直连二层组网直接转发：AP+AC+出口网关的转发模式与 VLAN 分离

企业有出口网关 AR、AC、AP 要部署员工无线，最常见的是”AC 直连二层组网 + 直接转发”：组网简单、业务流不绕 AC、性能好。

一、组网要素

AC 直连二层：AP 与 AC 在同一二层域。管理 VLAN 2（192.168.2.0/24，网关是 AC 的 VLANIF2）；无线业务 VLAN 3（SSID employee，192.168.3.0/24，网关是 AC 的 VLANIF3）；AC 与出口网关三层互联走 VLANIF10。DHCP 由 AC 承担，给 AP 和 STA 分配地址。CAPWAP 隧道源接口指定为 AC 的 VLANIF2，保证 AP 能找到并连上 AC。

二、配置主线

① 配 AP 上线与业务 VLAN（管理 VLAN2、业务 VLAN3，CAPWAP 源接口 VLANIF2）；② AC 上配 DHCP（接口地址池或全局池，分别覆盖 AP 管理段与 STA 业务段）；③ 配 AP 认证模式（MAC 或 SN 认证，防非法 AP 上线）；④ 配 WLAN 业务：建 VAP 模板绑 SSID employee 与业务 VLAN3、配安全模板（WPA2-PSK）；⑤ AC 经 VLANIF10 与出口网关互通，业务 VLAN3 的流量直接转发、由 VLANIF3 做网关，出口统一 NAT 上网。

三、直接转发 vs 隧道转发

直接转发：STA 业务流不经过 AC、AP 本地直接转发，AC 只负责管理与配置下发，转发性能高、AC 故障不影响已建立业务。隧道转发：业务流经 CAPWAP 隧道集中到 AC 再出，便于集中策略与漫游优化，但 AC 是瓶颈。中小场景员工上网首选直连二层 + 直接转发。

四、直连二层转发要点

• 转发模式 → 直接转发走本地交换，时延低，适合高并发；隧道转发集中但灵活。
• VLAN → AP/AC 管理 VLAN 与业务 VLAN 分离，业务流量不回 AC。
• 上联 → AC 旁挂或直连核心，出口网关统一做 NAT/认证。

直连二层适合 AP 密集、时延敏感场景；配置时确认业务 VLAN 直通、管理流才过 AC，否则 AC 成瓶颈。