H3C 无线产品通用优化操作

规范说明

新华三技术有限公司 http://www.h3c.com   资料版本：6W101-20230415

 

1 无线产品通用优化操作规范

1.1  （必选）信号强度达标

1.1.1  应用说明

首先，信号覆盖的强度是第一位的，所有优化操作方式都以满足信号强度为基础。目标覆盖区域的信号覆盖强度要求不低于-65dBm。

特别，对于使用500mW大功率AP的场景，除了关注终端侧信号强度，也要同时关注AP侧检测的RSSI强度，确保上行和下行信号强度都能达标。一般RSSI大于30为良好，低于20为较差。

<AC>display wlan client verbose

Total number of clients: 64

 

 MAC address                       : 0cd6-bd00-a98e 

 IPv4 address                      : N/A

 ……

 RSSI                              : 40

 Rx/Tx rate                        : 72.2/72.2

1.1.2  部署建议

在部署设备时，AP或者天线要尽量部署在距离目标区域较近的位置，并保证无金属板、厚墙等削弱无线信号的障碍物。

对于宿舍或者教室类应用场景，不建议在楼道部署AP，这种覆盖方式会导致两个方面的问题：

·     AP信号穿墙后，房间内的信号会较弱，可能无法满足终端的接入信号要求；

·     AP全楼道部署会导致AP之间覆盖区域重叠较多，干扰较难控制。

对于教室、会议室等高密接入场景，建议AP直接入室放装；对于宿舍、酒店、公寓楼等场景，可以考虑采用X分、面板等低成本部署方案。

1.2  （必选）信道规划和设置固定信道

1.2.1  应用说明

信道规划和功率调整将是WLAN网络的首要的、最先实施的优化方法。

在实际的安装部署中，为了保证信号覆盖的质量，必须部署相应数量的AP，就可能导致AP的覆盖范围出现重叠，AP之间互相可见。如果所有的AP都工作在相同信道，这些AP只能共享一个信道的频率资源，造成整个WLAN网络性能较低。WLAN协议本身提供了一些不重叠的物理信道，可以构建多个虚拟的独立的WLAN网络，各个网络独立使用一个信道的带宽，例如使用2.4G频段时，可以使用1、6、11三个非重叠信道构建WLAN网络。

同时信道规划调整需要考虑三维空间的信号覆盖情况，无论是水平方向还是垂直方向都要做到无线的蜂窝式覆盖，最大可能的避免同楼层和上下楼层间的同频干扰。

 

图1-1 信道规划示意图

 

1.2.2  配置说明

【命令一】

channel channel-number

【参数】

channel-number：手动配置的射频工作信道。取值范围由国家码和射频模式决定。

【使用指导】

手工指定工作信道模式时，请不要使用雷达信道。

Radio视图下配置的优先级高于AP组Radio视图下的配置。

【举例】

# 配置射频工作信道号为149。（Radio视图）

<Sysname> system-view

[Sysname] wlan ap ap1 model WA6320

[Sysname-wlan-ap-ap1] radio 1

[Sysname-wlan-ap-ap1-radio-1] channel 149

# 配置射频工作信道号为149。（AP组Radio视图）

<Sysname> system-view

[Sysname] wlan ap-group apgroup1

[Sysname-wlan-ap-group-apgroup1] ap-model WA6320

[Sysname-wlan-ap-group-apgroup1-ap-model WA6320] radio 1

[Sysname-wlan-ap-group-apgroup1-ap-model-WA6320-radio-1] channel 149

 【命令二】

channel band-width { 20 | 40 [ auto-switch ] | 80 | { 160 | dual-80 } [ secondary-channel channel-number ] }

【参数】

20：将带宽模式设置成20MHz。

40：将带宽模式设置成40MHz。

80：将带宽模式设置成80MHz。

auto-switch：允许在20MHz和40MHz之间自动切换。仅当Radio模式为dot11gn和dot11gac模式时，支持配置本参数。

160：将带宽模式设置成160MHz。本参数的支持情况与AP的型号有关，请以设备的实际情况为准。

dual-80：将带宽模式设置成（80+80）MHz。本参数的支持情况与AP的型号有关，请以设备的实际情况为准。

secondary-channel channel-number：手工配置160/(80+80)MHz带宽模式下的辅信道。本参数的支持情况与AP的型号有关，请以设备的实际情况为准。

【使用指导】

该命令仅对802.11n、802.11ac、802.11gac、802.11ax和802.11gax类型的Radio有效。当Radio模式切换时，带宽恢复切换模式下的缺省值。

·     在指定带宽为40MHz情况下，如果找到两条可以绑定到一起的相邻信道，那么使用40MHz带宽；如果找不到可以绑定的相邻信道，那么实际只能使用20MHz带宽。

·     在指定带宽为80MHz情况下，如果找到一组可以绑定为80MHz的相邻信道，那么使用80MHz带宽；如果找不到可以绑定为80MHz的一组信道，但可以找到两条可以绑定为40MHz带宽的信道，那么使用40MHz带宽；如果找不到可以绑定的信道，那么实际只能使用20MHz带宽。

·     在指定带宽为160MHz情况下，如果找到一组可以绑定为160MHz的相邻信道，那么使用160MHz带宽；如果找不到可以绑定为160MHz的一组信道，但可以找到一组绑定为80MHz的相邻信道，那么使用80MHz带宽；如果找不到可以绑定为80MHz的一组信道，但可以找到一组绑定为40MHz带宽的信道，那么使用40MHz带宽；如果找不到可以绑定的信道，那么实际只能使用20MHz带宽。

·     在指定带宽为（80+80）MHz情况下，如果找到一组可以绑定为160MHz的相邻信道，那么使用160MHz带宽；如果找不到可以绑定为160MHz的一组信道，但可以找到两组虽不相邻，但每组都可以绑定为80MHz的相邻信道，那么使用（80+80）MHz带宽；如果找不到可以绑定为（80+80）MHz的一组信道，但可以找到一组绑定为80MHz的相邻信道，那么使用80MHz带宽；如果找不到可以绑定为80MHz的一组信道，但可以找到一组绑定为40MHz带宽的信道，那么使用40MHz带宽；如果找不到可以绑定的信道，那么实际只能使用20MHz带宽。

根据协议规定，射频实际工作频宽一分为二，其中第一个频宽所处位置由主信道决定，第二个频宽所处位置由辅信道决定。主信道发送数据帧和所有的控制、管理帧；辅信道与主信道捆绑，仅发送数据帧。当使用channel命令配置了主信道，且射频的实际工作频宽为160/(80+80)MHz时，可使用secondary-channel参数指定第二个80M频宽的位置。其他情况下辅信道均由系统自动选择。

Radio视图下配置的优先级高于AP组Radio视图下的配置。

如果带宽配置继承AP组，则辅信道也继承AP组，反之辅信道也不继承AP组。

【举例】

# 配置Radio 1的带宽为40MHz。（Radio视图）

<Sysname> system-view

[Sysname] wlan ap ap1 model WA6320

[Sysname-wlan-ap-ap1] radio 1

[Sysname-wlan-ap-ap1-radio-1] type dot11an

[Sysname-wlan-ap-ap1-radio-1] channel band-width 40

# 配置Radio 1的带宽为40MHz。（AP组Radio视图）

<Sysname> system-view

[Sysname] wlan ap-group apgroup1

[Sysname-wlan-ap-group-apgroup1] ap-model WA6320

[Sysname-wlan-ap-group-apgroup1-ap-model-WA6320] radio 1

[Sysname-wlan-ap-group-apgroup1-ap-model-WA6320-radio-1] type dot11an

[Sysname-wlan-ap-group-apgroup1-ap-model-WA6320-radio-1] channel band-width 40

1.3  （必选）功率规划和设置固定功率

1.3.1  应用说明

信道规划完成后，虚拟WLAN网络的构建就已经同步完成了。此时需要关注每个虚拟WLAN网络中的AP发射功率，通过调整同一信道的AP的发射功率，降低这些AP之间的可见度，加强相同信道频谱资源的复用，以提高WLAN网络的整体性能。

1.3.2  配置说明

【命令】

max-power radio-power

【参数】

radio-power：射频的最大传输功率，其取值范围由国家码、信道、AP型号、射频模式、天线类型、带宽等属性决定。

【使用指导】

射频的最大传输功率只能在射频支持的功率范围内进行选取，即保证射频的最大传输功率在合法范围内。射频支持的功率范围由国家码、信道、AP型号、射频模式、天线类型、带宽等属性决定，修改上述属性，射频支持的功率范围和最大传输功率将自动调整为合法值。

如果开启了射频的功率锁定功能，则AC会将射频最大传输功率修改为射频当前传输功率。

Radio视图下配置的优先级高于AP组Radio视图下的配置。

【举例】

# 配置射频最大传输功率为15dBm。（Radio视图）

<Sysname> system-view

[Sysname] wlan ap ap1 model WA6320

[Sysname-wlan-ap-ap1] radio 1

[Sysname-wlan-ap-ap1-radio-1] max-power 15

# 配置射频最大传输功率为15dBm。（AP组Radio视图）

<Sysname> system-view

[Sysname] wlan ap-group apgroup1

[Sysname-wlan-ap-group-apgroup1] ap-model WA6320

[Sysname-wlan-ap-group-apgroup1-ap-model-WA6320] radio 1

[Sysname-wlan-ap-group-apgroup1-ap-model-WA6320-radio-1] max-power 15

 

1.4  （必选）为无线业务构建独立的VLAN

1.4.1  应用说明

WLAN无线网络理论上就是实现一个二层的接入网络，而这个二层网络通常直接连接到现有的有线网络中。

而在无线网络中，广播/组播报文会使用最低速率发送广播报文，所以当广播报文比较多时，会相对较多地消耗信道空口资源，从而影响到整个无线网络性能和应用。一个广播报文通常会向VLAN内的所有AP发送，同时消耗所有AP的资源。所以在构建WLAN网络时，在条件允许的情况下，一定要为无线业务创建独立的VLAN，不要和有线网络使用相同的VLAN，这样即可以避免大量的广播/组播报文对无线网络的影响，又可以避免不必要的攻击。

此外，AC有线口只放通必要的VLAN，在本地转发情况下，不要放通无线业务VLAN。

1.4.2  部署建议

在规划WLAN网络时，建议分配有线网络未使用的VLAN给WLAN接入业务使用。可以通过无线服务模板对应的接口配置对应的VLAN，也可以在为AP绑定无线服务模板时指定VLAN，还可以在无线客户端接入的时候下发授权VLAN，具体配置请参考《H3C 无线控制器产品 配置指导》的“WLAN接入配置指导”。

为了使网络规划更清晰，WLAN网络仅作为一个新增的接入网络，所有的流量和接入都可以通过现有的有线网络设备进行监管和控制。可以将WLAN网络的构建、无线客户端接入管理等功能放在无线控制器上，而将业务VLAN的网关统一放在有线网络设备上，相当于在一个现有的有线网络设备上增加了一个独立的无线二层网络。

 

1.5  （必选）无线用户VLAN内二层隔离

1.5.1  应用说明

同一VLAN内，来自无线客户端的广播、组播报文会向所有放通该VLAN的AP上广播，而在空间介质中广播报文通常使用最低速率进行发送，因此当广播报文比较多时，会占用较多的空口资源，在一定程度上影响到整个网络性能。

无线用户VLAN内二层隔离可以在AC上控制无线用户只能访问网关设备，而不能互相之间访问。同时，通过配置undo user-isolation permit broadcast命令禁止有线用户（user-isolation vlan permit-mac允许的MAC地址除外）发送广播、组播报文给无线用户，无线用户到有线用户的广播、组播报文不受限制。这样可以大量减少整个WLAN网络的广播流量，提高WLAN网络的整体性能。

1.5.2  配置说明

【命令一】

user-isolation vlan vlan-list enable [ permit-unicast ]

【参数】

vlan-list：VLAN列表，表示开启用户隔离功能的VLAN的范围。表示方式为vlan-list = { vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id的取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值，&<1-10>表示前面的参数最多可以输入10次。

permit-unicast：表示不隔离单播，仅隔离广播和组播。如果未指定该参数，表示同时隔离单播、广播和组播。

【使用指导】

为了避免在指定VLAN上开启用户隔离功能后，出现断网情况，用户必须根据user-isolation vlan permit-mac命令先将用户网关的MAC地址加入到用户隔离允许列表中，再开启该VLAN的用户隔离功能。

如果多次执行user-isolation vlan enable命令，则开启用户隔离功能的VLAN是多次配置中指定的VLAN的合集；若同一VLAN多次配置，则最后一条配置生效。

【举例】

# 在VLAN 1上开启用户隔离功能。

<Sysname> system-view

[Sysname] user-isolation vlan 1 enable

【命令二】

user-isolation vlan vlan-list permit-mac mac-list

【参数】

vlan-list：VLAN列表。表示方式为vlan-list ＝ { vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id的取值范围为1～4094，vlan-id2的值要大于或等于vlan-id1的值，&<1-10>表示前面的参数最多可以输入10次。

mac-list：MAC地址允许转发列表，MAC地址格式为H-H-H。在一个VLAN内最多可以配置64个允许的MAC地址，该MAC地址不允许为广播或组播地址。

【使用指导】

配置指定VLAN的MAC地址允许转发列表，当在该VLAN内开启用户隔离功能后，所配置的MAC地址不会被隔离。

如果多次执行user-isolation vlan permit-mac命令，则指定VLAN允许的MAC地址为多次配置的MAC地址的集合。每一个VLAN内最多允许配置64个允许的MAC地址，一次最多允许配置16个允许的MAC地址。

【举例】

# 配置VLAN 1所允许MAC地址为00bb-ccdd-eeff和0022-3344-5566。

<Sysname> system-view

[Sysname] user-isolation vlan 1 permit-mac 00bb-ccdd-eeff 0022-3344-5566

【命令三】

user-isolation permit-broadcast

undo user-isolation permit-broadcast

【使用指导】

当有线用户和无线用户属于同一VLAN或用户接入的AC设备工作于IRF环境时必须隔离有线用户发往无线用户的广播和组播报文，其他情况下允许接收有线用户发送给无线用户的广播和组播报文。

在本地转发组网下实施二层隔离需要通过MAP文件把相关配置下发到AP上。

【举例】

# 在VLAN 10上开启用户隔离功能，允许访问MAC地址为00bb-ccdd-eeff和0022-3344-5566的设备（允许的MAC地址通常为网关MAC地址），同时禁止有线用户（permit-mac允许的mac地址除外）发送广播、组播报文给无线用户。

<AC> system-view

[AC] user-isolation vlan 10 enable

[AC] user-isolation vlan 10 permit-mac 00bb-ccdd-eeff 0022-3344-5566

[AC] undo user-isolation permit-broadcast

1.6  （强烈推荐）Vlan-group分配模式配置为静态

1.6.1  应用说明

无线AC可以通过使用VLAN组特性，将其VLAN成员分配给上线的各客户端，使各客户端均匀分布在各VLAN，从而达到减小广播域的目的，同时还可以提高对非连续地址段的利用率。AC默认VLAN组的VLAN分配方式为动态，即客户端首次上线时，无线服务模板绑定Radio时指定的VLAN组会为用户随机分配一个VLAN。客户端再次上线时VLAN组再次随机为客户端分配VLAN。采用该分配方式，客户端会被均衡地分配在VLAN组的所有VLAN中。对于终端而言，连接SSID不变的情况下，部分终端会出现地址更新慢，甚至不更新地址的情况，最终导致用户体验变差，因此当使用VLAN组特性时，如无特殊需求，强烈建议配置为静态分配方式，即终端再次上线时直接继承上次VLAN组分配的VLAN。

1.6.2  配置说明

【命令】

client vlan-alloc { dynamic | static | static-compatible }

【参数】

dynamic：表示动态分配方式

static：表示静态分配方式

static-compatible：表示静态兼容分配方式。

【使用指导】

客户端首次上线时，AP会为动态分配方式下的客户端随机分配无线服务模板绑定Radio时指定的VLAN组内的一个VLAN，根据客户端的MAC地址为静态分配、静态兼容分配方式下的客户端分配VLAN。客户端再次上线时被分配的VLAN将由配置的VLAN分配方式决定：

·     静态分配方式下，直接继承上次VLAN组分配的VLAN。若客户端的IP地址在租约内，仍为客户端分配同一个IP地址。采用该分配方式，可以减少IP地址的消耗。

·     动态分配方式下，VLAN组再次随机为客户端分配VLAN。采用该分配方式，客户端会被均衡地分配在VLAN组的所有VLAN中。

·     静态兼容分配方式下，可以保证客户端在采用静态分配方式的Comware V5 版本AC设备与ComwareV7/V9版本的AC之间漫游时，被分配相同的VLAN。

【举例】

# 配置客户端的VLAN分配方式为静态分配方式。

[AC] wlan service-template service1

[AC-wlan-st-service1] client vlan-alloc static

 

1.7  （强烈推荐）禁止低速率

1.7.1  应用说明

在WLAN网络中，无线终端或AP通常是使用一个速率集发送空口报文（例如802.11g支持1、2、5.5、11、6、9、12、18、24、36、48、54Mbps），实际无线终端或者AP在发送报文的时候会动态的在这些速率中选择一个速率进行发送。通常提到的802.11g可以达到速率主要指所有报文都采用54M速率进行发送的情况，而且是指的一个空口信道的能力。而实际上大量的广播报文和无线的管理报文都使用最低速率1Mbps进行发送，所以会消耗一定的空口资源。在无线网络中，不考虑信号传输距离的情况下，可以将1、2、6和9Mbps这类低速率禁用，这样可以整体上减少广播报文和管理报文对空口资源的占用。

对于信号强度比较弱的终端，或者距离比较远的终端，关闭低速率应用后可能会出现丢包现象。但是正常的室内覆盖，信号强度可以保证，所以要求在室内覆盖情况下关闭WLAN低速率。

1.7.2  配置说明

【命令】

rate disabled rate-value

【参数】

disabled：禁用速率。AP禁用的速率。

rate-value：速率值，单位为Mbps。可配置多个速率，用空格分隔。

·     802.11a/802.11an/802.11ac/802.11ax：可以取值6、9、12、18、24、36、48、54。

·     802.11b：可以取值1、2、5.5、11。

·     802.11g/802.1gn/802.11gac/802.11gax：可以取值1、2、5.5、6、9、11、12、18、24、36、48、54。

【使用指导】

Radio视图下配置的优先级高于AP组Radio视图下的配置。

【举例】

# 配置802.11gax模式的禁用速率：1、2、5.5、6、9Mbps。（Radio视图）

<Sysname> system-view

[AC] wlan ap test model WA6320

[AC-wlan-ap-test] radio 2

[AC-wlan-ap-test-radio-2] rate disabled 1 2 5.5 6 9

# 配置802.11gax模式的禁用速率：1、2、5.5、6、9Mbps。（AP组Radio视图）

<Sysname> system-view

[AC] wlan ap-group test-group

[AC-wlan-ap-group-test-group] ap-model WA6320

[AC-wlan-ap-group-test-group-ap-model-WA6320] radio 2

[AC-wlan-ap-group-test-group-ap-model-WA6320-radio-2] rate disabled 1 2 5.5 6 9

1.8  （强烈推荐）开启无线用户限速

1.8.1  应用说明

WLAN网络中每个AP提供的可用带宽是有限的，且由接入的无线客户端共享。如果个别的无线客户端通过WLAN使用网络工具下载文件，可能达到非常大的流量，进而直接耗尽当前共享带宽，造成其他无线客户端访问网络慢、Ping抖动丢包等问题。通过配置用户限速功能，可以限制部分无线客户端对带宽的过多消耗，保证所有接入无线客户端均能正常使用网络业务。

基于无线客户端的速率限制功能有两种模式：动态模式和静态模式，其中静态模式为静态的配置每个客户端的速率，即配置的速率是同一个AP内，每个客户端的最大速率。

1.8.2  配置说明

【命令】

Radio视图/AP组视图：

client-rate-limit { inbound | outbound } mode { dynamic cir cir [ min min-cir ] [ max max-cir ] | static cir cir }

无线服务模板视图：

client-rate-limit { inbound | outbound } mode { dynamic cir cir [ min min-cir ] [ max max-cir ] | static cir cir } [ cbs cbs ]

【参数】

inbound：入方向，即限制客户端发送数据的速率。

outbound：出方向，即限制客户端接收数据的速率。

dynamic：配置限速模式为动态模式。在该模式下，单个客户端的限速速率为总限速速率/客户端总数。

static：配置限速模式为静态模式，所有客户端的限速速率为固定值。

cir cir：配置客户端限速速率。在静态模式下表示为所有客户端配置相同的限速速率；在动态模式下表示配置所有客户端的限速速率总和。cir的取值范围为16～1700000，单位为Kbps。

min min-cir：配置所有客户端的限速速率最小值。表示配置所有客户端的限速速率最小值。min-cir的取值范围为16～1700000，单位为Kbps。

max max-cir：配置所有客户端的限速速率最大值。表示配置所有客户端的限速速率最大值。max-cir的取值范围为16～1700000，单位为Kbps，配置的max-cir需要大于min-cir。

cbs cbs：配置每个客户端的承诺突发尺寸，取值范围为1～268435456，单位为bytes。如果不指定本参数，则cbs的值根据cir值自动计算获得。

【使用指导】

在同一视图下，开启了基于射频的客户端限速功能且配置了客户端速率限制，则该视图的客户端限速功能生效。

可以同时指定出方向和入方向的速率限制。

限速模式为动态模式时，如果同时配置了cir cir、max max-cir和min min-cir参数：

·     当cir/客户端总数<min，则客户端动态限速速率为min；

·     如果min<cir/客户端总数<max，则客户端动态限速速率为cir/客户端总数；

如果cir/客户端总数>max，则客户端动态限速速率为max。

Radio视图下客户端限速功能生效的优先级高于AP组Radio视图。

【举例】

# 配置客户端限速功能，使单个客户端发送数据的最大速率为512Kbps，单个客户端接收数据的最大速率为2048Kbps。（Radio视图）

<AC> system-view

[AC] wlan ap ap1 model WA6320

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-1] client-rate-limit enable

[AC-wlan-ap-ap1-1] client-rate-limit inbound mode static cir 512

[AC-wlan-ap-ap1-1] client-rate-limit outbound mode static cir 2048

# 配置客户端限速功能，使单个客户端发送数据的最大速率为512Kbps，单个客户端接收数据的最大速率为2048Kbps。（AP组Radio视图）

<AC> system-view

[AC] wlan ap-group group1

[AC-wlan-ap-group-group1] ap-model WA6320

[AC-wlan-ap-group-group1-ap-model-WA6320] radio 1

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] client-rate-limit enable

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1]client-rate-limit inbound mode static cir 512

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1]client-rate-limit outbound mode static cir 2048

# 配置客户端限速功能，使所有客户端发送数据的总速率为567Kbps，单个客户端的最大发送速率为500Kbps，最小发送速率为123Kbps；所有客户端接收数据的总速率为789Kbps，单个客户端的最大接收速率为600Kbps，最小接收速率为234Kbps。（无线服务模板视图）

<Sysname> system-view

[Sysname] wlan service-template 1

[Sysname-wlan-st-1] client-rate-limit inbound mode dynamic cir 567 max 500 min 123

[Sysname-wlan-st-1] client-rate-limit outbound mode dynamic cir 789 max 600 min 234

 

1.9  （强烈推荐）无线终结单元下行有线口配置端口隔离

1.9.1  应用说明

无线终结者组网方案下，无线终结单元可能由于下行口之间连接网线造成广播风暴、私设路由器导致出现DHCP分配问题，影响用户体验。因此，需要在无线终结单元下行有线各端口间配置二层隔离，可以将不同的端口加入不同的VLAN，但VLAN资源有限，因此建议采用端口隔离特性。用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层隔离，而不关心这些端口所属VLAN，从而节省VLAN资源。无线终结单元的配置可以通过map文件下发或者远程到无线终结者上完成。

1.9.2  配置说明

【命令一】

slot slot-number

【参数】

slot-number：表示无线终结单元所在的槽位号。

【使用指导】

进入slot视图后，可以开启该slot的预配置功能。

【举例】

# 进入指定slot视图。

<WT1020> system-view

[WT1020] slot 2

[WT1020-slot-2]

【命令二】

provision model model

【参数】

model：表示设备支持的无线终结单元的类型。

【举例】

# 开启指定slot的预配置功能。

<WT1020> system-view

[WT1020] slot 2

[WT1020-slot-2] provision model WTU420H

【命令三】

port-isolate group group-id

【参数】

group-id：隔离组编号。

【举例】

# 创建隔离组1。

<WT1020> system-view

[WT1020] port-isolate group 1

【命令四】

port-isolate enable group group-id

【参数】

group group-id：将端口加入到隔离组中的编号。

【举例】

# 进入无线终结者WT1020的2号槽位子卡slot视图进行预配置，将slot2下连接的WTU420H的下行口1/2/1~1/2/4加入端口隔离组1（可通过map针对所有子卡进行下发）。

<WT1020> system-view

[WT1020] port-isolate group 1

[WT1020] slot 2

[WT1020-slot-2] provision model WTU420H

[WT1020-slot-2] quit

[WT1020] interface Ethernet 1/2/1

[WT1020-Ethernet1/2/1] port-isolate enable group 1

[WT1020] interface Ethernet 1/2/2

[WT1020-Ethernet1/2/1] port-isolate enable group 1

[WT1020] interface Ethernet 1/2/3

[WT1020-Ethernet1/2/1] port-isolate enable group 1

[WT1020] interface Ethernet 1/2/4

[WT1020-Ethernet1/2/1] port-isolate enable group 1

 

1.10  （强烈推荐）Portal配置用户闲置切断功能

1.10.1  应用说明

当AC作为接入设备，承载Portal认证业务时，如果服务器侧没有设置用户的闲置切断功能，会导致终端下线后，用户认证表项长期在设备上存在，如果此时终端重新接入，并获取到了新的IP地址，就有可能出现冲突，导致无法认证通过，此外大量的残留表项还会消耗设备的资源，因此无特殊需求的情况下，强烈建议开启设备上用户的闲置切断功能。

1.10.2  配置说明

【命令】

authorization-attribute idle-cut minutes [ flow ]

【参数】

minutes：指定用户的闲置切断时间。其中，minutes的取值范围为1～600，单位为分钟。

flow：用户在闲置切断时间内产生的数据流量，取值范围1～10240000，单位为字节，缺省值为10240。

【举例】

# 指定ISP域test下的用户闲置切断时间为30分钟，闲置切断时间内产生的流量为10240字节。

<AC> system-view

[AC] domain test

[AC-isp-test] authorization-attribute idle-cut 30 10240

1.11  （推荐）加密方式设置

1.11.1  应用说明

在WLAN网络中，空口设置明文不加密，可以减少因加密带来的密钥协商时间开销，获取最大的无线空口性能。在无线网络中，如果因安全因素考虑必须设置加密，建议加密方式设置为RSN+CCM/GCMP，并开启安全性更高的WPA3安全模式，不推荐使用TKIP或者WEP加密方式，这两种加密方式无法发挥网络的高带宽性能。

1.11.2  配置说明

【命令一】

akm mode { dot1x | private-psk | psk | anonymous-dot1x }

【参数】

dot1x：表示身份认证与密钥管理的模式是802.1X模式。

private-psk：表示身份认证与密钥管理的模式是Private-PSK模式。

psk：表示身份认证与密钥管理的模式是PSK模式。

anonymous-dot1x：表示身份认证与密钥管理的模式是Wi-Fi联盟匿名802.1X模式。

【使用指导】

本命令只能在无线服务模板处于关闭状态时配置，并且只能配置一种模式。

当WLAN网络采用RSNA安全机制时，必须配置身份认证与密钥管理。若配置了身份认证与密钥管理模式为Wi-Fi联盟匿名802.1X模式，则安全IE只能配置为OSEN IE。

每一种身份认证模式都有互相依赖的用户认证方式：

·     802.1X模式和802.1X用户认证模式相互依赖，必须同时配置。

·     Private-PSK模式和MAC地址认证模式相互依赖，必须同时配置。

·     PSK模式和MAC地址认证模式或Bypass用户认证模式相互依赖，必须同时配置。

·     Wi-Fi联盟匿名802.1X模式和802.1X用户认证模式相互依赖，必须同时配置。

【举例】

# 配置身份认证与密钥管理模式为PSK模式。

<Sysname> system-view

[Sysname] wlan service-template security

[Sysname-wlan-st-security] akm mode psk

【命令二】

security-ie { osen | rsn | wpa }

【参数】

osen：设置在AP发送信标和探查响应帧时携带OSEN IE。OSEN IE通告了AP的OSEN能力。

rsn：设置在AP发送信标和探查响应帧时携带RSN IE。RSN IE通告了AP的RSN能力。

wpa：设置在AP发送信标和探查响应帧时携带WPA IE。WPA IE通告了AP的WPA能力。

【使用指导】

本命令只能在无线服务模板处于关闭状态时配置，并且必须要配置CCMP或TKIP加密套件。

当WLAN网络采用RSNA安全机制时，必须配置安全IE。

若配置了安全IE为OSEN IE，则只能配置认证密钥管理模式为Wi-Fi联盟匿名802.1X模式。

【举例】

# 配置信标帧和探查响应帧携带RSN信息元素。

<Sysname> system-view

[Sysname] wlan service-template security

[Sysname-wlan-st-security] security-ie rsn

【命令三】

cipher-suite { ccmp | gcmp | tkip | wep40 | wep104 | wep128 }

【参数】

ccmp：AES-CCMP加密套件。

tkip：TKIP加密套件。

gcmp：AES-GCMP加密套件。

wep40：WEP40加密套件。

wep104：WEP104加密套件。

wep128：WEP128加密套件。

【使用指导】

本命令只能在无线服务模板处于关闭状态时配置。

如果配置了安全IE，则必须配置TKIP、CCMP或GCMP加密套件中的一种。当WLAN网络采用RSNA安全机制时，必须配置加密套件。

WEP加密套件只能配置WEP40/WEP104/WEP128其中的一种，且需要配置与加密套件种类相对应的WEP密钥及WEP密钥ID。

同时配置WEP40\WEP104和CCMP\GCMP\TKIP加密套件时，可能会导致某些无线客户端无法上线，因此不建议同时配置。

WEP128和CCMP、GCMP或TKIP不能同时配置。

【举例】

# 配置在帧加密时使用TKIP加密套件。

<Sysname> system-view

[Sysname] wlan service-template security

[Sysname-wlan-st-security] cipher-suite tkip

【命令四】

wpa3 { enterprise | personal { mandatory | optional } }

【参数】

enterprise：使用WPA3企业级。

personal：使用WPA3个人级。

mandatory：指定WPA3安全模式为强制模式，即不支持WPA3安全模式的客户端无法接入。

optional：指定WPA3安全模式为可选模式，即支持和不支持WPA3安全模式的客户端均可接入。

【使用指导】

开启WPA3安全模式时：

·     对于WPA3企业级：加密套件必须配置为GCMP，安全信息元素必须配置为RSN。

·     对于WPA3个人级：加密套件必须配置为CCMP，安全信息元素必须配置为RSN。

开启WPA3安全模式后，建议同时开启保护管理帧功能。

请不要同时开启WPA3安全模式、快速BSS切换功能或增强开放系统认证服务，否则会导致无线服务模板使能失败。

【举例】

# 配置WPA3安全模式为个人级强制模式。

<Sysname> system-view

[Sysname] wlan service-template 1

[Sysname-wlan-st-1] wpa3 personal mandatory

1.12  （推荐）禁止弱信号客户端接入

1.12.1  应用说明

在WLAN网络中，信号强度较弱的无线客户端，虽然也可以接入到网络中，但是所能够获取的网络性能和服务质量要比信号强度较强的无线客户端差很多。如果弱信号的无线客户端在接入到WLAN网络的同时还在大量地下载数据，就会占用较多的信道资源，最终必然对其他的无线客户端造成很大的影响。

禁止弱信号客户端接入功能，通过配置允许接入的无线客户端的最小信号强度门限值，可以直接拒绝信号强度低于指定门限的无线客户端接入到WLAN网络中，减少弱信号客户端对其他无线客户端的影响，从而提升整个WLAN网络的性能。

1.12.2  配置说明

【命令】

option client reject { disable | enable [ rssi rssi-value ] }

【参数】

rssi rssi-value：无线客户端信号强度门限值，取值范围为5～100，缺省值为10，建议值为10。

【使用指导】

开启本功能后，当无线客户端信号强度低于门限值时，AP将拒绝此类客户端接入。拒绝信号比较低的无线客户端接入到WLAN网络中，既可以避免低信号客户端占用较多的信道资源，同时可以减少对其他客户端的影响，提升整个WLAN网络的应用效果。

禁止弱信号客户端接入需要考虑场景覆盖信号强度情况，如场景覆盖信号强度偏弱，可能导致无线客户端无法正常接入。

【举例】

# 开启禁止弱信号客户端接入功能，并配置信号强度门限值为10。（Radio视图）

<AC> system-view

[AC] wlan ap ap1 model WA6320

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] option client reject enable rssi 10

# 开启禁止弱信号客户端接入功能，并配置信号强度门限值为10。（AP组Radio视图）

<AC> system-view

[AC] wlan ap-group 1

[AC-wlan-ap-group-1] ap-model WA6320

[AC-wlan-ap-group-1-ap-model-WA6320] radio 1

[AC-wlan-ap-group-1-ap-model-WA6320-radio-1] option client reject enable rssi 10

1.13  （必选）AC有线口只放通必要的VLAN

非业务广播报文进入AC会复制到所有AP空口，从而影响AP性能，甚至对AC造成冲击。为了防止不必要报文进入AC，建议AC有线口以及对端互联的交换机端口只放通必要的VLAN，禁止配置permit vlan all。当组网为本地转发时，无线业务报文不经过AC，所以AC有线口不需要放通本地转发业务VLAN，防止报文迂回到AC影响性能。

1.14  （必选）AC-AP有线链路质量稳定

CAPWAP隧道通过中间的有线链路承载，要求AP和AC之间Ping大于1500字节的数据包丢包率小于1%，平均延迟小于50ms。

1.15  （必选）IRF链路采用独立VLAN

1.15.1  应用说明

当AC通过二层交换机建立IRF时，要求IRF链路使用的VLAN独立于业务VLAN。建议在交换机上将与AC的IRF堆叠口连接的端口配置为Access口，VLAN独立规划。本优化不需要AC做配置调整。

1.15.2  配置说明

【命令一】

vlan { vlan-id1 [ to vlan-id2 ] | all }

【参数】

vlan-id1：VLAN的编号，取值范围为1～4094。

vlan-id1 to vlan-id2：指定VLAN的编号范围。vlan-id1和vlan-id2为VLAN的编号，取值范围为1～4094。vlan-id2的值要大于或等于vlan-id1的值。

all：当设备允许创建的最大VLAN数小于4094时，不支持该参数。

【使用指导】

用户不能创建和删除缺省VLAN（VLAN 1）

动态学习到的VLAN，以及被其他应用锁定不让删除的VLAN，都不能使用undo vlan命令直接删除。只有将相关配置删除之后，才能删除相应的VLAN。

【举例】

# 创建VLAN 2，并进入该VLAN视图。

<Sysname> system-view

[Sysname] vlan 2

【命令二】

port interface-list

【参数】

interface-list：以太网接口列表。表示方式为interface-list = { interface-type interface-number1 [ to interface-type interface-number2 ] }&<1-10>，其中interface-type interface-number为端口类型和端口编号，interface-number2的值要大于或等于interface-number1的值，&<1-10>表示前面的参数最多可以输入10次。

【使用指导】

通过本命令只能将Access端口加入到VLAN中，不能将Trunk和Hybrid端口加入到VLAN中。

设备上的所有端口的缺省链路类型都是Access类型，但用户可以自行切换端口类型，具体配置可参考命令port link-type。

【举例】

# 向VLAN2中添加端口GigabitEthernet1/0/1～GigabitEthernet1/0/2。

<Sysname> system-view

[Sysname] vlan 2

[Sysname-vlan2] port gigabitethernet 1/0/1 to gigabitethernet 1/0/2

1.16  （必选）IRF端口绑定多链路时采用静态聚合

1.16.1  应用说明

当AC通过二层交换机建立IRF时，IRF堆叠口绑定了多个物理口，此时需要将交换机与IRF堆叠口连接的多个端口配置成静态聚合，不允许使用动态聚合。本优化不需要AC做配置调整。

1.16.2  配置说明

【命令一】

interface bridge-aggregation interface-number

【参数】

interface-number：指定二层聚合接口的编号。

【使用指导】

创建二层聚合接口后，系统将自动生成同编号的二层聚合组，且该聚合组缺省工作在静态聚合模式下。

删除二层聚合接口的同时会删除其对应的二层聚合组，如果该聚合组内有成员端口，那么这些成员端口将自动从该聚合组中退出。

【举例】

# 创建二层聚合接口1，并进入二层聚合接口1的视图。

<Sysname> system-view

[Sysname] interface bridge-aggregation 1

【命令二】

port link-aggregation group group-id

【参数】

group-id：指定聚合组所对应聚合接口的编号。

【举例】

#创建二层聚合接口2，并进入二层聚合接口2视图

[Switch] interface Bridge-Aggregation 2

#将Switch内联口Ten-GigabitEthernet 1/2/0/1加入到聚合组2中

[Switch] interface Ten-GigabitEthernet 1/2/0/1

[Switch-Ten-GigabitEthernet1/2/0/1] port link-aggregation group 2

1.17  （必选）IRF链路的对端交换机端口关闭STP功能

1.17.1  应用说明

当AC通过交换机建立IRF时，需要在交换机侧将与IRF堆叠口连接的端口关闭STP功能。同时，AC上IRF堆叠物理口也需要关闭STP功能。

1.17.2  配置说明

【命令】

undo stp enable

【举例】

# 在端口GigabitEthernet1/0/1上关闭生成树协议。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] undo stp enable