AC与AP组网有多种组网
1. 二层/三层组网：AC与AP网段相同为二层组网（难度低），AC与AP网段不同则为三层组网。
2. 直连/旁挂组网：AC只与交换机相连为旁挂组网（不改变组网），AC有上联、下联设备为直连组网
3. 业务数据由核心交换机直接处理为本地转发（AC只处理管理数据），业务数据全部封装给AC处理为集中转发（AC处理管理+业务数据，数据更安全）。
请根据实际情况选择吧~

1.[准备] AP上线-MAC认证

无线MAC地址验证接入控制功能介绍

在无线网络中，AC上绑定AP的mac地址，AP上线时AC会检查AP的MAC地址，如果AP的mac地址没有在AC上绑定，那么AP将无法正常上线。

⑴适用场景说明

限制在AC上绑定过的mac的AP才能与AC建立隧道

优点：增加无线的安全性，可以控制AP的接入数目

缺点：需要增加额外配置

⑵组网需求

通过基于AP的MAC认证进行AP接入认证控制

⑶组网拓扑

⑷配置要点

1、登记还未上线AP的设备mac地址（在设备背面的贴纸上，而非物理接口mac地址）

2、配置只有绑定MAC地址的AP才能关联AC

⑸配置步骤

1、配置AC、AP和交换机的基础配置，让AP和AC的capwap隧道可以正常建立，配置参见“瘦AP配置”。

2、记录允许建立capwap隧道的AP的设备MAC地址。（在设备背面的贴纸上，而非物理接口mac地址）

记录AP的设备MAC地址时可以先让所有AP上线，通过show version all可以看到AP的设备mac地址，再让所有AP下线（比如no interfere loopback 0）。

例：

Ruijie#show version all

AP(1414.4b74.fe58)'s version:

Product ID: AP530-I

System uptime : 7:20:14:35

Hardware version : 1.50

Software version : RGOS 10.4(1b19)p2, Release(176775)

Serial number : 1234942570010

MAC address: 1414.4b74.fe58 ------>设备MAC地址

Ruijie#show version all | in address ------>只显示mac地址

MAC address: 1414.4b74.fe58

3、开启AP设备合规性检查

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#ac-controller

Ruijie(config-ac)#bind-ap-mac ------>开启ap mac绑定检测功能

Bind AP MAC function is on. ------>成功开启后的提示

Ruijie(config)#ap-config JXL-01 ------>ap-config的名字JXL-01，可以根据需求设置，不建议使用中文

You are going to config AP(JXL-01), which is not on line now. ------>正常提示

Ruijie(config-ap)#ap-mac 1414.4b13.c248 ------>绑定AP的MAC地址，命令只对离线AP生效，在线AP命令无法配置。11.X版本，ap上线后，下面会自动生成ap-mac ap二层mac的命令。

Ruijie(config-ap)#end

Ruijie#write ------>保存配置

注意：如AP在线，该配置报错

Ruijie(config)#ap-config b8fd.3200.3aa3

Ruijie(config-ap)#ap-mac b8fd.3200.3aa3

This cli only support offline ap.------>报错：该命令仅支持下线ap，此时可以让AP下线，capwap断开后再设置

4、接入AP，让AP自动获取地址上线。

⑹配置验证

1、在AC上show capwap status只有绑定MAC的AP能建立隧道，不绑定的MAC的AP无法建立隧道

Ruijie#show capwap status

CAPWAP tunnel state, 1 peers, 1 is run:

Index Peer IP Port State Mac Address

1 192.168.10.1 10000 Run 1414.4b13.c248

2.[准备] AP上线-密码认证

无线瘦AP接入管理密码验证配置功能介绍

在无线网络中，通过设置AP的密码认证对接入AP进行过滤，这样就实现了对无线AP与AC建立隧道的无线控制。

⑴适用场景说明

只想被指定的AP与AC建立隧道

优点：增加无线的安全性，可以控制AP的接入数目

缺点：需要增加额外配置

⑵组网需求

通过基于AP的密码认证进行AP接入认证控制

⑶组网拓扑

⑷配置要点

1、AP和AC正常建立隧道

2、开启密码检查

注意：命令只对在线AP生效

⑸配置步骤

1、配置AC、AP和交换机的基础配置，让AP和AC的capwap隧道可以正常建立，配置参见“瘦AP配置”。

2、确保 ap 已经和 ac 建立隧道，然后在AC上对已经在线的AP设备配置密码

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#ap-config JXL-01 ------>ap-config的名字JXL-01，可以根据需求设置，不建议使用中文

You are going to config AP(JXL-01), which is on line now.------>正常提示，表示AP在线

Ruijie(config-ap)#ap-auth password 123456 ------>配置 ap 的接入密码为 123456

Ruijie(config-ap)#exit

3、开启AP设备密码检查

Ruijie(config)#ac-controller

Ruijie(config-ac)#ap-auth password enable ------>开启AP设备密码检查

Ruijie(config-aC)#end

Ruijie#write ------>保存配置

⑹配置验证

1、在AC上show capwap status只有配置密码认证的AP能建立隧道，不配置密码认证的AP无法建立隧道

Ruijie#show capwap status

CAPWAP tunnel state, 1 peers, 1 is run:

Index Peer IP Port State Mac Address

1 192.168.10.2 10000 Run b8fd.3200.3aa3

2、新接入的AP，无法建立隧道，即使在AC上离线预配置，并配置了ap-auth password也无法建立隧道，因为AC的配置没有下发到AP上，AP无法通过密码验证。

AC上会一直弹出该日志：

*Sep 17 16:25:07: %CAPWAP-3-DOWN: The tunnel is down for DTLS peer 192.168.10.3 : 10000 disconnect.

*Sep 17 16:25:07: %CAPWAP-7-TUNNEL: Tunnel deleted : source ip is 1.1.1.1 , dest ip is 192.168.10.3.

3.[准备] AP上线-序列号认证

无线瘦AP接入管理序列号验证配置功能介绍

在无线网络中，通过基于AP的序列号认证可以对接入AP进行过滤，这样就实现了对无线AP与AC建立隧道的无线控制。

⑴适用场景说明

只想被指定的AP与AC建立隧道

优点：增加无线的安全性，可以控制AP的接入数目

缺点：需要增加额外配置

⑵组网需求

通过基于AP的序列号认证进行AP接入认证控制

⑶组网拓扑

⑷配置要点

1、记录AP的设备序列号

注意：效果只对在线AP生效

⑸配置步骤

1、配置AC、AP和交换机的基础配置，让AP和AC的capwap隧道可以正常建立，配置参见“瘦AP配置”。

2、记录允许建立capwap隧道的AP的设备序列号。（在设备背面的贴纸上）

记录AP的设备序列号时可以通过show version all可以看到所有AP的设备序列号。

例：

Ruijie#show version all

AP(1414.4b74.fe58)'s version:

Product ID: AP530-I

System uptime : 7:20:14:35

Hardware version : 1.50

Software version : RGOS 10.4(1b19)p2, Release(176775)

Serial number : 1234942570010 ------>设备序列号

MAC address: 1414.4b74.fe58

3、配置AP设备序列号

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#ap-config 1414.4b13.c248 ------>ap-config的名字1414.4b13.c248，默认是设备的mac地址。可以根据需求设置，不建议使用中文

You are going to config AP(1414.4b13.c248), which is on line now. ------>正常提示，表示该AP正常在线

Ruijie(config-ap)#ap-auth serial 9059FM6070520 ------>配置AP的序列号

Ruijie(config-ap)#exit

4、开启AP设备序列号验证功能

Ruijie(config)#ac-controller

Ruijie(config-ac)#ap-auth serial enable ------>开启AP设备序列号检查

Ruijie(config-ac)#end

Ruijie#write ------>保存配置

⑹配置验证

1、在AC上show capwap status只有绑定序列号的AP能建立隧道，不绑定序列号的AP无法建立隧道

WS5302#show capwap status

CAPWAP tunnel state, 1 peers, 1 is run:

Index Peer IP Port State Mac Address

1 192.168.10.1 10000 Run 1414.4b13.c248

4.AC直连AP部署

无线AC直连AP部署配置

1、适用场景说明

当无线网络中的AP数量众多，而且需要统一管理和配置。

优点：通过AC（AP控制器）统一配置和管理AP。包括配置下发、升级、重启等

缺点：需要增加网络设备AC，增加有线网络的配置，不同厂商设备不兼容

2、配置案例

组网要求

1)AP直连AC或AP连接傻瓜交换机再连接AC

2)该方案一般用在测试环境

⑴拓扑图

AC loopback 0地址 1.1.1.1

无线用户vlan：vlan 1 172.16.1.0 255.255.255.0 网关地址 172.16.1.1

AP vlan：vlan 2 172.16.2.0 255.255.255.0 网关地址 172.16.2.1

⑵配置要点

1、确认AC无线交换机和AP是同一个软件版本，使用Ruijie>show verison 查看

2、确认AP是工作在廋模式下，使用Ruijie>show ap-mode 验证，显示fit是廋模式。

如果显示fat模式那么需要以下命令进行更改：

Ruijie>ap-mode fit ------>修改成廋模式，11.x版本AP模式切换后设备会自动重启生效，设备出厂默认即为瘦模式。

⑶配置步骤

1、VLAN配置，创建用户vlan，ap vlan和互联vlan

Ruijie>enable ------>进入特权模式

Ruijie#configure terminal ------>进入全局配置模式

Ruijie(config)#vlan 1 ------>用户的vlan

Ruijie(config-vlan)#exit

Ruijie(config)#vlan 2------>AP的vlan

Ruijie(config-vlan)#exit

2、配置AP 、无线用户网关和loopback 0地址

Ruijie(config)#interface vlan 1 ------>用户的SVI接口

Ruijie(config-int-vlan)#ip address 172.16.1.1 255.255.255.0

Ruijie(config-int-vlan)#exit

Ruijie(config)#interface vlan 2 ------>AP的网关

Ruijie(config-int-vlan)#ip address172.16.2.1 255.255.255.0

Ruijie(config-int-vlan)#exit

Ruijie(config)#interface loopback 0

Ruijie(config-int-loopback)#ip address 1.1.1.1 255.255.255.0 ------->默认是loopback 0，用于ap需找ac的地址，DHCP中的option138字段

Ruijie(config-int-loopback)#exit

3、配置无线信号

Wlan-config配置，创建SSID

Ruijie(config)#wlan-config 1 Ruijie-test ------->配置wlan-config，id是1，SSID（无线信号）是Ruijie-test，11.x默认允许广播SSID。

Ruijie(config-wlan)#exit

ap-group配置，关联wlan-config和用户vlan

Ruijie(config)#ap-group default

Ruijie(config-ap-group)#interface-mapping 1 1 ------->把wlan-config 1和vlan 1进行关联

Ruijie(config-ap-group)#exit

注意：默认所有AP都关联到ap-group default组，如果要调用新定义的ap-group，那么需要在相应的ap-config中配置ap-group xx。 第一次部署时每个AP的ap-config名称默认是AP的MAC地址（背面的贴纸mac，非以太网接口mac）。

4、配置AC连接AP的接口所属vlan

Ruijie(config-int-loopback)#interface GigabitEthernet 0/1

Ruijie(
config-int-GigabitEthernet 0/1)#switchport access vlan 2 ------->与AP相连的接口，把接口划到AP的vlan中

Ruijie(config-int-GigabitEthernet 0/1)#exit

5、配置AP的DCHP

Ruijie(config)#service dhcp ------->开启DHCP服务

Ruijie(config)#ip dhcp pool ap_ruijie ------->创建DHCP地址池，名称是ap_ruijie

Ruijie(config-dhcp)#option 138 ip 1.1.1.1 ------->配置option字段，指定AC的地址，即AC的loopback 0地址

Ruijie(config-dhcp)#network 172.16.2.0 255.255.255.0 ------->分配给ap的地址

Ruijie(config-dhcp)#default-route 172.16.2.1 ------->分配给ap的网关地址

Ruijie(config-dhcp)#exit

注意：AP的DHCP中的option字段和网段、网关要配置正确，否则会出现AP获取不到DHCP信息导致无法建立隧道

6、配置无线用户的DHCP

Ruijie(config)#ip dhcp pool user_ruijie ------->配置DHCP地址池，名称是user_ruijie

Ruijie(config-dhcp)#network 172.16.1.0 255.255.255.0 ------->分配给无线用户的地址

Ruijie(config-dhcp)#default-route 172.16.1.1 ------->分给无线用户的网关

Ruijie(config-dhcp)#dns-server 8.8.8.8 ------->分配给无线用户的dns

Ruijie(config-dhcp)#exit

7、保存配置

Ruijie(config)#exit------>退出到特权模式

Ruijie#write------>确认配置正确，保存配置

注意：AC上需根据网络环境配置上跟上级互联的管理地址和默认路由等信息，上级网络需要做相关配置，保证无线用户网段外网可通。

⑷验证命令

1)使用无线客户端连接无线.

2)在无线交换机上使用以下命令查看AP的配置：

Ruijie#show ap-config summary

========= show ap status =========

Radio: E = enabled, D = disabled, N = Not exist

Current Sta number

Channel: * = Global

Power Level = Percent

Online AP number: 1

Offline AP number: 0

AP NameIP AddressMac AddressRadio 1Radio 2Up/Off time State

---------------------------------------- --------------- -------------- ------------------- ------------------- ------------- -----

1414.4b13.c248 172.16.2.2 1414.4b13.c248 E 1 6* 100 E 0 153* 100 0:06:03:00 Run

3)查看关联到无线的无线客户端

Ruijie#show ac-config client by-ap-name

========= show sta status =========

AP: ap name/radio id

Status: Speed/Power Save/Work Mode, E = enable power save, D = disable power save

Total Sta Num : 1

STA MAC IPV4 Address APWlan Vlan StatusAsso Auth Net Auth Up time

-------------- --------------- ---------------------------------------- ---- ---- -------------- --------- --------- -------------

6809.27b0.169f 172.16.1.2 1414.4b13.c248/112 30 0.0M/D/bn WPA2_PSK0:00:01:01

注意：早期AP版本与部分网卡存在兼容性问题，升级到最新稳定版本

5.AC旁挂二层_本地转发

1 业务场景

2 配置任务概览

3 适用的产品和版本

4 组网图

5 配置步骤

5.1 配置L2交换机

5.2 配置L3交换机

5.2.1 配置管理VLAN和业务VLAN

5.2.2 配置DHCP服务器

5.2.3 配置L3交换机与出口网关的互联地址

5.3 配置AC

5.3.1 配置AC的管理VLAN

5.3.2 配置AP接入信息

5.3.3 配置Wi-Fi基本信息

5.4 配置出口网关

6 验证配置结果

1 业务场景

企业已部署有出口网关、汇聚交换机（L3交换机）、接入交换机（L2交换机），通过将AC旁挂在L3交换机、AP接入L2交换机的方式，为员工提供无线上网服务。

2 配置任务概览

本案例配置任务如下：

(1) 配置L2交换机

(2) 配置L3交换机

a 配置管理VLAN和业务VLAN

b 配置DHCP服务器

c 配置L3交换机与出口网关的互联地址

(3) 配置AC

a 配置AC的管理VLAN

b 配置AP接入信息

c 配置Wi-Fi基本信息

(4) 配置出口网关

3 适用的产品和版本

表3-1 配置示例使用的产品和版本

4 组网图

图4-1 AC旁挂+二层组网+本地转发模式

(1) L3交换机与出口网关设备之间的IP网段为192.168.30.0/24，L3交换机的网关为192.168.30.254/24。

(2) DHCP服务器：

L3交换机作为AP的DHCP服务器，为AP分配IP地址。

L3交换机作为用户的DHCP服务器，为用户分配IP地址。

(3) AC管理：管理VLAN为VLAN 10，IP地址为192.168.10.3/24，旁挂在L3交换机上，AC上用于和AP建立CAPWAP隧道的源地址所属VLAN ID为10，AP和AC之间二层组网。

(4) AP管理：管理VLAN为VLAN 10，IP网段为192.168.10.0/24，网关为192.168.10.1。

(5) 用户管理：管理VLAN为VLAN 20，IP网段为192.168.20.0/24，网关为192.168.20.1。无线用户的业务数据转发模式为本地转发。无线网络名称为“staff”的Wi-Fi信号，Wi-Fi密码为“ruijie@123”。

5 配置步骤

说明

以下命令展示中的加粗斜体部分（VLAN ID、IP地址、无线网络名称和密码）为配置示例。实际使用相关命令时，请根据网络部署情况进行替换。

5.1 配置L2交换机

# 进入全局配置模式。

L2Switch>enable

L2Switch# config terminal

# 创建规划好的管理VLAN和业务VLAN。

L2Switch(config)# vlan 10

L2Switch(config-vlan)# vlan 20

L2Switch(config-vlan)# exit

# 进入连接AP的物理接口，修改接口的链路类型为trunk，指定接口的缺省VLAN为AP的管理VLAN。

L2Switch(config)# interface gigabitEthernet 0/1

L2Switch(config-if-GigabitEthernet 0/1)# switch mode trunk

L2Switch(config-if-GigabitEthernet 0/1)# switchport trunk native vlan 10

L2Switch(config-if-GigabitEthernet 0/1)# exit

# 进入连接L3交换机的物理接口，修改接口的链路类型为trunk。

L2Switch(config)# interface gigabitEthernet 0/24

L2Switch(config-if-GigabitEthernet 0/24)# switch mode trunk

L2Switch(config-if-GigabitEthernet 0/24)# end

# 保存交换机的配置。

L2Switch# write

5.2 配置L3交换机

5.2.1 配置管理VLAN和业务VLAN

# 进入全局配置模式。

L3Switch>enable

L3Switch# config terminal

# 创建规划好的管理VLAN和业务VLAN。

L3Switch(config)# vlan 10

L3Switch(config-vlan)# vlan 20

L3Switch(config-vlan)# exit

# 进入连接接入交换机的物理接口，修改接口的链路类型为trunk。

L3Switch(config)# interface gigabitEthernet 0/3

L3Switch(config-if-GigabitEthernet 0/3)# switch mode trunk

L3Switch(config-if-GigabitEthernet 0/3)# exit

# 进入连接AC的物理接口，修改接口的链路类型为trunk。

L3Switch(config)# interface gigabitEthernet 0/47

L3Switch(config-if-GigabitEthernet 0/47)# switch mode trunk

L3Switch(config-if-GigabitEthernet 0/47)# exit

5.2.2 配置DHCP服务器

# 创建VLAN 10虚拟接口，配置规划好的IP地址。

L3Switch(config)# interface vlan 10

L3Switch(config-if-VLAN 10)# ip address 192.168.10.1 255.255.255.0

L3Switch(config-if-VLAN 10)# exit

# 创建VLAN 20虚拟接口，配置规划好的IP地址。

L3Switch(config)# interface vlan 20

L3Switch(config-if-VLAN 20)# ip address 192.168.20.1 255.255.255.0

L3Switch(config-if-VLAN 20)# exit

# 打开DHCP服务功能。

L3Switch(config)# service dhcp

# 创建DHCP地址池“ap_pool”，为AP分配IP地址。DHCP地址池中的IP网段为192.168.10.0/24，网关为192.168.10.1，option 138为192.168.10.3。

L3Switch(config)# ip dhcp pool ap_pool

L3Switch(dhcp-config)# network 192.168.10.0 255.255.255.0

L3Switch(dhcp-config)# option 138 ip 192.168.10.3

L3Switch(dhcp-config)# default-router 192.168.10.1

L3Switch(dhcp-config)# exit

# 创建DHCP地址池“sta_pool”，为无线用户分配IP地址。DHCP地址池中的IP网段为192.168.20.0/24，用户上网时用到的DNS服务器地址为114.114.114.114，网关为192.168.20.1。

L3Switch(config)# ip dhcp pool sta_pool

L3Switch(dhcp-config)# network 192.168.20.0 255.255.255.0

L3Switch(dhcp-config)# dns-server 114.114.114.114

L3Switch(dhcp-config)# default-router 192.168.20.1

L3Switch(dhcp-config)# exit

5.2.3 配置L3交换机与出口网关的互联地址

# 进入连接网关的物理接口，配置规划好的IP地址。

L3Switch(config)# interface gigabitEthernet 0/48

L3Switch(config-if-GigabitEthernet 0/48)# ip address 192.168.30.1 255.255.255.0

L3Switch(config-if-GigabitEthernet 0/48)# exit

# 配置默认路由，下一跳（192.168.30.254）是互联的出口网关设备上的接口IP。

L3Switch(config)# ip route 0.0.0.0 0.0.0.0 192.168.30.254

L3Switch(config)# exit

# 保存交换机的配置。

L3Switch# write

5.3 配置AC

5.3.1 配置AC的管理VLAN

# 进入全局配置模式。

AC> enable

AC# config terminal

# 创建规划好的管理VLAN。

AC(config)# vlan 10

AC(config-vlan)# exit

# 创建VLAN 10虚拟接口，配置规划好的IP地址。

AC(config)# interface vlan 10

AC(config-if-VLAN 10)# ip address 192.168.10.3 255.255.255.0

AC(config-if-VLAN 10)# exit

# 进入连接L3交换机的物理接口，修改接口的链路类型为trunk。

AC(config)# interface GigabitEthernet 0/1

AC(config-if-GigabitEthernet 0/1)# switchport mode trunk

AC(config-if-GigabitEthernet 0/1)# exit

5.3.2 配置AP接入信息

# 配置与AP建立CAPWAP隧道的源地址为192.168.10.3。

AC(config)# ac-controller

AC(config-ac)# capwap ctrl-ip 192.168.10.3

AC(config-ac)# exit

# 配置默认路由，下一跳（192.168.10.1）是互联的L3交换机设备上的接口IP。

AC(config)# ip route 0.0.0.0 0.0.0.0 192.168.10.1

5.3.3 配置Wi-Fi基本信息

# 创建规划好的业务VLAN。

AC(config)# vlan 20

AC(config-vlan)# exit

# 配置Wi-Fi名称为staff，将转发模式配置为本地转发。

AC(config)# wlan-config 1 staff

AC(config-wlan)# tunnel local

AC(config-wlan)# exit

# 开启WPA/WPA2-PSK认证，并设置Wi-Fi密码为ruijie@123。

AC(config)# wlansec 1

AC(config-wlansec)# security wpa enable

AC(config-wlansec)# security wpa ciphers aes enable

AC(config-wlansec)# security wpa akm psk enable

AC(config-wlansec)# security rsn enable

AC(config-wlansec)# security rsn ciphers aes enable

AC(config-wlansec)# security rsn akm psk enable

AC(config-wlansec)# security wpa akm psk set-key ascii ruijie@123

AC(config-wlansec)# security rsn akm psk set-key ascii ruijie@123

AC(config-wlansec)# exit

# 在AP组下配置WLAN ID和VLAN ID的映射关系。

AC(config)# ap-group default

AC(config-group)# interface-mapping 1 20

AC(config-group)# end

# 保存配置。

AC# write

5.4 配置出口网关

# 进入全局配置模式。

Router> enable

Router# config terminal

# 进入连接L3交换机的物理接口，配置规划好的IP地址。

Router(config)# interface gigabitEthernet 0/0

Router(config-if-GigabitEthernet 0/0)# ip address 192.168.30.254 255.255.255.0

Router(config-if-GigabitEthernet 0/0)# exit

# 配置到内网的路由，下一跳为互联的对端设备上的接口IP地址。

Router(config)# ip route 192.168.10.0 255.255.255.0 192.168.30.1

Router(config)# ip route 192.168.20.0 255.255.255.0 192.168.30.1

Router(config)# exit

# 保存配置。

Router# write

6 验证配置结果

# 在AC上通过show ap-config summary命令查看AP的表项，其中State字段为“Run”。

AC# show ap-config summary

=========show ap status=========

Radio: Radio ID or Band:2.4G=1#,5G=2#

　　　 E=enabled,D=disabled,N=Not exist,V=Virtual AP

　　　 Current Sta number

　　　 Channel:*=Global

　　　 Power Level=Percent

Online AP number:1

Offline AP number:0

AP Name　　　　IP Address　 Mac Address　　Radio　　　　　Radio　　　　　　Up/Off time State

-------------- ------------ -------------- -------------- ---------------- ----------- ------

9c2b.a643.2f85 192.168.10.2 9c2b.a643.2f85 1 E　0　1* 100 2 E　1　149* 100 1:05:47:54　Run

# 无线用户可以搜索到Wi-Fi名称为“staff”的无线网络。

# 无线用户可以关联到无线网络中，获取到的IP地址为192.168.20.x/24。