某部仓库多库房/跨区域统一联网，WAPI方案设计和单库房有什么不同？

单个库房的WAPI网络方案相对清晰：在库房内布设若干AP，在机房部署一台AC和AS，终端接入即用。

当项目从一个库房扩展到多个库房，甚至多个营区、多个院落时，WAPI方案设计的维度就变了——不是把单库房的方案复制几份，而是要考虑统一认证、统一管理、跨库房漫游等新问题。

以下梳理多库房统一联网时需要额外考虑的几个设计要点。

一、多库房统一管理的核心挑战

单库房方案中，AC管理的是同一个物理空间内的AP，AS签发的证书服务于同一个库房的终端。多库房场景下，这几个维度都放大了：

统一认证。一个单位的物资管理人员可能在不同库房之间调动作业，手持终端应该能在所有库房自动完成WAPI认证，不需要每换一个库房就重新注册一次证书。

统一运维。各库房的AP状态、终端在线情况、告警信息应该在同一个管理界面上呈现，而不是登录多台设备分别查看。

证书体系统一。所有库房共用一套AS证书体系，根证书唯一，终端证书和AP证书由同一套AS签发和管理。

如果每个库房独立部署一套AS和AC，不仅成本翻倍，管理上也会非常割裂——人员跨库房作业时要切换网络配置，运维人员要登录多个管理界面才能看到全网状态。

二、AC的部署方式——集中部署还是分库房部署？

AC是管理AP的核心设备。在多库房场景中，AC的部署位置有两种选择：

（一）集中部署

在中心机房部署一台或多台AC，所有库房的AP通过现有网络（光纤专线或VPN）注册到中心AC，由中心AC统一管理。

集中部署的优势在于管理统一——全网AP在一个界面上呈现，负载均衡和漫游策略全局生效。运维人员不需要分别维护各库房的AC设备。

但集中部署对网络质量有要求：AP与AC之间的网络必须稳定互通，网络中断会导致AP下线或无法注册。如果各库房到中心机房的网络可靠性不足（如依赖运营商VPN链路），集中部署的方案需要评估网络中断的风险和应对措施。

（二）分库房本地部署

在每个库房本地部署一台小型AC（或者AC、AS一体化设备），各库房的AC独立管理本库房的AP，再通过上级管理平台实现统一监控。

分库房本地部署的优势在于可靠性——AP与AC之间的通信不依赖跨地域网络，即便中心到库房的网络中断，各库房内的WAPI网络依然可以独立运行。但AC设备和管理的分散程度相对较高，各库房的AC需要独立配置和维护。

（三）实际选型建议

对于库房数量较多、各库房到中心网络条件较好的单位，优先考虑集中部署方案。对于库房分散、各库房到中心网络不稳定的情况（如边远地区的仓库），建议采用分库房本地部署方案，通过上级管理平台实现统一监控。

三、AS的证书体系如何跨库房统一？

AS是WAPI网络的信任根，其核心任务是签发和管理所有终端和AP的证书。

在多库房场景下，AS的设计相对简单：全单位部署一套AS（或AS集群），所有库房的终端证书和AP证书都由这一套AS统一签发。证书区分库房的方式，可以在证书的CN字段或扩展字段中标识所属库房编号。

AS跨库房部署时需要注意：AS与各库房AP之间的通信畅通是证书验证的前提条件。如果某库房到中心机房的网络中断，该库房新接入的终端可能无法完成首次证书验证。建议在AS侧提前批量签发好各库房的终端证书，提前配置到各库房的终端和AP中，减少对实时证书在线验证的依赖。

对于涉密等级不同的库房（如普通物资库和战备库共用一套AS），可以通过部署多个证书模板或分级管理策略实现证书的分级管控。

四、跨库房漫游怎么实现？

跨库房漫游是指——手持终端从A库房移动到B库房时，网络连接不中断，业务数据不丢包。

跨库房漫游的实现条件：AC需要同时管理A库房和B库房的AP，终端在A库房和B库房之间移动时，切换前后的AP在同一个AC的管理范围内；AS需要支持跨管理域的漫游认证（终端切换AP后，新AP需要向AS验证终端的证书仍然有效）。

在实际项目中，跨库房漫游主要适用于以下场景：手持终端在物资出入库作业中，从一个库房走到另一个库房，中间经过室外区域。但如果两个库房之间距离较远（超过100米），室外区域没有AP覆盖，无线信号本身就不存在连续性，终端在移动过程中会断开连接，到达B库房后需要重新关联AP并完成证书鉴别——这个过程属于“重新连接”，不属于严格意义上的“漫游”。

需要区分清楚：真正需要的是“跨库房漫游”，还是“跨库房重新连接”。如果两个库房相隔数十米甚至更远，中间没有AP覆盖，那么跨库房漫游在技术上无法实现，也不需要实现——终端在进入B库房覆盖范围后，自动重新关联B库房的AP并完成证书鉴别即可。对于已经持有有效证书的终端，重新关联和鉴别的过程可以在几秒内自动完成，业务影响极低。