Cisco Meraki 802.11r adaptativo vs habilitado: corrigindo o roaming em pontos de acesso MR

Em um SSID Cisco Meraki MR, o 802.11r ativado anuncia transição rápida para todos os dispositivos. Isso acelera a transição (roaming), mas pode impedir a conexão de dispositivos mais antigos com drivers não compatíveis. O modo adaptativo ativa a transição rápida apenas para dispositivos Apple que a reconhecem, enquanto todos os outros dispositivos veem um SSID padrão. Use o modo adaptativo para ambientes mistos e o modo ativado apenas onde todos os dispositivos suportem 802.11r.

Como se parece um problema de roaming no Meraki 802.11r?

Os problemas de roaming no Meraki aparecem de duas maneiras e apontam para direções opostas.

A primeira é uma falha de conexão. Você altera um SSID de colaboradores de desativado para ativado e alguns dispositivos param de se conectar. Um leitor de código de barras portátil vê a rede, mas falha ao se associar. Uma impressora de etiquetas perde a conexão e nunca mais retorna. Alguns dispositivos mais antigos simplesmente deixam de listar o SSID. iPhones e notebooks recentes continuam funcionando normalmente, fazendo com que a falha pareça aleatória.

A segunda é uma transição lenta. Os dispositivos se conectam, mas as chamadas de voz falham à medida que os colaboradores caminham entre os pontos de acesso. Em um SSID 802.1X, cada transição dispara uma autenticação completa com o servidor RADIUS, adicionando atraso a cada transferência. 802.1X é o padrão IEEE para controle de acesso à rede baseado em porta. RADIUS é o protocolo que seus pontos de acesso usam para verificar credenciais em um servidor de autenticação.

Uma falha de conexão significa que o 802.11r está ativado para dispositivos que não conseguem lidar com ele. Uma transição lenta geralmente significa que ele está desativado ou que seus dispositivos não o estão utilizando.

Qual é a diferença entre o Meraki 802.11r adaptativo e ativado?

O 802.11r, ou Transição BSS Rápida (FT), é uma emenda do IEEE 802.11 publicada em 2008. Ele permite que um dispositivo obtenha chaves para o próximo ponto de acesso durante o deslocamento, pulando a troca completa de autenticação. Os pontos de acesso Meraki MR oferecem três configurações em cada SSID.

• Desativado. O SSID anuncia apenas a autenticação padrão. Cada transição em um SSID 802.1X executa uma nova autenticação, a menos que o dispositivo use cache de chaves.
• Ativado. O SSID adiciona suítes de autenticação e gerenciamento de chaves (AKM) com FT ao elemento de informação de segurança (RSN IE) em seu beacon. Todo dispositivo precisa ler esse elemento corretamente.
• Adaptativo. O SSID anuncia a autenticação padrão mais um elemento de informação específico da Cisco. Dispositivos Apple que o reconhecem usam FT, e outros dispositivos veem um SSID comum.

Configuração	O que o SSID anuncia	Quais dispositivos fazem roaming rápido	Risco para dispositivos antigos	Melhor aplicação
Desativado	Apenas AKM padrão WPA2 ou WPA3	Nenhum, exceto por cache de chaves no 802.1X	Nenhum	Leitores de código de barras, impressoras, IoT e dispositivos médicos
Ativado	AKM padrão mais FT AKM no beacon	Todo dispositivo com suporte funcional a 802.11r	Alguns drivers antigos falham ao conectar ou não veem o SSID	Frotas validadas, como terminais de voz
Adaptável	AKM padrão e um elemento específico da Cisco	Dispositivos Apple que reconhecem FT adaptável	Nenhum, por design	Ambientes 802.1X mistos com iPhones corporativos

O modo adaptável surgiu de uma colaboração entre a Cisco e a Apple. A Meraki o posiciona para SSIDs 802.1X (WPA2-Enterprise), portanto, consulte a documentação de 802.11r da Cisco Meraki para verificar os modos suportados pelo seu firmware. A Meraki aplica o 802.11r a SSIDs PSK e Enterprise. Se o seu Guest WiFi roda em um SSID aberto atrás de um captive portal, ele fica fora dessa decisão. Um captive portal é uma página web que controla o acesso antes que um dispositivo alcance a internet.

O que geralmente faz o fast roaming da Meraki falhar?

Drivers antigos não conseguem ler o anúncio FT

O padrão espera que um dispositivo ignore suítes AKM que não compreende. Alguns drivers mais antigos não fazem isso. Eles lêem incorretamente as entradas FT adicionais e rejeitam a rede ou nunca tentam se conectar. A própria documentação de 802.11r da Cisco Meraki alerta que ativá-lo pode impedir a associação de alguns dispositivos legados. Scanners de código de barras, terminais de pagamento, impressoras e sensores IoT são os suspeitos habituais, pois seu firmware de WiFi raramente muda. Em Healthcare, dispositivos clínicos geralmente executam firmware certificado que é atualizado lentamente pelo mesmo motivo.

O modo adaptável está configurado, mas a maior parte da sua frota não é Apple

O modo adaptável não quebra um dispositivo mais antigo, mas não faz nada por Android ou Windows. Se sua equipe usa aparelhos Android, o modo adaptável os mantém no roaming padrão. Nada falha, mas o benefício pelo qual você o ativou nunca chega.

O modo de segurança não atende ao que o dispositivo suporta

O IEEE 802.11 define o FT separadamente para cada AKM. FT sobre 802.1X, FT sobre PSK (pre-shared key) e FT sobre SAE (Simultaneous Authentication of Equals, o handshake do WPA3-Personal) são distintos. Um dispositivo pode suportar um e não outro. O modo de transição WPA3 aumenta o risco, pois um beacon anuncia suítes WPA2 e WPA3 juntas. Consulte as orientações de WPA3 da Meraki para combinações suportadas antes de ativar o FT em um SSID de transição.

O roaming é lento por motivos que o 802.11r não pode corrigir

O 802.11r encurta o handshake de segurança. Ele não pode corrigir um dispositivo preso a um ponto de acesso distante, cobertura fraca entre células ou um servidor RADIUS lento. Tampouco substitui o roaming de camada 3 da Meraki. O roaming de camada 3 mantém o endereço IP de um dispositivo enquanto ele se move entre pontos de acesso em diferentes VLANs, que são segmentos de rede logicamente separados.

O FT também funciona apenas dentro de um único domínio de mobilidade. Um roaming entre pontos de acesso que anunciam domínios de mobilidade diferentes recorre à autenticação completa. Um layout de célula ruim precisa de uma pesquisa técnica, não de uma configuração. Veja WiFi Site Surveys: A Practical Planning Guide.

Como identificar qual é a sua causa?

Isole a configuração com um SSID de teste

Crie um SSID de teste com as mesmas configurações de segurança, VLAN e RADIUS, e o 802.11r desativado. Se um dispositivo com falha se conectar ao SSID de teste, mas não ao de produção, o anúncio de FT é a causa. Se falhar em ambos, verifique as credenciais, certificados ou atribuição de VLAN.

Em seguida, verifique se o dispositivo com falha aparece no log de eventos. Um dispositivo que nunca tenta se associar não consegue ler o beacon. Um dispositivo que se associa e depois falha na autenticação tem uma falha diferente.

Como visualizar o roaming rápido no log de eventos do Meraki?

Abra o log de eventos de rede, filtre por eventos sem fio e limite a um dispositivo que acabou de se deslocar entre pontos de acesso. Leia a sequência ao redor de cada mudança de ponto de acesso.

• Um roaming completo mostra uma associação ao novo ponto de acesso, seguida por uma nova autenticação 802.1X e uma troca de chaves WPA.
• Um roaming de transição rápida mostra a associação ao novo ponto de acesso sem uma nova autenticação 802.1X.

Dependendo do firmware, os detalhes do evento podem rotular o roaming como transição rápida. Onde isso não ocorrer, a ausência da troca 802.1X é o indicativo. Seus logs de RADIUS fornecem uma segunda verificação: com o FT funcionando, um dispositivo em roaming envia menos solicitações de autenticação por turno.

Confirme com uma captura de pacotes

Para uma resposta definitiva, execute uma captura de pacotes a partir do painel no ponto de acesso de destino. Em um roaming FT, o quadro de autenticação 802.11 carrega o algoritmo de autenticação 2 (Fast BSS Transition). Um roaming padrão carrega o algoritmo 0 (Open System). O IEEE 802.11 define ambos os valores, portanto a captura elimina qualquer dúvida.

Como corrigir isso em dispositivos Meraki, Apple, Android e Windows?

No painel do Meraki

A configuração do 802.11r fica nas configurações de controle de acesso de cada SSID. Altere-a em uma janela de manutenção, pois salvar alterações de segurança do SSID pode desconectar os dispositivos brevemente. Siga a documentação atual do 802.11r da Cisco Meraki para obter as etapas exatas, pois o layout do painel muda com o tempo.

iPhone e iPad

A documentação da plataforma Apple sobre roaming WiFi confirma o suporte ao 802.11r e o reconhecimento do modo adaptativo da Cisco. Em um ambiente 802.1X misto, o modo adaptativo fornece transição rápida para iPhones e iPads. Ele também oculta o anúncio de FT de dispositivos mais antigos que o rejeitariam.

Android

O suporte do Android ao 802.11r depende do chipset do aparelho e da compilação do fabricante. A Meraki documenta o modo adaptativo como tendo como alvo dispositivos Apple, portanto, trate os aparelhos Android como dispositivos padrão no modo adaptativo. Se sua frota de dispositivos Android for gerenciada e testada, um SSID dedicado com 802.11r ativado oferece transição rápida a esses aparelhos.

Laptops Windows

A Microsoft documenta o suporte ao 802.11r no Windows nos casos em que o driver de WiFi também o suporta. Atualize primeiro os drivers do fabricante do laptop. Em SSIDs 802.1X, o Windows também se beneficia do opportunistic key caching (OKC). Com o OKC, os pontos de acesso compartilham uma chave em cache para que o dispositivo pule a autenticação completa.

Scanners, impressoras e dispositivos clínicos

Verifique a documentação do fabricante para o suporte a 802.11r e, em seguida, confirme com o SSID de teste. Se um dispositivo falhar, mova-o para seu próprio SSID com o 802.11r desativado. Segmente por classe de dispositivo em vez de atrasar toda a rede por causa do dispositivo mais antigo.

Qual configuração do 802.11r no Meraki você deve usar?

Sua combinação de dispositivos	Segurança do SSID	Configuração	O que esperar
iPhones corporativos e leitores/impressoras mais antigos	WPA2-Enterprise	Adaptável	iPhones fazem roaming rápido; dispositivos antigos conectam-se normalmente
Frota gerenciada, todos os modelos testados para FT	WPA2-Enterprise ou WPA2-PSK	Ativado	Todos os dispositivos fazem roaming rápido
Apenas leitores, impressoras, IoT ou dispositivos médicos	WPA2-PSK	Desativado	Conexões estáveis; autenticação completa a cada roaming
Combinação de BYOD liderada por Android e Windows	WPA2-Enterprise	Adaptável	Apple faz roaming rápido; outros dependem de caching de chaves
SSID de transição WPA2/WPA3	Modo de transição WPA3	Desativado, depois piloto ativado em um SSID	Conexões estáveis enquanto você testa o suporte a FT-SAE

Cenário prático: uma rede de funcionários de hotel com 200 quartos

Situação. Um hotel de 200 quartos ativou o 802.11r em seu SSID de funcionários com WPA2-Enterprise para suavizar as chamadas nos iPhones da governança. Na manhã seguinte, terminais portáteis de pedidos mais antigos e duas impressoras do back-office não conseguiram se reconectar.

O que foi feito. A equipe criou um SSID de teste com o 802.11r desativado, e os terminais se conectaram imediatamente. Eles mudaram a produção para adaptável, mantendo a transição rápida para os iPhones.

Resultado. As falhas de associação dos terminais pararam na tentativa de conexão seguinte. O log de eventos mostrou roamings de iPhones sem uma nova troca de 802.1X, confirmando que a transição rápida ainda estava em uso.

Cenário prático: crachás de voz em uma rede varejista de 40 lojas

Situação. Uma rede varejista de 40 lojas operava WiFi de funcionários em WPA2-PSK com 802.11r desativado. Os funcionários relataram chamadas cortadas nos crachás de voz entre o estoque e a loja. Leitores mais antigos compartilhavam o mesmo SSID.

O que foi feito. O fabricante dos crachás confirmou o suporte para FT sobre PSK. A equipe criou um SSID de voz com 802.11r ativado e o testou como piloto em uma loja. Os leitores permaneceram no SSID original, sem alterações.

Resultado. As capturas do piloto mostraram o algoritmo de autenticação 2 nos roamings dos crachás. Os relatos de chamadas cortadas na loja piloto pararam antes da implantação em toda a rede.

Como evitar que os problemas de roaming no Meraki voltem?

• Mantenha um inventário de dispositivos por classe. Registre o suporte a 802.11r de cada classe a partir de um teste, não de uma ficha técnica.
• Projete SSIDs por classe de dispositivo. Adaptável para 802.1X misto, ativado para frotas testadas, desativado para dispositivos mais antigos.
• Faça um piloto de cada mudança. Teste em um local ou em um SSID antes de salvar para toda a rede.
• Re-teste após eventos de mudança. Atualizações de firmware do MR e novos modelos de dispositivos alteram o comportamento.
• Acompanhe o log de eventos. Revise as falhas de associação semanalmente durante o primeiro mês após qualquer alteração.

O 802.11k e o 802.11v ajudam um dispositivo a escolher seu próximo ponto de acesso. O 802.11r agiliza a transição em si. Trate-os como configurações separadas e teste cada um.

Onde a Purple se encaixa

O Staff WiFi da Purple adiciona Redes Baseadas em Identidade sobre os seus pontos de acesso Meraki existentes. O RADIUS em nuvem da Purple autentica a equipe no Microsoft Entra ID, Okta ou Google Workspace. Admissões, transferências e desligamentos atualizam o acesso automaticamente, para que a Purple revogue o acesso de um ex-colaborador sem a necessidade de alterar o SSID manualmente. A Purple possui certificação ISO 27001.

A Purple é independente de hardware, sendo compatível com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. O mesmo modelo de identidade funciona em propriedades de Hotéis e Varejo com hardware misto. A Purple opera em mais de 80.000 locais ativos e gerenciou 440 milhões de logins em 2024 (dados da própria Purple). Não é necessário substituir a infraestrutura existente, conforme explicado em Por que sua próxima atualização de WiFi não precisa de novos hardwares. Para a configuração equivalente em outro fabricante, consulte Configurando 802.1X no Juniper Mist com cloud RADIUS.

Perguntas frequentes

O 802.11r no Meraki precisa de uma licença extra?

Não, o 802.11r é uma configuração por SSID no painel do Meraki e não um complemento separado. Você escolhe entre desativado, ativado ou adaptativo nas configurações de controle de acesso de cada SSID. A alteração se aplica aos pontos de acesso MR que atendem a esse SSID. Confirme os modos de segurança disponíveis na documentação atual da Cisco Meraki e no firmware do seu MR, especialmente antes de combinar 802.11r com WPA3. Agende a alteração em uma janela de manutenção, pois salvar alterações de segurança do SSID pode desconectar os dispositivos brevemente.

O 802.11r funcionará com o Purple Staff WiFi na Cisco Meraki?

Sim, o 802.11r roda no seu SSID Meraki e funciona junto com o RADIUS em nuvem da Purple. A Purple autentica cada dispositivo em sua primeira conexão no Microsoft Entra ID, Okta ou Google Workspace. A transição rápida lida com a alternância entre seus pontos de acesso MR sem a necessidade de uma troca 802.1X completa a cada vez. Isso reduz o tráfego de autenticação para o servidor RADIUS. Use o modo adaptativo em ambientes mistos e ativado apenas onde todos os dispositivos da equipe passarem pelo teste de transição rápida.

Preciso substituir scanners e impressoras mais antigos para usar o roaming rápido?

Não, você pode mantê-los. Coloque os dispositivos mais antigos em seu próprio SSID com o 802.11r desativado. Como alternativa, defina seu SSID 802.1X como adaptativo para que dispositivos mais antigos nunca vejam o anúncio de transição rápida. A substituição só faz sentido quando um dispositivo também falha no WPA2 padrão ou quando seu fabricante não lança mais atualizações de segurança. Um SSID de teste com o 802.11r desativado mostra quais dispositivos precisam de seu próprio SSID e quais podem se conectar ao principal.

O 802.11r é compatível com WPA3?

Sim, o IEEE 802.11 define transição rápida para SAE, o handshake do WPA3-Personal e para 802.1X no WPA3-Enterprise. O suporte em sua rede depende do firmware MR e do driver de cada dispositivo. O modo de transição WPA3 anuncia as suítes WPA2 e WPA3 em um único beacon. Isso aumenta a chance de um driver mais antigo interpretá-lo incorretamente. Faça um piloto do 802.11r em um único SSID de transição e analise o log de eventos antes de implementá-lo amplamente.

O 802.11r substitui o roaming de camada 3 da Meraki?

Não, eles resolvem problemas diferentes. O 802.11r encurta o handshake de segurança quando um dispositivo se desloca entre pontos de acesso. O roaming de camada 3 da Meraki mantém o endereço IP de um dispositivo quando ele se move entre pontos de acesso em VLANs ou sub-redes diferentes, garantindo que as sessões permaneçam ativas. Um grande campus ou estádio com várias sub-redes pode precisar de ambos. Se os roamings forem lentos em uma mesma VLAN, comece com o 802.11r. Se as sessões caírem quando os dispositivos cruzarem sub-redes, analise o roaming de camada 3.

O 802.11r enfraquece a segurança para fins de PCI-DSS ou GDPR?

Não, a transição rápida mantém a criptografia WPA2 ou WPA3 ativa. As chaves para o próximo ponto de acesso são derivadas da hierarquia de chaves configurada na primeira autenticação, conforme definido pelo IEEE 802.11. O PCI-DSS ainda exige criptografia forte em redes sem fio no escopo de dados de portadores de cartão, e o 802.11r não altera isso. Mantenha os terminais de pagamento em um SSID ou VLAN segmentado. Registre a configuração do 802.11r na documentação de configuração da sua rede.

Quanto tempo leva para resolver um problema de 802.11r na Meraki?

Alterar a configuração leva minutos, mas testá-la adequadamente leva mais tempo. Crie um SSID de teste, confirme quais dispositivos falham e, em seguida, faça um piloto da nova configuração em um local antes de realizar uma alteração em toda a rede. A maior parte do esforço está no inventário de dispositivos, não no painel. Reserve uma janela de manutenção para cada alteração em produção. Analise o log de eventos para verificar falhas de associação ao longo da semana seguinte.