攻击排查

 可能原因分析

1. 中间设备拦截CAPWAP报文 

   现象：AP发送CAPWAP发现请求，但AC未收到。 

   案例参考： 

     某案例中，S5560EI交换机开启融合AC功能后，终结了CAPWAP报文，导致常规AC无法接收AP请求。 

   解决方案： 

     检查超融合交换机是否启用类似“融合AC”功能，关闭该功能或升级交换机固件至最新版本（如案例中的S5560EI升级后解决）。 

     在交换机上抓包确认CAPWAP报文是否透传到AC。

2. ARP反攻击或黑名单配置 

   现象：合法MAC被误拦截。 

   配置检查： 

     在AC或交换机执行 display current-configuration | include arp anti-attack，确认是否启用arp anti-attack valid-check enable。 

     检查静态黑名单：display wlan static-blacklist，确保AP的MAC未被误加入。 

   解决方案： 

     若启用ARP源MAC检查，临时关闭验证：undo arp anti-attack valid-check enable。 

     若存在误拦截MAC，从黑名单中移除：undo static-blacklist mac-address xxxx-xxxx-xxxx。

3. 版本兼容性或进程异常 

   现象：AP与AC版本不匹配或进程异常。 

   案例参考： 

     S5560X融合AC若先堆叠后安装无线特性包，可能导致AP注册异常。 

   解决方案： 

     确认AC版本支持当前AP型号（如检查display wlan ap-model）。 

     若AC为融合设备（如S5560X），确保先安装无线特性包再堆叠，必要时重启AC。

4. VLAN或链路配置错误 

   现象：AP获取IP但无法通信。 

   排查步骤： 

     在AP本地Ping AC的IP，确认连通性。 

     检查交换机VLAN配置，确保AP所在VLAN与AC互通。 

     本地转发时，确认AP的VLAN配置与业务VLAN一致，且未启用用户隔离。

5. 虚拟化环境策略限制 

   现象：超融合虚拟交换机拦截流量。 

   解决方案： 

     检查虚拟交换机的安全组策略，放行CAPWAP端口（UDP 5246/5247）。 

     确认虚拟交换机未启用MAC地址过滤或绑定。

 操作建议

1. 分段排查网络路径 

   将AP直连AC测试，若成功上线，则问题在中间设备（如交换机或超融合环境）。 

   在超融合交换机和AC上抓包，分析CAPWAP报文是否透传。

2. 日志与调试信息收集 

   在AC执行： 

     display wlan ap all

     display logbuffer

     debug wlan capwap packet

   在AP侧（如支持本地登录）检查： 

     display capwap configuration

     display capwp client

3. 版本与配置验证 

   确认AC和AP版本匹配，参考案例升级至推荐版本。 

   检查AC的DHCP配置，确保Option 43正确指向AC IP（适用于三层注册）。

 总结

问题可能集中在中间设备（如超融合交换机）拦截CAPWAP报文或版本兼容性导致。建议优先排查交换机配置及虚拟化环境策略，并验证AC与AP版本匹配性。若仍无法解决，建议联系400技术支持，提供AC/AP日志及抓包文件进一步分析。