Cisco Meraki 802.11r adaptatif vs activé : corriger l'itinérance sur les points d'accès MR
Vous pourrez choisir entre désactivé, activé et adaptatif pour le protocole 802.11r sur chaque SSID Cisco Meraki MR, en fonction de votre parc d'équipements et du mode de sécurité. Vous diagnostiquerez également les échecs de connexion et la lenteur de l'itinérance à l'aide d'un SSID de test, du journal d'événements et d'une capture de paquets, puis vous segmenterez les SSID par classe d'appareil.
Fait partie de notre série principale : Guide d'ingénierie RF WiFi →
Sur un SSID Cisco Meraki MR, l'activation du 802.11r annonce une transition rapide à tous les appareils. Cela accélère l'itinérance mais peut empêcher les appareils plus anciens dotés de pilotes non conformes de se connecter. Le mode adaptatif n'active la transition rapide que pour les appareils Apple qui la reconnaissent, tandis que tous les autres appareils voient un SSID standard. Utilisez le mode adaptatif pour les parcs mixtes, et le mode activé uniquement lorsque chaque appareil prend en charge le 802.11r.
À quoi ressemble un problème d'itinérance 802.11r sur Meraki ?
Les problèmes d'itinérance Meraki se manifestent de deux manières, et ils pointent dans des directions opposées.
Le premier est un échec de connexion. Vous faites passer un SSID destiné au personnel de désactivé à activé, et certains appareils cessent de se connecter. Un scanner portable voit le réseau mais ne parvient pas à s'y associer. Une imprimante d'étiquettes se déconnecte et ne revient jamais. Certains appareils plus anciens ne listent plus du tout le SSID. Les iPhones et les ordinateurs portables récents fonctionnent normalement, de sorte que la panne semble aléatoire.
Le second est une itinérance lente. Les appareils se connectent, mais les appels vocaux hachent lorsque le personnel se déplace entre les points d'accès. Sur un SSID 802.1X, chaque itinérance déclenche une authentification complète auprès du serveur RADIUS, ce qui ajoute un délai à chaque transfert. Le 802.1X est la norme IEEE pour le contrôle d'accès réseau basé sur les ports. RADIUS est le protocole utilisé par vos points d'accès pour vérifier les identifiants auprès d'un serveur d'authentification.
Un échec de connexion signifie que le 802.11r est activé pour des appareils qui ne peuvent pas le gérer. Une itinérance lente signifie généralement qu'il est désactivé, ou que vos appareils ne l'utilisent pas.
Quelle est la différence entre le mode adaptatif et le mode activé pour le 802.11r sur Meraki ?
Le 802.11r, ou Fast BSS Transition (FT), est un amendement à la norme IEEE 802.11 publié en 2008. Il permet à un appareil de dériver les clés pour le point d'accès suivant pendant le déplacement, évitant ainsi l'échange d'authentification complet. Les points d'accès Meraki MR proposent trois paramètres sur chaque SSID.
- Désactivé. Le SSID annonce uniquement une authentification standard. Chaque itinérance sur un SSID 802.1X exécute une nouvelle authentification, sauf si l'appareil utilise la mise en cache des clés.
- Activé. Le SSID ajoute les suites de gestion des clés et d'authentification FT (AKM) à l'élément d'information de sécurité (RSN IE) dans sa balise. Chaque appareil doit lire cet élément correctement.
- Adaptatif. Le SSID annonce une authentification standard plus un élément d'information spécifique à Cisco. Les appareils Apple qui le reconnaissent utilisent le FT, et les autres appareils voient un SSID ordinaire.
| Paramètre | Ce que le SSID annonce | Quels appareils utilisent l'itinérance rapide | Risque pour les appareils plus anciens | Idéal pour |
|---|---|---|---|---|
| Désactivé | AKM standard WPA2 ou WPA3 uniquement | Aucun, en dehors de la mise en cache des clés sur 802.1X | Aucun | Scanners, imprimantes, IoT et appareils médicaux |
| Activé | AKM standard plus AKM FT dans la balise | Tous les appareils prenant en charge le 802.11r | Certains pilotes plus anciens ne parviennent pas à se connecter ou ne voient pas le SSID | Parcs validés tels que les combinés vocaux |
| Adaptatif | AKM standard plus un élément spécifique à Cisco | Appareils Apple qui reconnaissent l'FT adaptatif | Aucun, par conception | Parcs mixtes 802.1X avec iPhones d'entreprise |
L'adaptatif est né d'une collaboration entre Cisco et Apple. Meraki le positionne pour les SSIDs 802.1X (WPA2-Enterprise), vérifiez donc la documentation 802.11r de Cisco Meraki pour connaître les modes pris en charge par votre firmware. Meraki applique le 802.11r aux SSIDs PSK et Enterprise. Si votre WiFi invité fonctionne sur un SSID ouvert derrière un Captive Portal, il reste en dehors de cette décision. Un Captive Portal est une page web qui filtre l'accès avant qu'un appareil ne parvienne à Internet.
Qu'est-ce qui provoque généralement l'échec de l'itinérance rapide Meraki ?
Les pilotes plus anciens ne peuvent pas lire l'annonce FT
La norme prévoit qu'un appareil ignore les suites AKM qu'il ne comprend pas. Certains pilotes plus anciens ne le font pas. Ils lisent mal les entrées FT supplémentaires et rejettent le réseau ou ne tentent jamais de s'y connecter. La propre documentation 802.11r de Cisco Meraki avertit que son activation peut empêcher certains appareils obsolètes de s'associer. Les lecteurs de codes-barres, les terminaux de paiement, les imprimantes et les capteurs IoT sont les suspects habituels, car leur firmware WiFi change rarement. Dans le secteur de la Santé, les appareils cliniques utilisent souvent un firmware certifié qui se met à jour lentement pour la même raison.
L'adaptatif est configuré, mais la majeure parte de votre parc n'est pas Apple
L'adaptatif ne peut pas bloquer un appareil plus ancien, mais il ne fait rien pour Android ou Windows. Si votre personnel transporte des téléphones Android, l'adaptatif les laisse en itinérance standard. Rien ne tombe en panne, mais l'avantage pour lequel vous l'avez activé n'arrive jamais.
Le mode de sécurité ne correspond pas à ce que l'appareil prend en charge
L'IEEE 802.11 définit le FT séparément pour chaque AKM. Le FT sur 802.1X, le FT sur PSK (clé prépartagée) et le FT sur SAE (handshake WPA3-Personal) sont distincts. Un appareil peut en prendre un en charge et pas un autre. Le mode de transition WPA3 aggrave le risque, car une balise annonce les suites WPA2 et WPA3 ensemble. Consultez les directives WPA3 de Meraki concernant les combinaisons prises en charge avant d'activer le FT sur un SSID de transition.
L'itinérance est lente pour des raisons que le 802.11r ne peut pas résoudre
Le 802.11r raccourcit le handshake de sécurité. Il ne peut pas corriger un appareil qui s'accroche à un point d'accès distant, une couverture faible entre les cellules ou un serveur RADIUS lent. Il ne remplace pas non plus l'itinérance Meraki de couche 3. L'itinérance de couche 3 conserve l'adresse IP d'un appareil lorsqu'il se déplace entre des points d'accès sur différents VLANs, qui sont des segments de réseau logiquement séparés.
Le FT ne fonctionne également qu'au sein d'un seul domaine de mobilité. Une itinérance entre des points d'accès annonçant des domaines de mobilité différents repasse par une authentification complète. Une mauvaise disposition des cellules nécessite une étude, pas un simple réglage. Consultez Audits de site WiFi : Un guide pratique de planification.
Comment déterminer la cause à laquelle vous faites face ?
Isoler le paramètre avec un SSID de test
Créez un SSID de test avec les mêmes paramètres de sécurité, VLAN et RADIUS, et désactivez le 802.11r. Si un appareil en échec se connecte au SSID de test mais pas à celui de production, l'annonce FT en est la cause. S'il échoue sur les deux, vérifiez plutôt les identifiants, les certificats ou l'attribution de VLAN.
Ensuite, vérifiez si l'appareil en échec apparaît dans le journal des événements. Un appareil qui ne tente jamais de s'associer ne peut pas lire le beacon. Un appareil qui s'associe, puis échoue à l'authentification, présente un problème différent.
Comment visualiser l'itinérance rapide dans le journal des événements Meraki ?
Ouvrez le journal des événements réseau, filtrez par événements sans fil et ciblez un appareil qui vient de se déplacer entre plusieurs points d'accès. Lisez la séquence entourant chaque changement de point d'accès.
- Une itinérance complète affiche une association au nouveau point d'accès, puis une nouvelle authentification 802.1X et un échange de clés WPA.
- Une itinérance par transition rapide affiche l'association au nouveau point d'accès sans nouvelle authentification 802.1X.
Selon le firmware, le détail de l'événement peut désigner l'itinérance comme une transition rapide. Si ce n'est pas le cas, l'absence d'échange 802.1X est l'indice révélateur. Vos journaux RADIUS fournissent une seconde vérification : lorsque le FT fonctionne, un appareil en itinérance envoie moins de requêtes d'authentification par session.
Confirmez à l'aide d'une capture de paquets
Pour une réponse définitive, lancez une capture de paquets depuis le tableau de bord sur le point d'accès de destination. Lors d'une itinérance FT, la trame d'authentification 802.11 transporte l'algorithme d'authentification 2 (Fast BSS Transition). Une itinérance standard transporte l'algorithme 0 (Open System). L'IEEE 802.11 définit ces deux valeurs, la capture lève donc tout doute.
Comment résoudre le problème sur les appareils Meraki, Apple, Android et Windows ?
Sur le tableau de bord Meraki
Le paramètre 802.11r se trouve dans les paramètres de contrôle d'accès de chaque SSID. Modifiez-le pendant une fenêtre de maintenance, car l'enregistrement des modifications de sécurité SSID peut déconnecter brièvement les appareils. Suivez la documentation 802.11r actuelle de Cisco Meraki pour connaître les étapes exactes, car la disposition du tableau de bord évolue au fil du temps.
iPhone et iPad
La documentation de la plateforme Apple sur l'itinérance WiFi confirme la prise en charge du 802.11r et la reconnaissance du mode adaptatif de Cisco. Sur un parc 802.1X mixte, le mode adaptatif offre aux iPhones et iPads une transition rapide. Il masque également l'annonce FT aux appareils plus anciens qui la rejetteraient.
Android
La prise en charge d'Android pour le 802.11r dépend du chipset du téléphone et de la version du fabricant. Meraki indique que le mode adaptatif cible les appareils Apple, vous devez donc traiter les téléphones Android comme des appareils standards en mode adaptatif. Si votre flotte Android est gérée et testée, un SSID dédié avec le 802.11r activé offre à ces téléphones une transition rapide.
Ordinateurs portables Windows
Microsoft documente la prise en charge du 802.11r dans Windows lorsque le pilote WiFi le prend également en charge. Mettez d'abord à jour les pilotes depuis le site du fabricant de l'ordinateur portable. Sur les SSID 802.1X, Windows bénéficie également de la mise en cache opportuniste de clés (OKC). Avec l'OKC, les points d'accès partagent une clé en cache afin que l'appareil évite une authentification complète.
Scanners, imprimantes et appareils médicaux
Vérifiez la documentation du fabricant pour la prise en charge du 802.11r, puis confirmez-la avec l'SSID de test. Si un appareil échoue, déplacez-le sur son propre SSID avec le 802.11r désactivé. Segmentez par classe d'appareils plutôt que de ralentir l'ensemble du réseau pour l'appareil le plus ancien.
Vous avez des questions sur votre configuration spécifique ?
Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.
Quel paramètre 802.11r Meraki devez-vous utiliser ?
| Votre assortiment d'appareils | Sécurité SSID | Paramètre | À quoi s'attendre |
|---|---|---|---|
| iPhones d'entreprise et anciens scanners et imprimantes | WPA2-Enterprise | Adaptatif | Les iPhones bénéficient de l'itinérance rapide ; les appareils plus anciens se connectent normalement |
| Flotte gérée, chaque modèle testé pour FT | WPA2-Enterprise ou WPA2-PSK | Activé | Chaque appareil bénéficie de l'itinérance rapide |
| Scanners, imprimantes, IoT ou appareils médicaux uniquement | WPA2-PSK | Désactivé | Connexions stables ; authentification complète à chaque changement d'itinérance |
| Mix BYOD à dominante Android et Windows | WPA2-Enterprise | Adaptatif | Apple bénéficie de l'itinérance rapide ; les autres s'appuient sur la mise en cache des clés |
| SSID de transition WPA2/WPA3 | Mode de transition WPA3 | Désactivé, puis pilote activé sur un SSID | Connexions stables pendant que vous testez la prise en charge de FT-SAE |
Scénario pratique : le réseau du personnel d'un hôtel de 200 chambres
Situation. Un hôtel de 200 chambres a activé le 802.11r sur son SSID du personnel en WPA2-Enterprise pour fluidifier les appels sur les iPhones du service d'étages. Le lendemain matin, des terminaux de commande portables plus anciens et deux imprimantes du back-office n'ont pas pu se reconnecter.
Ce qui a été fait. L'équipe a créé un SSID de test avec le 802.11r désactivé, et les terminaux s'y sont connectés immédiatement. Ils ont basculé la production en mode adaptatif, conservant la transition rapide pour les iPhones.
Résultat. Les échecs d'association des terminaux ont cessé dès leur tentative de connexion suivante. Le journal d'événements a montré des itinérances d'iPhone sans nouvel échange 802.1X, confirmant que la transition rapide était toujours utilisée.
Scénario pratique : terminaux vocaux dans une chaîne de 40 magasins de détail
Situation. Une chaîne de 40 magasins de détail utilisait un WiFi pour le personnel en WPA2-PSK avec le 802.11r désactivé. Le personnel a signalé des coupures lors des appels sur les terminaux vocaux entre la réserve et la surface de vente. Des scanners plus anciens partageaient le même SSID.
Ce qui a été fait. Le fabricant des terminaux a confirmé la prise en charge de FT sur PSK. L'équipe a créé un SSID dédié à la voix avec le 802.11r activé et l'a testé dans un magasin pilote. Les scanners sont restés sur le SSID d'origine, sans modification.
Résultat. Les captures pilotes ont montré l'algorithme d'authentification 2 lors des itinérances des terminaux vocaux. Les signalements d'appels coupés dans le magasin pilote ont cessé avant le déploiement sur l'ensemble de la chaîne.
Comment éviter le retour des problèmes d'itinérance Meraki ?
- Conservez un inventaire des appareils par classe. Enregistrez la prise en charge du 802.11r de chaque classe à partir d'un test, et non d'une fiche technique.
- Concevez les SSID par classe d'appareils. Adaptatif pour le 802.1X mixte, activé pour les flottes testées, désactivé pour les appareils plus anciens.
- Testez chaque modification. Effectuez un pilote sur un site ou un SSID avant une sauvegarde à l'échelle du réseau.
- Retestez après chaque changement. Les mises à jour du microprogramme MR et les nouveaux modèles d'appareils modifient tous deux le comportement.
- Surveillez le journal d'événements. Examinez les échecs d'association chaque semaine pendant le premier mois suivant toute modification.
802.11k et 802.11v aident un appareil à choisir son prochain point d'accès. 802.11r accélère le déplacement lui-même. Traitez-les comme des paramètres distincts et testez chacun d'eux.
Où Purple intervient
Staff WiFi de Purple ajoute des réseaux basés sur l'identité au-dessus de vos points d'accès Meraki existants. Le RADIUS cloud de Purple authentifie le personnel via Microsoft Entra ID, Okta ou Google Workspace. Les arrivées, changements de poste et départs mettent à jour l'accès automatiquement, ainsi Purple révoque l'accès d'un collaborateur partant sans changement manuel de SSID. Purple détient la certification ISO 27001.
Purple est indépendant du matériel sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Le même modèle d'identité fonctionne sur les parcs des Hôtels et du Secteur de la vente au détail disposant d'un matériel mixte. Purple fonctionne sur plus de 80 000 sites actifs et a géré 440 millions de connexions en 2024 (données internes de Purple). Aucun remplacement de matériel n'est requis, comme l'explique Pourquoi votre prochaine mise à niveau WiFi n'a pas besoin de nouveau matériel. Pour la configuration équivalente chez un autre fournisseur, consultez Configuration de 802.1X sur Juniper Mist avec le RADIUS cloud.
Foire aux questions
Meraki 802.11r nécessite-t-il une licence supplémentaire ?
Non, 802.11r est un paramètre par SSID dans le tableau de bord Meraki plutôt qu'un module complémentaire séparé. Vous choisissez désactivé, activé ou adaptatif dans les paramètres de contrôle d'accès de chaque SSID. Le changement s'applique aux points d'accès MR desservant ce SSID. Confirmez les modes de sécurité disponibles par rapport à la documentation actuelle de Cisco Meraki et à votre micrologiciel MR, en particulier avant d'associer 802.11r à WPA3. Planifiez la modification pendant une plage de maintenance, car l'enregistrement des modifications de sécurité SSID peut déconnecter brièvement les appareils.
802.11r fonctionnera-t-il avec Purple Staff WiFi sur Cisco Meraki ?
Oui, 802.11r s'exécute sur votre SSID Meraki et fonctionne aux côtés du RADIUS cloud de Purple. Purple authentifie chaque appareil lors de sa première connexion via Microsoft Entra ID, Okta ou Google Workspace. La transition rapide gère ensuite l'itinérance entre vos points d'accès MR sans échange 802.1X complet à chaque fois. Cela réduit le trafic d'authentification vers le serveur RADIUS. Utilisez le mode adaptatif sur les parcs mixtes, et le mode activé uniquement lorsque chaque appareil du personnel réussit un test de transition rapide.
Dois-je remplacer les scanners et imprimantes plus anciens pour utiliser l'itinérance rapide ?
Non, vous pouvez les conserver. Placez les appareils plus anciens sur leur propre SSID avec 802.11r désactivé. Vous pouvez également configurer votre SSID 802.1X sur adaptatif afin que les appareils plus anciens ne voient jamais l'annonce de transition rapide. Le remplacement n'a de sens que lorsqu'un appareil échoue également sur le WPA2 standard, ou lorsque son fabricant ne publie plus de mises à jour de sécurité. Un SSID de test avec 802.11r désactivé montre quels appareils ont besoin de leur propre SSID et lesquels peuvent rejoindre le SSID principal.
802.11r est-il compatible avec WPA3 ?
Oui, IEEE 802.11 définit la transition rapide pour SAE, le handshake WPA3-Personal, et pour 802.1X sous WPA3-Enterprise. La prise en charge sur votre réseau dépend du firmware MR et du pilote de chaque appareil. Le mode de transition WPA3 annonce les suites WPA2 et WPA3 dans un seul beacon. Cela augmente le risque qu'un pilote plus ancien l'interprète mal. Testez 802.11r sur un seul SSID de transition et consultez le journal d'événements avant de le déployer.
Est-ce que 802.11r remplace le roaming de couche 3 Meraki ?
Non, ils répondent à des problèmes différents. 802.11r raccourcit le handshake de sécurité lorsqu'un appareil se déplace entre les points d'accès. Le roaming de couche 3 Meraki conserve l'adresse IP d'un appareil lorsqu'il se déplace entre des points d'accès sur des VLAN ou sous-réseaux différents, de sorte que les sessions restent actives. Un grand campus ou un stade disposant de plusieurs sous-réseaux peut avoir besoin des deux. Si les itinérances sont lentes au sein d'un même VLAN, commencez par 802.11r. Si les sessions se coupent lorsque les appareils changent de sous-réseau, examinez le roaming de couche 3.
Est-ce que 802.11r affaiblit la sécurité aux fins de PCI-DSS ou du GDPR ?
Non, la transition rapide maintient le chiffrement WPA2 ou WPA3 en place. Les clés pour le point d'accès suivant dérivent de la hiérarchie de clés établie lors de la première authentification, comme le définit IEEE 802.11. PCI-DSS exige toujours un chiffrement fort sur les réseaux WiFi entrant dans le périmètre des données des porteurs de carte, et 802.11r ne modifie pas cela. Conservez les terminaux de paiement sur un SSID ou VLAN segmenté. Consignez le paramètre 802.11r dans votre documentation de configuration réseau.
Combien de temps faut-il pour résoudre un problème Meraki 802.11r ?
La modification du paramètre prend quelques minutes, mais son test correct prend plus de temps. Créez un SSID de test, confirmez quels appareils échouent, puis pilotez le nouveau paramètre sur un site avant d'effectuer un changement à l'échelle du réseau. La majeure partie de l'effort réside dans l'inventaire des appareils, pas dans le tableau de bord. Planifiez une plage de maintenance pour chaque modification en production. Consultez le journal d'événements pour repérer les échecs d'association au cours de la semaine suivante.
Définitions clés
802.11r (Fast BSS Transition)
Amendement de la norme IEEE 802.11 publié en 2008, désormais intégré à la norme IEEE 802.11 de base. Il permet à un appareil de dériver les clés pour le point d'accès suivant pendant son déplacement, évitant ainsi un échange d'authentification complet. Dans les trames d'authentification 802.11, la technologie FT utilise l'algorithme d'authentification 2, tandis qu'un roaming standard utilise l'algorithme 0 (Open System).
Vous le retrouvez sous forme de paramètre 802.11r par SSID sur le tableau de bord Meraki. Choisir désactivé, activé ou adaptatif détermine si les appareils bénéficient d'un roaming rapide et si les pilotes plus anciens peuvent toujours se connecter.
802.11r adaptatif
Un mode spécifique à Cisco développé en collaboration avec Apple. Le SSID annonce une authentification standard accompagnée d'un élément d'information propre à Cisco, et seuls les appareils Apple capables de reconnaître cet élément utilisent la FT. Meraki le préconise pour les SSID en 802.1X (WPA2-Enterprise).
C'est l'option par défaut la plus sûre pour les parcs mixtes combinant des iPhone d'entreprise et des équipements plus anciens. Elle n'a aucun effet sur Android ou Windows, qui restent en roaming standard.
Suite AKM
Suite de gestion des clés et d'authentification (Authentication and key management suite), définie dans la norme IEEE 802.11 et répertoriée dans l'élément d'information RSN. L'IEEE 802.11 définit des AKM FT distinctes pour le 802.1X, le PSK et le SAE, un appareil pouvant ainsi en prendre une en charge mais pas une autre.
Le mode activé ajoute des suites AKM FT au beacon. Les pilotes plus anciens qui les interprètent mal rejettent le réseau ou ne tentent même pas de s'y connecter, ce qui provoque les échecs d'association décrits dans ce guide.
IE RSN
L'élément d'information de réseau de sécurité robuste (Robust Security Network Information Element) défini dans l'IEEE 802.11, acheminé dans les beacons et les réponses de balayage (probe responses). Il répertorie les suites de chiffrement et AKM prises en charge par un SSID ; la norme prévoit que les appareils ignorent les suites qu'ils ne comprennent pas.
Lorsque vous activez le 802.11r, Meraki y ajoute des entrées FT. Chaque appareil doit être en mesure d'analyser cet élément correctement, ce qui met à jour les pilotes non conformes.
IEEE 802.1X
La norme IEEE pour le contrôle d'accès au réseau basé sur les ports. Elle achemine le protocole EAP (Extensible Authentication Protocol) entre l'appareil, le point d'accès et un serveur d'authentification, et sert de fondement aux architectures WPA2-Enterprise et WPA3-Enterprise.
Sur un SSID 802.1X sans transition rapide, chaque roaming déclenche une authentification complète. Cela ajoute un délai à chaque passage d'un point d'accès à un autre et provoque des coupures dans les communications vocales.
RADIUS
Remote Authentication Dial-In User Service, spécifié dans la norme IETF RFC 2865. Il s'agit du protocole utilisé par les points d'accès pour vérifier les identifiants des appareils et des utilisateurs auprès d'un serveur d'authentification.
Vos journaux RADIUS fournissent une seconde vérification sur l'itinérance rapide. Lorsque le FT fonctionne, un appareil en itinérance envoie moins de demandes d'authentification par quart de travail.
SAE
Simultaneous Authentication of Equals, l'échange de clés basé sur mot de passe défini dans l'IEEE 802.11 et utilisé par le WPA3-Personal. L'IEEE 802.11 définit un AKM FT distinct pour le SAE.
La prise en charge du FT sur SAE varie selon le micrologiciel MR et le pilote de l'appareil. Testez-le sur un SSID pilote avant d'activer le 802.11r sur un réseau WPA3.
PSK
Pre-shared key, l'authentification par phrase secrète partagée utilisée par le WPA2-Personal sous l'IEEE 802.11. Le FT sur PSK est un AKM distinct du FT sur 802.1X.
Meraki applique le 802.11r aux SSID PSK et Enterprise. Confirmez que chaque fabricant d'appareils prend en charge le FT sur PSK avant de l'activer, comme cela a été fait lors du projet pilote de badges vocaux dans le secteur de la vente au détail.
Mode de transition WPA3
Un mode WPA3 de la Wi-Fi Alliance dans lequel un seul SSID annonce les suites AKM WPA2 et WPA3 dans une seule balise beacon, afin que les appareils WPA2 uniquement et WPA3 puissent se connecter ensemble.
L'annonce combinée augmente le risque qu'un pilote plus ancien interprète mal la balise beacon. Laissez le 802.11r désactivé et effectuez d'abord un essai sur un seul SSID de transition.
Mise en cache opportuniste de clés (OKC)
Une méthode de mise en cache de clés largement déployée, qui n'est pas un amendement IEEE 802.11. Les points d'accès partagent une clé en cache issue d'une authentification 802.1X antérieure, ce qui évite à l'appareil une authentification complète lors d'une itinérance.
Sur les SSID 802.1X, les ordinateurs portables Windows et autres appareils non-Apple en mode adaptatif s'appuient sur la mise en cache des clés pour une itinérance plus rapide.
Domaine de mobilité
Le groupe de points d'accès défini dans l'IEEE 802.11 FT qui partagent les informations de hiérarchie de clés et annoncent le même identifiant de domaine de mobilité. Les itinérances FT fonctionnent uniquement au sein d'un même domaine de mobilité.
Une itinérance entre des points d'accès annonçant des domaines de mobilité différents repasse par une authentification complète. Vérifiez ce point avant de rejeter la faute de l'itinérance lente sur les pilotes d'appareil.
Itinérance de couche 3 Meraki
Une fonctionnalité Cisco Meraki MR qui conserve l'adresse IP d'un appareil lorsqu'il se déplace entre des points d'accès situés sur des VLAN ou des sous-réseaux différents, afin de maintenir les sessions. Elle est distincte de l'IEEE 802.11r.
Les grands campus ou les stades comportant plusieurs sous-réseaux peuvent avoir besoin des deux. Utilisez le 802.11r pour les itinérances lentes au sein d'un même VLAN et l'itinérance de couche 3 pour les sessions qui coupent à travers plusieurs sous-réseaux.
Exemples concrets
Un hôtel de 200 chambres a activé le protocole 802.11r sur son SSID WPA2-Enterprise réservé au personnel afin de fluidifier les appels sur les iPhone de l'équipe d'entretien. Le lendemain matin, les terminaux de commande portables plus anciens et deux imprimantes de back-office n'ont pas réussi à se reconnecter.
L'équipe a créé un SSID de test doté des mêmes paramètres de sécurité, mais avec le 802.11r désactivé. Les terminaux se sont connectés immédiatement, ce qui a prouvé que l'annonce FT dans le beacon activé était la cause du problème. L'équipe a alors fait passer le SSID de production du mode activé au mode adaptatif. Le mode adaptatif masque l'annonce FT aux appareils plus anciens tout en maintenant la transition rapide pour les appareils Apple qui reconnaissent l'élément spécifique à Cisco. Les échecs d'association des terminaux ont cessé dès leur tentative de connexion suivante. Le journal d'événements a montré des roaming d'iPhone sans nouvel échange 802.1X complet, confirmant que la transition rapide était toujours opérationnelle.
Une chaîne de 40 magasins exploitait un WiFi personnel en WPA2-PSK avec le 802.11r désactivé. Le personnel a signalé des coupures de voix sur les boîtiers vocaux lors des déplacements entre la réserve et la surface de vente, alors que des scanners plus anciens partageaient le même SSID.
Le fabricant des boîtiers vocaux a confirmé la prise en charge du FT sur PSK, que la norme IEEE 802.11 définit séparément du FT sur 802.1X. Plutôt que d'activer le 802.11r sur le SSID partagé et de prendre un risque avec les scanners, l'équipe a créé un SSID voix dédié avec le 802.11r activé. Elle l'a déployé en pilote dans un magasin tout en laissant les scanners sur le SSID d'origine sans modification. Les captures de paquets lors du pilote ont révélé un algorithme d'authentification 2 pendant le roaming des boîtiers, confirmant la transition rapide. Les signalements de voix hachée dans le magasin pilote ont cessé avant même le déploiement à l'échelle de la chaîne.
Questions fréquentes
Est-ce que Meraki 802.11r nécessite une licence supplémentaire ?
Non, le 802.11r est un paramètre par SSID dans le tableau de bord Meraki et non un module complémentaire séparé. Vous choisissez désactivé, activé ou adaptatif dans les paramètres de contrôle d'accès de chaque SSID. La modification s'applique aux points d'accès MR desservant ce SSID. Confirmez les modes de sécurité disponibles auprès de la documentation actuelle de Cisco Meraki et de votre micrologiciel MR, en particulier avant de combiner le 802.11r avec le WPA3. Planifiez la modification pendant une fenêtre de maintenance, car l'enregistrement des modifications de sécurité SSID peut déconnecter brièvement les appareils.
Est-ce que 802.11r fonctionne avec Purple Staff WiFi sur Cisco Meraki ?
Oui, 802.11r fonctionne sur votre SSID Meraki et s'associe au RADIUS cloud de Purple. Purple authentifie chaque appareil lors de sa première connexion à l'aide de Microsoft Entra ID, Okta ou Google Workspace. Fast transition gère ensuite l'itinérance entre vos points d'accès MR sans exiger un échange 802.1X complet à chaque fois. Cela réduit le trafic d'authentification vers le serveur RADIUS. Utilisez le mode adaptatif sur les parcs mixtes, et activez-le uniquement là où chaque appareil du personnel réussit un test fast transition.
Dois-je remplacer les anciens scanners et imprimantes pour utiliser l'itinérance rapide ?
Non, vous pouvez les conserver. Placez les appareils plus anciens sur leur propre SSID avec 802.11r désactivé. Vous pouvez également régler votre SSID 802.1X sur adaptatif afin que les anciens appareils ne voient jamais l'annonce fast transition. Le remplacement ne s'impose que si un appareil échoue également sur du WPA2 standard, ou si son fabricant ne publie plus de mises à jour de sécurité. Un SSID de test avec 802.11r désactivé permet d'identifier les appareils qui nécessitent leur propre SSID et ceux qui peuvent rejoindre le réseau principal.
Est-ce que 802.11r est compatible avec WPA3 ?
Oui, la norme IEEE 802.11 définit fast transition pour SAE, le handshake WPA3-Personal, et pour 802.1X sous WPA3-Enterprise. La prise en charge sur votre réseau dépend du firmware MR et du pilote de chaque appareil. Le mode de transition WPA3 annonce les suites WPA2 et WPA3 dans une seule balise beacon. Cela augmente le risque qu'un pilote plus ancien la balise de manière erronée. Testez 802.11r sur un seul SSID de transition et vérifiez le journal d'événements avant de le déployer.
Est-ce que 802.11r remplace l'itinérance de couche 3 Meraki ?
Non, ils répondent à des besoins différents. 802.11r raccourcit le handshake de sécurité lorsqu'un appareil se déplace entre plusieurs points d'accès. L'itinérance de couche 3 Meraki conserve l'adresse IP d'un appareil lorsqu'il se déplace entre des points d'accès situés sur des VLAN ou des sous-réseaux différents, garantissant ainsi la continuité des sessions. Un grand campus ou un stade comportant plusieurs sous-réseaux peut nécessiter les deux. Si les itinérances sont lentes au sein d'un même VLAN, commencez par 802.11r. Si les sessions s'interrompent lorsque les appareils changent de sous-réseau, étudiez l'itinérance de couche 3.
Est-ce que 802.11r affaiblit la sécurité dans le cadre de PCI DSS ou du GDPR ?
Non, fast transition conserve le chiffrement WPA2 ou WPA3 en place. Les clés du point d'accès suivant découlent de la hiérarchie de clés établie lors de la première authentification, comme le définit IEEE 802.11. PCI DSS exige toujours un chiffrement fort sur les réseaux sans fil figurant dans le périmètre des données de cartes de paiement, et 802.11r ne modifie pas cette exigence. Maintenez les terminaux de paiement sur un SSID ou un VLAN segmenté. Consignez le paramètre 802.11r dans votre documentation de configuration réseau.
Combien de temps faut-il pour résoudre un problème de Meraki 802.11r ?
Modifier ce paramètre ne prend que quelques minutes, mais le tester correctement demande plus de temps. Créez un SSID de test, confirmez quels appareils échouent, puis pilotez le nouveau paramètre sur un site avant de déployer le changement sur l'ensemble du réseau. La majeure partie de l'effort réside dans l'inventaire des appareils, pas dans le tableau de bord. Planifiez une plage de maintenance pour chaque modification en production. Examinez le journal d'événements pour repérer les échecs d'association au cours de la semaine suivante.
Sources
Continuer la lecture de cette série
Optimisation du Roaming pour la VoIP et les Appels Vidéo sur le WiFi d'Entreprise
Ce guide fournit aux responsables informatiques, architectes réseau et CTO un plan d'action complet et neutre vis-à-vis des fournisseurs pour optimiser le roaming WiFi afin de prendre en charge de manière fluide la VoIP et les appels vidéo sur les réseaux du personnel. Il couvre la pile de protocoles IEEE 802.11k/r/v, la configuration de la QoS WMM, la conception de cellules RF et le mappage de la QoS filaire de bout en bout requis pour atteindre une latence de transfert inférieure à 50 ms. Applicable aux secteurs de l'hôtellerie, de la vente au détail, de la santé et des grands espaces, cette référence inclut des scénarios d'implémentation réels, des cadres de dépannage et une analyse de ROI mesurable.
Guide étape par étape pour diagnostiquer les problèmes de roaming WiFi
Ce guide complet fournit aux responsables informatiques et architectes réseau d'entreprise une méthodologie faisant autorité, étape par étape, pour diagnostiquer et résoudre les problèmes de roaming WiFi. En combinant des analyses techniques approfondies des normes IEEE 802.11k/v/r avec des études de cas réels et des analyses de paquets, ce document de référence permet aux équipes d'éliminer le problème du « client collant » et d'offrir une connectivité mobile fluide. Il couvre l'ensemble du flux de diagnostic, depuis les audits de couverture radio (RF) et de configuration des contrôleurs jusqu'à l'analyse des captures de paquets à l'antenne (OTA) et la validation post-résolution.
Comprendre l'RSSI et la puissance du signal pour une planification optimale des canaux
Ce guide propose une analyse technique approfondie de l'RSSI, du rapport signal sur bruit (SNR) et des principes de propagation RF pour une planification optimale des canaux. Il apporte aux responsables informatiques, architectes réseau et directeurs d'exploitation des stratégies exploitables pour atténuer les interférences cocanal et de canaux adjacents, optimiser l'emplacement des points d'accès et exploiter les analyses pour un impact commercial mesurable dans les secteurs de l'hôtellerie, de l'immobilier commercial et du secteur public.
Vous avez des questions sur votre configuration spécifique ?
Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.