无线接入日志的用途
无线终端的位置线索来自两处日志：无线控制器记录关联、漫游与断开，认证服务器记录认证成功或失败。两者都以终端 MAC 为核心字段，配合 AP 名称与时间，即可判断某台设备在什么时刻接入了哪个物理位置。在无线网络中，AP 的覆盖范围就是天然的位置单元，这比在交换侧推算端口更直接。
基本信息
| 控制器事件 | 关联、认证、漫游、去关联 |
|---|---|
| RADIUS 事件 | Access-Accept / Access-Reject 及失败原因 |
| 关键字段 | STA MAC、AP 名称、SSID、时间、结果 |
| 日志位置 | 控制器 syslog、/var/log/radius/radius.log |
典型使用场景
- 定位某终端在事件时刻接入的 AP，缩小物理范围
- 核查认证失败集中出现的账号，识别口令尝试行为
- 还原终端在楼层或楼宇之间的漫游路径
- 把无线侧 MAC 与有线侧租约记录关联同一设备
- 确认某时间段是否有非授权设备接入内部 SSID
日志检索示例
日志检索示例
grep -i 'assoc\|auth' /var/log/radius/radius.log | tail -20 # 认证与关联结果
grep -i 'Access-Reject' /var/log/radius/radius.log | tail -20 # 只看失败
# 控制器侧关键字随厂商不同，常见写法：
# grep -i 'station.*join' wlc.log | tail -10
grep -i '00:11:22:33:44:55' radius.log | head -20 # 按终端 MAC 回溯事件类型读法
| 事件 | 含义 | 判读要点 |
|---|---|---|
| Association | 终端与 AP 建立关联 | 只代表接入尝试，尚未通过认证 |
| Authentication | 认证结果与失败原因 | 失败原因可区分口令错误与策略拒绝 |
| Roaming | 终端在 AP 之间切换 | 密集漫游可用于推断移动路径 |
| Deauth / Disassoc | 断开原因 | 异常频繁断开可能是干扰或攻击 |
控制器与认证服务器的时间基准要统一，跨设备拼接时间线前先确认两台设备都做了时钟同步。
现代终端默认使用随机 MAC，随机地址与真实设备的对应关系要借助其他来源，不能只凭 MAC 下结论。
现场处置时先确认控制器是否把日志汇总到集中平台，很多控制器本地只保留很短一段；同时记下控制器型号与固件版本，日志字段含义与固件版本绑定。
日志里的 AP 名称常只有编号，需要提前拿到 AP 编号与楼层位置的对照表，否则时间线上的接入点对读者没有意义；这份对照表同样属于应归档的材料。