园区里挂着上千台 AP，网络管理员如何用一台 AC 实现“一键调度”？

在家庭 Wi-Fi 环境中，我们买回来的无线路由器叫做 “胖 AP（FAT AP / 自治型 AP）”：它集射频发射、路由转发、DHCP 分配、安全认证于一身。家里有一两台尚可应付，但如果在拥有 500 台 AP 的大学校园里：

如果密码要改，管理员要跑断腿去给 500 台设备逐一敲命令；
没有任何全局视角，相邻 AP 互相瞎调信道和功率，导致全网严重的同频干扰打架。

为了解决这一管理瓶颈，现代企业级无线局域网全面普及了 “无线控制器（AC, Access Controller）+ 瘦接入点（FIT AP）” 的集中式控制架构。

连接这两者的大脑神经中枢，就是著名的网络协议——无线接入点控制与配置协议（CAPWAP）（无线接入点控制与配置协议）！

学完本课后，你将能够：

辨析 FAT AP 与 FIT AP 的核心架构差异（控制与转发解耦）。
识记 CAPWAP 协议在传输层的两个神级标准端口号：控制通道 UDP 5246 与 数据通道 UDP 5247。
掌握 FIT AP 从上电、获取 IP、跨三层发现 AC（依靠 DHCP Option 43）到加载配置入网的五步曲。
深刻理解 华为 ICT 大赛与企业级实战的核心考点：直接转发（本地转发）（本地转发）与隧道转发（集中转发）（集中转发）的报文路径与性能优劣。

1. 瘦身革命：控制与转发在无线的重演

如同我们在第 33 课中学到的路由器软硬分离一样，WLAN 同样走上了控制与转发分离的道路：

瘦 AP（FIT AP）：被彻底剥离了复杂的大脑。它本身不保存任何长期配置，像个纯粹的“射频天线信号转换器”。上电后所有参数全部听从指挥。
无线控制器（AC）：中央指挥官。负责整网 AP 的自动化配置下发、射频功率全局校准、用户统一身份认证（802.1X / Portal）、漫游导航与流控策略。

2. 神经中枢：CAPWAP 协议与双通道端口

连接 AC 与 AP 的唯一通用标准协议是 无线接入点控制与配置协议（CAPWAP）（RFC 5415 / 5416）。它直接构建在 UDP 协议 之上，分为两条性质截然不同的通道：

CAPWAP 控制与数据转发模式对比图

通道名称	默认 UDP 端口	传输内容与加密特性
控制通道（Control Channel）	UDP 5246	负责 AC 对 AP 的日常管控、状态心跳（Echo Request/Reply）、固件升级包与无线 SSID 配置下发。默认强制启用 DTLS（数据报传输层安全）高强度加密！
数据通道（Data Channel）	UDP 5247	负责在隧道转发模式下，将手机和笔记本产生的用户业务应用数据（网页、视频、微信聊天）打包送给 AC。缺省不加密（提高转发性能，可选 DTLS）。

3. FIT AP 自动发现 AC 的五步上线之旅

一台崭新的 FIT AP 从包装箱里拆出插上网线，它是如何神奇地找到位于核心机房的 AC 的？

获取自身 IP 与 AC 线索：
- AP 通过 DHCP 广播（UDP 68/67）获取本地 IP 地址；
- 关键联动：正如在第 28 课中所学，DHCP 服务器在回包中通过 Option 43 字段附带 AC 的真实 IP 地址！
发送 Discovery Request（发现请求）：
- 若在同一个二层局域网，AP 直接发广播搜寻 AC；
- 若跨越三层网络，AP 根据 Option 43 获取到的 AC IP，向其单播发送 CAPWAP Discovery Request。
建立 DTLS 安全隧道：
- AC 收到后验证 AP 身份（通过 MAC 或内置制造序列号 SN 白名单），双方协商 DTLS 密钥，控制通道正式被加密锁死。
Join 与版本升级检查：
- AP 向 AC 发送 Join Request 正式申请入编；
- AC 检查 AP 的固件版本，若版本陈旧，AC 自动将匹配的系统固件推送到 AP 闪存中完成热升级并重启。
Config 状态与配置就绪（Run）：
- AC 将该 AP 所在 AP 组（AP-Group）的无线配置（包含 Wi-Fi 名字 SSID、密码、信道、功率）下发给 AP；
- AP 开始发射电磁波，状态跃迁至 Run 正常工作状态！

4. 华为 ICT 大赛真题王牌：直接转发 vs 隧道转发

当手机连上 AP 开始下载爱奇艺高清视频时，这几十兆的数据流在网络中到底是怎么走的？
华为 WLAN 架构提供了两种经典的转发阵营：

模式一：隧道转发（集中转发）（集中转发 / CAPWAP 隧道转发）

数据路径：手机 $\to$ AP $\to$ （封装入 CAPWAP 数据隧道 UDP 5247） $\to$ 跨越有线交换机 $\to$ 核心机房的 AC 解封装 $\to$ 出口路由器 $\to$ 互联网。
优点：
1. 集中安全控制：所有手机的数据包全部汇聚到核心机房的 AC 肚子里，方便管理员部署全局深层内容审计、入侵防御与计费；
2. 有线网络配置极简：中间沿途所有的二层交换机只需允许 AP 的管理 VLAN 通行即可，完全不需要在交换机上逐台配置复杂的业务 VLAN。
缺点（致命软肋）：AC 极易成为性能堵塞点！ 如果有 2000 个用户在看 4K 视频，海量流量全涌进 AC，AC 的 CPU 和背板带宽会瞬间被撑爆。

模式二：直接转发（本地转发）（本地转发 / 直接转发）

数据路径：手机 $\to$ AP $\to$ （AP 本地直接剥离 802.11 无线头，转为 802.3 以太网帧并打上用户业务 VLAN Tag） $\to$ 直接进入本地有线交换机线速转发 $\to$ 出口路由器 $\to$ 互联网！
AC 的处境：AC 仅仅通过 UDP 5246 与 AP 聊管理命令，海量的用户视频流量完全绕过 AC，根本不碰 AC 一根毫毛！
优点：彻底释放 AC 负担！ 支持园区万兆超高吞吐，链路延迟低，是当今大型企业园区的绝对首选！
缺点：中间所有的有线接入交换机必须放行用户的业务 VLAN。

5. 华为 VRP 设备实战配置片段

在华为无线控制器（AC）上创建一个基础的企业无线网络：

text

[AC] wlan                                         # 进入 WLAN 视图
[AC-wlan-view] security-profile name sec_corp     # 创建安全模板
[AC-wlan-sec-prof-sec_corp] security wpa2 psk pass-phrase Huawei@123 aes # 配置 WPA2 密码

[AC-wlan-view] ssid-profile name ssid_corp        # 创建 SSID 模板
[AC-wlan-ssid-prof-ssid_corp] ssid Huawei-Corp   # 无线 Wi-Fi 名称

[AC-wlan-view] vap-profile name vap_corp          # 创建虚拟接入点 VAP 模板
[AC-wlan-vap-prof-vap_corp] forward-mode direct-forward  # ★ 设为直接转发（本地转发）模式！
[AC-wlan-vap-prof-vap_corp] service-vlan vlan-id 101    # 绑定用户业务 VLAN 101
[AC-wlan-vap-prof-vap_corp] security-profile sec_corp   # 引用安全模板
[AC-wlan-vap-prof-vap_corp] ssid-profile ssid_corp      # 引用 SSID 模板

[AC-wlan-view] ap-group name default              # 下发给默认 AP 组
[AC-wlan-ap-group-default] vap-profile vap_corp wlan 1 radio all # 在所有射频射出！

6. 课后核心测验

7. 下一步学习

理解了 AC + FIT AP 的集中控制与直接转发之后，我们必须正视当今无线技术的最新皇冠——Wi-Fi 6（802.11ax）。

为什么 Wi-Fi 6 能在几千人的演唱会或展厅高密会场实现“多终端同时并发传输而不排队卡顿”？

下一课，让我们深入解析：第 42 课 · Wi-Fi 6（802.11ax）：OFDMA、MU-MIMO 与高密变革！

园区里挂着上千台 AP，网络管理员如何用一台 AC 实现“一键调度”？ ​

1. 瘦身革命：控制与转发在无线的重演 ​

2. 神经中枢：CAPWAP 协议与双通道端口 ​

3. FIT AP 自动发现 AC 的五步上线之旅 ​

4. 华为 ICT 大赛真题王牌：直接转发 vs 隧道转发 ​

模式一：隧道转发（集中转发）（集中转发 / CAPWAP 隧道转发） ​

模式二：直接转发（本地转发）（本地转发 / 直接转发） ​

5. 华为 VRP 设备实战配置片段 ​

6. 课后核心测验 ​

7. 下一步学习 ​