云集群中nap-ip如何设置

正常配置就好 

WX 云集群（wlan cloud-cluster）双 AC 802.1X 场景 nas-ip 完整配置方案
一、核心关键原理
云集群特性：业务配置自动双向同步，两台 AC 的 radius scheme 配置会完全一致；
NAS-IP 有两层作用：
RADIUS 报文头部源 IP（设备发 RADIUS 包的出接口 IP）；
RADIUS 属性NAS-IP-Address（发给 iMC/EIA 用于识别接入设备、绑定策略）；
云集群双 AC 不能简单写同一个 nas-ip，分两种标准方案适配你的 802.1X 无线认证场景。
二、方案 1：Loopback 虚拟 IP 统一 NAS-ID（推荐，iMC 侧只识别一台 NAS）
适用场景
iMC EIA 只录入 1 台 NAS 设备、需要主备 AC 切换后认证日志 / 策略不失效、统一计费归属。
实现逻辑
两台 AC 各自创建 Loopback 接口，配置完全相同的虚拟 IP（集群统一 NAS 标识）；
radius scheme 内nas-ip填写 Loopback 虚拟 IP；
配置静态路由，保证两台 AC 都能通过 Loopback IP 和 RADIUS 服务器互通；
RADIUS 报文头部源 IP 使用本地物理接口 IP，NAS-IP-Address属性统一为 Loopback 虚拟 IP，iMC 只需要添加这一个 Loopback IP 作为 NAS。
完整配置（两台 AC 同步后自动一致）
plaintext
system-view
# 1. 创建环回口，统一NAS标识（两台AC配置完全相同）
interface LoopBack 0
ip address 10.129.1.254 255.255.255.255

# 2. 静态路由保证Loopback可达RADIUS服务器
ip route-static 223.5.5.5 0 上联三层网关IP
ip route-static 192.168.10.100 0 上联三层网关IP

# 3. RADIUS方案绑定统一Loopback NAS-IP
radius scheme imc-radius
primary authentication 192.168.10.100 1812
primary accounting 192.168.10.100 1813
key simple H3c@1234
nas-ip 10.129.1.254 # 统一Loopback虚拟IP
user-name-format without-domain

# 4. 认证域绑定RADIUS
domain dot1x-wlan
authentication eap radius-scheme imc-radius
authorization eap radius-scheme imc-radius
accounting eap radius-scheme imc-radius

# 无线服务模板802.1X
wlan service-template staff
ssid Staff-WiFi
dot1x authentication method eap
portal domain dot1x-wlan

效果
主 AC 上线：RADIUS 属性 NAS-IP=10.129.1.254；
备 AC 切换为主后：RADIUS 属性依旧是 10.129.1.254；
iMC 只需要添加一条 NAS 设备（10.129.1.254），主备切换无策略失效、日志断档。
三、方案 2：双独立 NAS-IP（iMC 录入两台 AC 分别作为 NAS）
适用场景
需要区分流量来自主墙 / 备墙、分别统计两台 AC 在线用户、两套独立 NAS 策略。
核心矛盾：云集群配置同步会覆盖对方 nas-ip，如何隔离？
解决办法：使用wlan cloud-cluster exclude排除 RADIUS 方案同步
云集群默认全量同步配置，执行排除命令，让 radius scheme 不在集群间同步，两台 AC 可独立配置各自 nas-ip。
完整操作步骤
两台 AC 分别执行排除 RADIUS 同步（仅需一次）
plaintext
system-view
# 排除radius配置同步，分开独立配置nas-ip
wlan cloud-cluster exclude radius scheme

AC1（主）配置本机上联三层 IP 作为 nas-ip
plaintext
radius scheme imc-radius
nas-ip 10.129.24.4

AC2（备）配置本机上联三层 IP 作为 nas-ip
plaintext
radius scheme imc-radius
nas-ip 10.129.24.5

iMC 平台录入两台 NAS 设备：10.129.24.4、10.129.24.5，两套相同接入策略。
优缺点
优点：iMC 可区分主备 AC 的认证流量、单独统计；
缺点：iMC 需要录入两条 NAS，集群同步配置时需要手动维护两套 RADIUS 参数。
四、避坑关键要点（云集群特有）
1. 不推荐直接写物理接口 IP nas-ip 且不排除同步
两台 AC 上联 IP 不同，但集群同步会互相覆盖 nas-ip，出现：
主 AC 同步备机 nas-ip，RADIUS 报文源 IP 与 NAS-IP 属性不匹配；
iMC 校验 NAS 客户端 IP 不匹配，802.1X 认证直接拒绝。
2. Loopback 方案无需排除集群同步
Loopback 配置两台完全一致，集群同步不会冲突，是云集群 802.1X 最优方案。
3. CAPWAP 集中转发必须保证 Loopback 路由可达
AP 集中转发，AC 需要用 Loopback IP 封装 RADIUS 报文，上联路由必须放通 Loopback 网段到 RADIUS 服务器，否则报文无法发出。
4. iMC NAS 客户端放行规则
防火墙 / 核心交换机放行两台 AC 上联 IP、Loopback IP 访问 RADIUS 1812/1813 端口。
五、验证命令
plaintext
# 查看RADIUS方案nas-ip是否生效
display radius scheme imc-radius

# 查看云集群排除同步列表
display wlan cloud-cluster exclude

# 抓包查看RADIUS NAS-IP属性
debugging radius packet
terminal monitor

六、最简落地建议
绝大多数企业 802.1X 场景：方案 1 Loopback 统一 NAS-IP，无需拆分集群同步、iMC 仅单条 NAS 配置，切换无故障；
需要区分主备 AC 流量、独立统计：方案 2，先执行wlan cloud-cluster exclude radius scheme，再分别配置各自 nas-ip；
禁止两台 AC 不做排除、直接写不同物理 IP nas-ip，集群同步会互相覆盖导致认证失败。

在云集群中配置 802.1X 认证的 nas-ip，关键在于让主备两台 AC 被 RADIUS 服务器识别为同一个逻辑设备，这样才能保证认证在主备切换时依然稳定。

根据你的集群部署方式，主要有下面两种标准配置方案。

方案一：使用 Loopback 虚拟 IP 统一 NAS-IP（推荐）

这个方案是在两台 AC 上创建配置完全相同的 Loopback 接口，并将其 IP 地址设置为 nas-ip。这样，RADIUS 服务器只需要添加这一个 Loopback IP 作为接入设备即可。

配置步骤（两台 AC 配置完全一致）：

1. 创建 Loopback 接口并配置统一 IP：

   text

   system-view interface LoopBack 0 ip address 10.129.1.254 255.255.255.255 # 替换为你规划的虚拟IP quit

2. 配置静态路由：
   确保两台 AC 都能通过这个 Loopback IP 与 RADIUS 服务器互通。

   text

   ip route-static 192.168.10.100 255.255.255.255 上联三层网关IP # 192.168.10.100是RADIUS服务器IP

3. 在 RADIUS 方案中指定 NAS-IP：

   text

   radius scheme imc-radius primary authentication 192.168.10.100 1812 primary accounting 192.168.10.100 1813 key simple H3c@1234 nas-ip 10.129.1.254 # 绑定Loopback虚拟IP user-name-format without-domain

方案二：使用集群虚拟 IP (Cluster Virtual-IP)

如果云集群本身配置了虚拟 IP（cluster virtual-ip），也可以直接将其设置为 nas-ip。

配置前提：

• 确认云集群已配置虚拟 IP。

配置示例：