Nebula 裝置註冊後仍離線，依機型與韌體查 NCC Firewall Information，先確認 DHCP、DNS、NTP、TLS，再核對當期 Base／Plus／Pro 功能。
先看懂 Nebula 是怎麼運作的
傳統的無線網路，你得在機房裝一台實體控制器(controller),AP 全部指向它、由它派設定。Nebula 走的是另一條路：控制器搬到雲端，NCC 就是那台「看不見的控制器」。你在 NCC 的網頁後台把 SSID、VLAN、防火牆規則、頻道功率統統設好，雲端會把這份設定當作唯一的「真值」,再往每一台在線的裝置下推。這也是為什麼連鎖店最愛用它：十家門市要改同一條 Wi-Fi 密碼，你在雲端改一次就好，不必一家一家跑。
但這套模式有個前提：裝置必須先被「認領」進你的帳戶，而且必須能穩定地連得上雲端。所以第一線最常見的三個卡點，剛好就對應這三件事：註冊(把裝置認領進來)、上線(裝置連得上雲)、授權(組織有沒有付費等級撐住進階功能)。下面一關一關拆。
第一關：裝置註冊：序號和 MAC 為什麼缺一不可
把一台裝置加進 Nebula,本質上是在 NCC 用它的「序號(Serial Number)+ MAC 位址」這組雙碼去「認領」這台設備。很多人會問，為什麼要兩個碼、報一個不行嗎？這是刻意的雙因子設計：MAC 是網卡的硬體位址，理論上全球唯一，但它印在機身、也會出現在封包裡，單靠它認領容易被誤植或盜認；序號則是原廠出貨時就綁進雲端資料庫的身分，兩碼同時對上，雲端才確認「這台確實是你手上這台、也確實是我出的貨」。新一點的機型會把這組碼壓成 QR Code 印在機身或外盒，拿手機 App 掃一下最快，也最不會出錯。
註冊失敗，通常是這三種
- 序號或 MAC 打錯一碼:手動輸入時最常見，英文 O 跟數字 0、字母 B 跟數字 8 很容易看走眼，只要錯一個字元，雲端就認領不到。能掃 QR Code 就別手打。
- 裝置已經被別的組織認領走了:二手設備、或經銷商先前拿去展示註冊過，最容易踩到。這時候雲端會擋住你，因為同一台裝置在同一時間只能屬於一個組織。解法是請原持有者的帳號先到他那邊把裝置「移除(de-register)」,把它釋放出來，你這邊才認領得到。買二手 Nebula 設備前，務必先問清楚對方有沒有解除註冊。
- 機型根本不在支援清單:純舊款、或非 Nebula 系列的機器，是掛不上雲的。採購前先確認型號支援 Nebula,不要買回來才發現。
註冊只是入冊，指派站點才算受管
這裡有個很多人忽略的觀念：註冊成功，只是把裝置登記進你組織的「庫存清冊(Inventory)」,它還不會自動開始工作。你得再把它指派到一個站點(Site),通常一個站點就對應一家門市或一個廠區，裝置被指派進站點之後，才會去套用那個站點的設定、才真正進入被管理的狀態。多分點的做法，我會建議直接走 Organization-wide 底下的 License & Inventory 頁面批次匯入序號與 MAC,再一台一台分派到對應門市，清楚又不會漏掉。
第二關：AP 一直離線：先懂 Call Home 這條路
裝置註冊好了、卻一直顯示離線，多數不是機器壞了，而是它連不上雲端。要抓這種問題，得先知道 Nebula 裝置跟雲端實際是怎麼建立連線的。這個過程原廠叫它 Call Home(打電話回家),顧名思義，是裝置主動往外撥給雲端,而不是雲端連進來找裝置。整個 Call Home 大致分四步：
- 拿身分:裝置開機後，預設是 DHCP client,先跟本地的 DHCP 伺服器要到 IP 位址和 DNS 伺服器資訊。這一步失敗，連上網的資格都沒有。
- 解析與對時：裝置取得 DHCP、gateway 與 DNS 後，先確認能解析 Nebula FQDN，並透過 NTP 校準時間。時鐘差太多時，後續 TLS 憑證驗證可能直接失敗。
- 建立安全通道並佈建：DNS 與時間正常後，裝置才對雲端建立 TLS 管理通道，下載需要的憑證／設定並開始回報狀態。不同設備世代的實際通道與埠要看當版官方說明。
- 拉設定、送狀態:之後雲端就用 NETCONF 的 get 與 edit-config 指令，把該站點的設定推給裝置、同時定期回收裝置的狀態與監控資料。
為什麼要設計成裝置主動 Call Home,而不是雲端連進來？因為絕大多數門市的裝置都躲在 NAT 後面、沒有公網 IP。如果要雲端連進來，你每一台都得在防火牆上做 port forwarding,既麻煩又是資安破口。改成裝置主動外撥，就天然穿透了 NAT,裝置不必對外開任何一個對內的埠，管理平面(control plane)跟使用者流量也分離開來，安全性反而更高。理解這一點很重要：離線問題幾乎都出在「裝置往外撥的那條路被擋」,而不是「雲端連不進來」。
對外要放行的埠與服務，一項都不能缺
既然是裝置主動外撥，你的防火牆和 ISP 就得把這幾條出向流量放行：
- Nebula 管理通道：不要假設只開 4335 就夠。53、123、443，以及部分設備／韌體使用的 4335 或 6667，會隨機型與版本不同；到 NCC 的 Help > Firewall Information 查目前站點所需 FQDN、埠與方向，依管理網段做最小 allowlist。
- HTTPS 埠 443(TCP):裝置初次上線要向雲端下載憑證，443 被擋，就拿不到憑證、卡在認證階段，永遠上不了線。
- DNS(UDP／TCP 53):裝置得先把雲端那串 FQDN 解析成 IP 才連得出去。麻煩的是，有些 ISP 的 DNS 伺服器解不了 Nebula 這串網址，官方直接建議把裝置 DNS 指到 8.8.8.8、1.1.1.1 這類公有 DNS。解析不了雲端網址，後面全都免談。
- NTP(UDP 123):對時流量，務必放行。時間沒對好的後果比你想的嚴重，下一段細講。
時間沒對好，為什麼雲就連不上
很多人不理解，對個時間跟能不能上雲有什麼關係？關係大了。前面說過，管理通道是靠 TLS 加密的，而 TLS 交握時要驗證雲端憑證的有效期：每張憑證都有「生效時間(notBefore)」和「到期時間(notAfter)」兩個欄位。如果裝置的時鐘不準，譬如出廠後電池沒電、時間停在好幾年前，它就會誤判「這張憑證還沒生效」或「這張憑證早就過期」,TLS 驗證直接失敗，連線根本建不起來。這也是為什麼 NTP 對時是 Call Home 流程裡不能跳過的一步。所以遇到 AP 卡在憑證或雲端連線階段，先別急著怪防火牆，回頭確認一下 UDP 123 有沒有通、裝置的時間對不對。
用 AP 自己的 Web GUI 逐階段看，別瞎猜
Nebula 的 AP 有個很體貼的設計：它把 Call Home 的每個階段做成可視化的檢查表，顯示在 AP 自己的網頁後台(有些機型叫它 Easy Troubleshoot)。AP 上線時會一階一階自我檢查，某一階通過了才走下一階，卡住的那一階會亮起橘色的圈圈，滑鼠移上去還能看到詳細錯誤訊息。它大致分成兩大段：
- Internet 這一段:檢查上聯埠介面、有沒有拿到 IP、閘道通不通、DNS 設定、NTP 對時。拿不到 IP,就查管理 VLAN 上的 DHCP 有沒有開；閘道不通，就查交換器上的 VLAN 設定跟 AP 的 IP 設定；NTP 失敗，就回去放行 123。
- Nebula 這一段:檢查憑證有沒有匯入、雲端網址解析得出來嗎、AP 到雲端的流量放行了沒。拿不到憑證，就手動把 DNS 指到公有 DNS、放行 DNS 與 443;DNS 查詢失敗，就回去檢查 AP 的 DNS 設定。
有了這張可視化檢查表，判斷方向其實很清楚：AP 連 IP 都拿不到，那是 DHCP 或實體層(線材、埠、VLAN)的問題；IP 有了卻上不了雲，就照 DNS → NTP → 443 → 4335／6667 這個順序逐項查,一步一步收斂，不用整組拆開重來。真的每一項都對過還是不行，再到 AP 的維護頁面收 Diagnostics 診斷檔給原廠。
第三關：Base、Plus、Pro 授權與到期處理
裝置註冊好、也上線了，還有一關會突然給你難看，就是授權。Nebula 現行的授權制度(License 2.0)採逐台裝置(per-device)計費：每一台受管裝置各自吃一份授權、各自有一個到期日，而整個「組織」則會落在 Base、Plus、Pro 三個等級之一。
三個等級，各解鎖到哪
- Base：免費入門:基本的集中監控、日誌，以及大約近 24 小時的簡易報表。中小型、單純要遠端看得到、管得動裝置的，Base 就夠用，但那些標著鑽石圖示的進階功能都是鎖住的。
- Plus／Pro：拓撲、告警、歷史資料、報表與資安功能的分級會隨 Nebula release 調整，不能把某一版的功能表長期寫死。採購前用目前 Management License Guide 與自己 NCC 畫面逐項核對。
- Pro：付費旗艦:再往上是更深的分析與資安能力，例如進階報表(SecuReporter)、組織級 VPN 統籌調度(VPN Orchestrator)、協同偵測與回應(CDR)的威脅圍堵等，適合分點多、對資安與合規要求高的企業。
選授權時先列出真正要用的功能、保存期間與裝置類型，再對照當期官方矩陣。Base、Plus、Pro 的功能可能在改版後上移或下放；看到舊文章說「某功能一定要 Plus」時，不要直接拿去估價。以 NCC 目前顯示與 Nebula 當期授權說明為準。
寬限期的規則，一定要背起來
授權到期、混入較低授權裝置時，寬限日數與降級結果要看 NCC 當下顯示及官方 License Guide；不要在常設文章裡承諾固定 15 天或固定降到哪一級。收到提醒後先匯出授權與裝置清單，確認受影響功能、續約日與降級選項，再在期限前處理。組織降級後，其他授權是否繼續計時也要以目前帳戶狀態核對。
所以我對客戶的提醒一律是：續約絕對不要拖到最後一刻,也不要在規劃階段就假設可以無痛混用不同授權等級的裝置。多台裝置的到期日最好對齊(co-termination),一次到期、一次續約，才不會今天這台過期、下週那台又過期，天天在跟寬限期賽跑。
最後一塊拼圖：設定同步是「雲端為準」
把三關都顧好之後，還有一個運作邏輯要記牢，不然你會被「我明明改了怎麼沒生效」搞得一頭霧水。Nebula 的同步方向永遠是雲端為準、再往下推到裝置:你在 NCC 改完設定，只有在線的裝置才會即時把新設定拉下去；如果某台裝置當下正好離線，它得等重新上線，才會把最新設定同步回來。
所以有幾個常見誤區，先提醒你避開：
- 改完設定發現某台門市沒生效，第一件事是確認它是不是正好離線,而不是懷疑設定本身寫錯：很可能只是它沒在線上、還沒拉到新設定而已。
- 不要在裝置離線時反覆改設定又反覆回滾，雲端記的永遠是最後那一版，裝置一上線就照最後一版套，中間的來回它並不知道。
- 別把「註冊成功」當成「開始受管」,沒指派站點的裝置只是躺在清冊裡而已。
- 別把離線一律當成防火牆問題，先用 AP 的 Web GUI 定位卡在哪一階，DNS、NTP、憑證、雲端連線，對症下藥比全面開埠更快也更安全。
