受限往往不在无线侧
无线客户端能连上但业务受限，问题常常不在无线：策略层面的 ACL、区域防火墙、访客与员工互访限制，都可能让特定网段或端口不通。定位的关键是找一个对照点——同 VLAN 的有线端是否正常。有线能通、无线不通，就去查「无线网段与有线网段之间的差异策略」，而不是继续在射频侧排查。
基本信息
| 定位方法 | 同 VLAN 有线端对比：有线通而无线不通则找差异策略 |
|---|---|
| 常见限制 | 访客网络禁内网、员工网段限制特定服务端口 |
| 验证手段 | 在无线客户端上用 TCP 握手测试端口可达性 |
| 排查流程 | 先找变更记录，策略变更常与新限制同时出现 |
| 层次区分 | 能 ping 通但业务不通，指向端口级 ACL |
典型使用场景
- 无线用户能上网但访问不了内网某系统
- 访客反馈无法使用某个需要特定端口的业务
- 打印、投屏等设备在无线侧无法被发现
- 排查变更后「以前能用现在不能用」的服务
- 验证安全分区策略是否按预期生效
端口测试
端口测试
# Windows
Test-NetConnection 目标IP -Port 80
# Linux
nc -vz 目标IP 443
# 对比有线端与无线端对同一目标的测试结果对比定位法
| 现象 | 指向 | 下一步 |
|---|---|---|
| 无线不通、有线通 | 无线网段策略差异 | 核对 ACL 与区域策略 |
| 两端都不通 | 与无线无关 | 转查服务与路由 |
| ping 通但业务不通 | 端口级 ACL | 按服务端口逐项核对 |
| 只有访客不通 | 访客隔离策略 | 检查访客 ACL 与内网禁访 |
「能 ping 通但业务不通」通常指向端口级 ACL：ICMP 与 TCP 端口的放行规则可能完全不同，要按服务端口逐项核对。
把跨网段策略限制当无线故障是常见误判：用有线端在同 VLAN 做一次对比，通常一步就能排除无线侧。
改动策略务必留变更记录：否则事后无法解释「为什么以前能用」，排查会从技术问题变成考古。