企业官网建设流程全解析

1. 从"信号满格却打不开网页"说起：WLAN到底在解决什么问题

前阵子帮朋友看一个办公区的无线问题，投诉描述很典型：笔记本右下角无线图标满格，会议室里视频会议声音断续、共享屏幕卡成幻灯片，换到走廊反而好了。现场用分析工具扫了一遍，同楼层能扫到三十多个SSID，会议室附近三个AP挤在同一个信道上，信道利用率长时间在85%以上，重传率接近30%。信号强度确实漂亮，-52dBm，但空口已经被邻居和自己人塞满了。这个场景几乎概括了WLAN这门技术最容易被误解的地方——信号强度只是入场券，能不能顺畅地说话，取决于整条链路从射频到协议再到架构的每一环。

我把这几年积累的WLAN笔记重新梳理了一遍，想写点真正能拿去用的东西，而不是把802.11标准文档翻译一遍。这篇内容面向的是刚开始接触无线、或者从有线转过来做无线的网络工程师，也适合那些"能配通但不知道为什么这么配"的朋友。全篇会沿着射频层、协议层、架构层三个维度往下走，中间穿插我自己踩过的坑和现场总结出来的经验数据。你不需要预先背下所有帧格式，但读完至少应该能在拿到一个无线故障时，知道第一刀该往哪里切。

1.1 无线和有线最本质的差别：一根共享的"空气总线"

做过有线的人转到无线，最容易犯的错是拿交换机的思维去理解AP。有线以太网里，每台主机和交换机端口之间是一根独立的双绞线，全双工，收发互不干扰，带宽是独享的，二十四个端口同时跑千兆也不会互相打架。无线完全不是这个模型：一个AP覆盖范围内的所有终端，共享同一段频率资源，同一时刻只能有一个设备在发，其他设备全部在听。这就是所谓的共享介质、半双工。

这个差别带来的连锁反应非常深远。第一，带宽不能按"AP标称速率除以终端数"来算，那是彻底的错误算法，实际可用吞吐往往只有标称速率的30%到50%，还要再被同一信道上的邻居AP分掉一部分。第二，终端数量比终端带宽更致命，一个有四十台终端的AP，哪怕每台只要2Mbps，空口竞争带来的管理帧开销、退避等待、重传，就足以把体验拖垮。第三，隐藏节点问题天然存在，A和C都能听见AP，但彼此听不见，同时发送就会在AP处撞车，而有线网络里不存在这种拓扑盲区。

理解了这一点，后面所有的设计动作就有了统一的解释：信道规划是在减少同频碰撞，功率控制是在控制覆盖边界和邻居干扰，MU-MIMO和OFDMA是在想办法让多个设备"同时说话"，漫游优化是在让终端尽快换到一个不那么拥挤的"房间"。所有的技术演进，本质都在解决"共享"这两个字带来的效率损失。

1.2 把WLAN拆成三层来看：射频、协议、架构

我的习惯是把无线问题切成三层，从下往上排查，效率最高。

射频层关心的是电磁波有没有到达、质量够不够好，具体的量是RSSI（接收信号强度）、SNR（信噪比）、噪声底、信道利用率、重传率。这些指标决定了物理层能不能解调出数据。很多时候用户说"网慢"，射频层一看噪声底被抬到了-80dBm，或者信道利用率爆表，问题当场就定性了。

协议层关心的是802.11的交互有没有正常完成，包括Beacon有没有发、Probe有没有回应、关联和认证有没有通过、四次握手有没有走完、EAPOL有没有超时。这一层的问题往往表现为"连不上"或者"连上就掉"，抓空口包是最直接的手段。

架构层关心的是AP怎么被管理、业务VLAN怎么下发、认证请求往哪里送、漫游时隧道怎么切换。瘦AP架构下，AP自己几乎不做事，配置和转发策略都在控制器上，所以AP上线失败、隧道不通、DHCP地址池耗尽，都会表现为"无线不好用"，但根因根本不在无线本身。

提示：现场排障时，我一般先花两分钟看射频指标，再看终端能不能拿到IP，最后才去翻控制器日志。顺序反了容易在协议细节里绕不出来，而问题其实是一台微波炉或者一个漏配的地址池。

2. 频段、信道与功率：射频侧其实只有三个旋钮

刚接触无线的人容易把射频想得很玄，其实可调的物理量就三个：用哪个频段、用哪个信道和带宽、用多大功率。剩下的都是这三个的组合与约束。把这三个旋钮的物理含义弄清楚，覆盖设计这件事就已经完成了一大半，剩下的是现场勘测和微调。

2.1 信道编号不是排队号，是一段具体的频率区间

以2.4GHz为例，信道1的中心频率是2412MHz，信道2是2417MHz，依此类推每跳5MHz，一直到信道13的2472MHz。注意这里的关键数字：信道间隔只有5MHz，而一个20MHz带宽的信号实际占用约22MHz的频谱。这意味着相邻编号的信道在频率上严重重叠，1信道和2信道、2信道和3信道，本质上是在同一片频谱里互相踩踏。

所以经典的"1、6、11"三信道方案不是拍脑袋定的，而是因为这三个信道的中心频率间隔25MHz，刚好大于20MHz信号的实际占用宽度，能够做到基本不重叠。国内2.4GHz开放到13信道，理论上可以凑出1、5、9、13的四信道组合，但代价是每个信道的有效隔离度下降，实际效果取决于设备滤波器的滚降特性，我一般只在终端密度很低、又迫切需要四个信道的场景下才用。

5GHz的情况好得多。可用信道多、间隔大，36到48是一组，52到64是一组，100到144是一组，149到165是一组，每组内部信道间隔20MHz，天然不重叠。麻烦在于52到64和100到144这两段属于雷达频段，AP在上面工作必须支持DFS（动态频率选择），检测到雷达信号要主动避让并切换信道，这个过程会造成短暂的业务中断。有些老旧终端对DFS信道的支持很差，扫得到但连不上，这是现场经常被忽略的兼容性问题。

这张表我一般会给刚入行的同事看，核心结论只有一句：能用5GHz承载的业务，就不要放在2.4GHz上。2.4GHz留着做覆盖兜底和老旧终端兼容，把主战场让给5GHz，很多莫名其妙的卡顿会自动消失。

2.2 功率不是越大越好，EIRP才是真正发出去的能量

AP的发射功率通常以dBm为单位配置，但实际辐射到空间的能量要看EIRP，也就是等效全向辐射功率，计算方式是：

EIRP(dBm) = AP射频发射功率(dBm) + 天线增益(dBi) - 馈线损耗(dB)

一个射频口输出20dBm、接3dBi全向天线的AP，EIRP大约是23dBm，也就是200mW。很多初学者为了让信号"更远"，把功率直接拉到最大，结果适得其反。功率越大，覆盖边界越模糊，一个AP能"喊"到的终端越多，但终端自身的发射功率通常只有十几dBm，喊得回去的能力有限，于是形成上行链路不对称：终端看着信号满格，实际上传数据时AP收不清楚，表现为"能连上但上传慢、视频会议卡"。

更严重的是同频干扰。功率拉满会让AP之间互相听见，空口上多了大量无效的管理帧和竞争，信道利用率被推高。我的经验做法是：办公场景AP功率一般设在11到14dBm之间，配合合理的点位密度，让每个AP只覆盖自己该覆盖的区域；高密场景（会议室、报告厅）反而要主动降功率到8到11dBm，靠密度换容量，而不是靠功率换覆盖。

注意：调整功率之后一定要重新看终端的漫游行为。功率降得太狠，边缘区域会出现覆盖空洞；功率降得不均匀，终端会在两个AP之间反复横跳，表现为"每隔几分钟断一下"。功率调整从来不是单点动作，是一组AP的整体协同。

2.3 信道规划的实际做法

信道规划的目标不是"每个AP一个不同信道"，而是让物理位置相邻、覆盖重叠的AP尽量错开，同时控制每个信道上的AP数量。我通常按这个顺序推进：

第一步，导出AP点位图和楼层平面图，标出每个AP的覆盖半径预估。办公区吸顶安装、无遮挡的情况下，5GHz的可靠覆盖半径大约8到12米，2.4GHz大约15到20米，穿一堵承重墙衰减10到15dB，穿玻璃隔断衰减3到5dB，这些数字要按现场材质修正。

第二步，做信道分组。5GHz把可用信道分成若干组，按蜂窝状排布，保证任何一个AP的相邻AP不在同一信道。20MHz带宽下信道资源充足，优先用20MHz而不是40MHz或80MHz，因为宽信道意味着更少的可用信道数和更高的同频概率，在高密场景下得不偿失。

第三步，2.4GHz只保留1、6、11三组，并且把发射功率压低、部分AP直接关掉2.4G射频。很多办公区2.4G射频开着纯属浪费，因为绝大多数终端支持5GHz，2.4G上留着的大多是需要长期在线的物联网设备，这些设备数量少、带宽需求低，留一层薄覆盖就够了。

第四步，上线后用分析工具实测，重点看每个信道的利用率和AP之间的同频邻居数量。同频邻居超过两个的信道要重新调整。这一步不能省，图纸和现实永远有差距，尤其是装修后新增的隔断和临时摆放的金属货架。

3. 抓一个Beacon帧，把802.11的骨架看清楚

协议层的东西光看文档很容易糊，我建议每个做无线的同事都找一次机会，用支持监听模式的无线网卡抓一段空口包，然后老老实实把Beacon帧的每个字段看一遍。看完之后，很多概念会自动串起来——为什么终端扫描要花时间、为什么隐藏SSID根本不算安全措施、为什么某些终端连不上某个AP。

3.1 管理帧、控制帧、数据帧的分工

802.11的帧分三大类，各司其职。

管理帧负责"认识彼此"，包括Beacon（AP周期性广播自己的存在和能力）、Probe Request/Response（终端主动探测）、Authentication（认证）、Association Request/Response（关联）、Deauthentication/Disassociation（断开）。管理帧不承载用户数据，但它们占据的空口时间非常可观，尤其是在终端密集的场景下，扫描和探测带来的开销能占到总空口时间的两成以上。

控制帧负责"协调谁什么时候说话"，包括RTS/CTS（解决隐藏节点）、ACK（确认）、Block ACK（块确认）、PS-Poll（省电轮询）。控制帧通常很短，但在高密环境下数量巨大。

数据帧才是真正承载业务的，里面封装了以太网帧或者802.11特有的QoS控制字段。

抓包时常用的显示过滤器大致是这些：

wlan.fc.type_subtype == 0x08 # Beacon wlan.fc.type_subtype == 0x04 # Probe Request wlan.fc.type_subtype == 0x05 # Probe Response wlan.fc.type_subtype == 0x00 # Association Request wlan.fc.type_subtype == 0x0b # Authentication wlan.fc.type_subtype == 0x0c # Deauthentication eapol # 四次握手

Beacon帧里几个必须关注的字段：SSID（网络名，隐藏SSID只是把这个字段置空，但Probe Response里照样会带出来，所以隐藏毫无安全意义）、Supported Rates和HT/VHT/HE Capabilities（决定了这个AP支持什么速率和特性）、RSN Information（加密套件和认证方式）、Country Code（国家码，决定可用信道和功率上限）、BSS Load（当前关联终端数和信道利用率，这个字段做负载均衡时非常有用）。

Beacon的默认发送间隔是100个时间单元，约102.4毫秒。这意味着每个AP每秒要发将近十个Beacon，每个Beacon即使只有两百多字节，在几十个AP共存的环境里也是一笔不小的固定开销。有些厂商支持调大Beacon间隔来降低开销，但代价是终端发现网络变慢，新终端接入体验下降，我一般不轻易动这个参数。

3.2 终端从开机到上网，中间走了多少步

理解这条链路，排障时就能精确定位卡在哪一环。完整过程大致是这样：

终端打开无线，先做扫描。被动扫描是听Beacon，每个信道听100毫秒左右；主动扫描是往每个信道发Probe Request，等AP回Probe Response。扫描完所有信道要花一到三秒，这就是为什么刚开Wi-Fi时要等一会儿才能看到列表。

选中一个SSID之后发起认证。开放网络是空认证，直接返回成功；WPA2-PSK实际上在认证阶段还是开放认证，真正的密钥验证在后面的四次握手；企业级802.1X则是在这一步之后走EAP交换。

认证通过后发起关联，AP回应Association Response，分配一个关联ID（AID）。到这里终端和AP在二层建立了关系，但还不能传数据。

接下来是密钥协商。WPA2-PSK走四次握手（4-Way Handshake），用PSK派生出的PMK和双方随机数生成PTK，用于加密单播数据；如果需要组播，还会走组密钥握手。四次握手任何一步失败，终端都会显示"正在获取IP地址"然后断开，这是现场最常见的故障之一。

最后是获取IP地址，DHCP Discover-Offer-Request-Ack。拿到地址之后，终端才能真正访问网络。

整条链路任何一环出问题，用户体验都是"连不上网"，但根因天差地别。所以排查时我的习惯是先看终端能不能拿到IP：能拿到，问题多半在射频质量或者上层策略；拿不到，就往关联、认证、DHCP方向追。

3.3 CSMA/CA和隐藏节点：无线为什么不能"边说边听"

有线以太网早期用CSMA/CD，冲突检测，发送的同时监听，发现冲突立刻停。无线做不到这一点，因为无线网卡是半双工的，发送时自己的信号会淹没接收通路，根本听不到别人。所以802.11改用CSMA/CA，冲突避免，靠"先听后说"来降低碰撞概率。

具体机制是：设备想发送时先监听信道，空闲则等待一个DIFS时长，再进入随机退避，退避计数器减到零才发送；接收方正确收到后，等待一个SIFS时长回ACK。SIFS比DIFS短，保证了ACK的优先级高于其他设备的新发送请求。这套机制在设备不多的时候运转良好，设备一多，退避等待时间急剧上升，空口效率断崖式下跌。

隐藏节点是这套机制的天然漏洞。A和C都在AP的覆盖范围内，但彼此距离远、互相听不见。A在发的时候，C监听信道是空闲的，于是也发，两个信号在AP处叠加，双双解调失败，各自重传。重传又进一步推高空口占用，形成恶性循环。解决办法是RTS/CTS：发送方先发一个很短的RTS，AP回CTS，CTS被所有能听见AP的终端收到，它们就知道信道被占用了，会主动退避。代价是RTS/CTS本身也占空口时间，所以通常只对大帧启用，或者在高密环境下全局开启。

提示：如果现场出现"离AP近的终端很快，离得稍远的终端极慢"，而且AP侧看得到大量重传，八成是隐藏节点或者上行链路预算不足。这时候先看终端的上行RSSI，再看要不要开RTS/CTS，别急着换AP。

4. 802.11协议族演进：哪些升级真的改变了体验

从11n到11ax再到11be，标称速率翻了几十倍，但用户的体感改善远没有数字那么夸张。搞清楚每一代技术到底在哪个环节动了刀，才能判断什么时候该花钱换设备，什么时候纯属浪费预算。

4.1 速率是怎么算出来的

标称速率由几个因子相乘得到：空间流数 × 单流速率（由调制编码方式和带宽决定）。以80MHz带宽、2×2空间流为例：

这张表里最容易被忽略的是调制阶数越高，对信噪比的要求越苛刻。1024-QAM要求SNR在30dB以上才能稳定工作，终端稍微走远一点，速率就会自动回落到256-QAM甚至64-QAM。所以标称速率是"实验室里贴着AP才能达到的数字"，实际使用中，一个80MHz、2×2的11ax AP给单终端提供400到600Mbps的实际吞吐，已经是非常好的水平。

另一个关键点是带宽翻倍不等于速率翻倍。80MHz升到160MHz，理论速率翻倍，但可用信道数直接减半，同频概率大增，而且160MHz要求整个频段连续干净，现实中很难满足。我在办公场景基本不用160MHz，只在极少数的点对点回传或者空旷场馆里才考虑。

4.2 OFDMA、MU-MIMO、BSS Coloring各解决什么问题

这三个是11ax的核心特性，理解它们能省下很多选型上的纠结。

OFDMA（正交频分多址）解决的是"小包排队"问题。以前的OFDM，一个终端发一个几十字节的ACK，也要占用整个信道一段时间，效率极低。OFDMA把信道切成若干个子载波组（资源单元RU），可以同时分给不同终端，小包各走各的道，不用排队。在高密场景（会议室、教室、展会）里，这个特性的收益非常明显，因为这类场景的特点就是终端多、单终端流量小。

MU-MIMO（多用户多输入多输出）解决的是"同时传输"问题。11ac时代只有下行MU-MIMO，11ax补齐了上行。原理是用多根天线做空间复用，同时给多个终端发数据。但它对终端的天线数量和信道状态要求很高，实际部署中下行MU-MIMO的收益取决于终端能力，上行MU-MIMO对终端要求更严格。不要指望它能把容量翻几倍，把它当作一个锦上添花的特性更合适。

BSS Coloring（基本服务集着色）解决的是"过早退避"问题。以前设备只要听到同信道的信号，哪怕是很弱的邻居AP信号，也会判定信道忙而退避，导致明明可以并行传输却互相谦让。BSS Coloring给每个AP的信号打上颜色标记，设备收到不同颜色的信号，如果强度低于阈值，就可以忽略它、继续发送。这个特性在密集部署的办公区收益极大，能显著提升空口复用率。

我的判断标准是：如果你的痛点是"终端多但每个终端流量不大"，11ax的OFDMA和BSS Coloring值得投入；如果痛点是"单个终端要大带宽"，那更实际的做法是缩短终端到AP的距离、用更干净的信道，而不是换更贵的AP。

4.3 什么情况下该换AP

现场经常有人问，老AP还能用，要不要换。我一般按这几个维度判断：

看协议代际差。11n的AP在终端密集场景下已经明显吃力，因为它不支持OFDMA，管理帧和小包开销占比太高，换11ax收益明显。11ac wave2的AP如果点位密度够、终端以办公为主，还能撑一段时间，不必急着换。

看终端能力。如果现场大量终端是老旧的物联网设备或者低端手机，换了11ax AP它们也用不上新特性，带宽和容量提升有限。这种情况下优先做的是信道优化和增加AP密度。

看空口指标。如果现网AP的信道利用率长期低于40%、重传率低于10%、单终端体验尚可，那说明容量还够，换设备的边际收益很低。反过来，如果信道利用率常年在70%以上，重传率超过20%，那就是容量见顶了，加AP或者换AP都是合理的选择。

看PoE供电能力。11ax和11be的AP功耗普遍高于11n/ac，很多老交换机只支持802.3af（受电端约12.95W），带不动新AP，需要升级到802.3at（约25.5W）甚至802.3bt。这一笔隐性成本在预算里经常被漏掉，等到装上去发现AP反复重启才想起来。

5. 认证与加密：企业场景绕不开的802.1X

安全这块我见过太多"配了个WPA2-PSK就当企业网用了"的现场。PSK不是不能用，但它解决的安全问题是"防外人接入"，解决不了"内部人可以看到别人的流量"和"一个人泄露密码全员沦陷"。规模稍大一点的环境，802.1X是绕不过去的。

5.1 PSK和Enterprise的适用边界

WPA2-PSK的机制是：所有终端共享一个预共享密钥，配合SSID派生出PMK，再通过四次握手生成各自的PTK。每个终端的单播密钥是不同的，所以终端之间互相看不到对方的单播流量，这一点常被误解。但它的问题在于：密码一旦泄露，任何人都能接入；密码更换意味着所有终端都要重新配置，运维成本极高；无法做到按人审计和差异化授权。

WPA2-Enterprise也就是802.1X，用RADIUS服务器做身份验证，每个用户独立的账号密码或者证书，接入后可以按角色下发不同的VLAN和ACL，离场时禁用账号即可，不需要改密码。代价是需要一套RADIUS基础设施，配置复杂度高，证书管理和终端配置的运维工作量也不小。

我的经验判断是：终端数量超过几十台、或者有合规审计要求的场景，直接上802.1X；家庭、小型办公室、临时项目现场，PSK足够，别把简单问题复杂化。介于两者之间的场景，可以用PSK加定期轮换，配合MAC白名单做补充，但要知道MAC白名单是可以伪造的，只能提高门槛，不能当作安全保障。

5.2 802.1X的完整流程和几个高频配置坑

流程大致是这样的：终端关联到AP后，AP作为认证者（Authenticator）阻止所有业务流量，只放行EAPOL报文；终端发起EAPOL-Start，AP回EAP-Request/Identity；终端把身份信息通过AP转发给RADIUS服务器；双方按选定的EAP方法完成认证（比如PEAP-MSCHAPv2是服务器出示证书、终端校验后提交用户名密码，EAP-TLS是双向证书认证）；服务器返回Access-Accept，携带授权属性；AP打开端口，终端正常获取IP。

现场踩过的坑，按出现频率排：

第一个坑是RADIUS服务器证书不被信任。PEAP要求终端校验服务器证书，如果证书是自签的、或者证书里的名称和终端配置的服务器名不匹配，终端会直接拒绝连接。解决办法是把CA证书下发到终端，或者让终端跳过证书校验（不推荐，等于放弃了防中间人能力）。

第二个坑是AP到RADIUS的共享密钥不一致。这个错误在日志里通常表现为"RADIUS timeout"或者"bad authenticator"，看起来像网络不通，实际是密钥配错。排查时先确认共享密钥，再确认UDP 1812/1813端口有没有被中间设备拦掉。

第三个坑是VLAN下发不生效。RADIUS返回的隧道属性（Tunnel-Type、Tunnel-Medium-Type、Tunnel-Private-Group-ID）格式写错一个字节，AP就收不到，终端会被扔到默认VLAN里。这种问题终端表现是"认证成功但拿不到正确的地址"，抓包看RADIUS响应最直接。

第四个坑是证书有效期。服务器证书过期这事我遇到不止一次，表现是所有终端突然集中认证失败，日志里一堆证书错误。建议把证书到期时间写进运维日历，提前一个月续期。

5.3 WPA3过渡期的兼容性现实

WPA3-SAE最大的改进是用对等实体同时认证取代了PSK，能够抵御离线字典攻击，同时提供前向保密。听起来很美，但落地时的现实问题是兼容性：大量老旧终端不支持WPA3，如果AP只开WPA3，这些终端直接连不上；如果开混合模式（WPA2/WPA3 transition），又会引入降级攻击面，而且部分终端在混合模式下会出现握手异常、反复重连。

我的做法是分阶段：新增部署的AP开启WPA3企业级模式（192位安全套件），新采购的终端逐步切过去；存量终端继续留在WPA2企业级，两者用不同的SSID隔离，用同一套RADIUS做统一认证和审计。等存量终端自然淘汰到一定比例，再把WPA2的SSID关掉。这样既不阻塞业务，也不会长期停留在弱安全状态。

注意：不要在同一个SSID上同时开启WPA2-PSK和WPA3-SAE并且指望它稳定。混合模式在某些终端上会造成四次握手阶段的选择混乱，表现为"密码明明对，就是连不上"。要么分开SSID，要么统一到一种模式。

6. 漫游与AC-AP架构：终端为什么赖在弱信号上不走

"我在会议室里信号只有一格，走到走廊信号满格，但它就是不切过去，非要我关一下Wi-Fi再开。"这个抱怨我在每个项目上都能听到。理解漫游这件事，得先理解一个前提：漫游的决策权在终端手里，不在AP手里。AP能做的只是引导，不能强制。

6.1 胖AP、瘦AP、云AP的架构取舍

胖AP把配置、认证、转发全放在AP本地，部署简单，适合小店、家庭、少量点位的场景。缺点是点位一多就没法统一管理，信道和功率要靠人工一台台调，漫游完全靠终端自己判断，跨AP的VLAN和策略一致性也很难保证。

瘦AP架构是AC加AP，AP只负责射频收发，配置、信道分配、漫游引导、认证代理都在AC上做。优点是集中管理、动态信道和功率调整（很多厂商支持自动射频优化）、统一的漫游策略。缺点是有单点风险，AC挂了整个无线网瘫掉，所以要做AC冗余；另外AC和AP之间的隧道（通常是CAPWAP，控制UDP 5246、数据UDP 5247，或者厂商私有协议）对网络质量敏感，跨广域网的部署要谨慎。

云AP是把AC的功能放到云端管理平台，本地AP直接转发业务流量，管理和配置走互联网。这个模式适合多点位、无人值守的场景，比如连锁门店。它的问题在于对互联网出口的依赖，以及数据面和控制面的分离带来的排障复杂度——出问题时你要先确认是本地AP的问题，还是云端平台的问题。

选型的核心判断标准其实很朴素：点位数量少于十个、没有专职运维，用云AP或者胖AP；点位多、有统一策略和漫游要求，用AC加AP，并且一定做AC冗余。

6.2 802.11k、v、r三件套各管什么

这三个协议经常被笼统地说成"快速漫游三件套"，其实分工完全不同，配错了不但没收益，还会引入新问题。

802.11k（无线资源测量）解决的是"终端不知道周围有什么AP"。开启后，AP可以给终端提供邻居报告，告诉它附近有哪些AP、工作在什么信道、信号如何。终端就不用自己花时间全信道扫描了，扫描时间从几百毫秒降到几十毫秒，漫游切换自然更快。这个特性对终端兼容性要求不高，基本可以放心开。

802.11v（BSS过渡管理）解决的是"AP能劝终端走"。AP可以给终端发送BSS Transition Management Request，建议它切换到某个更合适的AP。注意是"建议"，终端可以不接受。这个特性在引导"粘滞终端"离开时很有用，尤其在终端信号已经掉到-75dBm以下还在死撑的时候。但部分终端对这类帧的处理有bug，收到之后反而断开，所以要按终端类型做适配，必要时只对特定OUI开启。

802.11r（快速BSS过渡）解决的是"重认证太慢"。传统漫游时，终端每换一个AP都要重新走一次完整的802.1X认证，企业网环境下这个过程可能要几百毫秒到几秒，语音通话必断。11r通过提前在AP之间传递密钥材料（PMK缓存或者层级密钥），把重认证过程压缩到几十毫秒。代价是配置复杂，需要正确设置移动域标识（Mobility Domain）和R1KH/R0KH标识，配错了终端会认证失败。而且11r对WPA2-PSK和WPA2-Enterprise的处理方式不同，混合部署时要格外小心。

6.3 漫游优化的实操清单

我一般按这个顺序做，从成本最低、风险最小的动作开始：

先把覆盖做均匀。漫游问题的根源经常不是漫游机制，而是覆盖设计不合理——某个区域信号过强，终端走出去很远信号还有-65dBm，自然不会切。把AP功率降下来、点位加密，让相邻AP的覆盖边界清晰，很多问题自动消失。

再确认终端侧的门限。很多终端有自己的漫游门限（比如-70dBm开始扫描、-75dBm才切换），这个参数终端侧改不了，但可以通过调整AP功率来间接影响。如果终端在-78dBm还赖着不走，说明附近没有明显更强的AP，需要补点。

然后开启11k，观察漫游时延有没有下降。如果终端支持11r且是语音终端，再开11r。11v放在最后，作为处理"顽固终端"的补充手段。

最后做验证。用终端在覆盖区走一圈，同时抓包看漫游前后的认证过程，重点看从Deauth到重新Association完成用了多久。语音场景要求控制在50毫秒以内，数据场景200毫秒以内可以接受。这个数据是验收的硬指标，不要凭感觉说"感觉好多了"。

提示：漫游测试一定要用真实的业务终端，不要只用测试手机。不同终端的漫游行为差异极大，同一型号不同系统版本都能表现出完全不同的粘滞特性。我吃过一次亏，测试机漫游完美，用户的实际设备一进会议室就掉线，最后发现是那个型号的终端对11v帧的处理有兼容问题。

7. 排障实录：几类高频问题的排查链路

无线排障最忌讳的是"猜"。我习惯按现象分类，每一类有一条固定的排查链路，从射频往上走，把可能性逐层剥离。下面这几类是我这些年遇到频率最高的。

7.1 关联不上：从射频到认证逐层剥离

现象是终端能看到SSID，点击连接后转圈，最终提示"无法连接"或者"密码错误"。

第一步看射频。终端所在位置的RSSI是否高于-75dBm，噪声底是否正常。如果噪声底被抬到-85dBm以上，说明有强干扰源，先找干扰源。我遇到过会议室里的无线投屏器持续发射，把整个区域的噪声底抬高了10dB。

第二步看扫描和探测。抓包看终端有没有发出Probe Request，AP有没有回Probe Response。如果终端发了但AP没回，可能是AP负载过高（关联终端数达到上限）或者SSID配置不匹配。

第三步看认证和关联。抓包看Authentication帧的返回码。返回码是1（unspecified failure）通常是AP侧策略拒绝，比如ACL、最大终端数、时间策略；返回码是17（AP unable to handle new station）是容量问题。

第四步看四次握手。如果关联成功但四次握手失败，重点查PSK是否正确、加密套件是否匹配（比如AP只开AES而终端只支持TKIP）、以及是否被中间设备拦截了EAPOL帧。这一步在抓包里看得很清楚：终端发了Message 1，AP没回Message 2，或者AP回了但终端不接受。

第五步，如果开了802.1X，看EAP交换停在哪一步。停在Identity阶段，多半是AP到RADIUS不通；停在Challenge阶段，多半是账号密码错误或者认证方法不匹配；Access-Reject的原因通常在RADIUS日志里写得很明白。

7.2 连上了但特别慢：信道利用率和重传率

现象是终端能正常上网，但速度慢、视频卡、文件传输时间长。这类问题最容易被误判成"带宽不够"，实际上九成以上是空口质量问题。

先看信道利用率。这个指标反映的是空口有多忙，包括有效数据、管理帧、控制帧和干扰。低于40%算健康，40%到60%需要关注，超过70%就开始明显影响体验了。利用率高但吞吐低，说明空口时间被大量无效交互占用了。

再看重传率。正常环境下重传率应该在10%以内，超过20%说明链路质量有问题，可能是干扰、可能是覆盖边缘、也可能是隐藏节点。重传率高的区域，终端实际吞吐会掉到标称值的三分之一以下。

然后看同频邻居数。用分析工具扫一遍，看当前AP所在信道上有几个邻居AP，以及它们的信号强度。如果同信道上有三个以上强信号邻居，基本可以确定是同频干扰，调整信道或者降低功率。

最后看终端自身的速率。有些终端因为驱动或者省电策略，会长期工作在低速率上。抓包看数据帧的Rate字段，如果一直是6Mbps或者12Mbps，说明协商出了问题。低速率帧占用空口时间是高速率帧的几十倍，一台这样的终端能把整个AP拖慢，这种情况我一般会直接找出这台终端处理掉。

7.3 频繁掉线：漫游、DHCP和组播三个常见嫌疑

掉线的排查要区分是"真掉线"还是"假掉线"。真掉线是链路断了，抓包能看到Deauth或者Beacon丢失；假掉线是链路还在，但业务不通，比如IP冲突、网关不可达。

漫游引起的掉线，特征是掉线位置固定，总是在某两个AP的交界处。抓包看漫游过程，如果每次都要走完整的802.1X重认证，时延几百毫秒以上，那就是没开11r或者11r配置有问题。

DHCP引起的掉线，特征是掉线后终端拿不到地址，显示"正在获取IP地址"。重点查地址池大小和租期。办公区一个VLAN放两百个地址，遇上开会所有人都来，地址池分分钟耗尽。另外租期设得太长也不好，终端离场后地址不释放，池子会被慢慢吃光。

组播引起的掉线比较隐蔽。无线组播默认用最低速率发送，而且不做确认，一个组播包可能占用大量空口时间。如果网络里有大量组播流量（视频监控、组播路由协议、ARP广播），会把空口拖垮。解决办法是在AP上开启组播转单播，把组播流量转成多个单播分别发送，代价是占用更多带宽，但空口效率高得多。

7.4 覆盖设计的一组经验数据

这些数字是我这些年现场总结的，不一定适用于所有场景，但作为起点比拍脑袋强。

原则很简单：覆盖靠密度不靠功率，容量靠信道不靠带宽。宁可多布几个低功率AP，也不要少布几个高功率AP。前者的空口更干净、漫游更顺、容量更高，后者看着省钱，后期排障的时间成本远超设备差价。

另外补充一个经常被忽略的点：AP安装位置。吸顶安装要注意避开金属吊顶和消防管道，壁挂安装要注意天线方向图的朝向，别把天线的主瓣对着墙。我见过一个项目所有AP都装在了金属桥架下方，信号被屏蔽掉一大半，机柜里看着配置全对，现场测出来覆盖半径只有五米。这种事只能靠现场勘测发现，图纸上永远看不出来。

8. 我自己的学习路径和几个建议

刚转无线那会儿，我最大的困惑是资料太多但不成体系。标准文档几百页，厂商配置手册上千页，看完还是不知道现场该怎么下手。后来摸索出一条相对高效的路子，分享给同样在路上的朋友。

先建立物理直觉，再学协议。花半天时间把频段、信道、带宽、功率、EIRP、RSSI、SNR、噪声底这几个概念彻底搞明白，知道它们之间的关系和单位换算，后面看任何技术文档都不会卡住。这一步推荐用分析工具在办公室里实地扫一遍，看着曲线理解比看公式快得多。

然后抓一次完整的空口包，从Beacon一直看到DHCP，把每一步的帧找出来。这个过程会强迫你理解关联、认证、握手、获取地址的完整链路，比看十遍文档都管用。抓包时建议先用开放网络做一遍，再用WPA2-PSK做一遍，两次对比就能看清楚四次握手到底在干什么。

接着做一次小规模的实际部署。找三五个AP，自己规划信道、配功率、开11k、做漫游测试，用真实终端走一圈。这个过程中遇到的问题，比任何培训课程都值钱。我当时是在一个空置的办公区折腾了整整两天，把能配错的参数都配错了一遍，后面再遇到类似问题反应速度完全不一样。

最后才是学厂商的配置和高级特性。基础扎实之后，看厂商手册就是查字典，需要什么查什么，不用从头啃。

几个具体的建议：

第一，随身带一个能看射频指标的工具，手机上的分析软件足够做初筛。到了现场先扫一遍，心里有个底，再决定要不要上专业勘测设备。

第二，养成记录的习惯。每个项目结束后把AP点位、信道分配、功率设置、遇到的具体问题记下来，半年之后这就是你自己的案例库。我现在还保留着几年前的项目记录，遇到相似场景翻出来对照，效率极高。

第三，别迷信自动射频优化。厂商的自动信道和功率调整在很多场景下确实省事，但它的算法是通用的，不理解你的业务特点。高密会议室和仓储环境的最优解完全相反，自动算法给出的折中方案往往两边都不讨好。可以拿它做初值，但一定要人工复核。

第四，排障时先问清楚"什么时候开始的、影响范围多大、有没有做过变更"。这三个问题能过滤掉一半的排查方向。无线故障里相当一部分不是无线本身的问题，是新加的一台设备、改过的一个VLAN、或者新装修的一面隔断墙引起的。

第五，接受无线的不确定性。有线网络里一根线断了就是断了，无线里同一个位置、同一台终端，上午好用下午变慢，可能只是隔壁多开了一台AP。这种不确定性不是技术缺陷，是共享介质的固有属性，做无线的时间越长，越要学会和它共处，把设计做冗余一点，把排障链路做得清楚一点，剩下的交给现场判断。