求教程

摇人吧

点我头像吧

要实现你的需求，关键在于通过 VLAN 隔离网络，并利用 Trunk 链路和 DHCP 服务来区分流量。由于你的SW2是非网管交换机，它无法识别VLAN标签，因此所有VLAN配置需要在SW1（可网管交换机）及上游设备上完成。

以下是详细的配置步骤：

网络拓扑与流量路径

1. AP管理：AP通过SW2（非网管）连接到SW1的Trunk端口，向R1的DHCP服务器请求IP，获取10.10.20.0/24网段的地址。

2. WiFi用户：用户连接WiFi后，由AC（无线控制器）为其分配VLAN 10。数据经AP、SW2、SW1到达R1，从R1的DHCP服务器获取10.10.10.0/24网段的IP地址。

配置步骤

1. 配置路由器 R1

R1需要作为网关和DHCP服务器，为两个VLAN提供IP地址。

• 创建子接口：在连接SW1的物理接口上，为VLAN 10和VLAN 20创建子接口并配置IP地址。

  text

  interface GigabitEthernet0/0.10 vlan-type dot1q 10 ip address 10.10.10.1 255.255.255.0 # interface GigabitEthernet0/0.20 vlan-type dot1q 20 ip address 10.10.20.1 255.255.255.0

• 启用DHCP服务并创建地址池：为两个VLAN分别创建DHCP地址池。

  text

  dhcp enable # dhcp server ip-pool vlan10 network 10.10.10.0 mask 255.255.255.0 gateway-list 10.10.10.1 dns-list 223.5.5.5 # dhcp server ip-pool vlan20 network 10.10.20.0 mask 255.255.255.0 gateway-list 10.10.20.1 dns-list 223.5.5.5

2. 配置可网管交换机 SW1

SW1是核心，负责VLAN的创建和VLAN间流量的透传。

• 创建VLAN：创建VLAN 10和VLAN 20。

  text

  vlan 10 vlan 20

• 配置上联口（连接R1）：设置为Trunk模式，允许所有VLAN通过。

  text

  interface GigabitEthernet1/0/1 port link-type trunk port trunk permit vlan all

• 配置下联口（连接SW2）：此端口需要承载AP的管理VLAN（20）和用户数据VLAN（10）。因为SW2是非网管交换机，需将SW1的这个端口配置为Trunk模式，并设置PVID（Port VLAN ID）为20。这样，从SW2上来的无标签数据（如AP的DHCP请求）会被SW1打上VLAN 20的标签，从而获取管理IP。

  text

  interface GigabitEthernet1/0/2 port link-type trunk port trunk permit vlan 10 20 port trunk pvid vlan 20

3. 配置无线控制器 (AC) 和 AP

此部分配置决定了WiFi用户属于哪个VLAN。

• 创建无线服务模板：在AC上创建SSID，并绑定VLAN 10。

  text

  wlan service-template 1 ssid Your-WiFi-Name vlan 10 service-template enable

• 配置AP并应用服务模板：将服务模板绑定到AP的射频上。

  text

  wlan ap ap1 model WA4320-ACN radio 1 service-template 1 radio enable

• 确保AP能自动获取管理IP：AP默认通过VLAN 1获取地址。由于我们将SW1下联口的PVID设为20，AP发出的DHCP请求会被打上VLAN 20的标签，从而从R1的vlan20地址池获取10.10.20.0/24网段的IP。

验证配置

配置完成后，可以通过以下方式验证：

• 检查AP：登录AC或查看AP，确认其获取的IP地址在10.10.20.0/24网段。

• 检查客户端：连接WiFi，确认手机或电脑获取的IP地址在10.10.10.0/24网段。

• 检查DHCP：在R1上执行 display dhcp server ip-in-use 命令，查看地址分配情况

组网关键点梳理
AC、SW1、R1：三层网管交换机 / 路由器；SW2 非网管 POE 交换机（不能划分 VLAN、不能处理 802.1Q 标签）
⚠️核心限制：SW2 无法透传带 VLAN 标签报文！
所以：AP 上行到 SW2 的链路，只能走 Access 无标签链路。
需求：
AP 自身获取地址：10.10.20.0/24 VLAN20
无线 WiFi 终端获取地址：10.10.10.0/24 VLAN10
设备分工：
R1：DHCP 服务器，为 VLAN10、VLAN20 分配地址
AC：管理 Fit AP，下发无线 VLAN 策略
SW1：做三层 VLAN 终结 + 单臂 / 三层转发，实现标签转换
原理说明（重点看懂，不然配置会不通）
SW2 是非网管，进出 SW2 的所有报文不能带 VLAN 标签。
数据流逻辑：
AP 上电 → 发送无标签 CAPWAP 发现报文 → 抵达 SW1
→ SW1 收到无标签报文，划入 VLAN20 → AP 获取 10.10.20 地址、注册 AC
手机连接 WiFi → 流量封装在 CAPWAP 隧道内部传到 AC
AC 识别无线 SSID，把用户流量映射到 VLAN10
✅最优方案：无线用户流量通过 CAPWAP 隧道转发（隧道模式）
不要采用本地转发！本地转发需要 SW2 处理 VLAN 标签，非网管交换机做不到。
❌禁止本地转发（Local Forward）！本地转发需要 AP 上行携带 VLAN 标签，SW2 不支持，会直接失败。
必须使用【隧道转发（Tunnel）】
完整分步配置教程（H3C V7 AC + 三层交换机 SW1 + R1 路由器）
一、SW1 配置（核心！处理 AP 无标签接入）
SW1 接口规划：
GE0/1：上联 R1
GE0/2：下联 AC
GE0/3：下联 SW2（非网管 POE，连接 AP）
plaintext
# 1. 创建VLAN
vlan 1
vlan 10
vlan 20

# 2. GE0/3 连接非网管SW2（关键接口）
interface GigabitEthernet 1/0/3
port link-type access
port access vlan 20 # AP上来的无标签报文全部划入VLAN20

# 3. 上联R1、下联AC配置Trunk（放行所有业务VLAN）
interface GigabitEthernet 1/0/1
port link-type trunk
port trunk permit vlan 1 10 20

interface GigabitEthernet 1/0/2
port link-type trunk
port trunk permit vlan 1 10 20

# 4. 配置三层VLANIF接口（网关）
interface Vlan-interface 1
ip address 172.16.0.2 255.255.255.0

interface Vlan-interface 10
ip address 10.10.10.254 255.255.255.0

interface Vlan-interface 20
ip address 10.10.20.254 255.255.255.0

# 默认路由指向R1 172.16.0.1
ip route-static 0.0.0.0 0 172.16.0.1
二、R1 路由器配置（DHCP 服务器）
plaintext
# DHCP地址池
dhcp server ip-pool VLAN20_AP
network 10.10.20.0 mask 255.255.255.0
gateway-list 10.10.20.254
dns-list 114.114.114.114

dhcp server ip-pool VLAN10_WIFI
network 10.10.10.0 mask 255.255.255.0
gateway-list 10.10.10.254
dns-list 114.114.114.114

# 接口配置（上联SW1）
interface GigabitEthernet 0/1
ip address 172.16.0.1 255.255.255.0

# 添加回程路由，使R1能访问10.10.10.0/24、10.10.20.0/24
ip route-static 10.10.10.0 255.255.255.0 172.16.0.2
ip route-static 10.10.20.0 255.255.255.0 172.16.0.2
三、AC 无线控制器关键配置（重中之重）
要求：SSID 使用隧道转发模式 Tunnel
plaintext
# 1、开启无线功能
wlan enable

# 2、创建无线服务模板
wlan service-template 1 crypto
ssid Office-WiFi
# 关键：隧道转发（必须Tunnel，不能local-forward）
forward-mode tunnel
vlan 10
# 按需配置加密（WPA2-PSK）
security wpa2
security wpa2 psk pass-phrase 自定义密码 aes

# 3、AP模板（填入你AP型号）
wlan ap AP01 model WAxxxx
serial-id xxxxxxxx
radio 1
service-template 1
radio 2
service-template 1

# 4、确保AC路由可达10.10.20.0/24（AP网段）
# AC默认地址172.16.0.5，添加静态路由
ip route-static 10.10.20.0 255.255.255.0 172.16.0.2
ip route-static 10.10.10.0 255.255.255.0 172.16.0.2
四、完整工作流程复盘
AP 上电 → 发出无标签 DHCP 请求、CAPWAP 发现报文
报文到达 SW1 GE0/3，属于 Access VLAN20
→ AP 获取 10.10.20.x 地址，寻找 AC（172.16.0.5）建立 CAPWAP 隧道
手机连接 WiFi
无线流量被 AP 封装进 CAPWAP 隧道，直接送到 AC
AC 解封装，把用户流量划分到 VLAN10
AC 发起 VLAN10 DHCP 请求，R1 分配 10.10.10.x 给手机上网
⚠️高频踩坑警告
❌绝对不要在 AC 配置 forward-mode local-forward！
本地转发需要 AP 上行发送带 VLAN 标签报文，SW2 是非网管交换机，不识别标签，业务直接断。
❌不要把 SW1 的 GE0/3 配置成 Trunk；必须 Access VLAN20。
❌路由缺失：R1、AC、SW1 三方路由必须互通，否则 AP 无法注册、手机无法上网。
❌如果 AC 是 V5 平台 WX 系列，命令略有差异，核心依然是 forward-mode tunnel。
备选方案思考
如果你后续更换网管 POE 交换机，就可以改成 Trunk 上行，AP 管理 VLAN20 标签、业务 VLAN10 本地转发，减轻 AC 压力。当前环境受限于 SW2，只能隧道转发。