简介面向无线网络运维人员、网工初学者及 Aruba 方案学习者的配置文档定位是帮助读者理解 AP 与无线控制器的联动配置思路解决从概念到参数映射的入门难题。内容以 Aruba 的 profile 分解机制为主线无线配置参数被拆成一个个独立 profile下层 profile 可被多个上层 profile 复用文中重点讲解 AP 组的默认归属与参数覆盖关系、Virtual AP 如何在一个物理 AP 上提供多个 WLAN 服务并梳理 Wireless LAN Profiles、SSID Profile、High-throughput SSID Profile、AP Profiles、QOS Profiles 等模块及子 profile 的用途包括认证加密、Beacon 间隔、40MHz 带宽、流量优先级和 VoIP 接入控制等配置要点。下载包为单一 doc 文件压缩包大小约 1.06MB轻量便于查阅保存。已有 983 人学习适合作为 Aruba 无线网络配置入门、概念梳理与排错参考。1. Aruba无线AP及AC配置企业无线网里最容易卡住的一段做了几年企业无线运维你会发现Aruba无线AP及AC配置这个话题几乎每次项目开局都要被拿出来聊一遍。AC控制器负责把几十上百个AP统一管起来AP则做成胖瘦一体甚至纯瘦模式即插即用。理想状态是AP上电、注册、下发配置业务SSID自动广播。但实际项目里AP一直显示Down、AC上找不到AP、客户端拿到IP却上不了网这些现象在开局头三天集中爆发。这篇东西就把我从空配置到业务跑通的完整路径讲清楚包括AC初始化、AP发现、VLAN映射、SSID下发以及那些让你怀疑设备是坏的、最后发现只是一个小参数没配对的坑。适合做无线开局、网络运维的朋友也适合刚接手Aruba设备、对着文档不知道先敲哪条命令的人。2. 先分清角色Aruba AC和AP之间到底谁听谁的2.1 控制器与AP的协同关系从CAP到L2/L3漫游Aruba的无线网络里AP本身不是一个独立的接入点而是一个受AC控制的哑终端。AP上跑的是精简系统SSID、认证、VLAN、漫游策略都由AC统一下发。这个架构的好处是配置集中坏处是AP一旦找不到AC它就变成一块砖连管理地址都没有。理解这个协同关系首先要分清三个角色。AC是大脑负责认证接入、策略下发、流量转发决策AP是手脚负责射频空口监听和收发客户端是中端接入者漫游时在AP之间切换但业务会话追踪还在AC上。Aruba把这种架构叫CAPController-based AP。当客户端从一个AP漫游到另一个AP时AC会保持该客户端的会话状态后端认证服务器不需要重新认证这也是企业级场景选AC而不是让AP各自为政的核心原因。这里有一个需要提前决定的转发模式本地转发Local和集中转发Tunnel。集中转发模式下客户端流量全部通过CAPWAP隧道送到AC再出上行口AC可以做集中安全策略和流量监管本地转发模式下客户端流量由AP直接上下行隧道里只跑管理控制。两者在Aruba里的配置参数完全不同。如果机房带宽足够、安全审计要求高建议集中转发如果AP跨地域、上行链路紧张本地转发更合适。这个决定要在建SSID之前做不然后面所有策略都要返工。2.2 初始连接方式串口与SSH先拿到一个能输命令的入口新上电的Aruba AC默认不带管理IP必须先用串口线接console口把终端设置成9600波特率、8数据位、1停止位、无校验然后上电。这里最容易翻车的是忘记给终端配置流控或者用了USB转串口但驱动没装好导致屏幕上全是乱码。正确做法是先把串口工具打开再给设备上电上电后等启动日志稳定下来看到登录提示。# 串口登录后默认账号密码通常为 admin/admin首次登录会强制要求修改 # 进入用户管理界面后先创建带权限的管理员并配置管理接口 (Aruba-AC) # configure terminal (Aruba-AC) # user admin password NewPass123 privilege root (Aruba-AC) # interface vlan 1 (Aruba-AC) # ip address 192.168.10.5 255.255.255.0 (Aruba-AC) # ip default-gateway 192.168.10.1 (Aruba-AC) # write memory这段命令里configure terminal进入全局配置模式所有后续修改都在这个模式下敲。user admin password重置admin密码privilege root表示给这个账号管理员权限密码强度要求8位以上且含特殊字符如果太弱会被AC拒绝。interface vlan 1是管理接口实际项目中最好把管理VLAN单独分一个不要和办公用户VLAN混用。ip default-gateway是给AC穿上一层默认路由否则AC和AP不在同一广播域时AP完全找不到它。最后write memory是必写的一步很多初学者配置完不保存一重启就回到解放前。配完管理地址后就可以把网线插到AC上行口然后用SSH远程登录。SSH端口默认22如果AC前面还有防火墙记得把管理网段的SSH放通。到这里AC已经有了最基本的网络身份下一步就是让AP能发现它。3. 让AP找得到AC发现机制与注册流程的配置要点3.1 三种让AP找到AC的办法DNS、DHCP Option 60/43、手动指定AP上电后第一件事是找AC。这个找的动作在Aruba系统里叫Discovery。最常见的机制有三种DNS域名解析、DHCP Option参数、以及AP本地缓存的AC地址列表。项目开局时我一般优先用DHCP Option因为它不用在AP上做任何手工配置只要DHCP服务器下发正确AP插上网线就能自己找过来。DHCP Option的实现逻辑是AP作为DHCP客户端拿到IP地址后还会额外请求Option 60Vendor Class Identifier。Aruba AP在Option 60里会填一个特定厂商字符串DHCP服务器识别到这个字符串后再在Option 43里回填AC的管理IP地址列表。配置的时候把AC地址以十六进制格式填进Option 43或者直接填点分十进制格式取决于DHCP服务器是否支持对应类型。以常见的第三方DHCP服务器为例# 在DHCP服务器上为AP对应的作用域添加以下选项 # Option 60: 标识厂商为Aruba AP set vendor-class-identifier ArubaAP # Option 43: AC管理IP为 192.168.10.5多个地址用逗号分隔 set vendor-encapsulated-options 192.168.10.5,192.168.10.6注意不同DHCP服务器对Option 43的格式要求不一样有的要求十六进制字符串有的接受ASCII。十六进制格式下192.168.10.5要写成一整串十六进制字节长度正好是4字节*地址个数。这个格式错误是最常见的坑AP拿到的是正确IP但Option 43解析失败于是它就开始全网广播找AC结果抓包看到一堆广播AC就是不理它。另一个候选是DNS方式AP会尝试解析aruba-master这个主机名DNS解析到哪个IP它就去找哪个AC。这个方法在跨三层、DHCP无法附加选项的场景更实用。3.2 用CLI把AP拉进控制器授权与版本同步发现机制做完AP会在AC上显示为unprovisioned状态。这表示AP已经和AC建立了CAPWAP隧道但还没有被纳入某个AP组也没有获得正式身份。Aruba的授权模型是白名单制AC上没有授权的AP即使能建立隧道也不会广播业务SSID。这一步需要操作者登入AC后台把AP从unprovisioned状态改为provisioned。# 查看当前AC下发现的AP记录AP的序列号 (Aruba-AC) # show ap database # 批准单个AP加入序列号通过上面命令查到的Serial#获得 (Aruba-AC) # ap provisioning-mode serial-number xxx # 将AP加入默认组并同步AC上的配置版本 (Aruba-AC) # ap-group default-ap-group (Aruba-AC) # ap-name AP-TEST这段命令权限要求很高普通只读账号执行不了。show ap database是开局必用的排查命令输出里能看到AP的IP地址、MAC、状态、隧道状态。如果AP一直处于down说明AP根本没和AC建立隧道需要回到发现机制去查。ap provisioning-mode serial-number后面必须跟准确的序列号序列号在AP机身标签上也可以从DHCP服务器上通过MAC地址反查。批量开局时我不会一台台敲而是先让AP全部处于unprovisioned状态然后一次性用命令把授权方式改成allowall等所有AP上线后再收紧。配置版本同步也很关键。AC升级后AP里还保留旧版本固件新上电的AP会自动向AC请求固件但已经运行的AP不会自动重新加载除非你手动重启它或配置里开了自动升级。授权完成后AP会短暂重启一次去加载AC下发的固件版本这个重启过程持续三到五分钟期间AP指示灯闪烁全红很多人以为设备坏了其实它是在做版本同步。3.3 网络规划参数AC地址、备用AC、AP组单台AC能带的AP数量有限大规模项目一定要做集群或双机冗余。Aruba里把一组提供相同服务的AC叫Controller ClusterAP发现集群里任何一个AC都能注册注册后整个集群的配置同步。命名上常用主AC和备用AC但实际工作方式并不是主备倒换而是所有AC都活着AP通过选举算法选一个主控AC建立隧道。规划时要把三个地址段分开AC管理地址段、AP管理地址段、用户无线网段。AC和AP之间的管理流量走CAPWAP协议需要开放UDP 5246和5247端口如果中间有防火墙这两个端口放通是前提。AP的管理地址建议走静态DHCP绑定或者用Option 67分配固定IP这样排错时知道每个AP具体在哪台交换机下。# 配置备用AC列表AP会依次尝试主备地址 (Aruba-AC) # controller-ip 192.168.10.5 (Aruba-AC) # controller-ip 192.168.10.6 backupcontroller-ip命令在AOS不同版本里所在模式不同有的在全局模式有的在AP系统Profile里。backup关键字表示这个地址是备用。实际项目中我习惯把两个AC的地址都填进DHCP Option 43AP拿到列表后会自动选第一个失败就试第二个这比在AC侧配备用列表更可靠因为DHCP下发的列表对AP来说是最原始的指令。另外AP组也非常重要。不同区域、不同SSID策略的AP一定要分开组例如ap-group office和ap-group warehouse组里绑定不同的VAP模板这样AC下发配置时按组匹配不会把访客网络配置推到办公区AP上。4. 把无线业务跑起来VLAN划分与SSID模板4.1 设计VLAN池管理VLAN、用户VLAN和Guest VLAN无线业务配置之前先把VLAN规划做干净。最常见的错误是整个园区所有无线用户都在一个VLAN里导致广播域巨大DHCP请求被大量AP中继网络卡到怀疑人生。正确的规划至少分出三段管理VLAN给AP和AC通讯业务VLAN给办公无线终端访客VLAN给临时访客访客VLAN通常还要加隔离策略防止横向渗透。如果办公区有不同的安全等级还可以继续细分但每个VLAN的AP需要做中继这就要求交换机上行口支持Trunk并明确允许哪些VLAN通过。VLAN ID在AC上的配置只需要两步创建VLAN并命名然后把VLAN应用到接口或中继上。AC作为L3网关时还要顺便配好VLAN对应的网关地址。下面是一个最小化的VLAN配置# 在AC上创建业务VLAN和访客VLAN (Aruba-AC) # vlan 100 (Aruba-AC) # name Staff-WLAN (Aruba-AC) # vlan 200 (Aruba-AC) # name Guest-WLAN # 给VLAN配置网关地址AC同时承担三层转发 (Aruba-AC) # interface vlan 100 (Aruba-AC) # ip address 192.168.100.1 255.255.255.0 (Aruba-AC) # interface vlan 200 (Aruba-AC) # ip address 192.168.200.1 255.255.255.0注意AC的VLAN接口IP是无线用户默认网关的前提如果AC走了集中转发模式这个配置就是让客户端把AC当作网关来用。如果走本地转发客户端网关可能在核心交换机上AC这边就不用配网关地址只把VLAN ID透传给AP即可。这里频繁踩坑的是AC上创建了VLAN但AP所在交换机没有放行对应VLAN的Trunk导致SSID能广播但客户端的数据帧出不了AP表现为能连WiFi但完全没流量。4.2 创建WLAN的完整命令序列SSID、安全策略和角色Aruba把无线业务配置拆成两层profileSSID Profile定义无线空口的参数比如SSID名称、加密方式、认证方式Virtual AP定义这个SSID在哪个AP组上生效、绑定哪个VLAN、使用哪种转发模式。两者相辅相成。创建一个办公SSID完整命令序列如下# 第一步创建SSID Profile定义加密和认证 (Aruba-AC) # wlan ssid-profile Staff-SSID (Aruba-AC) # essid STAFF-CORP (Aruba-AC) # opmode wpa2-psk-aes (Aruba-AC) # wpa-passphrase Corp2024Secret (Aruba-AC) # max-clients 128 (Aruba-AC) # broadcast-filter arp (Aruba-AC) # exit # 第二步创建Virtual AP把SSID和VLAN、AP组绑定 (Aruba-AC) # wlan virtual-ap Staff-VAP (Aruba-AC) # ssid-profile Staff-SSID (Aruba-AC) # vlan 100 (Aruba-AC) # forward-mode tunnel (Aruba-AC) # exit # 第三步把Virtual AP挂到AP组下 (Aruba-AC) # ap-group office (Aruba-AC) # virtual-ap Staff-VAP这里有几个参数需要特别说明。opmode wpa2-psk-aes表示加密方式使用WPA2-PSK加密密码最少8位。如果企业里接入了RADIUS认证这里的opmode会改为wpa2-enterprise-aes并单独配置一个认证服务器组。broadcast-filter arp能减少ARP广播在无线侧的转发是优化空口利用率常见手段。max-clients 128是单BSS最大关联客户端数这个数值不宜设太高因为同一个AP的射频并发能力有限超过50个就已经需要依赖5G频段和Wave2来分担了。forward-mode tunnel意思就是集中转发。如果改为forward-mode bridge就是本地转发。这里要注意本地转发模式下AC不能对客户端流量做深层策略所有过滤都要下推到AP上的ACL或防火墙规则排错时上下行路径都要查复杂度会高很多。所以只要带宽和AC性能允许我还是推荐tunnel模式至少流量经过AC后能看到真实用户行为。4.3 给SSID绑定VLAN和优先级让流量走到对的方向SSID绑定VLAN是最直白的网络隔离手段但Aruba里还有一层Access Rule和优先级的控制。同一个SSID可以绑定多个VLAN匹配规则按用户角色区分比如同一个办公SSID里IT部门的用户进VLAN100普通员工进VLAN101这是通过角色Role来实现的。角色的概念给无线网络带来很大灵活性但也成了新手理解上的分水岭。一个典型的用户角色配置是这样的在AC全局配置里创建一个角色定义这个角色能用的VLAN和允许访问的目的地址。认证成功后AAA服务器把角色名下发给ACAC再把用户的VLAN和ACL映射到那个角色上。这比静态绑定VLAN要灵活得多但也意味着你要同时维护三个地方的配置SSID Profile、Virtual AP、Role。# 创建角色并关联VLAN和ACL (Aruba-AC) # user-role Staff-Role (Aruba-AC) # vlan 100 (Aruba-AC) # access-list session staff-acl (Aruba-AC) # exit # 在Virtual AP下把默认角色指给这个角色 (Aruba-AC) # wlan virtual-ap Staff-VAP (Aruba-AC) # access-rule set role Staff-Role这里access-list session staff-acl必须提前存在否则角色创建会报错。ACL规则里至少要放行DHCP应答和DNS查询很多初学者把ACL做反了导致用户已认证但拿不到IP。我的建议是如果项目周期紧初期先不要引入动态角色直接VLAN绑定走通业务等稳定后再加角色细分。这样排错范围小用户上线速度也快得多。5. 排查与避坑Aruba AC-AP调测中的5个典型问题5.1 AP一直处于Down状态AC日志显示CERT不存在现象show ap database里AP显示Down日志里出现类似Cert not valid或Certificate not found的提示AP指示灯一直快速交替闪烁。原因AP与AC之间的CAPWAP隧道建立时需要双向认证Aruba AP在出厂时内置了厂验证书但如果AP之前刷过第三方固件、或者AC的时钟不正确证书验证就会失败。这个问题在设备存放时间过长、AC电池耗尽的场景特别常见因为证书有效期依赖系统时间。解决先把AC的系统时钟校准到与NTP同步然后检查AP是否被恢复过出厂设置。如果AP曾在其他AC上使用过需要重置AP并重新授权。我通常会先复位AP上的证书区在AC上把AP强制下线然后执行一次AP的reset操作再重新等它上线。如果还不行那就只能检查AP固件是否损坏考虑用TFTP方式重新刷固件。5.2 用户能连WiFi但拿不到IPAC上看不到客户端现象手机或电脑能搜索到SSID并完成连接但一直显示获取IP地址中最后连接失败。AC的客户端列表里看不到这个MAC地址。原因拿不到IP问题通常不在无线侧而在DHCP链路。在集中转发模式下客户端从AP发起的DHCP请求走的是一条隧道客户端-AP-AC-上行交换机-DHCP服务器。这条链路上任何一环没有配置DHCP中继客户端请求就发不出去。另一个常见原因是VLAN没绑定到DHCP服务器所在网段AC虽然给用户分配了VLAN100但VLAN100的网关和DHCP服务器地址不在同一逻辑网络中继无法判断往哪转发。解决先在AC上开启调试日志看客户端关联事件时有没有DHCP请求进来。如果没有那么在AC的VLAN接口上检查中继地址是否配置正确。如果中继没问题再查上行交换机Trunk是否放行了该VLAN。我的血泪经验是这类问题9成出在交换机Trunk或ACL上剩下1成才是DHCP服务器本身的问题。所以排查顺序是先Ping通网关再谈其他。5.3 配置保存后重启丢失忘记写保存命令的代价现象完成VLAN、SSID、AP组等所有配置后AC断电重启所有配置恢复默认。很多运维人员第一反应是设备掉电导致配置文件损坏其实只是没有执行保存命令。原因Aruba AC和其他网络设备一样运行时配置保存在RAM断电即清空。只有敲了write memory或save config配置才会写到Flash或其他非易失存储。这类错误在项目调试阶段很常见因为配置过程中界面一直正常给人一种已经生效的错觉。解决养成习惯配置告一段落后立刻执行write memory并在提交前用show running-config核对关键段落。批量改动时我会在改动前先备份一份旧配置改动后保存并记录改动时间。有一次我在排障时改了AP组名称忘了保存结果AC在晚间重启所有AP都回到未授权状态第二天一早上线问题直接惊动项目组。从那以后我把保存配置当成和敲命令一样必要的操作。5.4 漫游失败或掉线AP组和AC集群没配对现象客户端在办公区走动时从一台AP切到另一台AP后业务断掉或需要重新认证。在AC上看漫游日志发现客户端走了L3漫游但新AP和旧AP分属不同AC管理导致会话无法交接。原因Aruba支持集群内AC间漫游但前提是所有AC已被配置成同一个集群AP也都在同一移动域内。如果两个AP被分到了不同的AP组、而这两个组又没有关联同一个移动域客户端漫游时就会触发重新认证。还有一种情况是WLAN配置里开启了essid隐藏或加密方式不一致漫游时客户端无法识别到这是同一网络。解决检查show mobility-domain输出确保所有AC在同一个移动域。如果不在需要在AC上执行mobility-domain命令把成员AC拉进去。同时检查AP组的Virtual AP配置确保漫游区域内的SSID属性完全一致包括加密方式、密码、VLAN。VLAN不一致会造成漫游后IP地址冲突或网关变化这是漫游掉线的核心原因一定要先确认。5.5 升级固件后AP离线版本不匹配的应对现象AC固件升级成功后原本在线的AP批量下线状态反复在Up和Down之间切换日志显示固件版本不匹配或AP重启超时。原因AC升级后AP侧固件版本需要同步。如果AP数量多且带宽有限AP会逐个向AC请求新固件并重启这个过程自然会带来短暂离线。但批量离线不恢复通常是AC的AP镜像文件不完整或版本跨度太大AP加载后校验失败陷入反复重启循环。解决升级前先备份AC当前固件镜像并确认AP支持的目标版本。升级过程不要断电完成后手动检查show ap image确认AP镜像版本。对于离线AP最好的办法是恢复AP出厂状态让它重新进行DHCP和发现流程通过AC的TFTP自动获取固件。如果AP始终起不来可以用串口连接AP查看启动日志确认是TFTP下载失败还是校验失败。这条路走通后以后升级固件我就会提前做测试先在实验室升级一台AP验证稳定再大面积升级绝不拿生产环境当试验品。6. 用一条命令验证AC-AP链路健康度并把无线调优习惯固化下来验证AC和AP之间的链路很多人的第一反应是Ping管理地址但Ping通只代表IP通不代表CAPWAP隧道健康。我常用的一条命令是show ap database detail ap-name AP名它能一次性输出AP的隧道状态、信号质量、客户端数量、最近重启原因。如果隧道状态显示Up但信号质量低于90%就说明AP与AC之间的网络存在丢包光看IP连通性发现不了。# 查看单个AP的详细健康信息 (Aruba-AC) # show ap database detail ap-name AP-TEST # 输出中重点看 Tunnel Status、Signal/Noise、Clients、Last Reboot Reason # 查看AC到AP的控制隧道延迟确认链路质量 (Aruba-AC) # show ap debug sys-state ap-name AP-TEST第一行命令适合每天巡检时扫一遍第二行适合在做信道调优前确认隧道延迟。如果Last Reboot Reason出现Lost connection with controller说明AP曾经掉过线结合Signal值能判断是网络抖动还是AP位置问题。把这个命令的巡检结果存成文档几次之后就能画出你无线网的弱覆盖地图。最后我一般把无线调优的习惯也固化下来每周选一天做一次信道扫描统一5G信道为36、44、153三个非重叠信道AP功率开到自动但限制最大EIRP不超过设备标称5G优先2.4G只保留兼容老设备用的那个SSID。这样做完整个无线网的漫游和速度会有肉眼可见的改善。有一次客户投诉视频会议卡顿排查一圈发现是2.4G频段上藏着八个AP同信道用show ap radio扫了一遍后把信道规划改掉问题当场消失。从那以后我再也不迷信默认配置能用就行该调的参数一定要调。希望这些思路对你也有帮助。本文还有配套的精品资源点击获取