802.11r et 802.11k sur Android : déploiement du roaming rapide sur Cisco Meraki, HPE Aruba et Ubiquiti UniFi

Oui, la plupart des combinés Android prennent en charge la transition rapide 802.11r, les rapports de voisinage 802.11k et la transition BSS 802.11v. La prise en charge dépend du pilote du chipset et du fabricant, et non de la seule version d'Android. Sur Cisco Meraki, HPE Aruba ou Ubiquiti UniFi, activez le 802.11r en mode mixte et conservez la transition rapide over-the-air. Confirmez chaque modèle de combiné dans une capture de paquets avant le déploiement.

Que fait réellement le roaming rapide sur un combiné Android ?

Le roaming rapide repose sur trois amendements IEEE fonctionnant ensemble :

• 802.11k aide le combiné à trouver le point d'accès suivant.
• 802.11v permet au réseau de suggérer quand se déplacer.
• 802.11r raccourcit le transfert lui-même.

Android peut utiliser les trois. Le combiné décide quand effectuer le roaming, pas le point d'accès.

Ce point oriente chaque décision dans ce guide. Sur la plupart des appareils Android, le roaming s'exécute dans le firmware et le pilote du chipset WiFi, et non dans le framework Android. L'Android Open Source Project documente cela comme un roaming firmware. En conséquence, deux téléphones utilisant la même version d'Android peuvent effectuer le roaming de manière très différente.

802.11k : rapports de voisinage

Un combiné compatible 802.11k demande à son point d'accès actuel un rapport de voisinage. Il s'agit d'une liste des points d'accès à proximité et des canaux qu'ils utilisent. Le combiné ne balaye ensuite que ces canaux au lieu de parcourir chaque bande. Il passe moins de temps hors canal et prend une décision de roaming mieux informée. Les combinés sans 802.11k ignorent le rapport et effectuent un balayage normal.

802.11v : gestion de la transition BSS

La gestion de la transition BSS 802.11v permet au point d'accès de suggérer à un combiné de se déplacer vers un point d'accès désigné. Le combiné peut accepter, rejeter ou ignorer la demande. Les chipsets Android traitent ces demandes comme des conseils, et certains y répondent plus volontiers que d'autres. Associez le 802.11v au 802.11k, car une demande de transition n'est utile que si le combiné connaît déjà ses options.

802.11r : transition BSS rapide

Le 802.11r, également appelé transition rapide (FT), modifie la façon dont les clés de chiffrement sont configurées lors d'un roaming.

L'802.1X est la norme d'authentification basée sur les ports derrière le WiFi d'entreprise. RADIUS est le protocole utilisé par vos points d'accès pour vérifier les identifiants auprès d'un serveur d'authentification. Sans FT, un combiné sur WPA2 ou WPA3 répète l'échange 802.1X complet avec le serveur RADIUS à chaque nouveau point d'accès. Il effectue ensuite un handshake à quatre voies.

Avec le 802.11r, la première connexion s'authentifie toujours entièrement. Les roamings ultérieurs au sein du même domaine de mobilité dérivent de nouvelles clés à partir d'une hiérarchie de clés en cache. Cet échange de clés est intégré dans les trames d'authentification et de réassociation. Il n'y a pas d'aller-retour vers le serveur RADIUS ni de handshake à quatre voies séparé.

C'est ce qui importe le plus pour la voix et le push-to-talk. La recommandation UIT-T G.114 conseille de maintenir le délai vocal unidirectionnel sous les 150 millisecondes. Un échange 802.1X complet avec un service RADIUS cloud, répété à chaque point d'accès, entame ce budget.

Pourquoi la prise en charge d'Android varie selon le jeu de puces et le fabricant

Google publie le framework Android, mais l'itinérance rapide réside plus bas dans la pile. La prise en charge dépend de quatre couches :

1. Le jeu de puces, provenant de fournisseurs tels que Qualcomm, Broadcom et MediaTek.
2. Le pilote et le micrologiciel du fournisseur de puces.
3. La version constructeur du fabricant.
4. La version d'Android.

Un fabricant peut livrer un jeu de puces compatible 802.11r avec la fonctionnalité désactivée ou partiellement implémentée. Les appareils renforcés et les tablettes d'entrée de gamme restent souvent sur d'anciens pilotes pendant des années.

La certification est le signal le plus pratique. Le programme Agile Multiband de la WiFi Alliance teste l'interopérabilité des normes 802.11k, 802.11v et 802.11r. Son programme Voice-Enterprise teste l'itinérance rapide pour les combinés vocaux. Un modèle certifié a réussi les tests d'interopérabilité. Un modèle non certifié peut toujours fonctionner, mais vous devez le tester vous-même.

Pour connaître les détails du protocole derrière ces trois amendements, consultez le guide de déploiement 802.11r, 802.11k et 802.11v de Purple.

De quoi avez-vous besoin avant d'activer le 802.11r pour Android ?

Rassemblez six éléments avant de modifier un SSID de production (le nom de réseau auquel vos appareils se connectent).

• Un inventaire des combinés. Extrayez le modèle, la version d'Android et le niveau de patch de sécurité depuis votre plateforme de gestion des appareils mobiles (MDM). Regroupez la flotte par modèle, car le modèle prédit mieux le comportement d'itinérance que la version d'Android.
• Un micrologiciel de point d'accès compatible. Confirmez que le micrologiciel de vos équipements Cisco Meraki, HPE Aruba ou Ubiquiti UniFi prend en charge le 802.11r sur le type de sécurité que vous utilisez. Vérifiez les notes de version actuelles du fournisseur.
• Un domaine de mobilité. La transition rapide ne fonctionne qu'entre les points d'accès qui partagent le matériel de clé. Conservez les points d'accès entre lesquels un combiné se déplace au sein du même réseau Meraki, cluster de contrôleurs Aruba ou site UniFi. Une itinérance au-delà de cette limite repasse par une authentification complète.
• Un chevauchement de couverture. Un combiné ne peut passer en itinérance que vers un point d'accès qu'il entend correctement. Validez le chevauchement avec une étude avant d'ajuster les paramètres d'itinérance. Consultez WiFi Site Surveys: A Practical Planning Guide.
• Un kit de capture. Vous avez besoin d'un ordinateur portable ou d'un adaptateur USB prenant en charge le mode moniteur, ainsi que de Wireshark, qui est gratuit.
• Un SSID pilote. Dupliquez la production avec la même sécurité, le même VLAN et le même serveur RADIUS. Un VLAN (LAN virtuel) est le segment réseau où le trafic aboutit. Testez sur la copie, puis appliquez les paramètres en production.

Comment configurer l'itinérance rapide pour une flotte Android mixte ?

Procédez du risque le plus faible au plus élevé :

1. Activez 802.11k et 802.11v sur le SSID pilote. Les combinés qui ne les prennent pas en charge ignorent les éléments supplémentaires, de sorte que les échecs d'association sont rares.
2. Activez le 802.11r en mode mixte. Chaque SSID annonce une ou plusieurs suites d'authentification et de gestion des clés (AKM). Le mode mixte annonce côte à côte les suites standard et FT, afin que les combinés non-FT puissent toujours se connecter.
3. Conservez le FT over the air. Laissez la signalisation over-the-DS désactivée, sauf si vous avez une raison testée de l'utiliser.
4. Testez chaque modèle de combiné. Connectez-vous au SSID, marchez entre les points d'accès pendant un appel et capturez les itinérances.
5. Choisissez une stratégie et déployez. Utilisez la matrice ci-dessous, puis passez les paramètres en production dans une fenêtre de changement avec un plan de retour en arrière.

Quelle stratégie 802.11r convient à votre parc Android ?

Votre parc Android	Paramètre 802.11r	802.11k et 802.11v	Pourquoi
Combinés gérés, chaque modèle réussit le pilote	Activé, mode mixte, sur le SSID du personnel	Activé	Les combinés compatibles FT bénéficient d'une itinérance rapide, et tout appareil non-FT se connecte toujours avec un 802.1X complet
Combinés principalement récents, un ou deux anciens modèles échouent en mode mixte	Activé sur le SSID principal, plus un SSID hérité avec 802.11r désactivé sur le même VLAN	Activé pour les deux SSID	Les anciens modèles continuent de fonctionner tandis que le reste du parc bénéficie d'une itinérance rapide
BYOD ou un grand parc de modèles inconnus	Désactivé	Activé	Évite les échecs d'association, et la mise en cache PMK raccourcit toujours les retours vers un point d'accès déjà visité par le combiné
Réseau Cisco Meraki, principalement des appareils Apple avec quelques appareils Android	Adaptatif	Activé	Les appareils Apple pris en charge bénéficient d'une itinérance rapide, tandis que les combinés Android utilisent le 802.1X complet
Combinés voix dédiés ou push-to-talk, tous d'un même modèle testé	Activé, mode mixte, sur un SSID voix dédié	Activé	Le trafic vocal bénéficie de l'itinérance la plus courte sans exposer d'autres appareils au FT

La mise en cache PMK est le mécanisme standard 802.11i qui permet à un combiné de réutiliser une clé maître par paire avec un point d'accès auprès duquel il s'est déjà authentifié.

Transition rapide over the air ou over the distribution system ?

Le 802.11r définit deux façons de transporter l'échange FT. Over the air, le combiné communique directement avec le point d'accès cible. Over the distribution system (DS), le combiné envoie des trames d'action FT à son point d'accès actuel, qui les relaie via le réseau filaire vers la cible.

Facteur	Over the air	Over the DS
Chemin de la trame	Du combiné au point d'accès cible, par radio	Du combiné au point d'accès actuel, puis relais filaire vers la cible
Prise en charge Android	Courante sur l'ensemble des chipsets Android compatibles FT	Plus inégale, certains pilotes gérant mal le bit de capacité
Quand cela aide	La plupart des sites avec un bon chevauchement de cellules	Cas limites où le point d'accès cible est faible au moment de l'itinérance
Mode d'échec	L'itinérance retombe sur une authentification complète	L'itinérance peut expirer avant que le combiné ne réessaie
Recommandation Purple	Par défaut pour les parcs Android mixtes	Uniquement après un test réussi par modèle

Cisco Meraki

Meraki expose 802.11r par SSID avec trois options : Désactivé, Activé et Adaptatif. Activé diffuse le FT en plus de la gestion des clés standard, ce qui constitue un mode mixte. Adaptatif active le FT uniquement pour les appareils Apple iOS qui prennent en charge l'extension 802.11r adaptative de Cisco. Les téléphones Android sur un SSID adaptatif se connectent avec une authentification standard et ne bénéficient d'aucune transition rapide. Pour un parc composé principalement d'appareils Android, testez plutôt l'option Activé sur votre SSID pilote. La documentation de Meraki indique que certains appareils plus anciens ne peuvent pas s'associer lorsque le 802.11r est activé. Suivez-la pour connaître les étapes actuelles.

HPE Aruba

Aruba configure la transition rapide par WLAN. Dans les déploiements de contrôleurs ArubaOS, le profil 802.11r rattaché au SSID active le FT et contient l'option over-the-DS. Le 802.11k et la gestion de transition BSS se trouvent dans le profil 802.11k. Aruba Instant et Aruba Central proposent les mêmes fonctionnalités dans les paramètres d'itinérance du WLAN. Aruba prend également en charge la mise en cache opportuniste des clés (OKC), une méthode non standard de partage de clés entre les points d'accès. Confirmez qu'un modèle de téléphone prend en charge l'OKC avant de l'utiliser comme solution de secours.

Ubiquiti UniFi

UniFi expose le 802.11r sous le nom de Fast Roaming et le 802.11v sous le nom de BSS Transition dans les paramètres avancés de chaque réseau WiFi. Ubiquiti prévient que certains appareils plus anciens peuvent ne pas prendre en charge Fast Roaming. Activez d'abord BSS Transition, puis Fast Roaming sur le réseau pilote. Consultez les notes de version de votre application Network avant le déploiement en production.

Quelle est la place de Purple ?

Le WiFi pour le personnel de Purple fournit la couche d'identité grâce aux réseaux basés sur l'identité. Il authentifie le personnel via 802.1X auprès de Microsoft Entra ID, Okta ou Google Workspace, en utilisant un RADIUS basé sur le cloud. La transition rapide s'exécute sur vos points d'accès. Purple authentifie la première connexion, et le 802.11r maintient les itinérances ultérieures au sein de votre WLAN.

Purple est indépendant du matériel et fonctionne sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Il fonctionne sur plus de 80 000 sites actifs et a géré 440 millions de connexions en 2024 (données Purple).

Planifiez le départ des collaborateurs. Lorsque vous révoquez une identité, la modification s'applique lors de la prochaine authentification complète de cet appareil. D'ici là, un appareil révoqué peut continuer à bénéficier de l'itinérance grâce aux clés en cache dans le domaine de mobilité. Le délai d'expiration de votre session définit cette fenêtre, alignez-le donc sur votre politique de gestion des arrivées, mobilités et départs (JML).

Comment vérifier si un appareil Android a utilisé la transition rapide ?

Utilisez trois niveaux de preuves. Seule la capture de paquets est définitive.

Sur le contrôleur

La plupart des contrôleurs répertorient les capacités par client analysées à partir de la demande d'association, notamment la prise en charge de 802.11r, 802.11k et 802.11v. Ouvrez la vue détaillée du client et l'historique d'itinérance dans votre tableau de bord Meraki, Aruba ou UniFi. Un indicateur de capacité montre que le téléphone peut utiliser le FT. Il ne prouve pas qu'une itinérance particulière l'a utilisé.

Dans une capture over-the-air

Effectuez une capture sur le canal du point d'accès cible pendant qu'un testeur déplace le téléphone entre les cellules. Le tableau montre ce qu'il faut chercher dans Wireshark.

Ce que vous voyez	Trame	Ce que cela signifie
Élément Mobility Domain, ID 54	Balise (Beacon) ou réponse de sonde	Le point d'accès annonce le 802.11r
Suite AKM 00-0F-AC:3, :4 ou :9	Demande d'association ou de réassociation du terminal	Le terminal a choisi FT-802.1X, FT-PSK ou FT-SAE
Algorithme d'authentification numéro 2	Trame d'authentification pendant le roaming	Le terminal a effectué un roaming FT over-the-air
Trames d'action FT vers le point d'accès actuel	Trames d'action avant le roaming	Le terminal a effectué un roaming FT over-the-DS
Algorithme 0, puis échange EAP complet et handshake en 4 étapes	Authentification, EAPOL	Pas de FT, le terminal a donc exécuté un 802.1X complet
Élément RM Enabled Capabilities, ID 70, et demandes de rapport de voisinage	Demande d'association, trames d'action	Le terminal prend en charge et utilise le 802.11k
Requête, demande et réponse BSS transition management	Trames d'action WNM (Wireless network management)	Le terminal prend en charge et utilise le 802.11v

Un roaming FT 802.1X réussi affiche l'échange d'authentification et de réassociation FT sans aucun trafic EAP ni handshake en 4 étapes.

Sur le terminal

Activez les options pour les développeurs, puis activez l'option de journalisation détaillée WiFi (verbose logging). Connectez-vous via ADB (Android Debug Bridge) et exécutez adb shell dumpsys wifi, ou générez un rapport d'erreur. Recherchez les noms de gestion des clés utilisés par wpa_supplicant : FT-EAP, FT-PSK ou FT-SAE. Le résultat varie selon le fabricant et la version Android, traitez-le donc comme une preuve complémentaire plutôt que comme une preuve absolue.

Pourquoi certains téléphones Android ne parviennent-ils pas à se connecter lorsque le 802.11r est activé ?

La plupart des échecs sont dus à six causes principales.

• Le pilote analyse mal le mode mixte. Certains pilotes anciens ne peuvent pas gérer les suites FT dans l'élément de sécurité lorsqu'elles sont associées à des suites standard. Le terminal échoue à s'associer ou, dans certains cas, n'affiche pas du tout le réseau. Résolvez le problème avec un SSID hérité sans FT, une mise à jour du fabricant déployée via MDM, ou la mise hors service du modèle.
• Le SSID est configuré en FT uniquement. Les terminaux sans FT ne peuvent pas rejoindre un SSID qui annonce uniquement des suites FT. Résolvez le problème en passant en mode mixte.
• Over the DS est annoncé. Les terminaux qui gèrent mal le bit de capacité échouent lors des roamings puis se reconnectent lentement. Résolvez le problème en repassant en over the air.
• WPA3 ajoute les trames de gestion protégées (PMF). WPA3 requiert PMF (802.11w), et la prise en charge de FT-SAE est plus inégale que celle de FT-PSK ou FT-802.1X. Un terminal qui fonctionne sous WPA2 peut tout de même échouer sous WPA3. Testez chaque mode de sécurité séparément.
• Le roaming traverse des domaines de mobilité. Un déplacement entre des réseaux Meraki, des clusters Aruba ou des sites UniFi force une authentification complète. Cela peut ressembler à un FT défectueux. Corrigez cela dans la conception du réseau, et non sur le terminal.
• Les terminaux restent connectés à un point d'accès faible. Le FT raccourcit le temps de roaming mais ne force pas le terminal à effectuer son roaming plus tôt. Appuyez-vous sur le 802.11k et le 802.11v, et augmentez prudemment les débits de données minimaux. Un guidage agressif des clients (client steering) peut déconnecter purement et simplement les terminaux Android.

Scénarios pratiques issus de l'hôtellerie, du commerce de détail et du secteur public

Il s'agit de déploiements illustratifs et non de clients Purple nommés. Chacun montre le chemin de décision et la mesure utilisée pour confirmer le résultat.

Un hôtel de 200 chambres sur Cisco Meraki

Situation. Les équipes de nettoyage et de maintenance utilisaient des combinés Android avec une application VoIP sur un SSID personnel WPA2-Enterprise. L'option 802.11r était désactivée et les appels coupaient entre les étages. La flotte comprenait deux modèles : un combiné récent certifié Agile Multiband et 18 unités durcies plus anciennes.

Ce qui a été fait. L'équipe a activé le 802.11r sur un SSID pilote, et les 18 unités plus anciennes ont toutes échoué à s'associer. Ils ont configuré le SSID personnel principal sur Activé et ajouté un SSID hérité sans 802.11r, sur le même VLAN et la même politique RADIUS. Le 802.11k et le 802.11v sont restés activés pour les deux SSID.

Résultat. Les captures ont montré que les combinés récents itinéraient avec une authentification d'algorithme 2 et sans trafic EAP. Les requêtes RADIUS de ces combinés sont passées d'une par itinérance à une par session. Les 18 unités héritées se sont toutes connectées dès le premier jour et ont été planifiées pour remplacement. Pour en savoir plus sur les Hôtels, consultez les pages Purple consacrées au secteur hôtelier.

Une chaîne de 40 magasins de détail sur HPE Aruba

Situation. Les équipes de stock utilisaient des scanners Android maintenant une session active avec le système de gestion des stocks. Le 802.11r était déjà activé, avec over the DS activé. Un modèle de scanner continuait de perdre ses sessions entre la réserve et la surface de vente.

Ce qui a été fait. Dans un magasin pilote, l'équipe a désactivé over the DS et conservé FT over the air. Ils ont activé le 802.11k et la gestion de transition BSS, puis ont capturé les itinérances pour chaque modèle de scanner.

Résultat. Les captures ont confirmé des itinérances FT over-the-air pour chaque modèle. Les échecs d'itinérance pour le modèle concerné ont cessé dans le magasin pilote. La modification a été déployée sur l'ensemble des 40 magasins en deux fenêtres de changement. Consultez la section Vente au détail pour découvrir les solutions Purple destinées au secteur du retail.

Un bureau municipal sur Ubiquiti UniFi

Situation. Les combinés Android d'entreprise et les téléphones BYOD (apportez votre propre appareil) partageaient le même réseau. Le personnel a signalé des coupures d'appels Teams dans un grand espace ouvert.

Ce qui a été fait. L'équipe a séparé le réseau entre un SSID d'entreprise avec Fast Roaming et transition BSS activés, et un SSID BYOD avec transition BSS uniquement. Ils ont testé chaque modèle de combiné d'entreprise avant le déploiement.

Résultat. Les combinés d'entreprise ont révélé des itinérances FT dans les captures. Les appareils BYOD se sont connectés sans échec d'association car ils n'ont jamais rencontré la norme FT. Le même modèle convient aux combinés des services hospitaliers dans la Santé, où appareils cliniques et téléphones personnels partagent les mêmes bâtiments.

Combien coûte l'itinérance rapide et quel est le retour sur investissement ?

Les normes 802.11r, 802.11k et 802.11v sont des fonctionnalités logicielles intégrées aux points d'accès Cisco Meraki, HPE Aruba et Ubiquiti UniFi. Aucune d'entre elles ne nécessite de licence de fonctionnalité distincte. Le coût principal réside dans le temps d'ingénierie :

• Créer un SSID pilote.
• Tester chaque modèle de combiné.
• Effectuer des captures.
• Réserver des fenêtres de changement.

Un SSID hérité entraîne un coût caché plus faible. Chaque SSID envoie ses propres balises (beacons), qui consomment du temps d'antenne sur chaque canal.

Le retour sur investissement est mesurable. Un terminal mobile qui effectue un roaming 30 fois au cours d'un service déclenche 30 échanges 802.1X complets sans FT. Avec le FT, il en déclenche un seul par session, plus des succès de cache PMK sur les points d'accès qu'il visite à nouveau. Cela réduit la charge sur votre service RADIUS et élimine les interruptions d'authentification répétées lors des appels vocaux et des sessions de lecteurs de codes-barres. Vous bénéficiez de cela grâce aux points d'accès que vous possédez déjà ; consultez Pourquoi votre prochaine mise à niveau WiFi ne nécessite pas de nouveau matériel.

La transition rapide est particulièrement importante sur les SSID sécurisés du personnel. Sur un SSID Guest WiFi ouvert ou avec Captive Portal, il n'y a pas d'échange 802.1X à raccourcir, le gain est donc minime. Si vous évaluez le coût de la partie visiteurs sur les mêmes points d'accès, consultez Comparatif des prix des portails captifs : modèles par site, par point d'accès et par utilisateur.

Foire aux questions

Android prend-il en charge la transition rapide 802.11r ?

Oui, la plupart des terminaux Android récents prennent en charge le 802.11r, mais cette prise en charge dépend du jeu de puces, du pilote et de la version du fabricant plutôt que de la version d'Android. Le roaming s'exécute généralement dans le micrologiciel du jeu de puces, de sorte que deux téléphones disposant de la même version d'Android peuvent se comporter différemment. La certification Agile Multiband ou Voice-Enterprise est le signal le plus fiable. Pour les modèles non certifiés, confirmez le FT dans une capture de paquets en recherchant la gestion des clés FT dans la demande d'association et l'authentification par algorithme 2 lors d'un roaming.

Android prend-il en charge le 802.11k et le 802.11v ?

Oui, de nombreux terminaux Android utilisent les rapports de voisinage 802.11k et les demandes de transition BSS 802.11v, là encore en fonction du jeu de puces et du fabricant. Les terminaux ne prenant pas en charge ces normes ignorent les éléments supplémentaires, de sorte que l'activation des deux bloque rarement l'association. Android traite les demandes 802.11v comme des conseils et non comme des instructions. Confirmez la prise en charge pour chaque modèle en vérifiant l'élément RM Enabled Capabilities et les trames de gestion de transition BSS dans une capture.

Ai-je besoin d'une licence supplémentaire pour le 802.11r sur Cisco Meraki, HPE Aruba ou Ubiquiti UniFi ?

Non, le 802.11r, le 802.11k et le 802.11v sont des fonctionnalités intégrées au micrologiciel sur ces trois plateformes, sans licence de fonctionnalité séparée. Votre coût réside dans le temps d'ingénierie consacré à un SSID pilote, aux tests par modèle et aux fenêtres de changement. Si vous ajoutez un SSID hérité pour les terminaux plus anciens, attendez-vous à un léger coût en temps d'antenne lié aux balises supplémentaires plutôt qu'à des frais de licence.

L'activation du 802.11r risquerait-elle de bloquer les anciens appareils Android hors de mon réseau ?

C'est possible, c'est pourquoi vous devez d'abord effectuer des tests sur un SSID pilote. Certains pilotes plus anciens ne parviennent pas à s'associer lorsqu'un SSID annonce le FT aux côtés de la gestion de clés standard. Utilisez le mode mixte, jamais le FT uniquement, et conservez le FT over the air. Si un modèle échoue toujours, attribuez-lui un SSID hérité avec le 802.11r désactivé sur le même VLAN, mettez à jour son micrologiciel via MDM, ou retirez-le du service.

Dois-je utiliser l'802.11r adaptatif sur Cisco Meraki pour les appareils Android ?

Non, le mode 802.11r adaptatif ne propose pas de transition rapide pour les terminaux Android. Il active la FT uniquement pour les appareils Apple iOS qui prennent en charge l'extension adaptative de Cisco. Les appareils Android connectés à un SSID adaptatif s'associent via le standard 802.1X et exécutent une authentification complète à chaque itinérance. Pour un parc composé en grande partie d'appareils Android, testez le paramètre Activé sur un SSID pilote et utilisez un SSID hérité pour tout modèle qui échoue.

La solution Purple Staff WiFi fonctionne-t-elle avec le 802.11r sur mes points d'accès existants ?

Oui, la solution Staff WiFi de Purple fonctionne sur vos points d'accès existants et s'associe au 802.11r. Purple est indépendant du matériel sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Le RADIUS cloud de Purple authentifie la première connexion auprès de Microsoft Entra ID, Okta ou Google Workspace. La transition rapide gère ensuite les itinérances ultérieures directement sur vos points d'accès, sans nouvel aller-retour vers le RADIUS.

L'itinérance rapide a-t-elle un impact sur la conformité PCI-DSS ou GDPR ?

Non, le 802.11r conserve un chiffrement de niveau 802.1X et ne modifie pas les données personnelles que vous traitez. La norme PCI-DSS exige une cryptographie forte pour les réseaux sans fil qui transportent des données de cartes de paiement, et la FT génère de nouvelles clés par session à chaque itinérance. Dans le cadre du GDPR, l'itinérance ne collecte aucune nouvelle donnée personnelle. Vérifiez la durée d'expiration de vos sessions, car elle détermine pendant combien de temps un appareil révoqué peut continuer à errer en utilisant des clés en cache.

Combien de temps prend le déploiement du 802.11r pour une flotte Android ?

Prévoyez un cycle pilote par modèle de terminal, puis une fenêtre de modification en production par site ou groupe de sites. La modification du paramètre ne prend que quelques minutes, tandis que les tests occupent la majeure partie du temps. Chaque modèle nécessite un test d'association, un test en déplacement pendant un appel et une capture. Une flotte comprenant deux ou trois modèles sur une seule plateforme de contrôleur s'intègre généralement dans un seul cycle pilote avant le déploiement global.