动态 VLAN 做什么
动态 VLAN 让 RADIUS 在认证通过后连网络归属一起下发：同一个 SSID 上，员工进业务 VLAN、访客进隔离 VLAN、外包人员进受限 VLAN，实现「一个 SSID 多种网络归属」。承载属性是 Tunnel-Type、Tunnel-Medium-Type 与 Tunnel-Private-Group-ID。这套机制的价值在于让权限随身份走，而不是随 SSID 走。
基本信息
| 关键属性 | Tunnel-Type、Tunnel-Medium-Type、Tunnel-Private-Group-ID |
|---|---|
| 效果 | 按身份分配网络归属，无需为每类用户单独开 SSID |
| 依赖 | AP 或 AC 支持隧道属性透传 |
| 常见用途 | 员工、访客、外包人员的权限区分 |
| 前置条件 | 上联 Trunk 需放行所有可能下发的 VLAN |
典型使用场景
- 一套 SSID 支撑员工与访客的不同网络权限
- 外包人员接入受限网段，无需单独 SSID
- 简化 SSID 数量，降低空口开销
- 排查「认证成功但无网络」的故障
- 评估从多 SSID 方案向动态 VLAN 迁移
属性示例
属性示例
# RADIUS 返回的隧道属性
# Tunnel-Type = 13（VLAN）
# Tunnel-Medium-Type = 6（IEEE-802）
# Tunnel-Private-Group-ID = 120（目标 VLAN 号）常见问题对照
| 现象 | 原因 | 处理 |
|---|---|---|
| 认证成功但无网络 | VLAN 不存在或未放行 | 核对交换机 Trunk 配置 |
| 部分用户拿不到地址 | 对应 VLAN 的地址池不足 | 扩容 DHCP 地址池 |
| 全部落到同一 VLAN | 属性未下发或未被识别 | 检查属性名与格式 |
| 更换设备后权限变化 | 属性跟随账号而非设备 | 属预期行为 |
动态 VLAN 让权限与网络归属随身份走，是访客与外包人员管理的常用手段，也能帮助收敛 SSID 数量。
同一 SSID 混合下发多个 VLAN 要求上联 Trunk 全放行，配置前先核对交换机端口，否则一半用户会莫名其妙上不了网。
动态 VLAN 与 802.1X 是配套的：属性由 RADIUS 返回，身份源里的组信息（如 AD 安全组）直接决定用户落到哪个 VLAN，分组设计要在身份源侧先做好。
排查这类问题时先确认 RADIUS 返回的属性是否被 AP 接受：抓取 Access-Accept 报文看其中是否带 Tunnel 属性，是最直接的一步。
如果多类用户需要落在同一个 VLAN，可以在 RADIUS 侧用组映射统一返回相同 VLAN 号，避免逐账号维护，也能减少配置漂移。
VLAN 不存在或 AP 上联未放行该 VLAN 时，终端会出现「认证成功但无网络」，这类问题容易被误判为无线故障。