Cisco Meraki 802.11r adaptativo vs ativado: resolver problemas de roaming em pontos de acesso MR

Num SSID Cisco Meraki MR, a opção 802.11r ativada anuncia a transição rápida a todos os dispositivos. Isso acelera o roaming, mas pode impedir a ligação de dispositivos mais antigos com controladores não conformes. A opção adaptativa ativa a transição rápida apenas para dispositivos Apple que a reconheçam, enquanto os restantes dispositivos veem um SSID padrão. Utilize a opção adaptativa em ambientes mistos e a opção ativada apenas onde todos os dispositivos suportem 802.11r.

Como se identifica um problema de roaming no Meraki 802.11r?

Os problemas de roaming no Meraki manifestam-se de duas formas, apontando em direções opostas.

A primeira é uma falha de ligação. Altera o SSID dos colaboradores de desativado para ativado e alguns dispositivos deixam de se ligar. Um leitor de código de barras portátil vê a rede, mas falha a associação. Uma impressora de etiquetas perde a ligação e nunca mais volta a ligar-se. Alguns dispositivos mais antigos deixam de listar o SSID por completo. Os iPhones e os portáteis recentes continuam a funcionar normalmente, fazendo com que a falha pareça aleatória.

A segunda é um roaming lento. Os dispositivos ligam-se, mas as chamadas de voz falham enquanto os colaboradores se deslocam entre pontos de acesso. Num SSID 802.1X, cada roaming dispara uma autenticação completa no servidor RADIUS, adicionando atraso a cada transição. O 802.1X é o padrão IEEE para controlo de acesso à rede baseado em portas. O RADIUS é o protocolo que os seus pontos de acesso utilizam para verificar credenciais num servidor de autenticação.

Uma falha de ligação significa que o 802.11r está ativado para dispositivos que não o conseguem processar. Um roaming lento significa geralmente que a opção está desativada ou que os seus dispositivos não a estão a utilizar.

Qual é a diferença entre o Meraki 802.11r adaptativo e ativado?

O 802.11r, ou Fast BSS Transition (FT), é uma emenda do IEEE 802.11 publicada em 2008. Permite que um dispositivo obtenha chaves para o próximo ponto de acesso durante a deslocação, saltando a troca de autenticação completa. Os pontos de acesso Meraki MR oferecem três definições em cada SSID.

• Desativado. O SSID anuncia apenas a autenticação padrão. Cada roaming num SSID 802.1X executa uma nova autenticação, a menos que o dispositivo utilize armazenamento de chaves em cache.
• Ativado. O SSID adiciona conjuntos de autenticação e gestão de chaves (AKM) FT ao elemento de informação de segurança (RSN IE) no seu beacon. Todos os dispositivos têm de ler esse elemento corretamente.
• Adaptativo. O SSID anuncia a autenticação padrão mais um elemento de informação específico da Cisco. Os dispositivos Apple que o reconhecem utilizam FT e os outros dispositivos veem um SSID comum.

Definição	O que o SSID anuncia	Quais os dispositivos com roaming rápido	Risco para dispositivos mais antigos	Melhor aplicação
Desativado	Apenas AKM WPA2 ou WPA3 padrão	Nenhum, exceto armazenamento de chaves em cache no 802.1X	Nenhum	Leitores de código de barras, impressoras, IoT e dispositivos clínicos
Ativado	AKM padrão mais AKM FT no beacon	Todos os dispositivos com suporte 802.11r funcional	Alguns controladores mais antigos falham a ligação ou não veem o SSID	Frotas verificadas, como terminais de voz
Adaptativo	AKM padrão mais um elemento específico da Cisco	Dispositivos Apple que reconhecem FT adaptativo	Nenhum, por conceção	Ambientes 802.1X mistos com iPhones corporativos

O modo adaptativo resultou de uma colaboração entre a Cisco e a Apple. A Meraki posiciona-o para SSIDs 802.1X (WPA2-Enterprise), por isso consulte a documentação de 802.11r da Cisco Meraki para verificar os modos suportados pelo seu firmware. A Meraki aplica o 802.11r a SSIDs PSK e Enterprise. Se a sua rede Guest WiFi funciona num SSID aberto atrás de um Captive Portal, ela fica fora desta decisão. Um Captive Portal é uma página web que condiciona o acesso antes de um dispositivo chegar à internet.

O que costuma causar a falha do roaming rápido na Meraki?

Drivers mais antigos não conseguem ler o anúncio FT

A norma prevê que um dispositivo ignore as suítes AKM que não compreende. Alguns drivers mais antigos não o fazem. Interpretam mal as entradas FT adicionais e rejeitam a rede ou nem sequer tentam ligar-se. A própria documentação 802.11r da Cisco Meraki avisa que a sua ativação pode impedir a associação de alguns dispositivos legados. Leitores de códigos de barras, terminais de pagamento, impressoras e sensores IoT são os suspeitos do costume, pois o seu firmware WiFi raramente muda. Na área da Saúde, os dispositivos clínicos utilizam frequentemente firmware certificado que é atualizado devagar pela mesma razão.

O modo adaptativo está definido, mas a maioria dos seus equipamentos não é Apple

O modo adaptativo não avaria um dispositivo mais antigo, mas não traz qualquer benefício para Android ou Windows. Se os seus colaboradores usam telemóveis Android, o modo adaptativo mantém-nos em roaming padrão. Nada falha, mas o benefício pelo qual o ativou nunca chega a concretizar-se.

O modo de segurança não corresponde ao que o dispositivo suporta

O IEEE 802.11 define o FT separadamente para cada AKM. O FT sobre 802.1X, o FT sobre PSK (chave pré-partilhada) e o FT sobre SAE (Simultaneous Authentication of Equals, o handshake do WPA3-Personal) são distintos. Um dispositivo pode suportar um e não outro. O modo de transição WPA3 aumenta o risco, porque uma única beacon anuncia suítes WPA2 e WPA3 em conjunto. Consulte as orientações sobre WPA3 da Meraki para conhecer as combinações suportadas antes de ativar o FT num SSID de transição.

O roaming é lento por razões que o 802.11r não consegue resolver

O 802.11r encurta o handshake de segurança. Não consegue resolver o problema de um dispositivo preso a um ponto de acesso distante, uma cobertura fraca entre células ou um servidor RADIUS lento. Tampouco substitui o roaming de camada 3 da Meraki. O roaming de camada 3 mantém o endereço IP de um dispositivo enquanto este se desloca entre pontos de acesso em diferentes VLANs, que são segmentos de rede logicamente separados.

O FT também funciona apenas dentro do mesmo domínio de mobilidade. Um roaming entre pontos de acesso que anunciem domínios de mobilidade diferentes recai para uma autenticação completa. Um plano de células deficiente precisa de um estudo no local, não de uma configuração. Consulte WiFi Site Surveys: A Practical Planning Guide.

Como identificar a causa do seu problema?

Isole a configuração com um SSID de teste

Crie um SSID de teste com as mesmas definições de segurança, VLAN e RADIUS, e com o 802.11r desativado. Se um dispositivo com falha se associar ao SSID de teste, mas não ao de produção, o anúncio FT é a causa. Se falhar em ambos, verifique antes as credenciais, certificados ou a atribuição de VLAN.

Em seguida, verifique se o dispositivo com falha aparece no registo de eventos. Um dispositivo que nunca tenta a associação não consegue ler o beacon. Um dispositivo que se associa e, em seguida, falha a autenticação, tem uma falha diferente.

Como pode ver o roaming rápido no registo de eventos do Meraki?

Abra o registo de eventos da rede, filtre por eventos sem fios e restrinja a pesquisa a um dispositivo que tenha acabado de deslocar-se entre pontos de acesso. Leia a sequência em torno de cada mudança de ponto de acesso.

• Um roaming completo mostra uma associação ao novo ponto de acesso, seguida de uma nova autenticação 802.1X e uma troca de chaves WPA.
• Um roaming com transição rápida mostra a associação ao novo ponto de acesso sem nova autenticação 802.1X.

Dependendo do firmware, os detalhes do evento podem rotular o roaming como transição rápida. Onde isso não acontecer, a ausência da troca 802.1X é o sinal. Os seus registos RADIUS fornecem uma segunda verificação: com o FT a funcionar, um dispositivo em roaming envia menos pedidos de autenticação por turno.

Confirme com uma captura de pacotes

Para uma resposta definitiva, execute uma captura de pacotes a partir do painel no ponto de acesso de destino. Num roaming FT, a trama de autenticação 802.11 transporta o algoritmo de autenticação 2 (Fast BSS Transition). Um roaming padrão transporta o algoritmo 0 (Open System). O IEEE 802.11 define ambos os valores, pelo que a captura elimina qualquer dúvida.

Como resolver o problema em dispositivos Meraki, Apple, Android e Windows?

No painel do Meraki

A definição do 802.11r encontra-se nas definições de controlo de acesso de cada SSID. Altere-a numa janela de manutenção, pois guardar alterações de segurança do SSID pode desligar temporariamente os dispositivos. Siga a documentação atual do 802.11r da Cisco Meraki para obter os passos exatos, uma vez que o layout do painel muda ao longo do tempo.

iPhone e iPad

A documentação da plataforma da Apple sobre roaming de WiFi confirma o suporte ao 802.11r e o reconhecimento do modo adaptativo da Cisco. Numa infraestrutura mista de 802.1X, o modo adaptativo concede transição rápida a iPhones e iPads. Também oculta o anúncio FT de dispositivos mais antigos que o rejeitariam.

Android

O suporte do Android ao 802.11r depende do chipset do equipamento e do firmware do fabricante. A Meraki documenta que o modo adaptativo tem como alvo os dispositivos Apple, portanto, trate os equipamentos Android como dispositivos padrão no modo adaptativo. Se a sua frota de Android for gerida e testada, um SSID dedicado com o 802.11r ativado oferece transição rápida a esses equipamentos.

Portáteis Windows

A Microsoft documenta o suporte ao 802.11r no Windows onde o controlador WiFi também o suporta. Atualize primeiro os controladores a partir do fabricante do portátil. Em SSIDs 802.1X, o Windows também beneficia do opportunistic key caching (OKC). Com o OKC, os pontos de acesso partilham uma chave em cache para que o dispositivo pule a autenticação completa.

Scanners, impressoras e dispositivos médicos

Verifique a documentação do fabricante para saber se há suporte para 802.11r e, em seguida, confirme-o com o SSID de teste. Se um dispositivo falhar, mude-o para o seu próprio SSID com o 802.11r desativado. Segmente por classe de dispositivo em vez de atrasar toda a rede por causa do dispositivo mais antigo.

Qual a configuração Meraki 802.11r que deve utilizar?

A sua mistura de dispositivos	Segurança do SSID	Configuração	O que esperar
iPhones corporativos e scanners e impressoras mais antigos	WPA2-Enterprise	Adaptativo	Os iPhones fazem fast roaming; os dispositivos mais antigos ligam-se normalmente
Frota gerida, todos os modelos testados para FT	WPA2-Enterprise ou WPA2-PSK	Ativado	Todos os dispositivos fazem fast roaming
Apenas scanners, impressoras, IoT ou dispositivos clínicos	WPA2-PSK	Desativado	Ligações estáveis; autenticação completa em cada roaming
Mistura BYOD liderada por Android e Windows	WPA2-Enterprise	Adaptativo	A Apple faz fast roaming; outros dependem do caching de chaves
SSID de transição WPA2/WPA3	Modo de transição WPA3	Desativado, depois piloto ativado num SSID	Ligações estáveis enquanto testa o suporte FT-SAE

Cenário prático: uma rede de colaboradores num hotel de 200 quartos

Situação. Um hotel de 200 quartos ativou o 802.11r no seu SSID de colaboradores com WPA2-Enterprise para suavizar as chamadas nos iPhones do serviço de quartos. Na manhã seguinte, terminais de pedidos portáteis mais antigos e duas impressoras do back-office não se conseguiram voltar a ligar.

O que foi feito. A equipa criou um SSID de teste com o 802.11r desativado, e os terminais ligaram-se imediatamente. Mudaram a produção para adaptativo, mantendo a transição rápida para os iPhones.

Resultado. As falhas de associação dos terminais pararam na tentativa de ligação seguinte. O registo de eventos mostrou roamings do iPhone sem uma nova troca 802.1X, confirmando que a transição rápida ainda estava em utilização.

Cenário prático: crachás de voz numa cadeia de retalho de 40 lojas

Situação. Uma cadeia de retalho de 40 lojas operava a rede WiFi de colaboradores com WPA2-PSK com o 802.11r desativado. A equipa reportou chamadas cortadas nos crachás de voz entre o armazém e a loja. Scanners mais antigos partilhavam o mesmo SSID.

O que foi feito. O fabricante dos crachás confirmou o suporte para FT sobre PSK. A equipa criou um SSID de voz com o 802.11r ativado e testou-o numa loja piloto. Os scanners mantiveram-se no SSID original, sem alterações.

Resultado. As capturas piloto mostraram o algoritmo de autenticação 2 nos roamings dos crachás. Os relatórios de chamadas cortadas na loja piloto pararam antes da implementação em toda a cadeia.

Como evitar que os problemas de roaming Meraki regressem?

• Mantenha um inventário de dispositivos por classe. Registe o suporte a 802.11r de cada classe a partir de um teste, não de uma ficha técnica.
• Projete SSIDs por classe de dispositivo. Adaptativo para 802.1X misto, ativado para frotas testadas, desativado para dispositivos mais antigos.
• Faça um piloto de cada alteração. Teste num local ou num SSID antes de guardar para toda a rede.
• Volte a testar após eventos de alteração. As atualizações de firmware MR e os novos modelos de dispositivos alteram o comportamento.
• Acompanhe o registo de eventos. Reveja as falhas de associação semanalmente durante o primeiro mês após qualquer alteração.

O 802.11k e o 802.11v ajudam um dispositivo a escolher o seu próximo ponto de acesso. O 802.11r acelera a transição em si. Trate-os como definições separadas e teste cada uma.

Onde a Purple se enquadra

O Staff WiFi da Purple adiciona Identity-Based Networks no topo dos seus pontos de acesso Meraki existentes. O cloud RADIUS da Purple autentica a equipa no Microsoft Entra ID, Okta ou Google Workspace. Novas adesões, mudanças de função e saídas atualizam o acesso automaticamente, pelo que a Purple revoga o acesso de quem sai sem necessidade de uma alteração manual do SSID. A Purple possui a certificação ISO 27001.

A Purple é independente de hardware em Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. O mesmo modelo de identidade funciona em propriedades de Hotéis e Retalho com hardware misto. A Purple opera em mais de 80 000 locais ativos e geriu 440 milhões de logins em 2024 (dados próprios da Purple). Não é necessária qualquer substituição total de infraestrutura, tal como explicado em Por que razão a sua próxima atualização de WiFi não precisa de novo hardware. Para a configuração equivalente noutro fornecedor, consulte Configurar 802.1X em Juniper Mist com cloud RADIUS.

Perguntas frequentes

O Meraki 802.11r precisa de uma licença extra?

Não, o 802.11r é uma definição por SSID no painel de controlo da Meraki e não um suplemento separado. Escolhe desativado, ativado ou adaptativo nas definições de controlo de acesso de cada SSID. A alteração aplica-se aos pontos de acesso MR que servem esse SSID. Confirme os modos de segurança disponíveis na documentação atual da Cisco Meraki e no seu firmware MR, especialmente antes de combinar 802.11r com WPA3. Agende a alteração numa janela de manutenção, pois guardar alterações de segurança do SSID pode desligar temporariamente os dispositivos.

O 802.11r funcionará com o Purple Staff WiFi na Cisco Meraki?

Sim, o 802.11r é executado no seu SSID Meraki e funciona em conjunto com o cloud RADIUS da Purple. A Purple autentica cada dispositivo na sua primeira ligação no Microsoft Entra ID, Okta ou Google Workspace. A transição rápida trata então dos itinerâncias (roaming) entre os seus pontos de acesso MR sem uma troca 802.1X completa de cada vez. Isso reduz o tráfego de autenticação para o servidor RADIUS. Utilize o modo adaptativo em instalações mistas, e o modo ativado apenas onde todos os dispositivos do pessoal passem num teste de transição rápida.

Tenho de substituir scanners e impressoras mais antigos para usar roaming rápido?

Não, pode mantê-los. Coloque os dispositivos mais antigos no seu próprio SSID com o 802.11r desativado. Em alternativa, defina o seu SSID 802.1X como adaptativo para que os dispositivos mais antigos nunca vejam o anúncio de transição rápida. A substituição só faz sentido quando um dispositivo também falha no WPA2 padrão, ou quando o seu fabricante já não lança atualizações de segurança. Um SSID de teste com o 802.11r desativado mostra quais os dispositivos que precisam do seu próprio SSID e quais podem aderir ao principal.

O 802.11r é compatível com WPA3?

Sim, a norma IEEE 802.11 define transição rápida para SAE, o handshake WPA3-Personal, e para 802.1X em WPA3-Enterprise. O suporte na sua rede depende do firmware MR e do driver de cada dispositivo. O modo de transição WPA3 anuncia suites WPA2 e WPA3 num único beacon. Isso aumenta a possibilidade de um driver mais antigo o interpretar incorretamente. Faça um piloto de 802.11r num único SSID de transição e reveja o registo de eventos antes de o implementar globalmente.

O 802.11r substitui o roaming de camada 3 da Meraki?

Não, resolvem problemas diferentes. O 802.11r encurta o handshake de segurança quando um dispositivo se desloca entre pontos de acesso. O roaming de camada 3 da Meraki mantém o endereço IP de um dispositivo quando este se desloca entre pontos de acesso em diferentes VLANs ou sub-redes, para que as sessões se mantenham. Um campus grande ou estádio com várias sub-redes pode precisar de ambos. Se os roams forem lentos dentro de uma VLAN, comece pelo 802.11r. Se as sessões caírem quando os dispositivos cruzam sub-redes, analise o roaming de camada 3.

O 802.11r enfraquece a segurança para efeitos de PCI-DSS ou GDPR?

Não, a transição rápida mantém a encriptação WPA2 ou WPA3 ativa. As chaves para o ponto de acesso seguinte derivam da hierarquia de chaves configurada na primeira autenticação, conforme definido pela IEEE 802.11. O PCI-DSS continua a exigir criptografia forte em redes sem fios abrangidas pelo âmbito de dados de titulares de cartões, e o 802.11r não altera isso. Mantenha os terminais de pagamento num SSID ou VLAN segmentado. Registe a definição do 802.11r na documentação de configuração da sua rede.

Quanto tempo demora a resolver um problema de 802.11r da Meraki?

Alterar a definição demora minutos, mas testá-la devidamente demora mais tempo. Crie um SSID de teste, confirme quais os dispositivos que falham e, em seguida, faça um piloto da nova definição num local antes de realizar uma alteração em toda a rede. A maior parte do esforço reside no inventário de dispositivos, não no painel de controlo. Agende uma janela de manutenção para cada alteração em produção. Reveja o registo de eventos para identificar falhas de associação ao longo da semana seguinte.