1. 融合网络工程导论

企业网络长期存在一条隐形的分界线：有线侧由交换机构成，强调端口密度、VLAN、链路聚合与策略控制；无线侧由无线控制器（WLC）与接入点（AP）构成，强调射频管理、漫游、加密与客户端接入。两条线各自演进多年，各自有独立的配置模型、独立的故障排查路径，甚至常常由不同团队维护。Cisco Catalyst 有线无线融合的核心命题，就是把这两条线在控制平面、数据平面与管理平面上收敛到同一套体系，让"接入"不再以介质划分，而以策略与身份划分。

一、架构演进：从"叠加"到"融合"

理解融合，先要理解它替代了什么。早期企业无线部署的典型形态是"外挂式"：交换机负责有线接入，WLC 以旁挂方式接入核心，AP 通过 CAPWAP 隧道把全部用户流量回传到 WLC 再进入有线网络。这种架构的问题在于，无线流量必须绕行控制器，形成明显的转发瓶颈，且无线与有线的策略是两套独立配置，同一个用户在无线侧和有线侧可能得到完全不同的访问权限。

演进的第一阶段是控制与转发分离。以 Cisco Catalyst 9800 系列无线控制器为代表，控制平面负责 AP 的加入、射频参数下发、客户端状态维护，数据平面则允许流量在 AP 本地或边缘交换机上直接转发，不再强制回传。这一变化让无线流量的路径与有线流量趋同，为后续融合打下基础。

第二阶段是控制器虚拟化与嵌入化。Catalyst 9800-CL 以虚拟化形式部署在通用计算平台上，而 Catalyst 9000 系列交换机则通过 SD-Access 与 Catalyst Center（原 DNA Center）把无线控制能力与有线交换能力纳入统一的管理与策略域。此时，"无线控制器"不再必然是一台独立硬件，它可以是一个软件实例，也可以是与交换机协同的逻辑功能。

第三阶段是统一策略与统一身份。无论客户端通过以太网口接入还是通过 Wi-Fi 接入，网络都基于同一套身份源（如 ISE 的 802.1X、MAB、Guest 流程）做出授权决策，并下发同一套策略（如 SGT 组标签、ACL、QoS 标记）。介质差异被抽象为"接入方式"，而策略执行点可以分布在交换机端口、AP 或 Fabric 边缘节点上。

二、核心价值：融合到底解决了什么问题

融合的价值不是"少买一台设备"这么简单，它至少体现在四个层面。

第一，策略一致性。在非融合环境中，同一个员工用笔记本有线接入时可能被分到 VLAN 10 并获得服务器访问权限，而用同一台笔记本无线接入时却被分到 VLAN 20 且权限受限。融合后，策略决策基于用户身份与设备状态，而非接入介质，用户在不同接入方式下获得一致的体验与权限边界。

第二，运维收敛。有线与无线各自有一套监控指标、告警阈值与排障命令。融合后，Catalyst Center 可以同时呈现交换机端口状态、AP 射频健康度、客户端漫游轨迹与端到端路径，故障定位从"先判断是哪张网的问题"变为"沿一条路径逐跳检查"。

第三，转发效率。本地转发让无线用户流量不再强制绕行控制器，减少了 WLC 的吞吐压力与路径时延。对于语音、视频等对时延敏感的业务，这一点尤为关键。

第四，安全边界统一。有线端口与无线 SSID 都可以作为 802.1X 认证的入口，ISE 根据认证结果下发 SGT，Fabric 边缘节点据此执行组间策略。安全策略不再依赖"这个口是接交换机的还是接 AP 的"这种物理判断。

三、典型企业场景

融合架构并非所有场景都必须采用，但在以下几类场景中收益最明显。

• 总部园区 + 多分支：总部部署 Catalyst 9000 交换与 9800 无线控制，分支通过 SD-WAN 或 Fabric 延伸统一策略。总部与分支的用户身份、SGT 与访问权限保持一致，新增分支时无需重新设计无线策略。
• 高密度办公与会议区：会议室、开放办公区同时存在大量有线工位与无线终端。融合架构下，AP 与接入交换机共享同一套 PoE、VLAN 与 QoS 规划，射频与端口容量可以统一评估。
• 医疗、制造等移动作业场景：医护人员手持终端、AGV 小车、扫码枪在移动中需要保持会话不中断。融合架构支持跨 AP、跨交换机的快速漫游与策略跟随，避免因介质切换导致权限丢失。
• 访客与 BYOD 混合接入：访客无线、员工自带设备与公司资产需要差异化策略。ISE 与 Catalyst Center 协同，可以按身份、设备类型、接入位置动态授权，而不必为每种组合单独建 SSID 或 VLAN。

四、一个可参考的融合设计起点

假设某企业总部有 1200 名员工、约 800 个有线信息点、60 个 AP，要求员工无论有线还是无线接入都只能访问本部门资源与公共服务器，访客只能访问互联网。一个合理的融合设计起点如下：

在这个起点上，员工有线接入时由交换机端口发起 802.1X，ISE 认证后返回部门 SGT；员工无线接入时由 AP 关联后经 9800 触发同一套 802.1X 流程，返回相同 SGT。Fabric 边缘节点根据 SGT 执行组间策略，从而实现"同一身份、同一策略、不同介质"。访客则走独立的 Guest SSID 与 Guest Portal，认证后仅获得互联网访问权限。