导出PDF什么是WAC？
WAC（Wireless Access Controller，无线接入控制器）是一种用于集中管理和控制AP（Access Point，无线接入点）的网络设备，旨在解决大规模无线网络部署中配置复杂、运维困难的问题，实现无线网络的统一管理和业务优化。WAC有时也被称为AC。
为什么要有WAC？
在WLAN发展的早期，FAT AP（胖接入点）架构凭借其“即插即用”的简便性，统治了微型WLAN网络场景。一台FAT AP独立承载了射频管理、认证加密、数据转发、QoS调度、DHCP服务乃至路由功能。这种“ALL IN ONE”的设计在AP数量仅为个位数时非常高效，管理员只需登录Web界面，逐台完成SSID、密码和信道等配置即可。
然而，当网络规模从“楼道级”扩展到“园区级”（成百上千台AP）时，FAT AP会产生如下问题：
- 运维繁琐：每新增一台AP，管理员必须逐台下发配置。若需统一修改SSID或安全策略，需要逐个登录AP界面进行配置，耗时并且容易出错，且无法保证配置一致性。
- 射频冲突：FAT AP各自为政，静态设定的信道和功率无法感知邻居的实时干扰。当相邻AP覆盖重叠时，同频干扰导致终端频繁漫游丢包，而FAT AP间缺乏协同机制。
- 漫游体验差：终端在不同FAT AP间切换时，依赖传统的二层漫游，重认证过程繁琐，时延高达数百毫秒，影响时延敏感业务。
- 安全策略碎片化：ACL和用户准入策略分散存储在各AP上。
为了解决上述问题，产生了“WAC + FIT AP”的集中式架构。这一架构并非简单的“中心化”，而是一次控制平面与数据平面的解耦：
- FIT AP（瘦接入点） 只提供可靠、高性能的无线连接功能，其他的增强功能统一在WAC上集中配置。
- WAC则作为整个WLAN的“大脑”，集中管理所有FIT AP。
例如WAC可以通过与认证服务器交互信息来为WLAN用户提供认证服务。AP上的所有功能都可以在WAC上进行配置，AP上线后WAC通过CAPWAP隧道将配置下发给AP，例如AP升级、AP登录等。
WAC+FIT AP架构
从FAT AP到“WAC + FIT AP”的演进，本质上是无线网络从“设备级管理”向“系统级服务”的跃迁。WAC的核心价值参见下表。
价值维度 |
技术内涵 |
|---|---|
极速运维 |
通过AP分组、射频模板、SSID模板、安全模板等模板化配置。修改一处全局模板，即可批量下发至成百上千台AP。通过WAC可对AP进行批量升级。 |
智能射频管理 |
WAC通过RRM（Radio Resource Management，射频资源管理）算法动态调整每台AP的信道和发射功率，自动规避雷达信号和同频干扰。 |
漫游体验 |
WAC通过与AP协同，降低终端漫游时延，提升终端用户的漫游体验。例如PMK快速漫游通过WAC缓存PMK信息，使得STA在漫游过程中无需重新进行802.1X认证，仅需完成密钥协商，从而显著缩短了漫游时间，提升了用户的WLAN网络使用体验。 |
统一安全策略 |
WAC作为认证锚点，集中终结802.1X、Portal或MAC认证，并与AAA服务器联动。可基于用户角色（员工/访客）动态下发不同VLAN和ACL，实现“一人一策”的精细化管控。 |
WAC是如何工作的？
WLAN网络的核心工作机制始于AP通过CAPWAP隧道在WAC上完成上线与配置下发，随后STA通过扫描、认证和关联过程接入AP。接入成功后，STA的业务数据根据配置的转发模式（直接转发或隧道转发）在AP、WAC和有线网络之间进行传输，从而实现无线网络的连通与业务访问。
1、AP上线
AP上电启动后，会通过DHCP或静态配置获取IP地址，并主动发起与WAC的连接。这一过程是WAC管理AP的基础。
- 发现阶段：AP发送Discovery Request报文，寻找网络中的WAC。WAC回应Discovery Response报文。
- 建立DTLS连接：为了保证CAPWAP隧道的安全性，AP与WAC之间会先建立DTLS（Datagram Transport Layer Security）连接，对后续的控制报文和数据报文进行加密。
- 加入阶段：AP向WAC发送Join Request报文，携带AP的硬件信息（如MAC地址、序列号、型号）。WAC对AP进行合法性校验（如通过SN白名单或MAC认证），校验通过后回复Join Response，并分配AP的资源。
- 配置下发：隧道建立成功后，WAC将预配置的WLAN业务配置（如SSID、射频参数、安全策略）通过Configuration Update报文下发给AP。AP应用配置后，无线服务即开始启动。
2、STA接入
当STA尝试接入无线网络时，WAC负责处理用户的接入认证，确保网络安全性。
- 关联：STA扫描到SSID后，向AP发送关联请求。AP将关联请求通过CAPWAP控制隧道转发给WAC。
- 认证触发：WAC根据配置的认证方式（如802.1X、MAC地址认证、Portal认证）发起认证流程。
- 授权与上线：认证服务器返回认证成功结果，并携带授权信息（如VLAN、QoS、ACL）。WAC根据授权信息为STA建立用户表项，并通知AP允许该STA接入。
3、STA数据转发
根据业务需求，WAC支持两种数据转发模式，其核心区别在于数据报文是否经过WAC。
- 隧道转发（集中转发）：
- AP收到STA的数据帧后，将其封装在CAPWAP数据报文中，通过CAPWAP数据隧道发送给WAC。
- WAC解封装CAPWAP报文，进行二层或三层转发。
- 下行流程相反，WAC将数据帧封装后发送给AP，AP解封装并通过空口发送给STA。
- 优点：业务集中管理，安全性高，易于实施QoS和安全策略；缺点：WAC负载压力大，转发路径较长。
- 直接转发（本地转发）：
- AP收到STA的数据帧后，直接根据配置的VLAN和端口进行本地转发，不经过WAC。
- 控制报文（如802.1X认证报文）仍需通过CAPWAP隧道上送WAC处理。
- 优点：减轻WAC负载，转发效率高；缺点：业务数据不经过WAC，集中管控能力相对较弱。
STA数据转发
独立AC vs 随板AC
无线网络部署时，WAC可以采用专用的无线接入控制器设备（即独立AC），也可以采用集成了WAC功能的交换机或路由器设备。
通常将集成了WAC功能的交换机设备称为随板AC，这类交换机同时具备有线交换和无线控制器的功能。
