AP 不上线按什么顺序查
AP 通电后一直不上线，说明它没能与控制器建立管理通道。排查要按四步走：第一，AP 能否拿到地址并连通控制器地址；第二，管理通道报文是否被防火墙放行；第三，证书与固件版本是否被控制器接受；第四，授权数量是否已满、设备是否在拒绝列表中。这个顺序不能颠倒，因为后一步依赖前一步——网络都不通时，怎么调证书都不会生效。
四步排查
| 第一步 | AP 能否拿到地址，能否发现并连通控制器地址 |
|---|---|
| 第二步 | 管理隧道请求是否到达控制器，中间防火墙是否放行相应端口 |
| 第三步 | 证书与固件版本是否被控制器接受 |
| 第四步 | 授权数量是否已满、设备是否在拒绝列表 |
| 辅助手段 | AP 本地命令行查看配置与状态，控制器侧查看上线失败统计 |
关键检查
关键检查
# AP 侧（以华为 AP 为例，具体以设备手册为准）
display ip interface brief # 确认地址获取情况
display capwap client config # 确认控制器地址与状态
# 控制器侧
display ap join-fail-record # 查看上线失败原因常见卡点
| 卡点 | 现象 | 处理方向 |
|---|---|---|
| 地址获取失败 | AP 指示灯异常，无法访问 | 检查上联口 VLAN 与地址池 |
| 管理隧道被拦 | AP 有地址但一直不上线 | 放行对应 UDP 端口，检查 ACL |
| 证书或版本不匹配 | 上线后立刻掉线或反复重试 | 升级固件、更新或导入证书 |
| 授权数已满 | 新 AP 无法上线，老 AP 正常 | 核对授权数量并扩容 |
| NAT 环境缺端口映射 | 仅特定网络中的 AP 不上线 | 补端口映射或改用旁路部署 |
典型使用场景
- 新 AP 到货上架后无法上线
- 跨网段或跨机房部署时的上线失败
- 批量上线时只有部分 AP 成功
- 固件升级后部分 AP 掉线
- 更换控制器后大量 AP 需要重新上线
跨 NAT 与 MTU 的坑
跨 NAT 部署 AP 时，控制器通常无法主动连接 AP，需要靠 AP 侧主动发起隧道并保持，因此端口映射必须完整，只映射其中一个端口常表现为「能发现但建不起来」。另一个容易被忽略的是 MTU：隧道封装会增加报头开销，如果路径 MTU 不匹配，大包会被丢弃，表现为上线过程走到一半中断或上线后频繁重连。两者都属于链路层细节问题，排查时应在两端同时抓包观察交互在哪一步停住。
跨 NAT 部署常需要「发现机制加端口映射」的组合方案，端口映射缺失是最常见的上线失败原因。
AP 的固件版本与控制器支持范围不匹配时，有的实现会自动升级后再上线，这个过程中断会导致反复重试，升级期间不要提前断电。