WAC+AP隧道转发场景，AP上行有线口支持放通业务VLAN

一、先明确：该场景确实会产生二层广播组播环路，原理拆解
组网前提
AP 上行 Trunk 口：PVID 20（AP 管理 VLAN），透传业务 VLAN10；
SSID Test-1：本地转发（本地桥接 VLAN10，流量不进 CAPWAP 隧道，直接走交换机有线 VLAN10 转发）；
SSID Test-2：集中转发（流量封装 CAPWAP 隧道送往 AC，AC 解封装后送入有线 VLAN10）；
全网交换机 Trunk 全透 VLAN10/20，二层打通。
环路完整形成路径（以终端广播报文举例）
终端连接 Test-2（集中转发）发送广播包 → AP 封装 CAPWAP 隧道 → 隧道送到 AC；
AC 解封装，将广播报文从 AC 与无线核心互联口发出，进入有线 VLAN10；
二层交换机泛洪机制：VLAN10 广播包沿有线链路向下泛洪 → 无线核心→无线汇聚→POE 交换机→AP 上行 Trunk 口；
AP 收到有线侧 VLAN10 广播报文后分两路处理：
① 转发给本地转发 SSID Test-1 的无线终端；
② 重点：AP 识别到该 VLAN10 属于集中转发 SSID，再次封装 CAPWAP 隧道发回 AC；
报文再次进入隧道送到 AC，循环往复，形成永久二层广播环路，大量泛洪耗尽带宽、CPU。
环路核心根源
同一 VLAN10 同时存在两条转发通道：
本地转发通道：AP 有线 Trunk 直接桥接 VLAN10；
集中转发通道：CAPWAP 隧道 + AC 有线 VLAN10；
两条通道在 VLAN10 二层互通，广播 / 组播报文双向流通，触发泛洪环路。
二、4 套标准解决方案（按推荐优先级排序）
方案 1：AP 侧本地转发、集中转发业务 VLAN 隔离（根治，最优方案）
实现逻辑
本地转发 SSID 使用独立业务 VLAN，不和集中转发 VLAN 复用，从源头切断环路条件。
Test-1 本地转发：VLAN 11；
Test-2 集中转发：VLAN 10；
AP 上行 Trunk 透传 VLAN10、11，两个业务 VLAN 物理隔离，不会跨通道泛洪。
适用场景：规划初期可调整 VLAN，无业务改造压力。
方案 2：AC 下发 CAPWAP 隧道防环隔离（行业标准配置，不改动现有 VLAN）
原理
AC 上配置wlan tunnel isolate vlan，对集中转发业务 VLAN 做隧道隔离：
从隧道解封装出来的 VLAN10 广播报文，禁止再封装回 CAPWAP 隧道发往 AP，直接阻断环路回流路径。
AC 完整配置（Comware V7 WX/WAC 系列通用）
plaintext
system-view
# 全局开启隧道VLAN隔离，阻断解封装后报文回灌隧道
wlan tunnel-isolate vlan enable
# 针对冲突业务VLAN10强制隔离
wlan tunnel-isolate vlan 10

效果验证
VLAN10 广播报文从 AC 解封装进入有线网络后，即使泛洪回 AP 有线口，AP 收到 VLAN10 报文也不会重新封装 CAPWAP 隧道上传 AC，环路直接切断，不影响本地转发终端通信。
方案 3：AP 上行交换机配置 CAPWAP 隧道 VLAN 入方向抑制组播 / 广播
在 POE 交换机连接 AP 的 Trunk 接口，对 VLAN10 入方向过滤CAPWAP 回流泛洪报文：
plaintext
# POE交换机接口配置
interface GigabitEthernet 1/0/1
port link-type trunk
port trunk pvid vlan 20
port trunk permit vlan 10 20
# 过滤入方向VLAN10广播、组播，仅允许单播通行
acl ipv4 number 4000
rule deny destination-mac ff-ff-ff-ff-ff-ff
rule deny destination-mac 0100-5e00-0000 ffff-ffff-0000
rule permit all
packet-filter inbound acl 4000

短板：会轻微影响本地转发业务的组播业务（IPTV、视频广播），仅适合无组播场景。
方案 4：AP 本地转发 VLAN 开启本地组播隔离（AP 侧阻断回流）
AP 视图下对本地转发 VLAN 开启multicast local-switch isolate，本地转发流量不会回灌隧道：
plaintext
# AC下发模板统一配置
wlan service-template local-forward
ssid Test-1
vlan 10 local-switch
# 本地转发VLAN组播隔离，不回传隧道
multicast local-switch isolate enable

补充说明：该方案仅阻断组播环路，纯广播环路仍需要搭配方案 2 使用。
三、补充关键答疑
单播流量会不会环路？
不会。单播有精确 MAC 地址表，只会单向转发，不会泛洪循环；只有广播、二层组播报文才会触发环路风暴。
为什么普通二层 STP 解决不了这个环路？
STP 仅处理有线物理链路二层环路；CAPWAP 隧道是三层虚拟隧道，STP 无法感知隧道逻辑链路，无法阻断隧道回流报文，必须依靠无线专属tunnel-isolate隔离机制。
集中转发场景 IP 组播卡顿根源就是该环路
组播报文持续在 AC-AP 隧道 + 有线二层循环复制，AP、交换机 CPU 持续处理重复组播包，终端出现卡顿、丢流，配置tunnel-isolate vlan后组播恢复正常。
最简落地推荐（不修改现有 VLAN，一步解决）
直接在 AC 上执行两条命令，永久消除环路，不改动交换机、AP、业务 VLAN：
plaintext
system-view
wlan tunnel-isolate vlan enable
wlan tunnel-isolate vlan 10
save

先搞清楚业务需求和产品线型号等细节哦

无环的，从接入交换机侧过来的广播流量ap只会当做普通流量进行处理or丢弃，只有从bss侧过来的无线客户端的集中转发的流量才会封装隧道发送给ac处理