WIFI配置

VLAN 1禁止使用
PC和无线的VLAN要分开
有线和无线的网关和DHCP放到SW1.

接入是傻瓜交换机，没法搞的呀

组网关键点梳理
AC、SW1、R1：三层网管交换机 / 路由器；SW2 非网管 POE 交换机（不能划分 VLAN、不能处理 802.1Q 标签）
⚠️核心限制：SW2 无法透传带 VLAN 标签报文！
所以：AP 上行到 SW2 的链路，只能走 Access 无标签链路。
需求：
AP 自身获取地址：10.10.20.0/24 VLAN20
无线 WiFi 终端获取地址：10.10.10.0/24 VLAN10
设备分工：
R1：DHCP 服务器，为 VLAN10、VLAN20 分配地址
AC：管理 Fit AP，下发无线 VLAN 策略
SW1：做三层 VLAN 终结 + 单臂 / 三层转发，实现标签转换
原理说明（重点看懂，不然配置会不通）
SW2 是非网管，进出 SW2 的所有报文不能带 VLAN 标签。
数据流逻辑：
AP 上电 → 发送无标签 CAPWAP 发现报文 → 抵达 SW1
→ SW1 收到无标签报文，划入 VLAN20 → AP 获取 10.10.20 地址、注册 AC
手机连接 WiFi → 流量封装在 CAPWAP 隧道内部传到 AC
AC 识别无线 SSID，把用户流量映射到 VLAN10
✅最优方案：无线用户流量通过 CAPWAP 隧道转发（隧道模式）
不要采用本地转发！本地转发需要 SW2 处理 VLAN 标签，非网管交换机做不到。
❌禁止本地转发（Local Forward）！本地转发需要 AP 上行携带 VLAN 标签，SW2 不支持，会直接失败。
必须使用【隧道转发（Tunnel）】
完整分步配置教程（H3C V7 AC + 三层交换机 SW1 + R1 路由器）
一、SW1 配置（核心！处理 AP 无标签接入）
SW1 接口规划：
GE0/1：上联 R1
GE0/2：下联 AC
GE0/3：下联 SW2（非网管 POE，连接 AP）
plaintext
# 1. 创建VLAN
vlan 1
vlan 10
vlan 20

# 2. GE0/3 连接非网管SW2（关键接口）
interface GigabitEthernet 1/0/3
port link-type access
port access vlan 20 # AP上来的无标签报文全部划入VLAN20

# 3. 上联R1、下联AC配置Trunk（放行所有业务VLAN）
interface GigabitEthernet 1/0/1
port link-type trunk
port trunk permit vlan 1 10 20

interface GigabitEthernet 1/0/2
port link-type trunk
port trunk permit vlan 1 10 20

# 4. 配置三层VLANIF接口（网关）
interface Vlan-interface 1
ip address 172.16.0.2 255.255.255.0

interface Vlan-interface 10
ip address 10.10.10.254 255.255.255.0

interface Vlan-interface 20
ip address 10.10.20.254 255.255.255.0

# 默认路由指向R1 172.16.0.1
ip route-static 0.0.0.0 0 172.16.0.1
二、R1 路由器配置（DHCP 服务器）
plaintext
# DHCP地址池
dhcp server ip-pool VLAN20_AP
network 10.10.20.0 mask 255.255.255.0
gateway-list 10.10.20.254
dns-list 114.114.114.114

dhcp server ip-pool VLAN10_WIFI
network 10.10.10.0 mask 255.255.255.0
gateway-list 10.10.10.254
dns-list 114.114.114.114

# 接口配置（上联SW1）
interface GigabitEthernet 0/1
ip address 172.16.0.1 255.255.255.0

# 添加回程路由，使R1能访问10.10.10.0/24、10.10.20.0/24
ip route-static 10.10.10.0 255.255.255.0 172.16.0.2
ip route-static 10.10.20.0 255.255.255.0 172.16.0.2
三、AC 无线控制器关键配置（重中之重）
要求：SSID 使用隧道转发模式 Tunnel
plaintext
# 1、开启无线功能
wlan enable

# 2、创建无线服务模板
wlan service-template 1 crypto
ssid Office-WiFi
# 关键：隧道转发（必须Tunnel，不能local-forward）
forward-mode tunnel
vlan 10
# 按需配置加密（WPA2-PSK）
security wpa2
security wpa2 psk pass-phrase 自定义密码 aes

# 3、AP模板（填入你AP型号）
wlan ap AP01 model WAxxxx
serial-id xxxxxxxx
radio 1
service-template 1
radio 2
service-template 1

# 4、确保AC路由可达10.10.20.0/24（AP网段）
# AC默认地址172.16.0.5，添加静态路由
ip route-static 10.10.20.0 255.255.255.0 172.16.0.2
ip route-static 10.10.10.0 255.255.255.0 172.16.0.2
四、完整工作流程复盘
AP 上电 → 发出无标签 DHCP 请求、CAPWAP 发现报文
报文到达 SW1 GE0/3，属于 Access VLAN20
→ AP 获取 10.10.20.x 地址，寻找 AC（172.16.0.5）建立 CAPWAP 隧道
手机连接 WiFi
无线流量被 AP 封装进 CAPWAP 隧道，直接送到 AC
AC 解封装，把用户流量划分到 VLAN10
AC 发起 VLAN10 DHCP 请求，R1 分配 10.10.10.x 给手机上网
⚠️高频踩坑警告
❌绝对不要在 AC 配置 forward-mode local-forward！
本地转发需要 AP 上行发送带 VLAN 标签报文，SW2 是非网管交换机，不识别标签，业务直接断。
❌不要把 SW1 的 GE0/3 配置成 Trunk；必须 Access VLAN20。
❌路由缺失：R1、AC、SW1 三方路由必须互通，否则 AP 无法注册、手机无法上网。
❌如果 AC 是 V5 平台 WX 系列，命令略有差异，核心依然是 forward-mode tunnel。
备选方案思考
如果你后续更换网管 POE 交换机，就可以改成 Trunk 上行，AP 管理 VLAN20 标签、业务 VLAN10 本地转发，减轻 AC 压力。当前环境受限于 SW2，只能隧道转发。