云简平台无线AP大批量掉线

吧无线的管理和业务网关都放到交换机上就能解决

有ac 吗

ac上看下ap情况

AP 在云平台显示灰色离线，但终端能正常连接 WiFi、上网；本质：AP 本地无线转发正常，仅 AP 和云简平台之间的管理隧道断连，业务转发不受影响。
一、优先级 1：排查 AP 到云简平台的管理连通性（最高发批量掉线根因）
1. 出口防火墙 / AC / 核心拦截云简平台通信端口
云 AP 和云端通信必须放行出站 TCP 443、UDP 8002/8003、DNS 53；
批量掉线常见场景：
出口深信服 AC、F1000 防火墙开启应用控制 / 特征库，误识别云简云隧道为异常外联，批量阻断 AP 上报报文；
运营商宽带路由、企业核心 ACL 拦截 AP 访问公网云平台 IP；
出口做了会话老化超时过短，AP 长连接隧道被强制断开。
验证方式：
拿一台离线 AP，Console 登录执行 ping cloudnet.h3c.com、telnet cloudnet.h3c.com 443，不通 = 出口拦截。
2. 内网 DHCP / 网关问题，AP 无法续约地址、无回程路由
AP 重启 / 租期到期后拿到 IP，但缺少访问公网的默认路由：
POE 交换机 VLAN 地址池耗尽，AP 无法获取新 IP，隧道断连；
无线业务 VLAN 未下发默认网关，AP 只能内网转发，无法上云；
内网 DNS 解析故障，AP 解析不了云简域名，无法建立管理隧道。
3. 出口带宽拥塞 / 会话数超限
AP 每台维持一条云管理长隧道，几十上百台 AP 并发时：
出口防火墙 NAT 会话表打满，新 / 旧隧道被淘汰，批量 AP 离线；
宽带上下行带宽跑满，AP 上报心跳报文丢包，平台判定离线。
二、优先级 2：POE 供电 & 二层接入批量隐患（部分 AP 周期性离线）
POE 交换机功率过载
同 POE 堆叠下大量 UAP672 同时上电，总功率不足，AP 反复重启，云隧道频繁断连；WiFi 短暂恢复后继续本地转发，但平台标记离线。
接入环路、广播风暴
楼层交换机存在二层环路，大量广播报文挤占 AP 管理报文，AP 心跳上报丢包，平台离线，无线本地转发不受影响。
排查命令：交换机display stp brief看端口 Discarding、display ethernet statistics查看大量 CRC 错包。
网线 / 交换机端口协商异常
批量楼层 POE 交换机端口自动协商成 10M 半双工，报文延迟丢包，AP 心跳超时离线。
三、优先级 3：云平台 & AP 固件侧问题
AP 固件版本 bug（你当前 Release2126）
早期 2126 版本存在云保活心跳机制缺陷，高并发场景心跳报文漏发，平台误判离线；解决：云平台批量升级 AP 固件至官方稳定新版。
云简服务器区域波动
云简中国区服务器临时维护、节点故障，大量 AP 同步断连；可查看云简平台顶部系统公告，或同区域其他客户是否同步出现批量离线。
场所 / 组织授权超限
当前场所 AP 数量超出购买授权，平台主动断开多余 AP 的管理隧道，仅保留无线转发功能。
四、优先级 4：区分「真离线」和「平台误显示」
关键判断点：终端能连 WiFi 上网 = AP 本地工作正常，只是云管理隧道故障
若 AP 彻底断电：WiFi 信号消失，终端无法连接；
当前场景 WiFi 正常，说明 AP 供电、本地二层转发、无线射频全部正常，故障仅在AP ↔ 云简云端的管理通道。
五、分步落地排查操作（现场执行顺序）
步骤 1：出口设备放行云简通信（最优先）
在出口防火墙 / AC 放通目标域名*.cloudnet.h3c.com，放行 TCP443、UDP8002、DNS53 出站；
关闭应用控制里 “云平台 / 远程运维” 拦截规则，关闭深度报文检测对 HTTPS 隧道的限流；
扩大 NAT 会话表容量，延长 TCP 会话老化时间（建议 3600s 以上）。
步骤 2：内网 DHCP 与路由校验
确认无线 VLAN 地址池充足，无地址耗尽；
AP 业务 VLAN 下发正确默认网关、DNS（推荐 223.5.5.5）；
交换机查看 AP ARP 表，确认 AP 能正常访问公网网关。
步骤 3：接入层 POE 与二层环路排查
查看 POE 交换机总输出功率，减少同端口批量大功率 AP 同时接入；
检查 STP 无环路，清理交换机端口 CRC 错误；
强制 POE 端口千兆全双工，关闭自动节能降速。
步骤 4：云平台侧运维操作
查看场所授权数量，确认 AP 数量未超购；
批量升级 UAP672 固件，修复 2126 版本心跳泄漏 bug；
场所页面点击【场所移交 / 同步设备】强制重建立 AP 云隧道。
步骤 5、定位单台故障 AP 复现根因
挑一台长期离线 AP，Console 登录收集信息：
plaintext
# 查看云隧道连接状态
display cloud connection
# 查看AP网关、DNS
display ip interface brief
# 测试云端连通
ping cloudnet.h3c.com
ping 不通云端 → 内网 / 出口路由拦截问题；
ping 通但隧道断开 → 固件 bug、会话老化、云端服务器波动。
六、快速应急缓解方案
出口防火墙临时放开无线 VLAN 全部公网访问权限，验证是否为拦截导致批量离线；
云平台批量重启离线 AP，强制重新建立云管理隧道；
临时扩容出口 NAT 会话，延长 TCP 长连接老化时间；
夜间业务低峰批量升级 AP 固件，修复旧版心跳缺陷。