华三无线AC本地转发时用户无法获取IP地址？

Question

在华三无线AC配置本地转发模式时，终端用户常出现无法获取IP地址的问题。典型表现为：STA成功关联SSID，但始终未能从DHCP服务器获得IP地址，ping网关无响应。该问题多因业务VLAN未在AP上放行、AC与交换机间端口未正确配置trunk允许对应VLAN通过，或DHCP服务器未位于无线用户所在VLAN内所致。此外，若AC未开启“允许客户端参与二层漫游”或VLAN Pool功能配置不当，也可能导致地址分配失败。需重点排查AP接入交换机的VLAN透传、DHCP服务可达性及无线服务模板中VLAN与转发模式的匹配性。

Answer 1

一、问题现象与初步定位

在华三（H3C）无线AC控制器配置本地转发（Local Forwarding）模式时，终端用户常出现“成功关联SSID但无法获取IP地址”的典型故障。具体表现为：STA完成802.11认证与关联流程，状态显示已连接至指定SSID，但在执行ipconfig /renew或dhclient命令后仍未能从DHCP服务器获得有效IP地址，且后续无法ping通网关。

此问题直接影响用户体验，尤其在高密度部署场景中更为显著。初步判断应聚焦于三层网络可达性与二层VLAN连通性之间的匹配关系。

• STA可发现并连接SSID
• 无线链路协商正常，信号强度良好
• DHCP Discover报文发出后无响应
• AC上查看用户会话信息显示“未分配IP”
• Ping测试目标网关无响应

二、核心原因分析（由浅入深）

根据长期运维经验，该类问题通常涉及多个层面的配置协同缺失。以下按技术层级递进展开：

1. 物理层/数据链路层：AP接入交换机端口未放行业务VLAN，导致用户流量无法透传。
2. VLAN中继配置错误：AC与汇聚交换机之间Trunk端口未允许对应业务VLAN通过。
3. DHCP服务位置不当：DHCP服务器不在无线用户的业务VLAN子网内，缺乏直接响应能力。
4. 无线服务模板配置偏差：WLAN-Service模板中VLAN绑定方式与本地转发模式不兼容。
5. 高级功能缺失：未启用“允许客户端参与二层漫游”，影响跨AP的VLAN一致性维护。
6. VLAN Pool策略冲突：动态VLAN分配规则与本地转发路径下的广播域隔离机制产生矛盾。

三、排查流程与诊断方法

为系统化定位问题根源，建议采用分段排除法结合抓包验证。以下是标准化排查流程图：

digraph 排查流程 {
    A[开始: STA无法获取IP] -> B{是否成功关联SSID?};
    B ->|是| C[检查AP端口VLAN放行];
    B ->|否| D[排查射频/安全认证问题];
    C -> E{业务VLAN是否透传到AP?};
    E ->|否| F[修正交换机Access/Trunk配置];
    E ->|是| G[确认AC与交换机Trunk允许该VLAN];
    G -> H{DHCP服务器所在VLAN是否匹配?};
    H ->|否| I[部署DHCP Relay或迁移服务];
    H ->|是| J[检查WLAN服务模板VLAN设置];
    J -> K{是否启用二层漫游?};
    K ->|否| L[开启allow-l2-roaming功能];
    K ->|是| M[验证VLAN Pool配置逻辑];
    M -> N[在AP侧抓包分析DHCP交互];
}

四、关键配置项核查清单

检查项	配置位置	正确示例	常见错误
AP接入端口VLAN放行	接入交换机接口视图	port trunk permit vlan 100	遗漏业务VLAN
AC上行端口Trunk配置	AC连接交换机端口	port link-type trunk; permit vlan 100	仅允许默认VLAN
WLAN服务模板VLAN模式	wlan service-template X	vlan 100 或 vlan pool X	使用了管理VLAN而非业务VLAN
本地转发使能	service-template下forward-mode	forward-mode direct-forward	误配为tunnel-forward
二层漫游许可	全局配置模式	wlan allow-client-l2roam enable	未开启导致漫游后VLAN错乱
VLAN Pool绑定SSID	service-template引用pool	bind wlan-ess x vlan-pool vp1	静态VLAN与动态Pool混用
DHCP服务器可达性	三层路由/子网划分	同一子网或配置Relay Agent	跨子网无中继支持
AP组VLAN继承策略	ap-group配置上下文	mapped-vlan 100	映射关系未同步到所有AP
安全策略对广播流限制	ACL或防火墙规则	允许UDP 67/68端口	过滤了DHCP报文
用户隔离功能干扰	WLAN高级选项	undo user-isolation	启用了隔离导致无法访问网关

五、解决方案实施路径

针对不同成因，需采取差异化修复策略：

1. 确保VLAN透传完整：在AP直连的接入交换机上，确认其上行口和下行口均正确配置Trunk，并明确允许业务VLAN通过。
2. 校验AC与核心交换机互联链路：使用display interface GigabitEthernet X/X/X检查Trunk状态及允许VLAN列表。
3. 调整DHCP部署架构：若服务器位于其他VLAN，应在网关设备上配置DHCP Relay，指向真实服务器IP。
4. 优化无线服务模板：进入wlan service-template X视图，确认vlan xx或vlan pool name正确绑定，且forward-mode direct-forward已启用。
5. 启用二层漫游支持：执行全局命令wlan allow-client-l2roam enable，保障用户在AP间切换时不丢失VLAN上下文。
6. 审查VLAN Pool算法：若使用轮询或基于MAC哈希的分配方式，需确保每个成员VLAN均有对应的三层出口和DHCP服务覆盖。
7. 启用调试工具辅助定位：在AP侧使用debugging dhcp packet或镜像端口抓包，观察Discover报文是否被丢弃或未回应。

六、预防性配置建议

为降低此类问题发生概率，推荐在项目交付阶段实施如下最佳实践：

• 统一规划业务VLAN编号范围，避免与管理VLAN重叠
• 建立标准AP上线模板，预置正确的VLAN映射关系
• 在AC上启用日志记录功能，监控WLAN用户接入过程中的关键事件
• 部署自动化脚本定期检测Trunk端口VLAN集合一致性
• 对所有无线用户VLAN配置DHCP Snooping + ARP Detection增强安全性同时保障基础通信
• 文档化SSID-VLAN-转发模式三者映射表，便于后期审计
• 进行上线前模拟测试：构造相同环境验证DHCP获取全流程