3. 有线无线统一管理平面

当企业网络同时存在 Catalyst 交换机、无线控制器（9800 系列或嵌入式 Catalyst 9800-CL）以及大量 AP 时，如果继续用 CLI 逐台维护，配置漂移、版本不一致和故障定位困难会迅速放大。Catalyst Center（早期称 DNA Center）的价值在于把有线与无线纳入同一个管理平面：一套设备清单、一套拓扑视图、一套健康评分和一套策略下发通道。理解它的部署架构与纳管流程，是后续做自动化与保障的前提。

一、部署架构：三层角色与南北向接口

Catalyst Center 的物理形态通常是一套三节点集群（也可单节点实验部署），逻辑上分为三层：管理平面负责 GUI、API、身份认证与数据库；控制平面负责设备纳管、配置模板、策略编排与拓扑计算；数据平面负责遥测采集、流分析与 Assurance 数据入库。对外接口分为南向与北向：南向通过 NETCONF、SNMP、SSH、gRPC Telemetry 与设备通信；北向通过 Intent API、Webhook 与 ITSM、CMDB、SIEM 等系统集成。

部署前需要确认几个关键前提：集群节点需三台同规格物理机或虚拟机，管理网与设备带外/带内管理地址三层可达；DNS 必须能正反向解析设备管理地址，否则发现阶段会大量失败；NTP 必须与设备同步，否则证书校验和遥测时间戳会异常；证书建议使用企业 CA 签发，避免浏览器与设备侧告警。生产环境通常将 Catalyst Center 放在独立管理 VRF 或管理 VLAN 中，与业务转发路径隔离。

二、设备纳管：从发现到“已纳管”的完整链路

纳管不是“填个 IP 就完事”，它包含发现、认证、同步、分配站点四个阶段。在 Provision → Inventory → Discovery 中新建发现任务时，需要填写发现范围（单个 IP、IP 段或 CDP/LLDP 邻居扩展）、协议凭据（CLI、SNMP RO/RW、NETCONF、HTTP）以及是否启用“Discover by neighbor”。建议先用一个 /28 管理段做试点，确认凭据正确后再扩展到全网。

凭据在 Design → Network Settings → Device Credentials 中集中管理，CLI 凭据用于配置下发，SNMP RO 用于轮询与拓扑，SNMP RW 用于部分写入操作，NETCONF 用于模型化配置。凭据错误是发现失败最常见的原因，典型日志会提示“Authentication failed”或“SNMP timeout”。

发现成功后设备进入 Inventory，状态从 Unmanaged 变为 Managed。此时还需在 Design → Network Hierarchy 中把设备分配到正确的 Site（如“中国区/上海/总部/三楼”），因为站点决定了后续无线 SSID 模板、IP 地址池和策略的应用范围。未分配站点的设备虽然“已纳管”，但无法参与策略下发，健康评分也会显示不完整。

三、拓扑发现：CDP/LLDP 与控制器-AP 关系

Catalyst Center 的拓扑来自两条数据链：一是有线侧通过 CDP/LLDP 邻居关系构建二层与三层拓扑，二是无线侧通过控制器上报的 AP 关联信息构建“控制器—AP—客户端”关系。在 Topology 视图中，可以按物理、逻辑、二层、三层切换查看。若某条链路缺失，优先检查该接口是否启用了 CDP/LLDP，以及 SNMP 是否能读取 LLDP-MIB。

对于无线部分，9800 控制器纳管后，Catalyst Center 会自动同步 AP 清单、射频信息和客户端关联表。此时拓扑中会出现 AP 节点及其上行交换机端口，便于定位“某个 AP 掉线是 AP 本身问题还是接入交换机端口问题”。

四、健康监控：Assurance 的评分逻辑与排障入口

Assurance 的健康评分不是单一指标，而是由设备健康、客户端健康、应用健康、网络健康四类加权得出。设备健康关注 CPU、内存、接口错包、温度、电源与风扇；客户端健康关注关联成功率、认证失败率、漫游时延、DHCP 获取时间；应用健康关注关键业务流的时延与丢包。评分低于阈值会在 Assurance → Health 中高亮，并可下钻到具体设备、接口或客户端。

排障时建议按“先看整体评分，再定位到站点，再定位到设备，最后看接口/客户端”的顺序下钻。例如某楼层无线体验差，可先在 Assurance 中筛选该 Site 的客户端健康，若发现大量认证失败，再检查 9800 的 AAA 与 RADIUS 可达性；若发现漫游时延高，则检查 AP 间射频覆盖与 802.11k/v 配置。

五、一个可复用的纳管检查清单

为避免反复返工，可按下表逐项确认后再批量纳管。该清单属于工程实践建议，具体阈值需按现场调整。

纳管前检查：
[ ] DNS 正反向解析设备管理地址正常
[ ] NTP 已同步，偏差 < 1s
[ ] 设备已开启 NETCONF / SNMP / SSH
[ ] 凭据已在 Design → Device Credentials 中创建并测试通过
[ ] 管理网到设备 22/161/830/443 端口可达
[ ] 已规划 Site 层级与命名规范

纳管后验证：
[ ] Inventory 中设备状态为 Managed
[ ] 设备已分配到正确 Site
[ ] Topology 中出现预期邻居链路
[ ] Assurance 中设备健康评分正常
[ ] 无线 AP 与客户端数据已同步

完成上述步骤后，Catalyst Center 才真正成为有线无线统一的管理入口。后续的模板下发、策略编排、软件升级与 Assurance 深度分析，都建立在这一步“纳管干净、拓扑准确、健康可读”的基础之上。