Android 上的 802.11r 和 802.11k：Cisco Meraki、HPE Aruba 和 Ubiquiti UniFi 上的快速漫游部署

是的，大多数 Android 手机都支持 802.11r 快速过渡、802.11k 邻居报告和 802.11v BSS 过渡。是否支持取决于芯片组驱动程序和制造商，而不仅取决于 Android 版本。在 Cisco Meraki、HPE Aruba 或 Ubiquiti UniFi 上，请在混合模式下启用 802.11r，并保持空中快速过渡。在全面部署前，请通过数据包捕获确认每款手机型号的实际表现。

快速漫游在 Android 手机上究竟起什么作用？

快速漫游依赖于三个 IEEE 修正案协同工作：

• 802.11k 帮助手机寻找下一个接入点。
• 802.11v 允许网络对何时漫游提出建议。
• 802.11r 缩短切换过程本身的时间。

Android 可以同时使用这三者。漫游时机由手机决定，而非接入点。

这一点决定了本指南中的每一项决策。在大多数 Android 设备上，漫游是在 WiFi 芯片组固件和驱动程序中运行的，而不是在 Android 框架中。Android 开源项目将其记录为固件漫游。因此，即使两部手机运行相同的 Android 版本，它们的漫游表现也可能截然不同。

802.11k：邻居报告

具备 802.11k 功能的手机会向其当前接入点请求邻居报告。这份报告是附近接入点及其使用信道的列表。随后手机仅扫描这些信道，而不是扫描所有频段。这样可以减少偏离信道的时间，并做出更明智的漫游决策。不支持 802.11k 的手机会忽略该报告并照常扫描。

802.11v：BSS 过渡管理

802.11v BSS 过渡管理允许接入点建议手机迁移到指定的接入点。手机可以接受、拒绝或忽略该请求。Android 芯片组将这些请求视为建议，某些芯片组比其他芯片组更容易采取行动。请将 802.11v 与 802.11k 结合使用，因为只有当手机已经了解其备选项时，过渡请求才能发挥作用。

802.11r：快速 BSS 过渡

802.11r，也称为快速过渡（FT），改变了漫游期间加密密钥的建立方式。

802.1X 是企业级 WiFi 背后的基于端口的身份验证标准。RADIUS 是接入点用于向身份验证服务器核对凭据的协议。在没有 FT 的情况下，运行 WPA2 或 WPA3 企业级的手机在每次连接新接入点时，都要与 RADIUS 服务器重复完整的 802.1X 交互，随后完成四次握手密钥协商。

使用 802.11r，首次连接时仍会进行完整身份验证。后续在同一移动性域内的漫游会从缓存的密钥层级结构中派生出新密钥。该密钥交换过程被融入到身份验证和重新关联帧中，无需再次访问 RADIUS 服务器，也不需要单独的四次握手。

这对语音和一键通 (push-to-talk) 尤为重要。ITU-T G.114 建议将单向语音延迟控制在 150 毫秒以内。如果在每个接入点都重复与云端 RADIUS 服务进行完整的 802.1X 交互，就会严重消耗这一延迟预算。\n\n### 为什么 Android 对该功能的支持因芯片组和制造商而异\n\nGoogle 发布了 Android 框架，但快速漫游发生在更底层。其支持程度取决于四个层面：\n\n1. 芯片组，来自 Qualcomm、Broadcom 和 MediaTek 等供应商。\n2. 芯片组供应商的驱动程序和固件。\n3. 制造商的固件构建。\n4. Android 版本。\n\n制造商在出货支持 802.11r 的芯片组时，可能会禁用或仅部分实现该功能。三防加固手持设备和预算型平板电脑通常多年停留在较旧的驱动程序上。\n\n认证是最实用的指标。WiFi Alliance 的 Agile Multiband 计划用于测试 802.11k、802.11v 和 802.11r 的互操作性。其 Voice-Enterprise 计划则测试语音手持设备的快速漫游。通过认证的型号意味着已通过互操作性测试。未认证的型号可能仍然可以工作，但您需要自行测试。\n\n有关所有这三个修正案背后的协议细节，请参阅 Purple 的 802.11r、802.11k 和 802.11v 部署指南。\n\n## 在为 Android 启用 802.11r 之前需要准备什么？\n\n在更改生产 SSID（设备连接的网络名称）之前，请收集以下六项信息：\n\n- 手持设备清单。 从您的移动设备管理 (MDM) 平台提取型号、Android 版本和安全补丁级别。按型号对设备进行分组，因为与 Android 版本相比，型号能更好地预测漫游行为。\n- 受支持的接入点固件。 确认您的 Cisco Meraki、HPE Aruba 或 Ubiquiti UniFi 固件在您运行的安全类型上支持 802.11r。请查看供应商当前的版本说明。\n- 统一的移动域。 快速转换仅在共享密钥材料的接入点之间有效。确保手持设备漫游时经过的接入点处于同一个 Meraki 网络、Aruba 控制器集群或 UniFi 站点中。跨越该边界的漫游将回退到完整身份验证。\n- 覆盖重叠。 手持设备只能漫游到信号良好的接入点。在调整漫游设置之前，请通过场地调查确认覆盖重叠。请参阅 WiFi 场地调查：实用规划指南。\n- 抓包工具。 您需要一台支持监听模式的笔记本电脑或 USB 网卡，以及免费的 Wireshark。\n- 测试用 SSID。 复制生产环境，保持相同的安全性、VLAN 和 RADIUS 服务器。VLAN（虚拟局域网）是流量最终落入的网络段。先在复制的网络上进行测试，然后再应用这些设置。\n\n## 如何为混合 Android 设备群配置快速漫游？\n\n按照从最低风险到最高风险的顺序操作：\n\n1. 在测试用 SSID 上启用 802.11k 和 802.11v。 不支持这些标准的手持设备会忽略额外的元素，因此很少会出现关联失败。\n2. 在混合模式下启用 802.11r。 每个 SSID 都会广播一个或多个身份验证与密钥管理 (AKM) 套件。混合模式会同时广播标准套件和 FT 套件，因此不支持 FT 的手机仍然可以关联接入。 3. 保持 FT 空口 (Over the Air) 模式。 除非您经过测试有明确的使用理由，否则请保持 Over-the-DS 信令处于关闭状态。 4. 测试每款手机型号。 关联 SSID，在通话过程中于各个 AP 之间漫游，并捕获漫游过程。 5. 选择策略并推广部署。 参考下方矩阵，然后在变更窗口期内将设置应用至生产环境，并准备好回滚计划。

哪种 802.11r 策略适合您的 Android 设备群？

您的 Android 设备群	802.11r 设置	802.11k 与 802.11v	原因
托管手机，每种型号均通过试点测试	启用，混合模式，应用于员工 SSID	开启	支持 FT 的手机可实现快速漫游，不支持 FT 的设备仍可通过完整 802.1X 关联接入
绝大多数为较新的手机，一两个老旧型号在混合模式下失败	在主 SSID 上启用，并在同一 VLAN 上提供关闭 802.11r 的老旧 SSID	两个 SSID 均开启	老旧型号可继续正常工作，而其余设备群可进行快速漫游
BYOD 或包含大量未知型号的大型场所	禁用	开启	避免关联失败，且 PMK 缓存仍可缩短返回先前已关联 AP 时的漫游耗时
Cisco Meraki 网络，主要是 Apple 设备配有少量 Android	自适应 (Adaptive)	开启	受支持的 Apple 设备可实现快速漫游，而 Android 手机使用完整 802.1X
专用语音或对讲手机，全为单一经测试的型号	启用，混合模式，应用于专用语音 SSID	开启	语音流量可获得最短的漫游耗时，同时不会让其他设备暴露于 FT 环境中

PMK 缓存是标准的 802.11i 机制，允许手机复用先前已完成身份验证的 AP 的成对主密钥 (Pairwise Master Key)。

快速转换是通过空口 (Over the Air) 还是通过分布式系统 (Over the DS)？

802.11r 定义了两种传输 FT 交互的方式。在空口 (Over the Air) 模式下，手机直接与目标 AP 通信。在分布式系统 (Over the DS) 模式下，手机将 FT 动作帧发送给当前 AP，再由当前 AP 通过有线网络转发至目标 AP。

考量因素	空口 (Over the Air)	分布式系统 (Over the DS)
帧传输路径	手机通过无线电直接发送至目标 AP	手机发送至当前 AP，再通过有线转发至目标 AP
Android 支持情况	在支持 FT 的 Android 芯片组中很普遍	兼容性较差，部分驱动程序会误处理能力位 (Capability Bit)
适用场景	大多数具备良好蜂窝重叠 coverage 的场所	漫游瞬间目标 AP 信号较弱的边缘特殊场景
失败模式	漫游回退至完整身份验证	在手机重试之前，漫游可能会超时
Purple 建议	混合 Android 设备群的默认选项	仅在各型号测试通过后使用

Cisco Meraki

Meraki 按 SSID 公开 802.11r，提供三个选项：已禁用、已启用和自适应。已启用会在标准密钥管理的同时广播 FT，即混合模式。自适应仅为支持 Cisco 自适应 802.11r 扩展的 Apple iOS 设备启用 FT。自适应 SSID 上的 Android 手机将通过标准身份验证接入，无法获得快速过渡。对于以 Android 设备为主的设备群，请改在试点 SSID 上测试“已启用”。Meraki 的文档指出，启用 802.11r 时，某些较旧的设备可能无法关联。请参阅其文档获取最新步骤。

HPE Aruba

Aruba 按 WLAN 配置快速过渡。在 ArubaOS 控制器部署中，附加到 SSID 的 802.11r 配置文件将启用 FT 并包含 over-the-DS 选项。802.11k 和 BSS 过渡管理位于 802.11k 配置文件中。Aruba Instant 和 Aruba Central 在 WLAN 的漫游设置中提供相同的特性。Aruba 还支持机会主义密钥缓存 (OKC)，这是一种在接入点之间共享密钥的非标准方式。在将其作为后备方案之前，请先确认手机型号是否支持 OKC。

Ubiquiti UniFi

UniFi 在每个 WiFi 网络的高级设置中将 802.11r 显示为快速漫游 (Fast Roaming)，将 802.11v 显示为 BSS 过渡 (BSS Transition)。Ubiquiti 警告称，某些较旧的设备可能不支持快速漫游。请先启用 BSS 过渡，然后再在试点网络上启用快速漫游。在生产环境推广之前，请检查对应 Network 应用版本的发布说明。

Purple 的适用场景

Purple 的 Staff WiFi 通过基于身份的网络提供身份层。它利用云 RADIUS，针对 Microsoft Entra ID、Okta 或 Google Workspace 通过 802.1X 对员工进行身份验证。快速过渡则运行在您的接入点上。Purple 负责对首次连接进行身份验证，而 802.11r 负责将后续漫游保留在您的 WLAN 内部。

Purple 与硬件无关，可运行于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。它在全球 80,000 多个真实场所运行，并在 2024 年处理了 4.4 亿次登录（Purple 数据）。

做好离职人员规划。当您撤销某个身份时，该变更将在该设备的下一次完整身份验证时生效。在此之前，被撤销的设备可以继续利用移动性领域内的缓存密钥进行漫游。您的会话超时设置决定了该时间窗口，因此请将其与您的入职、异动和离职 (JML) 策略保持一致。

如何检查 Android 设备是否使用了快速过渡？

使用三个层面的证据。只有数据包捕获才是最终的判定依据。

在控制器上

大多数控制器都会列出从关联请求中解析出的单客户端能力，包括 802.11r、802.11k 和 802.11v 支持。在 Meraki、Aruba 或 UniFi 仪表板中打开客户端的详细信息视图和漫游历史记录。能力标识表明该手机可以使用 FT，但这并不能证明特定的漫游确实使用了它。

在空口抓包中

当测试人员拿着手机在信道单元之间走动时，在目标接入点的信道上进行抓包。下表显示了在 Wireshark 中需要查找的内容。

您所看到的内容	帧	含义
Mobility Domain 元素，ID 54	Beacon 或 probe response	接入点广播 802.11r
AKM 套件 00-0F-AC:3、:4 或 :9	移动终端的关联或重新关联请求	移动终端选择了 FT-802.1X、FT-PSK 或 FT-SAE
身份验证算法编号 2	漫游期间的身份验证帧	移动终端执行了 Over-the-Air FT 漫游
发往当前接入点的 FT action 帧	漫游前的 Action 帧	移动终端执行了 Over-the-DS 漫游
算法 0，随后进行完整的 EAP 交换和四次握手	身份验证，EAPOL	未使用 FT，因此移动终端运行了完整的 802.1X
RM Enabled Capabilities 元素，ID 70，以及邻居报告请求	关联请求，action 帧	移动终端支持并使用 802.11k
BSS 转换管理查询、请求和响应	无线网络管理 (WNM) action 帧	移动终端支持并使用 802.11v

成功的 802.1X FT 漫游会显示 FT 身份验证和重新关联交换，且没有任何 EAP 流量和四次握手。

在移动终端上

开启开发者选项，然后启用 WiFi 详细日志记录选项。通过 ADB (Android Debug Bridge) 连接并运行 adb shell dumpsys wifi，或者获取错误报告。查找 wpa_supplicant 使用的密钥管理名称：FT-EAP、FT-PSK 或 FT-SAE。输出因制造商和 Android 版本而异，因此请将其视为辅助证据而非直接证明。

为什么有些 Android 手机在开启 802.11r 时无法连接？

大多数失败可以追溯到以下六个原因。

• 驱动程序错误解析了混合模式。 一些较旧的驱动程序无法处理安全元素中与标准套件并存的 FT 套件。移动终端会导致关联失败，或者在某些情况下根本不列出该网络。解决方案是使用不带 FT 的旧版 SSID、通过 MDM 推送制造商更新，或者淘汰该型号。
• SSID 配置为仅 FT 模式。 不支持 FT 的移动终端无法加入仅广播 FT 套件的 SSID。解决方案是切换到混合模式。
• 广播了 Over the DS。 错误处理该功能位的移动终端会导致漫游失败，然后连接变慢。解决方案是恢复为 Over the Air。
• WPA3 添加了受保护的管理帧。 WPA3 需要 PMF (802.11w)，且对 FT-SAE 的支持不如 FT-PSK 或 FT-802.1X 完善。在 WPA2 上正常通过的移动终端仍可能在 WPA3 上失败。请分别测试每种安全模式。
• 漫游跨越了移动域。 在 Meraki 网络、Aruba 集群或 UniFi 站点之间移动会强制进行完整身份验证。这看起来像是 FT 损坏。请在网络设计中解决此问题，而不是在移动终端上。
• 移动终端停留在弱信号接入点上。 FT 缩短了漫游时间，但不会促使移动终端提早漫游。请依赖 802.11k 和 802.11v，并谨慎提高最低数据速率。激进的客户端引导可能会直接导致 Android 移动终端断开连接。

来自酒店、零售和公共部门的实际场景案例

这些是示意性部署案例，并非 Purple 的具名客户。每一个案例都展示了决策路径以及用于确认结果的衡量指标。

采用 Cisco Meraki 的 200 间客房酒店

情况。 客房打扫和维护团队在 WPA2 企业级员工 SSID 上使用带有 VoIP 应用的 Android 手持设备。由于禁用了 802.11r，通话会在不同楼层之间中断。设备库中包含两种型号：一种是现有的经过敏捷多频段认证的手持设备，另一种是 18 台较旧的加固设备。

采取的措施。 团队在试点 SSID 上启用了 802.11r，结果所有 18 台较旧设备均未能成功关联。他们将主要员工 SSID 设置为“启用”，并添加了一个关闭 802.11r 的旧版 SSID，两者处于相同的 VLAN 和 RADIUS 策略下。两个 SSID 的 802.11k 和 802.11v 均保持开启状态。

结果。 抓包显示现有手持设备通过算法 2 身份验证实现漫游，且没有 EAP 流量。这些手持设备的 RADIUS 请求从每次漫游一次下降到每个会话一次。所有 18 台旧版设备在第一天就成功连接，并已安排替换。有关 Hotels 的更多信息，请参阅 Purple 的酒店行业页面。

采用 HPE Aruba 的 40 家门店零售连锁

情况。 库存团队使用 Android 扫描枪，与库存系统保持实时会话。802.11r 已经开启，并启用了 over the DS。某种扫描枪型号在库房和卖场之间频繁中断会话。

采取的措施。 在一家试点门店中，团队关闭了 over the DS，保留了 FT over the air。他们启用了 802.11k 和 BSS 过渡管理，然后针对每种扫描枪型号捕获了漫游数据。

结果。 抓包确认了每种型号的空中 FT 漫游。受影响型号在试点门店中的漫游失败现象停止了。该变更在两个变更窗口内推广到了所有 40 家门店。请参阅 Retail 了解 Purple 的零售行业工作。

采用 Ubiquiti UniFi 的市政厅办公室

情况。 公司 Android 手持设备和 BYOD（自带设备）手机共享同一个网络。员工报告在一个长条形开放式办公楼层中出现 Teams 通话中断。

采取的措施。 团队将网络分割为一个开启了快速漫游和 BSS 过渡的公司 SSID，以及一个仅开启 BSS 过渡的 BYOD SSID。他们在全面推广前对每种公司手持设备型号进行了测试。

结果。 公司手持设备在抓包中显示了 FT 漫游。BYOD 设备成功加入且没有关联失败，因为它们从未接收到 FT。同样的模式也适用于 Healthcare 中的病房手持设备，那里医疗设备和个人手机共享相同的建筑。

快速漫游的成本是多少，又能带来什么收益？

802.11r、802.11k 和 802.11v 是 Cisco Meraki、HPE Aruba 和 Ubiquiti UniFi 无线接入点上的固件功能。它们都不需要单独的功能许可证。主要成本是工程时间：

• 建立试点 SSID。
• 测试每种手持设备型号。
• 进行抓包分析。
• 预约变更窗口。

保留旧版 SSID 会带来较小的隐形成本。每个 SSID 都会发送自己的信标（beacon），这会消耗每个信道上的空口时间。回报是可以衡量的。在一次班次中漫游 30 次的手持设备，如果不使用 FT，会触发 30 次完整的 802.1X 交互。而使用 FT 后，每个会话仅触发一次，并在重新访问的接入点上实现 PMK 缓存命中。这降低了 RADIUS 服务的负载，并消除了语音呼叫和扫描枪会话中重复出现的认证中断。这些优势均来自您现有的接入点；参阅 为什么您的下一次 WiFi 升级不需要新硬件。

快速转换对于安全的员工 SSID 最为重要。在开放式或 Captive Portal Guest WiFi SSID 上，由于没有需要缩短的 802.1X 交互，因此收益较小。如果您正在对相同接入点上的访客端进行定价评估，请参阅 Captive Portal 定价对比：按站点、按接入点和按用户模式。

常见问题解答

Android 是否支持 802.11r 快速转换？

是的，大多数当前的 Android 手持设备都支持 802.11r，但支持情况取决于芯片组、驱动程序和制造商的版本，而不是 Android 版本本身。漫游通常在芯片组固件中运行，因此使用相同 Android 版本的两部手机可能表现不同。Agile Multiband 或 Voice-Enterprise 认证是最明确的信号。对于未认证的型号，可以通过抓包确认 FT，方法是在关联请求中查找 FT 密钥管理，并在漫游期间查看算法 2 认证。

Android 是否支持 802.11k 和 802.11v？

是的，许多 Android 手持设备都使用 802.11k 邻居报告和 802.11v BSS 转换请求，这同样取决于芯片组和制造商。不支持的手持设备会忽略这些额外元素，因此同时启用两者极少会导致关联受阻。Android 会将 802.11v 请求视为建议而非指令。可以通过检查抓包中的 RM Enabled Capabilities 元素和 BSS 转换管理帧来确认具体型号的支持情况。

在 Cisco Meraki、HPE Aruba 或 Ubiquiti UniFi 上使用 802.11r 是否需要额外的许可证？

不需要，802.11r、802.11k 和 802.11v 在这三个平台上都是包含在内的固件功能，无需单独的特性许可证。您的成本主要在于试点 SSID 的工程时间、逐型号测试和变更窗口。如果您为旧款手持设备添加了旧版 SSID，则会产生由于额外信标带来的微小空口时延成本，而不是许可证费用。

启用 802.11r 会将旧款 Android 设备阻挡在网络之外吗？

有这个可能，这就是为什么您应该首先在试点 SSID 上进行测试。当 SSID 在公布标准密钥管理的同时公布 FT 时，一些较旧的驱动程序可能会关联失败。请使用混合模式（Mixed Mode），切勿使用纯 FT 模式（FT-only），并保持空中传输 FT（FT over the air）。如果某个型号仍然失败，可以为其分配一个在相同 VLAN 上关闭了 802.11r 的旧版 SSID，通过 MDM 更新其固件，或者淘汰该设备。

我应该在 Cisco Meraki 上为 Android 设备使用自适应 802.11r（Adaptive 802.11r）吗？

不，自适应 802.11r 不会为 Android 手机提供快速过渡。它仅为支持 Cisco 自适应扩展的 Apple iOS 设备启用 FT。自适应 SSID 上的 Android 设备会通过标准 802.1X 接入，并在每次漫游时进行完整身份验证。对于包含大量 Android 设备的机队，请在试点 SSID 上测试“已启用”设置，并针对任何出现故障的型号退回到旧版 SSID。

Purple Staff WiFi 能否在现有的接入点上配合 802.11r 使用？

是的，Purple 的 Staff WiFi 可运行在您现有的接入点上，并与 802.11r 协同工作。Purple 独立于硬件平台，支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet。Purple 的云端 RADIUS 可基于 Microsoft Entra ID、Okta 或 Google Workspace 对首次连接进行身份验证。快速过渡随后可使后续的漫游保留在您的接入点上，无需再次访问 RADIUS。

快速漫游会影响 PCI-DSS 或 GDPR 合规性吗？

不会，802.11r 保持了 802.1X 级别的加密，不会改变您处理的个人数据。PCI-DSS 要求传输持卡人数据的无线网络具备强加密能力，而 FT 会在每次漫游时生成新的单次会话密钥。在 GDPR 框架下，漫游不会收集新的个人数据。请审查您的会话超时设置，因为它决定了已被撤销权限的设备可以使用缓存密钥继续漫游多久。

为 Android 设备群部署 802.11r 需要多长时间？

请计划为每个手机型号安排一个试点周期，然后按站点或站点组安排生产变更窗口。设置变更只需几分钟，而测试会占据大部分时间。每个型号都需要进行接入测试、通话期间的漫游走动测试以及报文捕获。在单一控制器平台上拥有两到三个型号的设备群，通常在全面推广前只需一个试点周期。