默认配置，再根据 MAC 或位置逐步调整分组。别一上来就给每台 AP 做全量精细配置，效率太低。

3.4 版本与License这两个隐形门槛

这两个东西不显眼，但能让你卡一整天。

版本方面，AP 的软件版本必须和 AC 兼容。华三 AC 一般内置了若干 AP 版本的镜像，AP 上线时会比对版本，不一致就自动下发。但这件事有前提：AC 上得有对应型号的镜像，隧道得通，传输得完成。如果 AP 版本差太多，或者自动升级被关掉了，AP 就会反复注册失败。我的做法是项目开始前把所有 AP 型号列出来，去版本说明书里对一遍兼容矩阵，把需要升级的 AP 先在本地升好再上架，别指望现场自动升——现场往往没有稳定的带外通道，升一半断了更麻烦。

License是另一个硬门槛。AC 出厂自带的 AP 管理数量有限，超了之后新 AP 注册会被拒。判断方法很简单：

display wlan license

看授权数量和已用数量。如果已经打满，要么加授权，要么把不用的 AP 从 AC 上删掉释放。这里有个坑：AP 掉线但没被删除时，License 可能还占着，表现出来就是“明明只上线了 40 台，却提示超限”。这时候要去display wlan ap all里看看有没有长期 offline 的条目，清掉。

4. 无线业务配置：从SSID到认证到漫游

AP 上线了，接下来是让用户能连上、连得稳、走动不断。这一章的三个主题，其实是三个不同层面的问题：SSID 和 VLAN 解决“连得上”，认证解决“谁能连”，漫游解决“走动时不断”。

4.1 服务模板与VLAN的绑定关系

一个 SSID 背后其实是一整套参数：认证方式、加密套件、VLAN、限速、是否隔离、是否隐藏。这些参数打包在服务模板里，模板再绑到 AP 的 radio 上。理清这层关系，你就能明白为什么“改了 SSID 名字没生效”——大概率是改错了模板，或者模板没绑到对应的 radio。

VLAN 的绑定我前面提过，绑在 radio 上。这里再补充一个实际场景：很多单位希望员工和访客用两个 SSID、走在两个不同的 VLAN 里，做不同的访问策略。配置上就是建两个服务模板，绑到同一个 radio，各自映射不同 VLAN：

wlan service-template staff-wifi ssid Staff-WLAN vlan 100 akm mode psk ... wlan service-template guest-wifi ssid Guest-WLAN vlan 200 akm mode psk ... wlan ap-group floor1 ap-model WA6320 radio 1 service-template staff-wifi vlan 100 service-template guest-wifi vlan 200

一个 radio 下可以绑多个服务模板，终端搜到多个 SSID，选哪个就进哪个 VLAN。这个机制很实用，但要注意别绑太多，同一射频下每个 SSID 都要发 Beacon 帧，SSID 数量多了会挤占空口资源。我的经验是单射频不超过 4 个 SSID，超过就该考虑合并或者用其他方式做隔离了。

4.2 三种认证方式怎么选

华三无线支持的认证方式很多，实际项目里最常用的是这三种：PSK 预共享密钥、802.1X、Portal。

PSK最简单，一个密码全网通用。适合小型办公、门店、临时场地。缺点是密码一旦泄露就得全网改，而且无法区分到人。我一般只在 AP 数量少于 10 台、人员流动小的场景用。

802.1X是企業场景的主力，每个用户用自己的账号认证，能做到人到人的追溯，配合 RADIUS 服务器还能下发动态 VLAN 和权限。配置比 PSK 复杂一层，需要在 AC 上指定 RADIUS 服务器地址和共享密钥，服务模板里的 akm 改成 dot1x。这套方案的价值在于“可审计”，出了安全问题能定位到具体账号，这是 PSK 做不到的。

Portal认证适合访客网络，用户连上 SSID 后弹一个网页，输手机号或者扫码认证。它对终端兼容性最好，不需要装客户端，缺点是首次连接多一步操作。Portal 一般和 AC 本地 Portal 或者外部 Portal 服务器配合，前者配置简单但功能有限，后者灵活但要多维护一台服务器。

注意：不管选哪种认证，都要先把 RADIUS 或者 Portal 服务器的可达性验证一遍，再配到 AC 上。我见过太多次“认证配好了但用户连不上”，最后发现是 AC 到服务器的路由不通，或者共享密钥多打了一个空格。

4.3 漫游不掉线的几个关键开关

漫游这件事，用户感知最明显。从会议室走回工位，如果正在开视频会议，断一下就是事故。

漫游分二层和三层。二层漫游是终端从一个 AP 换到另一个 AP，但还在同一个 VLAN、同一个子网里，AC 只需要把会话上下文带过去，速度快，基本无感。三层漫游是跨网段，终端 IP 不变但网关变了，需要 AC 做隧道中转（华三叫 AC 内三层漫游），配置上要确保 AC 上开启了对应的漫游组或者隧道功能。

要让漫游真的顺，有几个开关必须打开：

802.11k让 AP 提前把邻居 AP 的列表告诉终端，终端扫描时不用全信道扫，省时间。802.11v允许网络侧引导终端切换到更合适的 AP，比如某个 AP 负载太高，可以建议终端换一台。802.11r（快速漫游，华三配置里叫 FT）是减少重认证时间的关键，尤其是 802.1X 认证下，没有 FT 的话每次漫游都要重新走一遍完整认证，耗时几百毫秒，视频会议必然卡。

配置上大致是在服务模板里打开对应的开关：

wlan service-template office-wifi ft enable ...

同时在射频层面打开 k 和 v 的支持。具体命令随版本有差异，配之前查一下对应版本的命令参考，别照搬。

还有一个容易被忽略的点：漫游的判定阈值。终端什么时候决定换 AP，取决于信号强度差。如果两个 AP 覆盖重叠太多，终端可能死抱着一个信号已经变差的 AP 不放，这叫“粘滞”。解决办法是适当降低 AP 功率、减少重叠区，或者开启 AC 侧的引导功能，主动踢掉信号过差的终端。功率不是越大越好，这点后面还会说。

5. 上线之后的调优与故障速查

配置跑通只是开始，真正决定体验的是上线后的调优。这一章把我这些年遇到的高频问题整理成可执行的排查路径，能直接对着查。

5.1 射频调优不要全靠自动

华三AC有自动射频调优功能，能根据邻居关系自动分配信道和功率。这个功能好用，但不能全信。自动算法一般基于扫描到的邻居数量和干扰情况做决策，它看不到的东西很多：比如隔壁公司的 AP、比如临时的微波炉干扰、比如你规划时希望某个区域功率刻意压低。

我的做法是自动调优跑一轮，然后人工微调。具体步骤：先让自动调优跑一次，display wlan rrm看它给出的信道和功率分配；然后对着平面图检查，重点看三类区域——边界区域（靠近外墙的 AP，功率要压低防止信号外泄到室外）、高密度区（会议室，功率压低、信道错开）、覆盖盲区（功率适当提高，或者考虑加 AP）。调完之后把结果固定下来，关掉自动调优，避免它半夜自己又改一遍。

功率这块有个经验值：室内吸顶 AP，2.4G 一般设在 10~14 dBm，5G 设在 14~17 dBm。功率开满（20 dBm 以上）在密集部署下反而是灾难，因为覆盖重叠太大，终端会频繁在 AP 之间摇摆，或者死抱着远端的强信号不放。

5.2 AP不上线/反复掉线的排查路径

这是最高频的问题。我按可能性从高到低排一个顺序，照着走基本能定位。

排查的顺序很重要。很多人一上来就怀疑 AC 配置，其实网络层不通占了很大比例。第一步永远是从 AP 所在网段 ping 一下 AC 的源接口地址，不通就先解决路由，别在 AC 上瞎改。第二步确认 CAPWAP 的 UDP 5246/5247 有没有被中间设备拦掉，尤其是跨防火墙的场景。

如果 AP 能上线但频繁掉线，优先看两个：一是版本，AP 版本和 AC 不匹配时会周期性重连；二是供电，PoE 功率不足时 AP 会重启或者降级运行。这两个都排查完再看空口质量，比如 AP 上行口有没有大量错包、光模块有没有告警。

5.3 终端侧问题的排查清单

有时候 AP 好好的，AC 也没报错，就是用户说“连不上”“特别慢”。这类问题要分清楚是网络侧还是终端侧。

连不上：先看终端搜不搜得到 SSID。搜不到，检查 AP 的 SSID 是否隐藏、射频是否 enable、服务模板是否绑定正确。搜得到但连不上，检查认证配置——PSK 密码对不对、802.1X 的 RADIUS 通不通、Portal 页面能不能弹出来。再看 DHCP，终端拿到地址没有，VLAN 配置对不对。

连上了特别慢：先看终端连的是 2.4G 还是 5G。很多老旧终端只支持 2.4G，而 2.4G 本来就拥挤，慢是正常的。再看信号强度，低于 -70 dBm 速率会明显下降，低于 -75 dBm 基本就是能用但很难受。然后看是不是被限速了，AC 上的流量模板有没有配限速策略。最后看空口利用率，如果某个 AP 下挂了 50 个终端，那慢是必然的，该加 AP 了。

漫游断流：检查 FT 有没有开、终端是否支持 802.11r、漫游前后是不是跨了 VLAN。跨 VLAN 的场景要确认 AC 上的三层漫游配置是否生效。

一个很实用的小技巧：让用户在出问题的时候，同时报一下“人在哪个位置、连的哪个 SSID、手机显示的 Wi-Fi 图标信号几格”。这三个信息能帮你快速缩小范围——位置定 AP，SSID 定 VLAN 和认证方式，信号格数定是覆盖问题还是容量问题。比让用户描述“网很卡”有用一百倍。

6. 几个踩出来的经验

写到这儿，技术层面的东西基本铺完了。最后分享几条不在文档里、但实际干活时特别值钱的体会。

第一，别迷信“一键配置”。华三AC的 Web 界面和一些向导工具确实能快速拉起一套基础配置，但出问题时你会不知道自己配了什么。我的习惯是向导跑完之后，去命令行display current-configuration完整看一遍，把关键参数记下来。生产网的配置一定要心里有数，不能是“点了几下就好了”。

第二，现场勘测别省。纸面上算出来的 AP 数量和位置，和实际环境经常对不上。承重墙、玻璃幕墙、金属吊顶、大型鱼缸、电梯井，这些都会让信号表现偏离预期。花半天时间拿一台 AP 做现场测试，比后期加装三台 AP 便宜得多。

第三，配置要有版本管理。每次改动前display current-configuration导出一份存档，改完再导一份，文件名带上日期和改动摘要。无线网络的配置是逐渐演进的，半年后出问题想回滚，没有存档就只能靠记忆，那是最痛苦的。

第四，留一条带外通道。AC 的业务口配置改错，把自己关在门外的概率不低。管理口一直留着、地址不变、能远程登录，这是最后的救命稻草。我见过不止一次因为 VLAN 配错导致 AC 失联，最后只能跑现场接 Console。

第五，把监控做在前面。AP 掉线、终端数异常、信道干扰突增，这些如果能提前告警，很多故障在用户报修之前就被处理了。SNMP 或者 Syslog 接一下监控系统，成本不高，收益很大。

这套东西不是一次能配完美的，无线网络本来就是个需要持续观察和微调的东西。先把架构和基础配置做扎实，剩下的交给时间和数据去迭代。