企业官网建设流程全解析

简介：面向网络运维与无线工程师的Aruba配置学习文档，系统梳理了Aruba无线AP及AC的核心配置思路——以profile为单元分解无线参数，通过AP组和Virtual AP实现灵活复用与隔离。文档重点介绍AP组的参数继承与覆盖关系、Virtual AP在同一物理AP上提供差异化无线服务的方法，并逐一说明Wireless LAN、AP、QoS等主要Profile及子Profile的功能，包括SSID Profile认证加密设置、802.11k协议管理、高吞吐量Profile中的40MHz带宽开关、AAA Profile认证等，内容偏实战，适合需要掌握Aruba控制器方案的中级技术人员参考学习。资源为单个doc文档，体积仅1.06MB，便于下载后离线查阅。目前已获983人学习/下载，反映该主题具有不错的参考价值。读者可借此理解profile参数复用的设计逻辑，在实际部署时能更快定位相关配置项，减少排错时间。

1. 无线AP和AC配置：一份Aruba实战文档解决了什么

做无线项目最怕的不是设备性能不够，而是AP上线不上来、AC配置丢了都不知道。这份doc是某系统集成商无线项目组在实际交付过程中整理出来的Aruba无线AP及AC配置文档，从AC初始化、AP注册，到SSID下发、802.1X认证，再到排障命令，全是现场用过的参数和命令。它不是什么官方手册的搬运，更像是一份带着批注的操作记录。适合正在做园区无线覆盖的网络工程师，也适合刚接手Aruba设备、想照着配置一遍的运维新手。

2. AC与AP组网：先把结构理清，再动手初始化

Aruba的无线网络不是把AP插上电就能用的。AC（无线控制器）和AP之间必须建立控制隧道，之后数据流走哪条路，取决于你选的转发模式。文档开篇就在讲这个选择，因为在ArubaOS里，一个WLAN配置的forward-mode参数直接决定了后续所有SSID和Virtual AP的写法。

2.1 本地转发还是集中转发：转发模式决定配置路径

集中转发（Tunnel模式）下，AP把接收到的所有用户流量封装进CAPWAP隧道，统一送到AC处理。这样做的好处是策略集中下发、漫游切换时上下文同步更简单，但AC的吞吐能力决定了整个无线网络的性能上限。本地转发（Bridge模式）则相反，AP直接根据业务VLAN把用户流量从本地有线口转出去，AC只负责管理，减轻了AC的转发压力，适合视频监控或文件传输这类高带宽业务。

文档里给出的选型结论是：员工办公网用集中转发，监控和访客网用本地转发。这个决定不是拍脑袋，而是考虑到办公网需要做权限控制和流量审计，监控网则要避免大量视频流挤占AC出口。如果你接手的是一个已有项目，可以先用show datapath bridge命令查看当前VLAN是不是被硬件转发，确认现有模式再决定要不要改。

我一般会在开局前画一张组网图，把AP数量、业务类型和AC型号列出来，估算峰值流量。比如500个AP的园区，办公网全部走集中转发，AC的吞吐至少要留出两倍余量。这个估算方法在文档里没细讲，但我觉得比直接套模板更靠谱。

2.2 AC初始化：管理IP、VLAN、时区与NTP一处处来

拿到新AC，不要急着创建SSID。先把基础网络设施打好，否则后面所有状态都是虚的。文档里AC初始化的顺序是：管理VLAN、管理IP、默认路由、时区、NTP、国家码，最后保存。

管理VLAN通常用VLAN 1，但大型项目里建议单独划一个管理VLAN，避免和业务VLAN混在一起。配置命令如下：

(Aruba) # configure terminal (Aruba) (config) # interface vlan 1 (Aruba) (config-if) # ip address 192.168.10.2 255.255.255.0 (Aruba) (config-if) # no shutdown (Aruba) (config-if) # exit (Aruba) (config) # ip route 0.0.0.0 0.0.0.0 192.168.10.1 (Aruba) (config) # clock timezone CST +8 (Aruba) (config) # ntp server 192.168.10.1 (Aruba) (config) # countrycode CN

这里的interface vlan 1是管理VLAN接口，ip address后面是AC的管理IP和掩码。默认路由指向核心交换机的网关，这样AP即使跨网段也能回程到AC。clock timezone CST +8把时区设置为东八区，ntp server指定内网时间服务器，countrycode则告诉设备所在国家的射频法规。

参数看起来简单，但每一处都有坑。比如时区如果写成CST，在中国没问题，但有的设备上CST可能被解释成美国中部时间，所以我更习惯在文档里把时区和UTC偏移一起写清楚。再比如countrycode如果不配置，AP在申请射频信道时会失败，文档里专门标注了这条。

初始化后，我建议执行show interface vlan 1确认地址生效，再ping网关和NTP服务器。NTP同步状态可以用show ntp status查看。AC上的时间如果不准，后面RADIUS证书校验一定会失败，而且日志排查时时间轴对不上，非常难受。

2.3 AP发现与上线：广播、DHCP Option与固件下发

AP本身没有配置，它靠AC发现机制来确定和哪台控制器通信。Aruba支持L2广播、DNS A记录和DHCP Option 60三种发现方式。文档推荐跨三层部署用DHCP Option 60，因为L2广播只适用于同一广播域内的小规模部署。

我见过很多项目把AP和AC放在不同网段，却没有给DHCP服务器配置Option 60。AP一直在Discover状态反复跳跃，最后用抓包才能看到AP发的DHCP请求没有vendor class。以常见的Linux ISC DHCP服务器为例，为AP所在网段添加Option 60的配置是这样：

subnet 192.168.20.0 netmask 255.255.255.0 { range 192.168.20.100 192.168.20.200; option routers 192.168.20.1; option domain-name-servers 192.168.10.1; option vendor-class-identifier "ArubaAP"; option vendor-encapsulated-options "ArubaAP"; }

前半段是常规的IP地址池配置，重点在option vendor-class-identifier和option vendor-encapsulated-options。这两个参数告诉DHCP服务器，当前客户端是Aruba AP，并把控制器地址通过Option 60回传。如果DHCP服务器是Windows Server，需要在DHCP管理器中新建Option 60并设置为字符串类型。

AP拿到控制器地址后，会经历Discover、Join、Config三个阶段。在AC上用show ap ldb可以看AP学习到的控制器，用show ap database可以看到AP注册状态。如果AP一直停留在Discover，先查三层路由和AC的countrycode；如果停在Join，重点查AC的License是否够用。Aruba控制器的License数量决定能纳管多少AP，这点很容易被忽略，License不够时AP会反复尝试加入，但始终起不来。

另外，AP升级固件的过程也在这个阶段发生。AP首次加入时，AC会比对自身固件版本，如果不一致，AC会把固件通过FTP或TFTP发给AP，这个过程会触发AP重启。所以看到AP上线又重启不要慌，等两分钟再看状态。文档里建议提前把AP固件放在AC的firmware目录，避免临时找文件。

2.4 AP Group与上行链路冗余：多AP场景的分组配置

AP上线后，如果项目里有几十台AP，逐台配置会累死人。Aruba通过AP Group把相同型号、相同射频策略的AP分组，再统一应用配置。文档中在配置SSID之前，先创建AP Group，这样Virtual AP可以只绑定到指定分组。

创建AP Group的命令是：

(Aruba) (config) # ap-group "office-2f" (Aruba) (AP group "office-2f") # ap-type AP-515 (Aruba) (AP group "office-2f") # virtual-ap "vap-corp" (Aruba) (AP group "office-2f") # dot11k-profile (Aruba) (AP group "office-2f") # exit

ap-type指定该组AP的硬件型号，virtual-ap引入之前创建的无线服务模板，dot11k-profile启用802.11k邻区测量，为漫游做准备。AP加入AC后，可以通过LLDP或MAC地址自动归类到组里，也可以在AP的provisioning中手工指定分组。

另外，AP Group里有一个容易被忽略的参数是主备上行口。如果一个AP有多个以太网口，设置主备上行链路时需要在AP Group里定义。我们单位曾经因为没配置这个参数，导致AP主链路断了却不切换到备用链路，现场用户大面积掉线。文档里专门用了一页篇幅强调，实际部署时值得留意。

3. SSID、VLAN与认证：把无线业务从AC下发到AP

AP上线只是开始，真正体现配置功力的是SSID、VLAN和认证的配合。这个环节最容易出的问题是SSID建好了，但终端连上后无法访问业务网段；或者认证方式设错，导致不同部门互相干扰。文档第二部分用表格形式整理了业务规划，我把它复述成可执行的操作。

3.1 业务规划表：先定SSID、VLAN和认证方式

在动手敲命令前，先做一张规划表是值得的。文档里给了一张类似的表：

表中每一行都对应一套独立的SSID Profile和Virtual AP配置。员工网用802.1X认证，安全等级高；监控网因为流量大，走本地转发避免AC出接口拥塞；访客网用Web认证并做限速。这样规划之后，VLAN间的互访策略可以在有线侧ACL里控制。

注意表格里的转发模式和前面选择的架构是一一对应的，不要出现规划显示本地转发、配置时却写成集中转发的情况。我见过有人在Visio图上画的是本地转发，结果在AC上创建Virtual AP时忘了改forward-mode，用户流量全被隧道搬到AC，监控流量直接把AC出口打满。

3.2 配置SSID Profile与Virtual AP：从命令行到实际生效

Aruba的WLAN配置逻辑是先定义SSID Profile，再把它绑到Virtual AP上。SSID Profile决定无线信号的名字、加密算法和VLAN；Virtual AP决定这个SSID在哪些AP上生效、走什么转发模式。两步缺一不可。

以员工网为例，在ArubaOS上创建SSID Profile的命令如下：

(Aruba) (config) # wlan ssid-profile "Corp-WiFi" (Aruba) (SSID Profile "Corp-WiFi") # essid "Corp-WiFi" (Aruba) (SSID Profile "Corp-WiFi") # vlan 100 (Aruba) (SSID Profile "Corp-WiFi") # opmode wpa2-aes (Aruba) (SSID Profile "Corp-WiFi") # no wpa-passphrase (Aruba) (SSID Profile "Corp-WiFi") # dot1x (Aruba) (SSID Profile "Corp-WiFi") # max-authentication-failures 3 (Aruba) (SSID Profile "Corp-WiFi") # exit

这段命令里essid指定广播出来的热点名称；vlan指定用户接入后所属的VLAN；opmode wpa2-aes表示加密方式采用WPA2-AES；no wpa-passphrase和dot1x组合意味着当前SSID走802.1X认证，不设置预共享密钥。max-authentication-failures是认证重试次数，设得太小容易出现终端偶尔输错密码就被踢下线的情况，文档里建议保留默认或设为3。

接着创建Virtual AP：

(Aruba) (config) # wlan virtual-ap "vap-corp" (Aruba) (Virtual AP "vap-corp") # ssid-profile "Corp-WiFi" (Aruba) (Virtual AP "vap-corp") # forward-mode system (Aruba) (Virtual AP "vap-corp") # band-steering (Aruba) (Virtual AP "vap-corp") # deny-ssid on (Aruba) (Virtual AP "vap-corp") # exit

ssid-profile把刚才定义的无线配置绑定进来；forward-mode system表示沿用SSID Profile里设置的转发方式；band-steering用于引导支持5G的终端优先连5GHz频段；deny-ssid on会把当前Virtual AP的SSID隐藏起来。这几个参数里，band-steering对办公网体验提升很明显，但要注意如果AP覆盖密度不够，反而会造成部分终端找不到信号。

配置完后不是马上生效，文档特意提醒执行write memory保存，然后用show wlan virtual-ap验证状态。否则设备重启后一切回到原点。

3.3 认证方案选型：WPA2-PSK与802.1X的取舍

文档里对认证方案做了一个很直白的判断：员工网能用802.1X就别用PSK，访客网用Web认证更合适。PSK虽然配置简单，但密钥一旦泄露就没有细粒度管控；802.1X则可以通过RADIUS服务器做到一人一账号。

下表是常见认证方式的对比：

如果选用802.1X，AC上要把RADIUS服务器地址和密钥配置好，并在SSID Profile里引用。常见做法是在ArubaOS里用aaa authentication-server radius命令添加RADIUS Server：

(Aruba) (config) # aaa authentication-server radius "radius-server" (Aruba) (RADIUS Server "radius-server") # host 192.168.10.5 (Aruba) (RADIUS Server "radius-server") # key "secret123" (Aruba) (RADIUS Server "radius-server") # exit (Aruba) (config) # wlan ssid-profile "Corp-WiFi" (Aruba) (SSID Profile "Corp-WiFi") # dot1x-server-group "radius-server" (Aruba) (SSID Profile "Corp-WiFi") # exit

host后面是RADIUS服务器的IP，key是和服务器协商的共享密钥，两边必须完全一致。dot1x-server-group把认证流量导向这个RADIUS服务组。文档里提到一个容易翻车的点：AC到RADIUS服务器的连通性和共享密钥。很多人配完发现认证失败，原因往往不是配置命令写错，而是RADIUS端口不通或密钥前后不一致。

我在现场的习惯是先在AC上ping RADIUS服务器，再检查1812端口是否可达。如果没有现成工具，可以用show aaa test-server测试RADIUS连通性。这样能把问题定位在配置之前。

3.4 访客Web认证与限速：开放SSID怎么配才安全

访客网络不能完全开放，否则任何人都能进来。文档里的做法是开放+Web认证，用户连上SSID后打开浏览器会跳转到认证页面，输入手机号或访客码才能上网。配置上需要先定义Web认证服务器地址和模板，再在Virtual AP里启用。

在ArubaOS上，一个简易的Web认证配置步骤如下：

(Aruba) (config) # aaa authentication-server web "guest-auth" (Aruba) (Web Auth Server "guest-auth") # server-type web (Aruba) (Web Auth Server "guest-auth") # url https://192.168.10.6:8080/portal (Aruba) (Web Auth Server "guest-auth") # exit (Aruba) (config) # wlan ssid-profile "Guest-WiFi" (Aruba) (SSID Profile "Guest-WiFi") # essid "Guest-WiFi" (Aruba) (SSID Profile "Guest-WiFi") # vlan 300 (Aruba) (SSID Profile "Guest-WiFi") # opmode opensystem (Aruba) (SSID Profile "Guest-WiFi") # web-auth (Aruba) (SSID Profile "Guest-WiFi") # exit

这里的url指向的是认证页面，生产环境一般用Portal Server或Aruba的外部防火墙来做。opmode opensystem表示不加密，配合web-auth使用；vlan 300是访客VLAN。注意，开放SSID如果不做限速，很容易被个别用户占满带宽。在Virtual AP里可以加上带宽限制：

(Aruba) (config) # wlan virtual-ap "vap-guest" (Aruba) (Virtual AP "vap-guest") # ssid-profile "Guest-WiFi" (Aruba) (Virtual AP "vap-guest") # bandwidth-limit upstream 10240 (Aruba) (Virtual AP "vap-guest") # bandwidth-limit downstream 20480

bandwidth-limit upstream后面的单位是Kbps，10240表示上行10Mbps，20480是下行20Mbps。文档里特别提醒：如果Web认证用的Portal页面是HTTPS，AC上必须导入对应证书，否则页面会弹出安全警告甚至直接拦截。这个证书问题让我在项目上线时吃过亏，后来每次配置访客网络前都会先确认Portal证书链路。

4. 射频与漫游：影响终端体验的隐藏参数

很多无线网络故障看起来是设备坏了，实际上是射频参数没调好。第3章把SSID和认证做完，只能保证终端能连上；想让终端移动时不断线、低延迟，还得看射频和漫游的配置。文档在这一部分用了不少篇幅标红，专门讲容易被忽略的参数。

4.1 信道规划与发射功率：先画覆盖图再调参数

AP的信道和功率不能全指望自动。默认情况下Aruba会自动选择信道，但在高密度办公区，自动信道容易频繁调整，导致终端信号抖动。文档里的做法是先找一个非高峰时段做现场勘测，根据AP实际安装位置画覆盖图，再手动指定2.4G和5G信道。

2.4G频段只有1、6、11三个互不干扰信道，所以相邻AP必须错开。5G频段可用信道多，但DFS信道要避开雷达信号，文档建议在不支持DFS的终端较多的场景里优先用36-48、149-165这些常见信道。功率方面，室内AP的发射功率建议设置在10-15dBm，不要为了省事直接拉满。功率太大会造成覆盖重叠，终端反而频繁漫游，这个属于典型的“好心办坏事”。

ArubaOS里手动指定信道和功率的命令是：

(Aruba) (config) # ap-group "office-2f" (Aruba) (AP group "office-2f") # rf-band 5ghz (Aruba) (RF Band "office-2f") # channel 36 (Aruba) (RF Band "office-2f") # eirp 12 (Aruba) (RF Band "office-2f") # exit

channel 36指定5G主信道，eirp 12把等效全向辐射功率设为12dBm。这里要注意eirp并不是AP的发射功率，而是发射功率加天线增益后的结果。如果天线增益是3dBi，那么AP的发射功率实际是9dBm，调整时要先把天线增益算进去。

4.2 漫游增强：band-steering、802.11k/v/r与ClientMatch

终端漫游本来是个终端侧行为，大部分手机要等到信号差到一定程度才会主动切换。Aruba的做法是通过AC上的软件特性引导客户端更早、更平滑地切换。文档中把这些特性分成了三层：band-steering负责频段引导，802.11k/v/r负责加快漫游信息交互，ClientMatch负责抑制粘滞。

band-steering在前面创建Virtual AP时已经提过，它对支持5G的终端优先广播5G信号，减少2.4G频段拥塞。802.11k让AP告诉终端附近有哪些邻居AP，802.11v让AP可以建议终端切换，802.11r则把重认证过程缩短，三者通常一起开启：

(Aruba) (config) # wlan virtual-ap "vap-corp" (Aruba) (Virtual AP "vap-corp") # dot11k (Aruba) (Virtual AP "vap-corp") # dot11r (Aruba) (Virtual AP "vap-corp") # dot11v (Aruba) (Virtual AP "vap-corp") # client-match (Aruba) (Virtual AP "vap-corp") # exit

dot11k、dot11r、dot11v对应三个协议开关，client-match启用Aruba的动态负载均衡。注意，不是所有终端都支持这些特性，老款手机驱动可能在开启802.11r后出现偶尔断连。文档里的经验是先在测试SSID上启用并观察两天，确认没有问题再全量放开。

漫游参数还有一个容易忽视的点：快速漫游依赖AC和AP之间的隧道信息同步，所以集中转发模式下漫游效果明显；在本地转发模式下，客户端切换AP时如果两个AP的VLAN配置不一致，还是会出现IP短暂中断。因此，启用漫游增强前，先确认同一SSID在相关AP上归属同一个Virtual AP，这是基础。

5. 避坑指南：Aruba无线配置的五类翻车现场

下面这些坑是文档里被标注过的问题，也是我实际项目中反复遇到过的。每一条都按现象、原因、解决的顺序展开，直接对应现场排障。

5.1 AP一直Down，控制器看不到设备

现象是show ap database里AP状态一直显示Down，AP指示灯不规律闪烁，AC日志提示Discovery失败。

原因通常是三类：一是AP和AC不在同一二层网络，而且DHCP没有下发Option 60，AP找不到AC；二是AC的countrycode没有设置，AP拒绝上线；三是AP固件版本和AC版本差距过大，握手不成功。

解决方法是依次排查。先在AP所在的交换机上确认端口是Trunk还是Access，VLAN放通是否正确；再确认DHCP服务器是否给AP分配了正确网关；然后在AC上执行show ap debug system-status看AP是否达到Join阶段。如果发现版本不兼容，先把AC升级到与AP匹配的固件版本。文档里的建议是AP固件版本尽量和AC一致，至少不能跨过三个大版本。

5.2 AP上线后反复重启，固件版本不一致

现象是AP能上线，但几分钟后自动重启，日志里有Transfer Firmware的记录。

原因是Aruba控制器在AP加入时，会检查AP固件版本。如果AP固件版本低于AC要求，AC会强制下发匹配的固件，这个过程中AP会重启一两次。如果网络链路不稳定，固件下载一半就中断，AP就会反复重启。

解决方法是提前把AP固件上传到AC的FTP或TFTP目录，并在AP Group里指定固件路径。常见做法是在Controller配置界面里找到AP Group的Firmware标签页，手动指定AP型号对应的固件文件。另外，升级固件前先把AP数减少到可控范围，避免AC同时给大量AP下发固件导致带宽拥塞。之前做过一个项目，一次性上线80台AP，结果AC的出口带宽全被固件下载占满，业务系统卡了十分钟。

5.3 SSID能扫描到，但终端获取不到IP

现象是手机能搜到SSID，输密码后连接正常，但一直显示获取IP地址中，最后连接失败。

原因通常是DHCP请求没有被正确转发到DHCP服务器。在集中转发模式下，AP把用户流量封在CAPWAP隧道里送到AC，AC需要配置VLAN对应的DHCP Relay；在本地转发模式下，AP需要配置管理VLAN和业务VLAN，并且业务VLAN的DHCP服务器要可达。

解决方法是先确认终端连在哪个VLAN下，可以在AC上用show clients查看用户IP，然后检查AC接口是否有对应的DHCP Relay配置。命令如下：

(Aruba) (config) # interface vlan 100 (Aruba) (config-if) # ip helper-address 192.168.10.5

ip helper-address把广播的DHCP请求转发给内网DHCP服务器。如果走本地转发，则要检查AP上联交换机是否配置了正确的DHCP Relay。文档特别提到，有些项目把DHCP服务器放在核心网段，却忘了在AC的VLAN接口上做Relay，导致终端始终拿不到地址。

5.4 802.1X认证失败，RADIUS服务器无响应

现象是终端连接员工SSID时一直转圈，最终提示密码错误或连接失败，但同一个账号在另一套设备上却能正常登录。

原因通常是三个：AC上的RADIUS共享密钥和服务器不一致、AC到服务器的1812端口被防火墙拦截、或者AC上配置的RADIUS服务器地址写成了不可达地址。

解决方法第一步在AC上ping RADIUS服务器地址，确认网络通；第二步用show aaa test-server测一下RADIUS认证链路；第三步检查共享密钥。如果前面都正常，再看RADIUS服务器的日志，看有没有收到AC发来的Access-Request。文档里强调，很多所谓的认证失败其实是网络层的问题，先测连通性，再查配置，不要一开始就怀疑设备。

5.5 配置保存后重启丢失，白忙一场

现象是辛苦配置好的VLAN、SSID、认证全部生效，结果AC一次断电重启后，配置全没了。

原因是配置没有写回存储介质。ArubaOS的命令行模式下，配置默认只存在运行配置里，需要用write memory或copy running-config startup-config保存。

解决方法是配置完成后强制保存。建议在每次完成一个功能块后都执行一次保存，而不是等项目全部做完再保存。可以用以下命令查看当前保存状态：

(Aruba) (config) # show configuration (Aruba) (config) # write memory

文档里还提醒：如果AC做了集群，主备AC之间配置同步有延迟，切换前要确认配置已经同步到Standby控制器上。这个坑在中小项目里不算常见，但一遇到就很容易慌乱。

6. 最后：把配置文档用起来，验证Aruba配置的三步走

拿到这份doc，很多人会顺着从头到尾敲一遍命令，但在生产环境里这么干容易出事。我现在的习惯是分三步走：先备份、再执行、最后验证。

第一步，把AC当前配置和AP列表完整导出一份，用write memory保存当前状态，确保任何时候都能回退。第二步，对照文档逐条执行，每完成一组命令就用show命令确认状态，别一口气把几十条命令全部粘贴进去。有些命令有前后依赖，批量粘贴如果中间出错，很难定位。第三步，用一个测试AP和一台测试终端验证SSID接入、DHCP获取、认证三大项，确认无误后再面向全网上线。

在测试环境里，我一般会先把文档中的基础命令在模拟软件里跑一遍，确认没有语法错误后再上真实设备。虽然没有完全模拟ArubaOS的工具，但命令格式和逻辑关系可以提前验证一遍。

有一次做大范围割接，我跳过备份直接刷配置，结果一个AC的时区没设对，导致RADIUS证书时间校验失败，无线认证中断了半小时。从那以后，我每次碰Aruba设备都强制走一遍备份、逐条执行、验证的固定流程。希望这份文档的使用体验能帮你避开这些坑，也希望刚才梳理的配置路径和排障记录能在现场帮到你。

本文还有配套的精品资源，点击获取