技术干货 2026-10-27 企业数据管家

公司WiFi密码怕被蹭？华为AC配WPA2预共享密钥加密全流程

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

很多中小企业搭无线网时的做法是：一个密码写在白板上，全员共用，一用就是几年。其实现实里更大的风险不是员工泄密，而是密码长期不换、加密方式老旧，外面的人拿工具就能把空口的数据抓下来还原。整理自华为官方发布的典型配置案例，这篇把无线控制器上给办公WiFi套上WPA2预共享密钥加AES加密的完整配置流程走一遍，不需要额外的认证服务器，一台AC就能搞定。

场景的典型情况是：AC直连二层组网，AC自己当DHCP服务器，给AP和无线终端都发地址；业务数据走隧道转发；安全策略用WPA2-PSK-AES。官方对这个选型的说明很直接：用户对WLAN网络的安全性要求不高、不需要认证服务器时，可用WEP或者WPA/WPA2预共享密钥；考虑到终端都是较新款型、能支持TKIP和AES加密，就不再用易被破解的WEP，改用WPA2预共享密钥加AES加密。

数据规划沿用官方示例：管理VLAN100、业务VLAN101，AC源接口VLANIF100地址10.23.100.1/24，AP地址池10.23.100.2～10.23.100.254/24，终端地址池10.23.101.2～10.23.101.254/24，AP组ap-group1，SSID名称wlan-net，安全模板wlan-security，密码YsHsjx_202206（实际部署请换成自己的强密码）。

第一步，配置AC与AP之间的管理通道，把接口GE0/0/1划入管理VLAN100：

<HUAWEI> system-view
[HUAWEI] sysname AC
[AC] vlan batch 100 101
[AC] interface gigabitethernet 0/0/1
[AC-GigabitEthernet0/0/1] port link-type trunk
[AC-GigabitEthernet0/0/1] port trunk pvid vlan 100
[AC-GigabitEthernet0/0/1] port trunk allow-pass vlan 100
[AC-GigabitEthernet0/0/1] quit

第二步，上行口放通业务VLAN101，与上层网络互通：

[AC] interface gigabitethernet 0/0/2
[AC-GigabitEthernet0/0/2] port link-type trunk
[AC-GigabitEthernet0/0/2] port trunk allow-pass vlan 101
[AC-GigabitEthernet0/0/2] quit

第三步，AC作为DHCP服务器，基于接口地址池给AP和终端发地址（DNS按实际需要配）：

[AC] dhcp enable
[AC] interface vlanif 100
[AC-Vlanif100] ip address 10.23.100.1 24
[AC-Vlanif100] dhcp select interface
[AC-Vlanif100] quit
[AC] interface vlanif 101
[AC-Vlanif101] ip address 10.23.101.1 24
[AC-Vlanif101] dhcp select interface
[AC-Vlanif101] quit

第四步，创建AP组、域管理模板并配置国家码：

[AC] wlan
[AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] quit
[AC-wlan-view] regulatory-domain-profile name default
[AC-wlan-regulate-domain-default] country-code cn
[AC-wlan-regulate-domain-default] quit
[AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] regulatory-domain-profile default
Warning: This configuration change will clear the channel and power configurations of radios, and may restart APs. Continue?[Y/N]:y
[AC-wlan-ap-group-ap-group1] quit
[AC-wlan-view] quit

第五步，配置源接口。注意V200R021C00版本开始，这里会要求先补齐DTLS加密PSK、登录AP的用户名密码等安全相关配置：

[AC] capwap source interface vlanif 100

第六步，新版本默认开启CAPWAP控制隧道DTLS加密，首次添加AP时需要先开不认证方式让AP上线取安全凭证，AP上线后及时关掉：

[AC] capwap dtls no-auth enable

第七步，离线导入AP并加入AP组。示例AP的MAC地址为00e0-fc76-e360，部署在1号区域，命名为area_1。ap auth-mode缺省为MAC认证，没改过缺省配置可以不执行ap auth-mode mac-auth：

[AC] wlan
[AC-wlan-view] ap auth-mode mac-auth
[AC-wlan-view] ap-id 0 ap-mac 00e0-fc76-e360
[AC-wlan-ap-0] ap-name area_1
[AC-wlan-ap-0] ap-group ap-group1
[AC-wlan-ap-0] quit

执行display ap all，看到AP的State字段为nor就是正常上线。上线后别忘了关掉DTLS不认证方式：

[AC] undo capwap dtls no-auth enable
[AC] wlan

第八步，本文的核心：创建安全模板，配置WPA2预共享密钥加AES：

[AC-wlan-view] security-profile name wlan-security
[AC-wlan-sec-prof-wlan-security] security wpa2 psk pass-phrase YsHsjx_202206 aes
[AC-wlan-sec-prof-wlan-security] quit

再建SSID模板和VAP模板，把安全模板挂进去：

[AC-wlan-view] ssid-profile name wlan-ssid
[AC-wlan-ssid-prof-wlan-ssid] ssid wlan-net
[AC-wlan-ssid-prof-wlan-ssid] quit
[AC-wlan-view] vap-profile name wlan-vap
[AC-wlan-vap-prof-wlan-vap] forward-mode tunnel
[AC-wlan-vap-prof-wlan-vap] service-vlan vlan-id 101
[AC-wlan-vap-prof-wlan-vap] security-profile wlan-security
[AC-wlan-vap-prof-wlan-vap] ssid-profile wlan-ssid
[AC-wlan-vap-prof-wlan-vap] quit

AP组引用VAP模板，两个射频都下发：

[AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] vap-profile wlan-vap wlan 1 radio 0
[AC-wlan-ap-group-ap-group1] vap-profile wlan-vap wlan 1 radio 1
[AC-wlan-ap-group-ap-group1] quit

最后按网规结果配射频信道和功率（示例值，实际按国家码和网规来）：

[AC-wlan-view] ap-id 0
[AC-wlan-ap-0] radio 0
[AC-wlan-radio-0/0] channel 20mhz 6
[AC-wlan-radio-0/0] eirp 127
[AC-wlan-radio-0/0] quit
[AC-wlan-ap-0] radio 1
[AC-wlan-radio-0/1] channel 20mhz 149
[AC-wlan-radio-0/1] eirp 127
[AC-wlan-radio-0/1] quit
[AC-wlan-ap-0] quit

配完怎么验证：无线终端能搜到名为wlan-net的信号；关联时输入预共享密钥能连上，连上后能从DHCP拿到对应网段的地址、正常上网，说明加密策略生效。

两个官方提醒值得注意：一是隧道转发模式下管理VLAN和业务VLAN不能是同一个，AP和AC之间只放通管理VLAN；二是建议在与AP直连的接口上配端口隔离，否则VLAN内广播报文多起来会影响体验。如果觉得这套流程自己配起来费劲，贵州诚鑫致达科技可以帮中小企业把AC无线控制器从上线到加密策略一次性配到位。

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。