爱快 + 华三 VLAN 多 SSID 改造实施流程记录

1. 改造背景

现有网络设备如下：

主路由：爱快
无线 AP：爱快
核心交换机：华三
二级交换机：华三
核心交换机和二级交换机均具备三层功能，但本次改造中主要作为二层 VLAN 交换设备使用
VLAN 网关、DHCP、NAT、OpenVPN 和上网策略仍统一由爱快负责

原有网络中，爱快 AP 在不配置 SSID VLAN 的情况下，可以正常获取并使用：

VLAN 1001
网段：192.168.5.0/24
网关：192.168.5.1

本次改造目标是：

所有 AP 继续保留公共 SSID
公共 SSID 继续使用 VLAN 1001
每个办公室增加独立 SSID
办公室 SSID 根据房间号绑定对应 VLAN
同一台 AP、同一根网线同时承载公共网络和办公室网络
不为每个 VLAN 单独连接交换机物理接口

2. 原始网络连接关系

爱快主路由 LAN2
        |
华三核心交换机 XGE1/0/14
        |
华三核心交换机 XGE1/0/3
        |
华三二级交换机 XGE1/0/49
        |
多个爱快 AP

关键接口：

设备	接口	连接对象
爱快主路由	LAN2	华三核心交换机
华三核心交换机	XGE1/0/14	爱快 LAN2
华三核心交换机	XGE1/0/3	华三二级交换机
华三二级交换机	XGE1/0/49	华三核心交换机
华三二级交换机	多个普通接口	爱快 AP

3. 网络规划

3.1 公共网络

VLAN：1001
网段：192.168.5.0/24
网关：192.168.5.1
用途：AP 管理和公共 SSID

3.2 301 办公室网络

最初规划：

VLAN：301
网段：192.168.31.0/24
网关：192.168.31.1

后续发现该网段与 OpenVPN 冲突，因此调整为：

VLAN：301
网段：192.168.131.0/24
网关：192.168.131.1
DHCP：192.168.131.2-192.168.131.200

3.3 办公室 VLAN 规划

房间号直接作为 VLAN ID，例如：

101 办公室：VLAN 101
301 办公室：VLAN 301
601 办公室：VLAN 601

为了避免以后新增办公室时反复修改 AP 交换机接口，本次将 AP 接口统一放行：

VLAN 100-700
VLAN 1001

4. 实际实施流程

4.1 第一步：确认爱快主路由配置

在爱快主路由 LAN2 上创建 VLAN 301。

最初配置：

绑定接口：LAN2
VLAN ID：301
网关：192.168.31.1
DHCP：192.168.31.2-192.168.31.200

确认：

VLAN 301 已启用
DHCP 已启用
VLAN 301 绑定的是连接核心交换机的 LAN2
VLAN 1001 原有配置保持不变

4.2 第二步：配置华三核心交换机

在核心交换机中创建 VLAN 301。

确认核心交换机以下接口允许 VLAN 301 和 VLAN 1001：

XGE1/0/14

连接爱快 LAN2。

链路类型：Trunk
PVID：1
Permit VLAN：包含 301 和 1001

XGE1/0/3

连接二级交换机 XGE1/0/49。

链路类型：Trunk
PVID：1
Permit VLAN：包含 301 和 1001

配置完成后，在核心交换机 VLAN 页面确认：

VLAN 301：
XGE1/0/3 为 Tagged
XGE1/0/14 为 Tagged

这说明 VLAN 301 已经可以从二级交换机透传到爱快。

4.3 第三步：配置华三二级交换机上联口

二级交换机 XGE1/0/49 连接核心交换机。

配置为：

链路类型：Trunk
PVID：1
Permit VLAN：1,20,100-700,1001

其中：

VLAN 1 用于现有服务器和交换机管理路径
VLAN 20 为原有业务
VLAN 100-700 为办公室 VLAN
VLAN 1001 为公共网络和 AP 管理网络

确认 VLAN 301 在二级交换机 XGE1/0/49 上显示为 Tagged。

4.4 第四步：批量配置 AP 接口

所有确认连接爱快 AP 的华三二级交换机接口统一修改为：

链路类型：Trunk
PVID：1001
Permit VLAN：100-700,1001

配置含义：

AP 自身管理流量不带标签，进入 VLAN 1001
公共 SSID 不带标签，进入 VLAN 1001
办公室 SSID 由爱快 AP 添加对应 VLAN 标签
VLAN 301、601 等办公室流量以 Tagged 方式通过

配置完成后，交换机 VLAN 页面出现：

VLAN 1001：
AP 接口显示 Untagged
上联接口显示 Tagged

VLAN 301：
AP 接口显示 Tagged
上联接口显示 Tagged

该状态正常。

4.5 第五步：配置爱快 AP 的 SSID

公共 SSID 保持不配置 VLAN：

SSID VLAN：关闭

公共终端继续获取：

192.168.5.x

301 办公室 SSID 配置：

SSID：XZNM-刘琴组
SSID VLAN：开启
VLAN ID：301

爱快 AP 会为该 SSID 的客户端流量添加 VLAN 301 标签。

5. 配置后的首次测试

完成交换机和 AP 配置后，进行测试。

5.1 公共 SSID 测试

公共 SSID 可以正常获取：

192.168.5.x

由此确认：

AP 自身工作正常
AP 接口 PVID 1001 正常
VLAN 1001 链路正常
二级交换机到核心交换机正常
核心交换机到爱快正常

5.2 301 SSID 测试

301 SSID 可以连接，但出现：

提示不可上网
IP 地址异常

最初排查方向包括：

AP 是否需要重启
SSID VLAN 是否下发
VLAN 301 是否在交换机上创建
核心 3 口和 14 口是否 Tagged
二级 49 口是否放行
爱快 VLAN 301 是否绑定正确
DHCP 是否开启

检查结果表明：

爱快 AP 的 VLAN ID 301 配置正确
二级交换机 AP 接口 VLAN 301 为 Tagged
二级交换机 XGE1/0/49 VLAN 301 为 Tagged
核心交换机 XGE1/0/3 VLAN 301 为 Tagged
核心交换机 XGE1/0/14 VLAN 301 为 Tagged
爱快 VLAN 301 和 DHCP 已启用

二层 VLAN 链路配置没有问题。

6. 故障根因

最终确认问题不是 VLAN 标签配置，也不是交换机 Trunk 配置。

真正原因是：

OpenVPN 已使用：192.168.31.0/24
VLAN 301 也使用：192.168.31.0/24

同一台爱快设备上，OpenVPN 和本地 VLAN 使用了相同网段，导致：

路由冲突
回程路径判断错误
NAT 或策略匹配异常
客户端连接 Wi-Fi 后提示不可上网

7. 最终修复

保留 OpenVPN 原网段：

OpenVPN：192.168.31.0/24

将 VLAN 301 修改为：

VLAN 301：192.168.131.0/24
网关：192.168.131.1
DHCP：192.168.131.2-192.168.131.200

修改后重新连接 301 办公室 SSID。

最终终端正确获取：

IP：192.168.131.x
网关：192.168.131.1

并可以正常访问互联网。

8. 最终完成状态

爱快主路由

VLAN 1001：
网关 192.168.5.1
公共 Wi-Fi 和 AP 管理

VLAN 301：
网关 192.168.131.1
301 办公室网络

OpenVPN：
192.168.31.0/24

华三核心交换机

XGE1/0/14：
连接爱快
Trunk
放行 VLAN 301、1001 和其他现有业务 VLAN

XGE1/0/3：
连接二级交换机
Trunk
放行 VLAN 301、1001 和其他现有业务 VLAN

华三二级交换机

XGE1/0/49：
连接核心交换机
Trunk
PVID 1
Permit VLAN 1,20,100-700,1001

华三二级交换机 AP 接口

链路类型：Trunk
PVID：1001
Permit VLAN：100-700,1001

爱快 AP

公共 SSID：
不设置 VLAN
获取 192.168.5.x

办公室 SSID：
设置对应房间 VLAN
例如 VLAN 301
获取 192.168.131.x

9. 本次实施的关键结论

9.1 AP 接口不能配置成普通 Access 口

一台 AP 需要同时承载公共 SSID 和多个办公室 SSID，因此连接 AP 的交换机接口必须使用 Trunk。

9.2 AP 接口 PVID 使用 1001

因为：

AP 管理流量不带标签
公共 SSID 不带标签
两者都需要进入 VLAN 1001

所以：

PVID：1001

9.3 办公室 VLAN 显示 Tagged 是正常的

办公室 SSID 由爱快 AP 主动添加 VLAN 标签。

因此 VLAN 301 在 AP 接口和主干接口显示 Tagged 是正确状态。

9.4 VLAN 1 不需要加入 AP 接口

VLAN 1 只需要保留在：

服务器管理路径
核心和二级交换机上联路径

如果爱快 AP 不使用 VLAN 1，则 AP 接口不需要放行 VLAN 1。

9.5 VLAN 配置完成后还要检查 IP 地址冲突

VLAN 标签正常不代表网络一定正常。

还必须检查：

LAN 网段
VLAN 网段
OpenVPN 网段
其他 VPN 网段
静态路由网段

所有网段必须唯一，不能重叠。

10. 后续新增办公室的标准流程

以后新增办公室，例如 601 办公室，可按以下流程操作。

第一步：检查地址冲突

确认准备使用的新网段没有被以下功能占用：

现有 LAN
现有 VLAN
OpenVPN
其他 VPN
静态路由
远程分支网络

第二步：在爱快创建 VLAN

例如：

VLAN ID：601
网关：规划后的唯一网关
DHCP：开启
绑定接口：LAN2

第三步：确认华三交换机 VLAN

确认：

华三核心已创建 VLAN 601
华三核心 XGE1/0/14 放行 VLAN 601
华三核心 XGE1/0/3 放行 VLAN 601
华三二级 XGE1/0/49 放行 VLAN 601

由于 AP 接口已允许 VLAN 100-700，一般不需要再次修改 AP 接口。

第四步：在爱快 AP 创建办公室 SSID

SSID：601 办公室
SSID VLAN：开启
VLAN ID：601

第五步：测试

确认终端：

获取正确网段 IP
网关正确
DNS 正常
可以访问互联网
与其他办公室的访问权限符合策略

11. 最终流程总结

先在爱快规划 VLAN、网关和 DHCP
        ↓
检查是否与 OpenVPN 或其他网段冲突
        ↓
在华三核心和二级交换机创建并放行 VLAN
        ↓
AP 接口统一配置为 Trunk
        ↓
AP 接口 PVID 设置为 1001
        ↓
公共 SSID 不配置 VLAN
        ↓
办公室 SSID 配置对应 VLAN ID
        ↓
测试 IP、网关、DNS 和互联网
        ↓
发现异常时先判断二层 VLAN，再检查三层 IP 冲突