Android 上的 802.11r 與 802.11k：在 Cisco Meraki、HPE Aruba 及 Ubiquiti UniFi 上的快速漫遊部署

是的，大多數 Android 手機都支援 802.11r 快速轉移、802.11k 鄰居報告與 802.11v BSS 轉移。支援與否取決於晶片組驅動程式和製造商，而非僅憑 Android 版本。在 Cisco Meraki、HPE Aruba 或 Ubiquiti UniFi 上，請在混合模式下啟用 802.11r 並保持空中快速轉移（FT over the air）。全面推出前，請先在封包擷取中確認各個手機型號。

快速漫遊在 Android 手機上究竟是如何運作的？

快速漫遊依賴三個 IEEE 修正案相互配合：

• 802.11k 協助手機尋找下一個無線基地台。
• 802.11v 讓網路建議何時進行搬移。
• 802.11r 縮短切換過程本身的時間。

Android 可以同時使用這三者。決定何時漫遊的是手機，而不是無線基地台。

這一點決定了本指南中的各項決策。在大多數 Android 裝置上，漫遊是在 WiFi 晶片組韌體與驅動程式中執行，而非在 Android 架構中執行。Android 開放原始碼計畫（AOSP）將此記錄為韌體漫遊。因此，兩款運行相同 Android 版本的手機，其漫遊表現可能會截然不同。

802.11k：鄰居報告

支援 802.11k 的手機會向其當前連接的無線基地台請求鄰居報告。這是附近無線基地台及其所用頻道的清單。隨後手機僅會掃描這些頻道，而非全面掃描每個頻段。這樣可以減少非頻道作業的時間，並做出資訊更充分的漫遊決策。不支援 802.11k 的手機會忽略該報告並進行正常掃描。

802.11v：BSS 轉移管理

802.11v BSS 轉移管理允許無線基地台建議手機搬移至特定的無線基地台。手機可以接受、拒絕或忽略該請求。Android 晶片組將這些請求視為建議，且部分晶片組比其他晶片組更容易採納這些建議。建議將 802.11v 與 802.11k 搭配使用，因為轉移請求只有在手機已經瞭解其可選方案時才有幫助。

802.11r：快速 BSS 轉移

802.11r 又稱為快速轉移（FT），它改變了漫遊期間加密金鑰的建立方式。

IEEE 802.1X 是企業級 WiFi 背後基於連接埠的驗證標準。RADIUS 則是您的無線基地台用來與驗證伺服器確認憑證的通訊協定。如果沒有 FT，使用 WPA2-Enterprise 或 WPA3-Enterprise 的手機在每次連接新的無線基地台時，都會與 RADIUS 伺服器重複完整的 802.1X 交換程序，接著完成四路金鑰握手。

透過 802.11r，首次連線仍會進行完整驗證。隨後在同一漫遊網域（Mobility Domain）內的漫遊，則會從快取的金鑰層級結構中衍生出全新的金鑰。該金鑰交換會直接整合至驗證與重新關聯的訊框中，無需連回 RADIUS 伺服器，也無需進行額外的四路握手。

這對語音和 Push-to-Talk 而言至關重要。ITU-T G.114 建議將單向語音延遲控制在 150 毫秒以內。每次切換無線存取點都與雲端 RADIUS 服務進行完整的 802.1X 交換，會大量消耗這個延遲預算。

為什麼 Android 支援度會因晶片組與製造商而異

Google 發布 Android 架構，但快速漫遊運作於更底層的層級。支援度取決於四個層級：

1. 晶片組，來自 Qualcomm、Broadcom 及 MediaTek 等供應商。
2. 晶片組供應商的驅動程式與韌體。
3. 製造商的建置版本。
4. Android 版本。

製造商出貨的晶片組即使支援 802.11r，也可能將該功能停用或僅部分實作。工規手持設備與入門款平板電腦通常多年都停留在舊版驅動程式。

通過認證是最實用的指標。WiFi Alliance 的 Agile Multiband 計畫測試 802.11k、802.11v 與 802.11r 的互通性。其 Voice-Enterprise 計畫則測試語音手持設備的快速漫遊。獲得認證的型號代表已通過互通性測試。未獲得認證的型號可能仍可運作，但您需要自行測試。

如需這三項修正案背後的詳細協定資訊，請參閱 Purple 的 802.11r、802.11k 和 802.11v 部署指南。

在為 Android 啟用 802.11r 之前，您需要準備什麼？

在變更正式環境 SSID（您的裝置連線的網路名稱）之前，請先收集以下六項要素。

• **手持設備清冊。**從您的行動裝置管理（MDM）平台提取型號、Android 版本與安全性修補程式層級。按型號將裝置分組，因為型號比 Android 版本更能準確預測漫遊行為。
• **支援的無線存取點韌體。**確認您的 Cisco Meraki、HPE Aruba 或 Ubiquiti UniFi 韌體在您執行的安全性類型上支援 802.11r。請檢查供應商最新的版本說明。
• **單一行動網域（Mobility Domain）。**快速轉移僅能在共享金鑰材料的無線存取點之間運作。請將手持設備漫遊時行經的無線存取點保持在同一個 Meraki 網路、Aruba 控制器叢集或 UniFi 站點中。跨越該邊界的漫遊會退回完整的身分驗證流程。
• **訊號覆蓋重疊。**手持設備只能漫遊至其能清晰接收訊號的無線存取點。在調整漫遊設定之前，請透過勘測驗證重疊區域。請參閱 WiFi Site Surveys: A Practical Planning Guide。
• **封包擷取工具。**您需要一台支援監控模式（Monitor Mode）的筆記型電腦或 USB 轉接器，以及免費的 Wireshark。
• **測試用 SSID。**複製正式環境設定，保持相同的安全性、VLAN 與 RADIUS 伺服器。VLAN（虛擬區域網路）是流量進入的網路區段。先在複製的 SSID 上測試，確認無誤後再將設定套用至正式環境。

如何為混合的 Android 裝置群設定快速漫遊？

請從風險最低的操作開始執行：

1. **在測試用 SSID 上啟用 802.11k 與 802.11v。**不支援這些標準的手持設備會直接忽略額外的元素，因此極少發生關聯失敗（Association failure）。
2. 在混合模式下啟用 802.11r。 每個 SSID 都會廣播一個或多個驗證與金鑰管理（AKM）套件。混合模式會同時廣播標準與 FT 套件，因此不支援 FT 的手持裝置仍可連線。
3. 保持 Over-the-Air FT 模式。 除非您有經過測試的特殊理由，否則請保持停用 Over-the-DS 信號傳輸。
4. 測試每一種手持裝置機型。 連線至 SSID，在通話過程中於基地台之間移動，並擷取漫遊紀錄。
5. 選擇策略並進行部署。 使用下方矩陣，接著在包含復原計畫的變更窗口期內將設定推動至正式環境。

哪種 802.11r 策略適合您的 Android 裝置群？

您的 Android 裝置群	802.11r 設定	802.11k 與 802.11v	原因
受控手持裝置，且每種機型皆通過先期測試	在員工 SSID 上啟用混合模式	開啟	支援 FT 的手持裝置可實現快速漫遊，而不支援 FT 的裝置仍能以完整的 802.1X 連線
大多數為新穎手持裝置，但在一兩種舊型號於混合模式下失敗	在主要 SSID 上啟用，並在同一個 VLAN 上設定一個停用 802.11r 的舊型號專用 SSID	兩個 SSID 皆開啟	舊型號可保持正常運作，同時其餘裝置群可進行快速漫遊
BYOD 或包含大量未知機型的未定資產	停用	開啟	避免關聯失敗，且 PMK 快取仍可縮短返回先前已造訪基地台的時間
Cisco Meraki 網路，大多為 Apple 裝置並搭配部分 Android	Adaptive	開啟	支援的 Apple 裝置可快速漫遊，而 Android 手持裝置則使用完整的 802.1X
專用語音或對講手持裝置，全為單一經過測試的機型	在專用語音 SSID 上啟用混合模式	開啟	語音流量可獲得最短的漫遊時間，且不會讓其他裝置暴露於 FT 環境中

PMK 快取是標準的 802.11i 機制，允許手持裝置與先前已進行驗證的基地台重複使用成對主要金鑰（PMK）。

快速轉換採用 Over-the-Air 還是 Over-the-DS？

802.11r 定義了兩種傳輸 FT 交換的方式。在 Over-the-Air 模式下，手持裝置直接與目標基地台通訊。在 Over-the-DS（散佈系統）模式下，手持裝置會將 FT 行動訊框傳送至目前的基地台，再由該基地台透過有線網路轉發至目標基地台。

考量因素	Over-the-Air	Over-the-DS
訊框路徑	手持裝置透過無線電直接傳送至目標基地台	手持裝置傳送至當前基地台，再透過有線網路轉發至目標基地台
Android 支援度	在支援 FT 的 Android 晶片組中相當普及	相容性較差，部分驅動程式無法正確處理功能位元
適用時機	大多數蜂巢涵蓋重疊良好的場域	目標基地台在漫遊瞬間訊號較弱的邊緣狀況
失敗模式	漫遊降級回完整的身分驗證	在手持裝置重試之前，漫遊可能會逾時
Purple 建議	混合 Android 裝置群的預設設定	僅在每種機型皆通過測試後使用

Cisco Meraki

Meraki 針對每個 SSID 提供了三種 802.11r 選項：已停用、已啟用和適應性。選擇「已啟用」會在標準金鑰管理旁廣播 FT，此為混合模式。「適應性」則僅針對支援 Cisco 適應性 802.11r 擴充功能的 Apple iOS 裝置啟用 FT。處於「適應性」SSID 下的 Android 手機將使用標準驗證連線，不會獲得快速過渡。若您的裝置陣容以 Android 為主，請改為在試點 SSID 上測試「已啟用」。Meraki 的官方文件指出，啟用 802.11r 時，部分較舊的裝置可能無法進行關聯。請參閱其文件以取得最新的操作步驟。

HPE Aruba

Aruba 針對每個 WLAN 設定快速過渡。在 ArubaOS 控制器部署中，附加至 SSID 的 802.11r 設定檔會啟用 FT 並包含 over-the-DS 選項。802.11k 和 BSS 過渡管理則位於 802.11k 設定檔中。Aruba Instant 與 Aruba Central 在 WLAN 的漫遊設定中提供了相同的功能。Aruba 也支援機會性金鑰快取 (OKC)，這是一種在基地台之間共享金鑰的非標準方式。在依靠 OKC 作為備用方案之前，請先確認手機型號是否支援 OKC。

Ubiquiti UniFi

UniFi 在每個 WiFi 網絡的進階設定中，將 802.11r 顯示為快速漫遊 (Fast Roaming)，將 802.11v 顯示為 BSS 過渡 (BSS Transition)。Ubiquiti 警告，部分較舊的裝置可能不支援快速漫遊。請先啟用 BSS 過渡，然後在試點網絡上啟用快速漫遊。在正式上線部署之前，請先檢查您 Network 應用程式版本的發行說明。

Purple 的適用之處

Purple 的 Staff WiFi 透過基於身分的網絡提供身分層。它使用雲端 RADIUS，透過 802.1X 比對 Microsoft Entra ID、Okta 或 Google Workspace 來驗證員工。快速過渡在您的基地台運作。Purple 負責驗證第一次連線，而 802.11r 則將後續的漫遊保持在您的 WLAN 內部。

Purple 獨立於硬體，可在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 上執行。它在 80,000 多個實體場地中運行，並在 2024 年處理了 4.4 億次登入 (Purple 數據)。

請為離職人員做好規劃。當您撤銷某個身分時，該變更將在該裝置的下一次完整驗證時生效。在此之前，被撤銷的裝置可以繼續使用行動網域內的快取金鑰進行漫遊。您的工作階段逾時設定決定了該時間窗口，因此請將其與您的入職、異動與離職 (JML) 政策保持一致。

如何檢查 Android 裝置是否使用了快速過渡？

請使用三個層面的證據。只有封包擷取才是最明確的判定依據。

在控制器上

大多數控制器都會列出從關聯請求解析出的每台用戶端功能，包括對 802.11r、802.11k 和 802.11v 的支援。請在您的 Meraki、Aruba 或 UniFi 儀表板中開啟用戶端的詳細資料檢視和漫遊歷史記錄。功能標記僅表示該手機可以使用 FT，並不代表特定的漫遊行為確實使用了 FT。

在空中封包擷取中

當測試人員攜帶手機在蜂巢之間移動時，請在目標基地台的頻道上進行擷取。該表顯示了在 Wireshark 中需要尋找的內容。

您所看到的內容	訊框	意義
Mobility Domain 元素，ID 54	Beacon 或 Probe Response	基地台宣告支援 802.11r
AKM 套件 00-0F-AC:3、:4 或 :9	行動裝置的關聯或重新關聯請求	行動裝置選擇了 FT-802.1X、FT-PSK 或 FT-SAE
驗證演算法編號 2	漫遊期間的驗證訊框	行動裝置執行了 Over-the-Air FT 漫遊
傳送至當前基地台的 FT Action 訊框	漫遊前的 Action 訊框	行動裝置執行了 Over-the-DS 漫遊
演算法 0，隨後進行完整 EAP 交換與四向握手	驗證，EAPOL	未使用 FT，因此行動裝置執行了完整 802.11X
RM Enabled Capabilities 元素，ID 70，以及鄰居報告請求	關聯請求、Action 訊框	行動裝置支援並使用 802.11k
BSS Transition Management 查詢、請求與回應	無線網路管理 (WNM) Action 訊框	行動裝置支援並使用 802.11v

成功的 802.1X FT 漫遊會顯示 FT 驗證與重新關聯交換，且完全沒有 EAP 流量與四向握手。

在行動裝置上

開啟「開發人員選項」，然後啟用「WiFi 詳細記錄」選項。透過 ADB (Android Debug Bridge) 連線並執行 adb shell dumpsys wifi，或擷取錯誤報告。尋找 wpa_supplicant 使用的金鑰管理名稱：FT-EAP、FT-PSK 或 FT-SAE。輸出結果會因製造商與 Android 版本而異，因此請將其視為輔助證據而非絕對證明。

為何某些 Android 手機在啟用 802.11r 時會連線失敗？

大多數失敗可歸因於以下六個原因。

• 驅動程式誤判混合模式。 部分較舊的驅動程式無法處理安全性元素中同時包含 FT 套件與標準套件的情況。行動裝置會無法關聯，在某些情況下甚至完全不會列出該網路。解決方法為提供不含 FT 的舊版 SSID、透過 MDM 推送製造商更新，或是淘汰該機型。
• SSID 設定為僅限 FT。 不支援 FT 的行動裝置無法加入僅宣告 FT 套件的 SSID。解決方法為切換至混合模式。
• 宣告了 Over the DS。 無法正確處理此功能位元的行動裝置會在漫遊時失敗，隨後連線極為緩慢。解決方法為改回 Over the Air。
• WPA3 新增了受保護的管理訊框。 WPA3 需要 PMF (802.11w)，且 FT-SAE 的支援度比 FT-PSK 或 FT-802.1X 更不穩定。在 WPA2 上正常運作的行動裝置仍可能在 WPA3 上失敗。請分別測試每一種安全性模式。
• 漫遊跨越了移動性領域。 在 Meraki 網路、Aruba 叢集或 UniFi 站點之間的移動會強制進行完整驗證。這看起來可能像是 FT 故障。請從網路設計層面解決此問題，而非在行動裝置上處理。
• 行動裝置持續連接微弱的基地台。 FT 僅能縮短漫遊時間，但無法促使行動裝置提早進行漫遊。請依賴 802.11k 與 802.11v，並謹慎提高最低資料速率。過於激進的用戶端轉向可能會直接導致 Android 行動裝置斷線。

來自飯店、零售與公共部門的實作情境

這些是說明性的部署範例，並非具名的 Purple 客戶。每一例都展示了決策路徑以及用來確認結果的衡量標準。

採用 Cisco Meraki 的 200 間客房飯店

情況。 房務與維護團隊在 WPA2-Enterprise 員工 SSID 上使用帶有 VoIP 應用程式的 Android 手持裝置。由於停用了 802.11r，跨樓層通話時常斷線。裝置包含兩種機型：款較新的 Agile Multiband 認證手持裝置，以及 18 台較舊的加固型裝置。

處理方式。 團隊在測試 SSID 上啟用了 802.11r，結果所有 18 台舊款裝置皆無法關聯。他們將主要員工 SSID 設定為「啟用」，並新增了一個關閉 802.11r 的舊版 SSID，兩者採用相同的 VLAN 與 RADIUS 原則。兩個 SSID 均保持開啟 802.11k 和 802.11v。

結果。 封包擷取顯示，較新的手持裝置透過演算法 2 驗證進行漫遊，且沒有 EAP 流量。這些手持裝置的 RADIUS 請求次數從每次漫遊一次降至每次工作階段一次。所有 18 台舊款裝置在第一天就成功連線，並已排定更換時程。如需瞭解更多 飯店 相關資訊，請參閱 Purple 的旅宿業頁面。

採用 HPE Aruba 的 40 家門市零售連鎖店

情況。 庫存團隊使用 Android 掃描器，保持與庫存系統的即時連線工作階段。802.11r 已開啟，且啟用了 Over-the-DS。其中一種掃描器機型在庫房與賣場之間頻繁斷線。

處理方式。 在測試門市中，團隊關閉了 Over-the-DS 並保留 Over-the-Air FT。他們啟用了 802.11k 與 BSS 轉移管理，然後擷取每種掃描器機型的漫遊歷程。

結果。 封包擷取確認了每種機型均順利進行 Over-the-Air FT 漫遊。受影響機型的漫遊失敗狀況在測試門市中完全消失。該變更在兩個維護時段內推廣至所有 40 家門市。如需參閱 Purple 的零售案例，請造訪 零售。

採用 Ubiquiti UniFi 的市議會辦公室

情況。 公司配置的 Android 手持裝置與 BYOD（自攜設備）手機共用同一個網路。員工回報在長條形開放式辦公區進行 Teams 通話時會斷線。

處理方式。 團隊將網路分割為開啟 Fast Roaming 與 BSS Transition 的公司 SSID，以及僅開啟 BSS Transition 的 BYOD SSID。他們在全面部署前測試了每款公司手持裝置機型。

結果。 公司手持裝置在封包擷取中顯示出 FT 漫遊。BYOD 裝置因未接收到 FT 訊號，故在連線時完全沒有出現關聯失敗。相同的模式也適用於 醫療保健 的病房手持裝置，因為醫療設備與個人手機在同一棟建築內共用網路。

快速漫遊需要多少成本？又能獲得什麼回報？

802.11r、802.11k 和 802.11v 是 Cisco Meraki、HPE Aruba 與 Ubiquiti UniFi 無線基地台上的韌體功能。這些功能都不需要額外購買功能授權。主要的成本在於工程師的時間：

• 建立測試 SSID。
• 測試每款手持裝置機型。
• 進行封包擷取。
• 預約維護時段。

舊版 SSID 會帶來較小的隱形成本。每個 SSID 都會傳送自己的 Beacon，進而消耗每個通道上的空中時間。

投資報酬率是可衡量的。一個在一個班次內漫遊 30 次的手持裝置，若未啟用 FT，會觸發 30 次完整的 802.1X 交換。若啟用 FT，每個工作階段僅會觸發一次，並在再次造訪的基地台上記錄 PMK 快取命中。這能降低 RADIUS 服務的負載，並消除語音通話和掃描器工作階段中重複出現的驗證中斷。您可以直接透過現有的基地台取得此功能；請參閱 為什麼您的下一次 WiFi 升級不需要新硬體。

快速轉移對安全的員工 SSID 最為重要。在開放或 Captive Portal Guest WiFi SSID 上，由於沒有需要縮短的 802.1X 交換，因此效益較小。如果您要在相同的基地台上評估訪客端的價格，請參閱 Captive Portal 定價比較：按據點、按基地台與按使用者模型。

常見問題

Android 是否支援 802.11r 快速轉移？

是的，大多數現有的 Android 手持裝置都支援 802.11r，但支援程度取決於晶片組、驅動程式與製造商版本，而非 Android 版本。漫遊通常在晶片組韌體中執行，因此使用相同 Android 版本的兩支手機可能表現不同。Agile Multiband 或 Voice-Enterprise 認證是最明確的指標。對於未認證的型號，可透過封包擷取確認 FT：在漫遊期間檢查關聯請求中的 FT 金鑰管理以及演算法 2 驗證。

Android 是否支援 802.11k 與 802.11v？

是的，許多 Android 手持裝置會使用 802.11k 鄰居報告與 802.11v BSS 轉移請求，這同樣取決於晶片組與製造商。不支援的手持裝置會忽略這些額外元素，因此同時啟用兩者極少會阻礙關聯。Android 會將 802.11v 請求視為建議而非強制指令。您可透過檢查擷取封包中的 RM Enabled Capabilities 元素與 BSS 轉移管理框架，來確認各型號的支援情況。

在 Cisco Meraki、HPE Aruba 或 Ubiquiti UniFi 上使用 802.11r 是否需要額外授權？

不需要，802.11r、802.11k 和 802.11v 在這三個平台上都是內建的韌體功能，無需額外的功能授權。您的成本主要是用於試點 SSID 的工程時間、各型號測試與變更維護時間。如果您為較舊的手持裝置新增舊版 SSID，額外的信標（beacon）會帶來些微的空口（airtime）成本，而非授權費用。

啟用 802.11r 會導致較舊的 Android 裝置無法連線至我的網路嗎？

有可能，這就是為什麼您應該先在試點 SSID 上進行測試。當 SSID 在宣播標準金鑰管理的同時宣播 FT 時，某些較舊的驅動程式會無法建立關聯。請使用混合模式，切勿設定為僅限 FT（FT-only），並維持 FT over the air。如果某個型號仍然失敗，請在相同的 VLAN 上為其提供一個關閉 802.11r 的舊版 SSID、透過 MDM 更新其韌體，或將其淘汰。

我應該在 Cisco Meraki 上針對 Android 裝置使用 Adaptive 802.11r 嗎？

不，Adaptive 802.11r 無法為 Android 裝置提供快速轉移。它僅為支援 Cisco 適應性擴充功能的 Apple iOS 裝置啟用 FT。在 Adaptive SSID 上的 Android 裝置會透過標準 802.1X 連線，並在每次漫遊時執行完整驗證。對於以 Android 為主的設備群，請在試行 SSID 上測試 Enabled 設定，若有任何型號失敗，則退回使用舊版 SSID。

Purple Staff WiFi 是否能在現有的無線基地台上記錄並支援 802.11r？

是的，Purple 的 Staff WiFi 可在您現有的無線基地台上執行，並與 802.11r 一同運作。Purple 具備硬體無關性，支援 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet。Purple 的雲端 RADIUS 會比對 Microsoft Entra ID、Okta 或 Google Workspace 來驗證首次連線。之後的快速轉移則會將後續的漫遊保留在您的無線基地台上，無需再次返回 RADIUS 進行驗證。

快速漫遊是否會影響 PCI-DSS 或 GDPR 合規性？

不會，802.11r 保留了 802.1X 等級的加密，且不會改變您所處理的個人資料。PCI-DSS 要求傳輸持卡人資料的無線網路必須具備強大的密碼學機制，而 FT 會在每次漫遊時衍生新的單一會話金鑰。在 GDPR 規範下，漫遊不會收集新的個人資料。請檢視您的會話逾時設定，因為它決定了已撤銷的裝置可以使用快取的金鑰繼續漫遊多久。

為 Android 設備群部署 802.11r 需要多久時間？

請規劃每個手機型號進行一次試行週期，然後依據每個據點或據點群組安排正式上線變更窗口。設定變更只需幾分鐘，而測試會佔用大部分時間。每個型號都需要進行連線測試、通話期間的漫遊測試以及封包擷取。在單一控制器平台上擁有兩到三個型號的設備群，通常在正式部署前只需要單一試行週期即可。