map‑configuration 下发 ACL 到 FIT‑AP（Comware V7）问题解答

原理：map‑configuration是 AC 把文本文件内的命令逐条远程执行下发给在线 AP；AP 收到命令直接运行，不会把这份 map 文件保存在 AP 本地存储，配置属于运行态临时配置，AP 重启、隧道重断连后，会重新向 AC 请求 map‑configuration 执行一遍H3C。

问题（1）：AC 上删除 map‑configuration 文件，是否影响已经下发到 AP 的 ACL？

✅AP 当前在线、隧道不断开：已经执行生效的 ACL 还会继续工作，不会自动消失。 ❌但是风险点：

1. 一旦AP 重启 / CAPWAP 隧道断开重连，AP 会重新请求 map‑configuration 文件；AC 上该文件已经被删掉，找不到文件就不会再次执行，AP 重启之后 ACL 全部丢失H3C。
2. 仅仅删除 AC 本地 flash 里面的 map 文本文件，不会触发向 AP 下发 undo 命令，在线 AP 不会自动清除已经跑起来的 ACL。

错误操作提醒：不要直接在 AC 上删掉 map 文件就以为 AP 的配置清除了，在线 AP 配置还在，只是 AP 重启就失效。

问题（2）：要删除 AP 上已经存在的 ACL，是不是只能 map‑configuration 文件写 undo acl 下发？

是的，主流标准做法就是这样。

1. FIT AP 没有独立 console，AC 不能直接远程敲单条 undo 命令到 AP；只能通过 map‑configuration 文本文件，里面写入清理命令：

然后 AP/AP 组视图下map‑configuration clean‑ap‑acl.txt，隧道 up 后，文件内undo系列命令会远程在 AP 上执行，删除 AP 侧 ACL。

其他补充可选手段

1. AP 重启：如果 map‑configuration 已经解除绑定，AP 重启，所有 map 下发的临时运行态配置全部清空（业务会中断）。
2. 不要指望在 AC 全局删除 ACL，AC 的 ACL 和 AP 上通过 map 下发的 ACL 是两套完全独立配置，AC 删 ACL，AP 上面的不会跟着删除。

完整操作最佳实践

场景 A：修改 AP 上原有 ACL

1. 修改 AC 上 map 配置文件，更新里面 acl/rule；
2. AP 隧道 down‑up（重启 AP / 关闭再打开 wlan ap），重新加载 map 文件，新命令覆盖旧配置。

场景 B：彻底清除 AP 上 map 下发的全部 ACL

1. 新建清理 map 文件，写入对应undo acl / undo rule；
2. 绑定该清理 map‑configuration，等待 AP 隧道重建立，执行 undo 命令；
3. AP 视图下取消 map‑configuration 绑定（undo map‑configuration）；
4. 确认 AP 在线，可通过 AP VNC 控制台登录 AP，display acl all核查 ACL 是否清除干净；
5. 之后再删除 AC 上的 map 文本文件。

验证排查命令

极简一句话总结

1. AC 删除 map 配置文件，在线 AP 已下发 ACL 继续生效，但 AP 重启 / 隧道重连后 ACL 丢失，不会自动同步删除；
2. 清除 AP 上 map 下发 ACL，需要新建 map 文件写入 undo acl 命令重新下发执行；AC 侧删除 ACL 不会同步 AP；清理完成后记得 undo map‑configuration 解绑。

重要提示：map 文件下发的所有命令属于 AP 运行态临时配置，AP 不会 save 保存，不会写入 AP startup‑config，依赖 CAPWAP 隧道存在与 map‑configuration 绑定关系H3C。

根据手册，1删除了会影响AP  2.是的，map添加undo acl就可以删除。

在需要更新AP配置文件的情况下，可以在AC上指定AP配置文件的文件名（在AC的存储介质中必须已经存在该配置文件），当隧道处于Run状态时，AC会将配置文件中的命令下发到AP上，AP会使用配置文件中的命令，但AP不会保存这些配置。 例如：本地转发模式下配置用户方案时，将用户方案、相关的QoS策略和ACL等命令写入配置文件，然后通过指定AP的配置文件的方式将命令下发到AP。 一旦使用map-configuration命令为AP指定了配置文件，该配置文件会永久生效，即只要AP在线，AC就会将配置文件中的命令下发给AP。 在本地转发模式下配置用户方案时，通过配置文件配置的AP只用通过主IP地址与AC建立CAPWAP隧道。

针对你提出的两个问题，核心结论如下：

1. 在AC上删除 map-configuration 文件，不会立即影响已经下发到AP且正在运行的ACL。 但这会带来一个高风险：一旦AP重启或与AC的隧道断开重连，AP会因找不到该文件而无法重新加载配置，导致ACL失效。

2. 是的，删除AP上已存在的ACL，主流且标准的方法就是通过下发一个新的 map-configuration 文件，并在其中写入 undo acl 命令来实现。 因为FIT AP通常没有独立的Console口，AC无法直接向AP发送单条 undo 命令。

 核心原理：为什么AC上删除文件不影响已下发的ACL？

这取决于 map-configuration 的工作机制。AC通过 map-configuration 将文本文件中的命令逐条远程下发给AP执行。AP收到命令后直接运行，并不会把这个map文件保存在本地，因此这些配置在AP上属于运行态的临时配置。

所以，当你在AC上删除map文件时，AP上已经执行的ACL命令依然会在内存中生效，不会自动消失。但AP一旦重启或隧道重建，它会重新向AC请求该文件，如果文件已不存在，AP上的ACL配置就会丢失。

 如何正确修改和删除AP上的ACL？

根据你的目标，操作方式分为两种：

场景一：修改AP上原有的ACL

如果你想修改AP上ACL的规则，需要遵循“先解绑，再重新下发，最后重启AP”的流程，以确保新配置完全生效并覆盖旧配置：

1. 上传新文件：将修改后的新map文件上传到AC。

2. 重新下发：在对应的AP或AP组视图下，先执行 undo map-configuration 解绑旧文件，再重新执行 map-configuration 绑定新文件。

3. 重启AP：执行 reset wlan ap <AP名称> 重启AP，使其重新加载并应用新的map文件中的配置。

场景二：彻底清除AP上由map下发的ACL

如果你希望完全移除AP上的ACL，需要专门制作一个“清理”用的map文件来执行undo操作：

1. 创建清理文件：新建一个文本文件，内容为需要删除的ACL的undo命令。例如，要删除MAC ACL 4000，文件内容就是 undo acl mac 4000。

2. 下发清理文件：在AP或AP组视图下，执行 map-configuration <你的清理文件名>，将该文件下发给AP。

3. 等待执行：等待AP与AC的隧道重建或AP重启，该文件中的 undo 命令就会在AP上被执行，从而清除ACL。

4. 解除绑定（可选）：确认ACL已清除后，可以在AP视图下执行 undo map-configuration 来解除该清理文件的绑定。

 重要提醒

• 两套独立的ACL：请务必注意，AC上的ACL和通过map下发到AP上的ACL是两套完全独立的配置。在AC上删除ACL，不会影响到AP上已经存在的ACL。

• 操作窗口期：下发清理文件或重启AP的操作会短暂影响AP上的业务，建议在业务空闲期进行。