1. 多楼层组网为什么需要统一接入？
想象一下这样的场景：一栋五层的办公楼，每层都有几十台电脑、打印机、手机和平板电脑。如果每层楼的网络都独立配置，管理员需要分别维护五个不同的网络系统，光是IP地址冲突就够头疼的了。更不用说当员工需要跨楼层协作时，网络访问权限和资源调用的复杂性会呈指数级增长。
这就是为什么现代企业网络越来越倾向于采用统一接入方案。华为AC+AP架构的核心优势在于，它能够通过有线口配置将不同物理位置的终端设备纳入同一个逻辑网络。具体来说，这套方案解决了三个痛点：
- 管理碎片化：传统方案中，有线和无线网络往往使用不同的管理平台，而华为方案可以在AC控制器上统一配置
- 资源浪费：独立的网络意味着重复的DHCP服务器、认证系统和安全策略
- 移动性差：员工带着笔记本在不同楼层移动时，可能需要手动切换网络配置
我去年参与过一个银行网点的改造项目，他们原先每个柜台都使用独立的小路由器，结果每天至少有两三起网络故障。改用华为AC+AP方案后，不仅故障率下降了80%，运维人员的工作量也减少了近一半。
2. 组网前的关键规划要点
2.1 VLAN规划的艺术
VLAN划分是统一接入的基础，但很多新手容易犯两种错误：要么划分得太粗（所有设备挤在一个VLAN），要么太细（每个房间一个VLAN）。根据我的经验，办公场景推荐采用"黄金分割"方案：
- 管理VLAN：建议使用VLAN 100作为设备管理专用，与业务流量完全隔离
- 楼层维度：每个楼层分配两个连续VLAN号，比如101/102给一楼，201/202给二楼
- 业务类型：奇数VLAN分配给无线用户，偶数VLAN给有线用户
这种规划有个实际好处：当你在凌晨三点排查故障时，看到192.168.101.x的IP地址，马上就能知道这是一楼无线设备，不用再去翻设计文档。
2.2 网段设计的隐藏技巧
IP地址分配看似简单，但埋着不少坑。有个客户曾经因为直接使用10.0.0.0/8这个大网段，导致后期扩容时各种路由问题。推荐采用这种结构化设计：
| VLAN用途 | VLAN ID | 网段示例 | 备注 |
|---|---|---|---|
| 管理网络 | 100 | 10.1.100.0/24 | AP和交换机管理专用 |
| 一楼无线 | 101 | 10.1.101.0/24 | 建议预留1-50给固定设备 |
| 一楼有线 | 102 | 10.1.102.0/24 | 打印机建议使用静态IP |
| 二楼无线 | 201 | 10.1.201.0/24 | |
| 二楼有线 | 202 | 10.1.202.0/24 |
这种设计还有个隐藏优势：在防火墙上做策略时，可以用10.1.101.0/22这样的汇总路由一次性覆盖所有楼层无线网络，大大减少规则数量。
3. 交换机配置的魔鬼细节
3.1 接入层交换机配置
很多工程师在配置交换机时，容易忽略PVID的重要性。去年我就遇到一个案例：AP能上线但有线用户获取不到IP，折腾半天发现是trunk口的PVID没设对。正确的配置应该是这样的：
sysname SW1 vlan batch 100 101 102 # interface GigabitEthernet0/0/1 # 上行口 port link-type trunk port trunk allow-pass vlan 100 to 102 # interface GigabitEthernet0/0/2 # 连接AP的接口 port link-type trunk port trunk pvid vlan 100 # 关键配置！ port trunk allow-pass vlan 100 to 102特别注意两点：
- 连接AP的接口必须设置PVID为管理VLAN（这里是100）
- allow-pass的VLAN范围要包含该楼层所有业务VLAN
3.2 核心交换机配置
核心交换机的配置要点在于VLAN间路由和DHCP中继。华为设备的便利之处在于可以直接在VLANIF接口上启用DHCP：
interface Vlanif101 ip address 10.1.101.1 255.255.255.0 dhcp select interface dns-list 8.8.8.8 # 别忘了配置DNS实测中发现一个常见问题：当DHCP服务异常时，Windows客户端会随机获取169.254.x.x的地址。这时候可以先用这条命令排查：
display dhcp server statistics # 查看DHCP报文统计4. AC控制器的实战配置
4.1 无线业务配置三板斧
无线配置的核心是三个模板的联动：安全模板、SSID模板和VAP模板。建议按这个顺序配置：
- 安全模板：WPA2-PSK是最常用的，但密码复杂度有讲究
wlan security-profile name office_secure security wpa-wpa2 psk pass-phrase %^%#ComplexP@ssw0rd2023%^%# aes- SSID模板：命名要有规律，比如"公司名_楼层_用途"
ssid-profile name 1F_WiFi ssid Finance_1F_Staff- VAP模板：注意转发模式选择
vap-profile name 1F_Staff forward-mode tunnel # 集中转发更易管理 service-vlan vlan-id 101 # 对应一楼无线VLAN ssid-profile 1F_WiFi security-profile office_secure4.2 有线口配置的隐藏坑点
AP的有线口配置最容易出问题，特别是当有线用户获取到管理VLAN的IP时。正确的配置姿势是：
wired-port-profile name 1F_Eth mode endpoint # 必须设为终端模式 vlan pvid 102 # 有线用户VLAN vlan untagged 102 # 关键配置！ # ap-group name 1F_Group wired-port-profile 1F_Eth gigabitethernet 1 # 绑定AP的eth1口 vap-profile 1F_Staff wlan 1遇到过最诡异的问题是：配置完全正确，但有线用户就是拿不到IP。后来发现需要重启AP才能生效，所以建议配置完成后执行：
reset ap 1F_AP1 # 重启指定AP5. 验证与排错指南
5.1 基础连通性测试
配置完成后，建议按这个checklist逐步验证：
- AP上线状态：
display ap all # 查看所有AP状态正常应该显示"normal"，如果看到"fault"就要检查物理连接
- 无线关联测试：
display station ssid Finance_1F_Staff # 查看关联终端- 有线获取IP测试： 在PC上执行：
ipconfig /release && ipconfig /renew应该获取到10.1.102.x段的地址
5.2 经典故障处理方案
故障现象：有线用户获取到10.1.100.x的地址（管理VLAN）
排查步骤：
- 检查AP有线口配置：
display wired-port-profile name 1F_Eth确认vlan pvid和untagged设置正确
- 检查交换机端口配置：
display current-configuration interface GigabitEthernet0/0/2确认PVID不是100
- 终极方案：重启AP
reset ap 1F_AP1故障现象：无线能连上但无法上网
排查步骤：
- 检查VLANIF接口状态：
display ip interface brief | include Vlanif101确认接口物理和协议状态都是up
- 检查DHCP分配：
display dhcp server ip-in-use看是否有客户端记录
- 检查路由表：
display ip routing-table确认有默认路由
6. 高级优化技巧
6.1 负载均衡实战
当单层楼部署多个AP时，需要配置负载均衡避免所有终端都连同一个AP。华为提供两种方式：
- 基于用户数的均衡：
ap-group name 1F_Group load-balance enable load-balance mode user-number- 基于流量的均衡：
ap-group name 1F_Group load-balance enable load-balance mode traffic实测发现，在开放办公区使用用户数均衡效果更好，而在会议室区域适合用流量均衡。
6.2 射频调优经验
2.4G频段干扰严重，建议采取这些措施：
- 将相邻AP的频道错开，至少间隔4个频道：
radio-policy name 2.4G_Opt channel-mode fixed channel 1 6 11 # 只用这三个非重叠频道 # ap-group name 1F_Group radio 0 radio-policy 2.4G_Opt- 适当降低发射功率：
radio-policy name 2.4G_Opt tx-power 15 # 默认是20，适当降低可减少干扰5G频段则相反，可以增大功率提高覆盖：
radio-policy name 5G_Opt channel 149 153 157 161 tx-power 23 # 适当提高在最近一个项目中，通过这种优化方案，无线网络的吞吐量提升了35%，投诉率下降了60%。
