Cisco Meraki 802.11r 自适应与启用：解决 MR 接入点上的漫游问题

在 Cisco Meraki MR SSID 上，启用 802.11r 会向每台设备广播快速过渡。这可以加快漫游速度，但可能会阻止驱动程序不合规的老旧设备加入。自适应模式（Adaptive）仅对能够识别该功能的 Apple 设备启用快速过渡，而其他所有设备则看到标准的 SSID。对于混合设备环境，请使用自适应模式；仅在所有设备都支持 802.11r 时才选择启用（Enabled）。

Meraki 802.11r 漫游问题表现为何？

Meraki 漫游问题主要表现为两种形式，且指向完全相反的方向。

第一种是连接失败。当您将员工 SSID 从禁用切换为启用时，部分设备停止连接。手持扫描仪能看到网络，但无法关联。标签打印机掉线后便再也无法连上。一些较旧的设备甚至完全不再显示该 SSID。iPhone 和近期的笔记本电脑依然正常工作，因此该故障看起来十分随机。

第二种是漫游缓慢。设备可以连接，但当员工在接入点之间行走时，语音通话会出现断续。在 802.1X SSID 上，每次漫游都会触发与 RADIUS 服务器的完整身份验证，这为每次切换增加了延迟。802.1X 是基于端口的网络访问控制的 IEEE 标准。RADIUS 是您的接入点用于通过身份验证服务器核对凭据的协议。

连接失败意味着为无法处理该功能的设备开启了 802.11r。漫游缓慢通常意味着该功能处于关闭状态，或者您的设备未使用该功能。

Meraki 802.11r 自适应模式（Adaptive）与启用（Enabled）有何区别？

802.11r，即快速 BSS 过渡（FT），是 2008 年发布的 IEEE 802.11 修正案。它允许设备在移动过程中派生下一个接入点的密钥，从而跳过完整的身份验证交互。Meraki MR 接入点在每个 SSID 上提供三种设置。

• 禁用（Disabled）。 SSID 仅广播标准身份验证。除非设备使用密钥缓存，否则在 802.1X SSID 上的每次漫游都会运行全新的身份验证。
• 启用（Enabled）。 SSID 在其信标的安全信息元素 (RSN IE) 中添加 FT 身份验证与密钥管理 (AKM) 套件。每台设备都必须能够正确读取该元素。
• 自适应（Adaptive）。 SSID 广播标准身份验证以及 Cisco 特有的信息元素。能够识别它的 Apple 设备会使用 FT，而其他设备看到的则是普通的 SSID。

设置	SSID 广播的内容	哪些设备可实现快速漫游	对老旧设备的风险	最佳适用场景
禁用（Disabled）	仅标准 WPA2 或 WPA3 AKM	无，802.1X 上的密钥缓存除外	无	扫描仪、打印机、IoT 和医疗设备
启用（Enabled）	信标中包含标准 AKM 以及 FT AKM	具备可用 802.11r 支持的每台设备	部分较旧的驱动程序无法加入或无法看到 SSID	经过验证的专用设备群，如语音手持终端
Adaptive	标准 AKM 加 Cisco 专用元素	识别 Adaptive FT 的 Apple 设备	无，设计使然	包含企业级 iPhone 的混合 802.1X 环境

Adaptive 源于 Cisco 与 Apple 的合作。Meraki 将其定位用于 802.1X (WPA2-Enterprise) SSID，因此请查看 Cisco Meraki 的 802.11r 文档，了解您的固件支持的模式。Meraki 会将 802.11r 应用于 PSK 和 Enterprise SSID。如果您的 Guest WiFi 运行在 Captive Portal 后面的开放 SSID 上，则无需考虑此设置。Captive Portal 是在设备连接到互联网之前进行访问控制的网页。

导致 Meraki 快速漫游失败的常见原因有哪些？

较旧的驱动程序无法读取 FT 广播

标准规范要求设备忽略其无法识别的 AKM 套件。但一些较旧的驱动程序做不到这一点。它们会误读额外的 FT 条目，从而拒绝连接网络或根本不尝试加入。Cisco Meraki 自身的 802.11r 文档发出警告，启用该功能可能会导致某些老旧设备无法关联。条形码扫描枪、支付终端、打印机和 IoT 传感器是常见的受影响设备，因为它们的 WiFi 固件很少更新。在 Healthcare 行业，医疗设备通常运行经过认证的固件，出于同样的原因更新非常缓慢。

设置了 Adaptive，但绝大多数设备不是 Apple

Adaptive 不会让旧设备出现故障，但它对 Android 或 Windows 设备毫无作用。如果您的员工持有 Android 手机，Adaptive 会让他们保持标准漫游。虽然不会发生故障，但您开启该功能所期望带来的好处却始终无法实现。

安全模式与设备支持的模式不匹配

IEEE 802.11 为每个 AKM 独立定义了 FT。基于 802.1X 的 FT、基于 PSK（预共享密钥）的 FT 和基于 SAE（等同同时认证，即 WPA3-Personal 握手）的 FT 是截然不同的。设备可能支持其中一种，但不支持另一种。WPA3 过渡模式会增加风险，因为一个信标会同时广播 WPA2 和 WPA3 套件。在过渡 SSID 上启用 FT 之前，请查阅 Meraki 的 WPA3 指南以获取支持的组合。

漫游缓慢的原因超出了 802.11r 的解决范围

802.11r 缩短了安全握手时间。但它无法解决设备死锁远距离无线接入点、蜂窝覆盖薄弱或 RADIUS 服务器响应缓慢的问题。它也无法取代 Meraki 三层漫游。三层漫游允许设备在跨越不同 VLAN（逻辑上相互隔离的网络段）的接入点之间移动时保持其 IP 地址不变。

FT 也仅在同一个移动域内有效。在广播不同移动域的接入点之间漫游将退回到完全身份验证。不良的蜂窝布局需要进行现场勘测，而不是更改设置。请参阅 WiFi Site Surveys: A Practical Planning Guide。

如何排查您遇到的具体原因？

使用测试 SSID 隔离设置

创建一个测试 SSID，其安全、VLAN 和 RADIUS 设置与生产环境相同，并禁用 802.11r。如果出现故障的设备能够连接测试 SSID 但无法连接生产 SSID，则原因在于 FT 广播。如果两者都连接失败，请检查凭据、证书或 VLAN 分配。

然后检查事件日志中是否出现了该故障设备。完全不尝试关联的设备无法读取 Beacon 帧。而先关联但随后认证失败的设备，则属于另一种故障。

如何在 Meraki 事件日志中查看快速漫游？

打开网络事件日志，筛选无线事件，并将其缩小到刚刚在接入点之间移动的一台设备。查看每次更换接入点周围的日志序列。

• 完整漫游显示与新接入点的关联，随后进行新的 802.1X 认证和 WPA 密钥交换。
• 快速转换漫游仅显示与新接入点的关联，无需重新进行 802.1X 认证。

取决于固件版本，事件详情可能会将漫游标记为快速转换（Fast Transition）。如果未标记，缺少 802.1X 交换过程也是明确的特征。您的 RADIUS 日志可作为二次核对：在 FT 正常工作的情况下，漫游设备在每个班次发送的认证请求会更少。

通过数据包捕获进行确认

要获得确切的结论，请在控制面板上对目标接入点运行抓包。在 FT 漫游中，802.11 认证帧包含认证算法 2 (Fast BSS Transition)。而标准漫游包含算法 0 (Open System)。IEEE 802.11 对这两个值均有明确定义，因此抓包可以消除任何疑虑。

如何在 Meraki、Apple、Android 和 Windows 设备上解决此问题？

在 Meraki 控制面板上

802.11r 设置位于每个 SSID 的访问控制设置中。请在维护窗口期间对其进行更改，因为保存 SSID 安全更改可能会导致设备短暂断开连接。请参考 Cisco Meraki 最新的 802.11r 文档了解具体步骤，因为控制面板布局会随时间有所调整。

iPhone 和 iPad

Apple 关于 WiFi 漫游的平台文档确认了对 802.11r 的支持以及对 Cisco 自适应（Adaptive）模式的识别。在混合 802.1X 环境中，自适应模式可为 iPhone 和 iPad 提供快速转换，同时向可能拒绝该信号的旧设备隐藏 FT 广播。

Android

Android 对 802.11r 的支持取决于手机的芯片组和厂商固件。Meraki 文档指出自适应模式主要针对 Apple 设备，因此在自适应模式下请将 Android 手机视为标准设备。如果您的 Android 设备群经过统一管理和测试，使用启用了 802.11r 的专用 SSID 可为这些手机提供快速转换。

Windows 笔记本电脑

Microsoft 文档说明，只要 WiFi 驱动程序支持，Windows 就能支持 802.11r。请先从笔记本电脑制造商处更新驱动程序。在 802.1X SSID 上，Windows 还能受益于机会密钥缓存 (OKC)。借助 OKC，接入点共享缓存的密钥，从而使设备可以跳过完整认证。

扫描仪、打印机和医疗设备

检查制造商的文档以了解 802.11r 支持情况，然后通过测试 SSID 进行确认。如果设备连接失败，请将其移至已禁用 802.11r 的专属 SSID。按设备类型进行隔离，而不是为了照顾最老旧的设备而拖累整个网络。

您应该使用哪种 Meraki 802.11r 设置？

您的设备组合	SSID 安全性	设置	预期效果
企业 iPhone 加老旧扫描枪和打印机	WPA2-Enterprise	Adaptive	iPhone 快速漫游；老旧设备正常接入
托管设备集，每个型号均已测试 FT	WPA2-Enterprise 或 WPA2-PSK	Enabled	所有设备实现快速漫游
仅限扫描枪、打印机、IoT 或医疗设备	WPA2-PSK	Disabled	稳定接入；每次漫游均需完整认证
以 Android 和 Windows 为主的 BYOD 组合	WPA2-Enterprise	Adaptive	Apple 设备快速漫游；其他设备依赖密钥缓存
WPA2/WPA3 过渡 SSID	WPA3 过渡模式	Disabled，随后在一个 SSID 上试点启用	在测试 FT-SAE 支持期间保持稳定接入

实际案例：拥有 200 间客房的酒店员工网络

情况。 一家拥有 200 间客房的酒店在其 WPA2-Enterprise 员工 SSID 上启用了 802.11r，以使客房服务人员 iPhone 上的通话更顺畅。第二天早上，较旧的手持点单终端和两台后勤打印机无法重新连接。

采取的措施。 团队创建了一个禁用 802.11r 的测试 SSID，终端立即成功接入。随后他们将生产环境切换为 adaptive，为 iPhone 保留快速过渡。

结果。 终端在下一次连接尝试时不再出现关联失败。事件日志显示 iPhone 漫游时无需重新进行 802.1X 交互，证实快速过渡仍在生效。

实际案例：拥有 40 家门店的零售连锁店中的语音胸牌

情况。 一家拥有 40 家门店的零售连锁店运行着禁用 802.11r 的 WPA2-PSK 员工 WiFi。员工反映语音胸牌在仓库和卖场之间漫游时出现通话断音。较旧的扫描枪共用同一个 SSID。

采取的措施。 胸牌制造商确认支持基于 PSK 的 FT。团队创建了一个启用 802.11r 的语音 SSID，并在一家门店进行了试点。扫描枪保持在原 SSID 上，不做变更。

结果。 试点抓包显示胸牌漫游时使用的是认证算法 2。在全链展开推广之前，试点门店的通话断音报告就已经停止了。

如何防止 Meraki 漫游问题再次出现？

• 按类型记录设备资产清单。 通过实际测试记录每种类型的 802.11r 支持情况，而不是依赖规格参数表。
• 按设备类型设计 SSID。 混合 802.1X 使用 adaptive，已测试的设备集使用 enabled，老旧设备使用 disabled。
• 试点每一次变更。 在进行全网保存之前，先在一个站点或一个 SSID 上进行测试。
• 变更事件后重新测试。 MR 固件升级和新设备型号都会改变网络行为。
• 关注事件日志。 在任何变更后的第一个月内，每周审查一次关联失败记录。

802.11k 和 802.11v 有助于设备选择下一个 AP 无线接入点。802.11r 则能加速漫游过程本身。请将它们视为独立设置，并分别进行测试。\n\n### Purple 适用于何处\n\nPurple 的 Staff WiFi 在您现有的 Meraki AP 之上增加了基于身份的网络（Identity-Based Networks）。Purple 的云 RADIUS 可结合 Microsoft Entra ID、Okta 或 Google Workspace 对员工进行身份验证。入职、异动和离职人员的权限会自动更新，因此 Purple 无需手动更改 SSID 即可撤销离职员工的访问权限。Purple 拥有 ISO 27001 认证。\n\nPurple 支持硬件无关性，兼容 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。相同的身份模型可运行于混合硬件架构的 酒店 和 零售 场所。Purple 在 80,000 多个上线场所运行，并在 2024 年处理了 4.4 亿次登录（Purple 内部数据）。无需替换现有硬件，正如 为什么您的下一次 WiFi 升级不需要新硬件 中所解释的那样。如需查看其他厂商的等效设置，请参阅 在 Juniper Mist 上使用云 RADIUS 配置 802.1X。\n\n## 常见问题解答\n\n### Meraki 802.11r 需要额外的许可证吗？\n\n不需要，802.11r 是 Meraki 仪表板中针对每个 SSID 的设置，而不是单独的附加组件。您可以在每个 SSID 的访问控制设置中选择禁用（disabled）、启用（enabled）或自适应（adaptive）。此更改适用于服务该 SSID 的 MR AP。请对照 Cisco Meraki 的最新文档和您的 MR 固件确认可用的安全模式，尤其是在将 802.11r 与 WPA3 结合使用之前。请在维护窗口期内安排更改，因为保存 SSID 安全更改可能会导致设备短暂断开连接。\n\n### 802.11r 能否在 Cisco Meraki 上与 Purple Staff WiFi 配合使用？\n\n可以，802.11r 运行在您的 Meraki SSID 上，并可与 Purple 的云 RADIUS 协同工作。Purple 会在设备首次连接时结合 Microsoft Entra ID、Okta 或 Google Workspace 进行身份验证。随后快速过渡功能会处理 MR AP 之间的漫游，无需每次都进行完整的 802.1X 交互。这减少了发往 RADIUS 服务器的身份验证流量。在混合设备环境中请使用自适应（adaptive）模式，仅当每台员工设备都通过快速过渡测试时才使用启用（enabled）模式。\n\n### 我必须更换旧款扫描枪和打印机才能使用快速漫游吗？\n\n不需要，您可以保留它们。将较旧的设备分配到禁用 802.11r 的独立 SSID 上。或者，将您的 802.1X SSID 设置为自适应（adaptive）模式，这样旧设备就永远不会看到快速过渡通告。只有当设备在标准 WPA2 上也无法工作，或者其制造商不再提供安全更新时，更换才有意义。使用禁用 802.11r 的测试 SSID 可以测试出哪些设备需要独立的 SSID，哪些设备可以加入主 SSID。\n\n### 802.11r 与 WPA3 兼容吗？\n\n是的，IEEE 802.11 为 SAE、WPA3-Personal 握手以及 WPA3-Enterprise 下的 802.1X 定义了快速漫游Transition。您的网络是否支持取决于 MR 固件和每个设备的驱动程序。WPA3 过渡模式在同一个信标中广播 WPA2 和 WPA3 套件，这增加了旧版驱动程序误读它的概率。在全面推广前，请先在单个过渡 SSID 上试点 802.11r 并查看事件日志。

802.11r 能否替代 Meraki 三层漫游？

不能，它们解决的是不同的问题。当设备在接入点之间移动时，802.11r 会缩短安全握手时间。而 Meraki 三层漫游则可以在设备于不同 VLAN 或子网的接入点之间移动时保留设备的 IP 地址，从而保证会话不断开。拥有多个子网的大型园区或体育场可能同时需要这两者。如果设备在同一 VLAN 内漫游缓慢，请先尝试 802.11r。如果设备跨子网时出现会话中断，请考虑三层漫游。

802.11r 是否会削弱 PCI-DSS 或 GDPR 合规所需的安全性？

不会，快速漫游不会改变现有的 WPA2 或 WPA3 加密。正如 IEEE 802.11 所定义的那样，下一个接入点的密钥源自首次身份验证时建立的密钥层级结构。PCI-DSS 仍要求在涉及持卡人数据的无线网络上使用强加密，802.11r 并不会改变这一点。请将支付终端保留在隔离的 SSID 或 VLAN 上，并在网络配置文档中记录 802.11r 设置。

解决 Meraki 802.11r 问题需要多长时间？

更改设置只需几分钟，但进行充分测试需要更长的时间。建议创建一个测试 SSID，确认哪些设备出现故障，然后在全网变更前在一个站点试点新设置。大部分工作量在于设备资产盘点，而不是仪表板操作。请为每次生产环境变更预约维护窗口，并在接下来的周内查看事件日志中的关联失败记录。