华为H3C实战 | 第20章 WLAN 基础业务配置（WPA2-PSK / WPA3-SAE）
📚 本系列共 43 篇（第 20 / 43 篇） · 第三卷 无线篇 —— 把网络甩到空中
← 上一篇：第 19 章 AP 上线配置 下一篇：第 21 章 企业级无线认证 →
本章导读：上一章门店开张了，这一章讲菜谱：Wi-Fi 叫什么名、怎么加密、客人连上进哪个网段、用什么信道多大功率。华为是 SSID/安全/VAP/AP 组四模板拼装，H3C 四样塞进一个服务模板——两家都有"漏一步全不对"的开关。
本章结构：
- 20.1 功能原理与业务场景 —— 四大模板各管什么、为什么"名字"和"密码"是两个独立模板、一个 SSID 在 AP 上长什么样，以及 20.1.5 排障视角：配错在哪一层，症状就断在哪一步
- 20.2 华为设备配置详解 —— 接入交换机侧要放行什么、AC 侧"四步建模板 + 一步绑定"、WPA3-SAE 写法、PMF（受保护管理帧，官方缺省不使能）、兼容老终端的过渡写法、信道与功率的手动/自动两套方案，以及三个 SSID（办公/访客/IoT）进阶模板和单 AP 调优
- 20.3 H3C 设备配置详解 —— H3C 的服务模板模型（必须
service-template enable，不敲这句配置全对就是不下发）、完整模板与逐模板对照，以及"交换机侧配漏了会怎样" - 20.4 命令对照表 —— 两家并排
- 20.5 配置验证 —— 华为三层验证法（
display vap ssid看 Status）、H3C 侧、端到端验证、空口视角验证 - 20.6 排错与故障树 —— 分阶段故障表（搜不到 / 连不上 / 拿不到 IP / ping 不通网关 / 能 ping 通打不开网页）、频繁掉线、一个"照抄也连不上"的真实案例
- 20.7 新手踩坑 —— 漏绑定 AP 组、H3C 漏 enable
- 20.8 本章小结 —— 要点清单 + 自测题
重点提示：先看 20.1.5 那张"配错位置 → 断在第几步"的表，它决定了你该查哪一节——搜不到就查模板绑定，搜到连不上就查安全模板，有 IP 但不通就查 VLAN 与转发方式。配完第一件事：display vap ssid xxx 看是不是全 ON。
关联章节：AP 怎么上线见第 19 章；认证体系与 RADIUS 见第 21 章；漫游与信号优化见第 22 章；出口路由和 NAT（“能 ping 通网关但打不开网页”）见第 10、14 章。
20.1 功能原理与业务场景
20.1.1 这功能是干嘛的（通俗版）
前两章解决的是"AP 怎么上线"，也就是"门店怎么开张"。可门店开张了，客人还没法进来点菜——这一章讲的就是菜谱本身：Wi-Fi 叫什么名字、怎么加密、客人连上后进哪个网段、用哪个信道和多大功率。
你可以把华为 AC 上的四大模板理解成组装一个线上下单系统的过程：
- SSID 模板：管"店名叫什么"。顾客在手机上看到的 Wi-Fi 名字就是它。
- 安全模板：管"进门密码/门禁"。WPA2-PSK 就是一个共享密码，WPA3-SAE 则是更聪明的门禁。
- VAP 模板：管"把这套配置缝起来"——把 SSID 和安全模板绑在一起，并规定客人进门后走哪个通道（业务 VLAN）、数据走哪条路（转发方式）。
- AP 组：管"把这些菜单派给哪些门店"——一个 AP 组绑多个 VAP，组里的 AP 就都挂了这些 SSID。
这四者缺一不可。新手最常见的错误就是漏掉最后一步：前三个模板都建了，SSID 也配了，但没把 VAP 绑到 AP 组的射频上，结果 display vap ssid 一看全是 OFF，手机搜不到。
H3C 的模型稍有不同：它把"叫什么名字 + 密码 + 业务 VLAN + 转发方式"全塞进一个 service-template 里，再把这个服务模板绑到 AP 组的射频上。看起来 H3C 更省事，但有个致命细节：服务模板必须 service-template enable，不敲这一条，配置全都对，就是不下发。
20.1.2 在网络里怎么落地（设计视角）
（1）华为四大模板的调用关系（务必看懂这张图）
[ssid-profile: wlan-office] "店名"
|
（被引用） |
v
[security-profile: wlan-office] ---> [vap-profile: wlan-office] ---> [ap-group: ap-group-office]
"门禁" （SSID + 安全 + 转发 + VLAN） （派给哪些 AP）
| |
| v
| [radio 0 / radio 1]
| |
v v
[AP 本地的 VAP 实例] <---- 下发到 AP 射频
再叠加上那几个"环境模板"：
[regulatory-domain-profile: default] ── 国家码，决定可用信道
[radio-2g-profile: r2g] ── 2.4G 信道/带宽/功率
[radio-5g-profile: r5g] ── 5G 信道/带宽/功率
[rrm-profile: default] ── 射频调优策略（自动选信道/功率）
\ | /
v v v
[ap-group: ap-group-office]
模板的"生效时机"差异，是排障的关键线索：
| 模板 | 改什么 | 什么时候生效 | 影响范围 |
|---|---|---|---|
| ssid-profile | SSID 名称 | 立即（重下发配置） | 引用它的所有 VAP |
| security-profile | 密码、加密方式 | 立即，已连终端会被踢下线重连 | 引用它的所有 VAP |
| vap-profile | 转发方式、业务 VLAN | 立即，可能触发 AP 重连 | 引用它的所有射频 |
| radio-*-profile | 信道、功率 | 立即（AP 重新调射频） | 引用它的所有 AP |
| regulatory-domain-profile | 国家码 | 可能导致 AP 重启，且会清空射频手动配置 | 整个 AP 组 |
理解这张表，就知道"改 Wi-Fi 密码为什么全公司都掉线"——因为安全模板影响了所有引用它的 VAP，所有终端必须重新握手。这不是故障，是物理规律。
（2）VAP 是什么：从"模板"到"实体"
模板是"配方"，VAP 是"做出来的菜"。一个 VAP 具体就是：AP 某个射频上的一个 BSS（基本服务集），有一个唯一的 BSSID（通常是 AP 的 MAC 加个偏移）。手机扫到 Wi-Fi 列表里每一个"网络"，背后就是一个 VAP。
一台双频 AP，如果 2.4G 和 5G 都绑了同一个 VAP 模板，那么它会有 2 个 VAP 实例（两个 BSSID），手机看到的是同一个 SSID 名字。这就是为什么同一台 AP 的 2.4G 和 5G 信号在手机上是合并显示的一个网络。
（3）数据流：终端连上之后，报文怎么走
以隧道转发为例，一次 HTTPS 请求的完整旅程：
[手机] --802.11 加密帧--> [AP 解密] --CAPWAP 数据隧道(UDP 5247)--> [AC]
|
[AC 解封装，打 VLAN 10 标签]
|
[核心交换机 VLANIF10: 192.168.10.1]
|
[出口路由器 → 互联网]
关键点：终端在无线侧看到的网关是 192.168.10.1（核心交换机），但在二层上它的"对面"是 AC。 所以只要 AC 到核心交换机的链路上放行了 VLAN 10，终端就能通。
如果换成直接转发，数据在 AP 这里就打了 VLAN 10 标签，直接从 AP 的网线送出去，上一跳就是接入交换机——这就是为什么第 19 章强调"直接转发时交换机 AP 口必须放行业务 VLAN 10"。
（4）WPA2-PSK 与 WPA3-SAE：密码进门这件事的演进
WPA2-PSK 的核心是一个共享密码（PSK，Pre-Shared Key）。认证与密钥管理流程叫"4 次握手"（4-Way Handshake）：
[终端] [AP]
| ① AP 发 ANonce（随机数） |
|<-------------------------------------------------|
| ② 终端生成 SNonce，用 [密码 + SSID + 双方随机数] |
| 算出 PTK（会话密钥），并发消息 2 |
|------------------------------------------------->|
| ③ AP 也算出同一个 PTK，发消息 3（含 GTK） |
|<-------------------------------------------------|
| ④ 终端确认，安装密钥 |
|------------------------------------------------->|
| 之后所有数据用 PTK 加密 |
4 次握手的设计很好，但有个天生的弱点：抓包能抓到这个握手过程，攻击者拿回家离线暴力破解密码（因为 PTK 是由密码和几次手算出来的），这就是各种"Wi-Fi 破解"工具的原理。防御办法只有一个——密码足够复杂。
WPA3-SAE 换了一套思路。SAE 全称是"同时认证对等体"（Simultaneous Authentication of Equals），基于 Dragonfly 密钥交换。它的核心改进有两点：
- 抗离线字典攻击：攻击者抓了包也没法离线暴力破解，每次猜测都必须跟 AP 在线交互一次，而 AP 可以限制尝试速率——这从根本上废掉了"拿回家慢慢跑字典"的破解方式。
- 前向保密（Forward Secrecy）：即使密码后来泄露了，攻击者也解不开之前录下的流量。
WPA3 还强制要求 PMF（受保护的管理帧，Protected Management Frames，802.11w），防止有人伪造"解除关联"报文把你踢下线（“deauth 攻击”）。
以上 WPA2/WPA3 机制描述已依据华为官方 IP 知识百科《什么是 WPA3？》原文核对：该文写明 WPA3 个人版"采用了更加安全的 SAE（Simultaneous Authentication of Equals，对等实体同时验证）取代了 WPA2 个人版采用预先设置共享密钥的 PSK 认证方式"，并指出 WPA2 的 PMK"由于 SSID 和预共享密钥都是固定的，PMK 也就成了固定的且可计算的"。出处：https://info.support.huawei.com/info-finder/encyclopedia/zh/WPA3.html
| 对比项 | WPA2-PSK | WPA3-SAE |
|---|---|---|
| 密码分发 | 共享 PSK | 共享 SAE 密码 |
| 握手 | 4 次握手 | SAE Commit/Confirm + 4 次握手 |
| 抗离线破解 | 弱（抓包可离线爆破） | 强（必须在线交互） |
| 前向保密 | 无 | 有 |
| PMF | 可选 | 必须 |
| 老终端兼容 | 好 | 差（2018 年前的设备多数不支持） |
| 推荐用法 | 兼容性优先的过渡方案 | 新部署优先，或 WPA2/WPA3 混合 |
（5）信道与功率规划：一张图看懂为什么"只用 1/6/11"
2.4GHz 信道分配（一层办公楼，6 个 AP）：
┌──────┬──────┬──────┐
│ AP1 │ AP2 │ AP3 │ 2.4G：1 / 6 / 11 循环
│ CH1 │ CH6 │ CH11 │
└──────┴──────┴──────┘
┌──────┬──────┬──────┐
│ AP4 │ AP5 │ AP6 │ 下一排错开：11 / 1 / 6
│ CH11 │ CH1 │ CH6 │
└──────┴──────┴──────┘
5GHz 信道分配（同一层，更多 AP 可容纳）：
AP1 CH36 AP2 CH44 AP3 CH52 AP4 CH60
AP5 CH149 AP6 CH157（相邻 AP 尽量不重复，错开 DFS 与非 DFS）
规划原则：
| 频段 | 信道原则 | 带宽建议 | 功率建议 |
|---|---|---|---|
| 2.4G | 只用 1/6/11，相邻 AP 必须不同 | 20MHz（坚决不要 40MHz） | 比 5G 低 3~6dBm，让它只做兜底 |
| 5G | 相邻 AP 错开；优先 36/40/44/48 与 149/153/157/161 | 40MHz 起步；高密场景可考虑 80MHz | 按覆盖半径定，相邻 AP 之间要留漫游带 |
（6）自动调优（calibrate）：让 AC 自己算信道和功率
手动规划在 10 台 AP 的小项目里还能搞，100 台就搞不定了。所以 AC 提供了"射频调优"功能：AC 收集所有 AP 的邻居信息和干扰情况，算出一套全局最优的信道和功率分配方案，然后统一下发。
调优的触发方式一般有几种：
- 周期性自动调优：每天/每周定时跑一次（比如半夜 3 点，避开业务高峰）。
- 手动触发一次：在 AC 上敲命令立即算一次。
- 上线触发：新 AP 上线后自动参与一次局部调优。
调优有一个"坑"：自动调优开着的时候，你手动配的信道和功率会被覆盖。 所以要么全手动（关掉 calibrate auto-channel-select / calibrate auto-txpower-select），要么全自动（别手配信道），不要混着来。
适用版本：华为 VRP V200R019 及以上（AC6005/AC6605）；H3C Comware V7（R2609 及以上，WX3540H 等）。WPA3-SAE 需要 AP 与 AC 同时支持（AP 型号相关），部分老 AP 不支持 WPA3。
20.1.3 为什么 Wi-Fi 的"名字"和"密码"是两个独立的模板
刚接触华为 AC 的同学常问：为什么不能像家用路由器一样，一个页面填个名字、填个密码就完事？
原因在于企业场景需要组合。一家公司的无线往往要开好几个 SSID：
| SSID | 谁用 | 加密 | 业务 VLAN |
|---|---|---|---|
wlan-office |
员工 | WPA2-PSK 或 802.1X | VLAN 10 |
wlan-guest |
访客 | 门户认证或 PSK | VLAN 20 |
wlan-iot |
打印机、摄像头 | 弱加密或 MAC 认证 | VLAN 30 |
wlan-vip |
高管 | WPA3-SAEx | VLAN 40 |
在这些组合里，SSID 名字和安全的配法是可以正交组合的：wlan-guest 可能也用 WPA2-PSK，和员工共用同一个安全模板；wlan-office 和 wlan-vip 可能用同一个 SSID 模板但不同的安全模板。如果把它们绑死，就会到处重复配置，改一次密码要改十几处。
华为的做法是拆开、引用：
ssid-profile: 只负责"叫什么"
security-profile: 只负责"怎么认人、怎么加密"
vap-profile: 负责"把两个模板 + 转发方式 + VLAN 拼起来"
ap-group: 负责"派给哪些 AP"
这样改密码只改安全模板一处，所有引用它的 SSID 同时生效——这就是"企业级"与"家用"在设计思路上的根本差别：可复用、可批量。
H3C 的选择相反：它认为大多数场景一个 SSID 就是一套完整配置，所以把东西都塞进 service-template。这个设计在"两三个 SSID"时更直观，在"十几个 SSID + 复用"时就不如华为灵活。没有对错，只有取舍。
20.1.4 一个 SSID 在 AP 上到底"长"成什么样
理解 VAP 的物理形态，对排查"为什么搜得到但连不上"很有帮助。
一台 AP 有多个射频（2.4G、5G），每个射频可以挂多个 VAP。每个 VAP 对应：
- 一个 SSID（广播出来的名字）
- 一个 BSSID（本质是一个 MAC 地址，通常 = AP 基 MAC + 偏移量）
- 一个 Beacon 帧（每秒发送约 10 次的广播帧，里面带着 SSID、支持的速率、加密能力）
[AP4050DN] 基 MAC = 00e0-fc12-3450
|
├── Radio 0 (2.4G, CH1)
│ ├── VAP#1 BSSID 00e0-fc12-345a SSID "wlan-office"
│ └── VAP#2 BSSID 00e0-fc12-345b SSID "wlan-guest"
│
└── Radio 1 (5G, CH36)
├── VAP#1 BSSID 00e0-fc12-346a SSID "wlan-office"
└── VAP#2 BSSID 00e0-fc12-346b SSID "wlan-guest"
所以一台双频 AP 带 2 个 SSID，实际有 4 个 BSSID、4 个 Beacon。手机扫描时看到的"一个 Wi-Fi 名称"其实可能对应两个 BSSID（2.4G 一个、5G 一个），手机自动选信号强的那个。
这个知识在什么场景有用？
- 排查"同一楼层手机能在 2.4G 和 5G 之间来回跳"——这是手机的漫游决策，不是 AP 的问题。
- 排查"为什么我抓包看到 4 个不同的 MAC 在发 Beacon"——这是正常的。
- 计算空口开销：每个 SSID 每台 AP 每秒要发 10 个 Beacon，SSID 越多、空口开销越大。一个射频挂 8 个 SSID，光是 Beacon 就吃掉不少空口时间。所以企业网一般控制单射频 4~6 个 SSID 以内。
（1）一个射频能挂多少 VAP
| 设备层级 | 立场 |
|---|---|
| 协议层面 | 一台 AP 单射频可挂十几个 VAP（BSSID 数量上限由芯片决定） |
| 实际建议 | 单射频 4~6 个 SSID 以内，超过后 Beacon 和探测响应会显著拖慢空口 |
| 反过来想 | 与其在一台 AP 上挂 10 个 SSID，不如按区域用 AP 组隔离，让不同区域挂不同 SSID |
（2）SSID 命名规范也值得提前想
| 命名方式 | 示例 | 评价 |
|---|---|---|
| 按用途 | wlan-office / wlan-guest |
✅ 推荐，一看就懂 |
| 按公司名 + 用途 | ACME-Staff / ACME-Guest |
✅ 推荐，公共场合一眼识别 |
| 按 VLAN | vlan10-wifi |
❌ 泄露网络结构，且后期调整 VLAN 后名字就对不上了 |
| 中文 SSID | 办公网络 |
⚠ 部分老终端对中文 SSID 的显示和编码支持不好，建议谨慎 |
| 含空格/特殊符号 | Office WiFi |
⚠ 首尾空格会让用户"密码明明对却连不上"，坚决避免 |
| 隐藏 SSID | 不广播 | ⚠ 安全收益很小（探测请求会泄露），却让用户手动输入名字，体验很差 |
20.1.5 排障视角：这章配错时，症状怎么会长得不一样
新手常见困惑是"都是配错了，为什么有的搜不到、有的连不上、有的连上了没网"。原因在于错误的模板层级不同，断点就不同：
| 配错的位置 | 断在第几步 | 症状 |
|---|---|---|
| SSID 模板未创建 / VAP 未引用 SSID | 广播 | 搜不到，display vap ssid 无输出或 OFF |
| VAP 未绑 AP 组 / 射频未开 | 广播 | 搜不到 |
| 安全模板密码错 | 认证 | 搜得到、连不上、“密码错误” |
| 安全模板加密方式终端不支持 | 认证 | 搜得到、连不上、老设备尤其明显 |
| 业务 VLAN 填错（如填成 200） | 分配地址 | 连上了、拿不到 192.168.10.x 的地址 |
| AC 缺业务 VLAN 三层接口（隧道转发） | 数据转发 | 拿到 IP，ping 不通网关 |
| 交换机 AP 口没放行业务 VLAN（直接转发） | 数据转发 | 拿到 IP 或拿不到，ping 不通网关 |
| 出口路由 / NAT 未配 | 上网 | 能 ping 通网关，打不开网页 |
这张表就是本章 19.6 排错表的总纲：先定位"断在哪一步"，再从那一层往下查，不要一上来就翻所有配置。
适用版本：华为 VRP V200R019 及以上（AC6005/AC6605）；H3C Comware V7（R2609 及以上，WX3540H 等）。WPA3-SAE 需要 AP 与 AC 同时支持（AP 型号相关），部分老 AP 不支持 WPA3。
20.2 华为设备配置详解
20.2.1 命令行基础速览
| 命令 | 所在视图 | 作用 |
|---|---|---|
ssid-profile name wlan-office |
wlan 视图 | 创建 SSID 模板 |
ssid wlan-office |
ssid-profile 视图 | 设置 SSID 名称 |
security-profile name wlan-office |
wlan 视图 | 创建安全模板 |
security wpa2 psk pass-phrase <密码> aes |
security-profile 视图 | WPA2-PSK，AES 加密 |
security wpa-wpa2 psk pass-phrase <密码> aes |
security-profile 视图 | WPA/WPA2 混合 |
vap-profile name wlan-office |
wlan 视图 | 创建 VAP 模板 |
service-vlan vlan-id 10 |
vap-profile 视图 | 业务 VLAN |
forward-mode tunnel |
vap-profile 视图 | 隧道转发 |
security-profile wlan-office |
vap-profile 视图 | VAP 引用安全模板 |
ssid-profile wlan-office |
vap-profile 视图 | VAP 引用 SSID 模板 |
ap-group name ap-group-office |
wlan 视图 | AP 组 |
vap-profile wlan-office wlan 1 radio 0 |
ap-group 视图 | 把 VAP 绑到射频 |
rrm-profile name default |
wlan 视图 | 射频调优模板 |
calibrate auto-channel-select disable |
rrm-profile 视图 | 关自动选信道 |
20.2.2 完整配置模板（核心交换机侧）
这一份是核心交换机（DHCP 服务器 + 网关）的完整配置，是 AC 侧配置能跑起来的地基。先配它，再配 AC。
# 进入系统视图
system-view
# 修改设备名，方便识别
sysname CORE-SW
# 批量创建 VLAN：10 业务、20 访客、200 AP管理、300 AC互联
vlan batch 10 20 200 300
# 业务 VLAN 10 的网关（无线终端默认网关）
interface Vlanif10
ip address 192.168.10.1 255.255.255.0
quit
# 访客 VLAN 20 的网关
interface Vlanif20
ip address 192.168.20.1 255.255.255.0
quit
# AP 管理 VLAN 200 的网关
interface Vlanif200
ip address 10.200.1.1 255.255.255.0
quit
# AC 互联 VLAN 300
interface Vlanif300
ip address 172.16.30.1 255.255.255.0
quit
# 开启 DHCP 服务
dhcp enable
# 业务地址池：无线员工终端
ip pool office-sta
network 192.168.10.0 mask 255.255.255.0
gateway-list 192.168.10.1
dns-list 192.168.10.10
excluded-ip-address 192.168.10.1 192.168.10.10
quit
# AP 管理地址池：带 Option 43，告诉 AP 去哪找 AC
ip pool ap-management
network 10.200.1.0 mask 255.255.255.0
gateway-list 10.200.1.1
# Option 43 子选项 3：AC 的 CAPWAP 源接口地址
option 43 sub-option 3 ascii 10.200.1.2
excluded-ip-address 10.200.1.1 10.200.1.2
quit
# 连接 AC 的接口：trunk，只放行 200 和 300
interface GigabitEthernet0/0/24
port link-type trunk
port trunk allow-pass vlan 200 300
quit
# 连接接入交换机 1 的接口：trunk，放行业务、访客、管理
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 10 20 200
quit
# 保存
save
（2）接入交换机侧（接 AP 的那台）
# 进入系统视图
system-view
# 设备名
sysname ACC-1F
# 创建 VLAN
vlan batch 10 20 200
# 上行口：trunk，放行全部需要透传的 VLAN
interface GigabitEthernet0/0/24
port link-type trunk
port trunk allow-pass vlan 10 20 200
quit
# AP 接口：access 200（AP 管理 VLAN），并开 PoE
interface GigabitEthernet0/0/1
port link-type access
port default vlan 200
# 打开 PoE 供电（华为部分型号叫 poe enable）
poe enable
quit
# 再重复配其余 AP 接口 GE0/0/2 ~ GE0/0/8
# 保存
save
⚠ 版本差异：华为 PoE 交换机的开命令在不同型号/版本上可能是
poe enable（接口视图）。部分型号缺省已开启供电。用display poe interface确认PowerStatus为Delivering即可，不必纠结命令名。
（3）AC 侧：四步建模板、一步绑定
下面是完整的 AC 侧无线业务配置，从进 wlan 视图到信道上调优，可以整段粘贴。
# 进入系统视图
system-view
# 设备名
sysname AC6005
# 批量建 VLAN（AC 需要业务 VLAN 的三层接口做隧道转发出口）
vlan batch 10 20 200 300
# AC 与核心互联的三层接口
interface Vlanif300
ip address 172.16.30.2 255.255.255.0
quit
# CAPWAP 源接口：AP 管理段
interface Vlanif200
ip address 10.200.1.2 255.255.255.0
quit
# 隧道转发的业务出口：AC 需要 VLAN 10 的三层接口（只为放行，不配地址也可）
interface Vlanif10
quit
# 到核心交换机的默认路由
ip route-static 0.0.0.0 0.0.0.0 172.16.30.1
# CAPWAP 源接口指定
capwap source interface Vlanif200
# 进入 WLAN 视图
wlan
# ---------- 第一步：SSID 模板 ----------
ssid-profile name wlan-office
# SSID 名称（手机上看到的名字）
ssid wlan-office
quit
# ---------- 第二步：安全模板 ----------
security-profile name wlan-office
# WPA2-PSK，AES 加密；密码 8~63 位 ASCII
security wpa2 psk pass-phrase Huawei@123 aes
quit
# ---------- 第三步：VAP 模板 ----------
vap-profile name wlan-office
# 隧道转发
forward-mode tunnel
# 业务 VLAN 10
service-vlan vlan-id 10
# 引用安全模板
security-profile wlan-office
# 引用 SSID 模板
ssid-profile wlan-office
quit
# ---------- 第四步：AP 组绑 VAP ----------
ap-group name ap-group-office
# 国家码模板
regulatory-domain-profile default
# radio 0（2.4G）挂 wlan-office，WLAN ID 为 1
vap-profile wlan-office wlan 1 radio 0
# radio 1（5G）挂同一个 VAP
vap-profile wlan-office wlan 1 radio 1
# 绑定射频模板（第 18 章创建）
radio-2g-profile r2g
radio-5g-profile r5g
quit
# 保存
quit
save
（4）WPA3-SAE 的写法
如果 AP 型号与 AC 版本都支持 WPA3，安全模板改成这样：
# 进入 WLAN 视图
wlan
# 创建或进入安全模板
security-profile name wlan-office-wpa3
# WPA3-SAE，AES 加密
security wpa3 sae pass-phrase Huawei@123 aes
quit
✅ 已核实：
security wpa3 sae pass-phrase <密钥> aes就是华为官方《AC和FIT AP 配置指南》“配置 WLAN 安全策略"给出的完整写法——原文为"执行命令security wpa3 sae pass-phrase key-value aes，配置安全策略为 WPA3-SAE 认证”。aes不能省。 出处：https://support.huawei.com/enterprise/zh/doc/EDOC1100332873 （配置指南 → WLAN安全配置 → 配置WLAN网络安全 → 配置WLAN安全策略）
PMF（受保护管理帧）是单独一条命令，官方缺省不使能：
# 进入安全模板
security-profile name wlan-office-wpa3
# PMF 三选一：不配=未使能；optional=可选（兼容老终端）；mandatory=强制
pmf mandatory
官方原文：pmf { optional \| mandatory }，缺省"VAP 的 PMF 功能未使能"。WPA3 场景建议用 mandatory，但不支持 802.11w 的老终端会直接连不上，过渡期先用 optional 更稳。
兼容老终端：官方有专门的过渡写法
# 进入安全模板
security-profile name wlan-office-transit
# WPA2/WPA3 过渡模式：新终端走 WPA3-SAE，老终端自动落到 WPA2-PSK
security wpa2-wpa3 psk-sae pass-phrase Huawei@123 aes
quit
✅ 已核实：
security wpa2-wpa3 psk-sae pass-phrase key-value aes为官方原文写法（“配置安全策略为 WPA2-WPA3-SAE 认证”），出处同上。这是"既有新终端又有老终端"时最现实的选择，比单独用 WPA3 实用得多。
华为 WLAN 全部安全策略一览（官方原文列举，配之前先对号入座）：
| 安全策略 | 命令形态 | 说明 |
|---|---|---|
| 开放认证 | security open |
官方：“单独使用时不安全”，需配合 Portal/MAC |
| WPA/WPA2-PSK | security { wpa | wpa2 | wpa-wpa2 } psk { pass-phrase | hex } <密钥> { aes | tkip | aes-tkip } |
最常用 |
| WPA/WPA2-802.1X | security { wpa | wpa2 | wpa-wpa2 } dot1x { aes | tkip | aes-tkip } |
必须配合认证模板（见第 21 章） |
| WPA3-SAE | security wpa3 sae pass-phrase <密钥> aes |
WPA3 个人版 |
| WPA2-WPA3 过渡 | security wpa2-wpa3 psk-sae pass-phrase <密钥> aes |
兼容老终端 |
| WPA3-802.1X | security wpa3 dot1x { gcmp256 | aes } |
WPA3 企业版 |
| WPA2-WPA3-802.1X | security wpa2-wpa3 dot1x aes |
企业版过渡 |
| OWE | security enhanced-open aes |
开放网络的加密增强 |
| WEP | security wep [ share-key ] / security wep dynamic |
官方明说"安全性低，不建议用户使用" |
⚠ 官方两个必须知道的提醒：①"开放认证和 WPA/WPA2/WPA3-802.1X 还需要和 NAC 一起配置"——光配安全模板不够，还要配认证模板；②
pmf在 PSK 与 802.1X 两种策略下都能单独配，缺省不使能。
（5）信道与功率：手动 + 自动两种方案
方案 A：全手动（AP 数量少、拓扑固定，本 Part 采用）
# 进入 WLAN 视图
wlan
# 进入射频调优模板 default
rrm-profile name default
# 关掉自动选信道（否则手动信道会被覆盖）
calibrate auto-channel-select disable
# 关掉自动选功率
calibrate auto-txpower-select disable
quit
# 2.4G 射频模板：1 号信道，20MHz
radio-2g-profile name r2g
channel 20mhz 1
eirp 15
undo shutdown
quit
# 5G 射频模板：36 号信道，40MHz
radio-5g-profile name r5g
channel 40mhz 36
eirp 17
undo shutdown
quit
方案 B：全自动（AP 多、环境复杂）
# 进入 WLAN 视图
wlan
# 打开自动调优模板
rrm-profile name default
# 打开自动选信道
calibrate auto-channel-select enable
# 打开自动选功率
calibrate auto-txpower-select enable
# 设置调优时间窗（避开业务高峰，具体参数名以版本为准）
# 这里只启用缺省策略，具体时间段配置见版本手册
quit
⚠ 版本差异：
calibrate auto-channel-select在部分版本要跟enable/disable参数，在更老版本是calibrate auto-channel-select直接配置时间段。用calibrate ?补全确认。自动调优的时间窗参数（几点到几点跑）各版本写法差异较大，本节不给出容易出错的具体命令。
20.2.3 华为逐模板讲解（照着抄不会错）
上面那段一体化的配置，第一次看会有点晕。这里拆成四段，把每一段"为什么这么写、写错了会怎样"掰开讲。
（1）SSID 模板
# 进入 WLAN 视图
wlan
# 创建 SSID 模板
ssid-profile name wlan-office
# SSID 名字
ssid wlan-office
# 退出
quit
SSID 模板看似最简单，但有两个细节值得注意：
- SSID 名称建议 1~32 个字符，超过 32 会被截断或报错。带中文的 SSID 部分老终端显示乱码，能用英文就别用中文。
- 改名不是无敌操作。改了 SSID 名字，等于广播了一个"新的网络"，所有已保存该 Wi-Fi 的手机都需要重新连一次。改之前想清楚。
（2）安全模板
# 创建安全模板
security-profile name wlan-office
# WPA2-PSK + AES
security wpa2 psk pass-phrase Huawei@123 aes
quit
security 这一条命令的语法结构是：
security [wpa | wpa2 | wpa-wpa2 | wpa3] { psk | dot1x | sae } pass-phrase <密码> { aes | tkip } [pmf ...]
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ ^^^^^^^^^^^^ ^^^^^^^^^^^^^^^^ ^^^^^^^^^^^^
安全协议（WPA版本） 认证方式 密码 加密算法
| 写法 | 含义 | 什么时候用 |
|---|---|---|
security wpa2 psk pass-phrase X aes |
WPA2 个人版，AES | 主流选择，2010 年后的设备全支持 |
security wpa-wpa2 psk pass-phrase X aes |
WPA/WPA2 混合 | 有十年以上的老终端要兼容时 |
security wpa3 sae pass-phrase X aes |
WPA3 个人版 | 新部署，终端较新时 |
security wpa2-wpa3 psk-sae ... |
WPA2/WPA3 过渡（双模） | 既有新终端又有老终端时最现实的选择 |
security wpa2 dot1x |
WPA2 企业版 | 需要 802.1X（第 21 章） |
security wpa2 psk pass-phrase X aes 漏了 aes |
可能落到 TKIP | ❌ 别省 aes |
密码的硬性要求：8~63 位 ASCII 字符。少于 8 位命令直接报错；超过 63 位也被拒。密码可以包含空格，但千万不要——首尾空格是最隐蔽的"密码明明对却连不上"来源。
（3）VAP 模板
# 创建 VAP 模板
vap-profile name wlan-office
# 转发方式
forward-mode tunnel
# 业务 VLAN
service-vlan vlan-id 10
# 引用安全模板
security-profile wlan-office
# 引用 SSID 模板
ssid-profile wlan-office
quit
VAP 模板是"缝合处"，它做的四件事：
| 配置 | 作用 | 配错的后果 |
|---|---|---|
forward-mode |
数据经不经过 AC | 配反了会导致终端拿不到地址或 AC 带宽被打满 |
service-vlan vlan-id |
终端进哪个 VLAN | 填成 200 → 终端和 AP 抢地址 |
security-profile |
用哪套加密 | 引用错模板 → 密码对也连不上 |
ssid-profile |
广播什么名字 | 引用错模板 → 名字不对 |
引用关系是"后配先审视"的思路：VAP 模板引用哪个安全模板，就看那个模板当前的配置。改安全模板会立刻影响所有引用它的 VAP。这就是为什么改密码要挑时间。
（4）AP 组绑定：把 VAP 挂到射频上
# 进入 AP 组
ap-group name ap-group-office
# 2.4G 射频挂 VAP（wlan 1 是 WLAN ID，radio 0 是 2.4G）
vap-profile wlan-office wlan 1 radio 0
# 5G 射频挂同一个 VAP
vap-profile wlan-office wlan 1 radio 1
# 国家码
regulatory-domain-profile default
# 射频模板
radio-2g-profile r2g
radio-5g-profile r5g
quit
这段里最容易错的是 vap-profile wlan-office wlan 1 radio 0 的三个参数：
| 参数 | 含义 | 常见错误 |
|---|---|---|
wlan-office |
VAP 模板名 | 写成 SSID 名字（如果 SSID 模板名与 VAP 模板名不同就会错） |
wlan 1 |
WLAN ID，同一个 AP 上每个 VAP 的唯一编号 | 起冲突（两个 VAP 用同一个 WLAN ID 覆盖） |
radio 0 / radio 1 |
射频号，华为 0=2.4G，1=5G | 只挂了一个按频段，另一个频段不出 SSID |
关于 WLAN ID：新建 VAP 时若不指定，AC 自动分配一个。一个 VAP 模板被多个 AP 组引用时，WLAN ID 在各组独立编号。实践中建议显式指定 WLAN ID（如 1、2、3），便于后期排障对照。
（5）两条 vap-profile 必须都写
很多新手配了 radio 0 就收工了，结果发现"5G 搜不到这个 SSID"。因为 2.4G 和 5G 是两个独立的射频，VAP 要分别在两个射频上挂。
如果确实只想要 2.4G 或只想要 5G，那是有意的设计（例如访客网络只要 2.4G 兼容老旧设备）。但绝大多数场景两个都要。
20.2.4 逐行讲解
| 命令 | 作用 | 为什么这么填 / 新手常填错的地方 |
|---|---|---|
vlan batch 10 20 200 300 |
批量建 VLAN | AC 上也要建业务 VLAN，隧道转发需要 AC 有三层出口 |
interface Vlanif10 |
业务 VLAN 三层接口 | 隧道转发时 AC 把数据从这进 VLAN 10；不配可能不通 |
capwap source interface Vlanif200 |
CAPWAP 源接口 | 与 Option 43 里的地址一致，否则 AP 发现后连不上 |
ssid wlan-office |
SSID 名称 | 手机上显示的就是它；建议与模板名一致，便于排障 |
security wpa2 psk pass-phrase Huawei@123 aes |
加密方式 | 密码 8~63 位 ASCII，少于 8 位直接报错；aes 不能省，缺省可能是 TKIP |
service-vlan vlan-id 10 |
业务 VLAN | 终端的 VLAN，绝不是 200（AP 管理 VLAN） |
forward-mode tunnel |
隧道转发 | 数据过 AC；切换直接转发时要同步改交换机 |
vap-profile wlan-office（VAP 视图内） |
VAP 引用安全模板 | 先建安全模板再引用，顺序不能反 |
ssid-profile wlan-office（VAP 视图内） |
VAP 引用 SSID 模板 | 同上 |
ap-group name ap-group-office |
建 AP 组 | AP 必须归到这个组，VAP 才会下发 |
regulatory-domain-profile default |
绑国家码 | 不绑可能导致信道不可用 |
vap-profile wlan-office wlan 1 radio 0 |
绑射频 | wlan 1 是 WLAN ID（新建 VAP 时分配），radio 0 是 2.4G。这三个参数一个都不能错 |
calibrate auto-channel-select disable |
关自动选信道 | 手动配了信道却不开这条，手配的值会被自动调优覆盖 |
channel 20mhz 1 |
信道 | 2.4G 只能 1/6/11 |
eirp 15 |
功率 | 华为命令是 eirp（不是 transmit-power），单位 dBm；不配时缺省 127dBm 表示"满功率不限制"，2.4G 建议比 5G 低 |
undo shutdown |
开射频 | 不敲，射频不工作 |
20.2.5 华为：一份"三个 SSID"的进阶模板（办公 + 访客 + IoT）
单 SSID 的配置跑通了，真实项目往往是"一套 AC 开好几个网"。这段配置展示怎么在华为上用一个安全模板、两个 SSID 模板做出"办公 + 访客"两套网络，是第 21 章访客网络的基础。
# 进入 WLAN 视图
wlan
# ---------- SSID 模板：办公 ----------
ssid-profile name wlan-office
ssid ACME-Staff
quit
# ---------- SSID 模板：访客 ----------
ssid-profile name wlan-guest
ssid ACME-Guest
quit
# ---------- 安全模板：办公（WPA2-PSK 强密码） ----------
security-profile name wlan-office
security wpa2 psk pass-phrase Office@2026Secure aes
quit
# ---------- 安全模板：访客（独立的弱一些的密码，定期换） ----------
security-profile name wlan-guest
security wpa2 psk pass-phrase Guest@2026 aes
quit
# ---------- VAP 模板：办公（VLAN 10，隧道转发） ----------
vap-profile name wlan-office
forward-mode tunnel
service-vlan vlan-id 10
security-profile wlan-office
ssid-profile wlan-office
quit
# ---------- VAP 模板：访客（VLAN 20，隧道转发） ----------
vap-profile name wlan-guest
forward-mode tunnel
service-vlan vlan-id 20
security-profile wlan-guest
ssid-profile wlan-guest
quit
# ---------- AP 组：两个 VAP 都挂上，WLAN ID 分别 1 和 2 ----------
ap-group name ap-group-office
regulatory-domain-profile default
vap-profile wlan-office wlan 1 radio 0
vap-profile wlan-office wlan 1 radio 1
vap-profile wlan-guest wlan 2 radio 0
vap-profile wlan-guest wlan 2 radio 1
radio-2g-profile r2g
radio-5g-profile r5g
quit
quit
这段配置的关键理解点：
| 观察点 | 说明 |
|---|---|
两个 VAP 用不同的 wlan N |
同一个 AP 上每个 VAP 必须有唯一 WLAN ID |
| 同一对的 2.4G/5G 用相同的 WLAN ID | wlan 1 radio 0 和 wlan 1 radio 1 是同一个 SSID 的两个频段实例 |
| 两个 VAP 都挂到同一个 AP 组 | 所以每台 AP 同时广播 ACME-Staff 和 ACME-Guest |
| 业务 VLAN 不同（10 / 20） | 两套网络在二层隔离，互不串流量 |
如果访客网络只想在大堂的几台 AP 上广播，就建 ap-group-guest，只把大堂 AP 放进去，然后在大堂 AP 上挂两个 VAP、在其他 AP 上只挂 wlan-office。这就是 AP 组存在的意义：让 SSID 的覆盖面可控。
20.2.6 华为：AP 单独调优（个别 AP 有干扰时）
自动调优是"全局算一套"，但现实中总有一两台 AP 位置特殊（比如贴着微波炉、对着玻璃幕墙），需要单独照顾。华为的做法是在 AP 视图里覆盖射频参数，优先级高于 AP 组：
# 进入 WLAN 视图
wlan
# 进入单台 AP（AP1F-03 有干扰）
ap-id 2
# 进入该 AP 的 2.4G 射频视图
radio 0
# 覆盖信道（优先级：AP 视图 > AP 组视图）
channel 20mhz 11
# 覆盖功率
eirp 12
quit
quit
优先级规则（华为）：AP 视图 > AP 组视图 > 全局缺省。与 H3C 的规则一致。排障时要记得：某台 AP 参数"不听话"，很可能是单台上被覆盖过。
20.3 H3C 设备配置详解
20.3.1 H3C 的服务模板模型
H3C 把"SSID + VLAN + 转发位置 + 安全"打包在一个 service-template 里，然后绑到 AP 组的射频。相比华为的多模板体系，H3C 更"扁平"，但代价是不能复用：要开两个 SSID，就要建两个服务模板（华为可以复用同一个安全模板）。
[wlan service-template wlan-office]
├── ssid wlan-office "店名"
├── vlan 10 "进哪个网段"
├── client forwarding-location ac "数据走哪条路"
├── akm mode psk "门禁类型"
├── preshared-key ... "密码"
├── cipher-suite ccmp "加密套件"
├── security-ie rsn "WPA2"
└── service-template enable ← 必须！
|
v
[wlan ap-group ap-group-office] → ap-model WA6320 → radio 1 / radio 2
service-template wlan-office
20.3.2 完整配置模板
（1）交换机侧（DHCP + Option 43）
# 进入系统视图
system-view
# 设备名
sysname CORE-SW
# 创建 VLAN
vlan 10
vlan 20
vlan 200
vlan 300
quit
# 业务 VLAN 网关
interface Vlan-interface10
ip address 192.168.10.1 255.255.255.0
quit
# AP 管理 VLAN 网关
interface Vlan-interface200
ip address 10.200.1.1 255.255.255.0
quit
# AC 互联
interface Vlan-interface300
ip address 172.16.30.1 255.255.255.0
quit
# 开 DHCP
dhcp enable
# 业务地址池
dhcp server ip-pool office-sta
network 192.168.10.0 mask 255.255.255.0
gateway-list 192.168.10.1
dns-list 192.168.10.10
forbidden-ip 192.168.10.1 192.168.10.10
quit
# AP 管理池 + Option 43（AC 地址 10.200.1.2 → 十六进制 0AC8 0102）
dhcp server ip-pool ap-management
network 10.200.1.0 mask 255.255.255.0
gateway-list 10.200.1.1
option 43 hex 0104 0AC8 0102
forbidden-ip 10.200.1.1 10.200.1.2
quit
# 连 AC 的口
interface GigabitEthernet1/0/24
port link-type trunk
port trunk permit vlan 200 300
quit
# 连接入交换机的口
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 10 20 200
quit
save force
（2）AC 侧：服务模板 + AP 组绑定
# 进入系统视图
system-view
# 设备名
sysname WX3540H
# 创建 VLAN
vlan 10
vlan 20
vlan 200
vlan 300
quit
# CAPWAP 源接口
interface Vlan-interface200
ip address 10.200.1.2 255.255.255.0
quit
# AC 与核心互联
interface Vlan-interface300
ip address 172.16.30.2 255.255.255.0
quit
# 隧道转发的业务出口
interface Vlan-interface10
quit
# 默认路由
ip route-static 0.0.0.0 0 172.16.30.1
# 指定 CAPWAP 源接口
capwap source interface Vlan-interface200
# 区域码
wlan global-configuration
region-code CN
quit
# ---------- 服务模板：SSID + VLAN + 转发 + 安全 ----------
wlan service-template wlan-office
# SSID
ssid wlan-office
# 业务 VLAN 10
vlan 10
# 集中转发（等价华为隧道转发）
client forwarding-location ac
# 密钥管理模式：PSK
akm mode psk
# 预共享密钥
preshared-key pass-phrase simple Huawei@123
# 加密套件 CCMP
cipher-suite ccmp
# 安全信息元素 RSN（即 WPA2）
security-ie rsn
# 使能服务模板（不敲不生效！）
service-template enable
quit
# ---------- AP 组：绑射频 + 绑服务模板 ----------
wlan ap-group ap-group-office
# 按型号下发
ap-model WA6320
# 2.4G 射频
radio 1
radio enable
channel 20mhz 1
max-power 15
service-template wlan-office
quit
# 5G 射频
radio 2
radio enable
channel 40mhz 36
max-power 17
service-template wlan-office
quit
quit
save force
⚠ 版本差异：H3C 的 PSK 密钥命令以
preshared-key为准（官方《WLAN 用户安全配置》给出的形式是preshared-key { pass-phrase | raw-key } { cipher | simple } string）；网上很多教程里的psk pass-phrase simple xxx属老写法，照抄可能报错。另外两条容易漏的：
security-ie rsn对应 WPA2，若要兼容 WPA1 终端就同时配security-ie wpa；preshared-key要在akm mode psk之后配，顺序反了密钥可能不生效。
cipher-suite ccmp、security-ie rsn、akm mode psk、preshared-key pass-phrase simple ...这几条已按 H3C 官方《WLAN 用户安全配置》与《WLAN access 配置》核对过；WPA3（SAE）部分仍请以本机?补全核对（见 19.3.2（3））。
（3）H3C 的 WPA3
⚠ H3C 的 WPA3 写法跟华为完全不同，而且容易被网上教程带偏：H3C 的 akm mode 不接受 sae 参数（官方格式只有 akm mode { dot1x | private-psk | psk }），WPA3 是用独立的 wpa3 命令开启的。
# 进入服务模板
wlan service-template wlan-office-wpa3
# AKM 依然用 psk（注意：不是 akm mode sae）
akm mode psk
# PSK 密钥
preshared-key pass-phrase simple Huawei@123
# 加密套件必须 CCMP（WPA3 个人级的官方硬性要求）
cipher-suite ccmp
# 安全信息元素必须 RSN（同上，硬性要求）
security-ie rsn
# 开启 WPA3 个人级强制模式
wpa3 personal mandatory
# 保护管理帧（官方建议开启 WPA3 后同步开启）
pmf mandatory
# 使能服务模板
service-template enable
quit
✅ 已核实（H3C 官方命令参考 + 配置指导原文）：
wpa3命令官方格式：wpa3 { enterprise | enterprise-only-mode | enterprise-transition-mode | personal { mandatory | optional } }，缺省关闭。personal mandatory= “不支持 WPA3 安全模式的客户端无法接入”；personal optional= “支持和不支持 WPA3 安全模式的客户端均可接入”（要同时兼容老终端就用这个）。akm mode官方格式：akm mode { dot1x | private-psk | psk }——没有 sae 选项。- 官方配置限制：“对于 WPA3 个人级：加密套件必须配置为 CCMP，安全信息元素必须配置为 RSN”；“开启 WPA3 安全模式后，建议同时开启保护管理帧功能”。
- 出处：https://www.h3c.com/cn/d_202412/2333530_30005_0.htm （H3C《WLAN 用户安全命令》）、https://www.h3c.com/cn/d_202007/1312595_30005_0.htm （《WLAN 用户安全配置》）
💡 实用补充：如果只是想让原 WPA2 网络逐步过渡到 WPA3，H3C 还有
wpa3 transit-wpa2-disable这个命令调节过渡行为；另外akm sae pwe { both-h2e-hnp | h2e | hnp }可以调 SAE 的 PWE 衍生方式，官方建议用both-h2e-hnp以提高终端兼容性。
20.3.3 H3C 逐模板讲解（与华为一一对照）
（1）服务模板里的 SSID
wlan service-template wlan-office
ssid wlan-office
quit
ssid 命令只接受一个字符串，没有独立模板。好处是"一个命令搞定"，坏处是两个 SSID 想共用同样的加密配置时，要抄两遍。
（2）服务模板里的安全
wlan service-template wlan-office
akm mode psk
preshared-key pass-phrase simple Huawei@123
cipher-suite ccmp
security-ie rsn
quit
这四条与华为 security wpa2 psk pass-phrase X aes 是"一个意思，四种写法"：
| H3C 命令 | 对应华为的哪部分 | 作用 |
|---|---|---|
akm mode psk |
psk |
认证与密钥管理模式 |
preshared-key pass-phrase simple X |
pass-phrase X |
密钥本体，simple 明文 cipher 密文 |
cipher-suite ccmp |
aes |
加密套件（CCMP = AES） |
security-ie rsn |
wpa2 |
安全信息元素（RSN = WPA2） |
顺序很关键：preshared-key 要在 akm mode psk 之后配，否则可能不生效。security-ie 和 cipher-suite 配完，服务模板才具备完整的 WPA2 能力（security-ie rsn = WPA2，cipher-suite ccmp = AES-CCMP）。
（3）切换：集中转发 vs 本地转发
# 集中转发（数据过 AC，等价华为 tunnel）
client forwarding-location ac
# 本地转发（数据由 AP 送出，等价华为 direct-forward）
client forwarding-location ap
H3C 本地转发的交换机侧要求与华为一模一样：AP 口必须放行 VLAN 10。这一点跨厂商通用，不是哪家的问题。
（4）绑定服务模板：必须绑在 radio 下
wlan ap-group ap-group-office
ap-model WA6320
radio 1
service-template wlan-office
quit
radio 2
service-template wlan-office
quit
quit
很容易犯的错误是把 service-template 敲在 AP 组视图而不是 radio 视图，结果服务模板没绑上任何射频。正确的命令层级是：
wlan ap-group ap-group-office ← AP 组视图
└── ap-model WA6320 ← 型号视图
└── radio 1 ← 射频视图
└── service-template wlan-office ← 绑服务模板
（5）服务模板必须先 enable
wlan service-template wlan-office
service-template enable
quit
这是 H3C 全文出现频率最高的一句"别忘"。原因很简单：H3C 允许你先建好模板、慢慢调参数，调完再一次性使能。 这是设计者为了"配置过程不中断业务"做的贴心设计，但对新手就是个陷阱。
20.3.4 交换机侧配漏了会怎样（两厂商通用）
这一小节是本章的"真金白银"——很多人 AC 侧配得一点没错，就是不通，问题都出在交换机上。
| 配漏的位置 | 现象 | 检查方式 |
|---|---|---|
| AP 口没划进 AP 管理 VLAN | AP 拿不到 10.200.1.x 地址，不上线 | display port vlan 看 PVID |
| AP 口没开 PoE | AP 不亮灯 | display poe interface |
| 交换机没建业务 VLAN 10 | 终端连上拿不到 IP | display vlan 10 看是否存在 |
| 业务 VLAN 10 没有成员端口 | VLAN 10 播种不了，三层接口 DOWN | display vlan 10 看端口列表 |
| 连 AC 的 trunk 没放行 VLAN 10 | 隧道转发时数据进不了业务 VLAN | display port vlan |
| 直接转发时 AP 口没放行 VLAN 10 | 直转下终端拿不到 IP | display port vlan |
| 业务 VLANIF 缺地址或地址错 | 终端地址和网关不匹配 | display ip interface brief |
| 地址池网关与 VLANIF 不一致 | 终端有地址但网关不可达 | 对比 ip pool 的 gateway-list 与 VLANIF 地址 |
| 地址池范围与 VLANIF 网段不符 | DHCP 分配失败 | 对比 network 与 VLANIF 掩码 |
| 上了 ACL/流策略误阻断 | 能连上能拿到地址但访问受限 | display acl all、抓包 |
一个实战技巧：如果怀疑交换机配置有问题，最快的验证办法是在业务 VLAN 里插一台有线 PC（同一个 VLAN 10 的 access 口），看它能不能拿地址、能不能上网。
- 有线 PC 正常 → 问题在无线侧（AC/AP）
- 有线 PC 也异常 → 问题在交换机/路由侧
这个"二分法"能让你在一分钟内把问题范围砍掉一半，比盯着 AC 配置看半小时有效得多。
20.3.5 逐行讲解
| 命令 | 作用 | 为什么这么填 / 新手常填错的地方 |
|---|---|---|
vlan 10（服务模板内） |
业务 VLAN | V7 写法；老教程的 bind vlan 10 是 V5 写法，V7 会报错 |
client forwarding-location ac |
集中转发 | 等价华为 tunnel；本地转发用 ap，此时交换机 AP 口必须放行 VLAN 10 |
akm mode psk |
密钥管理 PSK | 不配它，后面的 preshared-key 不会生效 |
preshared-key pass-phrase simple Huawei@123 |
密码 | simple 表示配置里明文存储；生产环境建议用 cipher（密文） |
cipher-suite ccmp |
加密套件 | 对应 AES-CCMP；不配可能落到 TKIP 或不加密 |
security-ie rsn |
RSN 信息元素 | 这就是"WPA2"；security-ie wpa 是 WPA1 |
service-template enable |
使能 | H3C 第一号坑，不敲服务不下发 |
wlan ap-group ap-group-office |
AP 组 | 缺省有 default-group |
ap-model WA6320 |
按型号批量 | 同组多型号要分别配 |
radio 1 / radio 2 |
2.4G / 5G | H3C 从 1 起，华为从 0 起 |
radio enable |
开射频 | 对应华为 undo shutdown |
service-template wlan-office |
绑服务模板 | 要绑在每个 radio 下，不是绑在 AP 组一级 |
20.4 华为 / H3C 命令对照表
| 功能 | 华为（VRP） | H3C（Comware V7） | 差异说明 |
|---|---|---|---|
| SSID 模板 | ssid-profile name X + ssid X |
服务模板内 ssid X |
华为独立模板，H3C 内嵌 |
| 密码模板 | security-profile name X + security wpa2 psk ... |
服务模板内 akm mode psk + preshared-key ... |
H3C 内嵌在服务模板 |
| 加密套件 | ... aes（跟在 security 后） |
cipher-suite ccmp |
华为合在一条里 |
| 安全信息元素 | 由 wpa2/wpa-wpa2 隐含 |
security-ie rsn / wpa |
H3C 要单独指 |
| 缝合模板 | vap-profile 引用 ssid/security |
无（都在一起） | 华为多一层 |
| 业务 VLAN | service-vlan vlan-id 10 |
vlan 10 |
命令名不同 |
| 隧道转发 | forward-mode tunnel |
client forwarding-location ac |
语义相同 |
| 直接转发 | forward-mode direct-forward |
client forwarding-location ap |
语义相同 |
| 服务使能 | 无 | service-template enable |
H3C 必须显式 |
| 绑射频 | vap-profile X wlan 1 radio 0 |
AP 组 radio 视图下 service-template X |
华为要 WLAN ID，H3C 不用 |
| 信道 | channel 20mhz 1 |
channel 20mhz 1 |
相同 |
| 功率 | eirp 15 |
max-power 15 |
命令名不同 |
| 关自动调优 | calibrate auto-channel-select disable |
射频/全局策略下关自动选信道 | 见版本说明 |
| WPA3 | security wpa3 sae pass-phrase ... aes + pmf mandatory |
akm mode psk + preshared-key + wpa3 personal mandatory + pmf mandatory + cipher-suite ccmp + security-ie rsn |
H3C 没有 akm mode sae——akm mode 只有 dot1x | private-psk | psk |
20.5 配置验证
20.5.1 华为侧：三层验证法
第一层：模板是否建对
# 查看 SSID 模板
display ssid-profile name wlan-office
SSID Profile Name SSID
---------------------------------------------------
wlan-office wlan-office
# 查看安全模板
display security-profile name wlan-office
Security Profile Name : wlan-office
Security Policy : WPA2-PSK
AES : Enable
PSK Passphrase : ******
第二层：VAP 是否下发到射频
# 看指定 SSID 的 VAP 状态
display vap ssid wlan-office
SSID : wlan-office
Status : ON
AP Name : AP1F-01
Radio ID : 0
WLAN ID : 1
BSSID : 00e0-fc12-345a
Status : ON 是关键；OFF 说明没绑上或者射频没开。
第三层：终端是否连上并拿到地址
# 看所有在线终端
display station all
RSSI -48 : 终端信号强
SNR 42 : 信噪比很好
Rate 866 : 当前协商速率
STA MAC AP Name Radio SSID Online Time RSSI SNR
4c77-6600-1234 AP1F-01 0 wlan-office 00:12:33 -48 42
# 看终端的关联详情
display station sta-mac 4c77-6600-1234
Online Time 在增长、RSSI 在 -65 以上，说明链路正常。
20.5.2 H3C 侧
先看服务模板状态，再看在线客户端：
# 服务模板状态（必须有 Enabled）
display wlan service-template
Service template name : wlan-office
SSID : wlan-office
Service template status : Enabled
VLAN ID : 10
# 在线客户端
display wlan client
Total number of clients: 1
MAC address AP name RID SSID VLAN RSSI State
4c77-6600-1234 ap1f-01 1 wlan-office 10 48 Online
# 客户端详情（能看到 AKM、加密套件、WPA3 状态）
display wlan client verbose
20.5.3 端到端验证：终端真能上网吗
这一步很重要，因为"连上 Wi-Fi"和"能上网"是两码事。 在终端侧（手机或电脑）依次验证：
① Wi-Fi 列表里能看到 wlan-office，信号格数正常（2 格以上）
② 输入密码后能连上，不提示"无法连接"
③ 终端拿到 192.168.10.x 的地址（手机里点开 Wi-Fi 详情能看到 IP）
④ ping 网关 192.168.10.1 通
⑤ ping DNS 192.168.10.10 通
⑥ 打开网页能访问
这六步任何一步断，就是后面第 19.6 节排错表里的某个原因。记住这六步，你在现场排查时脑子里就有了一条"主线"，不会瞎试。
20.5.4 用"空口视角"验证配置是否真的健康
连通性验证通过之后，还要确认"快不快"。这一步很多新手会跳过，结果是"能上网"的无线网在人多的时候卡成 PPT。
（1）看终端侧的协商速率与信号
# 华为 AC：看所有在线终端的信号与速率
display station all
STA MAC AP Name Radio SSID Online Time RSSI SNR
4c77-6600-1234 AP1F-01 0 wlan-office 00:12:33 -48 42
# 华为 AC：看单台终端的关联详情（速率、重传、丢包）
display station sta-mac 4c77-6600-1234
STA MAC : 4c77-6600-1234
AP Name : AP1F-01
Radio ID : 0
SSID : wlan-office
RSSI(dBm) : -48
SNR(dB) : 42
Tx Rate(Mbps) : 866
Rx Rate(Mbps) : 780
判读标准：
| 指标 | 正常值 | 说明 |
|---|---|---|
| RSSI | -60dBm 以上 | 低于 -70 体验开始下降 |
| SNR | 25dB 以上 | 低于 20 时速率明显降级 |
| Tx/Rx Rate | 与 AP 能力匹配 | 双流 11ac 应能到 866；只有 100~200 说明信号或干扰有问题 |
（2）看射频层面的负载
# 华为 AC：看射频的运行情况
display ap rf-adaptation
或者看单台 AP 各射频的负载与终端数：
# 华为 AC：看 AP 的射频详情
display ap id 0 radioall
# H3C AC：看射频状态与负载
display wlan radio
Radio 1 (2.4 GHz) State Up Channel 1 Bandwidth 20MHz
Clients: 8 Utilization: 45%
Radio 2 (5 GHz) State Up Channel 36 Bandwidth 40MHz
Clients: 5 Utilization: 22%
信道利用率（Channel Utilization）是判断"快不快"的关键指标：
| 利用率 | 判读 |
|---|---|
| < 30% | 健康，空口充裕 |
| 30%~50% | 中等，可接受 |
| 50%~70% | 偏高，高密场景需优化 |
| > 70% | 严重拥塞，用户会明显感觉卡 |
2.4G 信道利用率经常被邻居 AP 顶到 60% 以上，这是"为什么我的 2.4G 那么慢"最常见的答案。5G 利用率通常好得多，这也是"5G 优先"的技术依据。
（3）验证客户端是否真的走了 5G
很多时候"网速慢"的根因是手机明明支持 5G，却赖在 2.4G 上不走。检查方式：在上面 display station all 的输出里看 Radio 列，0 是 2.4G、1 是 5G（华为）。如果大批双频终端挂在 Radio 0 上，就需要开"频谱导航"（第 22 章）。
20.6 排错与故障树
20.6.1 分阶段故障表
| 阶段 | 症状 | 可能原因 | 排查命令 | 定位方法 |
|---|---|---|---|---|
| 搜不到 SSID | 手机 Wi-Fi 列表无 wlan-office | VAP 没绑射频 / 射频没开 / SSID 模板配错 | 华为 display vap ssid wlan-office；H3C display wlan service-template |
VAP Status 为 OFF → 查 AP 组绑定 |
| 搜到但连不上 | 输入密码后提示"连接失败/密码错误" | 密码不匹配 / 加密方式终端不支持（如老终端不认 WPA2-AES? 极少）/ 就绪状态 | 看终端提示；AC display station all |
换个手机试；把安全模板临时改成 open 验证是否是加密问题 |
| 连上但拿不到 IP | 终端显示"正在获取 IP 地址"或 169.254.x.x | DHCP 地址池耗尽 / 业务 VLAN 三层接口不对 / 直接转发时交换机没放行 VLAN | 交换机 display dhcp server ip-in-use、display port vlan |
地址池是否用完；直接转发看 AP 口 trunk 放行 |
| 拿到 IP 但 ping 不通网关 | 有地址，ping 192.168.10.1 不通 | 隧道转发：AC 的 Vlanif10 没建 / 业务 VLAN 没在 AC 上传；直接转发：交换机 VLAN 10 没生效 | AC display ip interface brief；交换机 display vlan 10 |
看 VLAN 是否有成员端口、VLANIF 是否 UP |
| 能 ping 通网关但上不了网 | 网页打不开 | 出口路由/NAT 未配；DNS 不通 | 终端 ping 114.114.114.114、ping 192.168.10.10 | 分清是 DNS 还是路由出口问题 |
| 部分终端连不上 | 老设备连不上 | WPA3 只有新设备支持 / PMF 强制 | 看终端型号与系统版本 | 用 WPA2 或 WPA2/WPA3 混合模式 |
| 速率很低 | 连上了但很慢 | 2.4G 干扰 / 信道抢占 / 功率过大导致上行不对称 | display station all 看 RSSI/SNR/Rate；display ap neighbor |
SNR < 20 基本就是干扰；再看看是不是 2.4G |
20.6.2 频繁掉线
| 症状 | 可能原因 | 排查命令 | 定位方法 |
|---|---|---|---|
| 每隔十几分钟掉一次 | AP 与 AC 心跳超时、管理网丢包 | display ap all 看 Uptime 是否重置 |
若 Uptime 一直是新值，说明 AP 在重连 CAPWAP |
| 走动时掉线 | 漫游切换失败 | 终端侧 Wi-Fi 日志；AC display station |
考虑开 802.11k/v/r（第 22 章） |
| 高密场景掉线 | AP 达到最大接入数 | display station all 计数 vs 射频最大终端数 |
扩 AP 或调最大接入数 |
| 特定区域掉线 | 该 AP 上行口协商成百兆 / 上行链路丢包 | 交换机 display interface brief |
接口 rate 不是 1000 就要查网线/接口 |
20.6.3 一个真实的"照抄也连不上"案例
这是笔者在一栋刚装修完的办公楼里遇到的真实故障，整个排查过程值得完整讲一遍，因为它把本章几乎所有坑都串起来了。
现场：AC 配置照着模板抄了一遍，display vap ssid 全部 ON，手机能搜到 SSID，能输密码，但连上后"无 Internet"，手机显示 169.254.x.x 地址。
排查过程：
| 步骤 | 动作 | 结果 | 判断 |
|---|---|---|---|
| 1 | 手机看 IP 地址 | 169.254.x.x | 没拿到 DHCP 地址 |
| 2 | 交换机 display dhcp server ip-in-use |
池里只有 AP 的地址，没有终端 | 终端请求没到 DHCP 服务器 |
| 3 | display port vlan（AP 口） |
PVID 200，trunk 未放行 VLAN 10 | ← 有问题 |
| 4 | 核对转发方式 | 配置里是 forward-mode direct-forward |
直接转发！需要 AP 口放行 VLAN 10 |
| 5 | 交换机补 port trunk allow-pass vlan 10 |
手机立刻拿到 192.168.10.x | 解决 |
根因：模板是"隧道转发"场景写的，现场改成了直接转发，但没有同步改接入交换机 AP 口的放行 VLAN。这正是 19.3.4 表格里那一行"直接转发时 AP 口没放行 VLAN 10"。
教训：
- 改转发方式是最危险的变更之一，AC 和交换机必须作为"一件事"一起改。
display vap ssid显示 ON 完全不能证明数据能通——它只证明配置下发成功了，不证明数据路径正确。- 169.254.x.x 是"没拿到 DHCP 地址"的经典标志，看到它就直奔 DHCP 与 VLAN 方向，别去查密码和加密。
20.6.4 现场排查的"标准动作顺序"
把前面所有排错知识点压缩成一个可以背下来的顺序，现场照着走：
- 看灯：AP 灯正常吗？（不正常 → 第 19 章）
- 看 AC 上的 AP 状态：
display ap all是否 Normal。 - 看 VAP 状态：
display vap ssid <SSID>是否 ON。 - 看终端关联：
display station all里有没有这台终端。 - 看终端 IP：终端拿到的是 192.168.10.x 还是 169.254.x.x？
- 看 DHCP：交换机
display dhcp server ip-in-use有没有这台终端的租约。 - 看 VLAN 与端口：AP 口 PVID 是否正确、trunk 是否放行所需 VLAN。
- 看 AC 的三层接口：
display ip interface brief确认业务 VLANIF 存在且 UP。 - ping 网关 → ping DNS → 开网页，逐层验证。
- 看性能：
display station sta-mac看 RSSI / SNR / 速率。
这十步的价值在于：每一步都在缩小范围，而不是随机翻配置。按这个顺序走，任何无线故障平均能在 15 分钟内定位到具体层级。
20.7 新手踩坑与注意事项
- 四大模板建了、VAP 没绑 AP 组——症状：
display vap ssid全是 OFF，手机搜不到。避开：配完立刻display vap ssid <SSID>确认 Status 是 ON。 - H3C 忘了
service-template enable——症状：所有配置都对，SSID 就是不广播。避开：这是 H3C 头号坑，配完先查display wlan service-template的 status。 - 业务 VLAN 填成 AP 管理 VLAN——症状：终端和 AP 抢地址，AP 反而上不了线。避开：
service-vlan永远是 10 不是 200。 - WPA2 密码少于 8 位——症状：命令直接报错。避开：8~63 位 ASCII 字符；想要更强的密码，长一点比复杂一点更有效（长口令抗暴力破解）。
- 手动信道被自动调优覆盖——症状：配了 1 号信道，过几天变成 6 号了。避开：手动就关
calibrate auto-channel-select/auto-txpower-select，全自动就一个字都不手配。 - 2.4G 用了 40MHz——症状：看似更快，实际周围 AP 互相干扰，吞吐不稳。避开：2.4G 一律 20MHz。
radio 0/radio 1搞反（跨厂商）——症状：只有一个频段生效。避开：华为 0=2.4G、1=5G；H3C 1=2.4G、2=5G。- 射频模板忘
undo shutdown/radio enable——症状：AP 在线，SSID 不广播。避开：射频模板第一行就开射频。 - 直接转发没改交换机——症状：改完转发方式终端全体拿不到地址。避开：改 AC 时同步改交换机放行列表。
- 改密码前没通知——症状：改完安全模板，全公司无线掉线重连，用户投诉。避开：安全模板改动要选在业务低谷，并提前公告。
- 把测试密码用在生产——症状：
Huawei@123这种密码放在办公楼被蹭网。避开：生产用 16 位以上随机强密码，定期更换。
20.8 本章小结
20.8.1 要点清单
- 华为四件套：SSID 模板（名字）+ 安全模板（门禁）+ VAP 模板（缝合 + 转发 + VLAN）+ AP 组（派发）。缺一不可。
- H3C 一件套：
service-template把所有东西都装进去，然后绑 AP 组的射频；必须service-template enable。 - 业务 VLAN ≠ AP 管理 VLAN：业务 VLAN 10 给终端，管理 VLAN 200 给 AP。
- WPA2-PSK：4 次握手 + 共享密码，抗离线破解弱，靠强密码弥补。
- WPA3-SAE：SAE 握手，抗离线破解 + 前向保密 + 强制 PMF，但老终端不兼容；过渡期用混合模式。
- 信道规划：2.4G 只 1/6/11，20MHz；5G 尽量错开，40MHz 起步。
- 自动调优与手动配置不能混：手动就关 calibrate，自动就全交给 AC。
- 验证六步：能搜到 → 能连上 → 拿到 IP → ping 网关 → ping DNS → 能上网。
20.8.2 自测题
- 华为上 SSID 模板、安全模板、VAP 模板都配好了，但手机搜不到 Wi-Fi。最可能是漏了哪一步？怎么确认？
- 写出 H3C 服务模板里让 WPA2-PSK 生效的四条关键安全命令。
- 为什么自动调优开着的时候手动配信道会"失效"？
- WPA3-SAE 相比 WPA2-PSK 解决的核心安全问题是什么？为什么它要求 PMF？
- 隧道转发模式下，终端拿到
192.168.10.x的 IP 但 ping 不通网关192.168.10.1，你会先查哪里？
- 最可能是 VAP 模板没有绑定到 AP 组的射频上。确认：
display vap ssid wlan-office，如果Status为OFF就说明没下发；再看display ap id <ID>确认 AP 在正确的 AP 组。 akm mode psk、preshared-key pass-phrase simple <密码>、cipher-suite ccmp、security-ie rsn（另需service-template enable才能生效）。- 因为自动调优会周期性地重新计算并下发信道和功率，它会覆盖你在射频模板里手配的值。所以要么关掉
calibrate auto-channel-select/calibrate auto-txpower-select用全手动，要么完全不手配信道。 - 解决的是 抗离线字典破解：WPA2-PSK 抓包后可离线暴力破解 PTK；WPA3-SAE 每次猜测都必须与 AP 在线交互，攻击者无法离线跑字典，同时还提供前向保密。PMF 用于防止攻击者伪造管理帧（如 deauth 帧）把终端踢下线，WPA3 把它作为强制要求。
- 先查 AC 上 VLAN 10 的三层接口是否存在并且 UP（
display ip interface brief），因为隧道转发时 AC 需要以 VLAN 10 的身份把数据送进 VLAN；然后再查核心交换机上Vlanif10是否正常、VLAN 10 是否有成员端口（display vlan 10）。
关于本书：《华为 / H3C 网络设备典型功能配置详解》—— 面向国内高校/企业网络环境， 华为 VRP 与 H3C Comware 双厂商并排配置的实操教材，共 43 章。 全书所有命令尽量有官方出处，查不到的显式标注「待核实」。 返回系列目录
本人保留对侵权者及其全家发动因果律武器的权利
版权提醒
如无特殊申明，本站所有文章均是本人原创。转载请务必附上原文链接：https://www.elliot98.top/post/huawei-h3c-book/20/。
如有其它需要，请邮件联系！版权所有，违者必究！