思科ap vwlc家用网络部署指北

Satan023

update:https://www.sgtpepper.cyou/?p=87

搬入新家后一直想搞个全屋AP覆盖，最近有空就考虑上什么设备。前几天种草思科AP配合虚拟控制器vwlc，正好我有个一直在吃灰的戴尔R630。决定就是你了！

vwlc版本选择
直接最新的8.10.171.0完事，这也是思科的推荐版本。地址
下载地址 下载AIR_CTVM-K9_8_10_171_0.ova

服务器选择
吃灰一年的R630，配置：双路E5-2620 v3、32G、2TB

AP选择
先看8.10.171.0支持哪些AP，根据Table 6：

再看咸鱼，玛德从1830系列开始就没有低于1200块的。那么次一级1810系列如何呢？配置是2x2:2 MU/SUMIMO，好，我家的无线设备就没3X3天线的2X2够用。价格二手400一个，就你了！咸鱼830买了两个1815m+挂架。到手一看，出厂日期2020年，NICE。

POE交换机选择
服务器AP都是二手，POE交换机再买个二手说不过去了吧，整个可管理POE交换机吧。最终选择了网件GS108PEv3，1815m供电要求是802.3af，这个够用，淘宝690（玛德好贵）

其他设备：
1.电信SDN猫，已改桥接
2.mikrotik hapac^2，作路由器
3.三层交换机，思科C3560CG-8TC-S

网络架构设想
1.hapac2作为主路由，和划分VLAN。vlan1管理网段、vlan2给guest、vlan3内网用；做vlan访问控制不允许guest段访问其他网段。
2.C3560CG做三层，另接服务器、NAS
3.GS108PEv3做二层接入，连PC、AP、摄像头、电视机

网络架构图有空再弄。

开整！

配置路由器
尼玛结果第一步就翻车了！这台hapac2当初新房装修完我临时拿来当路由和wifi用的，快速设置配完就没动过了。这次清空配置后根据教程配vlan和dhcp怎么都失败，三层拿不到vlan获取不了地址。搞了两天也没解决我估计是卡在M记独有的bridge上面了。后来没办法只能改网络架构：hapac2只做主路由，DHCP和VLAN让三层做。
接下来简单了，我实际上只要用快速配置就行，然后把无线和DHCP关掉，地址还是192.168.88.1。另外要配下路由，主要是三个VLAN和主路由间的路由；外网的路由快速配置帮你配好了。这一步不做的话内网的设备找不到192.168.88.1，就上不了外网。


配置三层交换机
稍微麻烦点，关键配置如下：
1.创建DHCP池

ip dhcp pool lan
network 192.168.1.0 255.255.255.0
default-router 192.168.1.1
dns-server 192.168.88.1
!
ip dhcp pool Guest
network 200.200.200.0 255.255.255.0
default-router 200.200.200.1
dns-server 192.168.88.1
!
ip dhcp pool Internal
network 192.168.2.0 255.255.255.0
dns-server 192.168.88.1
default-router 192.168.2.1

2.DHCP做排除，排除的地址用来做管理地址和备用

ip dhcp excluded-address 192.168.1.1 192.168.1.99
ip dhcp excluded-address 200.200.200.1 200.200.200.99
ip dhcp excluded-address 192.168.2.1 192.168.2.99

3.划分vlan，配置acl以禁止guest端访问其他vlan段

access-list 10 deny   200.200.200.0 0.0.0.255
access-list 10 permit any

interface Vlan1
ip address 192.168.1.1 255.255.255.0
ip access-group 10 out
!
interface Vlan2
ip address 200.200.200.1 255.255.255.0
!
interface Vlan3
ip address 192.168.2.1 255.255.255.0
ip access-group 10 out

5.1、2口做trunk，1连二层，2连服务器

interface GigabitEthernet0/1
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet0/2
switchport trunk encapsulation dot1q
switchport mode trunk

6.配三层出口路由、VLAN间路由

ip route 0.0.0.0 0.0.0.0 192.168.88.1

ip routing

7.9号口上联路由器，把端口改从二层口改为三层口，配ip地址

interface GigabitEthernet0/9
description Uplink to MikroTik hAP ac^2
no switchport
ip address 192.168.88.2 255.255.255.0

三层配置出口路由楼主之前没搞过，参考的这篇文章：思科高级配置（三层交换配置路由）

esxi配置Trunk口
网络\端口组\添加端口组：

esxi配trunk的目的是为了让vwlc能够拿到三层上划分的vlan，vlan id 4095即为trunk，然后把vswitch分给vwlc就行

配置二层交换机
1、2口接AP需要配trunk，8号口上联三层所以也需要配：

默认已经有vlan1了，所以添加vlan2 vlan3就行




依次把vlan1 2 3的1、2、8号口设置为T，tagged的意思，即所谓的打上标签，这个就是思科体系里面的trunk的意思。（方便理解这么说的，实际比这复杂，楼主的小脑瓜只能理解到这一步）


PVID楼主不是很理解，应该是思科体系的native vlan的意思吧。默认1就行，如果改成2或者3那么ap只能获取对应vlan的地址。（没搞过网件的网管交换机，这一步坑了我很久）

vwlc配置
这个就不献丑了，我是按照这几篇文章操作的：
https://blog.swineson.me/zh/cisc ... twork-for-the-young
https://post.色魔张大妈.com/p/ax0r5nv2
https://post.色魔张大妈.com/p/ag49xl5w

主要讲下比较坑的地方：
1.service-port默认实际上有个地址上192.168.1.1，但是在初始配置界面并没有告诉你；这时如果你给service-port设了个地址是不生效的，因为要配置完重启才生效；然后management地址设192.168.1.x段的话会设置失败，因为service和mgmt地址不允许同一个段！关键还他妈的不告你原因！解决方法是mgmt先搞个非192.168.1.x段然后一路设置下去保存完重启再进入cli设置mgmt为192.168.1.x段。参考思科的guide：

Step 1         
Enter the show interface detailed management command to view the current management interface settings.
Note The management interface uses the controller's factory-set distribution system MAC address.
Note This command output shows the port MAC address.

Step 2         
Enter the config wlan disable wlan-number command to disable each WLAN that uses the management interface for distribution system communication.

Step 3         
Enter these commands to define the management interface:
    Using IPv4 Address
        config interface address management ip-addr ip-netmask gateway

我实际操作的时候"config wlan disable wlan-number "搞不懂number是啥，所以直接"config wlan disable all"了后面再enable就行；service port第一次初始化配置重启后生效了就不用再改了。

2.license问题
vwlc自带200个ap支持数，有效期60天。但vwlc支持RTU license，你别管RTU是啥反正知道思科难得大方了一次就行。直接在Licenses页面License Count中随便填个数，点set count就完了！直接No Expiry！


3.ap无法上线问题
vwlc初始配置页面的国家设置默认是US，然后你买的AP是中国区的话AP会发生反复上线反复下线的问题，此时用console连AP后有以下日志：

Max retransmission count exceeded, going back to DISCOVER mode

解决办法就是在vwcl的wireless\country中把国家改为CN

4.ap配置多个ssid，不同ssid用不同vlan
这个上面几篇guide都没写，我是参考这篇官方guide：使用 WLC 的访客 WLAN 和内部 WLAN 配置示例
文章有点老了，但是能用！

5.ap无法运行在trunk模式下
第4个坑弄完我发现我的ssid只能拿到192.168.1.X段的地址，又是改网件交换机的pvid、又是把端口从T/U改来改去。依旧不行！表现为AP要么全拿到vlan1的地址要么vlan2、3的地址，也就是说AP端的trunk没生效。后来在红迪一篇帖子上看到一个人提了一句：
Cisco WLC multiple VLANs, SSIDs - going around in circles...

The APs need to be on trunk ports, yes.

They also need to have vlan support turned on. In the controller, if you click an AP, in the Flexconnect tab, you’ll see a check box for vlan support. Turn that on.

照着设后问题解决！！！（卡了快两天）：


试着分析了下故障原因：
vwlc默认是用native vlan（默认为1）管理AP，包括AP上线也是用native vlan。网件那台二层的pvid就是设置native vlan的，设1 ap就拿vlan1的地址、设2就拿vlan2的地址、设3就拿vlan3的地址。我的ap工作在flexconnect模式下，默认vlan support关闭，所以只能拿到native vlan的地址，开启后ap的trunk功能就能用了，不同ssid就能拿到不同vlan了。

测试效果：

C:\Users\Satan>ping 192.168.1.10

正在 Ping 192.168.1.10 具有 32 字节的数据:
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。

192.168.1.10 的 Ping 统计信息:
    数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，

C:\Users\Satan>ping 192.168.2.102

正在 Ping 192.168.2.102 具有 32 字节的数据:
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。
来自 200.200.200.1 的回复: 无法访问目标网。

192.168.2.102 的 Ping 统计信息:
    数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，

C:\Users\Satan>ping www.baidu.com

正在 Ping www.a.shifen.com [xxx.xxx.xxx.xxx] 具有 32 字节的数据:
来自 xxx.xxx.xxx.xxx 的回复: 字节=32 时间=13ms TTL=52
来自 xxx.xxx.xxx.xxx 的回复: 字节=32 时间=13ms TTL=52
来自 xxx.xxx.xxx.xxx 的回复: 字节=32 时间=14ms TTL=52
来自 xxx.xxx.xxx.xxx 的回复: 字节=32 时间=14ms TTL=52

guest段无法ping通192.168.2.x 192.168.1.x段地址，但可以上外网。大成功！

6.默认flexconnect组不支持802.11r
这个在这篇文章《二手cisco ap wifi5 家庭布网测试，vwlc8.5设置802.11r注意事项 》中提到了，解决办法是新建flexconnect组，然后把ap加进去。



性能测试

PS D:\Download\iperf-3.1.3-win64\iperf-3.1.3-win64> .\iperf3.exe -c 192.168.1.10
Connecting to host 192.168.1.10, port 5201
[  4] local 192.168.2.100 port 11981 connected to 192.168.1.10 port 5201
[ ID] Interval           Transfer     Bandwidth
[  4]   0.00-1.00   sec  28.5 MBytes   239 Mbits/sec
[  4]   1.00-2.00   sec  33.2 MBytes   279 Mbits/sec
[  4]   2.00-3.01   sec  30.9 MBytes   258 Mbits/sec
[  4]   3.01-4.00   sec  33.5 MBytes   282 Mbits/sec
[  4]   4.00-5.00   sec  35.2 MBytes   296 Mbits/sec
[  4]   5.00-6.00   sec  32.4 MBytes   271 Mbits/sec
[  4]   6.00-7.00   sec  33.1 MBytes   278 Mbits/sec
[  4]   7.00-8.00   sec  27.4 MBytes   229 Mbits/sec
[  4]   8.00-9.00   sec  31.2 MBytes   262 Mbits/sec
[  4]   9.00-10.00  sec  32.1 MBytes   270 Mbits/sec
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval           Transfer     Bandwidth
[  4]   0.00-10.00  sec   318 MBytes   266 Mbits/sec                  sender
[  4]   0.00-10.00  sec   318 MBytes   266 Mbits/sec                  receiver

emmmm，好垃！我不能接受.JPG！我他妈一顿操作猛如虎，整了半天才这！？

那么内网拷文件又如何？

还行嘛！此时dBm在-59左右。

移动笔记本靠近AP，dBm为-43，再次测试：

舒服了~ 众所周知wifi不是双全工，866Mbps只是理论协商速度实际有500Mbps不错了。测试能达到70MB/s我很满足了。
关键家里没有3x3天线的设备，这个速度够用。
后来在本坛查了下，貌似思科的AP用iperf3测速就是跑不满，调过vwlc的qos但是没用；反正内网拷贝达标了就不去管它了。

vwlc限速迷思
但是vwlc确实有限速的问题，坛里很多人都提到过，我花了点时间验证了下。
首先，这个说法是官方的7.5 deployment guide提到的：

Virtual Controller Release 7.5 Support
Throughput performance up to 500 Mbps per virtual controller

在后续版本的部署手册中没有特意提到这一点，就当一直存在这个限制。

但是我内网拷文件稳定70MB/s，跑到了这款2x2 AP的极限，这个限制对我并没有生效。在查过资料后我认为，是因为我开了flexconnect local switching模式的关系。此种模式下流量交换在AP和交换机中进行，数据流量并没有经过vwlc（控制和管理流量依旧经过）因此并没有被vwlc的背板吞吐量限制。默认local switching没开即为central switching模式，这种情况下流浪经过vwlc就要受到500Mbps的限速了。


验证猜测对不对很简单，开关local switching内网拷一次就知道了。测试下来确实如此，关闭local switching处于central switching模式下即使离ap很近拷贝速度也没超过60MB/s，打开后就跑到ap的上限70MB/s了。另外看esxi中vwlc的流量波动图也很明显：

关闭即central switching下总传输只有470Mbps


local switching下传输为0，因为流量没经过vwlc

因此，vwlc确实存在500Mbps的吞吐限制，但是你可以开启flexconnect的local switching规避。


覆盖范围
125平房子，在书房和客厅放了两个AP，除了厨房5Ghz两格外其他全覆盖。

无缝漫游实际体验
设备：oppo reno十倍变焦手机、小米pad5
测试软件：wifi魔盒、微信视频通话、bilibili直播

wifi魔盒测试结果：

手机切换时间在50ms~450ms都有，偶尔丢1个包，也有掉线问题，比较拉夸。
小米pad5切换时间一直在50ms左右，丢包和掉线几乎没碰到过。

微信视频：
手机、小米pad5都没有卡顿很流畅。

bilibili直播：
手机、小米pad5都没有卡顿很流畅。

测试总结：
漫游和覆盖体验都很满意。说明wifi魔盒测试结果并不代表实际体验。这吊东西不靠谱啊，有没有别的测试软件推荐？

有图有杰宝



黑色跳线请无视，后面换根白色跳线颜值就上去了。


总体体验

不如TP！



好吧说正经的。上思科主要是因为r630吃灰很久了，特么的好几千块钱呢得干点啥吧！正好拿来跑vwlc。还有就是去年买的思科C3560CG-8TC-S一直没用，这次正好派上用场。如果上其他家的那这些东西就一直用不到了，对我来说有点浪费。
性能嘛只能说跟其他民用产品没啥优势，配置起来又麻烦。如果不喜欢折腾，又没基础网络知识还是不推荐上思科商用设备。不过倒不是说思科不行，毕竟我比较抠选的很低端的1810系列咸鱼才400块一个，可能弄个稍微好点的1830或者2700系列性能会上去。
写这篇文章是因为之前坛里搜到不少有用的资料，写出来希望能帮到别人。还有不写不行啊，不然过一礼拜怎么配的全忘了。

后续改进：

1.目前发现连了书房的ap再跑到卧室的话ap不会连近点的客厅ap，要过3~5分钟才切。这个有没有朋友知道该调什么参数？还是说需要再买个AP丢卧室？

yoakam

降低书房ap功率试试但是我不知道你的在哪里调。我还在用unifi全家桶

imyz

这个真不错，动手能力超强的

lizihe

vwlc好像限速

Satan023

yoakam 发表于 2022-7-19 07:22
降低书房ap功率试试但是我不知道你的在哪里调。我还在用unifi全家桶

好的，晚上我试下，vwlc要调TPC参数。WLC2504何如调整AP信号的范围大小？

Satan023

lizihe 发表于 2022-7-19 08:47
vwlc好像限速

我测下来是ipef3限速，内网拷贝不限速。问下知道在哪调限速吗？

LikeWe

兄弟你这服务器这么防散热估计不太好吧

lizihe

Satan023 发表于 2022-7-19 08:53
我测下来是ipef3限速，内网拷贝不限速。问下知道在哪调限速吗？

调不了，锁死的
Throughput performance up to 500 Mbps per virtual controller

qsqusen

用IxChariot 软件打流测试 要准一些

Satan023

LikeWe 发表于 2022-7-19 08:55
兄弟你这服务器这么防散热估计不太好吧

确实不太行，弱电间在储藏室。如果把门关掉里面温度会达到33°，服务器CPU温度能到69，70的样子。现在是把储藏室门打开了点，温度能稍微降点。老哥有啥建议吗？

idboyang

这耗电有点大呀

Satan023

idboyang 发表于 2022-7-19 10:42
这耗电有点大呀

算过了，一年多出500~600电费。

LikeWe

Satan023 发表于 2022-7-19 10:23
确实不太行，弱电间在储藏室。如果把门关掉里面温度会达到33°，服务器CPU温度能到69，70的样子。现在是 ...

我最近也搞定了vwlc，不过还没搞vlan，服务器我买了1米深的机柜伺候着，用了v4的u温度低点，关键还是通风，我风扇10%也才40度

Satan023

LikeWe 发表于 2022-7-19 11:00
我最近也搞定了vwlc，不过还没搞vlan，服务器我买了1米深的机柜伺候着，用了v4的u温度低点，关键还是通风 ...

我服务器转速3000多RPM，你买的哪款机柜？

szcsk

家用搞三层网络？

lz2906190

家里有几百台设备联网？费电一点都不环保，老设备信号估计不如高通wifi6的。

Predator

Satan023 发表于 2022-7-19 10:23
确实不太行，弱电间在储藏室。如果把门关掉里面温度会达到33°，服务器CPU温度能到69，70的样子。现在是 ...

死不了

我家晚上关了空调后服务器进气温度36，风扇还降速了的

magiclu

2022年了 这个太没性价比了吧
我家里用的多个acrh17刷openwrt kvr漫游和vlan都有的 二手100元左右 不存在厨房没信号的问题 哪里没信号扔一个就是了
当然也是wifi5 你买2个400元的够我买8个了


1.目前发现连了书房的ap再跑到卧室的话ap不会连近点的客厅ap，要过3~5分钟才切。这个有没有朋友知道该调什么参数？还是说需要再买个AP丢卧室？
这个一般是手机等设备的问题 是手机操作想要连哪个的

Satan023

lizihe 发表于 2022-7-19 09:37
调不了，锁死的
Throughput performance up to 500 Mbps per virtual controller

查了下是7.5的deployment guide里面提到的，最新版8.10中的并没提到。如果AP是中央模式那么才会受限于这个参数吧。我ap flexconnect模式且开了本地交换，数据交换应该在交换机和ap间进行。感觉跟这个500Mbps的限速没关系。

Satan023

Predator 发表于 2022-7-19 12:11
死不了

我家晚上关了空调后服务器进气温度36，风扇还降速了的

对，服务器的设计应该不至于环境温度才40不到就寄了。

Satan023

magiclu 发表于 2022-7-19 12:21
2022年了 这个太没性价比了吧
我家里用的多个acrh17刷openwrt kvr漫游和vlan都有的 二手100元左右 不存在厨 ...

openwrt没搞过。这么弄的话单个acrh17做胖AP吗？不需要控制器了？

voiono

Satan023 发表于 2022-7-19 08:53
我测下来是ipef3限速，内网拷贝不限速。问下知道在哪调限速吗？

调不了限速，据思科工程师说限速500M,所以我用AP1830的EWLC+AP2702.

Satan023

voiono 发表于 2022-7-19 13:42
调不了限速，据思科工程师说限速500M,所以我用AP1830的EWLC+AP2702.

EWLC是指ME？

magiclu

Satan023 发表于 2022-7-19 13:15
openwrt没搞过。这么弄的话单个acrh17做胖AP吗？不需要控制器了？

不需要控制器的 和一般的路由器的mesh差不多 我都走的有线
不过这个路由器信号一般般 也就在500Mbps左右的速度 也有高端点的openwrt的设备买

mikrotik hapac^2，作路由器 这个也可以省掉的 openwrt也能同时拨号的

Satan023

magiclu 发表于 2022-7-19 14:51
不需要控制器的 和一般的路由器的mesh差不多 我都走的有线
不过这个路由器信号一般般 也就在500Mbps左右 ...

thx 听起来不错 很省钱~思科玩腻了可以考虑下

Satan023

lz2906190 发表于 2022-7-19 11:55
家里有几百台设备联网？费电一点都不环保，老设备信号估计不如高通wifi6的。 ...

没用过高通wifi6，以后wifi6普及了换个支持wifi的ap就行。

linxijun

刚刚退坑思科全家桶，当时是把4个思科3802e的ap在ubnt的交换机上来使用，另外两个WiFi 6的9130和9120其中9130 做管理ap，剩下的WiFi 5的3802和9120 做信号发射，我ubnt的交换机是24-500w，ubnt的vlan做好隔绝，poe供电自然也不是问题，但是用下来兼容性问题和断流甚至无法连接的概率比ubnt大太多了，不知道是9130的ewc问题还是设置问题，苹果设备连接一点问题没有，苹果以外设备连上思科的ap发出的信号不是这个就内个问题，而且功率始终没有ubnt的覆盖范围大，不知道是为啥，3802的ap都是外置天线型号的3802e，后面全部都出了。。。懒得折腾了，ubnt全家桶是目前ac+ap方案里面相对完善和稳定的了（就从安装到现在当下的最新固件来说）

Satan023

linxijun 发表于 2022-7-19 21:28
刚刚退坑思科全家桶，当时是把4个思科3802e的ap在ubnt的交换机上来使用，另外两个WiFi 6的9130和9120其中91 ...

好豪啊，家用这么高的型号 不过不尝试下硬件控制器或者vlwc吗？vwlc自带的最佳实践还是有点用的。

SSID和非苹果设备的兼容性问题我碰到过开。只要在SSID\Security\Fast Transition开adaptive其他设备就会连上去掉下来反复，这个快速漫游的adaptive是苹果独享的，所以要改成enbale就行了。。。

NamiKo320

建议买个2504，咸鱼150
思科最大的问题就是买的ap如果是-h就没法开启5.5g，所以等wifi6e或者7出来了把2802给换成华三或者华为的算了，至少调个国家代码可以把5.5g或者6g开启。

Satan023

NamiKo320 发表于 2022-7-19 21:51
建议买个2504，咸鱼150
思科最大的问题就是买的ap如果是-h就没法开启5.5g，所以等wifi6e或者7出来了把2802 ...

vwlc用着还行，就不上2504了。你说的-h是指大陆地区的思科AP是吧