信号满格但连不上，而AP本身能获取地址并ping通，这说明有线链路和AP的注册上线是正常的，问题出在无线终端的接入、认证或地址获取环节。可以按以下顺序排查。

 第一步：终端侧排查（最高优先级）

先确认是否为个别终端问题。

1. “忽略此网络”后重连：在终端上进入Wi-Fi设置，找到该网络，选择“忽略此网络”，然后重新搜索并输入密码连接，清除可能残留的错误配置。

2. 关闭“私有Wi-Fi地址”：如果终端是iOS或较新版本的Android，进入Wi-Fi设置，点击该网络右侧的“i”图标，关闭“私有无线局域网地址”或“随机MAC”功能，然后重新连接。

3. 更换终端测试：用另一台手机或电脑连接同一SSID，判断是个别终端问题还是普遍性问题。如果其他终端正常，则问题集中在原终端本身。

 第二步：检查无线安全与认证配置

如果所有终端都连不上，需检查AC上的无线安全模板配置。

1. 检查加密模式兼容性：部分终端对加密方式有要求。可以临时新建一个不加密的测试SSID，看终端能否连接。如果未加密SSID能连上，说明是加密方式（如WPA3、TKIP等）的兼容性问题。

2. 检查是否配置了MAC认证或黑白名单：在AC上确认是否配置了MAC地址认证或黑白名单，如果有，需确保终端的MAC地址在允许列表中。

3. 确认AC上的客户端状态：在AC上执行 display wlan client 命令，查看是否有该终端的关联记录。如果能看到终端信息，说明关联成功，问题可能出在IP地址获取或认证阶段。

 第三步：排查IP地址获取问题

如果终端能关联上但无法上网，很可能是DHCP地址获取失败。

1. 检查DHCP地址池：确认DHCP地址池是否耗尽或租期过长。可以尝试缩短租期或扩大地址池范围。

2. 尝试静态IP测试：在终端上手动配置一个同网段的静态IP地址，然后尝试ping网关。如果能ping通，说明是DHCP问题；如果ping不通，则说明二层链路或VLAN配置可能有问题。

3. 检查VLAN与DHCP Option配置：确认AP的管理VLAN和业务VLAN配置正确，且DHCP服务器（通常在核心交换机上）已为业务VLAN正确配置了Option 43字段（如果采用三层注册）或网关地址。

 第四步：检查WTU420特定问题与AC配置

1. 检查WTU420的注册与版本：WTU420作为分体AP，需要注册到AC上才能使用。在AC上执行 display wlan ap all 查看WTU420的状态是否为 Run。同时，确认AC上加载了WTU420对应的版本文件，如果提示无法加载镜像，需要升级AC版本或上传对应的镜像文件。

2. 检查AC的AP配置：确认在AC上已正确创建WTU420的AP模板，并绑定了正确的序列号。

3. 尝试关闭5G的帧聚合：如果问题集中出现在5G频段，可以尝试在AC上关闭该射频的帧聚合功能进行测试。

 第五步：检查空口环境与干扰

1. 查看信道利用率：通过AC或频谱分析工具，查看WTU420所在信道的利用率。如果2.4G信道利用率过高，尝试调整信道或关闭部分AP的2.4G射频以减少干扰。

2. 确认信号强度是否达标：虽然终端显示“信号满格”，但仍需确认RSSI值。低于-70dBm通常为不达标，可能存在上行信号弱的问题（终端发射功率有限，AP接收到的信号可能很弱）。

组网说明：WTU420 属于无线终结者单元，本身没有独立 CAPWAP 隧道，依赖 WT（无线终结者）和 AC 控制器管理；WTU 可以拿到 IP、能 ping 通，代表 WTU 到 AC、WT 的底层有线、管理隧道正常，故障出在无线终端关联 / 业务转发层面H3C。

一、AC 优先收集排查信息（命令行）

现象区分：

1. 终端搜得到 WiFi 信号，但点连接直接拒绝 / 转圈无法完成认证；
2. 终端可以完成认证拿到 IP，但无法访问业务网络。

二、分层排查点

1、Radio 与服务模板绑定（终结者方案高频坑点）

WTU420 射频必须绑定正确的 service‑template，并且指定业务 VLANH3C。

⚠️WTU 终结者方案，如果绑定 service‑template 时不写 vlan xxx，会出现信号满格，终端关联失败或者拿到 IP 但是不通业务。

2、业务 VLAN 链路检查

1. WT 设备下联 WTU 的接口，业务 VLAN 需要放通；
2. 上联交换机、网关放行无线业务 VLAN；
3. DHCP 服务器所在网络，确保无线业务 VLAN 可以到达 DHCP；

WTU 只是射频收发单元，业务流量全部经过 WT 转发，不是 WTU 直接转发，很多故障实际是 WT 设备的 VLAN 配置遗漏H3C。

3、认证与加密兼容问题

• PSK 加密：核对密码，加密模式建议 WPA2‑PSK‑AES；不要混用 TKIP，部分终端会拒绝关联；
• 802.1X：检查 radius 可达性，查看 AC 日志是否有认证拒绝记录；
• 测试：临时新建一个无加密的测试 SSID，看终端是否可以正常接入，用来区分是加密问题还是转发问题。

4、射频与终端限制

1. 信道利用率过高，虽然 RSSI 信号满格，但空口干扰大，终端无法完成 802.11 关联；
2. radio 下配置最大接入用户数是否已经打满；
3. 部分老旧终端不支持当前的 802.11ac 速率集，可以降低 radio 速率模板测试。

5、版本配套（终结者方案重点）

WT、WTU、AC 固件版本必须配套；AC 版本过旧会出现 WTU 射频异常，管理 ping 正常，但无线终端无法接入。建议核对版本说明书的适配矩阵。

三、快速定位小技巧

1. 拿 2 台不同终端测试：手机、笔记本，判断是个别终端问题还是全部终端都连不上；
2. 如果所有终端都连不上，基本为 WT/WTU 配置、VLAN、服务模板绑定问题；
3. 如果只有某一类终端连不上，重点看加密、速率集、终端无线网卡兼容性。

H3C WTU420（无线终结者分体单元）

现象：WTU 上线、可 ping 通、信号满格，但终端关联失败。

WTU 本身只是射频，所有业务在 WT+AC 下发，不是 WTU 本地处理。

快速排查（精简）

1. AC 侧无线服务模板 / VLAN 绑定 看故障 WTU 的 radio 绑定的 service-template，VLAN 是否正确；SSID 绑定错 VLAN、VLAN 未放行，认证会失败。
2. 认证策略

• MAC 白名单 / 黑名单、802.1X、Portal、PSK 密码错误；
• 终端卡在认证阶段，信号能收到但过不了 AC 认证。

3. 射频接入限制 AC 下检查：最大接入用户数、弱信号拒绝接入（RSSI 阈值）、禁止低速率接入。
4. WT 到 WTU 链路 WTU 上联 WT 的端口，确认是 WT 专用 WTU 口，不是普通口；网线 / PoE 不稳会导致无线报文丢包。
5. 频段兼容 5G/2.4G 单独测试，关闭 802.11ax，加密改成 WPA2-PSK，排除终端兼容性。
6. AC 查看日志 wlan client，看终端是关联拒绝还是认证拒绝，直接定位。
7. 
   

参考云图排查下：https://zhiliao.h3c.com/theme/Chart

可以先简单在AC上查看下终端接入失败的原因：

[AC-probe] dis system inter wlan client history-record mac-address H-H-H

是否经过交换机。

尝试undo dhcp snoop en