Por qué dos AP con el mismo SSID no garantizan que un cliente itinere limpiamente entre ellos: de qué dependen realmente la itinerancia de capa 2 y de capa 3, el patrón de reenvío por túnel y puerta de enlace de usuario que mantiene estable la dirección IP de un cliente a través de los límites de la capa de acceso, el disparador de itinerancia rápida smart-roam, las razones por las que la itinerancia falla incluso cuando todo parece idéntico, y los comandos que confirman que funciona.
By Yuwen Zhang (Atlas), founder of AtlasCommTech — 13 years of carrier & enterprise network deployments · Updated July 2026
Dos AP, un SSID, cobertura superpuesta — nada de eso garantiza que un cliente mantenga su sesión al moverse entre ellos.
Que la itinerancia sea invisible para el usuario o se manifieste como una sesión VPN interrumpida y un aviso de reautenticación depende de una decisión de diseño tomada cuando se construyó la WLAN: ¿el tráfico de un AP se reenvía directamente en la capa de acceso a la que está conectado (reenvío directo), o se tuneliza hacia un único punto (reenvío por túnel)? Esa decisión es la que determina si la dirección IP de un cliente —y cada sesión construida sobre ella— realmente sobrevive al moverse de un AP a otro.
A continuación, la configuración en la que se basa este artículo — el patrón de reenvío por túnel y puerta de enlace de usuario para un AC colocado a un lado de un switch de agregación, que es lo que permite a un cliente conservar la misma dirección IP y la misma puerta de enlace predeterminada al itinerar hacia un AP cuyo enlace ascendente llega a otro dispositivo — además del disparador smart-roam que empuja a un cliente a abandonar realmente un AP que se debilita en lugar de aferrarse a él y degradar el rendimiento de todos los que están cerca.
No se trata de la distancia física entre los AP — se trata de si la dirección IP del cliente tiene garantizado sobrevivir al movimiento.
Las etiquetas del diagrama se mantienen en inglés por claridad técnica.
La itinerancia de capa 2 es el caso simple: todos los AP a los que el cliente podría itinerar comparten la misma VLAN y el mismo punto de reenvío, de modo que la dirección IP que asignó el DHCP sigue siendo válida sin importar en qué AP esté realmente el cliente. Aquí la itinerancia es solo una reasociación — invisible a nivel de IP porque nada en la capa IP del cliente necesitó cambiar nunca.
La itinerancia de capa 3 es lo que ocurre cuando las VLAN de gestión y de servicio de un AP terminan realmente en un dispositivo de capa 3 distinto al de otro AP — un switch de agregación diferente, un segmento diferente. Sin intervención, un cliente que itinerara hacia ese AP necesitaría una nueva dirección IP, interrumpiendo cualquier sesión ya en curso. El patrón que usa la configuración de origen para evitarlo —su propio escenario especial de "puerta de enlace de usuario"— consiste en forward-mode tunnel en el perfil VAP combinado con mantener la puerta de enlace predeterminada real del servicio inalámbrico aguas arriba, en el switch de agregación, en lugar de en el propio AC. El tráfico del cliente se tuneliza de vuelta a través de CAPWAP hacia el AC sin importar de qué AP físico o switch de agregación esté realmente cerca, por lo que su dirección IP y su puerta de enlace nunca cambian.
Direccionamiento
| Elemento | Valor (este ejemplo) |
|---|---|
| VLAN de gestión de AP 2 — puerta de enlace en el switch de agregación | 192.168.2.0/24 · Vlanif2 = 192.168.2.1 |
| Dirección propia del AC dentro de esa misma VLAN | 192.168.2.2 (excluded from the AP DHCP pool) |
| VLAN de servicio inalámbrico 3 — SSID employee, puerta de enlace en el switch de agregación | 192.168.3.0/24 · Vlanif3 = 192.168.3.1 |
| Interfaz de origen del túnel CAPWAP en el AC | Vlanif2 |
| Modo de reenvío en el perfil VAP | forward-mode tunnel |
Cinco pasos: crear las VLAN donde reside la puerta de enlace real, hacerlas trunk hacia el AC, aprovisionar la puesta en servicio del AP, establecer explícitamente el reenvío por túnel, y enrutar el AC de vuelta a través de esa misma puerta de enlace.
<L3> system-view
// aggregation switch — this is the device that owns the real default gateway
[L3] vlan batch 2 3
[L3] interface ge 0/0/2
[L3-GE0/0/2] port link-type trunk
[L3-GE0/0/2] port trunk pvid vlan 2
[L3-GE0/0/2] port trunk allow-pass vlan 2
[L3-GE0/0/2] quit
[L3] interface ge 0/0/24
[L3-GE0/0/24] port link-type trunk
[L3-GE0/0/24] port trunk allow-pass vlan 2 3
[L3-GE0/0/24] quit
[L3] dhcp enable
[L3] interface vlanif 2
[L3-Vlanif2] ip address 192.168.2.1 255.255.255.0
[L3-Vlanif2] dhcp select interface
[L3-Vlanif2] dhcp server excluded-ip-address 192.168.2.2
// excludes the AC's own interconnect address so it's never handed to an AP
[L3-Vlanif2] quit
[L3] interface vlanif 3
[L3-Vlanif3] ip address 192.168.3.1 255.255.255.0
[L3-Vlanif3] dhcp select interface
[L3-Vlanif3] dhcp server dns-list 114.114.114.114
[L3-Vlanif3] quit
[L3] return
<WAC> system-view
// AC — tunnels client traffic back instead of switching it locally
[WAC] vlan batch 2 3
[WAC] interface ge 0/0/1
[WAC-GE0/0/1] port link-type trunk
[WAC-GE0/0/1] port trunk allow-pass vlan 2 3
[WAC-GE0/0/1] quit
[WAC] interface vlanif 2
[WAC-Vlanif2] ip address 192.168.2.2 255.255.255.0
[WAC-Vlanif2] quit
[WAC] capwap source interface vlanif 2
// same DTLS PSK / FIT AP credential prompts as a standard bring-up — see our
// WLAN deployment note for that walkthrough in full
[WAC] capwap dtls no-auth enable
[WAC] wlan
[WAC-wlan] ap auth-mode no-auth
[WAC-wlan] display ap all
// State = nor confirms the AP joined before testing any roam
Total AP information:
nor : normal [1]
----------------------------------------------------------------------------------------------------
ID MAC Name Group IP Type State STA Uptime ExtraInfo
----------------------------------------------------------------------------------------------------
0 00e0-fc11-1111 area_1 default 192.168.2.208 AirEnginexxxx nor 0 4H:49M:11S -
----------------------------------------------------------------------------------------------------
[WAC-wlan] security-profile name employee
[WAC-wlan-sec-prof-employee] security wpa-wpa2 psk pass-phrase YsHsjx_202206 aes
[WAC-wlan-sec-prof-employee] quit
[WAC-wlan] ssid-profile name employee
[WAC-wlan-ssid-prof-employee] ssid employee
[WAC-wlan-ssid-prof-employee] quit
[WAC-wlan] vap-profile name employee
[WAC-wlan-vap-prof-employee] security-profile employee
[WAC-wlan-vap-prof-employee] ssid-profile employee
[WAC-wlan-vap-prof-employee] service-vlan vlan-id 3
[WAC-wlan-vap-prof-employee] forward-mode tunnel
// this is what keeps the client's IP and gateway unchanged as it roams
[WAC-wlan-vap-prof-employee] quit
[WAC-wlan] ap-group name default
[WAC-wlan-ap-group-default] vap-profile employee wlan 1 radio all
[WAC-wlan-ap-group-default] quit
[WAC-wlan] quit
[WAC] ip route-static 0.0.0.0 0.0.0.0 192.168.2.1
// default route back out through the aggregation switch — the real gateway
[WAC] returnLas solicitudes de PSK de DTLS, nombre de usuario/contraseña de FIT AP y PSK de VAP de gestión sin conexión activadas por capwap source interface son el mismo flujo interactivo cubierto paso a paso en nuestra nota de despliegue de WLAN — abreviadas aquí para centrarse en lo que realmente es distinto: forward-mode tunnel y dónde reside la puerta de enlace predeterminada.
El reenvío por túnel decide si un cliente conserva su IP al itinerar — smart-roam decide cuándo un cliente realmente empieza a buscar un AP mejor.
[WAC1-wlan] rrm-profile name wlan-rrm
[WAC1-wlan-rrm-prof-wlan-rrm] undo smart-roam disable
[WAC1-wlan-rrm-prof-wlan-rrm] smart-roam roam-threshold snr 15
// clients below 15dB SNR at their current AP are pushed to roam
[WAC1-wlan-rrm-prof-wlan-rrm] dynamic-edca enable
[WAC1-wlan-rrm-prof-wlan-rrm] quit
[WAC1-wlan] radio-2g-profile name wlan-radio2g
[WAC1-wlan-radio-2g-prof-wlan-radio2g] rrm-profile wlan-rrm
Warning: This action may cause service interruption. Continue?[Y/N]y
[WAC1-wlan-radio-2g-prof-wlan-radio2g] quit
[WAC1-wlan] radio-5g-profile name wlan-radio5g
[WAC1-wlan-radio-5g-prof-wlan-radio5g] rrm-profile wlan-rrm
Warning: This action may cause service interruption. Continue?[Y/N]y
[WAC1-wlan-radio-5g-prof-wlan-radio5g] quitEsta es la función smart-roam de Huawei: se empuja a un cliente a buscar un AP más fuerte en cuanto su relación señal-ruido en el AP actual cae por debajo del umbral configurado —15dB en este ejemplo— en lugar de aferrarse a una señal que se debilita hasta desconectarse por completo.
Los que hacen que la itinerancia parezca rota incluso cuando cada pieza individual parece estar configurada correctamente.
SYMPTOMforward-mode tunnel está configurado, pero un cliente sigue obteniendo una nueva dirección IP — y pierde su sesión — al moverse entre dos AP.
CAUSEEl reenvío por túnel solo cambia el lugar donde se conmutan las tramas del cliente — de vuelta al AC vía CAPWAP — no garantiza por sí solo que la puerta de enlace predeterminada del cliente sea el mismo dispositivo en toda la red. Si las VLAN de servicio de los dos AP terminan realmente en dos puertas de enlace diferentes, el cliente sigue necesitando una nueva IP en una de ellas.
FIXMantenga la puerta de enlace predeterminada real del servicio inalámbrico en un único dispositivo de capa 3 consistente — el switch de agregación en este ejemplo — hacia el que se tunelizan de vuelta todos los AC/AP del dominio de itinerancia, siguiendo el propio patrón de puerta de enlace de usuario de la configuración de origen en lugar de simplemente cambiar el modo de reenvío.
SYMPTOMHabilitar smart-roam y establecer un umbral de SNR no evita que las sesiones se interrumpan cuando un cliente itinera.
CAUSEsmart-roam roam-threshold snr 15 solo controla cuándo se empuja a un cliente a buscar un AP mejor — no tiene nada que ver con si el cliente conserva su dirección IP una vez que llega allí. Eso es una cuestión de modo de reenvío y ubicación de la puerta de enlace, tratada por separado.
FIXTrate smart-roam como un ajuste de sintonización del disparador, no como un sustituto de tener primero bien resuelto el reenvío por túnel y el diseño de la puerta de enlace.
SYMPTOMLos clientes de 2,4GHz se alejan de un AP débil como se esperaba; los clientes de 5GHz en el mismo AP se aferran a una señal que se debilita.
CAUSEEl perfil RRM tiene que estar referenciado individualmente tanto en radio-2g-profile como en radio-5g-profile — vincularlo solo a uno deja a los clientes de la otra radio sin ningún disparador smart-roam.
FIXAplique rrm-profile wlan-rrm tanto en radio-2g-profile como en radio-5g-profile, confirmando cada advertencia de interrupción de servicio a medida que avanza.
SYMPTOMAplicar un perfil RRM a un perfil de radio genera una advertencia de interrupción de servicio que es fácil confirmar por reflejo.
CAUSECambiar los enlaces de perfil a nivel de radio puede afectar momentáneamente a los clientes ya asociados en esa radio — la configuración de origen lo señala explícitamente cada vez.
FIXAplique los cambios de RRM e itinerancia durante una ventana de mantenimiento donde una breve interrupción en esa radio sea aceptable, no en medio de un día ajetreado en una radio en producción.
[WAC1-wlan-radio-2g-prof-wlan-radio2g] rrm-profile wlan-rrm
Warning: This action may cause service interruption. Continue?[Y/N]ySYMPTOMUn AP ocasionalmente no consigue una dirección utilizable, o aparece un conflicto de direcciones en el segmento de gestión — en un diseño que se supone listo para la itinerancia.
CAUSELa propia dirección del AC dentro de la VLAN de gestión (192.168.2.2 en este ejemplo) se encuentra en el mismo pool que el switch de agregación usa para direccionar los AP. Si no se excluye, puede acabar asignándose a un AP, rompiendo el propio túnel del que depende el diseño de itinerancia.
FIXExcluya esa dirección explícitamente en el switch de agregación, tal como lo hace la configuración de origen: dhcp server excluded-ip-address 192.168.2.2.
El estado nor confirma que el AP se unió — confirmar que una itinerancia realmente permanece perfecta requiere observar a un cliente real moverse.
[WAC-wlan] display ap all
Total AP information:
nor : normal [1]
ExtraInfo : Extra information
P : insufficient power supply
Total: 1
----------------------------------------------------------------------------------------------------
ID MAC Name Group IP Type State STA Uptime ExtraInfo
----------------------------------------------------------------------------------------------------
0 00e0-fc11-1111 area_1 default 192.168.2.208 AirEnginexxxx nor 0 4H:49M:11S -
----------------------------------------------------------------------------------------------------Esta nota se basa en una única configuración probada: un AC colocado a un lado de un switch de agregación, reenviando por túnel un único servicio inalámbrico de vuelta a una puerta de enlace predeterminada que reside en ese switch, además del disparador smart-roam/RRM tomado de un caso de cobertura de alta densidad independiente. No cubre la itinerancia de transición rápida 802.11r/802.11k, la itinerancia en malla o distribuida ágil (RU + AP central), ni la itinerancia entre varios AC independientes sin ninguna puerta de enlace ascendente compartida. También asume que la inicialización del AC y la puesta en servicio del AP, ya cubiertas en nuestra nota de despliegue de WLAN, están hechas — empiece por ahí primero si aún no ha puesto en servicio un AP.
Extraídas de los mismos casos de configuración en los que se basa esta nota.
La itinerancia de capa 2 significa que todos los AP a los que un cliente podría itinerar comparten la misma VLAN y el mismo punto de reenvío, por lo que la dirección IP del cliente sigue siendo válida sin importar en qué AP esté — la itinerancia es invisible a nivel de IP. La itinerancia de capa 3 significa que las VLAN de servicio de los AP terminan realmente en dispositivos de capa 3 diferentes; sin reenvío por túnel y una ubicación de puerta de enlace consistente, el cliente necesitaría una nueva dirección IP en cada uno.
No. Cambia dónde se conmuta el tráfico del cliente, no automáticamente dónde reside su puerta de enlace predeterminada. La itinerancia perfecta a través de un límite de capa 3 necesita el reenvío por túnel combinado con mantener esa puerta de enlace en un único dispositivo consistente hacia el que se tunelizan de vuelta todos los AC/AP del dominio de itinerancia — el patrón de puerta de enlace de usuario en el que se basa esta nota.
Establece la relación señal-ruido por debajo de la cual se empuja a un cliente a buscar un AP más fuerte en lugar de permanecer asociado a uno que se debilita. 15dB es el valor usado en el propio caso de cobertura de alta densidad de la configuración de origen — el umbral adecuado para un sitio determinado depende de la densidad de AP y de cuán tolerantes sean las aplicaciones en uso a una breve itinerancia.
No en esta arquitectura. Como el reenvío está centralizado de vuelta en el AC y el dispositivo de puerta de enlace mediante el tunelizado CAPWAP y el diseño de puerta de enlace de usuario, no existe un concepto separado de grupo de movilidad que configurar como exigen algunos otros proveedores — los vínculos de ap-group, perfil VAP y rrm-profile descritos arriba cumplen esa función.
La consistencia del modo de reenvío en cada AP del dominio de itinerancia, si la puerta de enlace predeterminada real está en un único dispositivo consistente, si el rrm-profile está vinculado tanto al perfil de radio de 2,4GHz como al de 5GHz, y si el SSID y el perfil de seguridad están configurados de forma idéntica en cada AP dentro del alcance.
Cuéntenos su disposición de AC/AP y si la capa de acceso entre ellos está enrutada, y le ayudaremos a acertar el modo de reenvío y el disparador de itinerancia.