华为ENSP校园网模拟：从零配置无线AC和AP（含WLAN安全策略与SSID发布）
华为ENSP校园网无线AC/AP配置实战：从零构建企业级WLAN安全架构
校园无线网络已成为现代教育基础设施的核心组件，而华为ENSP模拟器为网络工程师提供了零成本验证复杂无线组网方案的实验平台。本文将深入解析如何在已有有线骨干网络基础上，通过AC6605无线控制器实现AP的自动化部署、CAPWAP隧道建立、多SSID发布以及企业级WLAN安全策略配置，最终构建符合802.11ac Wave2标准的无线接入环境。
1. 实验环境准备与拓扑规划
在开始配置前，我们需要明确实验环境的网络架构。基于原始拓扑，无线网络部分主要包含以下关键设备：
- AC6605控制器：部署在核心层，通过VLAN 101与AP建立管理隧道
- 华为AP（模拟型号：AP6050DN）：通过有线网络接入汇聚交换机
- 服务VLAN：VLAN 100用于无线终端业务数据转发
- 管理VLAN：VLAN 101专用于AC-AP间CAPWAP通信
关键提示：建议将AC部署在核心交换机旁路位置，确保AP注册流量能够穿越三层网络到达AC控制器。管理VLAN需要全局路由可达。
实验环境网络参数规划表：
| 组件 | VLAN | IP网段 | 网关 | 用途 |
|---|---|---|---|---|
| AP管理 | 101 | 192.168.101.0/24 | 192.168.101.1 | CAPWAP隧道建立 |
| 无线业务 | 100 | 192.168.100.0/24 | 192.168.100.254 | 终端数据转发 |
| SSID1 | - | DHCP分配 | 192.168.100.252 | 教职工无线接入 |
2. AC控制器基础配置
首先完成AC控制器的网络基础配置，确保其能够与AP建立管理连接：
<AC6605> system-view [AC6605] sysname AC1 [AC1] vlan batch 100 101 // 创建业务和管理VLAN [AC1] interface Vlanif 100 [AC1-Vlanif100] ip address 192.168.100.1 24 [AC1-Vlanif100] quit [AC1] interface Vlanif 101 [AC1-Vlanif101] ip address 192.168.101.1 24 [AC1-Vlanif101] quit [AC1] dhcp enable // 全局启用DHCP服务配置CAPWAP源接口（关键步骤）：
[AC1] capwap source interface Vlanif 101 // 指定AP发现源接口3. AP自动注册与组管理
华为AC支持三种AP认证方式，本实验采用MAC地址认证：
[AC1] wlan [AC1-wlan-view] ap auth-mode mac-auth // 设置MAC认证模式 [AC1-wlan-view] ap-id 0 ap-mac 00e0-fc89-0220 [AC1-wlan-ap-0] ap-name Library-AP // 命名AP [AC1-wlan-ap-0] ap-group ap-campus // 加入AP组 Warning: This operation may cause AP reset. Continue?[Y/N]:y [AC1-wlan-ap-0] quit验证AP注册状态：
[AC1] display ap all Info: This operation may take a few seconds. Please wait...done. Total AP information: nor : normal [1] -------------------------------------------------------------------------------- ID MAC Name Group IP Type State STA -------------------------------------------------------------------------------- 0 00e0-fc89-0220 Library-AP ap-campus 192.168.101.2 AP6050DN nor 0 -------------------------------------------------------------------------------- Total: 14. WLAN业务模板配置
4.1 安全策略模板
配置WPA2-PSK+AES加密方案，适用于大多数校园场景：
[AC1-wlan-view] security-profile name sec-campus [AC1-wlan-sec-prof-sec-campus] security wpa2 psk pass-phrase Huawei@123 aes [AC1-wlan-sec-prof-sec-campus] quit4.2 SSID模板配置
创建两个不同用途的SSID（教职工/学生）：
[AC1-wlan-view] ssid-profile name ssid-staff [AC1-wlan-ssid-prof-ssid-staff] ssid STAFF-WIFI [AC1-wlan-ssid-prof-ssid-staff] quit [AC1-wlan-view] ssid-profile name ssid-student [AC1-wlan-ssid-prof-ssid-student] ssid STUDENT-WIFI [AC1-wlan-ssid-prof-ssid-student] quit4.3 VAP模板与射频绑定
将业务组件绑定到AP射频接口：
[AC1-wlan-view] vap-profile name vap-staff [AC1-wlan-vap-prof-vap-staff] forward-mode tunnel // 隧道转发模式 [AC1-wlan-vap-prof-vap-staff] service-vlan vlan-id 100 [AC1-wlan-vap-prof-vap-staff] security-profile sec-campus [AC1-wlan-vap-prof-vap-staff] ssid-profile ssid-staff [AC1-wlan-vap-prof-vap-staff] quit [AC1-wlan-view] ap-group name ap-campus [AC1-wlan-ap-group-ap-campus] vap-profile vap-staff wlan 1 radio 0 [AC1-wlan-ap-group-ap-campus] vap-profile vap-staff wlan 1 radio 1 [AC1-wlan-ap-group-ap-campus] quit5. 高级安全功能配置
5.1 无线用户隔离
防止同一SSID下的终端直接通信：
[AC1-wlan-view] security-profile name sec-campus [AC1-wlan-sec-prof-sec-campus] user-isolation enable [AC1-wlan-sec-prof-sec-campus] quit5.2 空口报文加密
启用802.11w保护管理帧：
[AC1-wlan-view] security-profile name sec-campus [AC1-wlan-sec-prof-sec-campus] sae [AC1-wlan-sec-prof-sec-campus] pmf mandatory [AC1-wlan-sec-prof-sec-campus] quit5.3 射频调优策略
配置5GHz频段优先，提升用户体验：
[AC1-wlan-view] radio-2g-profile name default [AC1-wlan-radio-2g-prof-default] calibrate auto-channel-select disable [AC1-wlan-radio-2g-prof-default] quit [AC1-wlan-view] radio-5g-profile name prefer-5g [AC1-wlan-radio-5g-prof-prefer-5g] calibrate auto-channel-select enable [AC1-wlan-radio-5g-prof-prefer-5g] quit [AC1-wlan-view] ap-group name ap-campus [AC1-wlan-ap-group-ap-campus] radio 0 [AC1-wlan-ap-group-ap-campus-radio-0] radio-5g-profile prefer-5g [AC1-wlan-ap-group-ap-campus-radio-0] quit6. 配置验证与排错
6.1 AP状态检查
[AC1] display ap all [AC1] display ap info name Library-AP [AC1] display radio-info ap-name Library-AP6.2 无线业务测试
# 查看VAP状态 [AC1] display vap ssid STAFF-WIFI # 查看在线用户 [AC1] display station ssid STAFF-WIFI # 频谱分析 [AC1] display air-scan ap-name Library-AP常见故障排查流程：
AP无法上线：
- 检查物理连接和VLAN透传
- 验证AC源接口IP可达性
- 确认防火墙未拦截CAPWAP端口(5246/5247)
终端无法获取IP：
- 检查DHCP服务状态
- 验证VLAN间路由
- 确认AC上service-vlan配置正确
信号弱/速率低：
- 调整AP发射功率
- 检查信道干扰(display channel-load)
- 确认终端支持802.11ac
7. 生产环境增强建议
在实际校园网部署中，还需要考虑以下增强措施：
- 负载均衡：配置基于用户数或流量的AP负载均衡
[AC1-wlan-view] load-balance profile name lb-profile [AC1-wlan-lb-prof-lb-profile] sta-number-threshold 20 [AC1-wlan-lb-prof-lb-profile] sta-number-threshold 20- 频谱导航：引导双频终端优先连接5GHz
[AC1-wlan-view] radio-5g-profile name prefer-5g [AC1-wlan-radio-5g-prof-prefer-5g] band-steer enable- 无线QoS：为不同业务配置优先级
[AC1-wlan-view] traffic-profile name video [AC1-wlan-traffic-prof-video] wmm-voice enable [AC1-wlan-traffic-prof-video] quit校园无线网络的稳定运行离不开持续的优化调整。建议定期检查AC上的性能统计（display ap traffic），根据实际使用情况调整信道、功率等参数。对于高密度场景，可启用Airtime Fairness等高级功能来改善多用户并发体验。