Cisco Meraki 802.11r 適應模式與啟用模式比較：解決 MR 基地台漫遊問題

在 Cisco Meraki MR SSID 上，啟用 802.11r 會向所有裝置廣播快速過渡（fast transition）。這能加快漫遊速度，但可能會阻止使用不相容驅動程式的舊款裝置連線。自適應（Adaptive）則僅為可識別該功能的 Apple 裝置啟用快速過渡，其他所有裝置則會看到標準的 SSID。在混合設備環境中請使用自適應，並僅在每台裝置都支援 802.11r 的情況下才選擇啟用（enabled）。

Meraki 802.11r 漫遊問題看起來像什麼？

Meraki 漫遊問題主要以兩種方式呈現，且指向完全相反的方向。

第一種是連線失敗。當您將員工 SSID 從停用切換為啟用時，某些裝置會停止連線。手持掃描器看得見網路但無法關聯連線。標籤印表機斷線後再也無法連回。某些較舊的裝置甚至完全不再顯示該 SSID。iPhone 與近期的筆記型電腦則照常運作，因此此故障看起來相當隨機。

第二種是漫遊過慢。裝置雖然可以連線，但當員工在基地台（AP）之間行走時，語音通話會出現斷音。在 802.1X SSID 上，每一次漫遊都會觸發與 RADIUS 伺服器的完整身份驗證，這增加了每次交接（handover）的延遲。802.1X 是用於基於連接埠之網路存取控制的 IEEE 標準。RADIUS 則是您的基地台用來向身份驗證伺服器核對憑證的協定。

連線失敗代表 802.11r 已為無法處理它的裝置開啟。漫遊過慢通常代表該功能已關閉，或是您的裝置未在使用它。

Meraki 802.11r 自適應（Adaptive）與啟用（Enabled）有何不同？

802.11r 又稱為快速 BSS 過渡（FT），是 2008 年發布的 IEEE 802.11 修正案。它允許裝置在移動期間衍生下一個基地台的金鑰，從而跳過完整的身份驗證交換。Meraki MR 基地台在每個 SSID 上提供三種設定。

• 停用（Disabled）： SSID 僅廣播標準身份驗證。除非裝置使用金鑰快取，否則在 802.1X SSID 上的每一次漫遊都會執行全新的身份驗證。
• 啟用（Enabled）： SSID 會在其信標（beacon）的安全資訊元素（RSN IE）中加入 FT 身份驗證與金鑰管理（AKM）套件。每一台裝置都必須能夠正確讀取該元素。
• 自適應（Adaptive）： SSID 會廣播標準身份驗證以及 Cisco 專屬的資訊元素。能識別該元素的 Apple 裝置會使用 FT，其他裝置則會看到一般的 SSID。

設定	SSID 廣播內容	哪些裝置可快速漫遊	舊款裝置風險	最佳適用情境
停用（Disabled）	僅標準 WPA2 或 WPA3 AKM	無（除了 802.1X 上的金鑰快取以外）	無	掃描器、印表機、IoT 及醫療設備
啟用（Enabled）	信標中包含標準 AKM 以及 FT AKM	每台具有正常 802.11r 支援的裝置	部分較舊的驅動程式無法連線或看不到 SSID	已驗證的特定設備群（如語音手持裝置）
自適應	標準 AKM 外加 Cisco 專屬元素	可辨識自適應 FT 的 Apple 裝置	無，依設計即如此	混合使用企業級 iPhone 的 802.1X 環境

自適應技術源自 Cisco 與 Apple 的合作。Meraki 將其定位於 802.1X (WPA2-Enterprise) SSID，因此請參閱 Cisco Meraki 的 802.11r 文件，瞭解您的韌體所支援的模式。Meraki 會將 802.11r 套用於 PSK 和 Enterprise SSID。如果您的 Guest WiFi 運行在 Captive Portal 後方的開放式 SSID，則不受此決策影響。Captive Portal 是在裝置存取網際網路之前限制其權限的網頁。

通常是什麼原因導致 Meraki 快速漫遊失敗？

較舊的驅動程式無法讀取 FT 通告

標準規範預期裝置會忽略其無法理解的 AKM 套件。但某些較舊的驅動程式無法做到這一點。它們會誤讀額外的 FT 項目，進而拒絕連線或根本不嘗試加入網路。Cisco Meraki 自身的 802.11r 文件警告，啟用此功能可能會導致某些舊型裝置無法連線。條碼掃描器、支付終端機、印表機和 IoT 感測器通常是潛在的受害者，因為它們的 WiFi 韌體很少更新。在 醫療照護 領域，臨床裝置通常運行經過認證的韌體，出於同樣的原因，更新速度非常緩慢。

設定了自適應，但您的多數裝置並非 Apple 產品

自適應不會破壞較舊的裝置，但它對 Android 或 Windows 完全沒有作用。如果您的員工持有 Android 手機，自適應只會讓它們維持標準漫遊。雖然不會出錯，但您啟用該功能所期望帶來的效益將永遠無法實現。

安全性模式與裝置支援的模式不相符

IEEE 802.11 針對每個 AKM 分別定義了 FT。基於 802.1X 的 FT、基於 PSK (預共享金鑰) 的 FT 以及基於 SAE (同時同等身份驗證，即 WPA3-Personal 握手) 的 FT 都是不同的。裝置可能支援其中一種，但不支援另一種。WPA3 渡過模式會增加風險，因為同一個 Beacon 會同時通告 WPA2 和 WPA3 套件。在過渡 SSID 上啟用 FT 之前，請先查看 Meraki 的 WPA3 指導方針以了解支援的組合。

漫遊速度慢的原因並非 802.11r 所能解決

802.11r 縮短了安全性握手時間。但它無法解決裝置死守遠端基地台、細胞邊緣涵蓋不足或 RADIUS 伺服器回應緩慢的問題。它也無法取代 Meraki 第 3 層漫遊。第 3 層漫遊可在裝置於不同 VLAN (邏輯上相互隔離的網路段) 的基地台之間移動時，保持裝置的 IP 位址不變。

FT 也僅能在單一行動網域 (mobility domain) 內運作。在通告不同行動網域的基地台之間進行漫遊時，會退回到完整身份驗證。不良的細胞佈局需要的是現場勘測，而不是更改設定。請參閱 WiFi Site Surveys: A Practical Planning Guide。

如何找出問題出在哪個原因？

利用測試 SSID 隔離設定

建立具有相同安全性、VLAN 與 RADIUS 設定且已停用 802.11r 的測試 SSID。如果出現故障的裝置可以加入測試 SSID 但無法加入正式營運環境，則 FT 廣播就是問題所在。如果兩者皆失敗，請改為檢查憑證、證書或 VLAN 指派。

接著檢查出現故障的裝置是否出現在事件記錄檔中。完全未嘗試關聯的裝置無法讀取信標（beacon）。如果裝置已關聯但隨後驗證失敗，則屬於不同的故障原因。

如何在 Meraki 事件記錄檔中檢視快速漫遊？

開啟網路事件記錄檔，篩選出無線網路事件，並將範圍縮小至剛在多個存取點之間移動的單一裝置。仔細閱讀每次變更存取點前後的記錄順序。

• 完整漫遊（Full roam） 會顯示與新存取點的關聯，接著進行全新的 802.1X 驗證與 WPA 金鑰交換。
• 快速轉移漫遊（Fast transition roam） 會顯示與新存取點的關聯，但不會進行新的 802.1X 驗證。

根據韌體版本的不同，事件詳細資料可能會將該漫遊標記為快速轉移（fast transition）。如果沒有標記，缺少 802.1X 交換過程就是判斷的依據。您的 RADIUS 記錄檔提供第二次確認：在 FT 正常運作的情況下，漫遊裝置在每個班次中發送的驗證請求會減少。

透過封包擷取進行確認

若要取得確切答案，請從控制面板對目標存取點執行封包擷取。在 FT 漫遊中，802.11 驗證訊框會帶有驗證演算法 2（Fast BSS Transition）。標準漫遊則帶有演算法 0（Open System）。IEEE 802.11 定義了這兩個數值，因此擷取封包可消除任何疑慮。

如何在 Meraki、Apple、Android 與 Windows 裝置上解決此問題？

在 Meraki 控制面板上

802.11r 設定位於每個 SSID 的存取控制設定中。請在維護時段內進行變更，因為儲存 SSID 安全性變更可能會短暫斷開裝置連線。請遵循 Cisco Meraki 目前的 802.11r 說明文件以取得精確步驟，因為控制面板的版面配置會隨時間更新。

iPhone 與 iPad

Apple 針對 WiFi 漫遊的平台說明文件確認支援 802.11r 並可識別 Cisco 的自適應模式（adaptive mode）。在混合式的 802.1X 環境中，自適應模式可為 iPhone 與 iPad 提供快速轉移。它也會對可能拒絕 FT 廣播的舊款裝置隱藏該廣播。

Android

Android 對 802.11r 的支援取決於手持裝置的晶片組與製造商的建置版本。Meraki 說明文件指出自適應模式主要是針對 Apple 裝置，因此在自適應模式下，請將 Android 手持裝置視為標準裝置。如果您的 Android 裝置群已受管理且經過測試，啟用 802.11r 的專用 SSID 可為這些手持裝置提供快速轉移。

Windows 筆記型電腦

Microsoft 說明文件指出，當 WiFi 驅動程式支援 802.11r 時，Windows 即提供支援。請先從筆記型電腦製造商處更新驅動程式。在 802.1X SSID 上，Windows 也能受益於機會金鑰快取（OKC）。使用 OKC 時，存取點會共用快取的金鑰，從而使裝置跳過完整驗證。

掃描器、印表機與臨床設備

檢查製造商的 802.11r 支援說明檔，然後使用測試 SSID 進行確認。若裝置連線失敗，請將其移動至已停用 802.11r 的專用 SSID。請依裝置類型進行區隔，而不是為了最舊的裝置而拖慢整個網路速度。

您應該使用哪種 Meraki 802.11r 設定？

您的裝置組合	SSID 安全性	設定	預期效果
公司 iPhone 以及較舊的掃描器和印表機	WPA2-Enterprise	自適應 (Adaptive)	iPhone 快速漫遊；較舊的裝置正常連線
受控設備群，每個型號皆經過 FT 測試	WPA2-Enterprise 或 WPA2-PSK	已啟用 (Enabled)	每台裝置皆能快速漫遊
僅有掃描器、印表機、IoT 或醫療裝置	WPA2-PSK	已停用 (Disabled)	穩定連線；每次漫遊皆進行完整驗證
以 Android 和 Windows 為主的 BYOD 組合	WPA2-Enterprise	自適應 (Adaptive)	Apple 快速漫遊；其他裝置依賴金鑰快取
WPA2/WPA3 渡過期 SSID	WPA3 過渡模式	已停用，然後在一個 SSID 上試行啟用	在您測試 FT-SAE 支援時保持穩定連線

實作情境：200 間客房的飯店員工網路

情況。 一間擁有 200 間客房的飯店在其 WPA2-Enterprise 員工 SSID 上啟用了 802.11r，以改善房務人員 iPhone 通話的順暢度。隔天早上，較舊的手持點餐機和兩台後勤印表機無法重新連線。

處理方式。 團隊建立了一個停用 802.11r 的測試 SSID，點餐機隨即順利連線。接著他們將正式環境切換為自適應 (Adaptive)，為 iPhone 保留快速轉換功能。

結果。 點餐機在下次嘗試連線時不再出現關聯失敗。事件記錄顯示 iPhone 漫遊時沒有進行新的 802.1X 交換，確認快速轉換功能仍在使用中。

實作情境：40 家門市零售連鎖店的語音識別徽章

情況。 一家擁有 40 家門市的零售連鎖店運行停用 802.11r 的 WPA2-PSK 員工 WiFi。員工反映語音徽章在倉庫和賣場之間轉移時會出現斷音。較舊的掃描器共用相同的 SSID。

處理方式。 徽章製造商確認支援透過 PSK 進行 FT。團隊建立了一個啟用 802.11r 的語音 SSID，並在一家門市進行試行。掃描器則保持在原有的 SSID，未作更動。

結果。 試行封包擷取顯示徽章漫遊時使用了驗證演算法 2。在全連鎖店推廣之前，試行門市的斷音報告就已經停止。

如何防止 Meraki 漫遊問題再次發生？

• 依類型維護裝置清單。 從實際測試中記錄每種類型的 802.11r 支援情況，而不是僅參考規格表。
• 依裝置類型設計 SSID。 混合 802.1X 使用自適應 (Adaptive)，經過測試的設備群使用已啟用 (Enabled)，較舊的裝置使用已停用 (Disabled)。
• 試行每一項變更。 在進行全網路儲存之前，先在單一據點或單一 SSID 上進行測試。
• 在變更事件後重新測試。 MR 韌體升級和新裝置型號都會改變運作行為。
• 監控事件記錄。 在任何變更後的第一個月內，每週檢視關聯失敗記錄。

802.11k 與 802.11v 可協助裝置選擇下一個存取點。802.11r 則能加速轉移過程本身。請將它們視為獨立的設定並分別進行測試。\n\n### Purple 的適用場景\n\nPurple 的 Staff WiFi 在您現有的 Meraki 存取點之上新增了以身分為基礎的網路。Purple 的雲端 RADIUS 會透過 Microsoft Entra ID、Okta 或 Google Workspace 對員工進行身分驗證。新進、異動與離職人員的存取權限會自動更新，因此 Purple 可以撤銷離職員工的權限，無需手動變更 SSID。Purple 擁有 ISO 27001 認證。\n\nPurple 可跨 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 運作，不受硬體品牌限制。相同的身分模型可以在採用混合硬體的 飯店 和 零售 園區中運作。Purple 在 80,000 多個實體場地運作，並在 2024 年處理了 4.4 億次登入（Purple 自有數據）。正如 為什麼您的下一次 WiFi 升級不需要新硬體 所解釋的，無需進行淘汰替換。關於其他供應商的等效設定，請參閱 在 Juniper Mist 上使用雲端 RADIUS 設定 802.1X。\n\n## 常見問題\n\n### Meraki 802.11r 需要額外的授權嗎？\n\n不需要，802.11r 是 Meraki 控制台中的單一 SSID 設定，而不是單獨的附加元件。您可以在每個 SSID 的存取控制設定中選擇停用、啟用或自適應。變更會套用到服務該 SSID 的 MR 存取點。請在 Cisco Meraki 的最新文件中與您的 MR 韌體確認可用的安全性模式，特別是在將 802.11r 與 WPA3 結合使用之前。請在維護時段排定變更，因為儲存 SSID 安全性變更可能會暫時中斷裝置連線。\n\n### 802.11r 可以與 Cisco Meraki 上的 Purple Staff WiFi 搭配使用嗎？\n\n可以，802.11r 運作於您的 Meraki SSID 上，並可與 Purple 的雲端 RADIUS 配合使用。Purple 會在裝置首次連線時，透過 Microsoft Entra ID、Okta 或 Google Workspace 對其進行身分驗證。隨後快速過渡會處理 MR 存取點之間的漫遊，而無需每次都進行完整的 802.1X 交換。這減少了發送到 RADIUS 伺服器的驗證流量。在混合硬體環境中請使用自適應模式，並僅在每台員工裝置都通過快速過渡測試的情況下才選擇啟用。\n\n### 我必須更換舊款掃描器和印表機才能使用快速漫遊嗎？\n\n不需要，您可以保留它們。將舊款裝置放在停用 802.11r 的專屬 SSID 上。或者，將您的 802.1X SSID 設定為自適應，這樣舊款裝置就不會接收到快速過渡廣播。只有當裝置在標準 WPA2 上也失敗，或者其製造商不再提供安全性更新時，更換才有意義。透過停用 802.11r 的測試 SSID，可以找出哪些裝置需要自己的 SSID，哪些裝置可以加入主要 SSID。\n\n### 802.11r 是否相容於 WPA3？\n\n是的，IEEE 802.11 為 SAE、WPA3-Personal 握手以及 WPA3-Enterprise 下的 802.1X 定義了快速轉換（Fast Transition）。您的網路是否支援，取決於 MR 韌體以及每個裝置的驅動程式。WPA3 轉換模式會在單一 Beacon 中廣播 WPA2 與 WPA3 套件，這會增加較舊驅動程式誤判的機率。請先在單一轉換 SSID 上試行 802.11r，並在全面推出前檢視事件記錄檔。

802.11r 會取代 Meraki 第 3 層漫遊嗎？

不會，它們解決的是不同的問題。當裝置在存取點之間移動時，802.11r 可縮短安全性握手的時間。Meraki 第 3 層漫遊則可在裝置於不同 VLAN 或子網路中的存取點之間移動時，保留裝置的 IP 位址，使連線階段得以維持。包含多個子網路的大型校園或體育場可能同時需要這兩者。如果同一 VLAN 內的漫遊速度過慢，請先從 802.11r 開始著手。如果裝置跨越子網路時連線中斷，請檢視第 3 層漫遊配置。

802.11r 會削弱 PCI-DSS 或 GDPR 的安全性嗎？

不會，快速轉換會維持 WPA2 或 WPA3 的加密機制。下一個存取點的金鑰衍生自首次驗證時建立的金鑰階層，如 IEEE 802.11 所定義。PCI-DSS 仍要求在持卡人資料範圍內的無線網路上使用強效加密，而 802.11r 並不會改變這一點。請將支付終端機保留在隔離的 SSID 或 VLAN 上。請在您的網路組態文件中記錄 802.11r 設定。

解決 Meraki 802.11r 問題需要多長時間？

變更設定只需要幾分鐘，但妥善進行測試需要更長時間。請建立測試 SSID，確認哪些裝置失敗，然後在進行全網變更之前先在單一據點試行新設定。大部分的精力都花在裝置清查上，而非儀表板操作。請為每次正式環境的變更預約維護時段。並在接下來的一週內檢視事件記錄檔中的關聯失敗記錄。