CAPWAP 是什么
CAPWAP 是 AP 与无线控制器之间的隧道协议，由 RFC 5415 与 5416 定义。它分成两条通道：控制通道走 UDP 5246，负责 AP 发现、配置下发与状态上报；数据通道走 UDP 5247，承载需要集中转发的终端流量。AP 上线时先从控制器拿到配置，之后持续用心跳维持注册状态，心跳超时就会掉线。
基本信息
| 控制端口 | UDP 5246 |
|---|---|
| 数据端口 | UDP 5247 |
| 协议版本 | CAPWAP，RFC 5415 与 RFC 5416 |
| 安全 | 支持 DTLS 加密控制通道 |
| 部署要求 | 跨三层部署时两条通道都要放行，否则 AP 无法注册 |
两条通道的分工
| 通道或机制 | 端口 | 承载内容 |
|---|---|---|
| 控制通道 | UDP 5246 | AP 发现、注册、配置下发与状态上报 |
| 数据通道 | UDP 5247 | 隧道转发模式下终端的业务流量 |
| DTLS | 配合 5246 | 加密控制通道，防止配置被窃听或篡改 |
| 心跳 | 控制通道内 | 维持注册状态，超时即判定 AP 掉线 |
| 本地转发 | 不使用数据通道 | 业务流量在 AP 本地直接进入有线网 |
部署与排查
部署与排查
# 组网要点
# AP -> AC：UDP 5246（控制）与 5247（数据）
# 跨三层部署务必放行这两条通道，否则 AP 注册不上
# 排查时先看注册状态（命令随厂商不同）
show ap summary
show ap join statsCAPWAP 隧道会封装终端流量，MTU 与分片配置不当会导致「AP 在线但部分业务异常」这类难查的问题。隧道转发模式下要重点关注 MTU 与 MSS 的配合。
常见故障与定位
- AP 注册不上：先确认 5246 与 5247 是否在路径上被放行
- 注册成功但业务不通：检查数据通道是否被防火墙拦截
- 部分业务异常：核对隧道 MTU 与 MSS 设置，避免封装后分片
- AP 反复掉线：看心跳超时日志，并核对上行链路质量与错包
- 控制器过载：隧道集中转发会放大控制器压力，需评估其转发能力
跨防火墙的 AP 注册失败，多数是 5246 与 5247 没有放行，而不是 AP 本身故障。上行链路抖动还会导致 AP 反复上下线，看起来很像硬件问题。