简介本资源为高校无线校园WLAN方案文档面向高教、普教、职教等教育行业网络规划与运维人员以及需要设计校园无线组网方案的技术人员。方案围绕高密终端并发接入、有线无线认证不统一、权限管理复杂、学生账号共享等典型挑战展开涵盖射频优化、智能负载均衡、协议栈加速、多元化认证与端到端安全架构等核心内容并给出教学区与宿舍区的具体覆盖场景。资源包共1个docx文件约282KB内容为完整的方案说明文档便于直接查阅与参考。目前已有142人学习下载。读者可从中获取校园WLAN组网的问题分析、方案价值、认证与权限设计思路以及图书馆、教室、宿舍等场景的落地建议适合作为方案撰写、项目选型或技术学习的参考材料。1. 高校无线校园WLAN方案从认证到射频一套能落地的完整思路每年开学季高校网络中心最怕接到两类电话一类是“宿舍Wi-Fi连上了但打不开网页”另一类是“教学楼信号满格却刷不出视频”。这两个问题背后其实指向同一件事——无线校园WLAN方案从来不是买一堆AP挂墙上就完事它是一套涉及认证授权、射频规划、漫游切换、出口策略的系统工程。我做过几个校区覆盖项目最大的感受是方案设计阶段偷的懒会在运维阶段以十倍工作量还回来。这篇文章面向高校网络中心的工程师、集成商售前售后以及正在准备华为WLAN相关认证的从业者把从需求梳理到上线排障的完整路径拆开讲。读完你至少能判断自己学校的场景该选什么认证方式、AP布点怎么算、射频参数怎么调、出问题时先查哪里。2. 认证先行Portal、802.1X和MAC认证到底怎么选2.1 三种认证方式的适用场景与协议交互高校无线校园WLAN方案里认证是第一个绕不开的决策点。常见做法有三种Portal认证、802.1X认证、MAC地址认证。它们不是互斥关系很多学校是组合使用——教学楼走Portal宿舍区走802.1X打印机和IoT设备走MAC认证。Portal认证的本质是“先放行二层再用HTTP重定向拦截”。用户连上SSID后拿到IP第一次访问网页时被AC无线控制器重定向到认证页面输入账号密码后AC向Radius服务器发起认证请求。这个过程对终端零要求什么设备都能用缺点是每次断线重连都要重新认证而且重定向页面在某些App内嵌浏览器里会翻车。802.1X认证则是在二层就卡住。终端发起EAPOL握手AC作为认证者Authenticator把凭证转发给Radius服务器认证通过才放行网络。它支持一次认证、多次漫游适合宿舍这种长时间在线的场景。但802.1X对终端有要求——Windows、macOS、iOS、Android都原生支持但一些老旧的IoT设备可能没有 supplicant。MAC认证是兜底方案AC拿终端的MAC地址去Radius查白名单。适合打印机、投影仪、摄像头这类没有浏览器的设备。缺点是MAC地址可以伪造安全性最低一般只在内网隔离区域使用。认证方式终端要求漫游体验安全性典型场景Portal无需重新认证中教学楼、图书馆802.1X需supplicant无感漫游高宿舍、办公区MAC无无感低IoT、打印机2.2 用FreeRADIUS搭建认证服务的实操步骤不管选哪种认证方式后端都需要一个Radius服务器。我用得最多的是FreeRADIUS开源、稳定、文档全。下面是在Ubuntu 22.04上跑通Portal802.1X混合认证的最小配置。# 安装FreeRADIUS和MySQL模块 apt update apt install freeradius freeradius-mysql mysql-server -y # 创建数据库和用户 mysql -u root -pCREATE DATABASE radius; CREATE USER radiuslocalhost IDENTIFIED BY Radius2024; GRANT ALL PRIVILEGES ON radius.* TO radiuslocalhost; FLUSH PRIVILEGES; USE radius; SOURCE /etc/freeradius/3.0/mods-config/sql/main/mysql/schema.sql;# 启用SQL模块 ln -s /etc/freeradius/3.0/mods-available/sql /etc/freeradius/3.0/mods-enabled/sql # 编辑SQL模块配置 vim /etc/freeradius/3.0/mods-available/sql# sql模块关键参数 sql { driver rlm_sql_mysql dialect mysql server localhost port 3306 login radius password Radius2024 radius_db radius read_clients yes client_table nas }# 重启服务并测试 systemctl restart freeradius systemctl status freeradius # 用radtest验证 radtest testuser testpass localhost 0 testing123这段配置的逻辑是FreeRADIUS通过SQL模块把用户凭证和NAS客户端信息存到MySQL认证时查库比对。read_clients yes表示NAS设备也就是AC的信息也从数据库读方便批量管理。radtest命令里的testing123是默认的共享密钥生产环境必须改掉。参数方面nas表里需要填入AC的IP和共享密钥radcheck表里存用户密码支持Cleartext-Password、MD5-Password等多种格式。如果要做Portal认证还需要在AC上配置重定向URL指向认证页面页面提交后调用Radius的API或者直接由AC发起认证请求。注意FreeRADIUS默认的testing123密钥只能用于测试上线前务必在clients.conf或数据库里改成强密钥并且限制NAS的源IP。2.3 和华为WLAN控制器对接时容易忽略的参数如果用的是华为AC对接FreeRADIUS时有几个参数容易配错。第一是共享密钥华为AC上叫“共享密钥”FreeRADIUS的nas表里叫secret两边必须完全一致包括大小写。第二是认证端口华为默认用1812认证和1813计费FreeRADIUS默认也是这两个但如果改了要同步。第三是NAS-IP-Address华为AC默认发送的是AC的管理IP如果AC有多个接口要在Radius模板里指定源IP否则FreeRADIUS可能匹配不到nas表里的记录。还有一个血泪经验华为AC的Portal认证模板里有个“认证成功后跳转URL”如果填了外网地址用户认证成功后会被跳转到外网但此时如果DNS还没生效页面会显示“无法访问”。我一般会填一个内网的静态页提示“认证成功请关闭页面重新连接”。3. 射频规划AP布点和信道分配的工程算法3.1 从覆盖需求反推AP数量的估算方法射频规划是无线校园WLAN方案里最容易被低估的环节。很多方案直接按“一间教室一个AP”拍脑袋结果要么信号打架要么角落没覆盖。我一般用“覆盖面积÷单AP有效覆盖面积×修正系数”来估算。单AP的有效覆盖面积取决于场景开放办公区约200-300平方米教室约80-120平方米宿舍走廊约150-200平方米走廊布放。修正系数取1.2-1.5因为要考虑墙体衰减、人流密度、干扰。比如一栋教学楼有30间教室每间80平方米总面积2400平方米按每AP覆盖100平方米算需要24个AP再乘1.3的修正系数约31个AP。但这只是起点。实际布点时还要考虑AP不能放在金属吊顶内不能靠近微波炉和蓝牙设备高密度场景如报告厅要增加AP密度但降低单AP功率。我习惯在图纸上先标出“必须覆盖”的区域再标出“可以接受弱覆盖”的区域最后按AP的覆盖半径画圆看有没有盲区。3.2 2.4G和5G信道规划的具体参数表信道规划的核心原则是2.4G只用1、6、11三个非重叠信道5G优先用UNII-1和UNII-3频段避开DFS信道因为雷达检测会导致AP突然换信道。频段可用信道推荐信道单AP带宽发射功率2.4G1-131、6、1120MHz10-15dBm5G UNII-136-4836、4440MHz15-17dBm5G UNII-252-64避开--5G UNII-2e100-144避开--5G UNII-3149-165149、15740MHz15-17dBm2.4G的发射功率建议压到10-15dBm因为2.4G穿墙能力强功率太高会导致相邻AP互相干扰。5G可以到15-17dBm但也要根据AP间距调整。如果AP间距小于15米2.4G功率再降3dBm。华为AC上调整射频参数的命令如下# 进入AP的射频模板 wlan radio-2g-profile name default channel 20mhz 1 transmit-power 12 radio-5g-profile name default channel 40mhz 36 transmit-power 16这段配置的意思是2.4G射频固定用1信道、20MHz带宽、12dBm功率5G射频固定用36信道、40MHz带宽、16dBm功率。固定信道比自动选信道更稳定因为自动选信道可能在雷达检测或干扰变化时跳变导致终端断线。但固定信道需要前期做好规划否则同频干扰会更严重。3.3 漫游优化让终端在AP之间“无感切换”漫游是无线校园WLAN方案里最影响体验的部分。如果漫游没做好用户从走廊走到教室视频会卡顿、游戏会掉线。漫游的关键是让终端尽快从旧AP切到新AP同时保持IP不变。802.11r快速BSS切换是最有效的方案。它让终端在切换前就完成认证密钥的协商切换时不需要重新走802.1X认证。华为AC上开启802.1X的r模式wlan security-profile name wlan-sec 8021x dot1x-reauth-period 3600 pmf optional ft enable ft-over-ds enableft enable开启快速切换ft-over-ds enable允许通过DS分布式系统转发切换帧。dot1x-reauth-period 3600表示每3600秒重新认证一次太短会增加认证服务器压力太长会降低安全性。除了802.11r还要注意AP的部署密度。如果AP间距太大终端会“粘”在旧AP上直到信号极弱才切换导致漫游延迟。一般建议相邻AP的信号重叠区域在15%-20%之间既保证覆盖连续又不会互相干扰。提示不是所有终端都支持802.11r。iOS和较新的Android都支持但一些老设备可能不兼容。如果发现某些设备漫游异常可以在AC上针对这些设备关闭r模式或者单独建一个SSID。4. 出口策略和认证页面从10.8.8.8到Portal的完整链路4.1 认证页面重定向的三种实现方式Portal认证的体验好坏一半取决于认证页面的加载速度。用户连上Wi-Fi后如果认证页面半天弹不出来就会以为网络坏了。常见的重定向方式有三种AC本地重定向、外部Web服务器重定向、DNS劫持重定向。AC本地重定向是把认证页面放在AC的Flash里用户访问任何HTTP请求都被AC拦截并返回本地页面。优点是速度快、不依赖外部服务器缺点是页面修改麻烦需要重新上传。华为AC的配置wlan portal-profile name portal-auth portal-type local portal-url http://10.8.8.8/portal.html auth-type radiusportal-type local表示本地重定向portal-url是AC上存放页面的地址。用户访问http://10.8.8.8时AC会返回这个页面。外部Web服务器重定向是把页面放在独立的Web服务器上AC只负责把用户请求重定向到该服务器。优点是页面可以随时改支持HTTPS缺点是依赖网络连通性。配置时把portal-type改成externalportal-url填Web服务器的地址。DNS劫持重定向是最“暴力”的方式AC拦截所有DNS请求把用户要访问的域名解析到认证服务器IP。这种方式兼容性最好但会影响用户访问其他内网服务一般不推荐。4.2 认证成功后放行策略和计费对接用户认证成功后AC需要放行其流量。这里有个容易翻车的点如果AC的默认策略是“认证前拒绝所有”那认证成功后必须显式放行。华为AC的配置wlan traffic-profile name wlan-traffic user-isolation disable rate-limit client up 4096 rate-limit client down 8192user-isolation disable关闭用户隔离允许同一SSID下的用户互访如果不需要互访可以开启。rate-limit限制单用户上下行带宽防止个别用户占满带宽。高校场景一般上行4Mbps、下行8Mbps起步高密度区域可以再降。计费对接方面如果学校有计费系统需要在FreeRADIUS的radacct表里记录会话信息并通过interim-update定期更新。华为AC上开启计费radius-server template radius-auth accounting-server 10.8.8.10 1813 accounting-onaccounting-on表示AC启动时发送计费开始包interim-update的间隔在AC的全局配置里设置一般5-10分钟。4.3 10.8.8.8这类认证入口的排障思路很多学校的认证入口是10.8.8.8或类似的内网地址。用户反馈“打不开认证页面”时我一般按以下顺序排查第一步确认用户是否拿到了IP。如果终端显示“已连接但无法访问互联网”先看IP是不是169.254开头。如果是说明DHCP没拿到地址问题在DHCP服务器或VLAN配置。第二步确认AC的重定向策略是否生效。在AC上display portal查看Portal服务器状态如果显示“down”检查AC到Portal服务器的路由。第三步确认DNS是否正常。有些终端在认证前会先做DNS查询如果DNS服务器不可达浏览器会直接报错不会触发重定向。可以在AC上配置“DNS透明代理”把认证前的DNS请求都指向AC自己。第四步确认浏览器是否拦截了重定向。部分浏览器尤其是手机自带浏览器会拦截HTTP重定向提示“不安全”。解决办法是认证页面用HTTPS或者在AC上配置“HTTPS重定向”。5. 避坑指南高校WLAN上线后最容易翻车的五个点5.1 现象宿舍区晚上8点集体掉线原因宿舍区用户密集晚上8点是高峰期如果AP的并发连接数超过规格或者Radius服务器响应超时会导致大量用户同时掉线。华为AC默认的Radius超时是5秒重传3次高峰期可能不够。解决把Radius超时改成3秒重传2次同时增加Radius服务器数量做负载均衡。另外宿舍区建议用802.1X而不是Portal因为802.1X的认证在二层完成不依赖HTTP高峰期更稳定。5.2 现象教学楼信号满格但网速极慢原因信号满格只代表终端和AP之间的无线链路质量好不代表空口不拥堵。如果同一信道上有多个AP或者有大量低速终端如老旧的2.4G设备空口效率会急剧下降。解决用display station查看AP下的终端数量和速率如果发现大量终端协商速率低于54Mbps说明空口被低速终端拖累。可以在AC上开启“低速终端限制”把低于12Mbps的终端踢掉或者引导它们用5G。5.3 现象802.1X认证失败提示“证书错误”原因802.1X的EAP-TLS方式需要终端安装客户端证书如果证书过期或不受信任认证会失败。很多学校用EAP-PEAP用户名密码方式但如果Radius服务器的证书是自签名的终端也会报错。解决如果是EAP-PEAP在AC上配置“不验证服务器证书”dot1x eap-peap no-verify-server或者把Radius服务器的CA证书导入终端。如果是EAP-TLS检查证书有效期和CRL证书吊销列表是否可达。5.4 现象漫游时视频卡顿但ping不丢包原因ping不丢包只代表网络层连通不代表应用层不卡。漫游时如果切换延迟超过50ms视频流就会卡顿。802.11r虽然能减少认证时间但如果AP之间的信号重叠区域太小终端会在信号很弱时才切换导致切换前丢包。解决调整AP的发射功率增大重叠区域。一般建议相邻AP的信号强度在-65dBm到-70dBm之间重叠。另外开启AC的“智能漫游”功能让AC主动引导终端切换到信号更好的AP。5.5 现象认证页面在部分手机上弹不出来原因不同手机对Captive Portal的检测机制不同。iOS会主动访问captive.apple.comAndroid会访问connectivitycheck.gstatic.com。如果AC没有正确拦截这些探测请求手机就不会弹出认证页面。解决在AC上配置“Captive Portal检测”把上述域名加入重定向白名单。华为AC的配置wlan portal-profile name portal-auth captive-portal detect-url http://captive.apple.com captive-portal detect-url http://connectivitycheck.gstatic.com这样手机在连接Wi-Fi后会自动弹出认证页面不需要用户手动打开浏览器。6. 进阶技巧用SNMP和Syslog做无线网络的“黑匣子”上线只是开始运维才是长期战场。我习惯在AC上开启SNMP和Syslog把关键指标推送到监控平台。SNMP可以采集AP的在线数、终端数、信道利用率、噪声电平等Syslog可以记录认证失败、AP掉线、射频干扰等事件。# 华为AC开启SNMP和Syslog snmp-agent snmp-agent community read cipher Public123 snmp-agent sys-info version v2c snmp-agent target-host trap address udp 10.8.8.20 params securityname Public123 v2c info-center enable info-center loghost 10.8.8.21 info-center source default channel loghost log level informationalsnmp-agent community read设置只读团体字target-host trap指定监控服务器地址。info-center loghost把日志推送到Syslog服务器log level informational表示记录信息级及以上日志。监控平台可以用Zabbix或Prometheus我一般用Zabbix的SNMP模板重点监控三个指标AP在线率低于95%告警、单AP终端数超过50告警、信道利用率超过60%告警。Syslog里重点抓“authentication fail”和“AP offline”两个关键字前者说明认证有问题后者说明AP掉线。还有一个后悔药如果AC的配置改错了导致无法登录可以用Console线连上去在BootROM里恢复出厂配置。但恢复出厂会丢失所有配置所以改配置前一定要save并备份。我现在的习惯是每次改配置前先display current-configuration导出到本地改完再对比一遍。希望帮到你。本文还有配套的精品资源点击获取 高校无线校园WLAN方案：认证、射频规划与漫游优化实战指南
简介本资源为高校无线校园WLAN方案文档面向高教、普教、职教等教育行业网络规划与运维人员以及需要设计校园无线组网方案的技术人员。方案围绕高密终端并发接入、有线无线认证不统一、权限管理复杂、学生账号共享等典型挑战展开涵盖射频优化、智能负载均衡、协议栈加速、多元化认证与端到端安全架构等核心内容并给出教学区与宿舍区的具体覆盖场景。资源包共1个docx文件约282KB内容为完整的方案说明文档便于直接查阅与参考。目前已有142人学习下载。读者可从中获取校园WLAN组网的问题分析、方案价值、认证与权限设计思路以及图书馆、教室、宿舍等场景的落地建议适合作为方案撰写、项目选型或技术学习的参考材料。1. 高校无线校园WLAN方案从认证到射频一套能落地的完整思路每年开学季高校网络中心最怕接到两类电话一类是“宿舍Wi-Fi连上了但打不开网页”另一类是“教学楼信号满格却刷不出视频”。这两个问题背后其实指向同一件事——无线校园WLAN方案从来不是买一堆AP挂墙上就完事它是一套涉及认证授权、射频规划、漫游切换、出口策略的系统工程。我做过几个校区覆盖项目最大的感受是方案设计阶段偷的懒会在运维阶段以十倍工作量还回来。这篇文章面向高校网络中心的工程师、集成商售前售后以及正在准备华为WLAN相关认证的从业者把从需求梳理到上线排障的完整路径拆开讲。读完你至少能判断自己学校的场景该选什么认证方式、AP布点怎么算、射频参数怎么调、出问题时先查哪里。2. 认证先行Portal、802.1X和MAC认证到底怎么选2.1 三种认证方式的适用场景与协议交互高校无线校园WLAN方案里认证是第一个绕不开的决策点。常见做法有三种Portal认证、802.1X认证、MAC地址认证。它们不是互斥关系很多学校是组合使用——教学楼走Portal宿舍区走802.1X打印机和IoT设备走MAC认证。Portal认证的本质是“先放行二层再用HTTP重定向拦截”。用户连上SSID后拿到IP第一次访问网页时被AC无线控制器重定向到认证页面输入账号密码后AC向Radius服务器发起认证请求。这个过程对终端零要求什么设备都能用缺点是每次断线重连都要重新认证而且重定向页面在某些App内嵌浏览器里会翻车。802.1X认证则是在二层就卡住。终端发起EAPOL握手AC作为认证者Authenticator把凭证转发给Radius服务器认证通过才放行网络。它支持一次认证、多次漫游适合宿舍这种长时间在线的场景。但802.1X对终端有要求——Windows、macOS、iOS、Android都原生支持但一些老旧的IoT设备可能没有 supplicant。MAC认证是兜底方案AC拿终端的MAC地址去Radius查白名单。适合打印机、投影仪、摄像头这类没有浏览器的设备。缺点是MAC地址可以伪造安全性最低一般只在内网隔离区域使用。认证方式终端要求漫游体验安全性典型场景Portal无需重新认证中教学楼、图书馆802.1X需supplicant无感漫游高宿舍、办公区MAC无无感低IoT、打印机2.2 用FreeRADIUS搭建认证服务的实操步骤不管选哪种认证方式后端都需要一个Radius服务器。我用得最多的是FreeRADIUS开源、稳定、文档全。下面是在Ubuntu 22.04上跑通Portal802.1X混合认证的最小配置。# 安装FreeRADIUS和MySQL模块 apt update apt install freeradius freeradius-mysql mysql-server -y # 创建数据库和用户 mysql -u root -pCREATE DATABASE radius; CREATE USER radiuslocalhost IDENTIFIED BY Radius2024; GRANT ALL PRIVILEGES ON radius.* TO radiuslocalhost; FLUSH PRIVILEGES; USE radius; SOURCE /etc/freeradius/3.0/mods-config/sql/main/mysql/schema.sql;# 启用SQL模块 ln -s /etc/freeradius/3.0/mods-available/sql /etc/freeradius/3.0/mods-enabled/sql # 编辑SQL模块配置 vim /etc/freeradius/3.0/mods-available/sql# sql模块关键参数 sql { driver rlm_sql_mysql dialect mysql server localhost port 3306 login radius password Radius2024 radius_db radius read_clients yes client_table nas }# 重启服务并测试 systemctl restart freeradius systemctl status freeradius # 用radtest验证 radtest testuser testpass localhost 0 testing123这段配置的逻辑是FreeRADIUS通过SQL模块把用户凭证和NAS客户端信息存到MySQL认证时查库比对。read_clients yes表示NAS设备也就是AC的信息也从数据库读方便批量管理。radtest命令里的testing123是默认的共享密钥生产环境必须改掉。参数方面nas表里需要填入AC的IP和共享密钥radcheck表里存用户密码支持Cleartext-Password、MD5-Password等多种格式。如果要做Portal认证还需要在AC上配置重定向URL指向认证页面页面提交后调用Radius的API或者直接由AC发起认证请求。注意FreeRADIUS默认的testing123密钥只能用于测试上线前务必在clients.conf或数据库里改成强密钥并且限制NAS的源IP。2.3 和华为WLAN控制器对接时容易忽略的参数如果用的是华为AC对接FreeRADIUS时有几个参数容易配错。第一是共享密钥华为AC上叫“共享密钥”FreeRADIUS的nas表里叫secret两边必须完全一致包括大小写。第二是认证端口华为默认用1812认证和1813计费FreeRADIUS默认也是这两个但如果改了要同步。第三是NAS-IP-Address华为AC默认发送的是AC的管理IP如果AC有多个接口要在Radius模板里指定源IP否则FreeRADIUS可能匹配不到nas表里的记录。还有一个血泪经验华为AC的Portal认证模板里有个“认证成功后跳转URL”如果填了外网地址用户认证成功后会被跳转到外网但此时如果DNS还没生效页面会显示“无法访问”。我一般会填一个内网的静态页提示“认证成功请关闭页面重新连接”。3. 射频规划AP布点和信道分配的工程算法3.1 从覆盖需求反推AP数量的估算方法射频规划是无线校园WLAN方案里最容易被低估的环节。很多方案直接按“一间教室一个AP”拍脑袋结果要么信号打架要么角落没覆盖。我一般用“覆盖面积÷单AP有效覆盖面积×修正系数”来估算。单AP的有效覆盖面积取决于场景开放办公区约200-300平方米教室约80-120平方米宿舍走廊约150-200平方米走廊布放。修正系数取1.2-1.5因为要考虑墙体衰减、人流密度、干扰。比如一栋教学楼有30间教室每间80平方米总面积2400平方米按每AP覆盖100平方米算需要24个AP再乘1.3的修正系数约31个AP。但这只是起点。实际布点时还要考虑AP不能放在金属吊顶内不能靠近微波炉和蓝牙设备高密度场景如报告厅要增加AP密度但降低单AP功率。我习惯在图纸上先标出“必须覆盖”的区域再标出“可以接受弱覆盖”的区域最后按AP的覆盖半径画圆看有没有盲区。3.2 2.4G和5G信道规划的具体参数表信道规划的核心原则是2.4G只用1、6、11三个非重叠信道5G优先用UNII-1和UNII-3频段避开DFS信道因为雷达检测会导致AP突然换信道。频段可用信道推荐信道单AP带宽发射功率2.4G1-131、6、1120MHz10-15dBm5G UNII-136-4836、4440MHz15-17dBm5G UNII-252-64避开--5G UNII-2e100-144避开--5G UNII-3149-165149、15740MHz15-17dBm2.4G的发射功率建议压到10-15dBm因为2.4G穿墙能力强功率太高会导致相邻AP互相干扰。5G可以到15-17dBm但也要根据AP间距调整。如果AP间距小于15米2.4G功率再降3dBm。华为AC上调整射频参数的命令如下# 进入AP的射频模板 wlan radio-2g-profile name default channel 20mhz 1 transmit-power 12 radio-5g-profile name default channel 40mhz 36 transmit-power 16这段配置的意思是2.4G射频固定用1信道、20MHz带宽、12dBm功率5G射频固定用36信道、40MHz带宽、16dBm功率。固定信道比自动选信道更稳定因为自动选信道可能在雷达检测或干扰变化时跳变导致终端断线。但固定信道需要前期做好规划否则同频干扰会更严重。3.3 漫游优化让终端在AP之间“无感切换”漫游是无线校园WLAN方案里最影响体验的部分。如果漫游没做好用户从走廊走到教室视频会卡顿、游戏会掉线。漫游的关键是让终端尽快从旧AP切到新AP同时保持IP不变。802.11r快速BSS切换是最有效的方案。它让终端在切换前就完成认证密钥的协商切换时不需要重新走802.1X认证。华为AC上开启802.1X的r模式wlan security-profile name wlan-sec 8021x dot1x-reauth-period 3600 pmf optional ft enable ft-over-ds enableft enable开启快速切换ft-over-ds enable允许通过DS分布式系统转发切换帧。dot1x-reauth-period 3600表示每3600秒重新认证一次太短会增加认证服务器压力太长会降低安全性。除了802.11r还要注意AP的部署密度。如果AP间距太大终端会“粘”在旧AP上直到信号极弱才切换导致漫游延迟。一般建议相邻AP的信号重叠区域在15%-20%之间既保证覆盖连续又不会互相干扰。提示不是所有终端都支持802.11r。iOS和较新的Android都支持但一些老设备可能不兼容。如果发现某些设备漫游异常可以在AC上针对这些设备关闭r模式或者单独建一个SSID。4. 出口策略和认证页面从10.8.8.8到Portal的完整链路4.1 认证页面重定向的三种实现方式Portal认证的体验好坏一半取决于认证页面的加载速度。用户连上Wi-Fi后如果认证页面半天弹不出来就会以为网络坏了。常见的重定向方式有三种AC本地重定向、外部Web服务器重定向、DNS劫持重定向。AC本地重定向是把认证页面放在AC的Flash里用户访问任何HTTP请求都被AC拦截并返回本地页面。优点是速度快、不依赖外部服务器缺点是页面修改麻烦需要重新上传。华为AC的配置wlan portal-profile name portal-auth portal-type local portal-url http://10.8.8.8/portal.html auth-type radiusportal-type local表示本地重定向portal-url是AC上存放页面的地址。用户访问http://10.8.8.8时AC会返回这个页面。外部Web服务器重定向是把页面放在独立的Web服务器上AC只负责把用户请求重定向到该服务器。优点是页面可以随时改支持HTTPS缺点是依赖网络连通性。配置时把portal-type改成externalportal-url填Web服务器的地址。DNS劫持重定向是最“暴力”的方式AC拦截所有DNS请求把用户要访问的域名解析到认证服务器IP。这种方式兼容性最好但会影响用户访问其他内网服务一般不推荐。4.2 认证成功后放行策略和计费对接用户认证成功后AC需要放行其流量。这里有个容易翻车的点如果AC的默认策略是“认证前拒绝所有”那认证成功后必须显式放行。华为AC的配置wlan traffic-profile name wlan-traffic user-isolation disable rate-limit client up 4096 rate-limit client down 8192user-isolation disable关闭用户隔离允许同一SSID下的用户互访如果不需要互访可以开启。rate-limit限制单用户上下行带宽防止个别用户占满带宽。高校场景一般上行4Mbps、下行8Mbps起步高密度区域可以再降。计费对接方面如果学校有计费系统需要在FreeRADIUS的radacct表里记录会话信息并通过interim-update定期更新。华为AC上开启计费radius-server template radius-auth accounting-server 10.8.8.10 1813 accounting-onaccounting-on表示AC启动时发送计费开始包interim-update的间隔在AC的全局配置里设置一般5-10分钟。4.3 10.8.8.8这类认证入口的排障思路很多学校的认证入口是10.8.8.8或类似的内网地址。用户反馈“打不开认证页面”时我一般按以下顺序排查第一步确认用户是否拿到了IP。如果终端显示“已连接但无法访问互联网”先看IP是不是169.254开头。如果是说明DHCP没拿到地址问题在DHCP服务器或VLAN配置。第二步确认AC的重定向策略是否生效。在AC上display portal查看Portal服务器状态如果显示“down”检查AC到Portal服务器的路由。第三步确认DNS是否正常。有些终端在认证前会先做DNS查询如果DNS服务器不可达浏览器会直接报错不会触发重定向。可以在AC上配置“DNS透明代理”把认证前的DNS请求都指向AC自己。第四步确认浏览器是否拦截了重定向。部分浏览器尤其是手机自带浏览器会拦截HTTP重定向提示“不安全”。解决办法是认证页面用HTTPS或者在AC上配置“HTTPS重定向”。5. 避坑指南高校WLAN上线后最容易翻车的五个点5.1 现象宿舍区晚上8点集体掉线原因宿舍区用户密集晚上8点是高峰期如果AP的并发连接数超过规格或者Radius服务器响应超时会导致大量用户同时掉线。华为AC默认的Radius超时是5秒重传3次高峰期可能不够。解决把Radius超时改成3秒重传2次同时增加Radius服务器数量做负载均衡。另外宿舍区建议用802.1X而不是Portal因为802.1X的认证在二层完成不依赖HTTP高峰期更稳定。5.2 现象教学楼信号满格但网速极慢原因信号满格只代表终端和AP之间的无线链路质量好不代表空口不拥堵。如果同一信道上有多个AP或者有大量低速终端如老旧的2.4G设备空口效率会急剧下降。解决用display station查看AP下的终端数量和速率如果发现大量终端协商速率低于54Mbps说明空口被低速终端拖累。可以在AC上开启“低速终端限制”把低于12Mbps的终端踢掉或者引导它们用5G。5.3 现象802.1X认证失败提示“证书错误”原因802.1X的EAP-TLS方式需要终端安装客户端证书如果证书过期或不受信任认证会失败。很多学校用EAP-PEAP用户名密码方式但如果Radius服务器的证书是自签名的终端也会报错。解决如果是EAP-PEAP在AC上配置“不验证服务器证书”dot1x eap-peap no-verify-server或者把Radius服务器的CA证书导入终端。如果是EAP-TLS检查证书有效期和CRL证书吊销列表是否可达。5.4 现象漫游时视频卡顿但ping不丢包原因ping不丢包只代表网络层连通不代表应用层不卡。漫游时如果切换延迟超过50ms视频流就会卡顿。802.11r虽然能减少认证时间但如果AP之间的信号重叠区域太小终端会在信号很弱时才切换导致切换前丢包。解决调整AP的发射功率增大重叠区域。一般建议相邻AP的信号强度在-65dBm到-70dBm之间重叠。另外开启AC的“智能漫游”功能让AC主动引导终端切换到信号更好的AP。5.5 现象认证页面在部分手机上弹不出来原因不同手机对Captive Portal的检测机制不同。iOS会主动访问captive.apple.comAndroid会访问connectivitycheck.gstatic.com。如果AC没有正确拦截这些探测请求手机就不会弹出认证页面。解决在AC上配置“Captive Portal检测”把上述域名加入重定向白名单。华为AC的配置wlan portal-profile name portal-auth captive-portal detect-url http://captive.apple.com captive-portal detect-url http://connectivitycheck.gstatic.com这样手机在连接Wi-Fi后会自动弹出认证页面不需要用户手动打开浏览器。6. 进阶技巧用SNMP和Syslog做无线网络的“黑匣子”上线只是开始运维才是长期战场。我习惯在AC上开启SNMP和Syslog把关键指标推送到监控平台。SNMP可以采集AP的在线数、终端数、信道利用率、噪声电平等Syslog可以记录认证失败、AP掉线、射频干扰等事件。# 华为AC开启SNMP和Syslog snmp-agent snmp-agent community read cipher Public123 snmp-agent sys-info version v2c snmp-agent target-host trap address udp 10.8.8.20 params securityname Public123 v2c info-center enable info-center loghost 10.8.8.21 info-center source default channel loghost log level informationalsnmp-agent community read设置只读团体字target-host trap指定监控服务器地址。info-center loghost把日志推送到Syslog服务器log level informational表示记录信息级及以上日志。监控平台可以用Zabbix或Prometheus我一般用Zabbix的SNMP模板重点监控三个指标AP在线率低于95%告警、单AP终端数超过50告警、信道利用率超过60%告警。Syslog里重点抓“authentication fail”和“AP offline”两个关键字前者说明认证有问题后者说明AP掉线。还有一个后悔药如果AC的配置改错了导致无法登录可以用Console线连上去在BootROM里恢复出厂配置。但恢复出厂会丢失所有配置所以改配置前一定要save并备份。我现在的习惯是每次改配置前先display current-configuration导出到本地改完再对比一遍。希望帮到你。本文还有配套的精品资源点击获取