思科WLC突然无法发现任何AP，可能原因有哪些？

Question

思科WLC突然无法发现任何AP，常见原因包括：① **网络连通性中断**——AP与WLC间IP路由不通、VLAN配置错误或Trunk端口未放行AP管理VLAN；② **DHCP问题**——AP依赖DHCP获取IP及WLC地址（Option 43/60），DHCP服务器宕机、Option配置错误或作用域耗尽均会导致AP无法定位WLC；③ **WLC服务异常**——CAPWAP服务未启用、控制器CPU/内存过载、时间不同步（影响证书校验）或软件Bug引发控制平面崩溃；④ **安全策略阻断**——防火墙/ACL拦截UDP 5246/5247（CAPWAP控制/数据端口）或启用了不兼容的DTLS加密策略；⑤ **AP自身故障**——固件不兼容、恢复出厂后未重配、物理断电或PoE供电不足。建议按“物理层→网络层→应用层”逐级排查，优先验证AP能否获取IP并ping通WLC，再检查`show capwap events`和`debug capwap errors enable`输出。

Answer 1

```html

一、物理层诊断：供电、链路与基础连通性验证

首先确认AP是否上电并完成硬件自检（LED状态：绿色常亮/慢闪表示待注册，红色快闪表示PoE异常或启动失败）。使用show power inline在接入交换机上验证PoE预算分配及实际输出（≥15.4W for 802.3af，≥30W for 802.3at）。检查网线类型（Cat5e+）、双工模式（强制1000FD或自动协商一致）、光模块收发光功率（-3dBm ~ -20dBm）。若AP无IP地址，立即执行show dhcp lease（在AP CLI）或抓包验证DHCP Discover是否发出。

二、网络层定位：VLAN、路由与DHCP Option深度解析

DHCP是CAPWAP发现的基石。需同步核查三层路径：
① AP管理VLAN是否与WLC管理接口/动态接口同子网或路由可达；
② 接入交换机Trunk端口是否允许AP VLAN（switchport trunk allowed vlan add X）；
③ DHCP服务器Option 43必须为十六进制格式（如WLC管理IP 10.1.1.1 → f1040a010101），且Option 60值严格匹配AP型号（Cisco Aironet AP）；
④ 使用Wireshark捕获AP侧DHCP Offer报文，验证Option 43字段是否存在且解析正确。

三、控制平面分析：CAPWAP服务状态与控制器健康度

登录WLC Web GUI或SSH，执行以下命令序列：

show capwap status
show sysinfo | include "CPU|Memory|Time"
show clock
show dtls summary
show process cpu history

关键阈值：CPU持续＞85%将丢弃CAPWAP控制报文；系统时间偏差＞3分钟导致DTLS证书校验失败；show capwap status中"CAPWAP State"应为"Enabled"且"Total APs"非零。若发现"CAPWAP Disabled"，需执行config capwap enable并重启服务。

四、安全策略审计：防火墙规则与加密协议兼容性

UDP端口5246（CAPWAP控制）和5247（CAPWAP数据）必须全程开放——不仅限于WLC直连防火墙，还需检查核心路由器ACL、SD-WAN策略、云WAF等中间设备。特别注意：

• 启用DTLS时，WLC固件版本需≥8.10且AP固件≥15.3(3)JF；
• 禁用SSLv3/TLS 1.0等弱协议（config dtls ciphersuite disable）；
• 若混合部署旧AP（如1142N），需在WLC全局配置中启用config ap tls-cipher-suite legacy。

五、AP侧根因排查：固件、配置与证书生命周期

当单个AP无法上线时，进入AP本地CLI（Console或Telnet）执行：

show version
show run-config
show crypto pki certificates
debug capwap console cli

典型故障模式包括：固件降级后丢失CAPWAP支持（如从16.x回退至15.2）、恢复出厂未重置AP名称导致WLC拒绝（config ap hostname冲突）、证书过期（show crypto pki certificates中"Not After"早于当前时间）。

六、自动化诊断流程图（Mermaid）

graph TD
    A[AP LED异常？] -->|Yes| B[检查PoE/线缆/电源]
    A -->|No| C[AP获取IP？]
    C -->|No| D[抓包分析DHCP流程]
    C -->|Yes| E[能Ping通WLC管理IP？]
    E -->|No| F[核查VLAN/路由/ACL]
    E -->|Yes| G[执行show capwap events]
    G --> H{存在“Discovery Request”？}
    H -->|No| I[检查WLC CAPWAP服务状态]
    H -->|Yes| J[分析debug capwap errors]

七、关键命令速查表

场景	WLC命令	AP命令	作用
DHCP Option验证	show dhcp lease	show dhcp lease	确认Option 43是否下发
CAPWAP事件追溯	show capwap events | begin "Discovery"	debug capwap console cli	定位发现阶段失败点
证书时效检查	show certificate summary	show crypto pki certificates	排除TLS握手失败

八、高阶陷阱：软件Bug与版本矩阵兼容性

思科已知缺陷案例：
• WLC 8.5.135.0 + AIR-CAP3702I-A-K9 AP：CAPWAP隧道建立后30秒内随机断开（CSCvn82104）；
• WLC 10.2.202.0 + 2800系列AP：Option 43解析失败导致无限重试（CSCvo99211）；
• 解决方案：查阅思科Bug Toolkit（https://bst.cloudapps.cisco.com/bugsearch），强制升级至修复版本，并在升级前执行config ap reset all清除缓存配置。

九、预防性运维建议

建立AP上线黄金指标监控体系：
✓ 每5分钟采集show ap summary中"Joined"数量变化率；
✓ 对WLC CPU/内存/DTLS连接数设置Zabbix告警阈值（CPU＞80%，DTLS Conn＞95%）；
✓ DHCP作用域剩余IP＜10%时自动触发邮件通知；
✓ 使用Cisco Prime Infrastructure定期比对AP固件版本与WLC推荐矩阵。

十、应急恢复操作清单

1. 重启CAPWAP服务：config capwap disable → 等待30秒 → config capwap enable
2. 临时关闭DTLS：config dtls disable（仅用于验证是否为加密策略问题）
3. 强制AP重新发现：config ap reset <ap-name> 或拔插AP电源
4. 清除WLC CAPWAP缓存：clear capwap cache
5. 启用全量调试日志：debug capwap error enable + debug capwap event enable

```