戰(zhàn)：標(biāo)簽化配置與HA組對指南)
簡介這份手冊面向網(wǎng)絡(luò)工程師與無線運(yùn)維人員圍繞思科Catalyst 9800系列無線控制器展開重點(diǎn)解決C9800-40從硬件認(rèn)知到初始上線、再到Web管理與高可用配置的實(shí)操問題適合具備一定無線網(wǎng)絡(luò)基礎(chǔ)、需要獨(dú)立完成控制器部署與日常維護(hù)的技術(shù)人員參考。資源包共1個PDF文件大小約6.31MB內(nèi)容以圖文并茂的配置手冊形式組織涵蓋技術(shù)規(guī)格與性能指標(biāo)、硬件接口與指示燈說明、配置邏輯關(guān)系梳理、初始配置步驟以及Web界面與DP接口、VLAN、HA等配置演示并附官方安裝指南鏈接便于延伸查閱。目前已有500人學(xué)習(xí)讀者可據(jù)此快速掌握接入點(diǎn)、WLAN、策略、RF、Flex等配置對象的對應(yīng)關(guān)系理清標(biāo)簽體系與部署模式差異減少上手階段的試錯成本也可作為現(xiàn)場部署與排錯時的案頭速查材料。1. 從一臺開箱即用的 C9800-40 說起為什么標(biāo)簽化配置值得先啃透機(jī)房上架一臺 Catalyst 9800-40加電、Console 進(jìn)去、敲完初始向?qū)eb 界面能登錄了AP 也注冊上來了——很多人到這一步就以為配置結(jié)束了。真正開始配 SSID 的時候才發(fā)現(xiàn)C9800 不是 AireOS 那套「建 WLAN、綁接口、掛 ACL」的線性思路而是 WLAN Profile、Policy Profile、Policy Tag、Site Tag、RF Tag 一層套一層。標(biāo)簽沒理順后面改一個 VLAN 要動三四個地方排障時連「這個 AP 到底套了哪套策略」都說不清。這份《Catalyst 9800 無線控制器實(shí)戰(zhàn)配置手冊》的價值就在這它把 9800-40 的硬件規(guī)格、面板接口、配置邏輯圖、初始上電、Web 首配、DP 口改配、VLAN 劃分到 HA 組對按一臺真機(jī)落地的順序串了一遍。適合正在做企業(yè)無線割接、從 5508/5520 往 9800 遷移或者剛接手 9800 卻對標(biāo)簽體系發(fā)怵的網(wǎng)工。下面按「先看懂對象模型再動手配最后避坑」的順序拆。2. 配置對象模型WLAN、Policy、RF 三組 Profile 與三類 Tag 怎么咬合2.1 先分清 Profile 和 Tag一個是模板一個是綁定關(guān)系C9800 的配置邏輯可以粗暴拆成兩層。Profile 是「模板」描述某個東西長什么樣WLAN Profile 管 SSID、組播直通、Band Select、安全認(rèn)證、P2P 阻斷、負(fù)載均衡、LED、Rogue AP、HA/LA 組、GTK 輪轉(zhuǎn)、TCP MSSPolicy Profile 管這個 WLAN 的交換與策略面包括中央/本地交換、VLAN、本地認(rèn)證、Policy ACL、CTS、運(yùn)營速率、高密參數(shù)、RRM、客戶端分發(fā)、Radio Band、WMM、mDNS 模式、最大客戶端數(shù)、QoS/AVC、netflow、錨點(diǎn)、超時、DHCP、AAA Override、EAP 類型、Telnet/SSH 憑據(jù)。RF Profile 則管 2.4G 和 5G 兩個頻段的射頻優(yōu)先級、數(shù)據(jù)速率、高密參數(shù)這些空口側(cè)的東西。Tag 是「綁定關(guān)系」回答「誰套誰」Policy Tag 把 WLAN Profile 和 Policy Profile 綁在一起Site Tag 把 AP Join Profile、Flex Profile 和一組 Policy Tag 綁在一起RF Tag 把 2.4G/5G 兩個 RF Profile 綁在一起。AP 加入時按 Site Tag 找到 Policy Tag再找到 WLAN/Policy Profile按 RF Tag 找到射頻參數(shù)。理解這一點(diǎn)后面所有「改了不生效」的問題基本都能定位到「你改的是模板但 AP 套的是另一個 Tag」。2.2 9800-40 的容量邊界決定了標(biāo)簽怎么規(guī)劃手冊里給的 9800-40 規(guī)格不是擺設(shè)它直接決定標(biāo)簽規(guī)劃粒度。最大 AP 2000、最大客戶端 32000、最大吞吐 40GSite Tag 2000、Policy Tag 2000、RF Tag 2000Flex Profile 2000、Policy Profile 1000、RF Profile 4000每站點(diǎn)最大 Flex AP 100。部署模式支持集中式、FlexConnect、Fabric 三種。規(guī)劃時的常見做法是Site Tag 按物理站點(diǎn)或樓層劃分Policy Tag 按「業(yè)務(wù)策略組合」劃分比如員工、訪客、IoT 各一個RF Profile 按「高密區(qū)域 / 普通辦公 / 倉庫」劃分。注意 Policy Profile 上限是 1000比 Policy Tag 的 2000 少一半所以不要一個 SSID 配一個 Policy Profile 地堆能復(fù)用就復(fù)用。Flex 場景下每站點(diǎn) 100 個 Flex AP 是硬頂超過就得拆站點(diǎn)標(biāo)簽。2.3 用一張對照表把對象關(guān)系釘死對象作用關(guān)鍵內(nèi)容上限9800-40WLAN ProfileSSID 與無線側(cè)行為模板SSID、安全、Band Select、組播直通隨 Policy Tag 規(guī)劃Policy Profile交換與策略模板VLAN、ACL、本地認(rèn)證、QoS/AVC、最大客戶端1000RF Profile2.4G/5G空口射頻模板數(shù)據(jù)速率、RRM、高密參數(shù)4000AP Join ProfileAP 加入與連接參數(shù)中央/遠(yuǎn)程優(yōu)先級、憑據(jù)隨 Site TagFlex Profile遠(yuǎn)程站點(diǎn)靈活轉(zhuǎn)發(fā)本地 VLAN 映射、本地認(rèn)證2000Policy Tag綁定 WLAN Policy一對多組合2000Site Tag綁定 AP Join Flex Policy Tag站點(diǎn)級入口2000RF Tag綁定 2.4G/5G RF Profile射頻組合2000這張表建議打印出來貼工位。排障時先問「AP 套的哪個 Site Tag」再順藤摸瓜比在 Web 里亂翻快得多。3. 上電到 Web 首配Console 初始化和 DP 口改配的實(shí)操順序3.1 硬件面板先認(rèn)口別把管理口和數(shù)據(jù)口插反9800-40 面板上容易混的是幾個口SP Management PortG1是帶外管理DP PortG2是數(shù)據(jù)口TE0–TE3 是 1G SFP/10G SFP 業(yè)務(wù)口Redundancy PortG3用于 HA 組對。前面板還有 Console、USB Console、USB Port、SSD 活動燈以及 Power/System/Alarm/HA 四個 LED。電源是 11 冗余配 Power/Standby 開關(guān)。血淚經(jīng)驗(yàn)首次上電先看 System LED 是否穩(wěn)定綠色、Alarm 是否熄滅再插 Console。DP 口默認(rèn)配置和業(yè)務(wù)規(guī)劃經(jīng)常不一致手冊里專門有一節(jié)「DP Interface Re-configuration」說明這是高頻改動點(diǎn)。管理走 SP 口、業(yè)務(wù)走 DP/TE 口物理上分開后面做 HA 和抓包都清爽。3.2 Console 初始配置把管理可達(dá)性先打通首次開機(jī)走 Console按向?qū)гO(shè)置主機(jī)名、管理 IP、默認(rèn)網(wǎng)關(guān)、賬號密碼。下面是一段典型的初始配置骨架接口名以實(shí)際平臺為準(zhǔn)邏輯是通用的# 進(jìn)入全局配置 configure terminal # 主機(jī)名按站點(diǎn)命名規(guī)范來別用默認(rèn) hostname C9800-40-SITE-A # 管理接口地址走 SP 管理口 interface GigabitEthernet1 ip address 10.10.10.10 255.255.255.0 no shutdown exit # 默認(rèn)路由指向管理網(wǎng)關(guān) ip default-gateway 10.10.10.1 # 本地管理員賬號 username netadmin privilege 15 secret 強(qiáng)密碼 # 開啟 Web 管理后續(xù)首配要用 ip http server ip http secure-server # 保存 write memory邏輯說明管理面先獨(dú)立打通是為了后面 Web 首配和 HA 組對時有穩(wěn)定入口。ip http secure-server必須開9800 的 Web 界面走 HTTPS。密碼別用向?qū)J(rèn)值后面 AAA 接 RADIUS 時本地賬號是后悔藥。參數(shù)上管理網(wǎng)段建議單獨(dú)規(guī)劃不要和業(yè)務(wù) VLAN 混在一起否則 DP 口改配時容易把自己關(guān)在門外。3.3 Web 首配后必須重新登錄這是設(shè)計不是 bug手冊里特別標(biāo)注了一條初始配置完成后Web 管理界面需要重新登錄重新登錄后才能正常查看 AP 關(guān)聯(lián)。很多人第一次遇到會以為會話壞了。實(shí)際原因是首配過程中部分服務(wù)會重啟舊會話失效。操作順序是Console 配完管理地址 → 瀏覽器 HTTPS 打開管理 IP → 用剛建的賬號登錄 → 完成 Web 側(cè)初始項 → 主動登出再登入 → 此時 AP 列表、加入狀態(tài)才完整。這一步別省。我見過有人首配完直接在舊會話里點(diǎn) AP 頁面列表空白然后開始懷疑 AP 沒注冊白折騰半小時。3.4 DP 口改配與 VLAN 劃分業(yè)務(wù)面落地DP 口改配的核心是把數(shù)據(jù)口從默認(rèn)狀態(tài)改成承載業(yè)務(wù) VLAN 的 trunk。典型做法是先建 VLAN再把 DP 口配成 trunk 放行# 建業(yè)務(wù) VLAN vlan 100 name EMPLOYEE vlan 200 name GUEST vlan 300 name IOT # DP 口配 trunk放行需要的 VLAN interface GigabitEthernet2 switchport switchport mode trunk switchport trunk allowed vlan 100,200,300 no shutdown exit邏輯說明switchport先把口切到二層交換模式switchport mode trunk設(shè)為干道allowed vlan白名單放行避免全放行帶來的廣播和安全面擴(kuò)大。參數(shù)上VLAN ID 要和上游交換機(jī)、DHCP 中繼、防火墻子接口對齊改配前先在 Console 留一個管理會話防止 trunk 配錯導(dǎo)致 Web 斷連。手冊把「DP Interface Re-configuration」和「VLAN Configuration」分成兩節(jié)順序就是先改口再劃 VLAN別反過來。4. HA 組對與標(biāo)簽下發(fā)SSO 雙機(jī)怎么配、AP 怎么套標(biāo)簽4.1 HA 用 Redundancy Port 直連先定主備再談切換9800-40 的 HA 走 Redundancy PortG3兩臺設(shè)備該口直連或經(jīng)二層互通。手冊的 HA 章節(jié)是配置邏輯的收尾因?yàn)?HA 必須在單機(jī)配置穩(wěn)定后再做。常見做法是兩臺都完成初始配置和 DP 口改配管理 IP 同網(wǎng)段然后在主上配 redundancy 相關(guān)參數(shù)備機(jī)加入后形成 SSO 主備。HA LED 是判斷狀態(tài)最直觀的燈穩(wěn)定綠色表示組對正常。注意 HA 組對會同步配置所以組對前把不想要的實(shí)驗(yàn)配置清掉否則備機(jī)一起繼承。切換驗(yàn)證不要只看燈要在主備之間做一次手動切換觀察 AP 是否保持關(guān)聯(lián)、客戶端是否短暫中斷后恢復(fù)。這一步是很多割接方案里被跳過、上線當(dāng)晚才翻車的地方。4.2 標(biāo)簽下發(fā)順序先 Profile再 Tag最后綁 AP配置下發(fā)的正確順序是自底向上先建 WLAN Profile、Policy Profile、RF Profile、AP Join Profile、Flex Profile再建 Policy Tag綁 WLAN Policy再建 Site Tag綁 AP Join Flex Policy Tag再建 RF Tag綁 2.4G/5G RF Profile最后把 Site Tag 和 RF Tag 下發(fā)給 AP 或 AP 組。# 示例建 Policy Tag把 WLAN 和 Policy 綁一起 wireless tag policy EMPLOYEE-POLICY-TAG wlan EMPLOYEE-WLAN policy EMPLOYEE-POLICY description 員工業(yè)務(wù)策略標(biāo)簽 # 建 Site Tag綁 AP Join、Flex 和 Policy Tag wireless tag site SITE-A-TAG ap-join-profile default-ap-join flex-profile default-flex policy-tag EMPLOYEE-POLICY-TAG description A站點(diǎn)入口標(biāo)簽 # 建 RF Tag綁兩個頻段的 RF Profile wireless tag rf SITE-A-RF-TAG 2.4ghz rf-profile RF-2G-NORMAL 5ghz rf-profile RF-5G-HIGHDENSITY邏輯說明Tag 是引用關(guān)系被引用的 Profile 必須先存在否則命令報錯。description別省半年后回來排障全靠它認(rèn)人。參數(shù)上一個 Site Tag 可以掛多個 Policy Tag 嗎不行Site Tag 到 Policy Tag 是一對一入口多業(yè)務(wù)靠 Policy Tag 內(nèi)部綁多個 WLAN 實(shí)現(xiàn)。這也是為什么 Policy Profile 要省著用——它才是真正被復(fù)用的策略單元。4.3 驗(yàn)證 AP 到底套了哪套標(biāo)簽配完別急著收工用 show 命令核對綁定關(guān)系# 看 AP 的標(biāo)簽歸屬和加入狀態(tài) show ap summary show ap tag summary show wireless tag policy summary show wireless tag site summaryshow ap tag summary能直接看到每個 AP 當(dāng)前生效的 Policy Tag、Site Tag、RF Tag是排「改了不生效」的第一條命令。如果 AP 顯示的 Tag 和你以為的不一致問題就在下發(fā)環(huán)節(jié)不在 Profile 本身。5. 避坑與排查五條真機(jī)上踩出來的記錄5.1 改了 Policy Profile 但客戶端 VLAN 沒變現(xiàn)象在 Policy Profile 里把 VLAN 從 100 改成 200客戶端重新關(guān)聯(lián)后拿到的還是 100 網(wǎng)段地址。原因AP 套的 Policy Tag 引用的是另一個 Policy Profile或者改完沒在 Tag 層重新下發(fā)。解決先show ap tag summary確認(rèn) AP 實(shí)際引用的 Policy Profile 名字再改對應(yīng)對象改完對相關(guān) AP 做一次標(biāo)簽重下發(fā)或讓 AP 重新加入。5.2 Web 首配后 AP 列表空白現(xiàn)象初始配置完成Web 登錄進(jìn)去 AP 頁面空的但 Console 里 AP 明明注冊了。原因首配后舊 Web 會話失效頁面數(shù)據(jù)沒刷新。解決主動登出再重新登錄手冊里明確寫了這一步。若重登后仍空白再查 AP Join Profile 和授權(quán)狀態(tài)。5.3 DP 口改 trunk 后 Web 管理斷連現(xiàn)象改 DP 口 VLAN 放行后瀏覽器管理頁面打不開。原因管理流量和業(yè)務(wù)流量走了同一個口trunk 白名單把管理 VLAN 漏了或者默認(rèn)路由指向被改。解決Console 保留會話檢查switchport trunk allowed vlan是否包含管理 VLAN管理面盡量走 SP 口和 DP 口物理分離。5.4 HA 組對后備機(jī)配置被覆蓋現(xiàn)象備機(jī)上之前調(diào)試用的配置組對后消失了。原因SSO 組對會做配置同步備機(jī)跟隨主機(jī)。解決組對前清理備機(jī)實(shí)驗(yàn)配置組對后所有變更在主機(jī)做。切換驗(yàn)證要實(shí)際做一次別只看 HA LED 綠燈。5.5 Flex 站點(diǎn) AP 超過 100 個后加入失敗現(xiàn)象某遠(yuǎn)程站點(diǎn)第 101 個 AP 加不進(jìn)來。原因9800-40 每站點(diǎn)最大 Flex AP 為 100是硬上限。解決拆 Site Tag把站點(diǎn)按樓層或區(qū)域再分或者評估是否該站點(diǎn)應(yīng)改為集中式部署。規(guī)劃階段就按這個數(shù)留余量別等擴(kuò)容時才發(fā)現(xiàn)。6. 把標(biāo)簽體系當(dāng)代碼管配置備份、比對與割接前的一次演練標(biāo)簽化配置最大的好處是可復(fù)用最大的風(fēng)險是「引用關(guān)系藏在 Web 點(diǎn)擊里」。我的習(xí)慣是把關(guān)鍵配置落到可 diff 的文本上每次變更前show running-config導(dǎo)出變更后再導(dǎo)一次用 diff 看差異。重點(diǎn)盯wireless tag、wlan、policy profile、rf-profile這幾段因?yàn)樗鼈兪且面湹墓羌堋? 變更前備份 show running-config flash:before-change.cfg # 變更后備份并比對在支持的文件系統(tǒng)上 show running-config flash:after-change.cfg dir flash:如果平臺支持把 running-config 定期拉到外部 TFTP/SCP 服務(wù)器留檔比只存 flash 穩(wěn)。參數(shù)上備份文件按「日期變更單號」命名割接回滾時能精確找回上一版。再給一個割接前的驗(yàn)證清單思路用表格管住檢查項檢查項命令/動作通過標(biāo)準(zhǔn)標(biāo)簽綁定show ap tag summary每個 AP 的 Tag 與規(guī)劃表一致WLAN 狀態(tài)show wlan summary目標(biāo) WLAN 均為 UPHA 狀態(tài)看 HA LED 狀態(tài)命令主備穩(wěn)定切換演練通過VLAN 放行查 DP 口 trunk 配置業(yè)務(wù)與管理 VLAN 均在白名單客戶端實(shí)測三類終端各連一次地址、認(rèn)證、漫游正常最后說個具體技巧新站點(diǎn)上線前先拿一臺測試 AP 走完整流程——建 Profile、建 Tag、下發(fā)、關(guān)聯(lián)、拿地址、漫游——全程錄屏或記命令。這套「最小閉環(huán)」跑通后再批量下發(fā)能把標(biāo)簽引用錯誤擋在割接窗口之外。從那以后我每次動 9800 的標(biāo)簽都強(qiáng)制先在一臺 AP 上驗(yàn)證再鋪開寧可多花二十分鐘也不在半夜對著空白 AP 列表猜。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取 Catalyst 9800無線控制器實(shí)戰(zhàn)：標(biāo)簽化配置與HA組對指南
簡介這份手冊面向網(wǎng)絡(luò)工程師與無線運(yùn)維人員圍繞思科Catalyst 9800系列無線控制器展開重點(diǎn)解決C9800-40從硬件認(rèn)知到初始上線、再到Web管理與高可用配置的實(shí)操問題適合具備一定無線網(wǎng)絡(luò)基礎(chǔ)、需要獨(dú)立完成控制器部署與日常維護(hù)的技術(shù)人員參考。資源包共1個PDF文件大小約6.31MB內(nèi)容以圖文并茂的配置手冊形式組織涵蓋技術(shù)規(guī)格與性能指標(biāo)、硬件接口與指示燈說明、配置邏輯關(guān)系梳理、初始配置步驟以及Web界面與DP接口、VLAN、HA等配置演示并附官方安裝指南鏈接便于延伸查閱。目前已有500人學(xué)習(xí)讀者可據(jù)此快速掌握接入點(diǎn)、WLAN、策略、RF、Flex等配置對象的對應(yīng)關(guān)系理清標(biāo)簽體系與部署模式差異減少上手階段的試錯成本也可作為現(xiàn)場部署與排錯時的案頭速查材料。1. 從一臺開箱即用的 C9800-40 說起為什么標(biāo)簽化配置值得先啃透機(jī)房上架一臺 Catalyst 9800-40加電、Console 進(jìn)去、敲完初始向?qū)eb 界面能登錄了AP 也注冊上來了——很多人到這一步就以為配置結(jié)束了。真正開始配 SSID 的時候才發(fā)現(xiàn)C9800 不是 AireOS 那套「建 WLAN、綁接口、掛 ACL」的線性思路而是 WLAN Profile、Policy Profile、Policy Tag、Site Tag、RF Tag 一層套一層。標(biāo)簽沒理順后面改一個 VLAN 要動三四個地方排障時連「這個 AP 到底套了哪套策略」都說不清。這份《Catalyst 9800 無線控制器實(shí)戰(zhàn)配置手冊》的價值就在這它把 9800-40 的硬件規(guī)格、面板接口、配置邏輯圖、初始上電、Web 首配、DP 口改配、VLAN 劃分到 HA 組對按一臺真機(jī)落地的順序串了一遍。適合正在做企業(yè)無線割接、從 5508/5520 往 9800 遷移或者剛接手 9800 卻對標(biāo)簽體系發(fā)怵的網(wǎng)工。下面按「先看懂對象模型再動手配最后避坑」的順序拆。2. 配置對象模型WLAN、Policy、RF 三組 Profile 與三類 Tag 怎么咬合2.1 先分清 Profile 和 Tag一個是模板一個是綁定關(guān)系C9800 的配置邏輯可以粗暴拆成兩層。Profile 是「模板」描述某個東西長什么樣WLAN Profile 管 SSID、組播直通、Band Select、安全認(rèn)證、P2P 阻斷、負(fù)載均衡、LED、Rogue AP、HA/LA 組、GTK 輪轉(zhuǎn)、TCP MSSPolicy Profile 管這個 WLAN 的交換與策略面包括中央/本地交換、VLAN、本地認(rèn)證、Policy ACL、CTS、運(yùn)營速率、高密參數(shù)、RRM、客戶端分發(fā)、Radio Band、WMM、mDNS 模式、最大客戶端數(shù)、QoS/AVC、netflow、錨點(diǎn)、超時、DHCP、AAA Override、EAP 類型、Telnet/SSH 憑據(jù)。RF Profile 則管 2.4G 和 5G 兩個頻段的射頻優(yōu)先級、數(shù)據(jù)速率、高密參數(shù)這些空口側(cè)的東西。Tag 是「綁定關(guān)系」回答「誰套誰」Policy Tag 把 WLAN Profile 和 Policy Profile 綁在一起Site Tag 把 AP Join Profile、Flex Profile 和一組 Policy Tag 綁在一起RF Tag 把 2.4G/5G 兩個 RF Profile 綁在一起。AP 加入時按 Site Tag 找到 Policy Tag再找到 WLAN/Policy Profile按 RF Tag 找到射頻參數(shù)。理解這一點(diǎn)后面所有「改了不生效」的問題基本都能定位到「你改的是模板但 AP 套的是另一個 Tag」。2.2 9800-40 的容量邊界決定了標(biāo)簽怎么規(guī)劃手冊里給的 9800-40 規(guī)格不是擺設(shè)它直接決定標(biāo)簽規(guī)劃粒度。最大 AP 2000、最大客戶端 32000、最大吞吐 40GSite Tag 2000、Policy Tag 2000、RF Tag 2000Flex Profile 2000、Policy Profile 1000、RF Profile 4000每站點(diǎn)最大 Flex AP 100。部署模式支持集中式、FlexConnect、Fabric 三種。規(guī)劃時的常見做法是Site Tag 按物理站點(diǎn)或樓層劃分Policy Tag 按「業(yè)務(wù)策略組合」劃分比如員工、訪客、IoT 各一個RF Profile 按「高密區(qū)域 / 普通辦公 / 倉庫」劃分。注意 Policy Profile 上限是 1000比 Policy Tag 的 2000 少一半所以不要一個 SSID 配一個 Policy Profile 地堆能復(fù)用就復(fù)用。Flex 場景下每站點(diǎn) 100 個 Flex AP 是硬頂超過就得拆站點(diǎn)標(biāo)簽。2.3 用一張對照表把對象關(guān)系釘死對象作用關(guān)鍵內(nèi)容上限9800-40WLAN ProfileSSID 與無線側(cè)行為模板SSID、安全、Band Select、組播直通隨 Policy Tag 規(guī)劃Policy Profile交換與策略模板VLAN、ACL、本地認(rèn)證、QoS/AVC、最大客戶端1000RF Profile2.4G/5G空口射頻模板數(shù)據(jù)速率、RRM、高密參數(shù)4000AP Join ProfileAP 加入與連接參數(shù)中央/遠(yuǎn)程優(yōu)先級、憑據(jù)隨 Site TagFlex Profile遠(yuǎn)程站點(diǎn)靈活轉(zhuǎn)發(fā)本地 VLAN 映射、本地認(rèn)證2000Policy Tag綁定 WLAN Policy一對多組合2000Site Tag綁定 AP Join Flex Policy Tag站點(diǎn)級入口2000RF Tag綁定 2.4G/5G RF Profile射頻組合2000這張表建議打印出來貼工位。排障時先問「AP 套的哪個 Site Tag」再順藤摸瓜比在 Web 里亂翻快得多。3. 上電到 Web 首配Console 初始化和 DP 口改配的實(shí)操順序3.1 硬件面板先認(rèn)口別把管理口和數(shù)據(jù)口插反9800-40 面板上容易混的是幾個口SP Management PortG1是帶外管理DP PortG2是數(shù)據(jù)口TE0–TE3 是 1G SFP/10G SFP 業(yè)務(wù)口Redundancy PortG3用于 HA 組對。前面板還有 Console、USB Console、USB Port、SSD 活動燈以及 Power/System/Alarm/HA 四個 LED。電源是 11 冗余配 Power/Standby 開關(guān)。血淚經(jīng)驗(yàn)首次上電先看 System LED 是否穩(wěn)定綠色、Alarm 是否熄滅再插 Console。DP 口默認(rèn)配置和業(yè)務(wù)規(guī)劃經(jīng)常不一致手冊里專門有一節(jié)「DP Interface Re-configuration」說明這是高頻改動點(diǎn)。管理走 SP 口、業(yè)務(wù)走 DP/TE 口物理上分開后面做 HA 和抓包都清爽。3.2 Console 初始配置把管理可達(dá)性先打通首次開機(jī)走 Console按向?qū)гO(shè)置主機(jī)名、管理 IP、默認(rèn)網(wǎng)關(guān)、賬號密碼。下面是一段典型的初始配置骨架接口名以實(shí)際平臺為準(zhǔn)邏輯是通用的# 進(jìn)入全局配置 configure terminal # 主機(jī)名按站點(diǎn)命名規(guī)范來別用默認(rèn) hostname C9800-40-SITE-A # 管理接口地址走 SP 管理口 interface GigabitEthernet1 ip address 10.10.10.10 255.255.255.0 no shutdown exit # 默認(rèn)路由指向管理網(wǎng)關(guān) ip default-gateway 10.10.10.1 # 本地管理員賬號 username netadmin privilege 15 secret 強(qiáng)密碼 # 開啟 Web 管理后續(xù)首配要用 ip http server ip http secure-server # 保存 write memory邏輯說明管理面先獨(dú)立打通是為了后面 Web 首配和 HA 組對時有穩(wěn)定入口。ip http secure-server必須開9800 的 Web 界面走 HTTPS。密碼別用向?qū)J(rèn)值后面 AAA 接 RADIUS 時本地賬號是后悔藥。參數(shù)上管理網(wǎng)段建議單獨(dú)規(guī)劃不要和業(yè)務(wù) VLAN 混在一起否則 DP 口改配時容易把自己關(guān)在門外。3.3 Web 首配后必須重新登錄這是設(shè)計不是 bug手冊里特別標(biāo)注了一條初始配置完成后Web 管理界面需要重新登錄重新登錄后才能正常查看 AP 關(guān)聯(lián)。很多人第一次遇到會以為會話壞了。實(shí)際原因是首配過程中部分服務(wù)會重啟舊會話失效。操作順序是Console 配完管理地址 → 瀏覽器 HTTPS 打開管理 IP → 用剛建的賬號登錄 → 完成 Web 側(cè)初始項 → 主動登出再登入 → 此時 AP 列表、加入狀態(tài)才完整。這一步別省。我見過有人首配完直接在舊會話里點(diǎn) AP 頁面列表空白然后開始懷疑 AP 沒注冊白折騰半小時。3.4 DP 口改配與 VLAN 劃分業(yè)務(wù)面落地DP 口改配的核心是把數(shù)據(jù)口從默認(rèn)狀態(tài)改成承載業(yè)務(wù) VLAN 的 trunk。典型做法是先建 VLAN再把 DP 口配成 trunk 放行# 建業(yè)務(wù) VLAN vlan 100 name EMPLOYEE vlan 200 name GUEST vlan 300 name IOT # DP 口配 trunk放行需要的 VLAN interface GigabitEthernet2 switchport switchport mode trunk switchport trunk allowed vlan 100,200,300 no shutdown exit邏輯說明switchport先把口切到二層交換模式switchport mode trunk設(shè)為干道allowed vlan白名單放行避免全放行帶來的廣播和安全面擴(kuò)大。參數(shù)上VLAN ID 要和上游交換機(jī)、DHCP 中繼、防火墻子接口對齊改配前先在 Console 留一個管理會話防止 trunk 配錯導(dǎo)致 Web 斷連。手冊把「DP Interface Re-configuration」和「VLAN Configuration」分成兩節(jié)順序就是先改口再劃 VLAN別反過來。4. HA 組對與標(biāo)簽下發(fā)SSO 雙機(jī)怎么配、AP 怎么套標(biāo)簽4.1 HA 用 Redundancy Port 直連先定主備再談切換9800-40 的 HA 走 Redundancy PortG3兩臺設(shè)備該口直連或經(jīng)二層互通。手冊的 HA 章節(jié)是配置邏輯的收尾因?yàn)?HA 必須在單機(jī)配置穩(wěn)定后再做。常見做法是兩臺都完成初始配置和 DP 口改配管理 IP 同網(wǎng)段然后在主上配 redundancy 相關(guān)參數(shù)備機(jī)加入后形成 SSO 主備。HA LED 是判斷狀態(tài)最直觀的燈穩(wěn)定綠色表示組對正常。注意 HA 組對會同步配置所以組對前把不想要的實(shí)驗(yàn)配置清掉否則備機(jī)一起繼承。切換驗(yàn)證不要只看燈要在主備之間做一次手動切換觀察 AP 是否保持關(guān)聯(lián)、客戶端是否短暫中斷后恢復(fù)。這一步是很多割接方案里被跳過、上線當(dāng)晚才翻車的地方。4.2 標(biāo)簽下發(fā)順序先 Profile再 Tag最后綁 AP配置下發(fā)的正確順序是自底向上先建 WLAN Profile、Policy Profile、RF Profile、AP Join Profile、Flex Profile再建 Policy Tag綁 WLAN Policy再建 Site Tag綁 AP Join Flex Policy Tag再建 RF Tag綁 2.4G/5G RF Profile最后把 Site Tag 和 RF Tag 下發(fā)給 AP 或 AP 組。# 示例建 Policy Tag把 WLAN 和 Policy 綁一起 wireless tag policy EMPLOYEE-POLICY-TAG wlan EMPLOYEE-WLAN policy EMPLOYEE-POLICY description 員工業(yè)務(wù)策略標(biāo)簽 # 建 Site Tag綁 AP Join、Flex 和 Policy Tag wireless tag site SITE-A-TAG ap-join-profile default-ap-join flex-profile default-flex policy-tag EMPLOYEE-POLICY-TAG description A站點(diǎn)入口標(biāo)簽 # 建 RF Tag綁兩個頻段的 RF Profile wireless tag rf SITE-A-RF-TAG 2.4ghz rf-profile RF-2G-NORMAL 5ghz rf-profile RF-5G-HIGHDENSITY邏輯說明Tag 是引用關(guān)系被引用的 Profile 必須先存在否則命令報錯。description別省半年后回來排障全靠它認(rèn)人。參數(shù)上一個 Site Tag 可以掛多個 Policy Tag 嗎不行Site Tag 到 Policy Tag 是一對一入口多業(yè)務(wù)靠 Policy Tag 內(nèi)部綁多個 WLAN 實(shí)現(xiàn)。這也是為什么 Policy Profile 要省著用——它才是真正被復(fù)用的策略單元。4.3 驗(yàn)證 AP 到底套了哪套標(biāo)簽配完別急著收工用 show 命令核對綁定關(guān)系# 看 AP 的標(biāo)簽歸屬和加入狀態(tài) show ap summary show ap tag summary show wireless tag policy summary show wireless tag site summaryshow ap tag summary能直接看到每個 AP 當(dāng)前生效的 Policy Tag、Site Tag、RF Tag是排「改了不生效」的第一條命令。如果 AP 顯示的 Tag 和你以為的不一致問題就在下發(fā)環(huán)節(jié)不在 Profile 本身。5. 避坑與排查五條真機(jī)上踩出來的記錄5.1 改了 Policy Profile 但客戶端 VLAN 沒變現(xiàn)象在 Policy Profile 里把 VLAN 從 100 改成 200客戶端重新關(guān)聯(lián)后拿到的還是 100 網(wǎng)段地址。原因AP 套的 Policy Tag 引用的是另一個 Policy Profile或者改完沒在 Tag 層重新下發(fā)。解決先show ap tag summary確認(rèn) AP 實(shí)際引用的 Policy Profile 名字再改對應(yīng)對象改完對相關(guān) AP 做一次標(biāo)簽重下發(fā)或讓 AP 重新加入。5.2 Web 首配后 AP 列表空白現(xiàn)象初始配置完成Web 登錄進(jìn)去 AP 頁面空的但 Console 里 AP 明明注冊了。原因首配后舊 Web 會話失效頁面數(shù)據(jù)沒刷新。解決主動登出再重新登錄手冊里明確寫了這一步。若重登后仍空白再查 AP Join Profile 和授權(quán)狀態(tài)。5.3 DP 口改 trunk 后 Web 管理斷連現(xiàn)象改 DP 口 VLAN 放行后瀏覽器管理頁面打不開。原因管理流量和業(yè)務(wù)流量走了同一個口trunk 白名單把管理 VLAN 漏了或者默認(rèn)路由指向被改。解決Console 保留會話檢查switchport trunk allowed vlan是否包含管理 VLAN管理面盡量走 SP 口和 DP 口物理分離。5.4 HA 組對后備機(jī)配置被覆蓋現(xiàn)象備機(jī)上之前調(diào)試用的配置組對后消失了。原因SSO 組對會做配置同步備機(jī)跟隨主機(jī)。解決組對前清理備機(jī)實(shí)驗(yàn)配置組對后所有變更在主機(jī)做。切換驗(yàn)證要實(shí)際做一次別只看 HA LED 綠燈。5.5 Flex 站點(diǎn) AP 超過 100 個后加入失敗現(xiàn)象某遠(yuǎn)程站點(diǎn)第 101 個 AP 加不進(jìn)來。原因9800-40 每站點(diǎn)最大 Flex AP 為 100是硬上限。解決拆 Site Tag把站點(diǎn)按樓層或區(qū)域再分或者評估是否該站點(diǎn)應(yīng)改為集中式部署。規(guī)劃階段就按這個數(shù)留余量別等擴(kuò)容時才發(fā)現(xiàn)。6. 把標(biāo)簽體系當(dāng)代碼管配置備份、比對與割接前的一次演練標(biāo)簽化配置最大的好處是可復(fù)用最大的風(fēng)險是「引用關(guān)系藏在 Web 點(diǎn)擊里」。我的習(xí)慣是把關(guān)鍵配置落到可 diff 的文本上每次變更前show running-config導(dǎo)出變更后再導(dǎo)一次用 diff 看差異。重點(diǎn)盯wireless tag、wlan、policy profile、rf-profile這幾段因?yàn)樗鼈兪且面湹墓羌堋? 變更前備份 show running-config flash:before-change.cfg # 變更后備份并比對在支持的文件系統(tǒng)上 show running-config flash:after-change.cfg dir flash:如果平臺支持把 running-config 定期拉到外部 TFTP/SCP 服務(wù)器留檔比只存 flash 穩(wěn)。參數(shù)上備份文件按「日期變更單號」命名割接回滾時能精確找回上一版。再給一個割接前的驗(yàn)證清單思路用表格管住檢查項檢查項命令/動作通過標(biāo)準(zhǔn)標(biāo)簽綁定show ap tag summary每個 AP 的 Tag 與規(guī)劃表一致WLAN 狀態(tài)show wlan summary目標(biāo) WLAN 均為 UPHA 狀態(tài)看 HA LED 狀態(tài)命令主備穩(wěn)定切換演練通過VLAN 放行查 DP 口 trunk 配置業(yè)務(wù)與管理 VLAN 均在白名單客戶端實(shí)測三類終端各連一次地址、認(rèn)證、漫游正常最后說個具體技巧新站點(diǎn)上線前先拿一臺測試 AP 走完整流程——建 Profile、建 Tag、下發(fā)、關(guān)聯(lián)、拿地址、漫游——全程錄屏或記命令。這套「最小閉環(huán)」跑通后再批量下發(fā)能把標(biāo)簽引用錯誤擋在割接窗口之外。從那以后我每次動 9800 的標(biāo)簽都強(qiáng)制先在一臺 AP 上驗(yàn)證再鋪開寧可多花二十分鐘也不在半夜對著空白 AP 列表猜。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取