1场景一：NAC做出口

1.1场景典型拓扑示例

二层架构部署的需求相对比较简单，大概如下：

1. 物理架构上取消汇聚层，核心交换机直接下联接入交换机。
2. 逻辑结构上，区分管理端、用户段进行业务隔离。
3. 控制器串接做为出口；

 

1.2设备命名规范

• 设备必须有规范命名，推荐以设备安装位置命名，便于后期运维；

 

1.3IP规划表

• 提前规划现场设备IP地址，采用二层架构部署的网络相对简单，一般只需管理段、用户段皆可。

 

• 关键设备的IP地址以及登录方式记录成表，便于验收交付！

 

1.4整体配置思路

项目配置一定要有序进行，按照一定的顺序，遵循相关规范，捋清楚整体配置思路然后进行调试：

1. 接口配置：完成控制器的WAN口以及VLAN接口配置；
2. 路由配置：完成NAC路由配置；
3. DHCP配置：在NAC上配置下联设备DHCP服务；
4. NAT和DNS配置：在NAC上配置业务VLAN的NAT、DN；
5. 交换机激活：发现并激活交换机，激活过程中配置固定IP，配置管理VLAN、DNS；
6. 端口配置：将交换机端口划分对应VLAN，并且进行VLAN修剪；
7. 防环配置：交换机上配置端口防环功能；
8. 终端验证：此时终端连接交换机能够获取IP，且能访问外网；
9. 质量工具巡检：使用质量巡检工具进行巡检；

 

1.5配置指导

前提条件：按照拓扑完成设备间物理连接，设备加电开机，然后使用电脑进行调试；

1.5.1设备初识

Console口：不可作为设备配置口使用，仅支持在设备故障时调试
USB口：控制器忘记登陆密码时恢复密码使用

管理口/MANAGE口：设备管理接口，作为设备配置接口使用，默认地址为10.252.252.252

业务数据口/ETH口：支持配置二层三层接口模式，作为业务数据转发接口使用

1.5.2设备登录

1. 电脑直连NAC的MANAGE口，改电脑IP地址为10.252.252.10，掩码255.255.255.0。

2. 打开浏览器（推荐Chrome、Edge浏览器），访问https://10.252.252.252，初始账号、密码都是admin。

1.5.3NAC设备配置

1．按照拓扑相连之后，登录控制器，在【系统管理】→【网络管理】→【接口管理】→【物理接口】内新增三层端口，IP地址配置为192.68.1.2/24;

2．在【网络配置】→【静态路由】中配置NAC到其网关（即出口设备光猫）的路由；

3．在【系统管理】→【网络管理】→【接口管理】→【VLAN接口】新增VLAN 10，作为与核心交换机相连的管理段地址，配置IP：10.10.1.2/24,并启用DHCP服务，此时没有DHCP服务，根据提示往后点击新增，来到选择DHCP 地址池页面；

4．在上述页面点击新增，添加新的地址池，配置地址池网关（与VLAN接口地址一致10.10.1.1），配置DNS和地址池范围，配好之后点击提交，完成配置；

TIPS：因为是管理端地址，根据管理设备数量，在地址分配范围保留一定数量用于交换机IP地址固定；

5．按照上述步骤，配置VLAN20 业务端，操作方法一致，此处不再赘述；

6．配置好DHCP之后，为业务端配置NAT，在【系统管理】→【网络配置】→【地址转换】中点击新增原地址转换，添加一条NAT，源地址为VLAN 10和VLAN 20，出接口为配置172.168.1.1的三层口。其余保持默认，点击提交；

7．配置好NAT之后，点击DNS，配置NAC的DNS。

8．将NAC与安视交换机直连的ETH口改为二层接口，Native VLAN为10，允许VLAN 10、20通过端口。

• 互联的端口必须修剪VLAN，禁止默认所有VLAN通过！！！

1.5.4交换机激活

1．在【交换机管理】→【发现新交换机】中看到发现的交换机列表，核实交换机版本，是否与控制器版本匹配，为SW 3.3版本（匹配NAC 3.10.0版本）；

• 若NAC为其他版本，则参考交换机与NAC对应版本表格，使用对应的最新版本；

2．在【交换机管理】→【发现新交换机】中选中发现的安视交换机，配置“发现网关IP”为10.10.1.1，配置管理VLAN 为IPV4 ，选择手动配置，并按照拓扑规划手动配置IP为10.10.1.2，掩码为255.255.255.0，网关为10.10.1.1；

• 交换机IP必须使用固定IP配置！！！

• 按照规范对交换机进行命名！！！

• 必须填写发现控制器IP！！！

3．同时，配置管理VLAN为VLAN 10，并配置NAC与安视核心交换机之间的互联端口、安视核心交换机与安视接入交换机之间的端口为Trunk,PVID 为VLAN 10，允许VLAN 10、VLAN20通过，然后提交激活。

• 激活时需要先配置与NAC互联口、与下联交换机互联口属性信息，避免不必要问题；

• 互联的端口必须修剪VLAN，禁止默认所有VLAN通过！！！

• 按照上述步骤，根据地址规划依次激活安视接入交换机；

1.5.5交换机业务端口配置

1．交换机的互联端口，在激活是由于涉及以及配置了，接下来对交换机下联端口进行配置，进首先配置安视核心交换机，按照下图方式选择需要配置的端口，进行配置（按照我们拓扑和网络IP规划，上联到出口的端口，配置为trunk口，Native VLAN 1，VLAN 成员为1,10,20）：

2．按照方法，根据拓扑逐步往下层配置接入层交换机端口，配置方式与上述一致，不再赘述；

• 用于接入有线终端的接入交换机，根据接入终端的业务规划，将端口划为对应的Access口，Native VLAN为VLAN 20。

• 用于接入AP的POE交换机，划为Trunk口，Native VLAN依然为管理地址段 VLAN 10，VLAN成员为VLAN10 ，VLAN 20（管理段和用户段）

• 交换机端口的VLAN配置过程中，必须对VLAN进行修剪，严禁默认允许所有 VLAN通过；

至此，完成交换机组网

1.5.6防环配置

1．在【交换机管理】→【纺环路配置】→【环路检测】中配置交换机端口防环；

2．推荐配置“换路处理动作”为阻塞端口，端口根据接口使用情况进行选择，其他保持默认；

• 选择的端口应当排除设备间的互联端口！

1.6交付效果验证

1.6.1 终端测试

1．使用电脑接入交换机端口，观察电脑：

• 是否正常获取IP地址；

• 是否正常访问网关、互联网；

• 是否网络测速正常无卡顿；

若由上述问题，检查配置步骤是否遗漏或错误。

 

2．打开测速网站：https://www.speedtest.cn/，进行测速：

1.6.2实施质量工具检测

1．点击链接http://achk.sundray.com.cn/version 进行巡检工具下载（当前仅有内网环境可以下载，若无法访问请联系办事处工程师获取），为了保证巡检结果准确，请务必使用最新版本客户端及最新版本的规则库。

2．点击巡检工具客户端打开巡检工具，确认当前客户端和规则库为最新，输入控制器IP密码进行设备连接（使用工具连接前需要先打开控制器ssh接口，请到设备【系统管理】-【故障排除】-【调试选项】-【sshd】勾选ssh开关）

 

3．通过企业微信-【信锐设备登录】扫码允许工具进入后台（若无企业微信权限可联系办事处工程师协助扫码，后续巡检工具会取消扫码限制）

4．点击启动巡检按钮，等待工具完成设备自动巡检

5．巡检结束后点击巡检报告查看对应巡检分数，结合实际交付情况完成扣分项的修复并再次巡检确认

 

2场景二：NAC旁挂

2.1网络拓扑

二层架构部署的需求相对比较简单，大概如下：

1. 物理架构上取消汇聚层，核心交换机直接下联接入交换机。
2. 逻辑结构上，区分管理端、用户段进行业务隔离。
3. NAC旁挂在核心交换机。

 

2.2设备命名规范

• 设备必须有规范命名，推荐以设备安装位置命名，便于后期运维；

 

2.3IP规划表

• 提前规划现场设备IP地址，采用二层架构部署的网络相对简单，一般只需管理段、用户段皆可。

 

• 关键设备的IP地址以及登录方式记录成表，便于验收交付！

 

2.4配置思路

项目配置一定要有序进行，按照一定的顺序，遵循相关规范，捋清楚整体配置思路然后进行调试：

1. 接口配置：完成控制器的WAN口以及VLAN接口配置；
2. 路由配置：完成NAC路由配置；
3. 交换机激活：发现并激活交换机，激活过程中配置固定IP，配置管理VLAN、DNS；
4. VLAN配置：激活后的交换机上配置VLAN以及对应的DHCP；
5. 端口配置：将交换机端口划分对应VLAN，并且进行VLAN修剪；
6. 终端验证：此时终端连接交换机能够获取IP，且能访问外网；
7. 质量工具巡检：使用质量巡检工具进行巡检（即将上线）；

 

2.5配置指导

前提条件：按照拓扑完成设备间物理连接，设备加电开机，然后使用电脑进行调试；

2.5.1设备初识

Console口：不可作为设备配置口使用，仅支持在设备故障时调试
USB口：控制器忘记登陆密码时恢复密码使用

管理口/MANAGE口：设备管理接口，作为设备配置接口使用，默认地址为10.252.252.252

业务数据口/ETH口：支持配置二层三层接口模式，作为业务数据转发接口使用

2.5.2设备登录

1. 电脑直连NAC的MANAGE口，改电脑IP地址为10.252.252.10，掩码255.255.255.0。

2. 打开浏览器（推荐Chrome、Edge浏览器），访问https://10.252.252.252，初始账号、密码都是admin。

2.5.3NAC设备配置

1．按照拓扑相连之后，登录控制器，在【系统管理】→【网络管理】→【接口管理】→【VLAN接口】内新增VLAN 10，作为与核心交换机相连的管理段地址，配置IP：10.10.1.2/24；

2．配置好地址后，将NAC与安视交换机直连的ETH口改为二层接口，Native VLAN为10，允许VLAN 10、20通过端口。

• 互联的端口必须修剪VLAN，禁止默认所有VLAN通过！！！

3．在【网络配置】→【静态路由】中配置NAC到其网关（即核心交换机的路由）；

2.5.4交换机激活

1．在【交换机管理】→【发现新交换机】中看到发现的交换机列表，核实交换机版本，是否与控制器版本匹配，为SW 3.3版本（匹配NAC 3.10.0版本）；

• 若NAC为其他版本，则参考交换机与NAC对应版本表格，使用对应的最新版本；

2．在【交换机管理】→【发现新交换机】中选中发现的安视交换机，配置“发现网关IP”为10.10.1.2，配置管理VLAN 为IPV4 ，选择手动配置，并按照拓扑规划手动配置IP为10.10.1.1，掩码为255.255.255.0，网关为10.10.1.1；

• 交换机IP必须使用固定IP配置！！！

• 按照规范对交换机进行命名！！！

• 必须填写发现控制器IP！！！

 

3．同时，配置管理VLAN为VLAN 10，并配置NAC与安视核心交换机之间的互联端口、安视核心交换机与安视接入交换机之间的端口为Trunk,PVID 为VLAN 10，允许VLAN 10、VLAN20通过，然后提交激活。

• 激活时需要先配置与NAC互联口、与下联交换机互联口属性信息，避免不必要问题；

• 互联的端口必须修剪VLAN，禁止默认所有VLAN通过！！！

• 按照上述步骤，根据地址规划依次激活安视接入交换机；

2.5.5DHCP地址池配置

1．在交换机列表选择安视核心交换机，点击VLAN配置里面的【服务策略】，配置VLAN 10、VLAN 20的DHCP（管理地址段如果不配DHCP也可以，设备选择手动填写IP地址），如下图，推荐起始IP保留一部分，一是因为NAC就用了一个需要保留的地址，二是为以后旁挂其他服务器预留，配制好之后点击提交；

2．交换机配置好DHCP之后，在交换机列表里选中该交换机，再按照规划配置VLAN 1的地址IP：172.168.1.2/24，实现与上层设备互联（配置VLAN 1的前提是出口已经规划好了此地址段，且为下层网段写好回指路由，目的地址10.10.1.0/24和10.10.2.0/24的下一跳为 172.168.1.2/24）并为该IP配置静态路由指向上层设备：

2.5.6交换机端口配置

1．交换机的互联端口，在激活是由于涉及以及配置了，接下来对交换机下联端口进行配置，进首先配置安视核心交换机，按照下图方式选择需要配置的端口，进行配置（按照我们拓扑和网络IP规划，上联到出口的端口，配置为trunk口，Native VLAN 1，VLAN 成员为1,10,20）：

2．按照方法，根据拓扑逐步往下层配置接入层交换机端口，配置方式与上述一致，不再赘述；

• 用于接入有线终端的接入交换机，根据接入终端的业务规划，将端口划为对应的Access口，Native VLAN为VLAN 20。

• 用于接入AP的POE交换机，划为Trunk口，Native VLAN依然为管理地址段 VLAN 10，VLAN成员为VLAN10 ，VLAN 20（管理段和用户段）

• 交换机端口的VLAN配置过程中，必须对VLAN进行修剪，严禁默认允许所有 VLAN通过；

至此，完成交换机组网

2.5.7防环配置

1．在【交换机管理】→【纺环路配置】→【环路检测】中配置交换机端口防环；

2．推荐配置“换路处理动作”为阻塞端口，端口根据接口使用情况进行选择，其他保持默认；

• 选择的端口应当排除设备间的互联端口！

 

 

2.6交付效果验证

2.6.1 终端测试

1．使用电脑接入交换机端口，观察电脑：

• 是否正常获取IP地址；

• 是否正常访问网关、互联网；

• 是否网络测速正常无卡顿；

若由上述问题，检查配置步骤是否遗漏或错误。

 

2．打开测速网站：https://www.speedtest.cn/，进行测速：

2.6.2实施质量工具检测

1．点击链接http://achk.sundray.com.cn/version 进行巡检工具下载（当前仅有内网环境可以下载，若无法访问请联系办事处工程师获取），为了保证巡检结果准确，请务必使用最新版本客户端及最新版本的规则库。

2．点击巡检工具客户端打开巡检工具，确认当前客户端和规则库为最新，输入控制器IP密码进行设备连接（使用工具连接前需要先打开控制器ssh接口，请到设备【系统管理】-【故障排除】-【调试选项】-【sshd】勾选ssh开关）

。

3．通过企业微信-【信锐设备登录】扫码允许工具进入后台（若无企业微信权限可联系办事处工程师协助扫码，后续巡检工具会取消扫码限制）

4．点击启动巡检按钮，等待工具完成设备自动巡检

5．巡检结束后点击巡检报告查看对应巡检分数，结合实际交付情况完成扣分项的修复并再次巡检确认

 

 

 

 

3场景三：胖模式交换机独立使用

3.1网络拓扑

二层架构部署的需求相对比较简单，大概如下：

1. 物理架构上取消汇聚层，核心交换机直接下联接入交换机。
2. 逻辑结构上，区分管理端、用户段进行业务隔离。

 

3.2设备命名规范

• 设备必须有规范命名，推荐以设备安装位置命名，便于后期运维；

 

3.3IP规划表

• 提前规划现场设备IP地址，采用二层架构部署的网络相对简单，一般只需管理段、用户段皆可。

 

• 关键设备的IP地址以及登录方式记录成表，便于验收交付！

 

3.4配置思路

项目配置一定要有序进行，按照一定的顺序，遵循相关规范，捋清楚整体配置思路然后进行调试：

1. 接口配置：为交换机配置VLAN 1,IP为172.168.1.2，与上层出口光猫互联。；
2. 路由配置：配置交换机到上层设备的静态路由（同时光猫需要写回指路由）；
3. DHCP配置：管理VLAN、用户VLAN和对应的DHCP以及DNS；
4. 端口配置：将交换机端口划分对应VLAN，并且进行VLAN修剪；
5. 防环配置：配置交换机端口防环；
6. 终端验证：此时终端连接交换机能够获取IP，且能访问外网；
7. 质量工具巡检：使用质量巡检工具进行巡检（即将上线）；

 

3.5配置指导

前提条件：按照拓扑完成设备间物理连接，设备加电开机，然后使用电脑进行调试；

3.5.1设备初识

Console口：不可作为设备配置口使用，仅支持在设备故障时调试

管理口/MGMT口：设备管理接口，作为设备配置接口使用，默认地址为192.168.0.1（部分交换机没有MGMT口，则使用业务端口进入，IP为192.168.1.10）

业务端口：支持配置二层接口模式，作为业务数据转发接口使用；

3.5.2设备登录

1. 电脑直连安视交换机的MGMT口，改电脑IP地址为192.168.0.2，掩码255.255.255.0。

2. 打开浏览器（推荐Chrome、Edge浏览器），访问https://192.168.0.1，初始账号、密码都是admin。

• 登录后检查交换机版本是否为最新版本，否则将其升级至最新版本；

3.5.3上联端口配置

1．按照拓扑相连之后，首先登录作为核心的安视交换机，在【通信配置】→【VLAN接口】里面新增VLAN 1，IP为172.168.1.2/24（文档假定是与光猫互联，实际项目还需确认上层设备的端口配置情况）；

3.5.4路由配置

1．配置好地址后，在【路由管理】→【静态路由】为安视交换机配置路由，指向上层设备。（上层设备需要写针对后面设定业务VLAN的回指路由）

• 互联的端口必须修剪VLAN，禁止默认所有VLAN通过！！！

3.5.5VLAN+DHCP配置

1．在【通信配置】→【DHCP服务】中新增服务策略，并新增地址池；

2．【通信配置】→【VLAN接口】里面新增VLAN 10作为设备使用的管理地址段，并启用DHCP服务，挂载步骤3里面启用的DHCP；

3．按照步骤3、4，新增业务段VLAN 20，操作步骤一致，此处不再赘述。

3.5.6端口配置

1．在【端口管理】→【列表】中，对业务端口进行配置，因为本台交换机作为核心，那么默认向下连接接入交换机，配置如下：

• 用于接入其他交换机终端的接口，划为Trunk口，Native VLAN依然为管理地址段 VLAN 10，VLAN成员为VLAN10 ，VLAN 20（管理段和用户段）

• 交换机端口的VLAN配置过程中，必须对VLAN进行修剪，严禁默认允许所有 VLAN通过；

3.5.7系统配置

1．在【系统管理】→【系统配置】→【系统选项】和【日期时间】里面，按照规范修改交换机的名称和同步交换机系统时间。

3.5.8防环配置

1．然后在【以太网管理】→【纺环路配置】中的【环路检测】新增环路检测策略，端口选择非设备互联口，其余保持默认；

至此，作为核心的安视交换机已经配置完成。

2．下来配置其他接入交换机，按照上述步骤，配置接入交换机的IP、VLAN接口（无DHCP）、端口配置、系统时间、环路检测，配置方法一致，不再赘述。

• 用于接入有线终端的接入交换机，根据接入终端的业务规划，将端口划为对应的Access口，Native VLAN为VLAN 20。

• 用于接入AP的POE交换机，划为Trunk口，Native VLAN依然为管理地址段 VLAN 10，VLAN成员为VLAN10 ，VLAN 20（管理段和用户段）

• 交换机端口的VLAN配置过程中，必须对VLAN进行修剪，严禁默认允许所有 VLAN通过；

 

3.6交付效果验证

3.6.1 终端测试

1．使用电脑接入交换机端口，观察电脑：

• 是否正常获取IP地址；

• 是否正常访问网关、互联网；

• 是否网络测速正常无卡顿；

若由上述问题，检查配置步骤是否遗漏或错误。

 

2．打开测速网站：https://www.speedtest.cn/，进行测速：

3.6.2实施质量工具检测

1．点击链接http://achk.sundray.com.cn/version 进行巡检工具下载（当前仅有内网环境可以下载，若无法访问请联系办事处工程师获取），为了保证巡检结果准确，请务必使用最新版本客户端及最新版本的规则库。

2．点击巡检工具客户端打开巡检工具，确认当前客户端和规则库为最新，输入控制器IP密码进行设备连接（使用工具连接前需要先打开控制器ssh接口，请到设备【系统管理】-【故障排除】-【调试选项】-【sshd】勾选ssh开关）

。

3．通过企业微信-【信锐设备登录】扫码允许工具进入后台（若无企业微信权限可联系办事处工程师协助扫码，后续巡检工具会取消扫码限制）

4．点击启动巡检按钮，等待工具完成设备自动巡检

5．巡检结束后点击巡检报告查看对应巡检分数，结合实际交付情况完成扣分项的修复并再次巡检确认

 

4交付常见问题

4.1NAC登陆不上怎么办？ 

4.1.1登录NAC是以https方式登录NAC的吗 

答：NAC需要以https方式登录，如果要从Manage口登录，默认地址是10.252.252.252, 登录方式为： NAC https://10.252.252.255，登录PC需要提前配置同网段地址（比如地址10.252.252.251/24）

4.1.2可以ping通NAC设备吗？

4.1.2.1能，可以ping通设备

（1）请用不同的浏览器打开NAC的WEB控制台尝试，比如Chrome浏览器

（2）设备默认的监听端口443，有修改过吗？如有修改过，请用修改过的端口。

（3）如果是从公网登录设备的，请从内网登录尝试，这样可以排除端口映射错误，以及公网链路封堵端口的情况；

（4）从Manage口登录尝试了吗？从Manage口登录，可以排除IP冲突、网络端口封堵等原因

（5）SUNDRAY UPDATE升级客户端可以登录设备吗？如果可以，还是无法登录NAC，尝试登录设备后台（串口/SSH）

（6）可以登录设备后台，可以联系总部产品专家/研发协助排查。

4.1.2.2不能，无法ping通设备

从NAC任何一个接口，都可以登录NAC，但需要确保登录主机能正常ping通设备，请确保主机到WAC路由可达；如果不确定是否路由可达，需要从Manage口登录设备；

从所有接口均无法登录，则需要尝试接串口登录控制器后台，若控制器后台可以登录，则联系信锐工程师定位问题原因。

若串口登录也无输出，尝试重启控制器，若重启后正常，联系信锐工程师协助追溯问题原因，若重启后串口依旧无法登录，则需要返修控制器。

4.1.3NAC设备告警Alarm灯长亮吗？

答：是，需关机10分钟，再开机保持2小时以上观察，可能在开机磁盘自检，需要耐心等待；在开机2小时过程中不能中途断电；如果未恢复，请联系总部产品专家/研发协助排查。

4.1.4NAC登录密码忘记了吗？

答：如果是加入集中管理的设备，或非admin用户，请联系上级管理员修改密码；如果不是，需要通过U盘方式回复；建立一个reset-password.txt空文件，放在U盘根分区，插入NAC的USB口，重启NAC，即可恢复NAC的用户名和密码；（注意：这里U盘需要FAT32格式，且为可启动的主分区）

 

 

4.2AP或交换机在控制器上发现不了怎么办？

4.2.1AP是否亮灯，网口是正常亮起？

答：检测AP的供电是否正常，观察网口灯是否正常亮起，POWER灯是否正常，POE供电网线是否线序错乱或缺失

4.2.2是首次激活AP吗？

答： NAC上《序列号》中AP的授权个数为0时，AP无法发现，实施设备需要联系相关市场同事申请授权，测试设备可以联系400售后开授权；AP默认没有IP地址，首次使用，内网需要有DHCP服务，如果无DHCP服务器，需要在二层环境下用AP诊断工具给AP配置地址，但需要留意AP诊断工具的配置是临时生效的，AP断电会失效。

4.2.3采用的是哪一种AP和WAC发现方式？

4.2.3.1２层环境自动发现

答：AP与NAC同2层网络环境中，采用2层广播的方式发现，但由于交换机VLAN配置不当，配置了错误的vlan或trunk，导致AP与NAC不在同一个广播域

4.2.3.2DHCP-Option43

答：多数交换机配置DHCP服务器时都支持添加DHCP-option43，需求确保添加的DHCP-option43字段编码格式正确；

4.2.3.3AP诊断工具

答：可以NAC的【系统管理】-【故障排除】-【调试选项】-【设备故障分析】页面下载AP诊断工具，安装在PC上，PC与AP同属一个二层环境下使用，给AP配置和修改IP地址、配置控制器IP。此时AP诊断工具与AP采用2层协议通讯，不需要IP也是可以正常操作发现和操作的，且可以在AP诊断工具上执行ping命令以及端口测试工具。使用AP诊断工具时，需要注意下面事项：

a)PC需要提前安装winpcap，或者wireshark

b)PC电脑不要开启防火墙，尤其是小红伞等工具，否则诊断工具无法发现AP

c)PC要与AP在同一个2层环境下（同一个VLAN），没有IP地址也正常使用。

d)修改AP配置需要输入的密码， 默认为admin （2.4以上版本AP发货时， 由于复杂度要求，默认密码为beyondos1）如果AP激活过，需要采用与WAC控制台相同的密码才能配置

e)该工具目前只能临时修改生效，AP重启后失效；需要在控制台上修改配置才能永久生效

 

4.2.4AP到NAC中间的路由与端口是否正常通畅？

答：AP到NAC需要路由可达，AP能ping通NAC，AP到NAC的7077端口需要能正常通，比如：

a）AP接在了10M的交换机与集线器上，而AP不支持10M的速率设备，无法协商获取地址

b)当AP获取到了非法私接DHCP服务器分配的IP地址，AP不能与NAC通讯，

c)AP到NAC之间的UDP7777被网络中的防火墙拦截了，或端口映射不通;

d)AP非首次激活，已经被写入了其他不可用网段地址次激活时，或错误的网关地址或控制器地址；

 

4.3AP或交换机激活后不在线，怎么处理？

4.3.1检查基本的网络配置是否正确

答：给AP配置了固定IP和网关，都需要确保正确，AP与NAC能正常通讯。

4.3.2是否有配置AP组的控制器

答：AP激活时，给单独AP写入了NAC控制器地址，但是AP的控制器IP地址与AP所在组的主控制器不匹配，导致AP一直在寻找AP组中的主控制器。给AP写的控制器地址要和AP组的控制器地址一致。

 

4.3.3AP的版本是否与控制器一致

答：激活AP的时候，可以查看AP的版本，当AP与NAC版本不匹配，AP激活后，AP会自动升级或降级到与NAC相匹配版本的版本的。如果AP到NAC的TCP800端口不通，AP一直无法成功的从NAC上下载升级包，因此无法在线。网速慢，AP从NAC上下载升级包时，通过公网，或网络出口有流控限制时，AP升级包下载会很慢，导致AP一直无法成功升级在线，可以联系400售后排查