无线网络专题

有线交换式以太网已经是全双工、点到点、误码极低；802.11 仍活在共享、半双工、接收端碰撞的世界。MAC 的每一处怪异——每单播都 ACK、NAV、RTS/CTS、不能 CSMA/CD——都是从这个物理事实推出来的。

为什么不能用 CSMA/CD

全书 4.3 的 CSMA/CD 有三条腿：先听后发、边发边听、冲突就停再指数退避。无线拆掉了中间那条。

1. 发送时无法侦听碰撞。本机发射功率比收到的远站信号高几个数量级，接收机饱和。没有“电压叠加异常”这种本地可观测现象。
2. 碰撞在对端。隐藏终端让 A 和 C 的帧在 B 处毁掉，A 的本地能量检测仍显示空闲。
3. 没有有意义的争用期 / 最小帧长。10 Mb/s 以太网用 51.2 μs / 64 字节保证发完之前能听到冲突。无线冲突检测不成立，这条约束整条作废。

802.11 的替代是 CSMA/CA：冲突避免，而不是冲突检测。发送前听；用 IFS 排出优先级；用随机退避摊开同时结束等待的节点；用 收不到 ACK 推断碰撞或误码；用 Duration/NAV 做虚拟载波侦听，把“我听不到的人”也锁住。

隐藏终端与暴露终端

  隐藏终端（碰撞在 B）          暴露终端（C 被冤枉推迟）

  A ----> B <---- C              A <---- B         C ----> D
     A 听不到 C                     B→A 时 C 听到 B，按 NAV 闭嘴
     两帧在 B 处互毁                 但 C→D 并不会毁掉 B→A

隐藏终端伤正确性：B 收到的是垃圾，只能靠缺 ACK 重传。暴露终端伤容量：本可并行的两对通信被虚拟载波侦听串行化。RTS/CTS 主要治隐藏终端；对暴露终端往往更糟——CTS 把更多旁观者的 NAV 拉长。802.11ax 的 BSS Color + OBSS-PD 空间复用，才是针对“听得到但不是本 BSS”的现代对策。

基础接入是 DCF（Distributed Coordination Function）。PCF 几乎没人实现。现网 QoS 走 802.11e EDCA（Wi-Fi Alliance 叫 WMM）。聚合和块确认是 802.11n 之后空气时间能用起来的真正原因。

对照有线 CSMA/CD

IFS 与精确数值

帧间间隔越短，优先级越高。关系固定：SIFS < PIFS < DIFS < EIFS。EDCA 再用 AIFSN 把 DIFS 拉成四档。

  SIFS  最短：ACK / CTS / 同一 TXOP 内后续 MPDU
  PIFS  = SIFS + 1×Slot     PCF、部分 DFS/信道切换
  DIFS  = SIFS + 2×Slot     DCF 新竞争的起点
  AIFS  = SIFS + AIFSN×Slot EDCA，按接入类别
  EIFS  = SIFS + ACKTxTime + DIFS
          上一帧 FCS 失败时用，给“我解不出、别人在 ACK”留出空档

公式来自 IEEE 802.11：DIFS = aSIFSTime + 2×aSlotTime。11g 的短时隙要整个 BSS 没有 11b 站点才启用；混有 11b 时退回 20 μs 时隙，整网变慢——这是“保护机制有代价”的第一处。

DCF 状态机（一次成功单播）

NAV 虚拟载波侦听

每个站点维护 NAV 计数器（微秒）。听到帧的 Duration/ID 且该帧不是给自己，就用它更新 NAV（取较大值）。NAV>0 视为介质忙，即使 CCA 空闲也不能发。这是对隐藏终端的第一道防线：B 听得到 A 的 Duration，C 听得到 B 的 CTS Duration，于是 C 在 A 的数据窗口里闭嘴。

例外：Duration/ID 在 PS-Poll 里装的是 AID（bit 14–15 置位），不是时长。控制帧里 CTS/ACK 只有 Address1（RA），没有 TA。

RTS / CTS / CTS-to-self

RTS 20 字节（FC+Duration+RA+TA+FCS），CTS/ACK 14 字节。RTS 的 Duration 覆盖 SIFS+CTS+SIFS+Data+SIFS+ACK；CTS 的 Duration 是 RTS 减去 SIFS+CTS。隐藏的 C 听不到 RTS，但听得到 B 的 CTS，NAV 仍然被锁。

CTS-to-self：发送方先对自己发一个 CTS（RA=自己），把附近旧站点的 NAV 撑开，再发 OFDM 帧。这是 802.11g 在 2.4 GHz 保护 11b 站点的典型手法，比完整 RTS/CTS 便宜，但不解决隐藏终端——隐藏节点听不到你的 CTS-to-self。

EDCA / WMM 接入类别

802.11e 把一个站点拆成四个队列，各自一套 AIFSN / CW / TXOP。Wi-Fi Alliance 的 WMM 是 EDCA 的互操作子集；HCCA（中心轮询）现网基本没有。

表中 CW 按 OFDM 的 aCWmin=15 代入：CWmin[VO]=(aCWmin+1)/4−1=3，CWmin[VI]=(aCWmin+1)/2−1=7（IEEE 802.11 默认 EDCA 参数表）。AP 的 VO/VI AIFSN 常为 1，比 STA 更霸道——下行语音先于上行。标记错 AC（IP 电话走 BE）比“信号不好”更常见。

A-MSDU / A-MPDU 与 Block ACK

• A-MSDU：多个 MSDU 塞进一个 MPDU，一个 FCS、一个序号。中间一 bit 错，整包重传。省 MAC 头，怕误码。
• A-MPDU：多个 MPDU 塞进一个 PPDU，每段自带 delimiter + FCS，可选择性重传。这是 11n/ac/ax 吞吐的主力。
• 常见是两级：先 A-MSDU，再打成 A-MPDU。
• Block ACK：接收方维护位图（典型 64 或 HE 的 256），用 BA 一次确认窗口。立即 BA 在 SIFS 后回；也可以 BAR 显式拉。HT 起默认立即压缩 BA。

最大 MSDU 2304 字节（所以 IP 在 Wi-Fi 上仍按 1500，很少把 MTU 拉满 2304）。HT A-MSDU 3839 或 7935；A-MPDU 上限 HT 64 KiB、VHT 到 1 MiB、HE 更大。

三种类型（管理 / 控制 / 数据），Type 2 bit + Subtype 4 bit。地址最多四个。和以太网帧的差别不只是“多两个 MAC”。

  通用 MAC 头（IEEE 802.11）

  +-------------+-------------+--------+--------+--------+--------+
  | Frame Ctl 2 | Duration 2  | Addr1 6| Addr2 6| Addr3 6| Seq 2 |
  +-------------+-------------+--------+--------+--------+--------+
  | Addr4 6 (仅 ToDS=FromDS=1) | QoS 2? | HT Ctl 4? | Body | FCS 4|
  +----------------------------+--------+-----------+------+------+

Type / Subtype 编码

Wireshark 的 wlan.fc.type_subtype = (type<<4)|subtype。Type：00 管理、01 控制、10 数据、11 扩展（60 GHz 等）。

四个地址：To DS / From DS

以太网两地址就够：点到点链路，DA/SA 即下一跳。802.11 基础设施 BSS 里，STA 把帧交给 AP，AP 再送进 DS（通常是有线交换网）或转给另一个 STA。需要同时写下：接收者、发送者、最终目的、原始源。

基础设施 BSS 日常是三地址。STA 上网关：ToDS=1 FromDS=0，Addr1=AP，Addr2=STA，Addr3=网关 MAC。AP 回 STA：反过来，Addr3 是网关（原始源）。四地址只在无线中继（WDS、802.11s、部分网桥、控制器间的某些隧道出口）出现。看到 Addr4 不是“Wi-Fi 总是四个 MAC”。

SME 状态不是“连上 Wi-Fi”一句话。802.11 先认证再关联；WPA2/WPA3 的真正密钥在关联之后的 RSNA 握手里完成。Open System 认证成功不等于安全。

状态机

Deauth → 掉回 State 1。Disassoc → 掉回 State 2（认证缓存还在，可直接再 Assoc）。未关联站点发 Class 3 帧，AP 回 Deauth，reason 7（Class 3 from nonassociated STA）。这是抓包里最容易误判成“被攻击”的正常拒绝。

扫描：被动 Beacon vs 主动 Probe

• 被动：每信道听至少一个 Beacon 间隔。默认 Beacon Interval = 100 TU = 102.4 ms（1 TU = 1024 μs）。扫 13 个 2.4 G 信道就要一秒以上。
• 主动：发 Probe Request（广播 SSID 或指定 SSID），等 Probe Response。快，也更吵。隐藏 SSID 必须主动：Beacon 里 SSID 长度为 0，只有知道名字的客户端会发定向 Probe。

Beacon 固定字段：Timestamp（64 bit TSF，微秒）· Beacon Interval · Capability。后面是 IE：SSID（tag 0）、Supported Rates（1）、DS Parameter（3，信道号）、TIM（5，省电缓冲位图）、RSN（48）、HT/VHT/HE、WMM、Country、ERP……DTIM 周期在 TIM 里，决定广播/组播何时冲出 AP 缓冲。

SSID / BSSID / ESS

认证算法号

Authentication 帧里的 Algorithm Number：0 Open System（两帧，Request/Response，无密码）· 1 Shared Key（WEP 挑战，已废）· 2 FT（802.11r）· 3 SAE（WPA3-Personal）。WPA2-PSK 的认证算法仍是 0——密码验证发生在四次握手，不在这两帧里。只看到 Auth success 就说“PSK 对了”，是错的。

关联

Association Request 带 Capability、Listen Interval、SSID、速率、RSN、HT/VHT/HE、WMM、PMKID 列表（若有缓存）。Response 带 Status（0=成功）和 AID 1–2007。Listen Interval 以 Beacon 间隔计，告诉 AP“我省电时最多睡几颗 Beacon”——AP 按这个给 TIM 留缓冲，太大浪费 AP 内存，太小费电。

Reassociation 用于漫游：请求里多一个 Current AP Address，让新 AP 经 DS 向旧 AP 要缓冲帧（IAPP/802.11F 已撤回，现网由控制器或 11r/OKC 完成）。

修订号是 IEEE 的；Wi-Fi 4/5/6/7 是联盟的市场名。对应关系写错是硬伤。速率是 PHY 峰值，不是用户 UDP 吞吐。

2.4 / 5 / 6 GHz

2.4 GHz 信道

信道中心：1 = 2412 MHz，之后 +5 MHz，到 13 = 2472。信道 14 = 2484，仅日本、仅 DSSS。美国 1–11，欧洲/中国 1–13。

DSSS 频谱约 22 MHz 宽，OFDM 20 MHz。1 和 6、6 和 11 之间约 3 MHz 隔离，工程上视为仅有 3 个不重叠信道。1/4/8/11 或 1/5/9 会邻频重叠——ACI（邻频干扰）往往比同频 CCI 更脏：能量在你的带边，解不出却抬高噪声底。

ETSI 有人用 1/5/9/13 挤出第四条 20 MHz，带边仍有交叠，只在全网统一规划时值得谈。

5 GHz 信道号

公式：channel = (f_MHz − 5000) / 5。36 = 5180，40 = 5200，165 = 5825。

• UNII-1：36–48，室内，无 DFS（多数监管区）
• UNII-2：52–64，DFS
• UNII-2e：100–144，DFS；120/124/128 靠近气象雷达，部分地区 CAC = 10 分钟
• UNII-3：149–165，无 DFS（美/中常见；欧规曾长期没有 149+）

绑定：40 MHz 用一对（36+40），80 MHz 四个（36–48），160 MHz 八个（36–64 或 100–128）。每加一倍带宽，理论速率约翻倍，可复用的信道数减半，同频碰撞域变大。高密场馆先加 AP、降功率、缩到 20 MHz，不要先开 80。

MIMO / OFDMA / MLO 一句话级机理

• MIMO：多天线多空间流。记号 m×n:k = k 条流。SU-MIMO 服务一个 STA；MU-MIMO 同时服务多个（11ac 仅下行，11ax 上下行）。要高 SNR、信道估计准，小包不划算。
• OFDMA（11ax）：把 20 MHz 切成 RU（26/52/106/242…子载波），一次调度多个 STA。Wi-Fi 6 在高密小包（语音、IoT、TCP ACK）上的真正收益在这里，不在 1024-QAM 的峰值海报。
• BSS Color：6 bit 给 BSS 染色。听到同信道、不同色、RSSI 低于 OBSS-PD 门限，可以当空闲——治暴露终端 / 同频复用。
• MLO（11be）：一条逻辑链路绑 2.4+5+6 多条物理链路，可并发或热备。这是 Wi-Fi 7 对用户可感知的最大变化，不是 320 MHz。

MCS：n 用 MCS 0–31（含流数）；ac MCS 0–9（256-QAM）；ax 0–11（1024-QAM）；be 到 13（4096-QAM）。海报速率还要乘流数、带宽、短 GI、编码码率。写进标书前先按单流 80 MHz 算用户体验。

无线排障一半是射频，不是 VLAN。规划目标：每个客户端在目标 RSSI/SNR 下听到 一个 强 AP、两三个可漫游邻居，而不是十个同信道 Beacon。

同频 vs 邻频

CCI（同频）：两个 BSS 同一信道且能互相听到，就进入同一 CSMA 域，空气时间共享。不是“干扰”这么简单——它们在礼貌地排队。AP 越多、功率越大、带宽越宽，这个域越大，单用户吞吐下降。

ACI（邻频）：部分重叠的信道。对方的能量落在你的带边，CCA 行为怪异，误码升，又不能像同频那样用 NAV 协调。所以 2.4 GHz 宁可 1/6/11 三个，不要“每个 AP 错开一个号”。

功率、邻居、最低速率

• 设计场强（Cisco 常用经验，不是标准条文）：数据小区边缘 −67 dBm，语音 −65 dBm、SNR ≥ 25 dB。重叠 10–20%。
• 发射功率决定小区半径，也决定你能被多远的同频 AP 听到。高密先降功率、加密 AP，不要先加 80 MHz。
• 关掉 1/2/5.5/11 Mbps 等最低强制速率，Beacon/组播占用的空气立刻下降，小区也略缩小（远距离低速客户端被“挤”去更近的 AP）。这是治粘性客户端的射频手段之一。
• 2.4 与 5 的功率不要一样大：2.4 传得更远，同样 dBm 会让 2.4 小区远大于 5，双频客户端更容易粘在 2.4。

DFS 与雷达避让（802.11h）

UNII-2 / 2e 要先听雷达再工作：

• CAC（Channel Availability Check）：上信道前静默监听，一般 60 s；气象雷达频段（5600–5650 MHz，信道 120/124/128 一带）许多监管区要求 600 s。
• 工作中持续 in-service monitoring。检测到雷达：Channel Move Time 10 s 内离开，之后该信道 Non-Occupancy 30 min。
• TPC（发射功率控制）与 DFS 配套，同属 802.11h。

代价：AP 重启或 RRM 切到 DFS 信道时，这个射频会静默一分钟（或十分钟）。语音 SSID 要不要用 DFS，是容量 vs 可用性的取舍。假雷达（非 Wi-Fi 脉冲、故障气象设备）会造成整层莫名切信道——排障时看 AP 的雷达事件日志。

6 GHz 与 AFC

6 GHz 没有 5 GHz 那套雷达 DFS。美国等地区把标准功率 / 室外 AP 交给 AFC（Automated Frequency Coordination）：AP 带位置查询数据库，避开固定微波等在用频率。室内低功率（LPI）通常不用 AFC，PSD 受限（美区量级 5 dBm/MHz）。VLP 更低，可移动。

6 GHz 强制 WPA3 或 OWE，没有 WPA2-PSK 开放网。扫描用 PSC（每 80 MHz 一个优先扫描信道），全扫 6 GHz 会很慢。

链路加密在 IEEE 802.11i / 联盟 WPA 品牌下。EAP 是 IETF（RFC 3748），802.1X 是 IEEE。抓包能看见四次握手和 EAP 身份交换，看不见 PMK 本身。

WEP 为何废

RC4 + 24 bit IV + CRC-32 ICV。IV 空间 2²⁴，忙 AP 几小时必然重用；Fluhrer–Mantin–Shamir / KoreK / PTW 从 IV 与密钥流恢复 WEP 密钥。ICV 不是加密 MIC，可比特翻转。Shared Key 认证还把挑战明文和密文都交给被动监听者。IEEE 已弃用，现网出现就是事故。

WPA 的 TKIP 是过渡：还是 RC4，加了 per-packet mixing 和 Michael MIC，48 bit TSC。也被打破。只在博物馆终端上作为过渡，新 SSID 不要开。

WPA2 = 802.11i RSNA

成对密码默认 CCMP（AES-CCM）。两种认证：

• Personal / PSK：PMK = PBKDF2-HMAC-SHA1(口令, SSID, 4096 次, 256 bit)。口令+SSID 不变则 PMK 不变。
• Enterprise / 802.1X：STA ↔ AP 之间跑 EAPOL（EtherType 0x888E），AP 当 Authenticator，认证服务器通常是 RADIUS（UDP 1812 / 1813，旧实现 1645/1646）。EAP 方法：EAP-TLS（证书）、PEAP/MSCHAPv2、EAP-TTLS、TEAP、EAP-FAST……MSKs 导出 PMK。

四次握手逐步

关联完成、PMK 已在双方后，Authenticator（AP/WLC）与 Supplicant（STA）用 EAPOL-Key 派生 PTK 并分发 GTK。

PTK = PRF(PMK, "Pairwise key expansion",
          Min(AA,SPA) || Max(AA,SPA) ||
          Min(ANonce,SNonce) || Max(ANonce,SNonce))
    → KCK (MIC) || KEK (wrap GTK) || TK (data)

再切成 KCK（算 MIC）、KEK（封装 GTK）、TK（加密数据）。

• M1 无 MIC。PSK 错时，STA 仍能发 M2，但 AP 用错误 PMK 算出来的 MIC 对不上，卡在 M2 之后，重试几次后 Deauth reason 15。
• M3 带 Install / Secure，并下发 GTK（组播/广播用）。PMF 时还有 IGTK。
• 之后单播 Protected=1，用 TK；组播用 GTK。
• GTK 重配（组密钥握手）是另一次 1–2 帧的 EAPOL-Key，不是把四次再跑一遍。

PMKID = HMAC-SHA1-128(PMK, "PMK Name" || AA || SPA)。出现在 RSN IE 或 M1 的 Key Data。用途是快速识别缓存的 PMK。副作用：攻击者抓到 PMKID 就能离线撞 PSK（hashcat），不必等齐四次握手。WPA3 SAE 去掉了这条离线路径。

WPA3-Personal：SAE / Dragonfly

SAE（Simultaneous Authentication of Equals）基于 Dragonfly（RFC 7664），是口令认证密钥交换：双方用口令做有限域/椭圆曲线上的握手，得到 PMK，带前向保密。被动抓包不能拿去离线字典——每猜一次口令必须在线与 AP 完成一次 Commit/Confirm。

认证算法号 3。交换是 Commit + Confirm（可带 anti-clogging token 防算力耗尽）。6 GHz 要求 Hash-to-Element (H2E)，不要用旧的 hunting-and-pecking。过渡模式（WPA2+WPA3 同 SSID）仍可能被降级到 PSK 再离线打——要 WPA3-only 才干净。

WPA3-Enterprise：802.1X + 强制 PMF；可选 192-bit 套件（GCMP-256 等 CNSA 向）。OWE（Opportunistic Wireless Encryption，RFC 8110）给“开放网络”做每会话加密，无认证。

PMF · 802.11w

未保护的 Deauth/Disassoc 是经典 DoS：任何人冒充 AP 就能踢人。802.11w 给单播管理帧做 CCMP，给广播管理帧做 BIP（IGTK）。能力位：Capable / Required。WPA3 要求 PMF。Beacon 本身的完整保护是后续修订的工作，不要说“开了 11w 所有管理帧都不可伪造”。

一台一台配 Fat AP 在三台以后就会漂移。轻量 AP + AC/WLC 把射频实时留在 AP，把关联、密钥、漫游、射频策略收到控制器。隧道是 IETF CAPWAP，不是 Cisco 私有。

CAPWAP

RFC 5415（协议）+ RFC 5416（802.11 绑定）。前身是 Cisco LWAPP（UDP 12222/12223，私有）。

• 控制面 UDP 5246，必须 DTLS。
• 数据面 UDP 5247，DTLS 可选。
• 发现：L2 广播、DHCP option 43、DNS 名（Cisco：CISCO-CAPWAP-CONTROLLER.<domain>）、组播 224.0.1.140、上次加入的 AC。
• 加入后心跳保活。超时则 AP 重新发现。镜像、版本、国家码、证书/PSK 不一致都会卡在 join。

Split-MAC

必须在 10 μs 量级完成的事留在 AP：Beacon、Probe Response、ACK、RTS/CTS、重传、很多实现里的 CCMP 加解密。可以集中的事放 WLC/AC：关联状态机、802.1X、密钥分发、RRM 决策、漫游锚点、用户 VLAN 策略。所以你在 WLC 上 debug client 看得到 Assoc，在空口仍看得到 AP 自己回的 ACK。

集中转发 vs 本地转发

Cisco 把本地转发叫 FlexConnect（旧 H-REAP）；华为 VAP forward-mode direct | tunnel（默认 direct）；H3C client forwarding-location ap | ac。混合很常见：员工 SSID 集中，OT/打印 SSID 本地。

无线相关的“核心配置”其实大半在有线侧：AP 上联、VLAN、STP 边缘、到 AC 的聚合、用户网关冗余、把网段打进 IGP。SSID 命令三家方言差得远，以设备版本为准。

AP 上联：Trunk + Native = 管理 VLAN

本地转发或多 SSID 多 VLAN 时用。集中转发可改成 access 管理 VLAN。

vlan 10
 name AP-MGMT
vlan 20
 name WIFI-USER
interface GigabitEthernet0/1
 description AP
 switchport mode trunk
 switchport trunk native vlan 10
 switchport trunk allowed vlan 10,20,30
 spanning-tree portfast trunk
 spanning-tree bpduguard enable
end
write

vlan batch 10 20 30
stp bpdu-protection
interface GigabitEthernet0/0/1
 description AP
 port link-type trunk
 port trunk pvid vlan 10
 port trunk allow-pass vlan 10 20 30
 stp edged-port enable
quit
save

vlan 10
vlan 20
stp bpdu-protection enable
interface GigabitEthernet1/0/1
 description AP
 port link-type trunk
 port trunk pvid vlan 10
 port trunk permit vlan 10 20 30
 stp edged-port enable
quit
save

只做管理 VLAN 的 Access 口（集中转发）

interface GigabitEthernet0/1
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 spanning-tree bpduguard enable

stp bpdu-protection
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10
 stp edged-port enable

stp bpdu-protection enable
interface GigabitEthernet1/0/1
 port link-type access
 port access vlan 10
 stp edged-port enable

STP 模式（华为默认 MSTP）

spanning-tree mode rapid-pvst
spanning-tree vlan 20 root primary
spanning-tree vlan 30 root secondary

stp mode rstp
# 出厂默认往往是 mstp，要显式改
stp instance 0 root primary

stp mode rstp
stp instance 0 root primary

到 WLC / AC 的链路聚合

! C9800 / 交换机侧 LACP
interface Port-channel1
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30
interface GigabitEthernet0/1
 channel-group 1 mode active

! AireOS WLC 对端必须是静态，不是 LACP
interface GigabitEthernet0/1
 channel-group 1 mode on

interface Eth-Trunk1
 port link-type trunk
 port trunk allow-pass vlan 10 20 30
 mode lacp-static
interface GigabitEthernet0/0/1
 eth-trunk 1

interface Bridge-Aggregation1
 port link-type trunk
 port trunk permit vlan 10 20 30
 link-aggregation mode dynamic
interface GigabitEthernet1/0/1
 port link-aggregation group 1

无线用户网关：HSRP 私有 vs VRRP 标准

HSRP 主必须和该 VLAN 的 STP 根对齐，否则流量先到根再绕去主网关。华为华三只用 VRRP。

interface Vlan20
 ip address 10.20.0.2 255.255.255.0
 standby 20 ip 10.20.0.1
 standby 20 priority 110
 standby 20 preempt
 ! 或标准 VRRP：
 ! vrrp 20 ip 10.20.0.1
 ! vrrp 20 priority 110

interface Vlanif20
 ip address 10.20.0.2 255.255.255.0
 vrrp vrid 20 virtual-ip 10.20.0.1
 vrrp vrid 20 priority 110
 vrrp vrid 20 preempt-mode timer delay 0

interface Vlan-interface20
 ip address 10.20.0.2 255.255.255.0
 vrrp vrid 20 virtual-ip 10.20.0.1
 vrrp vrid 20 priority 110

把无线网段打进 OSPF

router ospf 1
 router-id 1.1.1.1
 passive-interface Vlan20
interface Vlan20
 ip ospf 1 area 0
 ! 用户 VLAN 只宣告、不在上面跑 Hello

ospf 1 router-id 1.1.1.1
 silent-interface Vlanif20
 area 0.0.0.0
  network 10.20.0.0 0.0.0.255
# 或在接口：ospf enable 1 area 0.0.0.0

ospf 1 router-id 1.1.1.1
 silent-interface Vlan-interface20
 area 0
  network 10.20.0.0 0.0.0.255

访客 ACL（放行 DHCP/DNS，挡住 RFC1918，再放行外网）

ip access-list extended GUEST
 permit udp any any eq 67
 permit udp any any eq 68
 permit udp any any eq 53
 deny   ip any 10.0.0.0 0.255.255.255
 deny   ip any 172.16.0.0 0.15.255.255
 deny   ip any 192.168.0.0 0.0.255.255
 permit ip any any

acl number 3000
 rule 10 permit udp destination-port eq bootps
 rule 20 permit udp destination-port eq bootpc
 rule 30 permit udp destination-port eq dns
 rule 40 deny ip destination 10.0.0.0 0.255.255.255
 rule 50 deny ip destination 172.16.0.0 0.15.255.255
 rule 60 deny ip destination 192.168.0.0 0.0.255.255
 rule 70 permit ip

acl advanced 3000
 rule 10 permit udp destination-port eq bootps
 rule 20 permit udp destination-port eq bootpc
 rule 30 permit udp destination-port eq dns
 rule 40 deny ip destination 10.0.0.0 0.255.255.255
 rule 50 deny ip destination 172.16.0.0 0.15.255.255
 rule 60 deny ip destination 192.168.0.0 0.0.255.255
 rule 70 permit ip

端口安全：有线桌面要，AP 口不要

! 只用于 PC access 口，不要用在 AP trunk
interface GigabitEthernet0/2
 switchport mode access
 switchport access vlan 40
 switchport port-security
 switchport port-security maximum 2
 switchport port-security violation restrict

interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 40
 port-security enable
 port-security max-mac-num 2
 port-security protect-action restrict

interface GigabitEthernet1/0/2
 port link-type access
 port access vlan 40
 port-security enable
 port-security max-mac-count 2
 port-security intrusion-mode blockmac

SSID 本身（方言，以版本为准）

下面给的是各家“WPA2-PSK + AES + 用户 VLAN 20”的最小骨架，不是完整生产模板。Cisco 分 AireOS 与 9800 IOS-XE；华为在 wlan 视图用 profile 拼 VAP；H3C 用 wlan service-template。

wlan CORP 1 CORP
 shutdown
 no security wpa akm dot1x
 security wpa akm psk
 security wpa psk set-key ascii 0 替换成口令
 no shutdown
wireless profile policy POL-CORP
 vlan 20
 no shutdown
! 再绑到 policy tag / site tag / AP。以 17.x 为准。

wlan
 ssid-profile name corp-ssid
  ssid CORP
 security-profile name corp-sec
  security wpa2 psk pass-phrase cipher 替换成口令 aes
 vap-profile name corp-vap
  ssid-profile corp-ssid
  security-profile corp-sec
  service-vlan vlan-id 20
  forward-mode tunnel
ap-group name default
 vap-profile corp-vap wlan 1 radio 0
 vap-profile corp-vap wlan 1 radio 1
# 以 V200R0xx 为准

wlan service-template 1
 ssid CORP
 akm mode psk
 preshared-key pass-phrase cipher 替换成口令
 cipher-suite ccmp
 service-template enable
# 再绑到 AP 射频：
# interface WLAN-Radio 1/0/1
#  service-template 1
# 以 Comware 7 为准

802.1X 骨架：Cisco security wpa akm dot1x + aaa authentication dot1x + RADIUS 1812；华为 security wpa2 dot1x aes + radius-server template；H3C akm mode dot1x + RADIUS scheme。企业网把认证列表、动态 VLAN、CoA（UDP 3799）放到 ISE / 华为 Agile / 华三 IMC，不在这一页展开。

3GPP 的世界：许可频谱、基站调度（不是 CSMA）、SIM 身份、切换是一等公民。只记网元名字和跟 Wi-Fi 的分工，不在这里做 5GC 精读。

NSA（非独立）：gNB 挂在 4G eNB 下面（EN-DC），核心仍是 EPC/MME，不是 5GC。宣传“我们有 5G”时先问 SA 还是 NSA。SA 才是 gNB + AMF/SMF/UPF。

切换：理想走 X2/Xn（基站之间直接转上下文）；走不通才 S1/N2，经核心网。Wi-Fi 漫游默认是客户端做主、断关联再关联；蜂窝是网络做主、目标小区预先准备。

和 Wi-Fi 的定位差别

• 频谱：许可、规划好的复用 vs 免许可、CSMA 争用。
• 接入：eNB/gNB 调度 RB（有许可的 OFDMA）vs 802.11 先听后发。
• 身份：USIM / SUPI vs PSK 或 EAP 证书/账号。
• 移动性：网络侧 handover vs 客户端 roam + 可选 11k/v/r。
• QoS：承载 / 5QI 流 vs WMM 四个 AC，粒度差一个数量级。
• 企业私有 5G（SNPN / PNI-NPN）在工厂、低时延、广覆盖室外开始和 Wi-Fi 抢场景；办公室桌面仍是 Wi-Fi 的经济解。

同 ESS 换 BSSID 叫漫游。决定权默认在客户端。AP 再强，客户端觉得 −72 dBm“还能用”，就不会走。

快漫游工具箱

11r 两种封装：Over-the-air（对新 AP 直接 FT Auth）和 Over-the-DS（经当前 AP 的 Action 帧中转）。苹果对 Adaptive FT / over-the-air 更友善。语音预算通常要整次漫游 < 50 ms；完整 PEAP 往往是几百毫秒到数秒。

密钥层级：PMK-R0 住在 R0KH（通常 WLC），派生 PMK-R1 给 R1KH（AP 或 WLC），再派生 PTK。Mobility Domain IE 必须全网一致，否则 FT 失败回退慢路径，表现为“开了 11r 更掉线”。

粘性客户端根因

1. 漫游算法在 STA：门限常在 −70 到 −75 dBm，迟滞几个 dB。新 AP −55、旧 AP −72，仍可能不走。
2. 2.4 GHz 小区过大：同一 AP 的 2.4 比 5 远一圈，双频优先粘 2.4。
3. 最低速率太低：1 Mbps 也能“关联成功”，客户端认为链路可用。
4. 没有 11k 邻居表，客户端要主动扫描才知道隔壁——扫描时语音会卡。
5. 驱动 bug / 省电：懒得探，直到重传爆掉再 roamed-after-drop。

治理：降 2.4 功率、抬最低强制速率、开 11k/v、语音 SSID 只上 5/6 GHz、必要时 BTM 引导。不要一上来就“低 RSSI 强制踢”——劣质客户端被踢后会扫很久。

为什么必须 monitor 模式

托管模式 NIC 已经加入某个 BSSID，固件 ACK、过滤、解密、再伪装成以太网。你看不到别人的 Beacon、看不到重传、看不到 Management、看不到真正的四地址。Monitor 模式把射频当频谱分析仪：锁定信道，把空中所有 BSS 的 802.11 + 驱动加的 radiotap 交上来。不在那个信道上的帧，你永远抓不到——这是无线和 tcpdump -i eth0 最大的操作差别。

不要一掉线就扩信道、加功率。先定界：空口状态机、密钥、DHCP/VLAN、还是射频空气时间。

一栋办公楼 + 两家分支。把本页的选择一次做完，并写下不选另一边的理由。

先锁信道，再抓。不锁信道的“全频扫描”抓包，帧是碎的，不能当证据。

macOS

Wireshark → Capture Options → 勾选该接口的 Monitor Mode。抓管理帧时关掉自己的关联，否则驱动仍可能过滤。解密 PSK：Wireless Toolbar 填口令与 SSID，且 pcap 必须包含该 STA 的四次握手。

Linux 对照

Radiotap

不是空中帧。驱动在 802.11 头前面插的元数据：TSFT、Flags（FCS 是否在末尾、Bad FCS）、Rate、Channel、dBm AntSignal、MCS/VHT/HE。PPI 是另一种元数据头。写过滤器时 radiotap.dbm_antsignal 和 wlan_radio.signal_dbm 看你的 Wireshark 版本哪个有值。

常用显示过滤器