4. 融合网络基础配置实战
本章把前面学到的Catalyst Center与IOS-XE无线架构知识落到一次可复现的初始化任务上。目标很明确：让一台新上架的Catalyst 9000系列交换机完成基础可达性配置，让一台Catalyst 9800-CL或9800-L控制器（WLC）具备被纳管条件，再让AP通过CAPWAP完成注册并加入一个可用的WLAN。整个过程既可以用CLI完成，也可以在Catalyst Center中通过GUI与模板完成，两条路径最终落到同一套设备状态上。
一、交换机初始化：从带外管理到可被纳管
新交换机上架后，先用Console线进入ROMMON后的首次启动流程。假设设备为C9300-48P，规划管理网段为10.10.20.0/24，网关10.10.20.1，DNS 10.10.20.53。首次配置建议先关闭未使用的端口、设置主机名与域名，再配置管理SVI。示例命令如下：
enable
configure terminal
hostname C9300-ACC-01
ip domain-name lab.local
interface Vlan1
description MGMT
ip address 10.10.20.11 255.255.255.0
no shutdown
exit
ip default-gateway 10.10.20.1
ip name-server 10.10.20.53
line vty 0 4
transport input ssh
login local
exit
username admin privilege 15 secret Cisco@123
crypto key generate rsa modulus 2048
ip ssh version 2
interface range GigabitEthernet1/0/1-48
shutdown
exit
interface GigabitEthernet1/0/1
description UPLINK-TO-CORE
no shutdown
switchport mode trunk
switchport trunk allowed vlan 10,20,30,99
exit
这里有两个容易忽略的点。第一，管理SVI所在的VLAN必须在上行Trunk中放行，否则交换机虽然本地能ping通网关，但Catalyst Center无法通过SSH或NETCONF访问它。第二，Catalyst Center纳管交换机时默认使用NETCONF（端口830）与SNMP，若只开SSH，设备会显示为“已发现但不可管理”。因此建议同时配置：
snmp-server community CiscoRO ro
snmp-server location IDF-3F
snmp-server contact netops@lab.local
netconf-yang
完成后用 show ip interface brief 确认Vlan1为up/up，用 show ip route 确认默认网关存在，再用PC ping 10.10.20.11。若不通，优先检查Trunk是否放行VLAN 1或管理VLAN、网关是否在同一网段、以及端口是否被误shutdown。
二、WLC基本参数：让控制器先“能说话”
以Catalyst 9800-CL为例，首次启动会进入Day-0向导。关键参数包括：管理接口IP、无线管理IP（若分离）、国家代码、NTP、以及AP加入所需的CAPWAP源接口。示例规划：管理口10.10.30.10/24，无线管理口10.10.30.11/24，国家代码CN，NTP 10.10.20.53。CLI下可这样确认：
show interfaces GigabitEthernet1
show ip interface brief
show wireless country
show ap summary
国家代码必须与实际部署地一致，否则AP射频无法正常开启，且部分信道不可用。NTP同步也很关键，因为AP与WLC之间的DTLS握手依赖时间偏差在合理范围内；若时间偏差过大，AP会反复尝试加入却失败。建议在WLC上配置：
ntp server 10.10.20.53
clock timezone CST 8
随后在Catalyst Center中把WLC加入设备清单。若使用CLI方式，需确保WLC已开启NETCONF与SNMP；若使用Catalyst Center的“发现”功能，则填写管理IP、SNMP只读团体字与NETCONF凭据。纳管成功后，Catalyst Center的“无线”页签会显示控制器状态、AP数量与客户端数量。
三、AP注册：CAPWAP发现与加入的完整链路
AP上电后先通过DHCP获取IP，再通过DNS或广播/组播发现WLC。生产环境推荐用DHCP Option 43指定WLC地址，避免广播跨网段失败。示例DHCP配置（在核心交换机或DHCP服务器上）：
option 43 hex 0104.0A0A.1E0A
其中 0A0A1E0A 即10.10.30.10的十六进制。AP拿到Option 43后向WLC发起CAPWAP Discovery Request，WLC回应后进入DTLS握手，随后AP下载镜像与配置并进入Registered状态。可在WLC上用以下命令观察：
show ap summary
show ap join stats summary all
show ap config general <AP-NAME>
若AP长时间停留在“Discovering”或“Join”阶段，按顺序排查：AP是否拿到正确网段IP、Option 43是否指向可达的WLC、WLC的CAPWAP源接口是否配置、中间防火墙是否放行UDP 5246/5247、以及AP与WLC时间是否同步。下图给出从AP上电到注册完成的信号链与关键检查点。
四、Catalyst Center侧：模板化与批量落地
当设备数量超过几台时，逐台CLI效率很低。Catalyst Center提供“设备发现—站点分配—模板配置—合规检查”的闭环。典型做法是：先在“Provision > Inventory”中发现交换机与WLC，再在“Design > Network Profiles”中定义管理网段、SNMP、AAA与无线SSID模板，最后通过“Provision > Fabric”或“Templates”下发。对于AP，Catalyst Center会自动读取WLC上的AP清单，并在“Wireless > Access Points”中显示注册状态、射频与客户端数。
一个实用的做法是把交换机初始化拆成两个模板：基础模板（主机名、管理SVI、SSH、SNMP、NETCONF）与端口模板（Trunk、Access、PoE、端口描述）。基础模板在所有设备上统一，端口模板按接入/汇聚角色分别绑定。这样既保证一致性，又保留差异。下发后Catalyst Center会给出合规状态；若某台设备显示“Out of Sync”，可查看差异并重新下发。
五、结果验证与常见故障判断
完成上述配置后，建议按以下顺序验证：交换机侧 show ip interface brief、show netconf-yang sessions；WLC侧 show ap summary、show wireless client summary；Catalyst Center侧查看设备健康度、AP注册数与客户端连接数。若AP未注册，优先看WLC的 show ap join stats summary all，其中会给出失败阶段与原因码。若Catalyst Center显示设备“Unreachable”，先确认SNMP与NETCONF凭据，再确认管理网段路由与ACL。