MER8300 VLAN上不了网

一、先拆解你现象里的核心矛盾点

1. VLAN10 内监控主机正常外网访问、同 VLAN 下 WiFi 终端无法上网；
2. 删除 MER8300 的 4 口 WiFi 相关配置后，WiFi 立刻正常；
3. 预期 VLAN10 路由走 WAN2，实际流量跑到 WAN0；
4. VLAN20/30 全部正常，仅 VLAN10 异常；
5. 物理线路、交换机接线未改动，仅调整过 MER8300 WAN 接口顺序。

关键结论前置

1. MER8300 多 WAN 策略 / 源地址路由 / 负载均衡规则冲突，VLAN10 WiFi 网段匹配到错误 WAN0 出口；监控网段路由规则优先级更高，优先匹配 WAN2 所以正常；
2. MER8300 针对 4 口 WiFi 做了ACL / 上网管控 / 带宽限制 / 防火墙阻断，仅拦截无线终端，同 VLAN 监控主机不受限；
3. VLAN10 DHCP 地址池、网关、DNS 下发异常，无线终端拿到错误 DNS / 网关，监控为静态 IP 不受影响；
4. 交换机侧接口 VLAN 透传 / 组播 / ARP 抑制拦截无线报文（监控静态 IP 抗干扰更强）。

二、分层分步排查（从 MER 路由器优先，问题 90% 在路由策略）

（一）MER8300 多 WAN 出口策略排查（最核心，路由走错 WAN0）

1. 进入 MER8300 后台：【高级】→【多 WAN 设置】→【策略路由 / 流量分流】

• 查看是否存在两条规则：
  • 规则 A：监控静态 IP 段 → 出口 WAN2（优先级高，监控正常）
  • 规则 B：VLAN10 整体网段 → 出口 WAN0（优先级低，无线匹配这条，走错出口断网）
• 现象印证：删掉 4 口 WiFi 配置后，第二条冲突路由规则自动失效，流量回归默认 WAN2，WiFi 恢复。

2. 修正操作：
   • 删除针对 VLAN10 网段指向 WAN0 的错误分流规则；
   • 新建规则：源地址 VLAN10 完整网段，出口指定 WAN2，优先级调至最高；
   • 关闭「自动负载均衡」，改用基于源 VLAN 的固定分流，避免 WAN 顺序变动打乱路由。
3. 兜底默认路由校验：

   【路由管理】→【静态路由】，确认默认路由::0.0.0.0/0 下一跳为 WAN2 网关，不要双默认路由冲突。

（二）MER8300 上网管控 / 防火墙拦截（同 VLAN 监控通、WiFi 不通）

1. 【高级】→【防火墙】→【访问控制策略】
   检查是否存在规则：源接口 LAN4（WiFi AP 接入口）拒绝所有外网访问，监控主机接交换机 3 口不在此规则范围内，不受拦截。
2. 【上网管理】→【行为管控 / 时段限制 / 终端黑名单】
   • 是否开启 WiFi 终端限速、禁止网页 / 外网；
   • 是否绑定 IP/MAC 黑白名单，无线终端 MAC 被限制；监控主机静态 IP 白名单放行。
3. NAT 策略检查：【高级】→【NAT 设置】
   确认 VLAN10 网段的 Easy NAT 仅绑定 WAN2，不要同时绑定 WAN0/WAN2，多 NAT 表项冲突会导致无线会话建立失败。

（三）VLAN10 DHCP 下发异常（无线终端参数错误）

1. MER8300【LAN 设置】→【VLAN 管理】→VLAN10 地址池
   • 网关必须填写 MER VLANIF10 接口 IP；
   • DNS 不能留空，填写公共 DNS 223.5.5.5/114.114.114.114；
   • 地址池网段不能和其他 VLAN 重叠。
2. 测试验证：手机连接 WiFi，查看获取到的 IP、网关、DNS
   • 网关不对 / DNS 空白 → 无法解析域名，表现 “能连 WiFi 但打不开网页”，监控静态网关正常所以能外网。

（四）H3C S5500V2 交换机侧 VLAN 透传排查（线路没动但无线报文被拦截）

1. 查看接口配置

2. 高频问题点：

• 4 口 AP 接口开启了multicast suppression组播抑制，拦截 DHCP、DNS、ARP 报文，无线终端拿不到地址；监控静态 IP 无需 DHCP 不受影响；
• 4 口配置 ACL，阻断 UDP 53（DNS）、80/443 上网端口；3 口监控无 ACL 限制；
• 4 口端口安全、MAC 地址学习限制，无线终端 MAC 达到上限无法转发流量；

3. 修复命令（AP 接入口）

三、快速定位测试方法（一步锁定故障段）

1. 无线终端手动设置静态 IP（同 VLAN10 网段、网关填 MER VLANIF10 地址、DNS 223.5.5.5）
   • 静态 IP 后 WiFi 能上网 → DHCP 下发 DNS / 网关故障；
   • 静态 IP 依旧无法上网 → 路由分流 / 防火墙策略拦截。
2. MER 后台抓包：LAN4（AP 口）、WAN2 接口
   • 无线上行报文是否转发至 WAN2；如果报文走到 WAN0，确认分流规则冲突。
3. 交换机替换测试：把 AP 插到交换机 3 口（监控口）
   • AP 换 3 口后 WiFi 正常 → 交换机 4 口接口策略拦截；
   • 换口依旧故障 → 问题 100% 在 MER 路由器路由 / 防火墙。

四、最简落地修复步骤

1. 登录 MER8300 多 WAN 分流，删除 VLAN10 指向 WAN0 的错误分流规则，强制 VLAN10 网段出口 WAN2；
2. 检查防火墙 / 上网管控，删除针对 LAN4（AP 接口）的阻断策略；
3. 核对 VLAN10 DHCP 地址池，补全正确网关与 DNS；
4. 交换机 G1/0/4 AP 口关闭组播抑制、端口安全、ACL；
5. 保存配置，终端重连 WiFi 验证外网访问。