锐捷瘦AP模式下无线网络限速配置全解析：从SSID到用户角色的精细化带宽管理

1. 项目背景与核心诉求：为什么要在瘦AP模式下做限速？

最近在帮一个朋友的公司调整无线网络，他们用的是锐捷的无线控制器加瘦AP的架构。网络刚部署时，用户不多，大家用着都挺快。但随着公司规模扩大，特别是市场部搞直播、设计部传大文件，问题就来了：一到下午，整个无线网就卡得不行，刷个网页都费劲。一查后台，好家伙，几个“大户”把带宽全占了。朋友问我，这瘦AP模式下，能不能像管理有线网络一样，给不同的用户或者不同的应用限个速？答案是肯定的，而且这几乎是中大型无线网络运维的必修课。

所谓“瘦AP模式”，指的是无线接入点（AP）本身只负责射频信号的收发和基础的加密，所有复杂的控制、管理、策略配置（包括我们今天要说的限速）都集中在上层的无线控制器（AC）上完成。这种架构的优势在于管理集中、策略统一下发。而“限速”在这里，绝不仅仅是简单粗暴地给每个用户一个固定的低速，它更是一种精细化的带宽管理策略。其核心诉求通常包括以下几点：

1. 保障基础体验：防止个别用户或应用（如P2P下载、大文件传输）耗尽空口资源，确保所有接入用户都能进行网页浏览、即时通讯等基础办公，避免“一人下载，全员卡顿”。
2. 区分服务等级：对不同部门、不同用户角色或不同SSID实施差异化的带宽策略。例如，访客SSID限速较低，内部员工SSID限速较高；高管或重要会议室可以享有更高的带宽保障。
3. 应对突发流量：在会议室培训、活动直播等场景，提前对相关AP或SSID进行临时性的限速策略调整，避免局部网络拥塞。
4. 满足合规与审计要求：某些行业对网络带宽使用有明确要求，限速策略的部署记录可以作为合规性证据。

所以，在锐捷的瘦AP架构下做限速，本质上是在无线控制器上，针对不同的“维度”（如AP、SSID、用户VLAN、甚至具体用户）配置带宽策略，然后由AC统一推送到下属的所有或指定瘦AP上执行。接下来，我们就深入聊聊具体怎么实现。

2. 限速策略的四个核心维度与选型逻辑

在锐捷无线控制器的配置体系里，限速不是一个单一的开关，而是一个可以多层级、多维度应用的策略集。理解这几个维度及其适用场景，是正确配置的前提。我通常将其归纳为四个主要层面，从上到下，控制粒度越来越细。

2.1 基于AP射频的限速：控制物理端口总流量

这是最粗粒度的限速方式。它的策略对象是AP的某个射频口（例如2.4G射频0或5G射频1）。配置后，该射频模块下所有用户、所有SSID的流量总和不能超过设定值。

什么时候用？

• 场景一：保障关键AP的稳定性。比如覆盖总经理办公室的单个AP，虽然用户不多，但需要绝对稳定。可以对其5G射频设置一个合理的总带宽上限（如100Mbps），防止该AP因意外流量过载。
• 场景二：应对特殊环境干扰。某个AP部署在开放办公区边缘，信号覆盖范围可能意外延伸到外部，引来非授权用户大量下载。对其射频进行总限速，可以作为一道安全屏障。
• 场景三：简易部署。在网络建设初期，没有复杂的分组需求，只希望快速约束每个AP的带宽消耗，避免单个AP拖累整网。

操作逻辑与注意事项：在AC的Web界面上，通常在AP配置或射频管理部分，找到具体AP的射频设置，会有“带宽限制”或“速率限制”选项。这里配置的是出方向（从AP到终端）和入方向（从终端到AP）的总带宽上限。

注意：这个限速是物理射频口的硬性顶棚。如果设置过低，即使该射频下只有一个用户，也无法突破此限。因此，设置值需要略大于该射频下所有用户正常业务的理论峰值需求之和，并留有一定余量。

2.2 基于SSID（服务集）的限速：实现服务差异化

这是最常用、也最直观的限速维度。每个无线网络（SSID）都可以独立配置带宽策略。所有连接到此SSID的用户，共享这个策略池。

什么时候用？

• 区分内外网：Staff内部SSID限速100Mbps，Guest访客SSID限速20Mbps。
• 区分业务：Office办公SSID保障带宽，IoT物联网SSID进行严格限速。
• 临时活动：为某个会议临时开启的MeetingSSID，设置单独的限速策略。

配置要点：在无线服务或SSID配置页面，为每个SSID配置“带宽限制”。这里的限速模式通常有两种：

1. 共享模式：所有连接该SSID的用户共享这个总带宽池。例如，SSID总限速100Mbps，有10个用户在线，他们共同竞争这100Mbps。这是默认且最常用的模式。
2. 每用户模式：为每个连接该SSID的用户分配固定的上下行带宽。例如，设置每用户下行50Mbps，上行10Mbps。无论在线用户多少，每个用户都能保证不超过这个速率，但实际能获得的带宽也受AP射频总带宽和空口质量制约。

实操心得：对于访客网络，强烈建议使用“每用户模式”的限速。这能有效防止个别访客用下载工具占满整个访客SSID的带宽，影响其他访客体验。对于内部办公SSID，如果用户行为相对可控，使用“共享模式”并设置一个较高的总带宽上限，效率更高。

2.3 基于用户VLAN的限速：对接有线网络策略

在瘦AP架构中，用户流量通常会被AC通过隧道封装后，转发到核心交换机，并根据策略分配不同的VLAN。因此，在AC上基于用户所属的VLAN进行限速，可以与有线网络的QoS策略完美对接。

什么时候用？

• 统一有线无线策略：公司规定VLAN 10（研发部）的带宽优先级最高，VLAN 20（行政部）次之。那么无论研发部的用户是通过有线接入还是无线接入，只要其流量被打上VLAN 10的标签，就可以在AC上应用同样的带宽保障或限制策略。
• 精细化部门管理：已经通过DHCP或认证系统为不同部门划分了不同VLAN，直接在AC上针对这些VLAN ID配置限速，管理起来非常清晰。

配置路径：这通常不在基础的SSID配置里，而需要在安全策略、QoS或带宽管理等高级功能模块中，创建基于VLAN的带宽策略，然后将其绑定到对应的SSID或者AP组上。这种方式比SSID限速更底层，也更灵活。

2.4 基于用户角色的限速：最精细的个体控制

这是控制粒度最细的方式，需要与认证系统（如本地用户数据库、Radius服务器等）联动。在用户认证时，Radius服务器不仅返回认证成功的消息，还可以通过属性（如RADIUS的Filter-Id或Class属性）给用户下发一个“角色”。AC接收到这个角色后，再调用预先为该角色配置的带宽策略。

什么时候用？

• 同一SSID，不同权限：所有员工都连接Company这个SSID，但普通员工限速50Mbps，部门经理限速100Mbps，总监不限速。
• 临时权限提升：某个员工因特殊任务需要临时加大带宽，管理员无需修改其VLAN或SSID，只需在认证服务器上修改其账号属性，动态下发新的带宽角色即可。
• 对接复杂认证体系：公司已有成熟的AD域或Radius服务器，希望将有线网络的用户权限体系平移到无线网络。

实现流程：

1. 在AC上预先定义多个“用户角色”或“带宽策略”，例如Role-Employee、Role-Manager。
2. 为每个角色配置具体的限速参数（上下行速率、优先级等）。
3. 在认证服务器（如Radius）上，为用户账号配置相应的属性，使其认证时能将角色信息传递给AC。
4. AC根据接收到的角色，应用对应的带宽策略。

踩坑记录：基于角色的限速功能强大，但依赖认证服务器的正确配置。最常见的坑是Radius服务器下发的属性值，与AC上定义的角色名称不匹配（注意大小写、空格）。务必在AC上开启详细的RADIUS调试日志，确认认证过程中下发的属性值能被AC正确识别和匹配。

3. 实战配置：从Web界面到命令行（CLI）的完整过程

理论清楚了，我们上手配置。锐捷设备通常提供Web界面和命令行两种方式。Web界面直观，适合大多数场景；命令行（CLI）效率高，适合批量操作和复杂策略。这里我以最常用的基于SSID的每用户限速为例，演示两种方式。

3.1 Web界面配置流程（以常见界面为例）

假设我们要为Guest这个SSID配置每用户下行不超过10Mbps，上行不超过2Mbps的限速。

1. 登录AC：通过浏览器登录无线控制器的管理IP地址。
2. 定位无线服务：导航到无线配置->无线服务或SSID配置。找到名为Guest的SSID配置条目。
3. 进入高级设置：点击GuestSSID的编辑或高级配置。在众多选项卡中，寻找QoS、带宽控制或速率限制。
4. 配置限速参数：
   • 限速模式：选择每用户。
   • 下行速率：输入10240（单位通常是Kbps，10Mbps * 1024 = 10240 Kbps）。
   • 上行速率：输入2048（2Mbps * 1024 = 2048 Kbps）。
   • 突发尺寸：这是一个关键参数。它允许用户在短时间内突破平均速率限制，以应对突发的小流量（如点击网页的瞬间请求）。设置过小会影响体验，设置过大则限速效果不灵敏。一般建议设置为限速值 * 0.5秒对应的字节数。例如下行10Mbps，按0.5秒算，突发尺寸约为(10 * 1024 * 1024 / 8) * 0.5 ≈ 655360字节。界面可能直接提供“高/中/低”选项，选择“中”即可。
5. 应用与验证：保存配置。AC会将该策略下发到所有发布GuestSSID的瘦AP上。找一个终端连接Guest网络，使用在线测速工具或大文件下载，观察速率是否被限制在10/2Mbps左右。

3.2 命令行（CLI）配置详解

对于网络工程师，CLI往往更快捷。以下是一组典型的配置命令，我们同样以实现上述GuestSSID的每用户限速为目标，并加入详细注释。

! 进入系统视图 Ruijie> enable Ruijie# configure terminal ! 进入无线配置视图 Ruijie(config)# wireless ! 创建一个名为“GUEST-LIMIT”的带宽策略模板 ! ‘cir’表示承诺信息速率，即保证的平均速率；‘cbs’是承诺突发尺寸，对应Web的突发尺寸。 ! 这里我们只做限速，所以将‘cir’设为限制值。‘pir’（峰值信息速率）可以略大于或等于‘cir’。 Ruijie(config-wireless)# wlan bandwidth-policy GUEST-LIMIT Ruijie(config-wlan-bandwidth-policy)# client downlink cir 10240 cbs 655360 ! 下行10Mbps Ruijie(config-wlan-bandwidth-policy)# client uplink cir 2048 cbs 131072 ! 上行2Mbps Ruijie(config-wlan-bandwidth-policy)# exit ! 进入WLAN（即SSID）配置视图，找到ID为1的WLAN（假设Guest SSID的WLAN-ID是1） Ruijie(config)# wlan-config 1 Ruijie(config-wlan)# bandwidth-policy GUEST-LIMIT ! 将带宽策略模板应用到该SSID Ruijie(config-wlan)# end ! 保存配置 Ruijie# write memory

命令解析与避坑点：

• client downlink/uplink：明确是针对每个客户端的上下行限速，实现了“每用户”模式。
• cir与cbs：cir是核心限制值，单位Kbps。cbs的单位是字节（Byte）。cbs的设置需要经验，如果用户反馈打开网页“一顿一顿”的，可能是cbs设太小，适当调大（例如增加到cir*1秒对应的字节数）可以改善体验。
• 策略生效范围：通过wlan-config应用策略，该策略会对所有关联到此WLAN（SSID）的客户端生效。如果你想对特定AP或AP组下的该SSID应用不同策略，则需要使用ap-config或ap-group命令进入AP或AP组视图，再应用带宽策略，其优先级会高于WLAN全局配置。

3.3 配置验证与诊断命令

配完了，怎么知道生效了没有？CLI提供了强大的查看和诊断工具。

! 查看所有带宽策略模板的定义 Ruijie# show wlan bandwidth-policy all ! 查看特定SSID（WLAN 1）应用的带宽策略 Ruijie# show wlan-config 1 | include bandwidth ! 或更详细地查看 Ruijie# show running-config | section wlan-config 1 ! 查看在线客户端的限速状态（这是最直接的验证） Ruijie# show wireless client statistics detail <客户端的MAC地址> ! 在输出信息中，寻找如“QoS Profile”、“Downlink CIR”、“Uplink CIR”等字段，会显示该客户端实际应用的带宽策略值。 ! 实时监控某个AP的射频口流量，观察是否触达限速阈值 Ruijie# show ap config running <AP的名称> | include radio ! 先查看AP的射频接口名称（如radio 0/0） Ruijie# clear counters interface radio 0/0 ! 清除该接口计数器（可选） ! 等待一段时间后，查看流量统计 Ruijie# show interface radio 0/0 counters rate

4. 高级场景与疑难问题排查

掌握了基础配置，我们来看几个更复杂的场景和那些让人头疼的“坑”。

4.1 场景：会议室高密度接入的限速优化

问题：一个大型会议室，单个AP连接了80个用户，即使对SSID做了每用户限速（如下行5Mbps），在会议开始所有人同时刷手机时，网络依然很卡。

分析与解决：这里的问题超出了简单的限速范畴，涉及高密度场景的空口资源竞争。每用户限速保证了公平，但无法防止“信令风暴”。解决方案是组合策略：

1. 空口时间公平：在AP的射频配置或WMM（无线多媒体）配置中，启用“空口时间公平”功能。这能确保每个客户端获得平等的无线信道占用时间，防止少数信号强的客户端霸占信道。
2. 降低最低速率：将SSID的最低连接速率从默认的1Mbps适当提高（如6Mbps或12Mbps）。这能迫使信号很差的终端断开或寻找更好的AP，减少对整体空口效率的拖累。
3. 应用流量识别与限制：结合AC的应用识别功能（如果支持），对视频流、文件传输等大流量应用进行更严格的二级限速，为HTTP、DNS等关键小流量应用保留资源。
4. 物理调整：考虑增加该区域的AP数量，减少单个AP的负载，从根本上缓解竞争。

4.2 常见故障排查：限速策略为何不生效？

这是运维中最常遇到的问题。你可以按照以下链路逐步排查：

1. 策略未正确绑定：使用show running-config | include wlan-config和show ap-group config <组名>命令，反复确认你配置的带宽策略模板（如GUEST-LIMIT）是否已经正确绑定到了目标WLAN、AP或AP-Group上。Web界面有时会因浏览器缓存显示绑定成功，但实际未下发，CLI查看最可靠。

2. 客户端未重新关联：带宽策略在客户端新关联到无线网络时生效。如果策略是在客户端已经在线时修改的，该客户端可能仍在使用旧的策略。让客户端断开Wi-Fi重连，是验证策略生效的第一步。

3. VLAN或角色优先级冲突：如果同时配置了基于SSID、VLAN和角色的限速，AC会遵循一个优先级顺序（通常是 用户角色 > VLAN > SSID > AP射频）。你需要确认最终生效的是哪一个策略。使用show wireless client statistics detail <MAC>命令查看客户端的详细状态，里面会标明生效的QoS策略。

4. 认证服务器下发了冲突属性：如果使用了802.1X或Portal认证，并且启用了基于角色的限速，务必检查Radius服务器下发的属性。使用debug radius或查看AC的RADIUS认证日志，确认服务器下发的Filter-Id等属性值是否与AC上定义的策略名完全一致（包括大小写）。

5. 硬件或版本限制：老旧型号的AP或低版本的AC/AP软件，可能不支持某些高级限速特性（如精确的每用户限速）。查阅对应型号和软件版本的官方配置指南，确认功能支持情况。有时升级AP的固件可以解决问题。

6. 测速方式有误：

   • 内网测速：使用内网测速服务器（如搭建的iPerf服务器）进行测试，排除互联网出口带宽瓶颈的干扰。
   • 单用户测试：确保测试时，受限的SSID下只有你一个测试终端在线，避免其他用户流量影响你的测试结果。
   • 协议影响：某些测速软件或网站可能使用多线程连接，而限速策略可能是基于单线程或会话的。尝试用单线程下载一个大文件来观察平均速率。

限速配置从来不是一劳永逸的，它需要根据网络的实际使用情况、业务的发展和用户反馈进行持续的观察和调优。最好的策略是开始时设置得相对宽松，通过监控观察流量热点和瓶颈，再逐步收紧和细化策略，在用户体验和管理目标之间找到一个最佳的平衡点。