无线AP本地转发，二层隔离

您好，可以

不能完全达到整楼所有用户二层隔离的需求。

原因如下：

1. **无线本地转发模式下**，用户隔离需在MAP文件中配置基于VLAN的二层隔离，**而非依赖AC服务模板中的“用户隔离”功能**。若仅在服务模板启用用户隔离，仅对单个AP下的无线用户生效，且建议与基于VLAN的隔离不同时启用，避免冲突。

2. **POE交换机的端口隔离**仅能限制有线用户在交换机端口间的二层互访，**无法控制无线用户之间或跨AP的无线流量**，也不能影响AP内部或不同AP间同VLAN无线用户的通信。

3. **本地转发模式下，无线用户流量直接在AP本地转发**，不经过AC，因此：
- 不同房间、不同AP但同VLAN的无线用户之间仍可能互访；
- 仅靠服务模板隔离和POE交换机端口隔离，**无法实现整楼范围内所有无线用户（跨AP）的二层隔离**。

✅ 正确做法：
应在**MAP文件中配置基于VLAN的二层用户隔离**，并放通网关等必要的MAC白名单，才能实现本地转发模式下整楼无线用户的二层隔离。

结论：当前配置**不能**实现整楼所有用户（尤其是跨AP无线用户）的二层隔离。

做基于vlan的二层隔离