OSDWAN苹果手机使用教程

问题为什么存在

iPhone 接入 OSDWAN 有两条路径：固定办公区连 CPE（W1000A / W1000A-WiFi / W2000）下发的 Wi-Fi，移动场景装 iOS 客户端。CPE 路径的问题集中在 CPE 上行隧道、无线容量和 SSID 策略；客户端路径由手机完成隧道建立、重连、鉴权和后台保活，更易受 iOS 限制。排障前先确认当前走的哪条路径。

iOS 隧道依赖 Network Extension，描述文件、签名证书、权限声明缺一项会连接失败或“显示已连接、业务打不开”。App 切后台一段时间后隧道上下文被回收，回前台重新握手，蜂窝下平均 3-8 秒，弱信号可到 15 秒以上；蜂窝与 Wi-Fi 切换会触发重建，参数不当会出现“信号满格、业务无响应”的假在线。描述文件未信任的提示不显眼，证书过期或权限声明不全也会导致隧道建立失败。

DNS 与 MTU 是高频故障点。iPhone 双栈解析时，内网域名只配 IPv4 记录会先走 IPv6 再回退，单次查询多出 300-800 毫秒；隧道 MTU 沿用默认 1500，封装后分片被丢弃，表现为小文件正常、大附件卡死。描述文件有效期通常 12 个月，到期前 30 天不轮换会集中失联。CPE 侧 W1000A-WiFi 在 30 台终端以上的开放办公区，不做限速和广播抑制，2.4G 空口拥塞会把建连成功率压到 80% 以下。内网域名宜同时提供 A 与 AAAA 记录，或关闭 IPv6 优先解析；MTU 以 1360 为起点探测，引导终端优先关联 5G 并抑制广播组播。

关键判断标准

验收按纯 Wi-Fi、纯蜂窝、Wi-Fi 与蜂窝切换三类环境分别采样。首次接入成功率以连续 200 次冷启动为样本，低于 95% 先查描述文件与证书链。建连时间 Wi-Fi 下 ≤2 秒、蜂窝下 ≤3 秒，超过 5 秒说明节点调度或鉴权链路有积压；网络切换重连 ≤5 秒，超过 10 秒需开启快速重连与会话保持。失败原因归类为描述文件、证书链、节点调度、账号鉴权四类。

质量指标按连续 100 包探测：丢包 1%、时延抖动 30ms，单向时延 150ms 以内正常，超过 250ms 会影响审批流转和即时通讯。隧道 MTU 收敛到 1300-1380，以 1360 为起点增量测试。后台驻留测试：息屏 30 分钟后回前台，隧道保持率 ≥90%，不足则把保活心跳调到 30-45 秒一次。连续使用 1 小时耗电 ≤8%，超标多因心跳过密或无效重传。每 10 分钟汇总指标，看 p95 和 p99 曲线。

容量阈值：单台 W1000A-WiFi 建议带机 ≤30 台，W2000 建议 ≤60 台，超出后按每 25 台增补一台设备。成本分三块：CPE 硬件与现场部署（按点位数量、带宽规格计）、客户端授权（按终端数按年计）、运维投入（按人天折算，试点阶段通常占整体预算的两到三成）。容量测算还要看并发业务与空口干扰，可按每人 0.2-0.5 Mbps 并发流量粗算。

方案对比

选型先回答：终端是否统一由公司管理、业务是否只允许内网访问、办公区之外使用比例多高，再把答案落到人数和天数，对照部署周期与成本构成。手机接入方式是在部署速度、单点成本和移动性之间取舍。

扫码加顾问，按你的站点和带宽给方案

说明业务场景，顾问会给出接入方式与费用构成。

电话：400-0606-936 ｜ 173-5717-8761

判断口径：员工 80% 时间在固定办公区，优先 CPE 硬件方案，手机零安装；员工 50% 以上时间在外，客户端直连边际成本更低；两者各占一半，走混合，策略为“同 SSID 优先 CPE、离开自动转客户端”。传统 MPLS 专线在多点位、线路开通周期长、移动端需二次改造上不占优势，作为对照而非默认选项。表内方案各有牺牲项：CPE 牺牲个人终端移动接入便利，客户端牺牲单点配置和描述文件管理成本，混合牺牲联调时间和策略复杂度，应提前写进验收标准。

分场景建议

人数只是变量，办公区数量、移动岗占比和分支分布同样影响选择。人数相同的公司，单地办公与多点出差部署形态不同，建议要结合员工画像和业务访问需求理解。

• 小型（1-30 人，单点办公）：一台 W1000A-WiFi 放办公区几何中心，双频开启，SSID 与内网策略绑定，手机连上即生效，不逐台装 App；给 3-5 台常出差手机装客户端兜底。验收：20 台终端并发下建连成功率 ≥95%，办公区边缘信号 ≥-70dBm。
• 中型（30-150 人，2-5 个分支）：每分支一台 CPE，分支内手机走 Wi-Fi；销售、运维、驻场等移动岗装客户端，策略按岗位分组，办公类资源只对办公网段放行。描述文件用 MDM 统一推送，续期提前 30 天完成。每季度做一次 30 分钟切换演练，覆盖 Wi-Fi 到蜂窝双向切换。
• 大型（150 人以上，多点位）：W2000 做汇聚，分支 CPE 按区域分组，手机端策略分级，普通员工只放行 SaaS 与审批类，核心岗位放行内网业务系统。选路按业务服务器所在地就近调度，平台可调度节点分布在 60 多个国家和地区，按需启用。建独立监控看板，采集成功率、建连时长、丢包三项，异常 15 分钟内告警。

小型方案要避开金属机柜、梁柱、微波炉等干扰源；中型方案 MDM 续期至少提前 30 天并留回退批次，避免描述文件过期引发集中失联；大型方案监控看板要能按分支下钻，定位到具体 CPE 或客户端群组。

落地步骤与注意事项

评估阶段 1-2 周。清点手机型号与 iOS 版本分布（低于 iOS 15 的终端单独列出）、需访问内网资源清单与协议端口、常驻地点与出差频次；确认节点按业务服务器所在地就近。输出接入设计表，写明每类终端接入方式、策略组和验收指标，后续争议回到该表判断。

试点阶段 2-4 周。选 10-20 台设备，覆盖办公区、家中、高铁或地铁三类环境，每天记录建连时长、丢包、切换重连三项数据。试点常见两个坑：描述文件装完未在“设置—通用—VPN与设备管理”点信任，表现为 App 显示已连接但业务不通；MTU 未调，大附件下载中途断流。推广按批次走，每批 4 周，先移动岗再全员，CPE 侧先扩容再放量，不要一次拉满带机量。

排查顺序固定：确认手机连对 SSID 或客户端隧道状态为已连接 → 检查描述文件已信任 → 用 Safari 访问内网 IP 加端口排除 DNS 干扰 → 查 DNS 是否解析出内网地址 → ping 网关与目标地址看丢包 → 测大包确认 MTU → 翻客户端日志看握手失败码 → 核对节点侧策略与账号状态。多数工单停在前三步。每一步只验证一个变量，不要同时改 DNS 和 MTU；日志有隧道握手失败码先查证书链、描述文件有效期、账号策略组。对“显示在线但业务不通”，先确认流量是否进入隧道。

其他注意：不要多台设备共用一个账号授权；描述文件批量更新避开业务高峰；同点位 CPE 固件版本保持统一；CPE 断电重启后约需 2-3 分钟恢复隧道，期间手机端显示在线但业务不通，属正常现象。试点期建议保留每台设备连接日志至少 7 天，用日志对照接入设计表判断配置、容量或 iOS 限制问题。用户侧提前准备解释模板，个人终端与公用终端分开命名和授权。