- Purple
- Enterprise WiFi security and authentication: a complete guide
- 802.11r e 802.11k no Android: implementação de roaming rápido em Cisco Meraki, HPE Aruba e Ubiquiti UniFi
802.11r e 802.11k no Android: implementação de roaming rápido em Cisco Meraki, HPE Aruba e Ubiquiti UniFi
Será capaz de decidir se deve ativar 802.11r, 802.11k e 802.11v para a sua frota Android em Cisco Meraki, HPE Aruba ou Ubiquiti UniFi, e qual a estratégia de 802.11r a implementar. Poderá também pilotar a alteração com segurança, confirmar cada modelo de dispositivo numa captura de pacotes e corrigir as seis falhas de associação mais comuns.
Parte da nossa série principal: Guia de segurança WiFi empresarial →
- O que faz realmente o roaming rápido num telemóvel Android?
- 802.11k: relatórios de vizinhança
- 802.11v: gestão de transição BSS
- 802.11r: transição rápida BSS
- Por que razão o suporte em Android varia por chipset e fabricante
- O que precisa antes de ativar o 802.11r para Android?
- Como configurar o roaming rápido para uma frota mista de Android?
- Qual é a estratégia 802.11r mais adequada para a sua frota Android?
- Transição rápida over-the-air ou over-the-distribution system?
- Cisco Meraki
- HPE Aruba
- Ubiquiti UniFi
- Onde o Purple se enquadra
- Como verificar se um dispositivo Android utilizou a transição rápida?
- No controlador
- Numa captura através do ar
- No dispositivo
- Por que razão alguns telemóveis Android falham a ligação quando o 802.11r está ativo?
- Cenários práticos em hotéis, comércio e setor público
- Um hotel de 200 quartos com Cisco Meraki
- Uma cadeia de retalho de 40 lojas com HPE Aruba
- Um edifício municipal com Ubiquiti UniFi
- Quanto custa o fast roaming e qual é o retorno?
- Perguntas frequentes
- O Android suporta a transição rápida 802.11r?
- O Android suporta 802.11k e 802.11v?
- Preciso de uma licença adicional para o 802.11r no Cisco Meraki, HPE Aruba ou Ubiquiti UniFi?
- A ativação do 802.11r vai bloquear o acesso de dispositivos Android mais antigos à minha rede?
- Devo utilizar o 802.11r adaptativo no Cisco Meraki para dispositivos Android?
- O Purple Staff WiFi funciona com 802.11r nos meus pontos de acesso existentes?
- O roaming rápido afeta a conformidade com PCI-DSS ou GDPR?
- Quanto tempo demora a implementação do 802.11r para uma frota de dispositivos Android?

Sim, a maioria dos telemóveis Android suporta a transição rápida 802.11r, os relatórios de vizinhança 802.11k e a transição BSS 802.11v. O suporte depende do controlador do chipset e do fabricante, e não apenas da versão do Android. Em Cisco Meraki, HPE Aruba ou Ubiquiti UniFi, ative o 802.11r em modo misto e mantenha a transição rápida por via aérea (over the air). Confirme cada modelo de telemóvel numa captura de pacotes antes da implementação.
O que faz realmente o roaming rápido num telemóvel Android?
O roaming rápido baseia-se em três alterações IEEE que trabalham em conjunto:
- 802.11k ajuda o telemóvel a encontrar o ponto de acesso seguinte.
- 802.11v permite que a rede sugira quando mudar.
- 802.11r encurta a própria transferência de sinal (handover).
O Android pode utilizar os três. É o telemóvel que decide quando fazer roaming, e não o ponto de acesso.
Este ponto molda todas as decisões neste guia. Na maioria dos dispositivos Android, o roaming é executado no firmware e no controlador do chipset WiFi, e não na estrutura (framework) do Android. O Android Open Source Project documenta isto como roaming de firmware. Como resultado, dois telemóveis na mesma versão do Android podem fazer roaming de forma bastante diferente.
802.11k: relatórios de vizinhança
Um telemóvel compatível com 802.11k solicita ao seu ponto de acesso atual um relatório de vizinhança. Trata-se de uma lista dos pontos de acesso próximos e dos canais que utilizam. O telemóvel analisa depois apenas esses canais, em vez de fazer uma varredura por todas as bandas. Passa menos tempo fora do canal e toma uma decisão de roaming melhor informada. Os telemóveis sem 802.11k ignoram o relatório e fazem a varredura normal.
802.11v: gestão de transição BSS
A gestão de transição BSS do 802.11v permite que o ponto de acesso sugira que um telemóvel mude para um ponto de acesso específico. O telemóvel pode aceitar, rejeitar ou ignorar o pedido. Os chipsets Android tratam estes pedidos como conselhos, e alguns agem com base neles mais facilmente do que outros. Associe o 802.11v ao 802.11k, porque um pedido de transição só ajuda se o telemóvel já conhecer as suas opções.
802.11r: transição rápida BSS
O 802.11r, também chamado de transição rápida (FT), altera a forma como as chaves de encriptação são configuradas durante um roaming.
O IEEE 802.1X é o padrão de autenticação baseado em portas por trás da WiFi empresarial. O RADIUS é o protocolo que os seus pontos de acesso utilizam para verificar as credenciais num servidor de autenticação. Sem FT, um telemóvel em WPA2-Enterprise ou WPA3-Enterprise repete a troca completa do 802.1X com o servidor RADIUS em cada novo ponto de acesso. Em seguida, conclui um handshake de chaves de quatro vias.
Com o 802.11r, a primeira ligação continua a autenticar na totalidade. Os roamings posteriores dentro do mesmo domínio de mobilidade derivam novas chaves a partir de uma hierarquia de chaves em cache. Essa troca de chaves é integrada nas tramas de autenticação e reassociação. Não há viagem ao servidor RADIUS nem um handshake de quatro vias separado.
Isto é crucial para voz e push-to-talk. A Recomendação ITU-T G.114 aconselha a manter o atraso de voz unidirecional abaixo dos 150 milissegundos. Uma troca 802.1X completa com um serviço RADIUS na nuvem, repetida em cada ponto de acesso, reduz essa margem.
Por que razão o suporte em Android varia por chipset e fabricante
A Google publica a estrutura do Android, mas o roaming rápido opera em camadas mais baixas do sistema. O suporte depende de quatro camadas:
- O chipset, de fornecedores como a Qualcomm, Broadcom e MediaTek.
- O controlador e firmware do fornecedor do chipset.
- A versão do fabricante.
- A versão do Android.
Um fabricante pode fornecer um chipset compatível com 802.11r com a funcionalidade desativada ou parcialmente implementada. Os telemóveis robustecidos e os tablets económicos utilizam frequentemente controladores mais antigos durante anos.
A certificação é o sinal mais prático. O programa Agile Multiband da WiFi Alliance testa a interoperabilidade do 802.11k, 802.11v e 802.11r. O seu programa Voice-Enterprise testa o roaming rápido para telemóveis de voz. Um modelo certificado foi aprovado nos testes de interoperabilidade. Um modelo não certificado ainda pode funcionar, mas terá de o testar por si próprio.
Para obter os detalhes de protocolo por trás destas três alterações, consulte o guia de implementação 802.11r, 802.11k e 802.11v da Purple.
O que precisa antes de ativar o 802.11r para Android?
Reúna seis elementos antes de alterar um SSID de produção (o nome da rede à qual os seus dispositivos se ligam).
- Um inventário de telemóveis. Extraia o modelo, a versão do Android e o nível do patch de segurança da sua plataforma de gestão de dispositivos móveis (MDM). Agrupe a frota por modelo, pois o modelo prevê o comportamento de roaming melhor do que a versão do Android.
- Firmware de ponto de acesso suportado. Confirme se o firmware do seu Cisco Meraki, HPE Aruba ou Ubiquiti UniFi suporta 802.11r no tipo de segurança que utiliza. Verifique as notas de lançamento atuais do fornecedor.
- Um domínio de mobilidade. A transição rápida só funciona entre pontos de acesso que partilham material de chave. Mantenha os pontos de acesso entre os quais um telemóvel se desloca na mesma rede Meraki, cluster de controladores Aruba ou site UniFi. Um roaming que atravesse essa fronteira volta à autenticação completa.
- Sobreposição de cobertura. Um telemóvel só pode fazer roaming para um ponto de acesso que consiga ouvir bem. Valide a sobreposição com uma análise no local antes de ajustar as definições de roaming. Consulte WiFi Site Surveys: A Practical Planning Guide.
- Kit de captura. Precisa de um portátil ou adaptador USB compatível com o modo de monitorização, além do Wireshark, que é gratuito.
- Um SSID piloto. Clone a produção com a mesma segurança, VLAN e servidor RADIUS. Uma VLAN (LAN virtual) é o segmento de rede onde o tráfego é encaminhado. Teste no clone e, em seguida, aplique as definições.
Como configurar o roaming rápido para uma frota mista de Android?
Trabalhe do menor para o maior risco:
- Ative o 802.11k e o 802.11v no SSID piloto. Os telemóveis que não os suportam ignoram os elementos adicionais, pelo que as falhas de associação são raras.
- Ative o 802.11r em modo misto. Cada SSID anuncia uma ou mais suites de autenticação e gestão de chaves (AKM). O modo misto anuncia suites padrão e FT lado a lado, para que os equipamentos que não suportam FT continuem a conseguir associar-se.
- Mantenha o FT over-the-air. Deixe a sinalização over-the-DS desativada, a menos que tenha um motivo testado para a utilizar.
- Teste todos os modelos de equipamentos. Associe-se ao SSID, caminhe entre os pontos de acesso durante uma chamada e capture os roams.
- Escolha uma estratégia e implemente. Utilize a matriz abaixo e, em seguida, passe as definições para produção numa janela de alteração com um plano de reversão.
Qual é a estratégia 802.11r mais adequada para a sua frota Android?
| A sua frota Android | Definição 802.11r | 802.11k e 802.11v | Motivo |
|---|---|---|---|
| Equipamentos geridos, todos os modelos passam o piloto | Ativado, modo misto, no SSID de colaboradores | Ativado | Os equipamentos com capacidade FT efetuam roaming rápido e qualquer dispositivo sem FT continua a associar-se com 802.1X completo |
| Equipamentos maioritariamente recentes, um ou dois modelos antigos falham no modo misto | Ativado no SSID principal, acrescido de um SSID antigo com 802.11r desativado na mesma VLAN | Ativado para ambos os SSIDs | Os modelos antigos continuam a funcionar enquanto o resto da frota efetua roaming rápido |
| BYOD ou uma grande parque de modelos desconhecidos | Desativado | Ativado | Evita falhas de associação e o armazenamento de PMK em cache continua a encurtar os regressos a um ponto de acesso que o equipamento já visitou |
| Rede Cisco Meraki, maioritariamente dispositivos Apple com alguns Android | Adaptativo | Ativado | Os dispositivos Apple suportados efetuam roaming rápido, enquanto os equipamentos Android utilizam 802.1X completo |
| Equipamentos dedicados a voz ou push-to-talk, todos de um único modelo testado | Ativado, modo misto, num SSID de voz dedicado | Ativado | O tráfego de voz obtém o roaming mais curto sem expor outros dispositivos ao FT |
O armazenamento em cache de PMK é o mecanismo padrão 802.11i que permite a um equipamento reutilizar uma pairwise master key com um ponto de acesso no qual já se tenha autenticado.
Transição rápida over-the-air ou over-the-distribution system?
O 802.11r define duas formas de transportar a troca de FT. Over-the-air, o equipamento comunica diretamente com o ponto de acesso de destino. Over-the-distribution system (DS), o equipamento envia tramas de ação FT para o seu ponto de acesso atual, que as reencaminha através da rede cablada para o destino.
| Fator | Over-the-air | Over-the-DS |
|---|---|---|
| Caminho das tramas | Do equipamento para o ponto de acesso de destino, por rádio | Do equipamento para o ponto de acesso atual, depois reencaminhamento cablado para o destino |
| Suporte para Android | Comum em chipsets Android com capacidade FT | Mais irregular, com alguns controladores a gerir incorretamente o bit de funcionalidade |
| Quando ajuda | A maioria dos locais com boa sobreposição de células | Casos limite em que o ponto de acesso de destino está com sinal fraco no momento do roam |
| Modo de falha | O roam recua para autenticação completa | O roam pode esgotar o tempo de espera antes que o equipamento tente novamente |
| Recomendação Purple | Padrão para frotas mistas de Android | Apenas após teste bem-sucedido por modelo |
Cisco Meraki
O Meraki expõe 802.11r por SSID com três opções: Disabled, Enabled e Adaptive. O Enabled anuncia FT juntamente com a gestão de chaves padrão, que é um modo misto. O Adaptive ativa o FT apenas para dispositivos Apple iOS que suportem a extensão 802.11r adaptativa da Cisco. Os dispositivos Android num SSID Adaptive associam-se com autenticação padrão e não obtêm transição rápida. Para uma frota maioritariamente Android, teste o Enabled no seu SSID piloto. A documentação do Meraki nota que alguns dispositivos mais antigos não se conseguem associar quando o 802.11r está ativado. Siga-a para ver os passos atuais.
HPE Aruba
A Aruba configura a transição rápida por WLAN. Em implementações de controladores ArubaOS, o perfil 802.11r associado ao SSID ativa o FT e contém a opção over-the-DS. O 802.11k e a gestão de transição BSS encontram-se no perfil 802.11k. O Aruba Instant e o Aruba Central apresentam as mesmas funcionalidades nas definições de roaming da WLAN. A Aruba também suporta opportunistic key caching (OKC), uma forma não padronizada de partilhar chaves entre pontos de acesso. Confirme que um modelo de dispositivo suporta OKC antes de confiar nele como solução de recurso.
Ubiquiti UniFi
A UniFi expõe o 802.11r como Fast Roaming e o 802.11v como BSS Transition nas definições avançadas de cada rede WiFi. A Ubiquiti avisa que alguns dispositivos mais antigos podem não suportar o Fast Roaming. Ative primeiro o BSS Transition e depois o Fast Roaming na rede piloto. Verifique as notas de lançamento da versão da sua aplicação Network antes da implementação em produção.
Onde o Purple se enquadra
O Staff WiFi do Purple fornece a camada de identidade através de Identity-Based Networks. Autentica os colaboradores através de 802.1X com o Microsoft Entra ID, Okta ou Google Workspace, utilizando RADIUS na nuvem. A transição rápida é executada nos seus pontos de acesso. O Purple autentica a primeira ligação e o 802.11r mantém os roams posteriores dentro da sua WLAN.
O Purple é independente de hardware e funciona com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Opera em mais de 80 000 locais ativos e geriu 440 milhões de sessões em 2024 (dados do Purple).
Planeie a saída de colaboradores. Quando revoga uma identidade, a alteração é aplicada na próxima autenticação completa desse dispositivo. Até lá, um dispositivo revogado pode continuar a fazer roaming com chaves em cache dentro do domínio de mobilidade. O tempo limite da sessão define essa janela, pelo que deve alinhá-lo com a sua política de entradas, saídas e transferências de colaboradores (JML).
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.
Como verificar se um dispositivo Android utilizou a transição rápida?
Utilize três camadas de evidência. Apenas a captura de pacotes é conclusiva.
No controlador
A maioria dos controladores lista as capacidades por cliente analisadas a partir do pedido de associação, incluindo o suporte a 802.11r, 802.11k e 802.11v. Abra a vista de detalhes do cliente e o histórico de roaming no seu painel Meraki, Aruba ou UniFi. Um indicador de capacidade mostra que o dispositivo pode utilizar FT. Isso não prova que um roaming específico o tenha utilizado.
Numa captura através do ar
Faça a captura no canal do ponto de acesso de destino enquanto um testador desloca o dispositivo entre células. A tabela mostra o que procurar no Wireshark.
| O que vê | Frame | O que significa |
|---|---|---|
| Elemento Mobility Domain, ID 54 | Resposta de beacon ou probe | O ponto de acesso anuncia 802.11r |
| Conjunto AKM 00-0F-AC:3, :4 ou :9 | Pedido de associação ou reassociação do dispositivo | O dispositivo escolheu FT-802.1X, FT-PSK ou FT-SAE |
| Algoritmo de autenticação número 2 | Frame de autenticação durante o roaming | O dispositivo realizou um roaming FT over-the-air |
| Frames de ação FT para o ponto de acesso atual | Frames de ação antes do roaming | O dispositivo realizou um roaming FT over-the-DS |
| Algoritmo 0, depois uma troca EAP completa e handshake de quatro vias | Autenticação, EAPOL | Sem FT, pelo que o dispositivo executou 802.1X completo |
| Elemento RM Enabled Capabilities, ID 70, e pedidos de relatório de vizinhos | Pedido de associação, frames de ação | O dispositivo suporta e utiliza 802.11k |
| Consulta, pedido e resposta de gestão de transição BSS | Frames de ação de gestão de rede sem fios (WNM) | O dispositivo suporta e utiliza 802.11v |
Um roaming 802.1X FT bem-sucedido mostra a troca de autenticação e reassociação FT sem tráfego EAP e sem handshake de quatro vias.
No dispositivo
Ative as Opções de programador e, em seguida, ative a opção de registo detalhado de WiFi. Ligue através de ADB (Android Debug Bridge) e execute adb shell dumpsys wifi, ou retire um relatório de erros. Procure os nomes de gestão de chaves que o wpa_supplicant utiliza: FT-EAP, FT-PSK ou FT-SAE. Os resultados variam consoante o fabricante e a versão do Android, pelo que deve tratar isto como evidência de suporte e não como prova conclusiva.
Por que razão alguns telemóveis Android falham a ligação quando o 802.11r está ativo?
A maioria das falhas deve-se a seis causas principais.
- O controlador analisa incorretamente o modo misto. Alguns controladores mais antigos não conseguem processar conjuntos FT no elemento de segurança juntamente com os conjuntos padrão. O dispositivo falha a associação ou, em alguns casos, nem sequer lista a rede. Corrija o problema com um SSID legado sem FT, uma atualização do fabricante enviada via MDM ou a descontinuação do modelo.
- O SSID está configurado apenas como FT. Os dispositivos sem FT não conseguem associar-se a um SSID que anuncie apenas conjuntos FT. Corrija o problema alterando para o modo misto.
- Over the DS está anunciado. Os dispositivos que tratam incorretamente o bit de funcionalidade falham o roaming e, em seguida, voltam a ligar-se lentamente. Corrija o problema voltando a utilizar over the air.
- O WPA3 adiciona Protected Management Frames. O WPA3 exige PMF (802.11w) e o suporte a FT-SAE é mais inconsistente do que o suporte a FT-PSK ou FT-802.1X. Um dispositivo que funciona em WPA2 pode continuar a falhar em WPA3. Teste cada modo de segurança separadamente.
- O roaming cruza domínios de mobilidade. Uma transição entre redes Meraki, clusters Aruba ou sites UniFi força uma autenticação completa. Isto pode parecer uma falha no FT. Corrija o problema no design da rede, não no dispositivo.
- Os dispositivos mantêm-se num ponto de acesso fraco. O FT encurta o roaming, mas não faz com que o dispositivo faça roaming mais cedo. Confie no 802.11k e no 802.11v e aumente as taxas mínimas de dados com cuidado. Um direcionamento agressivo de clientes pode desligar diretamente os dispositivos Android.
Cenários práticos em hotéis, comércio e setor público
Estes são implementações ilustrativas, não clientes nomeados da Purple. Cada uma mostra o percurso de decisão e a métrica utilizada para confirmar o resultado.
Um hotel de 200 quartos com Cisco Meraki
Situação. As equipas de limpeza e manutenção utilizavam dispositivos Android com uma aplicação VoIP numa SSID de funcionários WPA2-Enterprise. O 802.11r estava desativado e as chamadas caíam entre pisos. A frota tinha dois modelos: um dispositivo recente com certificação Agile Multiband e 18 unidades mais antigas e resistentes.
O que foi feito. A equipa ativou o 802.11r numa SSID piloto, e todas as 18 unidades mais antigas falharam a associação. Definiram a SSID principal de funcionários como Ativada e adicionaram uma SSID legada com 802.11r desligado, na mesma VLAN e política RADIUS. O 802.11k e o 802.11v mantiveram-se ativos em ambas as SSIDs.
Resultado. As capturas mostraram os dispositivos recentes em roaming com autenticação de algoritmo 2 e sem tráfego EAP. Os pedidos RADIUS desses dispositivos caíram de um por roaming para um por sessão. Todas as 18 unidades legadas ligaram-se no primeiro dia e foram agendadas para substituição. Para saber mais sobre Hotéis, consulte as páginas de hotelaria da Purple.
Uma cadeia de retalho de 40 lojas com HPE Aruba
Situação. As equipas de stock utilizavam scanners Android que mantêm uma sessão ativa com o sistema de inventário. O 802.11r já estava ativo, com over the DS ativado. Um modelo de scanner continuava a perder sessões entre o armazém e a área de vendas.
O que foi feito. Numa loja piloto, a equipa desativou o over the DS e manteve o FT over the air. Ativaram o 802.11k e a gestão de transição BSS, e depois capturaram os roamings para cada modelo de scanner.
Resultado. As capturas confirmaram roamings FT over-the-air para todos os modelos. As falhas de roaming no modelo afetado pararam na loja piloto. A alteração chegou a todas as 40 lojas em duas janelas de alteração. Consulte Retalho para ver o trabalho da Purple no setor do retalho.
Um edifício municipal com Ubiquiti UniFi
Situação. Dispositivos Android corporativos e telefones BYOD (traga o seu próprio dispositivo) partilhavam a mesma rede. Os funcionários comunicaram quedas nas chamadas do Teams num piso amplo em plano aberto.
O que foi feito. A equipa dividiu a rede numa SSID corporativa com Fast Roaming e BSS Transition ativos, e numa SSID BYOD apenas com BSS Transition. Testaram cada modelo de dispositivo corporativo antes do lançamento.
Resultado. Os dispositivos corporativos mostraram roamings FT nas capturas. Os dispositivos BYOD ligaram-se sem falhas de associação porque nunca detetaram FT. O mesmo modelo adapta-se a dispositivos em enfermarias na área da Saúde, onde dispositivos clínicos e telefones pessoais partilham os mesmos edifícios.
Quanto custa o fast roaming e qual é o retorno?
O 802.11r, 802.11k e 802.11v são funcionalidades de firmware nos pontos de acesso Cisco Meraki, HPE Aruba e Ubiquiti UniFi. Nenhuma delas necessita de uma licença de funcionalidade separada. O custo principal é o tempo de engenharia:
- Criar uma SSID piloto.
- Testar cada modelo de dispositivo.
- Fazer capturas.
- Agendar janelas de alteração.
Uma SSID legada comporta um custo oculto menor. Cada SSID envia os seus próprios beacons, que consomem tempo de antena em todos os canais.
O retorno é mensurável. Um dispositivo móvel que faz roaming 30 vezes num turno dispara 30 trocas 802.1X completas sem FT. Com FT, dispara apenas uma por sessão, além de acertos na cache PMK nos pontos de acesso que volta a visitar. Isso reduz a carga no seu serviço RADIUS e elimina falhas repetidas de autenticação em chamadas de voz e sessões de leitores de código de barras. Obtém isto a partir de pontos de acesso que já possui; consulte Por que a sua próxima atualização de WiFi não precisa de novo hardware.
A transição rápida é mais importante em SSIDs de funcionários protegidos. Num SSID de Guest WiFi aberto ou com Captive Portal, não há troca 802.1X para encurtar, pelo que o ganho é reduzido. Se estiver a orçamentar a rede de convidados nos mesmos pontos de acesso, veja Comparação de preços de captive portal: modelos por local, por ponto de acesso e por utilizador.
Perguntas frequentes
O Android suporta a transição rápida 802.11r?
Sim, a maioria dos dispositivos Android atuais suporta 802.11r, mas o suporte depende do chipset, do controlador e da versão do fabricante, e não da versão do Android. O roaming é geralmente executado no firmware do chipset, pelo que dois telemóveis com a mesma versão do Android podem comportar-se de forma diferente. A certificação Agile Multiband ou Voice-Enterprise é o sinal mais forte. Para modelos não certificados, confirme o FT numa captura de pacotes procurando a gestão de chaves FT no pedido de associação e a autenticação do algoritmo 2 durante um roaming.
O Android suporta 802.11k e 802.11v?
Sim, muitos dispositivos Android utilizam relatórios de vizinhos 802.11k e pedidos de transição BSS 802.11v, dependendo novamente do chipset e do fabricante. Os dispositivos sem suporte ignoram os elementos adicionais, pelo que a ativação de ambos raramente bloqueia a associação. O Android trata os pedidos 802.11v como conselhos, não como instruções. Confirme o suporte por modelo verificando o elemento RM Enabled Capabilities e as tramas de gestão de transição BSS numa captura.
Preciso de uma licença adicional para o 802.11r no Cisco Meraki, HPE Aruba ou Ubiquiti UniFi?
Não, 802.11r, 802.11k e 802.11v são funcionalidades de firmware incluídas nas três plataformas, sem necessidade de licença de funcionalidade separada. O seu custo é o tempo de engenharia para um SSID piloto, testes por modelo e janelas de alteração. Se adicionar um SSID legado para dispositivos mais antigos, conte com um pequeno custo de tempo de antena decorrente dos beacons adicionais, em vez de uma taxa de licença.
A ativação do 802.11r vai bloquear o acesso de dispositivos Android mais antigos à minha rede?
Pode acontecer, motivo pelo qual deve testar primeiro num SSID piloto. Alguns controladores mais antigos não se associam quando um SSID anuncia FT juntamente com a gestão de chaves padrão. Utilize o modo misto, nunca apenas FT, e mantenha o FT over-the-air. Se um modelo continuar a falhar, atribua-lhe um SSID legado com o 802.11r desativado na mesma VLAN, atualize o seu firmware através de MDM ou desative-o.
Devo utilizar o 802.11r adaptativo no Cisco Meraki para dispositivos Android?
Não, o Adaptive 802.11r não oferece transição rápida a dispositivos Android. Ativa o FT apenas para dispositivos Apple iOS que suportem a extensão adaptativa da Cisco. Os dispositivos Android num SSID adaptativo associam-se com 802.1X padrão e executam uma autenticação completa em cada roaming. Para uma frota com muitos dispositivos Android, teste a configuração Ativado num SSID piloto e recorra a um SSID legado para qualquer modelo que falhe.
O Purple Staff WiFi funciona com 802.11r nos meus pontos de acesso existentes?
Sim, o Purple Staff WiFi é executado nos seus pontos de acesso existentes e funciona em conjunto com o 802.11r. A Purple é agnóstica em termos de hardware, sendo compatível com Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. O RADIUS na nuvem da Purple autentica a primeira ligação no Microsoft Entra ID, Okta ou Google Workspace. A transição rápida mantém depois os roamings subsequentes nos seus pontos de acesso, sem necessidade de nova comunicação com o RADIUS.
O roaming rápido afeta a conformidade com PCI-DSS ou GDPR?
Não, o 802.11r mantém a encriptação de nível 802.1X e não altera os dados pessoais que processa. O PCI-DSS exige criptografia forte para redes sem fios que transportem dados de titulares de cartões, e o FT deriva novas chaves por sessão em cada roaming. Nos termos do GDPR, o roaming não recolhe novos dados pessoais. Reveja o seu limite de tempo de sessão, pois este define durante quanto tempo um dispositivo revogado pode continuar em roaming com chaves em cache.
Quanto tempo demora a implementação do 802.11r para uma frota de dispositivos Android?
Planeie um ciclo piloto por modelo de dispositivo e, em seguida, uma janela de alteração em produção por local ou grupo de locais. A alteração da configuração demora minutos, sendo que os testes ocupam a maior parte do tempo. Cada modelo precisa de um teste de ligação, um teste em movimento durante uma chamada e uma captura. Uma frota com dois ou três modelos numa única plataforma de controlador adapta-se normalmente a um único ciclo piloto antes da implementação.
Definições Principais
802.11r (transição BSS rápida)
Emenda IEEE 802.11 que altera a configuração de chaves durante um roaming. A primeira ligação autentica totalmente; os roamings posteriores no mesmo domínio de mobilidade derivam chaves novas a partir de uma hierarquia de chaves em cache, integradas nas tramas de autenticação e reassociação, sem ida e volta ao RADIUS e sem handshake de quatro vias separado.
Encontra-o como uma definição de SSID ou WLAN em Cisco Meraki, HPE Aruba e Ubiquiti UniFi. É especialmente importante para sessões de voz, push-to-talk e leitores em SSIDs de funcionários WPA2-Enterprise ou WPA3-Enterprise.
802.11k (relatórios de vizinhança)
Emenda IEEE 802.11 para medição de recursos de rádio. Um dispositivo compatível solicita um relatório de vizinhança com a lista dos pontos de acesso próximos e respetivos canais, e depois analisa apenas esses canais. O suporte é sinalizado pelo elemento RM Enabled Capabilities, ID 70.
Ative-o primeiro na SSID piloto. Os dispositivos sem 802.11k ignoram o relatório, pelo que raramente causa falhas de associação, e ajuda os dispositivos a tomarem melhores decisões de roaming.
802.11v (gestão de transição BSS)
Emenda IEEE 802.11 para gestão de redes sem fios. O ponto de acesso pode enviar um pedido de gestão de transição BSS sugerindo um ponto de acesso de destino específico; o dispositivo pode aceitar, rejeitar ou ignorar. As trocas aparecem como tramas de ação WNM.
Os chipsets Android tratam estes pedidos como conselhos. Combine-o com o 802.11k para que o dispositivo já conheça as suas opções e evite o direcionamento agressivo de clientes, o que pode desligar dispositivos Android.
802.1X
Padrão de controlo de acesso à rede baseado em portas IEEE por trás do WiFi empresarial. O dispositivo autentica-se através de uma troca EAP retransmitida pelo ponto de acesso a um servidor de autenticação antes de receber acesso à rede.
Sem o 802.11r, um dispositivo em WPA2-Enterprise ou WPA3-Enterprise repete a troca completa de 802.1X em cada ponto de acesso, o que consome o orçamento de atraso de voz ITU-T G.114 de 150 milissegundos.
RADIUS
O protocolo de autenticação que os pontos de acesso utilizam para verificar credenciais num servidor de autenticação durante uma troca 802.1X.
A transição rápida reduz os pedidos RADIUS de um por transição para um por sessão. O Staff WiFi da Purple utiliza RADIUS na nuvem para autenticar a primeira ligação com o Microsoft Entra ID, Okta ou Google Workspace.
Domínio de mobilidade
O grupo de pontos de acesso definido no IEEE 802.11r que partilha material de chave FT, anunciado no elemento Mobility Domain, ID 54, em beacons e respostas a sondagens.
Mantenha os pontos de acesso entre os quais um dispositivo se desloca numa única rede Meraki, cluster de controladores Aruba ou site UniFi. Uma transição fora desta fronteira recorre à autenticação completa e pode parecer um FT com falhas.
Suite AKM e modo misto
Suites de gestão de chaves e autenticação anunciadas no elemento de segurança do SSID. As suites FT incluem 00-0F-AC:3 (FT-802.1X), :4 (FT-PSK) e :9 (FT-SAE). O modo misto anuncia suites padrão e FT lado a lado.
O modo misto permite que dispositivos não-FT continuem a ligar-se. Alguns controladores Android mais antigos analisam-no incorretamente e falham a associação, razão pela qual deve testar cada modelo num SSID piloto.
FT over the air e over the DS
Os dois métodos 802.11r para transportar a troca FT. Over the air, o dispositivo comunica diretamente com o ponto de acesso de destino utilizando o algoritmo de autenticação número 2. Over the distribution system, envia tramas de ação FT para o seu ponto de acesso atual, que as retransmite através da rede cablada.
Over the air é comum em chipsets Android compatíveis com FT e é o padrão para frotas mistas. O suporte over-the-DS é mais irregular e alguns controladores gerem mal o bit de funcionalidade, fazendo com que as transições esgotem o tempo limite.
Caching PMK
Mecanismo padrão 802.11i que permite a um dispositivo reutilizar uma chave mestra em pares com um ponto de acesso no qual já se tenha autenticado.
Encurta os regressos a pontos de acesso visitados anteriormente, mesmo com o 802.11r desativado, o que torna a desativação do FT uma estratégia viável para BYOD ou parques de dispositivos desconhecidos.
Opportunistic key caching (OKC)
Um método não padrão, fora das emendas IEEE 802.11, para partilhar chaves entre pontos de acesso para que um dispositivo possa fazer roaming sem autenticação completa.
A HPE Aruba suporta este método. Confirme que cada modelo de dispositivo suporta OKC antes de o utilizar como alternativa ao 802.11r.
Protected Management Frames (802.11w)
Emenda IEEE 802.11w que protege tramas de gestão. O WPA3 exige PMF, e o suporte para FT-SAE em dispositivos é mais irregular do que FT-PSK ou FT-802.1X.
Um dispositivo que passe nos testes de transição rápida em WPA2 pode ainda falhar em WPA3, pelo que deve testar cada modo de segurança separadamente antes da implementação.
Certificação Agile Multiband e Voice-Enterprise
Programas de certificação da WiFi Alliance. O Agile Multiband testa a interoperabilidade do 802.11k, 802.11v e 802.11r; o Voice-Enterprise testa o roaming rápido para dispositivos de voz.
A certificação é o sinal mais prático ao avaliar modelos Android. Modelos não certificados podem continuar a funcionar, mas precisa de os confirmar nas suas próprias capturas de pacotes.
Exemplos Práticos
Um hotel com 200 quartos em Cisco Meraki executa uma aplicação VoIP em dispositivos Android numa SSID de funcionários WPA2-Enterprise com 802.11r desativado. As chamadas caem entre pisos. A frota possui um modelo atual certificado com Agile Multiband e 18 unidades robustecidas mais antigas. Como obter roaming rápido sem bloquear as unidades mais antigas?
A equipa ativou primeiro o 802.11r numa SSID piloto, e todas as 18 unidades mais antigas falharam a associação. Definiram a SSID principal de funcionários como Ativada (o modo misto da Meraki) e adicionaram uma SSID legada com 802.11r desligado na mesma VLAN e política RADIUS. O 802.11k e o 802.11v permaneceram ativos em ambas as SSIDs. As capturas mostraram os dispositivos atuais a fazer roaming com autenticação de algoritmo 2 e sem tráfego EAP, e os seus pedidos RADIUS caíram de um por roaming para um por sessão. Todas as 18 unidades legadas conetaram-se no primeiro dia e foram agendadas para substituição. A SSID legada manteve-as a funcionar enquanto o restante da frota fazia roaming rápido.
Uma cadeia de retalho com 40 lojas em HPE Aruba já tem o 802.11r ativo, com over the DS ativado. Um modelo de leitor Android continua a perder a sessão ativa do sistema de stocks entre o armazém e a loja. O que deve alterar?
Numa loja piloto, a equipa desativou o over the DS e manteve o FT over the air, porque o suporte a over-the-DS nos controladores Android é mais irregular e alguns gerem mal o bit de funcionalidade, fazendo com que os roamings esgotem o tempo limite. Ativaram o 802.11k e a gestão de transição BSS e, em seguida, capturaram os roamings para cada modelo de leitor. As capturas confirmaram roamings FT over-the-air em todos os modelos, e as falhas de roaming no modelo afetado pararam na loja piloto. A alteração foi depois alargada a todas as 40 lojas ao longo de duas janelas de alteração, mantendo o risco controlado enquanto cada modelo era comprovado.
A sede de um município em Ubiquiti UniFi tem dispositivos Android corporativos e telefones BYOD na mesma rede. Os funcionários relatam quebras de chamadas no Teams num piso amplo em plano aberto. Como adicionar roaming rápido sem interromper dispositivos pessoais desconhecidos?
A equipa dividiu a rede em duas SSIDs. A SSID corporativa tinha o Fast Roaming (802.11r) e a BSS Transition (802.11v) ativos, enquanto a SSID BYOD tinha apenas a BSS Transition. Testaram cada modelo de dispositivo corporativo antes do lançamento, porque a Ubiquiti avisa que alguns dispositivos mais antigos podem não suportar Fast Roaming. Os dispositivos corporativos apresentaram roamings FT nas capturas. Os dispositivos BYOD associaram-se sem falhas de associação porque nunca viram suites FT anunciadas. A mesma divisão adapta-se a enfermarias hospitalares, onde dispositivos clínicos e telefones pessoais partilham os mesmos edifícios.
Perguntas frequentes
O Android suporta a transição rápida 802.11r?
Sim, a maioria dos telemóveis Android atuais suporta 802.11r, mas o suporte depende do chipset, do controlador e da versão do fabricante, e não da versão do Android. O roaming é normalmente executado no firmware do chipset, pelo que dois telemóveis com a mesma versão do Android podem comportar-se de forma diferente. A certificação Agile Multiband ou Voice-Enterprise é o sinal mais forte. Para modelos não certificados, confirme o FT numa captura de pacotes procurando a gestão de chaves FT no pedido de associação e a autenticação do algoritmo 2 durante um roaming.
O Android suporta 802.11k e 802.11v?
Sim, muitos telemóveis Android utilizam relatórios de vizinhos 802.11k e pedidos de transição BSS 802.11v, dependendo novamente do chipset e do fabricante. Os telemóveis sem suporte ignoram os elementos adicionais, pelo que a ativação de ambos raramente bloqueia a associação. O Android trata os pedidos 802.11v como conselhos e não como instruções. Confirme o suporte por modelo verificando o elemento RM Enabled Capabilities e as tramas de gestão de transição BSS numa captura.
Preciso de uma licença extra para o 802.11r no Cisco Meraki, HPE Aruba ou Ubiquiti UniFi?
Não, o 802.11r, 802.11k e 802.11v são funcionalidades de firmware incluídas nas três plataformas, sem necessidade de licença de funcionalidade separada. O seu custo é o tempo de engenharia para um SSID piloto, testes por modelo e janelas de alteração. Se adicionar um SSID legado para telemóveis mais antigos, conte com um pequeno custo de tempo de antena devido aos beacons adicionais, e não com uma taxa de licença.
A ativação do 802.11r vai bloquear o acesso de dispositivos Android mais antigos à minha rede?
Pode acontecer, e é por isso que deve testar primeiro num SSID piloto. Alguns controladores mais antigos não se conseguem associar quando um SSID anuncia FT juntamente com a gestão de chaves padrão. Utilize o modo misto, nunca apenas FT, e mantenha o FT por via aérea. Se um modelo continuar a falhar, atribua-lhe um SSID legado com o 802.11r desativado na mesma VLAN, atualize o seu firmware através de MDM ou desative-o.
Devo utilizar o 802.11r Adaptive no Cisco Meraki para dispositivos Android?
Não, o 802.11r Adaptive não oferece transição rápida aos telemóveis Android. Ativa o FT apenas para dispositivos Apple iOS que suportem a extensão adaptativa da Cisco. Os dispositivos Android num SSID Adaptive associam-se com 802.1X padrão e executam uma autenticação completa a cada roaming. Para uma frota maioritariamente Android, teste a configuração Enabled num SSID piloto e recorra a um SSID legado para qualquer modelo que falhe.
O Purple Staff WiFi funciona com o 802.11r nos meus pontos de acesso existentes?
Sim, o Staff WiFi da Purple é executado nos seus pontos de acesso existentes e funciona em conjunto com o 802.11r. A Purple é agnóstica em termos de hardware no Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. O RADIUS em nuvem da Purple autentica a primeira ligação com o Microsoft Entra ID, Okta ou Google Workspace. A transição rápida mantém depois os roamings subsequentes nos seus pontos de acesso, sem necessidade de retornar ao RADIUS.
O fast roaming afeta a conformidade com o PCI-DSS ou com o GDPR?
Não, o 802.11r mantém a encriptação de nível 802.1X e não altera os dados pessoais que processa. O PCI-DSS exige uma criptografia forte para redes sem fios que transmitam dados do titular do cartão, e o FT deriva novas chaves por sessão a cada roaming. Ao abrigo do GDPR, o roaming não recolhe novos dados pessoais. Reveja o tempo limite da sua sessão, pois este define durante quanto tempo um dispositivo revogado pode continuar a fazer roaming com chaves em cache.
Quanto tempo demora uma implementação do 802.11r para uma frota de dispositivos Android?
Planeie um ciclo piloto por modelo de dispositivo e, em seguida, uma janela de alteração de produção por local ou grupo de locais. A alteração das definições demora minutos, enquanto os testes ocupam a maior parte do tempo. Cada modelo necessita de um teste de ligação, um teste em movimento durante uma chamada e uma captura. Uma frota com dois ou três modelos numa única plataforma de controlador adapta-se normalmente a um único ciclo piloto antes da implementação.
Continue a ler esta série
Salvaguardas Técnicas da HIPAA para WiFi de Funcionários Hospitalares: O Que Exige Realmente a Regra de Segurança
Poderá mapear cada uma das cinco normas de salvaguarda técnica da HIPAA no ponto 45 CFR 164.312 a um controlo específico de WiFi para funcionários. Poderá então decidir quais as configurações de SSID que sobrevivem a uma auditoria do OCR, retirar frases-passe partilhadas e reunir a prova que um auditor solicita antes da sua próxima análise de risco.
Microsoft Cloud PKI para WiFi: implementação de certificados EAP-TLS com Intune e Microsoft Entra ID
Poderá decidir se o Microsoft Cloud PKI, uma raiz Cloud PKI ou a utilização da sua própria CA (BYOCA) se adequa à sua infraestrutura. Pode depois implementar certificados WiFi EAP-TLS em dispositivos geridos pelo Intune sem NDES. O guia também cobre como fazer o RADIUS confiar na cadeia, revogar certificados através da CRL e resolver as oito falhas mais comuns.
Configurar 802.1X no Juniper Mist com RADIUS na nuvem
Poderá configurar uma WLAN WPA2 ou WPA3-Enterprise no Juniper Mist que autentica num RADIUS na nuvem, decidir entre RADIUS UDP, RadSec e um proxy Mist Edge, e mapear atributos RADIUS para VLANs dinâmicas. Também saberá onde o cronograma de client insights do Mist e a Marvis mostram exatamente onde falhou uma autenticação.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.