Cisco Meraki 802.11r adaptive vs enabled: solución de problemas de roaming en puntos de acceso MR

En un SSID de Cisco Meraki MR, 802.11r activado anuncia una transición rápida a todos los dispositivos. Esto acelera el roaming, pero puede impedir que se conecten dispositivos más antiguos con controladores no compatibles. La opción adaptable activa la transición rápida solo para los dispositivos Apple que la reconocen, mientras que todos los demás dispositivos ven un SSID estándar. Utilice la opción adaptable para entornos mixtos, y la opción activado únicamente cuando todos los dispositivos sean compatibles con 802.11r.

¿Qué aspecto tiene un problema de roaming Meraki 802.11r?

Los problemas de roaming de Meraki se manifiestan de dos formas y apuntan en direcciones opuestas.

El primero es un fallo de conexión. Cambia un SSID de personal de desactivado a activado y algunos dispositivos dejan de conectarse. Un escáner de mano ve la red pero no consigue asociarse. Una impresora de etiquetas se desconecta y no vuelve a aparecer. Algunos dispositivos antiguos dejan de mostrar el SSID por completo. Los iPhones y los ordenadores portátiles recientes siguen funcionando con normalidad, por lo que la falla parece aleatoria.

El segundo es un roaming lento. Los dispositivos se conectan, pero las llamadas de voz se entrecortan cuando el personal camina entre los puntos de acceso. En un SSID 802.1X, cada roaming activa una autenticación completa con el servidor RADIUS, lo que añade retraso a cada traspaso. 802.1X es el estándar IEEE para el control de acceso a la red basado en puertos. RADIUS es el protocolo que utilizan sus puntos de acceso para verificar las credenciales con un servidor de autenticación.

Un fallo de conexión significa que 802.11r está activado para dispositivos que no pueden gestionarlo. Un roaming lento suele significar que está desactivado o que sus dispositivos no lo están utilizando.

¿Cuál es la diferencia entre Meraki 802.11r adaptable y activado?

802.11r, o Transición Rápida BSS (FT), es una enmienda de IEEE 802.11 publicada en 2008. Permite que un dispositivo derive claves para el siguiente punto de acceso durante el desplazamiento, de modo que omite el intercambio de autenticación completo. Los puntos de acceso Meraki MR ofrecen tres configuraciones en cada SSID.

• Desactivado. El SSID solo anuncia autenticación estándar. Cada roaming en un SSID 802.1X ejecuta una nueva autenticación a menos que el dispositivo utilice almacenamiento en caché de claves.
• Activado. El SSID añade suites de autenticación y gestión de claves (AKM) FT al elemento de información de seguridad (RSN IE) en su beacon. Todos los dispositivos deben leer ese elemento correctamente.
• Adaptable. El SSID anuncia la autenticación estándar más un elemento de información específico de Cisco. Los dispositivos Apple que lo reconocen utilizan FT, y otros dispositivos ven un SSID normal.

Configuración	Lo que anuncia el SSID	Qué dispositivos hacen roaming rápido	Riesgo para dispositivos antiguos	Uso ideal
Desactivado	Solo AKM estándar WPA2 o WPA3	Ninguno, excepto el almacenamiento en caché de claves en 802.1X	Ninguno	Escáneres, impresoras, IoT y dispositivos clínicos
Activado	AKM estándar más FT AKM en el beacon	Todos los dispositivos con soporte 802.11r funcional	Algunos controladores antiguos no logran conectarse o no ven el SSID	Flotas verificadas, como terminales de voz
Adaptive	Standard AKM plus a Cisco-specific element	Apple devices that recognise adaptive FT	None, by design	Mixed 802.1X estates with corporate iPhones

Adaptive came from a Cisco and Apple collaboration. Meraki positions it for 802.1X (WPA2-Enterprise) SSIDs, so check Cisco Meraki's 802.11r documentation for the modes your firmware supports. Meraki applies 802.11r to PSK and Enterprise SSIDs. If your Guest WiFi runs on an open SSID behind a captive portal, it sits outside this decision. A captive portal is a web page that gates access before a device reaches the internet.

What usually causes Meraki fast roaming to fail?

Older drivers cannot read the FT advertisement

The standard expects a device to ignore AKM suites it does not understand. Some older drivers do not. They misread the extra FT entries and either reject the network or never attempt to join. Cisco Meraki's own 802.11r documentation warns that enabling it can stop some legacy devices associating. Barcode scanners, payment terminals, printers and IoT sensors are the usual suspects, because their WiFi firmware rarely changes. In Healthcare, clinical devices often run certified firmware that updates slowly for the same reason.

Adaptive is set, but most of your fleet is not Apple

Adaptive cannot break an older device, but it does nothing for Android or Windows. If your staff carry Android handsets, adaptive leaves them on standard roaming. Nothing fails, but the benefit you switched it on for never arrives.

The security mode does not match what the device supports

IEEE 802.11 defines FT separately for each AKM. FT over 802.1X, FT over PSK (pre-shared key) and FT over SAE (Simultaneous Authentication of Equals, the WPA3-Personal handshake) are distinct. A device can support one and not another. WPA3 transition mode compounds the risk, because one beacon advertises WPA2 and WPA3 suites together. Check Meraki's WPA3 guidance for supported combinations before enabling FT on a transition SSID.

The roam is slow for reasons 802.11r cannot fix

802.11r shortens the security handshake. It cannot fix a device clinging to a distant access point, thin coverage between cells or a slow RADIUS server. Nor does it replace Meraki layer 3 roaming. Layer 3 roaming keeps a device's IP address as it moves between access points on different VLANs, which are logically separate network segments.

FT also works only within one mobility domain. A roam between access points advertising different mobility domains falls back to full authentication. A poor cell layout needs a survey, not a setting. See WiFi Site Surveys: A Practical Planning Guide.

How do you work out which cause you have?

Isolate the setting with a test SSID

Cree un SSID de prueba con la misma configuración de seguridad, VLAN y RADIUS, y deshabilite 802.11r. Si un dispositivo que falla se conecta al SSID de prueba pero no al de producción, la causa es el anuncio FT. Si falla en ambos, revise las credenciales, los certificados o la asignación de VLAN en su lugar.

A continuación, compruebe si el dispositivo que falla aparece en el registro de eventos. Un dispositivo que nunca intenta asociarse no puede leer la baliza. Un dispositivo que se asocia y luego falla en la autenticación tiene un fallo diferente.

¿Cómo ver el roaming rápido en el registro de eventos de Meraki?

Abra el registro de eventos de la red, filtre por eventos inalámbricos y redúzcalo a un dispositivo que se haya desplazado recientemente entre puntos de acceso. Lea la secuencia alrededor de cada cambio de punto de acceso.

• Un roaming completo muestra una asociación al nuevo punto de acceso, seguida de una nueva autenticación 802.1X y un intercambio de claves WPA.
• Un roaming de transición rápida muestra la asociación al nuevo punto de acceso sin una nueva autenticación 802.1X.

Según el firmware, el detalle del evento puede etiquetar el roaming como transición rápida. Cuando no lo haga, la ausencia del intercambio 802.1X es la pista. Sus registros de RADIUS ofrecen una segunda comprobación: con FT funcionando, un dispositivo en roaming envía menos solicitudes de autenticación por turno.

Confirmación mediante una captura de paquetes

Para obtener una respuesta definitiva, ejecute una captura de paquetes desde el panel de control en el punto de acceso de destino. En un roaming FT, la trama de autenticación 802.11 incluye el algoritmo de autenticación 2 (Fast BSS Transition). Un roaming estándar incluye el algoritmo 0 (Open System). El estándar IEEE 802.11 define ambos valores, por lo que la captura elimina cualquier duda.

¿Cómo solucionarlo en dispositivos Meraki, Apple, Android y Windows?

En el panel de control de Meraki

La configuración de 802.11r se encuentra en los ajustes de control de acceso de cada SSID. Cámbiela en una ventana de mantenimiento, ya que guardar los cambios de seguridad del SSID puede desconectar brevemente los dispositivos. Siga la documentación actual de 802.11r de Cisco Meraki para conocer los pasos exactos, ya que el diseño del panel de control puede cambiar con el tiempo.

iPhone e iPad

La documentación de la plataforma de Apple sobre roaming WiFi confirma la compatibilidad con 802.11r y el reconocimiento del modo adaptativo de Cisco. En un entorno mixto con 802.1X, el modo adaptativo ofrece transición rápida a iPhones e iPads. También oculta el anuncio FT a los dispositivos más antiguos que lo rechazarían.

Android

El soporte de Android para 802.11r depende del chipset del terminal y de la versión del fabricante. Meraki documenta el modo adaptativo dirigido a dispositivos Apple, por lo que debe tratar los terminales Android como dispositivos estándar en modo adaptativo. Si su flota de Android está gestionada y probada, un SSID dedicado con 802.11r habilitado ofrece transición rápida a esos terminales.

Portátiles Windows

Microsoft documenta el soporte de 802.11r en Windows cuando el controlador WiFi también lo admite. Actualice primero los controladores desde el sitio del fabricante del portátil. En los SSID con 802.1X, Windows también se beneficia del almacenamiento en caché de claves oportunista (OKC). Con OKC, los puntos de acceso comparten una clave almacenada en caché para que el dispositivo omita la autenticación completa.

Escáneres, impresoras y dispositivos clínicos

Consulte la documentación del fabricante para comprobar la compatibilidad con 802.11r y, a continuación, confírmela con el SSID de prueba. Si un dispositivo falla, muévalo a su propio SSID con 802.11r desactivado. Segmente por clase de dispositivo en lugar de frenar a toda la red por el dispositivo más antiguo.

¿Qué configuración de 802.11r en Meraki debe utilizar?

Combinación de dispositivos	Seguridad de SSID	Configuración	Qué esperar
iPhones corporativos más escáneres e impresoras más antiguos	WPA2-Enterprise	Adaptativa	Los iPhones realizan itinerancia rápida; los dispositivos antiguos se conectan con normalidad
Flota gestionada, cada modelo probado para FT	WPA2-Enterprise o WPA2-PSK	Activado	Todos los dispositivos realizan itinerancia rápida
Solo escáneres, impresoras, IoT o dispositivos clínicos	WPA2-PSK	Desactivado	Conexiones estables; autenticación completa en cada itinerancia
Combinación de BYOD liderada por Android y Windows	WPA2-Enterprise	Adaptativa	Apple realiza itinerancia rápida; otros dependen del almacenamiento en caché de claves
SSID de transición WPA2/WPA3	Modo de transición WPA3	Desactivado, luego piloto activado en un SSID	Conexiones estables mientras prueba la compatibilidad con FT-SAE

Escenario práctico: red del personal de un hotel de 200 habitaciones

Situación. Un hotel de 200 habitaciones activó 802.11r en su SSID de personal con WPA2-Enterprise para agilizar las llamadas en los iPhones del personal de limpieza. A la mañana siguiente, los terminales de pedido portátiles más antiguos y dos impresoras de administración no pudieron volver a conectarse.

Qué se hizo. El equipo creó un SSID de prueba con 802.11r desactivado y los terminales se unieron de inmediato. Cambiaron la producción a adaptativa, manteniendo la transición rápida para los iPhones.

Resultado. Los fallos de asociación de los terminales se detuvieron en su siguiente intento de conexión. El registro de eventos mostró itinerancias de iPhone sin un nuevo intercambio 802.1X, lo que confirmó que la transición rápida se seguía utilizando.

Escenario práctico: insignias de voz en una cadena minorista de 40 tiendas

Situación. Una cadena minorista de 40 tiendas utilizaba WiFi para el personal con WPA2-PSK y 802.11r desactivado. El personal informó de llamadas entrecortadas en las insignias de voz entre el almacén y la tienda. Los escáneres más antiguos compartían el mismo SSID.

Qué se hizo. El fabricante de las insignias confirmó la compatibilidad con FT sobre PSK. El equipo creó un SSID de voz con 802.11r activado y lo probó en una tienda. Los escáneres permanecieron en el SSID original, sin cambios.

Resultado. Las capturas piloto mostraron el algoritmo de autenticación 2 en las itinerancias de las insignias. Los informes de llamadas entrecortadas de la tienda piloto se detuvieron antes del despliegue en toda la cadena.

¿Cómo evitar que vuelvan los problemas de itinerancia en Meraki?

• Mantenga un inventario de dispositivos por clase. Registre la compatibilidad con 802.11r de cada clase a partir de una prueba, no de una ficha técnica.
• Diseñe los SSID por clase de dispositivo. Adaptativa para 802.1X mixto, activada para flotas probadas, desactivada para dispositivos más antiguos.
• Realice pruebas piloto de cada cambio. Pruebe en un centro o en un SSID antes de guardar los cambios en toda la red.
• Vuelva a probar tras los eventos de cambio. Las actualizaciones de firmware de MR y los nuevos modelos de dispositivos alteran el comportamiento.
• Consulte el registro de eventos. Revise los fallos de asociación semanalmente durante el primer mes posterior a cualquier cambio.

802.11k y 802.11v ayudan a que un dispositivo elija su próximo punto de acceso. 802.11r agiliza el desplazamiento en sí. Trátelas como configuraciones independientes y pruebe cada una de ellas.\n\n### Dónde encaja Purple\n\nStaff WiFi de Purple añade redes basadas en la identidad sobre sus puntos de acceso Meraki existentes. El RADIUS en la nube de Purple autentica al personal con Microsoft Entra ID, Okta o Google Workspace. Las altas, cambios de rol y bajas actualizan el acceso de forma automática, por lo que Purple revoca el acceso de un empleado que abandona la empresa sin necesidad de cambiar manualmente el SSID. Purple cuenta con la certificación ISO 27001.\n\nPurple es independiente del hardware en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. El mismo modelo de identidad funciona en instalaciones de Hoteles y Retail con hardware mixto. Purple opera en más de 80.000 recintos activos y gestionó 440 millones de inicios de sesión en 2024 (datos propios de Purple). No es necesario reemplazar la infraestructura existente, tal y como se explica en Por qué su próxima actualización de WiFi no necesita nuevo hardware. Para ver la configuración equivalente en otro fabricante, consulte Configuración de 802.1X en Juniper Mist con RADIUS en la nube.\n\n## Preguntas frecuentes\n\n### ¿Meraki 802.11r requiere una licencia adicional?\n\nNo, 802.11r es una configuración por SSID en el panel de control de Meraki y no un complemento independiente. Puede elegir entre desactivado, activado o adaptativo en la configuración de control de acceso de cada SSID. El cambio se aplica a los puntos de acceso MR que dan servicio a ese SSID. Confirme los modos de seguridad disponibles en la documentación actual de Cisco Meraki y en el firmware de su MR, especialmente antes de combinar 802.11r con WPA3. Programe el cambio en una ventana de mantenimiento, ya que guardar los cambios de seguridad del SSID puede desconectar brevemente los dispositivos.\n\n### ¿Funcionará 802.11r con Purple Staff WiFi en Cisco Meraki?\n\nSí, 802.11r se ejecuta en su SSID de Meraki y funciona junto con el RADIUS en la nube de Purple. Purple autentica cada dispositivo en su primera conexión con Microsoft Entra ID, Okta o Google Workspace. La transición rápida gestiona después las intinerancias entre sus puntos de acceso MR sin necesidad de realizar un intercambio 802.1X completo cada vez. Esto reduce el tráfico de autenticación hacia el servidor RADIUS. Utilice el modo adaptativo en entornos mixtos y active el modo habilitado solo cuando todos los dispositivos del personal superen una prueba de transición rápida.\n\n### ¿Tengo que sustituir los escáneres e impresoras más antiguos para utilizar la itinerancia rápida?\n\nNo, puede conservarlos. Ubique los dispositivos más antiguos en su propio SSID con 802.11r desactivado. Como alternativa, configure su SSID 802.1X en modo adaptativo para que los dispositivos más antiguos no vean el anuncio de transición rápida. La sustitución solo tiene sentido cuando un dispositivo también falla con WPA2 estándar o cuando su fabricante ya no publica actualizaciones de seguridad. Un SSID de prueba con 802.11r desactivado muestra qué dispositivos necesitan su propio SSID y cuáles pueden unirse al principal.\n\n### ¿Es compatible 802.11r con WPA3?\n\nSí, IEEE 802.11 define la transición rápida para SAE, el protocolo de enlace WPA3-Personal y para 802.1X bajo WPA3-Enterprise. El soporte en su red depende del firmware del MR y del controlador de cada dispositivo. El modo de transición WPA3 anuncia los conjuntos WPA2 y WPA3 en una sola baliza (beacon). Esto aumenta la probabilidad de que un controlador más antiguo lo interprete de forma errónea. Realice una prueba piloto de 802.11r en un solo SSID de transición y revise el registro de eventos antes de su despliegue general.

¿Reemplaza 802.11r al roaming de capa 3 de Meraki?

No, resuelven problemas diferentes. 802.11r acorta el protocolo de enlace de seguridad cuando un dispositivo se desplaza entre puntos de acceso. El roaming de capa 3 de Meraki mantiene la dirección IP de un dispositivo cuando este se mueve entre puntos de acceso en diferentes VLAN o subredes, de modo que las sesiones se mantienen. Un campus grande o un estadio con varias subredes puede necesitar ambos. Si las transiciones son lentas dentro de una misma VLAN, comience con 802.11r. Si las sesiones se interrumpe cuando los dispositivos cruzan subredes, revise el roaming de capa 3.

¿Debilita 802.11r la seguridad a efectos de PCI-DSS o GDPR?

No, la transición rápida mantiene el cifrado WPA2 o WPA3. Las claves para el siguiente punto de acceso se derivan de la jerarquía de claves establecida en la primera autenticación, tal como define IEEE 802.11. PCI-DSS sigue requiriendo una criptografía fuerte en las redes inalámbricas incluidas en el alcance de los datos de titulares de tarjetas, y 802.11r no cambia ese requisito. Mantenga los terminales de pago en un SSID o VLAN segmentados. Registre la configuración de 802.11r en la documentación de configuración de su red.

¿Cuánto tiempo se tarda en solucionar un problema de 802.11r en Meraki?

Cambiar el ajuste lleva solo unos minutos, pero probarlo correctamente requiere más tiempo. Cree un SSID de prueba, confirme qué dispositivos fallan y, a continuación, realice una prueba piloto con la nueva configuración en un sitio antes de aplicar un cambio a toda la red. La mayor parte del esfuerzo se concentra en el inventario de dispositivos, no en el panel de control. Programe una ventana de mantenimiento para cada cambio en producción. Revise el registro de eventos para detectar fallos de asociación durante la semana siguiente.