Cisco Meraki 802.11r adaptive vs enabled: Roaming auf MR Access Points optimieren

Auf einer Cisco Meraki MR SSID signalisiert ein aktiviertes 802.11r jedem Gerät einen schnellen Übergang (Fast Transition). Das beschleunigt das Roaming, kann jedoch ältere Geräte mit nicht konformen Treibern daran hindern, sich zu verbinden. Adaptive aktiviert den schnellen Übergang nur für Apple-Geräte, die dies unterstützen, während alle anderen Geräte eine Standard-SSID sehen. Nutzen Sie Adaptive für gemischte Gerätelandschaften und Enabled nur dort, wo jedes Gerät 802.11r unterstützt.

Wie sieht ein Meraki 802.11r Roaming-Problem aus?

Meraki Roaming-Probleme äußern sich auf zwei Arten, die in entgegengesetzte Richtungen weisen.

Die erste ist ein Verbindungsfehler. Sie stellen eine Mitarbeiter-SSID von deaktiviert auf aktiviert um, und einige Geräte verbinden sich nicht mehr. Ein Handscanner sieht das Netzwerk, kann sich aber nicht zuordnen. Ein Etikettendrucker bricht die Verbindung ab und kehrt nicht mehr zurück. Einige ältere Geräte listen die SSID gar nicht mehr auf. iPhones und neuere Laptops funktionieren weiterhin normal, weshalb der Fehler zufällig erscheint.

Die zweite ist ein langsames Roaming. Die Geräte verbinden sich, aber Sprachanrufe brechen kurz ab, wenn Mitarbeiter zwischen Access Points wechseln. Bei einer 802.1X SSID löst jeder Roaming-Vorgang eine vollständige Authentifizierung mit dem RADIUS-Server aus, was jede Übergabe verzögert. 802.1X ist der IEEE-Standard für die portbasierte Netzwerkzugriffskontrolle. RADIUS ist das Protokoll, das Ihre Access Points verwenden, um Anmeldedaten mit einem Authentifizierungsserver zu überprüfen.

Ein Verbindungsfehler bedeutet, dass 802.11r für Geräte eingeschaltet ist, die damit nicht umgehen können. Ein langsames Roaming bedeutet in der Regel, dass es ausgeschaltet ist oder Ihre Geräte es nicht nutzen.

Was ist der Unterschied zwischen Meraki 802.11r Adaptive und Enabled?

802.11r, oder Fast BSS Transition (FT), ist eine IEEE 802.11-Ergänzung aus dem Jahr 2008. Sie ermöglicht es einem Gerät, Schlüssel für den nächsten Access Point während des Wechsels abzuleiten, sodass der vollständige Authentifizierungsaustausch übersprungen wird. Meraki MR Access Points bieten drei Einstellungen für jede SSID.

• Disabled. Die SSID signalisiert nur Standardauthentifizierung. Jedes Roaming auf einer 802.1X SSID führt eine neue Authentifizierung durch, es sei denn, das Gerät nutzt Schlüssel-Caching.
• Enabled. Die SSID fügt FT-Authentifizierungs- und Schlüsselverwaltungssuiten (AKM) zum Sicherheitsinformationselement (RSN IE) in ihrem Beacon hinzu. Jedes Gerät muss dieses Element korrekt lesen können.
• Adaptive. Die SSID signalisiert die Standardauthentifizierung plus ein Cisco-spezifisches Informationselement. Apple-Geräte, die dies erkennen, nutzen FT, während andere Geräte eine gewöhnliche SSID sehen.

Einstellung	Was die SSID signalisiert	Welche Geräte schnelles Roaming nutzen	Risiko für ältere Geräte	Beste Eignung
Disabled	Nur Standard WPA2 oder WPA3 AKM	Keine, abgesehen von Schlüssel-Caching bei 802.1X	Keines	Scanner, Drucker, IoT- und medizinische Geräte
Enabled	Standard AKM plus FT AKM im Beacon	Jedes Gerät mit funktionierender 802.11r-Unterstützung	Einige ältere Treiber können sich nicht verbinden oder sehen die SSID nicht	Verifizierte Geräteflotten wie VoWiFi-Handgeräte
Adaptiv	Standard-AKM plus ein Cisco-spezifisches Element	Apple-Geräte, die adaptives FT erkennen	Keine, konzeptbedingt	Gemischte 802.1X-Umgebungen mit geschäftlichen iPhones

Adaptiv entstand aus einer Zusammenarbeit zwischen Cisco und Apple. Meraki empfiehlt dies für 802.1X (WPA2-Enterprise) SSIDs - prüfen Sie daher die 802.11r-Dokumentation von Cisco Meraki auf die Modi, die Ihre Firmware unterstützt. Meraki wendet 802.11r auf PSK- und Enterprise-SSIDs an. Wenn Ihr Guest WiFi über eine offene SSID hinter einem Captive Portal läuft, liegt es außerhalb dieser Entscheidung. Ein Captive Portal ist eine Webseite, die den Zugriff regelt, bevor ein Gerät das Internet erreicht.

Was führt gewöhnlich dazu, dass das Meraki Fast Roaming fehlschlägt?

Ältere Treiber können die FT-Ankündigung nicht lesen

Der Standard erwartet von einem Gerät, dass es AKM-Suites ignoriert, die es nicht versteht. Einige ältere Treiber tun dies nicht. Sie missverstehen die zusätzlichen FT-Einträge und lehnen das Netzwerk entweder ab oder versuchen nie, ihm beizutreten. Die eigene 802.11r-Dokumentation von Cisco Meraki warnt davor, dass die Aktivierung dazu führen kann, dass einige ältere Geräte keine Verbindung herstellen können. Barcode-Scanner, Zahlungsterminals, Drucker und IoT-Sensoren sind die üblichen Verdächtigen, da sich ihre WiFi-Firmware selten ändert. Im Healthcare-Sektor nutzen medizinische Geräte oft zertifizierte Firmware, die sich aus demselben Grund nur langsam aktualisiert.

Adaptiv ist eingestellt, aber der Großteil Ihrer Geräte stammt nicht von Apple

Adaptiv kann ein älteres Gerät nicht beschädigen, bringt aber keine Vorteile für Android oder Windows. Wenn Ihre Mitarbeiter Android-Geräte nutzen, verbleiben sie mit adaptiver Einstellung beim Standard-Roaming. Es schlägt zwar nichts fehl, aber der Vorteil, für den Sie es aktiviert haben, tritt nie ein.

Der Sicherheitsmodus entspricht nicht dem, was das Gerät unterstützt

IEEE 802.11 definiert FT separat für jedes AKM. FT über 802.1X, FT über PSK (Pre-Shared Key) und FT über SAE (Simultaneous Authentication of Equals, der WPA3-Personal-Handshake) sind unterschiedlich. Ein Gerät kann das eine unterstützen und das andere nicht. Der WPA3-Übergangsmodus erhöht das Risiko, da ein Beacon WPA2- und WPA3-Suites zusammen ankündigt. Prüfen Sie Merakis WPA3-Hinweise auf unterstützte Kombinationen, bevor Sie FT auf einer Übergangs-SSID aktivieren.

Das Roaming ist aus Gründen langsam, die 802.11r nicht beheben kann

802.11r verkürzt den Sicherheits-Handshake. Es kann jedoch nicht beheben, dass ein Gerät an einem entfernten Access Point festhält, eine schwache Abdeckung zwischen Funkzellen besteht oder ein RADIUS-Server langsam reagiert. Ebenso wenig ersetzt es das Meraki Layer 3 Roaming. Layer 3 Roaming behält die IP-Adresse eines Geräts bei, wenn es sich zwischen Access Points auf verschiedenen VLANs bewegt, bei denen es sich um logisch getrennte Netzwerksegmente handelt.

FT funktioniert zudem nur innerhalb einer Mobility Domain. Ein Roaming zwischen Access Points, die unterschiedliche Mobility Domains ankündigen, fällt auf die vollständige Authentifizierung zurück. Ein schlechtes Zell-Layout erfordert eine Standortanalyse, keine Einstellung. Siehe WiFi Site Surveys: A Practical Planning Guide.

Wie finden Sie heraus, welche Ursache vorliegt?

Isolieren Sie die Einstellung mit einer Test-SSID

Erstellen Sie eine Test SSID mit denselben Sicherheits-, VLAN- und RADIUS-Einstellungen sowie deaktiviertem 802.11r. Wenn sich ein fehlerhaftes Gerät mit der Test SSID, aber nicht mit der Produktions-SSID verbindet, ist die FT-Ankündigung die Ursache. Wenn es bei beiden fehlschlägt, prüfen Sie stattdessen Anmeldedaten, Zertifikate oder die VLAN-Zuweisung.

Prüfen Sie anschließend, ob das fehlerhafte Gerät überhaupt im Ereignisprotokoll angezeigt wird. Ein Gerät, das nie versucht, sich zu verbinden, kann das Beacon nicht lesen. Ein Gerät, das sich verbindet und danach bei der Authentifizierung fehlschlägt, weist einen anderen Fehler auf.

Wie sieht man Fast Roaming im Meraki-Ereignisprotokoll?

Öffnen Sie das Netzwerk-Ereignisprotokoll, filtern Sie nach WLAN-Ereignissen und schränken Sie es auf ein Gerät ein, das gerade zwischen Access Points gewechselt ist. Lesen Sie die Sequenz rund um jeden Access-Point-Wechsel.

• Ein vollständiges Roaming zeigt eine Verbindung zum neuen Access Point, gefolgt von einer neuen 802.1X-Authentifizierung und einem WPA-Schlüsselaustausch.
• Ein Fast Transition Roaming zeigt die Verbindung zum neuen Access Point ohne neue 802.1X-Authentifizierung.

Je nach Firmware kann das Ereignisdetail das Roaming als Fast Transition kennzeichnen. Wenn dies nicht der Fall ist, ist der fehlende 802.1X-Austausch das Indiz. Ihre RADIUS-Protokolle bieten eine zweite Überprüfung: Bei funktionierendem FT sendet ein roamingfähiges Gerät pro Schicht weniger Authentifizierungsanfragen.

Bestätigung durch eine Paketerfassung (Packet Capture)

Für eine eindeutige Antwort führen Sie eine Paketerfassung über das Dashboard auf dem Ziel-Access-Point aus. Bei einem FT-Roaming enthält der 802.11-Authentifizierungsframe den Authentifizierungsalgorithmus 2 (Fast BSS Transition). Ein Standard-Roaming enthält den Algorithmus 0 (Open System). IEEE 802.11 definiert beide Werte, sodass die Erfassung jeden Zweifel ausräumt.

Wie behebt man das Problem auf Meraki-, Apple-, Android- und Windows-Geräten?

Auf dem Meraki-Dashboard

Die 802.11r-Einstellung befindet sich in den Zugriffskontrolleinstellungen jeder SSID. Ändern Sie diese in einem Wartungsfenster, da das Speichern von SSID-Sicherheitsänderungen die Verbindung zu Geräten kurzzeitig trennen kann. Befolgen Sie die aktuelle 802.11r-Dokumentation von Cisco Meraki für die genauen Schritte, da sich das Dashboard-Layout im Laufe der Zeit ändert.

iPhone und iPad

Die Plattformdokumentation von Apple zum WiFi-Roaming bestätigt die 802.11r-Unterstützung und die Erkennung des Adaptive-Modus von Cisco. In einer gemischten 802.1X-Umgebung bietet der Adaptive-Modus iPhones und iPads Fast Transition. Zudem verbirgt er die FT-Ankündigung vor älteren Geräten, die diese ablehnen würden.

Android

Die Android-Unterstützung für 802.11r hängt vom Datensatz des Smartphones und dem Build des Herstellers ab. Meraki dokumentiert, dass der Adaptive-Modus auf Apple-Geräte ausgerichtet ist. Behandeln Sie Android-Geräte im Adaptive-Modus daher als Standardgeräte. Wenn Ihre Android-Flotte verwaltet und getestet wird, bietet eine dedizierte SSID mit aktiviertem 802.11r diesen Geräten Fast Transition.

Windows-Laptops

Microsoft dokumentiert die 802.11r-Unterstützung in Windows, sofern auch der WiFi-Treiber diese unterstützt. Aktualisieren Sie zuerst die Treiber des Laptop-Herstellers. Bei 802.1X-SSIDs profitiert Windows zudem von Opportunistic Key Caching (OKC). Bei OKC teilen sich Access Points einen zwischengespeicherten Schlüssel, sodass ein Gerät die vollständige Authentifizierung überspringt.

Scanner, Drucker und medizinische Geräte

Prüfen Sie die Dokumentation des Herstellers auf 802.11r-Unterstützung und bestätigen Sie diese anschließend mit der Test-SSID. Wenn ein Gerät ausfällt, verschieben Sie es auf eine eigene SSID mit deaktiviertem 802.11r. Segmentieren Sie nach Geräteklasse, anstatt das gesamte Netzwerk wegen des ältesten Geräts auszubremsen.

Welche Meraki 802.11r-Einstellung sollten Sie verwenden?

Ihr Gerätemix	SSID-Sicherheit	Einstellung	Was zu erwarten ist
Unternehmenseigene iPhones plus ältere Scanner und Drucker	WPA2-Enterprise	Adaptiv	iPhones roamen schnell; ältere Geräte verbinden sich normal
Verwaltete Flotte, jedes Modell auf FT getestet	WPA2-Enterprise oder WPA2-PSK	Aktiviert	Jedes Gerät roamt schnell
Nur Scanner, Drucker, IoT- oder klinische Geräte	WPA2-PSK	Deaktiviert	Stabile Verbindungen; vollständige Authentifizierung bei jedem Roaming
BYOD-Mix, überwiegend Android und Windows	WPA2-Enterprise	Adaptiv	Apple roamt schnell; andere verlassen sich auf Key-Caching
WPA2/WPA3-Übergangs-SSID	WPA3-Übergangsmodus	Deaktiviert, dann Pilot auf einer SSID aktiviert	Stabile Verbindungen während Sie die FT-SAE-Unterstützung testen

Praxisbeispiel: Ein Personalnetzwerk in einem Hotel mit 200 Zimmern

Situation. Ein Hotel mit 200 Zimmern aktivierte 802.11r auf seiner WPA2-Enterprise-Personal-SSID, um Anrufe auf den iPhones der Reinigungskräfte unterbrechungsfrei zu halten. Am nächsten Morgen konnten sich ältere mobile Bestellterminals und zwei Backoffice-Drucker nicht mehr verbinden.

Was getan wurde. Das Team erstellte eine Test-SSID mit deaktiviertem 802.11r, und die Terminals verbanden sich sofort. Sie stellten die Produktion auf adaptiv um und behielten den schnellen Übergang für die iPhones bei.

Ergebnis. Verbindungsfehler der Terminals hörten beim nächsten Verbindungsversuch auf. Das Ereignisprotokoll zeigte iPhone-Roams ohne neuen 802.1X-Austausch, was bestätigte, dass der schnelle Übergang weiterhin genutzt wurde.

Praxisbeispiel: Sprach-Badges in einer Einzelhandelskette mit 40 Filialen

Situation. Eine Einzelhandelskette mit 40 Filialen betrieb ein WPA2-PSK-Personal-WiFi mit deaktiviertem 802.11r. Das Personal berichtete über abgehackte Anrufe auf Sprach-Badges zwischen Lager und Verkaufsfläche. Ältere Scanner nutzten dieselbe SSID.

Was getan wurde. Der Badge-Hersteller bestätigte die Unterstützung für FT über PSK. Das Team erstellte eine Sprach-SSID mit aktiviertem 802.11r und testete sie in einer Filiale. Die Scanner verblieben unverändert auf der ursprünglichen SSID.

Ergebnis. Die Erfassungen im Testbetrieb zeigten den Authentifizierungsalgorithmus 2 bei Badge-Roams. Berichte über abgehackte Anrufe aus der Testfiliale hörten vor dem kettenweiten Rollout auf.

Wie verhindern Sie, dass Meraki-Roaming-Probleme erneut auftreten?

• Führen Sie ein Geräteinventar nach Klassen. Erfassen Sie die 802.11r-Unterstützung jeder Klasse aus einem Test, nicht aus einem Datenblatt.
• Gestalten Sie SSIDs nach Geräteklasse. Adaptiv für gemischtes 802.1X, aktiviert für getestete Flotten, deaktiviert für ältere Geräte.
• Führen Sie für jede Änderung einen Pilotversuch durch. Testen Sie auf einem Standort oder einer SSID, bevor Sie eine netzwerkweite Speicherung vornehmen.
• Testen Sie nach Änderungserlebnissen erneut. MR-Firmware-Upgrades und neue Gerätemodelle verändern beides das Verhalten.
• Überwachen Sie das Ereignisprotokoll. Überprüfen Sie im ersten Monat nach einer Änderung wöchentlich die Verbindungsfehler.

802.11k und 802.11v helfen einem Gerät bei der Auswahl des nächsten Access Points. 802.11r beschleunigt den eigentlichen Wechsel. Betrachten Sie diese als separate Einstellungen und testen Sie jede einzelne.

Wo Purple ins Spiel kommt

Staff WiFi von Purple fügt identitätsbasierte Netzwerke über Ihre bestehenden Meraki Access Points hinzu. Die Cloud-RADIUS-Lösung von Purple authentifiziert Mitarbeiter gegenüber Microsoft Entra ID, Okta oder Google Workspace. Neue, wechselnde und ausscheidende Mitarbeiter aktualisieren die Zugriffsrechte automatisch, sodass Purple den Zugriff ehemaliger Mitarbeiter ohne manuelle SSID-Änderung widerruft. Purple ist nach ISO 27001 zertifiziert.

Purple ist hardwareunabhängig für Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet nutzbar. Das gleiche Identitätsmodell läuft über Hotels- und Retail-Standorte mit gemischter Hardware. Purple wird an über 80.000 aktiven Standorten eingesetzt und verarbeitete im Jahr 2024 440 Millionen Anmeldungen (eigene Daten von Purple). Es ist kein Komplettaustausch erforderlich, wie Why your next WiFi upgrade doesn't need new hardware erklärt. Informationen zur entsprechenden Einrichtung bei einem anderen Anbieter finden Sie unter Configuring 802.1X on Juniper Mist with cloud RADIUS.

Häufig gestellte Fragen

Benötigt Meraki 802.11r eine zusätzliche Lizenz?

Nein, 802.11r ist eine Einstellung pro SSID im Meraki-Dashboard und kein separates Add-on. Sie wählen in den Zugriffskontrolleinstellungen jeder SSID zwischen deaktiviert, aktiviert oder adaptiv. Die Änderung gilt für die MR Access Points, die diese SSID bereitstellen. Überprüfen Sie die verfügbaren Sicherheitsmodi in der aktuellen Dokumentation von Cisco Meraki und Ihrer MR-Firmware, insbesondere bevor Sie 802.11r mit WPA3 kombinieren. Planen Sie die Änderung in einem Wartungsfenster, da das Speichern von SSID-Sicherheitsänderungen Geräte kurzzeitig trennen kann.

Funktioniert 802.11r mit Purple Staff WiFi auf Cisco Meraki?

Ja, 802.11r läuft auf Ihrer Meraki SSID und funktioniert zusammen mit dem Cloud RADIUS von Purple. Purple authentifiziert jedes Gerät bei seiner ersten Verbindung gegenüber Microsoft Entra ID, Okta oder Google Workspace. Fast Transition übernimmt dann das Roaming zwischen Ihren MR Access Points, ohne dass jedes Mal ein vollständiger 802.1X-Austausch erforderlich ist. Das reduziert den Authentifizierungsverkehr zum RADIUS-Server. Verwenden Sie den adaptiven Modus in gemischten Umgebungen und die Aktivierung nur dort, wo jedes Mitarbeitergerät einen Fast-Transition-Test besteht.

Muss ich ältere Scanner und Drucker ersetzen, um Fast Roaming zu nutzen?

Nein, Sie können diese behalten. Weisen Sie älteren Geräten eine eigene SSID mit deaktiviertem 802.11r zu. Alternativ können Sie Ihre 802.1X SSID auf adaptiv stellen, damit ältere Geräte die Fast-Transition-Ankündigung gar nicht erst sehen. Ein Austausch ist nur sinnvoll, wenn ein Gerät auch mit standardmäßigem WPA2 fehlschlägt oder der Hersteller keine Sicherheitsupdates mehr bereitstellt. Eine Test-SSID mit deaktiviertem 802.11r zeigt, welche Geräte eine eigene SSID benötigen und welche der Haupt-SSID beitreten können.

Ist 802.11r mit WPA3 kompatibel?

Ja, IEEE 802.11 definiert Fast Transition für SAE, den WPA3-Personal-Handshake und für 802.1X unter WPA3-Enterprise. Die Unterstützung in Ihrem Netzwerk hängt von der MR-Firmware und dem Treiber des jeweiligen Geräts ab. Der WPA3-Transition-Modus kündigt WPA2- und WPA3-Suites in einem Beacon an. Das erhöht die Wahrscheinlichkeit, dass ein älterer Treiber dies falsch interpretiert. Führen Sie ein Pilotprojekt für 802.11r auf einer einzelnen Transition-SSID durch und prüfen Sie das Ereignisprotokoll vor der weltweiten Einführung.

Ersetzt 802.11r das Meraki Layer-3-Roaming?

Nein, sie lösen unterschiedliche Probleme. 802.11r verkürzt den Sicherheits-Handshake, wenn sich ein Gerät zwischen Access Points bewegt. Meraki Layer-3-Roaming behält die IP-Adresse eines Geräts bei, wenn es sich zwischen Access Points in verschiedenen VLANs oder Subnetzen bewegt, sodass Sitzungen bestehen bleiben. Ein großer Campus oder ein Stadion mit mehreren Subnetzen benötigt möglicherweise beides. Wenn das Roaming innerhalb eines VLANs langsam ist, beginnen Sie mit 802.11r. Wenn Sitzungen abbrechen, sobald Geräte Subnetze wechseln, prüfen Sie Layer-3-Roaming.

Schwächt 802.11r die Sicherheit für PCI-DSS- oder GDPR-Zwecke?

Nein, Fast Transition behält die WPA2- oder WPA3-Verschlüsselung bei. Die Schlüssel für den nächsten Access Point werden aus der Schlüsselhierarchie abgeleitet, die bei der ersten Authentifizierung eingerichtet wurde, wie in IEEE 802.11 definiert. PCI-DSS erfordert weiterhin eine starke Kryptografie in WLAN-Netzwerken, die für Karteninhaberdaten relevant sind, und 802.11r ändert daran nichts. Belassen Sie Zahlungsterminals auf einer segmentierten SSID oder einem VLAN. Halten Sie die 802.11r-Einstellung in Ihrer Netzwerkkonfigurationsdokumentation fest.

Wie lange dauert es, ein Meraki 802.11r-Problem zu beheben?

Das Ändern der Einstellung dauert nur wenige Minuten, aber das ordnungsgemäße Testen nimmt mehr Zeit in Anspruch. Erstellen Sie eine Test-SSID, stellen Sie fest, welche Geräte fehlschlagen, und testen Sie die neue Einstellung an einem Standort, bevor Sie eine netzwerkweite Änderung vornehmen. Der größte Aufwand liegt in der Geräteinventarisierung, nicht im Dashboard. Buchen Sie ein Wartungsfenster für jede Änderung in der Produktionsumgebung. Überprüfen Sie das Ereignisprotokoll in der folgenden Woche auf Zuordnungsfehler.