2020年3月11日，网工群里张工发了个问题：
逻辑拓扑图：
需求：用一个AC管理两个分支机构的ap，防火墙上做ipsec
问题：ac无法管理远程的ap
经一步一步试错，找到如下四个问题，处理完ap即可上线
1、在防火墙上配置好规则
防火墙上要配置4个规则：
Ipseg的两端出入各1个
业务数据的来回各1个（此处控制的不是很严谨，还应该加上对端的ipaddress）
2、配置ipseg两端密码
处理办法：
ike peer 对端id
pre-shared-key 新密码
3、最折腾的一点来了：dhcp服务器的option 43 命令，原配置里写的是
dhcp server option 43 sub-option 3 ip-address 192.168.10.253
坑爹！应该是
dhcp server option 43 sub-option 3 ascii 192.168.10.253。
定位问题的过程也很有趣：
千辛万苦弄通ipsec之后，抓包发现ap接收到的ac IP地址是177.0.0.0，于是怀疑是不是dhcp服务器或者ap的版本不兼容，在网上找到一篇文章：
https://wenku.baidu.com/view/b43038e4b307e87101f696b6.html
里面详细说明了option 43的几种不同写法，这个ip-address还有hex就是专门拿来坑人的。。。以后记住就用ascii就ok了，搞不懂华为为啥还留这两个选项
4、Ap2的曲折上线经历
原以为option43已经很坑了，没想到mtu更坑。。。。。
前天折腾好了后，发现ap1正常，ap2死活出不了无线信号，上线后状态由cfg变为cfgfa，配了无数次，找了无数资料，终于有了线索：
http://blog.sina.com.cn/s/blog_65d50aab0102x654.html
当ap状态为config-fail的时候，表示下发配置时连接中断要检查链接
拜托，模拟器里面你说信道不好？我一直ping着的好吧
又在华为论坛里找到了一个帖子，内容居然没有权限查看，真该吐槽一下这个权限设置。。。
不过标题给了我提示：mtu不足1500导致ap上线故障，灵光一闪，去看看USG和路由器接口上的mtu值，果然是1500，最大可以到1600，ok，抱着司马当做活马医的心态，全部设置为1600，重启ap
Ap2居然出信号圈了！！！！
在搜索相关资料，发现思科的也有类似的问题，ap运行在local access point，而不是remote-edge ap（reap）模式下时，当控制器配置为三层LWAPP，且控制器与ap之间的MTU《1500时，会出现ap无法注册的情况。
这不就和现在的情况一模一样么！！！！
思科的解决方案：
1、 升级控制器的软件版本
2、 Ap更换使用模式为reap（Remote-Edge Access Point）
3、 增加mtu到1500字节
目前我的方法算是瞎猫撞到死耗子了，比较正常的途径应该是更改ap的模式，但翻看了ac6005的设备手册，没有找到类似于思科的reap工作模式的设置，有点小缺憾。
