AP 跨 NAT 为什么注册不上
CAPWAP 是 AP 与 AC 之间的控制与数据通道协议，AC 需要能主动向 AP 发起连接来建立数据隧道。AP 位于 NAT 之后时，AC 侧看不到 AP 的内网地址，隧道建立失败，现象是 AP 在 AC 上显示离线或反复上下线。放通 NAT 穿越选项、做端口映射，或直接改走 VPN 与云管理，是三类常见解法。
基本信息
| 协议依据 | CAPWAP，定义于 RFC 5415 |
|---|---|
| 端口 | 控制通道 UDP 5246、数据通道 UDP 5247 |
| 问题根源 | NAT 隐藏内网地址，AC 无法主动回连 AP |
| 典型现象 | AP 注册超时、反复上下线、注册成功但业务不通 |
| 可选方案 | NAT 穿越选项、端口映射、VPN 隧道、云管理 |
典型使用场景
- 分支机构 AP 直接上网：AP 在内网 NAT 后需要纳入总部 AC 管理
- 家宽或第三方链路上线：公网可达性无法保证时优先评估云管理
- 云 AC 部署：AP 侧出口设备需支持 NAT 穿越或维持长连接
- 排障定位：AP 显示离线但能 ping 通网关，先查注册报文是否被丢弃
- 多地统一纳管：分支逐个做映射难以维护，优先考虑 VPN 或云平台
三种打通方式
三种打通方式
# 方式一：出口设备做静态映射（仅在没有 VPN 条件时使用）
# UDP 5246 与 5247 必须同时放通，缺一个会出现注册成功但业务不通
# 方式二：启用 AC 或 AP 侧的 NAT 穿越选项，由设备自行维持连接
# 方式三：AP 与 AC 之间建 VPN 隧道，隧道内直接使用内网地址
# 验证：在 AC 上查看 AP 状态与注册日志，确认注册与保活报文成对出现
# 台账：把所有映射关系登记端口、内网地址与责任人方案取舍
| 方案 | 适用条件 | 主要缺点 |
|---|---|---|
| NAT 穿越选项 | AP 与 AC 厂商均支持 | 依赖具体实现，跨厂商互通性差 |
| 端口映射 | 出口设备可控、AP 数量少 | 逐个维护，地址变化即失效 |
| VPN 隧道 | 分支数量多、有运维能力 | 需要额外隧道设备与配置 |
| 云管理平台 | 允许走公网纳管 | 依赖云服务可用性与合规评估 |
只映射控制端口 5246 而漏掉数据端口 5247 时，AP 可能注册成功但业务不通，两类端口必须同时放通。
把 CAPWAP 端口直接暴露到公网会显著扩大攻击面，优先选择 VPN 或云管理，端口映射只作为最后手段并配合来源限制。