华三控制器本地转发配置后终端无法上网？

Question

在华三（H3C）无线控制器本地转发模式下，终端配置完成后无法上网的常见问题之一是：AC未正确配置用户VLAN及网关可达性。本地转发模式下，数据流量不经过AC，若AC未将用户VLAN透传至接入交换机或未在对应VLAN接口配置网关IP，终端虽能获取IP地址，但报文无法正常路由，导致无法上网。同时，若DHCP服务器部署在核心层而中间链路未正确放通VLAN，也会造成三层通信失败。需检查交换机端口VLAN允许列表、VLAN接口状态及路由表项，确保用户侧网络路径完整可达。

Answer 1

华三（H3C）无线控制器本地转发模式下用户VLAN与网关可达性故障深度解析

1. 问题背景：本地转发模式的网络架构特性

在H3C无线控制器（AC）部署中，本地转发（Local Forwarding）是一种常见的数据转发模式。该模式下，无线用户的业务流量不经过AC集中处理，而是由接入点（AP）直接转发至接入交换机，从而降低AC负载并提升转发效率。

然而，这种模式对底层网络配置提出了更高要求。若AC未正确配置用户VLAN或未确保网关可达性，终端即便成功关联SSID并获取IP地址，仍无法实现三层通信，表现为“能连Wi-Fi但不能上网”。

2. 常见故障现象与初步判断

• 终端可正常扫描并连接无线网络
• DHCP获取IP地址成功，子网掩码、网关信息完整
• Ping网关失败，外网访问无响应
• AC上查看用户在线状态正常，但无实际数据流通过
• 核心交换机VLAN接口存在，但ARP表中无终端MAC/IP映射

3. 故障根因分析：VLAN透传与三层可达性断裂

本地转发模式的关键在于“路径完整性”。以下是导致故障的核心技术点：

故障层级	具体表现	影响范围
二层VLAN透传	AC未将用户VLAN加入到AP上行口允许列表	终端报文无法进入正确VLAN域
三层网关配置	VLAN接口未启用或IP未配置	终端无法进行跨网段路由
DHCP路径	中间链路未放通DHCP请求所需VLAN	终端无法获取IP（部分场景）
路由可达性	核心设备缺少回程路由或ACL拦截	响应报文无法返回终端

4. 深度排查流程与诊断命令

# 查看AC上VLAN是否被正确绑定至WLAN服务模板
[AC] display wlan service-template name Employee_VLAN100
Service Template ID     : 1
Name                    : Employee_VLAN100
VLAN                   : 100
Forwarding Mode         : Local

# 检查AP上行端口是否允许用户VLAN通过
[Switch] display interface GigabitEthernet 1/0/1
Port link-type: trunk
Port trunk permit vlan: 1 100 200

# 验证核心交换机VLAN接口状态
[Core-Switch] display ip interface brief | include Vlan100
Vlan-interface100      192.168.100.1     UP      UP
    

5. 典型解决方案实施步骤

1. 确认无线服务模板中已绑定正确的用户VLAN（如VLAN 100）
2. 在AC的AP组视图中检查上行口VLAN允许列表，确保包含用户VLAN
3. 于接入交换机配置Trunk口，放行对应VLAN
4. 在核心交换机创建VLAN接口，并配置合法网关IP
5. 验证DHCP服务器所在区域是否可通过三层互通访问该VLAN
6. 检查ACL策略、防火墙规则是否阻止了ICMP或关键端口通信
7. 使用display arp和ping -a source-ip target测试路径连通性
8. 启用NetStream或镜像端口抓包分析报文走向
9. 配置静态路由或动态协议保障回程路径存在
10. 最终通过终端执行tracert验证全路径可达性

6. 网络拓扑可视化：故障路径与修复后对比

graph TD
            A[无线终端] --> B[AP]
            B --> C{接入交换机}
            C --> D[AC控制通道]
            C --> E[VLAN 100 数据流]
            E --> F[核心交换机]
            F --> G[DHCP Server]
            F --> H[Internet]
            style D stroke:#ff6347,stroke-width:2px
            style E stroke:#32cd32,stroke-width:4px
            click D "javascript:alert('控制面正常')" 
            click E "javascript:alert('数据面需确保VLAN透传')"

7. 进阶建议：自动化检测与运维优化

对于具备5年以上经验的网络工程师，建议引入以下机制提升系统健壮性：

• 利用Python脚本定期采集AC与交换机VLAN配置一致性
• 部署NetConf/YANG模型实现配置自动校验
• 结合iMC平台设置VLAN接口状态告警阈值
• 建立标准化本地转发部署checklist，纳入变更管理流程
• 在AP上线阶段即预加载VLAN透传策略，避免后期补配