企业官网建设流程全解析

1. 从"插根网线就能上网"到 WLAN：思维方式的第一次切换

1. 为什么网络工程师必须单独学一遍 WLAN

刚开始做网络的时候，我下意识把无线当成"网线的替代品"：交换机端口换成 AP，网线换成空气，其他照旧。真正在项目里被现实教育过几次之后才明白，这个类比错得很离谱。有线链路的带宽是私有的、稳定的、可预测的；WLAN 的介质是共享的、时变的、充满不确定性的。一个会议室里 50 个人同时连着同一个 AP，他们不是在"各用一条链路"，而是在抢同一块空口时间。

WLAN（Wireless Local Area Network，无线局域网）本质上是把二层以太网的接入方式，从受控的铜缆换成了开放的射频频段，同时为了应对共享介质带来的冲突、隐藏节点、干扰等问题，额外引入了 CSMA/CA、帧确认、速率自适应、漫游协商等一整套机制。它解决的核心问题是：在无法布放线缆或需要移动性的场景下，让终端以接近有线体验的方式接入局域网并访问上层资源。适合读这篇笔记的人，是那些已经懂 VLAN、网关、DHCP、路由，但一碰到"信号满格却打不开网页""漫游时视频会议卡一下"就抓瞎的同行；也适合刚接触 AC+AP 架构、需要独立完成一次小型无线覆盖的新手。

这篇笔记我按自己带项目和排障时的真实顺序来组织：先讲射频这个物理底座，再讲空口怎么抢时间片，然后是组网架构、安全认证、容量与漫游，最后是排查手法。不追求穷尽协议细节，但每一步都尽量说清楚"为什么要这么做"。

1.1 无线和有线到底差在哪三个地方

第一个差别是介质共享。有线交换机每个端口是独立的冲突域，全双工，收发不打架；WLAN 同一信道上所有终端和 AP 共享一个半双工的广播域，任何时刻只能有一方在发。这就决定了无线容量不能简单用"标称速率 × 端口数"来算。

第二个差别是信道质量随环境变化。人在会议室里走动、门开了一下、隔壁公司新装了两个 AP，都会让信噪比波动。所以 802.11 才有速率自适应机制：信号好时用高阶调制跑高速率，信号差时自动回落到低阶调制保连接。这也解释了为什么"信号两格"的终端会严重拖慢整个 AP——它会占用更长的空口时间去传同样的数据。

第三个差别是连接状态是软状态。有线口拔了就是断了，无线终端的"关联"是靠 Beacon 和探测维持的，终端可以一直挂在一个信号已经很差的 AP 上不切换，这叫粘滞。很多"无线卡"的问题，根子不在设备性能，而在客户端漫游策略和网络侧引导策略没配合好。

理解了这三点，后面所有配置和排障动作就都有了解释。我见过太多人一上来就调功率、改信道，结果连"这个位置的信噪比是多少、噪声底是多少"都没测过，纯靠猜。

1.2 学习的正确顺序：射频 → 帧 → 认证 → 漫游

我给新人安排学习路径时，一般按这个顺序推：先花时间搞懂频段、信道、带宽、功率、信噪比这些射频概念，因为这是所有现象的地基；然后理解 802.11 的帧类型和接入机制，知道终端和 AP 之间到底在"商量"什么；接着是安全认证，这是企业网绕不过去的坎；最后才是漫游和调优，因为漫游问题往往是前面三层没打牢导致的表象。

反过来学，也就是一上来就背 AC 配置命令，短期能上线，长期一定踩坑。配置命令是厂商封装的表象，不同产品差异很大，但射频原理、帧交互流程、认证流程是全行业通用的。把通用的那部分吃透，换任何一家设备都能快速上手。

2. 射频基础：WLAN 的地基打不牢，后面全是玄学

2.1 频段、信道与频谱宽度怎么选

目前主流在用两个频段：2.4GHz 和 5GHz。2.4GHz 的可用范围大致是 2.4～2.4835GHz，国内通常可划分出 13 个 20MHz 信道，信道中心频率按 2412 + 5×(n−1) MHz 递推。因为每个信道实际占用约 20MHz 带宽，而相邻信道中心只隔 5MHz，所以真正互不重叠的只有 1、6、11 这一组（部分地区是 1、5、9、13）。这就是为什么 2.4G 布放超过三个 AP 就必然同频干扰——物理上没那么多"车道"。

5GHz 的情况好很多，可用信道多，且以 20MHz 为基本单位可以捆绑成 40/80/160MHz。中心频率按 5000 + 5×n MHz 递推，比如信道 36 对应 5180MHz。信道多意味着可以做出更干净的同频规避规划，代价是高频段穿透损耗更大，绕射能力弱，隔一堵承重墙衰减就明显。

信道宽度的选择是个典型取舍。80MHz 能带来更高峰值速率，但会占用更多连续频谱，导致可用的不重叠信道数量骤减。在一个有十几颗 AP 的办公区里全上 80MHz，基本等于自己给自己制造同频干扰。我的常规做法是：办公、教室、会议室这类中高密度场景统一 20/40MHz，让密度优先；体育馆、空旷展厅这类低密度大空间的，可以局部开 80MHz 提峰值。

注意：等效全向辐射功率的上限各国家/地区都有明确规定，配置发射功率和天线增益前，务必以当地主管部门的现行要求为准。这一条不是形式主义，超限不只是合规问题，还会把邻区干扰做得更大，最终伤害的是自己的网络。

2.2 功率、信噪比与速率协商：三个必须会算的数

排障时我第一个要看的不是"信号几格"，而是三个数值：RSSI（接收信号强度）、噪声底（Noise Floor）、以及两者相减得到的 SNR（信噪比）。

噪声底在干净的 20MHz 信道里通常在 −95dBm 左右，环境嘈杂时会抬到 −90dBm 甚至更高。SNR 决定能用什么调制编码策略（MCS）：SNR 很高时可以跑 1024-QAM 甚至 4096-QAM，SNR 掉到 10dB 以下就只能退回低阶调制，速率断崖式下跌。

经验门限大致是这样：普通数据业务覆盖边缘建议 RSSI ≥ −70dBm，语音和视频会议建议 ≥ −65dBm，SNR 建议 ≥ 25dB。低于这个值不是"不能连"，而是"能连但很难用"，因为重传率会飙升。重传意味着同一份数据要占两次空口时间，直接把整颗 AP 的有效容量吃掉。

这里有个容易被忽略的细节：功率不是越大越好。把 AP 功率拉满，终端能收到很强的下行信号，但终端自己的发射功率通常远小于 AP（手机一般在 15dBm 上下），于是形成上下行不对称——AP 喊得响，终端回话声音小，AP 听不清。表现出来就是"信号满格但上传慢、认证超时"。所以我更倾向于把 AP 功率控制在中等水平，让覆盖边界由 AP 之间的功率平衡来决定，而不是单方面拉高。

2.3 天线选型与链路预算的粗略算法

天线这块不用背太多，抓住三个参数就够用：增益、波瓣宽度、极化方式。全向吸顶天线增益一般在 3～5dBi，适合办公室吊顶均匀覆盖；定向天线能到 10dBi 以上，用于走廊、长条形仓库、室外点对点。波瓣宽度决定了能量集中在哪个角度，全向天线的水平波瓣接近 360 度，垂直波瓣往往只有几十度，所以吸顶 AP 装太高或太低都会出现"脚下盲区"。

链路预算我会做个粗略估算，用来判断覆盖是否合理：

EIRP = 发射功率(dBm) + 天线增益(dBi) - 馈线损耗(dB) 接收电平 ≈ EIRP - 自由空间损耗 - 穿透损耗 自由空间损耗(dB) = 32.44 + 20log10(频率MHz) + 20log10(距离km)

举个实际例子：5GHz（取 5200MHz）、距离 20 米（0.02km），自由空间损耗 = 32.44 + 20×log10(5200) + 20×log10(0.02) ≈ 32.44 + 74.3 − 34.0 ≈ 72.7dB。如果 AP 发射 17dBm、天线 4dBi，EIRP 约 21dBm，那么空旷环境接收电平约 −51.7dBm。再穿一堵普通砖墙（5GHz 大约衰减 10～15dB），落到 −62 到 −67dBm，刚好在可接受边缘。这个算法不考虑多径和人体吸收，只能当量级参考，但比拍脑袋强得多。

实测时我一直用一个笨办法：拿手机装个能看 RSSI 和 SNR 的测量工具，在平面图上按网格打点，每 5 米记一次，标注承重墙、金属货架、玻璃隔断。二三十个点位测下来，AP 该放哪、要不要补点，一目了然。工勘花的这两小时，能省掉上线后两周的投诉处理。

3. 802.11 帧与接入机制：空口时间是怎么被抢走的

3.1 CSMA/CA：为什么无线不能"想发就发"

有线以太网用 CSMA/CD 检测冲突，发现冲突就重发；无线没法边发边听（自己的发射会淹没接收），所以改成 CSMA/CA——发送前先避让。流程是这样的：终端想发数据，先监听信道；空闲持续一个 DIFS 时间后，再进入随机退避计时，退避计数器每空闲一个时隙减一，减到零才开始发。如果这期间检测到别人在发，就冻结计数器，等下一个空闲周期继续。

发送完成后，接收方必须回一个 SIFS 之后发出的 ACK，告诉发送方"收到了"。没收到 ACK 就认为丢了，按指数退避把竞争窗口翻倍重试。这就是为什么无线丢包的表现和有线完全不同：有线丢包多半是链路误码，无线丢包大量来自冲突和干扰，重传会进一步加剧拥堵。

SIFS 比 DIFS 短，这是优先级设计：ACK、CTS 这类控制帧用 SIFS，能抢在别人之前发出，保证一次数据传输能完整收尾。不同标准的时隙长度和帧间间隔不完全一样，但"控制帧优先、数据帧靠抢"的逻辑是一致的。

为了解决隐藏节点（两个终端互相听不到，却都能听到 AP），802.11 提供了 RTS/CTS 机制：发送方先发 RTS，AP 回 CTS，CTS 会被所有能听到 AP 的终端收到，它们就会安静一段时间。这个机制在高密度场景能减少冲突，但本身也消耗空口，所以现代设备通常只在帧长超过阈值时才启用。

3.2 三类帧：管理帧、控制帧、数据帧

抓包看空口，80% 的帧是管理帧，这也是判断网络健康度的一个重要入口。

• 管理帧：Beacon（AP 周期性广播，默认 100 TU ≈ 102.4ms 一次）、Probe Request/Response（终端主动探测）、Authentication、Association Request/Response、Deauthentication、Disassociation。Beacon 间隔调大能省一点空口，但会拖慢终端发现网络的速度；调小则相反。我一般保持默认，除非有明确的省电或快速发现需求。
• 控制帧：RTS、CTS、ACK、Block ACK、PS-Poll。Block ACK 是 802.11n 之后的重要优化，一次确认一批数据帧，减少确认开销。
• 数据帧：承载真正的业务载荷，QoS Data 帧带优先级标记（对应 WMM 的四个接入类别：语音、视频、尽力而为、背景）。

帧头里有三个关键地址字段：Address1 是接收方，Address2 是发送方，Address3 视方向而定（终端发给 AP 时是目的地址，AP 发给终端时是源地址）。BSSID 通常是 AP 的射频 MAC，SSID 是网络名，ESSID 是多个 BSSID 组成的同一网络。搞清这几个地址，抓包时才不会看晕——同一个 SSID 下多个 AP，BSSID 各不相同，这就是漫游的物理基础。

3.3 一次完整的接入过程：从扫描到拿到 IP

终端上网要经过这么几步，每一步出问题表现都不一样：

1. 扫描：主动扫描发 Probe Request 等回应，被动扫描听 Beacon。扫不到 SSID，先怀疑是不是隐藏 SSID、信道不支持、或者 AP 没在广播。
2. 链路认证：开放系统认证基本就是走个流程，真正的安全在后面的密钥协商。
3. 关联：终端发 Association Request，AP 回 Response 并分配 AID。关联失败通常在 AP 侧有原因码，这个码非常关键，后面排障章节会展开。
4. 密钥协商：WPA2-PSK 走四次握手（EAPOL 报文），双方用 SSID + 口令经 PBKDF2 迭代生成 PMK，再用双方随机数和 MAC 生成 PTK。四次握手失败，现象是"一直转圈连不上"或"提示密码错误"。
5. 获取地址：DHCP 拿 IP。这一步失败，现象是"已连接，无法访问互联网"。
6. 认证与授权：企业网的 802.1X 或 Portal 在这一步做，之后才放行业务流量。

我排查时习惯顺着这个链条从后往前看：先确认终端有没有拿到 IP（拿不到就看 DHCP 中继和 VLAN），再看认证有没有过（看 RADIUS 或 Portal 日志），再看关联有没有成功（看 AP 侧关联记录和原因码），最后才怀疑射频。这个顺序能过滤掉大量"以为是信号问题、其实是地址池满了"的假象。

4. 组网架构与工程落地：从 FAT AP 到 AC+FIT

4.1 三种组网模式怎么选

FAT AP（胖 AP）：每台 AP 独立配置，各自是一个小网关或二层桥接设备。优点是部署简单，一台设备开箱即用，适合家庭、小型门店、临时办公点。缺点是可管理性极差——十台 AP 改个密码要登十次，出了问题没有统一视图。

AC + FIT AP（瘦 AP）：AP 本身不含配置，从无线控制器（AC）拉取配置，由 AC 统一下发 SSID、安全策略、射频参数、漫游策略。这是中大型项目的主流方案，也是"网络工程师"必须掌握的那一套。规模小时可以用 AP 内置的虚拟控制器（一台 AP 兼任 AC），规模大时用独立硬件 AC 或云管平台。

云管 / 即插即用：AP 上电自动找管理平台注册，配置在云端统一下发。运维体验最好，但依赖互联网连通性，且对数据出局有要求的场景要慎重评估。

选型时我会问三个问题：点位多少、有没有跨楼跨区、谁来运维。点位少于 10 且不需要漫游，胖 AP 完全够用，不必上 AC 制造复杂度；超过 20 个点位、需要统一认证和漫游，就必须 AC+FIT；多分支、无人值守的连锁场景，云管优势明显。

4.2 CAPWAP 隧道与转发模式：流量到底走哪条路

AC 和 AP 之间用 CAPWAP 协议通信，控制隧道用 UDP 5246，数据隧道用 UDP 5247。AP 上线流程大致是：上电 → 通过 DHCP 拿到地址（同时通过 Option 拿到 AC 地址，或走广播/组播/静态配置/DNS 发现）→ 与 AC 建立控制隧道 → 版本同步（必要时升级固件）→ 拉取配置 → 射频启动，开始广播 SSID。

转发模式是设计阶段必须定下来的关键决策：

我踩过的坑：一个中型园区为了图省事全用隧道转发，AC 放在核心旁边，结果峰值时 AC 的吞吐打满，全楼无线一起卡顿。后来改成 SSID 分级——办公 SSID 本地转发，访客 SSID 隧道转发（因为要走 AC 上的统一 Portal 和出口策略），问题立刻缓解。这个思路是"让该集中的集中，该分散的分散"，比一刀切强得多。

4.3 PoE 供电与布线：最容易被低估的工程细节

AP 一般用 PoE 供电，标准有三档：802.3af（约 15.4W）、802.3at（约 30W）、802.3bt（约 60W/90W）。看起来够用，但要注意两点：一是 AP 标称功耗和峰值功耗不同，Wi-Fi 6/7 的高性能 AP 在满负荷时峰值可能接近甚至超过 30W，尤其带多个射频和 2.5G/10G 上行口的型号；二是线缆有损耗，长距离、细线径的网线会让到达 AP 的功率打折扣。

功率预算我会这样算：交换机端口输出能力（比如 30W）− 线缆损耗（Cat5e 100 米满负荷下可能损耗几瓦）− 余量（留 20%）≥ AP 峰值功耗。如果算下来不够，要么换 802.3bt 供电，要么换更粗的线（Cat6/Cat6A），要么就近加本地电源。硬凑的结果是 AP 反复重启或者降功率运行，表现出来就是"某几个点位信号特别弱"，而你会以为是射频配置问题，查半天。

布线还有几个实操经验：AP 点位不要紧贴金属吊顶龙骨和消防管道；吸顶 AP 尽量装在吊顶中心而不是角落；走廊 AP 间距控制在 15～20 米量级；不要把 AP 装在弱电井里再"指望它穿墙"。这些听起来是常识，但工勘不到位导致的返工，占了无线项目工期超支的一大半。

5. 安全与认证：WLAN 最容易被攻破的那一环

5.1 从 WEP 到 WPA3：加密方式的演进逻辑

WEP 早已不可用，它的 RC4 加密和短 IV 设计存在根本缺陷，抓够数据包就能恢复密钥。WPA 是过渡方案，用 TKIP 打了补丁，现在也应该淘汰。

WPA2-PSK是过去十几年最普遍的方案，用 AES-CCMP 加密，安全性依赖口令强度。它的弱点在四次握手：攻击者可以抓握手包离线爆破，口令弱的话很快就被猜出来；另外早期实现存在密钥重装漏洞。所以用 WPA2-PSK，口令必须够长够随机，别用公司名 + 年份这种一眼能猜的组合。

WPA3-Personal用 SAE（对等实体同时认证）替代 PSK，做了前向保密，并且能抵抗离线字典攻击——每次猜测都必须在线交互，爆破成本陡增。同时 WPA3 还强制启用了管理帧保护（PMF），能防住伪造断开帧这类攻击。代价是部分老旧终端不支持，过渡期通常开 WPA2/WPA3 混合模式，但混合模式会牺牲一部分 WPA3 的安全特性，等终端换代完成后建议切纯 WPA3。

WPA2/WPA3-Enterprise走 802.1X，用 RADIUS 服务器做身份认证，适合企业网。每个用户独立凭据，离职删账号即可，不用改全网口令。

5.2 企业级 802.1X 与 Portal：两套逻辑别混用

802.1X 的流程是：终端关联后，AP（作为认证者）阻止业务流量，只放行 EAP 报文；终端与 RADIUS 服务器通过 EAP 完成身份验证（常见方式有证书双向认证的 EAP-TLS、账号口令的 PEAP-MSCHAPv2、以及 TTLS）；认证通过后，RADIUS 返回 Accept，并可下发授权属性——比如把用户分配到某个 VLAN、下发 ACL、下发限速策略、标记用户角色。

这套机制的强大之处在于"身份即策略"：员工连上自动进办公 VLAN，访客连上自动进隔离 VLAN，外包人员只能访问特定资源。落地时的关键点是证书和域环境，PEAP 需要客户端信任服务器证书，否则用户会被诱导接受伪造证书。所以内网一定要把 RADIUS 服务器证书通过域策略推送到终端，别让用户手点"继续"。

Portal 认证则完全不同，它工作在应用层，终端先拿到 IP，访问任意网页被重定向到认证页，输入账号或扫码通过后才放行。适合访客、酒店、商场这类无法预装客户端凭据的场景。Portal 的常见坑是：DNS 必须放行否则重定向页面弹不出来；HTTPS 站点在重定向时会有证书告警；认证前的 ACL 要精确，别把 DHCP 和 DNS 也拦了，否则终端根本拿不到地址。

我的经验是：内部员工用 802.1X，访客用 Portal，两套并存但 SSID 严格分开。混在一个 SSID 上做"先 Portal 再 1X"的逻辑，配置复杂度和故障率都会翻倍。

注意：无论哪种方式，管理面一定要和业务面隔离。AP 的管理地址、AC 的管理地址不要和办公终端放同一个可达网段，管理协议只对运维网段开放。无线网络的边界比有线更模糊，物理位置不再是访问控制的手段。

6. 容量规划与漫游优化：让"能用"变成"好用"

6.1 AP 数量不是按面积算，是按并发和带宽算

新手常问"一个 AP 覆盖多少平米"。这个问题没有标准答案，因为覆盖和容量是两回事。空旷办公室一个 AP 覆盖 200 平米信号都没问题，但塞 80 个人进去照样卡。正确的算法是容量优先、覆盖兜底。

我常用的估算路径：

单 AP 有效吞吐 ≈ 协商速率 × 空口效率系数（0.4~0.6） 总带宽需求 = 并发终端数 × 单终端保障带宽 AP 数量（容量） = 总带宽需求 / 单 AP 有效吞吐 AP 数量（覆盖） = 覆盖面积 / 单 AP 有效覆盖面积 最终数量 = max(容量, 覆盖)，再按现场结构微调

举个例子：一个 400 平米的开放办公区，峰值 120 人同时在线，业务以办公文档、网页、视频会议为主，人均保障 2Mbps，总需求 240Mbps。用 Wi-Fi 6 双频 AP，5GHz 4×4、80MHz 协商速率约 2400Mbps，按 0.5 效率算有效吞吐约 1200Mbps。容量上 1 颗就够，但覆盖上 400 平米放 1 颗会边缘体验差，且单点故障风险高。实际我会放 3～4 颗，把功率压低，让终端均匀分布，同时留出冗余。

反过来说高密场景，比如 500 人的报告厅，人均 1Mbps 也要 500Mbps，还要考虑人员密集导致的人体吸收（实测能额外衰减 5～10dB）。这时候的思路不是加功率，而是加密度：每颗 AP 覆盖 50～80 平米，功率调低，信道错开，开启负载均衡和频段引导，把终端尽量推到 5GHz 上。

6.2 漫游：为什么"走过去断一下"是个系统工程

漫游的本质是终端从一个 BSSID 切到另一个 BSSID。二层漫游是同 VLAN 内切换，网关不变，业务基本无感；三层漫游是跨 VLAN，需要 AC 或上层设备配合保持会话，配置不当会出现"走两步 IP 变了、视频会议掉线"。

终端决定何时漫游，网络侧只能引导，不能强制。这就带来两个经典问题：一是粘滞，终端明明有更好的 AP 可选，却死死抱着旧的；二是乒乓，在两个信号接近的 AP 之间反复横跳。解决办法是网络侧设置合理的引导策略：弱信号剔除（低于门限主动踢下线，逼终端重连）、负载均衡（新终端优先接入负载低的 AP）、频段引导（优先 5GHz）。

802.11k/v/r 三个协议是提升漫游体验的关键：

• 802.11k：AP 向终端提供邻居 AP 报告，终端不用全信道扫描就知道周围有哪些候选，缩短切换决策时间。
• 802.11v：BSS 过渡管理，AP 可以建议终端切换到某个更合适的 BSSID。
• 802.11r：快速 BSS 过渡，通过在漫游前预分发密钥，把重认证时间从几百毫秒压到几十毫秒。对语音、实时协作类业务意义很大。

需要说清楚的是，这三个都需要终端支持才生效。老终端不支持 11r，开了也没用；有些终端对 11v 的实现有 bug，开了反而更差。所以我的做法是先开 k 和 v 观察，确认终端兼容性没问题，再在语音 SSID 上单独开 r。

6.3 射频调优：静态规划打底，动态调优兜底

射频调优分两层。第一层是静态规划，也就是工勘阶段把信道、功率、AP 位置定下来，这是基础。2.4G 只在 1/6/11 里轮转，5G 相邻 AP 错开至少一个信道宽度，边缘区域功率略低形成平滑过渡。

第二层是动态调优，让 AC 周期性收集各 AP 的邻居信息和干扰情况，自动调整信道和功率。这东西好用但别迷信：动态调优需要足够的采样时间，刚上线时容易反复调整导致抖动；而且它只能基于自己看到的邻居，邻区的干扰它不一定知道。我的实践是上线初期先手动规划，稳定运行两周后再开动态调优，并设置调整幅度上限和调整时间窗（比如只在凌晨执行），避免白天业务高峰突然改信道。

还有一个常被忽略的参数是最低速率。把 1Mbps、2Mbps、5.5Mbps 这些低速率关掉，强制终端用更高速率接入，能显著减少"远端点位拖慢整颗 AP"的现象。代价是覆盖半径略微收缩，但对于中高密度场景，这个交换非常值。

7. 常见故障排查实录：从现象到根因的路径

7.1 一张表理清"连不上"的四种形态

排障最怕的是笼统地说"无线有问题"。我会先把现象拆细，因为不同形态指向完全不同的层面。

顺着这张表走，绝大多数问题能在十分钟内定位到层面，再往下就是具体设备的事了。

7.2 三个真实踩过的坑

坑一：信号满格，网页打不开。某办公区反馈部分工位上网极慢。现场测 RSSI 是 −45dBm，看着非常好。但一测 SNR，只有 12dB——噪声底被抬到了 −57dBm。用频谱工具扫了一圈，发现附近有一批私接的无线设备在同一信道持续发包，还有微波炉在茶水间。把该区域 AP 切到干净信道，并协调移除私接设备后恢复正常。教训是：只看信号强度会被骗，必须同时看噪声底。

坑二：漫游时视频会议必卡三秒。排查发现该 SSID 没开 802.11r，且跨了 VLAN 做三层漫游，重认证 + 重新获取地址加起来两秒多。方案是语音 SSID 单独规划到同一 VLAN 内做二层漫游，开启 11r，并把弱信号剔除门限调到 −70dBm，避免终端拖到信号很差才切。改完漫游中断压到 100ms 以内。

坑三：新装 AP 反复重启。十几颗 AP 里总有两三颗每隔几小时重启一次。一开始怀疑固件，刷了没用。查 PoE 交换机的端口功率日志才发现，这几颗 AP 所在端口是 802.3af 供电（15.4W），而 AP 峰值功耗超过 20W，负载一高就触发保护重启。换成 802.3at 端口后彻底解决。这个坑的隐蔽之处在于：平时低负载时功耗够用，只有高峰才复现，很容易被当成"偶发故障"。

7.3 我常用的排查工具与手法

• 抓包：在 AP 侧或终端侧抓空口包，重点看管理帧的交互顺序和失败原因码。看四次握手有没有走完，看 Deauth 是谁发的、原因码是多少。Deauth 原因码 1（ unspecified）和 15（四次握手超时）是我见过最多的两个。
• 打流测试：用打流工具在 AP 下做上下行吞吐测试，注意要关掉其他终端的干扰，单终端测试才有意义。测出来明显低于协商速率 40% 的，基本可以判定有干扰或重传严重。
• 频谱分析：非 Wi-Fi 干扰（微波、无线摄像头、蓝牙设备）只能靠频谱图看出来，普通网卡看不到。
• AC 侧统计：看每颗 AP 的在线终端数、信道利用率、重传率、噪声底趋势。信道利用率长期超过 60% 就该考虑扩容或分流了。
• 终端侧日志：很多连接问题在终端系统日志里有直接答案，尤其是认证阶段的 EAP 失败原因，比在 AC 上猜快得多。

一个重要习惯：先复现，再动手。让对方描述"什么时候、什么位置、什么终端、什么业务"这四个要素，能复现就有得查；不能复现就先去收集 AC 侧的历史数据，别急着改配置。改配置是最容易把一个问题变成三个问题的操作。

8. 我个人在实际项目中的几点体会

做了这些年无线，最大的感受是：WLAN 的问题里，真正属于"协议不懂"的比例很低，绝大多数是工程细节没做到位——工勘没测、点位没规划、功率没平衡、线缆和供电没算清楚。协议知识决定了你能不能看懂现象，工程习惯决定了你会不会制造问题。

我现在接手任何无线项目，都会强制走三步：第一步，拿平面图做点位初排，标注墙体材质和可能的干扰源；第二步，现场用测量工具按网格打点，把 RSSI 和 SNR 记下来，形成覆盖热图；第三步，上线后先不调优，让它跑一周收集数据，再基于真实终端分布做调整。这三步花的钱和时间，远小于事后救火的成本。

另外一个建议是：别过度迷信"一键调优"。自动化的前提是数据质量，如果 AP 点位本身有问题、或者存在持续的非 Wi-Fi 干扰，算法再聪明也只能在错误的基础上做优化。先解决物理层和工程层的问题，再谈参数调优，顺序不能反。

最后分享一个我常备的小清单，进场前对着核一遍：AP 点位图有没有、供电方式确认了没有、每颗 AP 的峰值功耗和交换机端口能力对不对得上、业务 VLAN 和 AP 管理 VLAN 分没分、DHCP 地址池按并发数的 1.5 倍留没留够、认证服务器证书推没推到终端、漫游相关的 k/v/r 在目标终端上验证过没有。这七条核完，项目基本不会出大问题。剩下的就是跑起来之后慢慢看数据、慢慢调，无线这东西，本来就做不到一次调到位，靠的是持续观察和微调。