一芯未来：某部多库房WAPI无线网络统一建设整体方案

单个库房的WAPI网络建设方案相对成熟：在库房内部署若干AP，在机房部署一台AC和AS，终端接入即可使用。

当项目从一个库房扩展到多个库房，甚至多个营区、多个院落时，方案的复杂度就上了一个台阶。不是简单地把单库房方案复制几份——需要考虑统一认证、统一管理、证书体系统一、跨库房漫游等一系列新问题。如果每个库房独立部署一套AS和AC，不仅设备成本翻倍，管理上也会非常割裂：人员跨库房作业时要切换网络配置，运维人员要登录多个管理界面才能看到全网状态。

一芯未来针对多库房/跨区域场景，提供统一联网的整体建设方案。

一、多库房场景的核心需求

统一认证：一个单位的物资管理人员通常在不同库房之间调动作业。手持终端应该能在所有库房自动完成WAPI认证，不需要每换一个库房就重新注册一次证书。如果各库房独立建设认证体系，每次跨库房都需要重新获取证书，这在实际作业中不可接受。

统一运维：各库房的AP状态、终端在线情况、告警信息应该在同一个管理界面上呈现，而不是登录多台设备分别查看。多库房场景下，运维人员不可能每天逐个库房巡检设备状态，必须通过统一的网管平台实现集中监控。

证书体系统一：所有库房共用一套AS证书体系，根证书唯一，终端证书和AP证书由同一套AS签发和管理。如果各库房各自签发证书，跨库房时终端证书无法被其他库房的AS验证，会导致认证失败。

二、AC的部署方式：集中部署 vs 本地部署

AC负责管理AP，是多库房场景中需要重点设计的网元。部署方式有两种：

（一）集中部署

在中心机房部署一台或多台AC，所有库房的AP通过现有网络（光纤专线或VPN）注册到中心AC，由中心AC统一管理。

优势：全网AP在一个管理界面上呈现，统一配置、统一监控；负载均衡和漫游策略全局生效，不需要为每个库房独立配置；运维人员不需要分别维护各库房的AC设备，降低管理复杂度和人员要求。

适用条件：各库房到中心机房的网络必须稳定互通。如果某库房到中心机房的网络中断，该库房的AP将无法注册或离线。因此集中部署要求各库房到中心机房的网络可靠性较高，链路中断的风险可控。

（二）分库房本地部署

在每个库房本地部署一台小型AC，各库房的AC独立管理本库房的AP，再通过上级管理平台实现统一监控。

优势：可靠性高——AP与AC之间的通信不依赖跨地域网络，即便中心到库房的网络中断，各库房内的WAPI网络依然可以独立运行；各库房可根据自身规模灵活配置AC容量，避免集中部署中“一台AC容量不够、两台又浪费”的问题。

适用条件：各库房到中心网络条件不稳定、业务独立性强的场景。

（三）部署建议

多库房场景的AC部署没有标准答案，需要根据项目实际情况选择：

库房数量多，各库房到中心网络条件好，集中部署

库房分散，各库房到中心网络不稳定，本地部署（各库房各一台小型AC）

部分库房网络条件好、部分不稳定，混合部署（网络条件好的库房集中管理，不稳定的库房本地部署）

各库房业务独立性强，不希望跨库房网络中断相互影响，本地部署

运维人员少，希望统一管理，集中部署

三、AS证书体系的统一管理

AS是WAPI网络的信任根，负责签发和管理所有终端和AP的证书。

在多库房场景下，AS的部署方案相对明确：全单位部署一套AS（或AS集群），所有库房的终端证书和AP证书都由这一套AS统一签发。证书区分库房的方式，可以在证书的CN字段或扩展字段中标识所属库房编号。

这样做的优势在于：

根证书唯一：全单位只有一个根证书，所有库房的终端和AP都在同一信任体系下

证书互认：终端证书在A库房签发，在B库房同样有效，不需要重新注册

管理集中：证书签发、更新、吊销在一个平台上完成，不需要逐库房分别操作

审计统一：所有证书操作日志集中存储，便于事后追溯和合规审计

AS跨库房部署时需要注意的是：AS与各库房AP之间的通信畅通是证书验证的前提条件。如果某库房到中心机房的网络中断，该库房新接入的终端可能无法完成首次证书在线验证。解决办法是提前把各库房的终端证书批量签好，提前配置到终端中，减少对实时在线验证的依赖。

四、跨库房漫游的实现条件

跨库房漫游是指手持终端从A库房移动到B库房时，网络连接不中断、业务数据不丢包。

跨库房漫游需要满足两个条件：

条件一：AC需要同时管理A库房和B库房的AP。终端在A库房和B库房之间移动时，切换前后的AP在同一个AC的管理范围内。如果采用分库房本地部署方案（各库房独立AC），终端从A库房切换到B库房时，需要跨AC切换，实现起来更为复杂。

条件二：AS需要支持跨管理域的漫游认证。终端切换AP后，新AP需要向AS验证终端的证书仍然有效。

在实际项目中需要区分两种需求：

如果两个库房之间距离较近（同一营区相邻库房，AP覆盖区域有重叠），可以实现真正意义上的跨库房漫游。操作人员从A库房走到B库房，手持终端的网络连接不中断。

如果两个库房之间距离较远，中间没有AP覆盖，那么属于“跨库房重新连接”而非“跨库房漫游”。终端在进入B库房覆盖范围后自动重新关联B库房的AP并完成证书鉴别。持有有效证书的终端可以自动完成这一过程，几秒钟内恢复连接。

五、方案价值总结

多库房WAPI统一联网方案的核心价值在于：用一套证书体系、一套管理平台，把多个库房的WAPI网络串联成一张统一的无线专网。操作人员在不同库房之间移动时，手持终端自动认证、自动关联，无需人工干预；运维人员在统一的管理界面上监控所有库房的设备状态，不需要逐库房巡检。一张网管所有库房，一个证书体系管所有终端。