简介：面向网络工程师与无线运维人员的思科 Catalyst 9800 实战配置手册，聚焦 Catalyst 9800-40 及 C9800 全系的部署、配置与排错场景，适合具备一定企业无线网络基础、需要落地集中式、FlexConnect 或 Fabric 架构的读者。内容围绕设备规格、硬件接口、配置逻辑与初始上线展开，梳理 AP、WLAN、策略、RF、AP Join、Flex 等配置文件及策略标签、RF 标签、站点标签之间的关系，并延伸到 Web 管理界面重登录、AP 关联查看、DP 接口重配、VLAN 与 HA 配置等实操要点，便于快速建立从开局到验证的完整思路。包内共 1 个 PDF 文件，压缩包约 6.31MB，适合按章节查阅和现场对照。已有 501 人学习，可作为实施前预习与配置核对参考。

1. 从一台上电没网的 C9800-40 说起：装之前先划清交付边界

思科 Catalyst 9800 无线控制器这台 C9800-40，我第一次上架时踩过一个很典型的坑：机器上电正常、指示灯也像那么回事，但业务口没配、DP 口没重配、Web 管理地址还在默认网段，结果就是“设备活着，网络没活”。C9800-40 支持最高 2000 个 AP、32000 个客户端、40G 吞吐，带 1+1 冗余电源，能跑集中式、FlexConnect 和 Fabric 三种部署模式；配置逻辑又是 WLAN Profile、Policy Profile、RF Profile、AP Join Profile、Flex Profile 加 Site Tag、Policy Tag、RF Tag 这一整套对象模型。装不好不是单台设备的事，AP 不上线、客户端拿不到地址、HA 状态异常都会一起冒出来。这篇笔记按现场安装顺序走：先核接口，再首次开机，接着把对象模型和 VLAN、DP、HA 落地，最后给出我会强制走一遍的验证和排错清单，适合正准备上 C9800-40 的运维和网络工程师对照使用。

2. 上架与接口核对：C9800-40 的 Console、DP 口和 1+1 电源怎么接

2.1 开箱先别拧螺丝：按接口清单做一遍物理盘点

C9800-40 的接口不算多，但很容易在机房灯光下看错。前面板有 Power LED、System LED、Alarm LED、HA LED，Console 口、USB Console 口、USB Console enabled LED、USB Port、SP Management Port（G1）、DP Port（G2）、Connector LED、SSD Activity LED、TE0 到 TE3 业务口（1G SFP/10G SFP+）以及 Redundancy Port（G3）。后面板是 Fans、Operation Redundant PSU、Power Supply 和 Power/Standby 开关。我的习惯是先把这些接口按“管理、业务、冗余、电源”四类列在纸上，再去拧螺丝。

上架前我会先跑一遍清点命令，确认设备识别到的模块和实际插的模块一致：

# 登录后先看设备清单和端口状态 show inventory show interfaces status show environment all

show inventory看的是设备背板、电源、风扇和光模块有没有被正确识别；show interfaces status看端口 up/down、速率和 VLAN；show environment all看温度、风扇和电源状态。C9800-40 是 1+1 电源，不等于“双机热备”，它只解决单路电源故障，HA 要靠两台控制器和 Redundancy Port 做 SSO。这个区别现场经常被混为一谈，后面第 5 章还会展开。

2.2 Console 与 SP 管理口：第一根线决定后面排查效率

首次开机最稳的入口还是 Console。C9800-40 的 Console 口默认串口参数常见做法是 9600 波特率、8 数据位、无校验、1 位停止位、无流控。USB Console 也能用，但现场电脑驱动和线序容易出问题，我一般把 Console 线当“后悔药”，USB Console 当备用。管理口 G1 用来放带外管理地址，业务地址走 DP 口或 TE 口，不要为了让 Web 页面先通，就把管理口和业务口塞进同一个二层广播域里，后面割接时很难拆。

首次登录后先确认管理口状态，再配置地址：

# 进入配置模式，先改主机名，避免多台设备混淆 enable configure terminal hostname C9800-40-01 # SP Management Port 以实际接口编号为准，先 show ip interface brief 确认 interface GigabitEthernet1 description OOB-MGMT ip address 10.10.10.10 255.255.255.0 no shutdown exit # 默认网关指向带外管理网关 ip default-gateway 10.10.10.1 # 打开 Web 管理服务 ip http server ip http secure-server

hostname是现场最小但最有效的防误操作手段；interface GigabitEthernet1这里只是示例，实际以show ip interface brief显示为准；ip default-gateway只影响管理面访问，不等于业务网关；ip http secure-server打开 HTTPS，Web 登录时用https://10.10.10.10。如果管理口和业务口共用网关，割接时容易出现“网页能开、AP 不回”的假象，所以我一般让带外管理走独立网段。

注意：C9800-40 初始配置完成后，Web 管理界面通常需要重新登录一次，旧会话被踢出是正常现象，不是账号锁死。

2.3 电源、风扇与 HA 冗余口：别把 1+1 理解成双机热备

C9800-40 的 1+1 电源是设备内部冗余，单电源故障时另一路继续供电；HA 是两台控制器之间的高可用，靠 Redundancy Port 和 HA 配置完成。现场最容易翻车的是把 Redundancy Port 当业务口接进接入交换机，结果 HA LED 状态不对，业务口还频繁抖动。我的做法是：电源两路分 PDU，风扇和电源状态在上架后先截图留档；Redundancy Port 单独标签，直连对端控制器，不经过接入交换机。

上架完成后先看电源和风扇：

# 查看电源、风扇、温度 show environment all # 查看 HA 相关状态，未配置 HA 时状态为空或 standalone 属正常 show redundancy

show environment all里重点看 Power Supply 是否双路识别、Fan 转速是否正常、Temperature 是否在阈值内；show redundancy在未做 HA 时显示 standalone 或未启用，不要急着判断设备坏。等第 3 章做完初始配置、第 5 章做完 HA，再回来对比状态。C9800-40 的 HA LED 只是面板指示，最终以命令输出为准。

3. 首次开机与 Web 登录：C9800-40 初始配置怎么一次走通

3.1 串口参数与启动等待：看到什么才算进入配置向导

C9800-40 首次开机时间不短，风扇全速转、System LED 闪、串口先出 BootLoader 再进 IOS-XE，这些阶段都不要急着敲回车。串口工具用 9600-8-N-1、无流控，连上后如果一片空白，先换 Console 线，再检查 USB Console 驱动。启动完成后一般会看到是否进入初始配置对话框的提示，常见做法是选yes走向导，或者选no手工进 CLI。我倾向手工配，因为向导里的管理地址、网关和后续 DP 口重配经常要改，手工配更容易回滚。

首次进入 CLI 后先做最小配置，不要一上来就配 WLAN：

enable configure terminal hostname C9800-40-01 username admin privilege 15 secret MyStrongPassword enable secret MyEnableSecret ip domain-name lab.local crypto key generate rsa modulus 2048 ip http secure-server line con 0 logging synchronous exit

username ... privilege 15是本地管理员；enable secret是特权密码，和用户密码分开；crypto key generate rsa为 HTTPS 生成密钥，模数 2048 是常见起点；line con 0下logging synchronous防止日志打断输入。密码不要照抄示例，现场按密码规范替换。配置完先用write memory保存一次，后面改错了还有回头路。

3.2 初始向导里的管理地址、网关和 Web 访问

管理地址配完后，Web 访问不通通常不是设备没开服务，而是路由、ACL 或接口选错。C9800-40 的 SP 管理口和 DP 业务口要分清：Web 管理走管理口，AP 注册和客户端流量走 DP 口或业务 VLAN。首次 Web 登录用https://管理地址，浏览器证书告警在实验环境可以临时跳过，生产环境按证书规范处理。

配置管理面时把这几项一次写清：

# 管理口地址 interface GigabitEthernet1 description OOB-MGMT ip address 10.10.10.10 255.255.255.0 no shutdown exit # 管理默认网关 ip default-gateway 10.10.10.1 # 确认 HTTP/HTTPS 服务 ip http server ip http secure-server ip http authentication local

ip http authentication local让 Web 登录走本地用户库；如果现场用 AAA，改成对应认证列表。管理口地址不要和 DP 口业务地址重叠；ip default-gateway只对管理面生效，业务转发靠 VLAN 和路由。Web 第一次登录后如果页面提示会话失效，重新登录一次再看 AP 关联状态，这是 C9800 初始配置后的常见动作，不是玄学。

3.3 DP 口重配置、VLAN 与 HA 的第一次落地

DP 口是 C9800-40 的业务数据口，初始配置后经常需要重配。先看接口现状，再决定做二层 Trunk 还是三层路由口。集中式部署常见做法是 DP 口做 Trunk，接核心交换机，VLAN 在控制器上建好，Policy Profile 里映射 VLAN；如果现场用 FlexConnect 本地转发，DP 口和站点侧 VLAN 要两头对齐。

# 先看接口现状，确认接口编号和当前模式 show ip interface brief show interfaces status # 示例：把 DP 口配成 Trunk，实际接口名以设备为准 interface TenGigabitEthernet1/0/1 description DP-to-Core switchport switchport mode trunk switchport trunk allowed vlan 100,200,300 no shutdown exit # 建业务 VLAN vlan 100 name WLAN-CORP vlan 200 name WLAN-GUEST vlan 300 name WLAN-IOT exit

switchport mode trunk是二层承载多 VLAN 的常见做法；switchport trunk allowed vlan只放行需要的 VLAN，不要图省事写all；VLAN 名称是给人看的，真正映射靠 VLAN ID。若 DP 口做三层，则改用no switchport和ip address，但集中式 WLAN 的客户端 VLAN 通常还是二层 Trunk 更直观。HA 第一次落地先确认两台控制器管理地址、Redundancy Port 直连、软件维护版本一致，再配redundancy和mode sso，不要在主设备上配一半就去配备机。

4. 配置对象模型落地：WLAN Profile、Policy Tag 与 Site Tag 的对应关系

4.1 先把对象关系画在纸上：Profile 是模板，Tag 是绑定

C9800 的配置逻辑和老的 AireOS 不一样，最怕“建了 WLAN 但没绑 Tag”。WLAN Profile 定义 SSID、安全和广播域；Policy Profile 定义 VLAN、ACL、QoS、客户端策略；RF Profile 定义 2.4G/5G 的速率、信道和 RRM；AP Join Profile 定义 AP 加入参数；Flex Profile 定义远程站点行为；Site Tag 把 AP 归到站点，Policy Tag 把 WLAN 和 Policy Profile 绑一起，RF Tag 把 RF Profile 绑到 AP。AP 加入时是“AP 找 Site Tag，Site Tag 找 Policy Tag，Policy Tag 找 WLAN 和 Policy Profile”，这条链断一环，SSID 就出不来。

我一般先在纸上画三列：左边 Site Tag，中间 Policy Tag，右边 WLAN/Policy/RF Profile。画完再进 CLI，比在 Web 页面里点来点去稳。

4.2 建 WLAN/Policy/RF Profile：一条 SSID 下发前的最小集合

最小可跑集合是：一个 WLAN Profile、一个 Policy Profile、一个 Policy Tag、一个 Site Tag、一个 AP Join Profile、一个 RF Tag 和对应 RF Profile。下面以企业内网 SSID 为例，VLAN 100，WPA2 PSK 先做连通性验证，生产环境再换 802.1X。

# 1. 建 WLAN Profile，先只做最小安全配置 wlan CORP-WLAN 1 CORP-WLAN ssid CORP-WLAN security wpa psk set-key ascii 0 MyPskPassphrase no shutdown exit # 2. 建 Policy Profile，映射 VLAN 100 wireless profile policy PP-CORP vlan 100 no shutdown exit # 3. 建 RF Profile，2.4G 和 5G 分开 ap dot11 24ghz rf-profile RF-2G channel width 20 exit ap dot11 5ghz rf-profile RF-5G channel width 40 exit # 4. 建 AP Join Profile ap profile AP-JOIN exit # 5. 建 Policy Tag，把 WLAN 和 Policy Profile 绑起来 wireless tag policy PT-CORP wlan CORP-WLAN policy PP-CORP exit # 6. 建 Site Tag，指定 AP Join Profile wireless tag site ST-FLOOR1 ap-profile AP-JOIN flex-profile default-flex-profile exit # 7. 建 RF Tag，绑定 2.4G/5G RF Profile wireless tag rf RT-DEFAULT 24ghz-rf-profile RF-2G 5ghz-rf-profile RF-5G exit

wlan CORP-WLAN 1 CORP-WLAN里第一个是配置名，第二个是 WLAN ID，第三个是 SSID；security wpa psk只适合临时验证，正式环境换成 802.1X 或更合适的认证方式；wireless profile policy下的vlan 100必须和 DP 口放行的 VLAN 一致；ap dot11 24ghz rf-profile和5ghz分开建，不要用一个 RF Profile 硬套双频；wireless tag policy里wlan ... policy ...是绑定关系，少一个都下发不了。建完后用show wireless profile policy summary、show wireless tag policy summary、show wireless tag site summary逐项核对。

4.3 用 CLI 做一遍可回滚的配置快照

C9800 的配置对象多，改错一个 Tag 绑定，排查半天。我的习惯是每做完一组对象就存一次快照，至少保存 running-config 和关键 show 输出。CLI 下可以用show running-config导到本地，也可以用copy running-config startup-config先落盘。更稳的是把关键对象单独抓出来，出问题时对比。

# 保存配置 copy running-config startup-config # 抓关键对象快照，重定向到本地或复制到 TFTP show running-config > bootflash:snapshot-before-wlan.txt show wireless profile policy summary show wireless tag policy summary show wireless tag site summary show wireless tag rf summary show ap summary

copy running-config startup-config是落盘，重启不丢；show running-config > bootflash:...是把当前配置存成文本快照，方便和改动后对比；后面几条show wireless ... summary是对象绑定关系的黑匣子，出问题时先看这几条，比翻整份配置快。快照不要只存 WLAN，Policy Tag 和 Site Tag 的绑定也要存，很多回滚失败就是少存了 Tag。

5. 避坑与排查：C9800-40 装完后最常见的五个翻车点

5.1 AP 不上线：先看 join profile 再看 DHCP 和 CAPWAP

现象：AP 上电后指示灯一直找控制器，show ap summary里看不到 AP，或者 AP 状态停在Downloading、Joining。

原因：常见有三类，一是 AP 没拿到管理网段 IP 或 DHCP Option 43 没指到 C9800；二是 Site Tag 或 AP Join Profile 没绑对，AP 找不到加入策略；三是 AP 和控制器之间 CAPWAP 路径被 ACL 或防火墙挡了。C9800-40 的 AP Join Profile 不是建了就生效，必须通过 Site Tag 应用到 AP。

解决：先查 AP 的 DHCP 地址和 Option 43，再查控制器侧show ap summary、show wireless tag site summary、show ap config general。如果 AP 能 ping 通控制器管理地址但不上线，重点看 CAPWAP 的 UDP 5246/5247 和中间 ACL。我一般先在 AP 所在 VLAN 里抓一次 DHCP，再在控制器上开 debug，别一上来就重启 AP。

5.2 Web 登录被踢出：初始配置后的重登录不是玄学

现象：初始配置完成，浏览器登录 Web 管理页面，刚点两下就退回登录页，或者提示会话失效。

原因：C9800 初始配置后 Web 服务会重新加载会话，旧会话失效是正常行为；另一个常见原因是管理口地址变更后浏览器还缓存旧地址，或者 HTTPS 证书重新生成导致会话不匹配。

解决：关掉旧标签页，用https://新管理地址重新登录；清一次浏览器缓存或换无痕窗口；确认ip http secure-server和ip http authentication local没被覆盖。如果仍然被踢，查show ip http server session或看 AAA 认证日志。这个问题听着像玄学，实际多半是会话和地址切换，不是设备故障。

5.3 HA 状态异常与 DP 口无流量：冗余口和业务口别接反

现象：两台 C9800-40 配了 HA，HA LED 状态不对，show redundancy显示不同步；或者 DP 口 up 了但客户端没流量。

原因：Redundancy Port 接到业务交换机、两台控制器软件维护版本不一致、HA 心跳 VLAN 不通，都会导致 HA 异常。DP 口无流量则常见于 Trunk 没放行客户端 VLAN，或者 Policy Profile 里的 VLAN 和 DP 口不一致。

解决：先确认 Redundancy Port 直连对端、HA LED 和show redundancy状态一致；两台设备的管理地址、主机名、软件版本按 HA 要求对齐；DP 口用show interfaces trunk看放行 VLAN，再对 Policy Profile 的 VLAN。HA 不是 1+1 电源，别把电源冗余当 HA 验证。

5.4 FlexConnect 本地转发不通：VLAN 和策略 ACL 两头对

现象：总部 SSID 能通，分支站点 FlexConnect 本地转发客户端拿不到地址或上不了网。

原因：Flex Profile 和 Site Tag 没绑对，分支 AP 还在集中转发；或者本地 VLAN 没在分支交换机放行，Policy Profile 的 ACL 把流量挡了。

解决：确认 Site Tag 里引用了正确的 Flex Profile，AP 侧show capwap client config看本地转发状态；分支交换机放行对应 VLAN，Policy Profile 的 VLAN 和 ACL 按站点核对。FlexConnect 场景下，控制器管策略，站点管 VLAN 和端口，两头都要对。

5.5 配置回滚失败：快照里少存了 tag 绑定

现象：改错配置后想回滚，发现 WLAN 回来了但 SSID 还是不下发，或者 AP 还是不上线。

原因：只备份了 WLAN Profile，没备份 Policy Tag、Site Tag、RF Tag 的绑定关系；或者回滚后没有重新应用 Tag。

解决：每次改动前存show running-config和四类 tag summary；回滚后逐条核对show wireless tag policy summary、show wireless tag site summary、show wireless tag rf summary；必要时重新绑定 Tag 再保存。血泪经验是：C9800 的配置不是单个 WLAN 的事，Tag 才是把对象串起来的那根线。

6. 验证跑通：C9800-40 上线前我会强制走一遍的 6 个检查

装完不等于跑通。我的验证顺序固定为：控制面状态、AP 加入、客户端关联、VLAN 转发、HA/DP 冗余、配置快照。先跑三条命令看底子：

# 控制面和 AP 状态 show redundancy show ap summary show wireless client summary # 数据面与绑定关系 show interfaces trunk show wireless tag policy summary show wireless tag site summary

show redundancy看 HA 是否 SSO；show ap summary看 AP 数量和状态；show wireless client summary看客户端是否关联到正确 WLAN；show interfaces trunk看 DP 口放行 VLAN；两条 tag summary 看绑定关系有没有断。再补一张验证表，逐项打勾：

最后我会把show running-config和四类 tag summary 再存一次，命名带日期，下一次改配置前先对比。从那以后我每次上 C9800-40，都强制先核接口、再存快照、最后按这张表走一遍，不靠面板灯猜状态。希望帮到你。

本文还有配套的精品资源，点击获取