ENSP里做酒店的有线无线三层组网VLAN规划、AC/AP上线、SSID绑定业务VLAN这几件事是绕不开的。前几天一个刚转行做网络的朋友来问我说网上华为VLAN、AC/AP的配置视频都看完了单个命令也会敲但一让做“一个酒店的网络”就懵了不知道从哪台设备先下手。这个感觉我太熟了——知识点和知识点之间是散的缺一个能把它们串起来的综合场景。酒店恰好是个特别好的练手场景既有有线接入又有无线覆盖既要做VLAN隔离又要保证业务间通信还要上AC/AP把多个SSID和业务VLAN绑起来。把这套串完你对三层组网的理解基本就立住了。这篇文章就按我实际搭实验的顺序来讲从需求反推拓扑到VLAN和网关怎么定再到有线和无线侧的完整配置命令最后是验证和排错。整个过程用ENSP标准版就能复现终端用PC和STA设备主要涉及S5700、S3700、AC6005和AP2050DN。1. 酒店场景到底需要什么网先别急着开ENSP拖设备1.1 几个真实业务需求对应的网络设计先把自己代入一个七八十间客房的中型酒店。客房每个房间一个信息点有线、一个吸顶AP无线。客人连上Wi-Fi要能上网但绝不允许访问办公网更不能碰到设备管理网。办公区前台、财务、经理室、会议室。电脑和打印机要组内互通财务要能访问收银系统/服务器手机上办公Wi-Fi也要能进办公网。大堂、餐厅、宴会厅典型的公共无线区域人流量大需要一个独立SSID可以后续在这个SSID上做限速和Portal认证。设备间/走廊AP、交换机、摄像头、门禁都要管理统一放到管理VLAN不跟用户流量混在一起。这四条需求直接决定了后面所有设计不要跳过。很多新人一上来就打开ENSP拖设备拖完不知道先配谁本质上是没有把业务需求翻译成网络结构。1.2 有线网和无线网如何组合成一套有些新人在ENSP里做实验喜欢把有线和无线拆成两套拓扑各跑各的这个习惯在实战里非常危险。酒店的有线和无线是同一张物理网络上的两种接入方式。AP本身其实就是一个特殊的“有线终端”它上联交换机的端口必须走Trunk同时跑管理VLAN和AC通信和业务VLAN给无线用户数据用。所以本文的拓扑是一张完整的图核心交换机S5700作为全网网关同时做DHCP Server。接入交换机两台S3700分别模拟一层、二层。ACAC6005只负责无线控制面也就是CAPWAP隧道、AP配置下发、SSID管理。AP三台AP2050DN分别覆盖客房楼层、办公区/会议室、大堂。出口AR2220做NAT上网模拟。终端PC若干有线、STA若干无线。这套拓扑规模不大但把酒店网络的核心链路全串起来了接入-Trunk-核心-出口AP-AC-核心-出口。后续每加一台设备都逃不出这个骨架。2. VLAN与网关位置动手配置前必须先拍板的几件事2.1 VLAN划分和IP地址规划表VLAN设计没有唯一正确答案但有一个原则用户、管理、互联分离。我按前面业务需求做了如下划分网关全部放在核心VLAN ID用途网段网关核心VLANIF说明10客房业务192.168.10.0/24192.168.10.1客房有线无线20办公业务192.168.20.0/24192.168.20.1办公有线无线30公共区域无线192.168.30.0/24192.168.30.1大堂/餐厅/宴会厅40设备管理192.168.40.0/24192.168.40.1AP、AC、交换机管理100核心到出口互联192.168.100.0/30核心侧192.168.100.1P2P链路不用DHCPIP规划时一定要给DHCP预留排除地址。比如VLAN10的网关是.1如果后面要加网管、服务器、打印机我会把.2~.10排除掉不让DHCP分出去。这一步现在不做后面排错会多花很多时间。2.2 网关放核心还是汇聚我为什么选核心这个问题的答案跟规模强相关。小中型酒店一两百个终端以内我建议网关全部放核心。原因是DHCP、ACL、路由、出口策略全部集中在一台设备上出问题非常好查尤其是实验环境链路本来就不复杂。如果是大型酒店或者酒店是园区里的其中一栋楼那就考虑每栋楼的汇聚交换机做网关核心只做骨干路由。这样做的收益是故障域缩小——二层广播域被限制在单栋楼内楼下交换机坏了不会影响全网的DHCP代价是每台汇聚都要维护独立的DHCP地址池和ACL配置量和管理成本都会上去。网上有人问“网关放在汇聚那么汇聚跟核心是同VLAN互联还是三层IP互联好”问这个问题的前提就是把网关放在了汇聚。后面马上说这个连接方式怎么定。2.3 汇聚和核心之间同VLAN互联还是三层IP互联这个问题和“网关放哪里”是连在一起的。如果网关在核心汇聚就是纯二层设备它到核心之间直接Trunk透传业务VLAN就够了不需要三层互联。如果网关在汇聚那么汇聚和核心之间建议走三层路由互联——汇聚起VLANIF做网关核心起互联接口并配置路由不要把业务VLAN再二层泛洪到核心。否则核心上还得为了看得到这些VLAN去创建VLANIF网关实际上又变回核心了汇聚的三层网关就失去意义。先定网关位置连接方式自然就清楚了。实验里我选了核心做网关所以汇聚或者说接入到核心就是标准Trunk二层透传简洁、直观适合先把整个流程跑通。2.4 AC/AP管理VLAN和AP上线方式AC和AP都放在VLAN40。AP启动后通过DHCP获取192.168.40.x地址然后用CAPWAP协议找AC注册。在这个实验里AC和AP二层可达AC可以被AP自动发现。真机上很多项目AP和AC跨了三层那就要在DHCP里下发option 43指定AC的IP或者在核心上配DHCP服务时带上option 43字段。这个细节等你们把实验跑通了可以自己加进去试能加深对CAPWAP发现机制的理解。3. 有线骨干的搭建接入交换机、核心与出口配置3.1 接入交换机分清Access口和Trunk口接入交换机是整个配置里最“碎”但最容易错的地方。以二层S3700为例system-view sysname S3700-1F vlan batch 10 20 30 40 # 客房有线PC口 interface Ethernet0/0/1 port link-type access port default vlan 10 quit # 办公有线PC口 interface Ethernet0/0/2 port link-type access port default vlan 20 quit # AP上联口接AP2050DN interface Ethernet0/0/3 port link-type trunk port trunk pvid vlan 40 port trunk allow-pass vlan 10 20 30 40 quit # 上联核心口 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 quit这里有两个坑。第一接AP的口必须做成Trunk而且PVID要改成管理VLAN40。如果不改PVIDAP发出来的不带Tag的DHCP请求会被交换机打上默认VLAN1的标签AP就摸不到VLAN40CAPWAP隧道根本起不来。第二Trunk口的allow-pass列表必须包含全部业务VLAN少一个对应的无线用户就没法通信。很多“无线连上但上不了网”的问题最后都查到这里。3.2 核心交换机VLANIF、DHCP、默认路由核心S5700负责所有VLAN的网关同时兼任DHCP Server。关键配置如下system-view sysname Core-S5700 vlan batch 10 20 30 40 100 # 三个用户VLAN网关 管理VLAN网关 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 dhcp select global quit interface Vlanif20 ip address 192.168.20.1 255.255.255.0 dhcp select global quit interface Vlanif30 ip address 192.168.30.1 255.255.255.0 dhcp select global quit interface Vlanif40 ip address 192.168.40.1 255.255.255.0 dhcp select global quit # 开启DHCP并建立地址池 dhcp enable ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.1 dns-list 114.114.114.114 excluded-ip-address 192.168.10.2 192.168.10.10 quit ip pool vlan20 network 192.168.20.0 mask 255.255.255.0 gateway-list 192.168.20.1 dns-list 114.114.114.114 excluded-ip-address 192.168.20.2 192.168.20.10 quit ip pool vlan30 network 192.168.30.0 mask 255.255.255.0 gateway-list 192.168.30.1 dns-list 114.114.114.114 excluded-ip-address 192.168.30.2 192.168.30.10 quit ip pool vlan40 network 192.168.40.0 mask 255.255.255.0 gateway-list 192.168.40.1 excluded-ip-address 192.168.40.2 192.168.40.10 quit # 下联接入放行业务VLAN interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 quit # 接AC的口 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 40 quit # 接出口路由器的互联口 interface GigabitEthernet0/0/24 port link-type access port default vlan 100 quit interface Vlanif100 ip address 192.168.100.1 255.255.255.0 quit # 默认路由指向出口 ip route-static 0.0.0.0 0.0.0.0 192.168.100.2注意VLAN40的DHCP地址池也要建否则AP拿不到管理地址AC侧就看不到AP上线。有些人建了VLAN40的地址池但忘了给VLANIF40配dhcp select globalAP就永远在初始化状态。这类问题不报错只能靠查地址分配记录才能发现。3.3 出口路由器NAT和回程路由出口用一台AR2220就够了模拟公网再接一台Server或PC。system-view sysname AR2220 interface GigabitEthernet0/0/0 ip address 192.168.100.2 255.255.255.0 quit interface GigabitEthernet0/0/1 ip address 200.1.1.1 255.255.255.0 quit acl number 2000 rule 5 permit source 192.168.0.0 0.0.255.255 quit interface GigabitEthernet0/0/1 nat outbound 2000 quit ip route-static 192.168.0.0 16 192.168.100.1公网那头在AR2220的G0/0/1下再接一台PCIP设成200.1.1.2网关200.1.1.1就能用来验证内网NAT是否正常。ACL里放行的是192.168.0.0/16覆盖了我们所有内网网段。回程路由只指了一条指向核心的默认等价路由实际项目里建议写明细路由更安全。到这里有线侧的三层通道已经通了PC-接入交换机-核心-出口。但无线侧还差一块——AC和AP还没上场。4. 无线控制面AC6005注册AP与SSID/VLAN绑定4.1 ENSP跑AC/AP前先把环境问题清掉很多人在这一节卡住不是因为命令而是因为ENSP里压根没有无线设备。标准版ENSP安装时WLAN组件AC6005、AP2050DN需要额外勾选装完以后在设备列表里才能看到。如果你拖不出来就找安装包重新选组件或者看安装教程补装。网上天天有人问ensp pro离线版、ensp下载安装之类的问题多半就是卡在这个组件上。另外ENSP里AC和AP很吃资源别一口气拖十几台AP。我在实验里只用了三台AP体感还可以拖多了容易出现设备启动慢、AC管理面ping不通的情况。如果遇到AP启动失败这类问题先检查VirtualBox是否正常工作、有没有别的虚拟机软件冲突再考虑是不是组件装漏了。4.2 AC的基础配置让AP能找到ACAC6005接在核心交换机G0/0/2口属于VLAN40。给它配上VLANIF40地址和到核心的默认路由再指定CAPWAP源接口system-view sysname AC6005 vlan batch 40 interface Vlanif40 ip address 192.168.40.2 255.255.255.0 quit interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 40 quit ip route-static 0.0.0.0 0.0.0.0 192.168.40.1 capwap source interface vlanif 40capwap source interface这行非常关键它决定了AP来注册时AC对外宣告的地址。如果不配AC可能默认用别的接口地址AP找到的地址不对隧道就建不起来。配完之后在AC上执行display capwap link能确认隧道状态。因为实验里我用的是本地转发direct-forward业务VLAN的网关在核心交换机所以AC这边只需要管理VLAN40可达就够了不需要为业务VLAN建VLANIF。这点新手容易搞混以为AC要配所有VLAN其实AC只负责无线控制面。4.3 AP注册上线先在AC侧放开认证AP2050DN上电后会自动从VLAN40拿地址然后广播寻找AC。此时AC如果默认开启了MAC认证AP这个“陌生人”是上不了线的。我习惯先放开认证让AP上线看真实MACwlan ap auth-mode none quit等一分钟左右在AC上执行display ap all正常情况下能看到AP信息虽然状态可能是fault或normal。记下每台AP的MAC地址然后把它们固化到AC上wlan ap-id 0 type-id 45 ap-mac xxxx-xxxx-xxxx ap-name AP-1F-Lobby ap-group ap-group1 quit ap auth-mode mac-auth quit这里注意一点不同ENSP版本里AP2050DN的type-id可能不一样。最稳的做法是先不手动创建ap-id让AP在ap auth-mode none下自动注册再用display ap all查看自动分配的AP ID和MAC最后在对应的ap-id视图下改名、改AP组并把认证模式改回mac-auth。真机上MAC认证是最基本的准入手段别图省事一直开着none。4.4 SSID、安全、VAP模板一条链绑完VLAN华为无线侧的核心思想是“模板链”SSID模板决定Wi-Fi叫什么名字安全模板决定加密方式VAP模板把前两者和业务VLAN绑在一起最后AP组把VAP模板下发到AP的射频上。先做公共区Wi-FiSSID叫hotel-public绑定VLAN30wlan ssid-profile name guest ssid hotel-public quit security-profile name guest security wpa2 psk pass-phrase Hw123456 aes quit vap-profile name guest forward-mode direct-forward service-vlan vlan-id 30 ssid-profile guest security-profile guest quit ap-group name ap-group1 vap-profile guest wlan 1 radio 0 vap-profile guest wlan 1 radio 1 quitwlan 1 radio 0表示在2.4G射频上绑定编号为1的VAPwlan 1 radio 1表示5G射频也绑同一个VAP。如果想在同一个AP上再做客房SSID和办公SSID就再创建两个vap-profile分别service-vlan vlan-id 10和20然后在ap-group里追加ap-group name ap-group1 vap-profile room wlan 2 radio 0 vap-profile room wlan 2 radio 1 vap-profile office wlan 3 radio 0 vap-profile office wlan 3 radio 1 quit这里有个概念要理清楚VLAN是给数据报文分类的AC/AP只是构建无线接入通道。同一个AP可以同时广播多个SSID每个SSID背后可以对应不同的VLAN这就是“SSID绑定VLAN”的本意。一个酒店里guest、staff、office三种Wi-Fi各走各的VLAN策略隔离就是从这一步开始的。转发模式我选了direct-forward也就是本地转发。好处是无线用户的数据不经过ACAC只做管理面压力小代价是接入交换机必须放行业务VLANAP上联口必须Trunk全部业务VLAN。如果你用tunnel-forward隧道转发无线数据会封装在CAPWAP里回到AC再由AC进入业务VLAN管控更集中但AC负载大要按实际设备能力评估。配完之后验证display ap all display vap ssid如果两个命令都能看到正常信息说明无线控制面已经通了。5. 验证与排错从拓扑画完到终端真正能上网5.1 有线侧先通再碰无线我个人的习惯是先验证有线再验证无线。因为无线网络在很大程度上是“有线的延伸”有线不通无线查起来就是两头抓瞎。客房PCVLAN10先ping自己的网关192.168.10.1通则说明接入和核心之间没问题。再ping出口互联地址192.168.100.1通则说明VLAN10到VLAN100之间路由是通的。最后ping公网测试机200.1.1.2通则说明NAT已经生效。注意NAT生效后在AR上执行display nat session能看到内网地址被转换。办公PC同理只是网关是192.168.20.1。如果哪一步ping不通就往上查先看接口状态再看VLANIF和路由表最后用display arp看二层表项有没有学全。大部分问题出在Trunk的allow-pass列表和DHCP地址池网段上。5.2 无线侧验证STA连SSID、拿IP、出网打开ENSP里的STA无线终端配置无线连接选择hotel-public输入密码Hw123456。连上后查看STA拿到的IP应该落在192.168.30.0/24网段。接着用STA ping 192.168.30.1网关和200.1.1.2公网测试机全部通则无线链路OK。如果还想验证多SSID把STA切到hotel-room应拿到192.168.10.x切到hotel-office应拿到192.168.20.x。这一步如果出问题基本都是下面这个表里的情况。5.3 常见问题排查表现象可能原因排查命令/操作AP一直显示faultAP没拿到管理地址、AC不可达、CAPWAP源接口不对AC上display ap all在AC上ping AP的管理IP检查接入交换机的PVID是否40无线连上但获取不到IP业务VLAN没放行、DHCP地址池不对、AP上联口Trunk漏了VLAN在核心display dhcp server statistics检查DHCP地址池网段STA抓包看DHCP Offer搜不到某个SSIDVAP模板没绑到射频、AP组没应用、SSID模板名字冲突display vap ssiddisplay ap all看AP所属组能拿IP但ping不通外网出口路由/NAT/ACL问题有线PC先测AR上dis nat sessiondisplay ip routing-table有线和无线都能上网但互访不通核心ACL隔离策略检查核心是否配置了ACL以及应用在哪个接口这里面最容易被忽略的是AP上联口的Trunk PVID。很多人在交换机上只配了access口或忘了改PVIDAP照样能拿到地址可能被分到VLAN1但AC永远发现不了它。遇到AP不上线先看AP实际处于哪个VLAN方法是在接入交换机上执行display mac-address看AP的MAC或者看DHCP的IP-in-use记录就能定位是不是PVID的问题。5.4 我踩过的一个典型坑AC和AP通了但VAP下发失败AC上display ap all显示normal但STA搜不到SSID。最后发现在ap-group下绑VAP模板时我把radio编号写成了radio 2而AP2050DN只有radio 0和radio 1。这个错误命令行不报错但射频上实际没绑任何VAP。所以大家如果搜不到SSID先用display vap ssid看一下有没有VAP信息如果显示为空再去ap-group里核对radio编号。这种“配置成功但实际没生效”的问题在华为无线体系里非常典型养成通过display命令验证的习惯比死记命令更值钱。6. 实验之后从ENSP到真实酒店还差什么6.1 把实验往真实场景推一推跑通这套实验之后我建议按这几个顺序升级在核心上加ACL禁止VLAN10访问VLAN20和VLAN40但允许访问外网。酒店客房网络不能摸到办公网这是底线。在出口路由器上对VLAN30做QoS限速比如每个用户下行2Mbps、上行1Mbps防大堂流量把出口带宽吃完。给办公VLAN加802.1X或Portal认证而不是裸奔PSK密码。配置DHCP Snooping防止客人私接小路由器导致内网DHCP冲突。这些做完这套实验的含金量会直接上一个档次面试或者项目汇报时都能拿得出手。6.2 真机和模拟器之间最需要注意的是这些模拟器跑通不代表真机零门槛。真机AC往往要license授权才能管APAP的射频参数信道、功率需要根据现场勘测来定2.4G尽量用1/6/11不重叠信道5G用36/40/44这一组。漫游体验也不能只靠“相同SSID”还得在AC上配快速漫游、调整漫游阈值不然客人端着手机从走廊走到房间Wi-Fi信号满格但数据流会断。另外真机项目里AP一般会单独规划管理VLAN同时要预留带外管理通道别把管理面全压在生产链路上。这些经验不是配置命令能给你的都是现场才能积累出来的东西。6.3 我的一点个人体会这个实验我在ENSP里反复做过几次最大的体会就是先把有线三层彻底跑通再碰无线。无线问题一旦出现追根到底多半是有线侧VLAN、DHCP或Trunk没做好AP只是个翻译器它负责把无线报文变成有线报文能不能到网关、能不能出网全看有线侧放不放行。最后分享一个小技巧在核心和接入上做完配置后把display current-configuration的分段截图保存下来和今天的网络拓扑图放一起。以后不管是自己排错还是给别人讲这个方案定位问题速度都会快很多。这套配置我现在隔一段时间还会翻出来看一遍每次都能有新理解。
