1. 为什么我推荐你用Web界面来配旁挂AC如果你刚接触华为的WLAN或者对命令行那一大堆vlan batch、port trunk allow-pass的命令感到头疼那我强烈建议你从AC的Web管理界面开始。我刚开始学的时候也是抱着命令行“高大上”的想法结果一个参数敲错排查半天效率极低。后来发现华为ENSP模拟器里AC的Web界面简直就是为咱们这种想快速看到成果、理解原理的初学者和运维工程师量身定做的。咱们今天要聊的场景非常典型一个中小型企业需要部署无线网络员工用一套Wi-Fi比如叫staff-wifi访客用另一套比如叫guest-wifi而且为了安全和管理的方便这两类用户的网络流量要完全隔离开。这种需求用专业术语说就是“多业务SSID”和“VLAN隔离”。传统的组网方式AC无线控制器可以直连也可以旁挂。旁挂式组网简单理解就是AC像是一个“军师”不直接处在数据转发的必经之路上而是站在旁边连接在核心或汇聚交换机上专门管理所有的AP无线接入点。这种方式的优点是网络架构清晰对原有有线网络改动小AC故障不影响基本的数据转发在实际项目中用得非常多。那么在ENSP里模拟这个环境用Web界面来配置最大的好处就是直观。你不需要去死记硬背那些创建VLANIF接口、配置DHCP地址池的命令行语法。所有的网络拓扑关系、VLAN划分、SSID设置都能在图形化的页面里点点鼠标就完成。配置对不对一眼就能从拓扑图上看出个大概。这对于建立网络结构的整体认知有巨大的帮助。当然我不是说命令行不重要命令行在批量部署和复杂策略上有优势但对于学习和快速验证方案Web界面无疑是更友好的起点。接下来我就带你一步步走通这个流程你会发现原来配置一个企业级多业务WLAN可以这么简单明了。2. 实验环境搭建你的虚拟网络“沙盘”在开始配置之前我们得先把“舞台”搭好。在ENSP里搭建实验环境就像玩一个高度仿真的网络沙盘游戏。这里我会给出一个比基础教程更详细、更贴近真实情况的规划帮你避开一些我当初踩过的坑。首先这是我们的网络拓扑图你可以在脑海里或纸上画出来一台AC比如AC6605这是我们的核心管理设备。一台汇聚交换机比如S5700它连接着AC、DHCP服务器和未来的AP。一台独立的DHCP服务器可以用一台云设备模拟或者用另一台交换机开启DHCP服务功能专门给员工和访客终端分配IP地址。至少一台AP比如AP6050DN通过交换机连接到网络。若干台STA终端设备如手机、笔记本用于连接测试。关键点在于接口和VLAN的规划这是整个网络的“交通规则”管理VLANVLAN 10这是AC和AP之间通信的专属通道。AP要通过这个VLAN获取IP地址并找到AC进行注册。我们规划网段为192.168.10.0/24。AC的VLANIF 10接口IP设为192.168.10.1作为AP的网关和DHCP服务器在这个例子里我们让AC兼任AP的DHCP服务器简化配置。业务VLAN这是员工和访客数据流量的通道必须隔离。员工业务VLANVLAN 101网段192.168.101.0/24网关192.168.101.1由那台独立的DHCP服务器负责分配地址。访客业务VLANVLAN 102网段192.168.102.0/24网关192.168.102.1同样由独立DHCP服务器负责。AC的管理地址VLAN 110这是我们电脑浏览器访问AC Web界面的IP地址。我们单独划一个VLAN 110网段192.168.110.0/24把AC的某个接口比如G0/0/2划入这个VLAN并给VLANIF 110配置IP192.168.110.100。我们的电脑也配置一个同网段的IP如192.168.110.2就能登录了。连线与接口配置思路AC的G0/0/1口连接汇聚交换机的某个口如E0/0/1配置为Trunk口允许所有VLAN10 101 102 110通过。这是AC与网络交互的主干道。AC的G0/0/2口连接你的模拟“管理电脑”配置为Access口属于VLAN 110。这样你才能登Web界面。汇聚交换机连接AP的口假设AP接在E0/0/3配置为Trunk口并且要设置PVID为VLAN 10。这一点非常关键因为AP在初始状态没有打VLAN标签的能力它发出的探索AC的报文是Untagged的。交换机端口设置PVID为10后就会给这些Untagged报文打上VLAN 10的标签让它们能顺利进入管理VLAN被AC接收到。汇聚交换机连接DHCP服务器的口配置为Trunk允许VLAN 101和102通过。把上面这些设备在ENSP里拖出来按规划连线并配置好基础接口和VLAN你的网络沙盘就准备好了。确保在命令行里AC、交换机、DHCP服务器之间能互相ping通管理地址这是后续一切Web配置的基础。3. 首次登录与基础设定给AC“上户口”环境通了现在我们打开浏览器输入https://192.168.110.100就是你刚才给AC VLANIF 110配的IP。第一次登录系统会强制要求你修改默认密码默认用户名admin密码Admin123。这个密码要记好复杂度尽量高一些。登录成功后你会看到一个非常清晰的仪表盘。先别急着配置WLAN我们需要完成一些基础的“户口登记”工作这能让后续配置事半功倍。第一步配置AC的国家码和时钟。在“系统”或“配置”菜单里找到“系统管理”或类似选项。把国家码设置为“中国”。这个设置会影响AP的射频信道、发射功率等合规参数必须设对。同时检查一下系统时间是否正确因为一些证书和日志功能依赖准确时间。第二步也是至关重要的一步配置AC的源接口。这个“源接口”就是AC用来和AP通信的IP地址所在的接口。回想一下我们的规划AC是通过VLANIF 10IP:192.168.10.1来管理AP的。所以我们需要在Web界面上找到“AC配置”或“系统配置”下的“源接口”设置将其指定为VLANIF 10。你可以把它理解为AC对外发布“我是谁”的名片AP必须能访问到这个地址才能找到并注册到AC。很多新手AP上不了线问题就出在这里没设对或者底层网络没通。第三步为AP创建地址池。虽然我们在规划里让AC做AP的DHCP服务器但还需要在AC上明确创建这个地址池。在“IP服务”或“DHCP”菜单下找到“地址池”配置。新建一个地址池名字可以叫AP-Pool关联的接口就是VLANIF 10地址范围就是192.168.10.2到192.168.10.254网关填192.168.10.1。这样AP接入网络后就能自动从这个池子里拿到一个属于VLAN 10的IP地址从而具备了和AC通信的能力。完成这三步相当于给AC办好了身份证设好了办公室地址并且准备好了给下属AP的工牌IP地址。基础打牢后面就是顺理成章的事情了。4. 创建业务构件设计你的Wi-Fi“服务套餐”现在进入核心环节——设计Wi-Fi服务。在华为AC的Web界面里配置WLAN业务有一种“搭积木”的模块化思想。我们需要创建几个关键的“模板”然后把它们组合起来。这种方式逻辑清晰也便于后期批量修改。首先创建VAP模板也叫WLAN-ESS接口或虚拟AP模板。这是最关键的一个模板它定义了射频口上的虚拟接入点。我们可以创建两个一个给员工用名字叫VAP-Staff。在它的配置里最关键的是绑定业务VLAN这里我们选择VLAN 101。这意味着所有连接到这个虚拟AP上的终端其数据报文都会被标记上VLAN 101的标签。另一个给访客用名字叫VAP-Guest绑定业务VLAN为VLAN 102。其次创建SSID模板。这个就是终端用户搜到的Wi-Fi名字和认证方式。创建SSID-StaffSSID名称就设为staff-wifi。安全策略我建议选择WPA2/WPA3-PSK混合模式并设置一个复杂的共享密钥。对于企业内部员工网络这样兼顾了安全性和便利性。创建SSID-GuestSSID名称设为guest-wifi。访客网络的安全可以稍宽松但绝不能没有。可以选择WPA2-PSK设置一个相对简单、定期更换的密码。或者如果你想体验更高级的功能可以开启Portal认证让访客通过网页认证方式上网这样更便于管理。然后创建安全模板和认证模板如果需要。对于PSK认证安全模板通常选择WPA2或WPA3并在其中配置密码。这些模板会与上面的SSID模板关联。最后进行“套餐”组合。在WLAN业务配置的最终环节你会看到一个类似“绑定”或“应用”的界面。你需要将SSID-Staff模板和VAP-Staff模板绑定在一起。这样staff-wifi这个信号就具备了将用户数据引入VLAN 101的能力。将SSID-Guest模板和VAP-Guest模板绑定在一起。同理guest-wifi的数据会进入VLAN 102。这种模块化的设计其优势在于灵活性。比如后期你想给员工网络升级加密方式到WPA3只需要修改SSID-Staff模板里绑定的安全模板即可所有发射staff-wifi的AP都会自动更新无需逐个AP修改。5. AP上线与绑定让“信号塔”开始工作模板都准备好了现在需要让真实的AP设备上线并加载这些配置。在Web界面的“AP管理”或“无线配置”部分你可以看到AP列表。AP上线的过程通常是自动的。只要你的网络底层VLAN、Trunk、PVID配置正确AP通电连接到交换机后它会通过DHCP拿到VLAN 10的地址然后广播发现AC。AC收到后发现这是一个未管理的AP会将其显示在“未认证AP”或“离线AP”列表中。这里你能看到AP的MAC地址和型号。接下来你需要“接纳”这个AP并把它加入一个AP组。AP组是一个管理单元可以把相同配置的AP归类。我们创建一个名为Office-AP-Group的AP组。然后将刚才发现的AP通过选择并点击“添加”或“导入”加入到这个组中。在加入时系统可能会提示你选择AP的认证方式对于模拟环境选择“不认证”或“SN认证”即可。更关键的一步是为AP组绑定WLAN业务。在AP组的配置详情页面找到“绑定VAP模板”或“应用WLAN配置”的选项。在这里你需要将之前创建好的那两个“套餐”即绑定了SSID的VAP模板应用到Office-AP-Group这个组。通常你需要指定将这个业务绑定到AP的哪个射频口上例如2.4G的radio 0和5G的radio 1。你可以选择在两个射频口上都绑定这样无论是只支持2.4G的老设备还是支持5G的新设备都能搜到这两个Wi-Fi信号。完成绑定并提交配置后AC会自动将完整的配置下发到该AP组内的所有AP。稍等片刻你就能在AP列表里看到该AP的状态从“离线”变为“在线”并且“已配置”或“正常”。此时用你的手机或电脑的无线网卡应该就能搜索到staff-wifi和guest-wifi这两个信号了。6. 业务验证与排错你的Wi-Fi真的通了吗看到Wi-Fi信号只是成功了第一步。我们必须验证业务是否真的按我们的设计在运行员工能否上网并处于正确的VLAN访客网络是否隔离这才是实战的终点。验证步骤一终端获取IP地址。让一台终端STA1连接staff-wifi并输入密码。成功连接后查看其获取的IP地址。正确的结果应该是192.168.101.0/24网段内的一个地址网关是192.168.101.1。这证明了终端的数据流被打上了VLAN 101的标签并且由独立的DHCP服务器我们规划的那台响应了请求。让另一台终端STA2连接guest-wifi。同样它获取的IP地址应该是192.168.102.0/24网段网关是192.168.102.1。验证步骤二测试网络连通性与隔离。让STA1去ping它的网关192.168.101.1应该能通。再让它去ping STA2的地址192.168.102.x应该ping不通。这就是VLAN隔离在起作用员工和访客的网络在二层是断开的。可以进一步让STA1和STA2都去ping一个公网地址如果ENSP拓扑里接了出口设备或者ping对方的网关来验证它们都能独立访问上层网络但彼此不能直接通信。如果验证失败别慌我们可以用Web界面快速排错检查AP状态回到AP管理列表确认AP是在线状态且没有告警。如果AP离线回头检查AC源接口、管理VLAN的DHCP、交换机端口的PVID设置。检查终端关联状态在AC的Web界面通常有“用户管理”或“在线用户”列表。在这里你应该能看到连接到staff-wifi和guest-wifi的终端MAC地址、关联的AP、获取的IP地址以及所属的VLAN。如果这里能看到终端且VLAN信息正确那问题可能出在业务VLAN的上行路由或DHCP服务器上。检查业务配置绑定再次确认VAP模板绑定的业务VLAN是否正确以及是否成功应用到了目标AP组和正确的射频口上。利用诊断工具一些高级的AC Web界面会提供“报文捕获”或“调试”功能。你可以指定AP和射频口捕获空口报文看看信标帧里是否广播了正确的SSID或者查看关联过程是否成功。通过这一系列的验证你不仅能确认配置成功更能深刻理解数据从终端发出经过AP打上VLAN标签通过Trunk链路最终被不同网关处理的完整流程。这才是通过ENSP模拟和Web界面配置带来的最大价值——在零风险的虚拟环境里摸清整个网络的脉搏。当你亲手完成这一切看到两个完全隔离的Wi-Fi网络顺畅运行时那种成就感可比死记硬背命令强多了。以后遇到更复杂的场景比如增加一个IoT设备专用网络你只需要依葫芦画瓢再创建一个业务VLAN和一套SSID/VAP模板即可思路会非常清晰。