换核心交换机：不做一次性大割接

办公楼的老核心交换机是一台 S5735S，VRP V200，32 个电口加 4 个万兆口，25 个三层接口全在它身上，下联 21 台接入交换机，默认路由指向防火墙。无线是另一台独立的 AC6507S，管着 24 台 AirEngine AP。

新核心是华为 CloudEngine S6730-H24X6C-V2，YunShan V600，24 个 SFP+ 加 6 个 QSFP+——一个电口都没有。目标是新核心接管三层和无线控制器，老核心降级成接入汇聚、补端口用。

核心交换机一停，整栋楼断网。所以整件事只有一个原则：不做一次性大割接。

一、不照抄老配置#

老机上是 vlan batch 2 to 4094——4093 个 VLAN 全建着，实际在用的只有 27 个。

照抄最省事，但等于把十年前的历史包袱原样搬进新设备，以后谁也说不清哪个 VLAN 还有用。所以新核心只建实际在用的 27 个，每个都能对上业务。

25 个 Vlanif 在新核心上全部提前建好、地址配好，然后 全部 shutdown。13 个 DHCP 地址池、ACL、7 个 QoS 对象也一并预配。

割接时按 VLAN 一个一个来：老核心关一个 Vlanif，新核心开同一个，验证这个网段的终端拿地址、能出网，再做下一个。任何一个出问题，只回退这一个 VLAN，其他网段完全不受影响。

生成树也是同样的思路：割接期新核心先用 stp mode stp 跟现网保持一致，割接完成后核心和接入一起升 MSTP。只升核心的话，和接入之间的边界端口会自动回落成 STP，等于白升。

V200 到 V600 是跨大版本，老配置直接粘过去会大面积报错。踩过的几处：

V200 写法	V600 的情况
`vlan batch` 一行塞很多项	一行不能太长，拆成每行 5~6 项
`traffic classifier X operator or`	去掉 `operator or`
`traffic policy X match-order config`	去掉 `match-order config`
`display vlan brief`	改成 `display vlan summary`
`display wlan ssid-profile all`	WLAN 命令族不带 `wlan` 前缀

总结出来的规律：老配置里凡是带可选参数的命令，迁过来先写最短形式，报错了再按 ? 补。

这一步是整个方案里最关键的设计。

AP 是靠 VLAN 内的二层广播发现 AC 的（没配 DHCP option 43）。这意味着只要新核心不配 capwap source interface，它在这个 VLAN 里就完全静默，AP 不会去找它。

于是所有无线配置——10 个 VAP 模板、6 个 AP 组、24 条 AP 白名单——都可以提前在新核心上建齐、逐条对账，现网一点不受影响。真正割接那一刻只动一条配置；回滚也只动这一条。

新核心在无线管理 VLAN 里用一个临时地址就够了，不必去抢原来 AC 的地址。这样无线割接和三层割接彻底解耦，可以分开排期、各自回滚。

几个跨版本迁移时容易翻车的点：

授权数别看错。 AP 容量要看 display license resource usage detail（新核心显示 0/80）。display license 里的 Control value : 1 是授权包的份数，不是 AP 台数，很容易误读成「只授权了 1 台」
配置名字会骗人。 老 AC 上有两套 SSID 配置都叫同一个名字，看起来在用的那套其实没被任何 AP 组引用，真正在用的是网页向导遗留的另一套。靠 display station all 里的射频和 WLAN 编号交叉验证才确认
Wi-Fi 密码的密文跨版本不可信。 V200 的密文灌进 V600 后会被重新加密，但输出上分不清是正确解密后重新加密，还是把整串密文当成明文又加密了一遍。只能用明文重设，再拿终端实连验证
ap-id 不要带 type-id：那是设备本地型号表的索引，跨版本不保证一致，去掉后 AP 上线会自动填

用户反馈是「Wi-Fi 慢」。直觉上会觉得是 AP 太密互相干扰，实际拉 display radio all 一看，问题是另外几个：

1. 11 台 AP 挤在 2.4G 的信道 1 上。 二楼的 8 台全在。根因是二楼那组 AP 的射频上被人关掉了自动选信道。零终端的 AP 空口占用率都有 40%，全是同频互撞。恢复自动选信道。

2. 244 个终端里 131 个压在两台 AP 上。 其中一台的 5G 射频 69% 满载，旁边那台只连了 2 个终端。这是布点和容量问题，配置解决不了，结论是补点 AP。

3. 全网功率被手工钉死。 发射功率全部手工指定、自动调功关闭。恢复自动调功，同时在射频模板里设上限——只许往下调，不许往上加。

另外几个决定：

V600 很多优化默认就开着：频段导航、智能漫游、负载均衡、空间复用都不用再配，老 AC 上这些全没有，迁过来自动就有
DFS 信道保留：查了老 AC 覆盖五天半的日志，零雷达事件。摘掉 DFS 会把 5G 可用信道从 13 个砍到 9 个，没有收益
2.4G 不能关：门禁设备依赖 2.4G，只能做信道和功率优化
802.11r 快速漫游要求纯 WPA2，在 WPA/WPA2 混合模式下直接报错。内部 SSID 改成纯 WPA2 后开启；访客网和仓库扫描枪那两个 SSID 考虑老终端兼容，保持混合模式
信道负载模式默认是 outdoor，室内办公楼改成 indoor
故意没配接收灵敏度阈值：它能进一步缩小小区，但取值必须依据实测底噪和 AP 间距，等新 AP 装完再调

老核心只开了 telnet，22 端口是关的。几千行配置不可能手敲，截图读回显又慢又漏行。

做法是用 PowerShell 的 TcpClient 直连 23 端口，自己处理 telnet 选项协商，命令逐行发送、回显全量落盘。用户名密码由操作人当场输入，脚本里不存。

两个踩出来的经验：

配置文件必须纯 ASCII。 中文注释在 PowerShell 5.1 里按 GBK 解码时会把行尾换行一起吞掉，下一行就被并进了注释——曾经因此漏发了 system-view，后面所有命令都跑在用户视图里。

三条保险缺一不可：

没有第 2、3 条会出很隐蔽的事故：进视图的命令失败了，后面那条 quit 会越级退到用户视图，再一条 quit 就是登出——而 quit 本身是执行成功的，「连续报错计数」根本触发不了。

核心割接最怕的不是技术难度，是一步到位。把它拆成「预配全部关着 → 按 VLAN 一个个开 → 无线单独一个开关」，每一步都能单独验证、单独回滚，整件事的风险就从「一次赌整栋楼」变成了「每次只赌一个网段」。