Contenido

Introducción

Por qué 6 GHz y Wi-Fi 7

Requisitos básicos para operaciones de 6 GHz y Wi-Fi 7

Requisitos de la banda de 6 GHz

Requisitos de Wi-Fi 7

17.18.1 y posterior

17.15.3 y versiones posteriores de 17.15.x

Consideraciones de diseño de radio para la cobertura de 6 GHz

Comportamientos de roaming entre puntos de acceso 6E/7 anteriores a la conexión Wi-Fi y 6E/7 de Wi-Fi

Habilitación global de Wi-Fi 7

Casos de uso

Redes 802.1X / WPA3-Enterprise

Frase de paso/redes WPA3-Personal/IoT

Redes abiertas/abiertas mejoradas/OWE/invitados

WPA3 adicional y opciones relacionadas

Protección de baliza

GCMP256

Solucionar problemas y comprobar

Referencias

Introducción

Este documento describe las pautas de diseño y configuración para optimizar el rendimiento de Wi-Fi 7 y aprovechar completamente el espectro de 6 GHz.

Por qué 6 GHz y Wi-Fi 7

6 GHz es una nueva banda que comenzó a estar disponible en 2020 para operaciones de WLAN y que fue explotada inicialmente por la certificación Wi-Fi 6E. Aunque Wi-Fi 6E sigue dependiendo del mismo estándar 802.11ax (certificado con Wi-Fi 6 para las bandas de 2,4/5 GHz), se amplía para funcionar solo en la banda de 6 GHz, siempre que se cumplan los requisitos específicos.

Wi-Fi 7 corresponde a la certificación del estándar IEEE 802.11be y, a diferencia de Wi-Fi 6E, que está restringido a 6 GHz únicamente, se define para su uso en las tres bandas: 2,4, 5 y 6 GHz. Wi-Fi 7 también incluye nuevas funciones en comparación con las certificaciones anteriores.

6 GHz y/o Wi-Fi 7 tienen requisitos específicos que deben ser soportados, lo que a menudo se traduce en nuevas configuraciones y diseños de RF, especialmente en comparación con lo que se utilizaba hasta las bandas de 2.4/5 GHz y Wi-Fi 6. Por ejemplo, al igual que el uso de la seguridad WEP nos impide utilizar estándares 802.11 que no sean 802.11a/b/g, los estándares más nuevos vienen con requisitos previos de seguridad más altos, para impulsar la adopción de redes más seguras.

Por otra parte, la banda de 6 GHz más reciente, junto con certificaciones tan modernas como Wi-Fi 6E/7, permite obtener frecuencias más limpias, mejores resultados y nuevos usos, o incluso una implementación más "libre de preocupaciones" de los casos prácticos existentes (por ejemplo, conferencias de voz y vídeo).

Requisitos básicos para operaciones de 6 GHz y Wi-Fi 7

Estos son los requisitos de seguridad que figuran en las certificaciones para las operaciones de 6 GHz y Wi-Fi 7.

Requisitos de la banda de 6 GHz

La banda de 6 GHz sólo puede admitir WPA3 o WLAN abiertas mejoradas, lo que significa que puede elegir una de estas opciones de seguridad:

- WPA3-Enterprise con autenticación 802.1X

- WPA3: autenticación simultánea de iguales (SAE) (también denominada WPA3-Personal) con frase de paso. SAE-FT (SAE with Fast Transition) es otro AKM posible y en realidad se recomienda para su uso ya que el intercambio de señales SAE no es trivial y FT permite saltarse ese intercambio más largo.

- Open mejorado con cifrado inalámbrico oportunista (OWE)

Aunque, según las especificaciones de WPA3 v3.4 (sección 11.2), el modo de transición abierto mejorado no es compatible con 6 GHz, muchos proveedores (incluido Cisco hasta IOS® XE 17.18) todavía no aplican esta norma. Por lo tanto, es técnicamente posible configurar, por ejemplo, un SSID abierto a 5 GHz, un SSID abierto mejorado correspondiente a 5 y 6 GHz, ambos con el modo de transición activado y todo esto sin cumplir con las especificaciones de los estándares. En tal escenario, debe esperarse sin embargo que más bien configurar un SSID abierto mejorado sin modo de transición y disponible solo en 6 GHz (clientes que soportan 6 GHz típicamente soportan también Abierto mejorado), mientras que mantiene nuestro SSID abierto regular en 5 GHz, también sin modo de transición.

No existen nuevos requisitos de cifrado o algoritmo específicos para WPA3-Enterprise, aparte de la aplicación de 802.11w/Protected Management Frame (PMF). Muchos proveedores, incluido Cisco, consideran que 802.1X-SHA256 o "FT + 802.1X" (que en realidad es 802.1X con SHA256 y Fast Transition en la parte superior) solo es compatible con WPA3 y que el estándar 802.1X (que utiliza SHA1) se considera parte de WPA2, por lo que no es apto ni compatible con 6 GHz.

Requisitos de Wi-Fi 7

Con la certificación Wi-Fi 7 del estándar 802.11be, Wi-Fi Alliance aumentó los requisitos de seguridad. Algunas de ellas permiten utilizar las velocidades de datos de 802.11be y mejoras de protocolo, mientras que otras son específicas para admitir operaciones de enlaces múltiples (MLO), lo que permite a los dispositivos compatibles (clientes o AP) utilizar varias bandas de frecuencia al tiempo que mantienen la misma asociación.

En general, Wi-Fi 7 exige uno de estos tipos de seguridad:

- WPA3-Enterprise con AES (CCMP128) y 802.1X-SHA256 o FT + 802.1X (que sigue utilizando SHA256, aunque no sea explícito en su denominación). Esto no supone ningún cambio en comparación con los requisitos previos de seguridad de WPA3 anteriores para la banda de 6 GHz.

- WPA3-Personal con GCMP256 y SAE-EXT-KEY o FT + SAE-EXT-KEY (AKM 24 o 25). Wi-Fi 6E obligatorio WPA3 SAE o FT + SAE solo con AES (CCMP128) normal y sin usos adicionales de clave ampliada, por lo que se trata de un nuevo cifrado introducido específicamente para Wi-Fi 7.

- Apertura/OWE mejorada con GCMP256. Aunque AES (CCMP128) se puede seguir configurando en el mismo SSID, los clientes que utilizan AES 128 no pueden admitir Wi-Fi 7. Antes de Wi-Fi 7, la mayoría de los clientes que admitían Apertura mejorada solo utilizaban AES 128, por lo que este es un nuevo requisito más importante. En cuanto a la compatibilidad con 6 GHz, no se tolera ningún modo de transición.

En todos estos casos, también se necesitan marcos de gestión protegidos (PMF) y protección de baliza para admitir Wi-Fi 7 en la WLAN.

Wi-Fi 7 seguía siendo reciente en el momento de escribir este artículo y, con una versión lo antes posible, muchos proveedores no aplicaban todos estos requisitos de seguridad desde el principio.

Más recientemente, Cisco ha ido aplicando progresivamente las opciones de configuración para cumplir con la certificación Wi-Fi 7. Estos son los comportamientos específicos de la versión:

17.18.1 y posterior

IOS XE 17.18 y versiones posteriores solo anuncian una WLAN determinada como Wi-Fi 7 habilitado si la WLAN tiene parámetros de seguridad que coinciden con los requisitos de Wi-Fi 7 (protección de baliza, PMF y el AKM derecho como se describió anteriormente dependiendo del tipo de WLAN, así como de la presencia de GCMP256 para lograr Wi-Fi 7 MLO, en caso de OWE o SAE-EXT). La presencia de AES128 se tolera en el SSID, pero, cuando se utiliza, solo proporcionará Wi-Fi 6E y no Wi-Fi 7 MLO.

Un cliente puede asociarse como Wi-Fi 7 y lograr velocidades de datos de Wi-Fi 7 independientemente del método de seguridad que utilice (siempre que la WLAN siga admitiéndolo). Sin embargo, el cliente solo puede asociarse con capacidad MLO (en una o más bandas) si respeta los estrictos requisitos de seguridad Wi-Fi 7 o si se rechaza.

17.15.3 y versiones posteriores de 17.15.x

En esta sucursal, todas las WLAN se transmiten como SSID de Wi-Fi 7, siempre que Wi-Fi 7 esté habilitado de forma global e independientemente de la configuración de seguridad.

Un cliente puede asociarse como compatible con Wi-Fi 7 y lograr velocidades de datos de Wi-Fi 7 independientemente del método de seguridad que utilice, siempre que la WLAN siga admitiéndolo. Sin embargo, el cliente solo puede asociarse con capacidad MLO (en una o más bandas) si respeta los estrictos requisitos de seguridad Wi-Fi 7 o si se rechaza.

Esto podría causar problemas, cuando algún cliente Wi-Fi 7 temprano no puede soportar los cifrados más seguros como GCMP256 intenta asociarse como Wi-Fi 7 MLO capaz de una WLAN, cuya configuración de seguridad no coincide con los requisitos Wi-Fi 7. En tal situación, el cliente es rechazado debido a las configuraciones de seguridad inválidas (todavía se permite ser configurado bajo el WLAN).

Consideraciones de diseño de radio para la cobertura de 6 GHz

Sin ánimo de convertirse en una guía prescriptiva completa sobre los estudios in situ, en esta sección se describen brevemente algunas consideraciones básicas a la hora de diseñar una cobertura de 6 GHz, especialmente si ya existe una instalación de 2,4/5 GHz que nos gustaría migrar a Wi-Fi 6E o 7.

En cuanto a las nuevas implementaciones de Wi-Fi a las que estábamos acostumbrados en 2,4 y 5 GHz, un nuevo proyecto inalámbrico en 6 GHz debe incluir también un sondeo del sitio dedicado de 6 GHz correspondiente.

Cuando los AP pre-Wi-Fi 6E/7 ya están posicionados para una cobertura y necesidades específicas de 5 GHz, en algunos casos podemos esperar poder sustituirlos por AP compatibles con Wi-Fi 6E/7 y aún así obtener una buena cobertura en 6 GHz también. Para que esta teoría funcione, nuestros AP existentes ya deben proporcionar una cobertura correcta de 5 GHz para las necesidades previstas (solo datos, voz, aplicaciones específicas, etc.) mientras que ya están al menos 3-4 niveles de potencia de transmisión por debajo de su límite máximo. Los AP típicamente tienen de 7 a 8 niveles de energía y cada nivel de energía divide la potencia de transmisión por la mitad. Esto significa que un lugar cómodo a ser es cuando los AP están utilizando el medio de su rango de potencia de transmisión permitido.

Según los cálculos de pérdida de espacio libre, las señales de 6 GHz se atenúan con 2 dB más que las de 5 GHz. Además, los obstáculos también pueden afectar más a las señales de 6 GHz que a sus equivalentes de 5 GHz.

Cuando un AP de Cisco aumenta/disminuye su potencia de transmisión en un nivel, lo hace mediante un "salto" de 3 dB. Un AP que pasa de un nivel de potencia de 4, con una potencia de transmisión de 11 dBm por ejemplo, a un nivel de potencia de 3, aumenta su potencia de transmisión a 14 dBm (11 dBm para el nivel de potencia 4 y 14 dBm para el nivel de potencia 3 son solo un ejemplo genérico, ya que diferentes modelos/generaciones de AP podrían tener valores de potencia de transmisión ligeramente diferentes en dBm para el mismo número de nivel de potencia).

Si un AP 6E/7 pre-Wi-Fi ya proporciona una buena cobertura a 5 GHz en el nivel de potencia 4, por ejemplo, un AP 6E/7 Wi-Fi más nuevo con patrones de radio similares de 5 GHz podría reemplazar ese AP anterior sin ningún impacto significativo en la red de 5 GHz existente.

Además, la radio de 6 GHz del nuevo punto de acceso Wi-Fi 6E/7 podría proporcionar una cobertura de 6 GHz similar a la de 5 GHz con solo estar en un nivel de potencia de transmisión (3 dB) superior.

Si 5 GHz ya está cubierto correctamente con la radio de 5 GHz del AP en 3-4 niveles de potencia por debajo de su máximo, la radio de 6 GHz correspondiente podría, por lo tanto, configurarse en 2-3 niveles de potencia por debajo de su máximo para una cobertura comparable.

Además, si la radio de 6 GHz ya proporciona una cobertura correcta con 2-3 niveles de potencia inferiores a su máximo, podría incluso aumentar excepcionalmente un par de niveles, por ejemplo, para intentar solucionar agujeros temporales de cobertura inesperados (fallo de un punto de acceso vecino, obstáculos no anunciados, nuevas necesidades de radiofrecuencia, etc.).

Comportamientos de roaming entre puntos de acceso 6E/7 anteriores a la conexión Wi-Fi y 6E/7 de Wi-Fi

La implementación de APs que admitan diferentes estándares y/o bandas de frecuencia en la misma área de cobertura no siempre ha sido una práctica recomendada, especialmente si esas diferentes generaciones de APs se instalan de una manera "salada y pimienta" (que se mezcla entre sí en la misma zona).

Mientras que un controlador inalámbrico podría manejar las operaciones (por ejemplo, asignación de canal dinámico, control de potencia de transmisión, distribución de caché PMK, etc.) desde un grupo de varios modelos de AP, los clientes que se mueven entre diferentes estándares e incluso diferentes bandas de frecuencia no siempre son capaces de manejar eso correctamente y es probable que se encuentren con problemas de roaming, por ejemplo.

Además, debido a los estándares más nuevos, los AP Wi-Fi 6E/7 soportan los cifrados GCMP256 para WPA3. Sin embargo, lo mismo no siempre podría ser cierto para algunos AP Wi-Fi 6 y modelos anteriores. Para los SSID de frase de paso/WPA3-Personal y de apertura/OWE mejorada, que requieren la configuración de los cifrados AES (CCMP128) y GCMP256, ciertos Wi-Fi 6 (como las series 9105, 9115 y 9120) no admiten GCMP256 y solo pueden ofrecer cifrados AES (CCMP128) a clientes asociados, incluidos los habilitados para Wi-Fi 6E/7. Si estos clientes Wi-Fi 6E/7 necesitaran itinerar desde/hacia los puntos de acceso Wi-Fi 6E/7 vecinos que admiten GCMP256, tendrían que pasar por una asociación completamente nueva, ya que la renegociación de los cifrados entre AES(CCMP128) y GCMP256 no es compatible con el roaming transparente. Además, en general, no es óptimo tener algunos AP que ofrecen nuevas capacidades y otros AP en la misma área que no ofrecen estas mismas capacidades : no permite a los clientes utilizar estas capacidades de forma segura mientras se desplazan y puede dar lugar a adhesividad o desconexiones.

Aunque este escenario debe representar un caso de esquina, queremos tener en cuenta que, con los cifrados GCMP256 configurados bajo la WLAN, el roaming de los clientes Wi-Fi 6E/7 entre los AP 9105/9115/9120 y los AP 9130/9124/916x/917x no puede ser posible, ya que estas últimas series soportan GCMP256 y las primeras no.

Los anchos de canal de 40 MHz o más en 6 GHz también pueden causar adhesividad para los clientes con capacidad de 6 GHz, que pueden negarse a volver a asociarse a otras bandas. Esta debe ser una razón más para no mezclar APs con capacidad para 6 GHz y APs sin capacidad para 6 GHz en la misma área de roaming.

Habilitación global de Wi-Fi 7

Al instalar o actualizar a una versión de IOS XE compatible con Wi-Fi 7, la compatibilidad predeterminada con Wi-Fi 7 está deshabilitada globalmente.

Para activarlo, debemos navegar por el menú de configuración de alto rendimiento de cada banda de 2,4/5/6 GHz y marcar la casilla para habilitar 11be.

Otra opción también podría ser ejecutar estas tres líneas de comandos a través de SSH/consola, en el modo de configuración de terminal:

ap dot11 24ghz dot11be

ap dot11 5ghz dot11be

ap dot11 6ghz dot11be

Como se menciona en la nota de advertencia, al intentar modificar estos parámetros, el cambio del estado de la compatibilidad con 802.11be produce una breve pérdida de conectividad para todos los clientes de las radios de los puntos de acceso Wi-Fi 7. Si desea hacer MLO, lo que significa que los clientes se conectan a varias bandas al mismo tiempo, debe habilitar 11be en todas las bandas a las que desea que se conecte el cliente. No es necesario habilitar en todas las bandas, pero se recomienda simplemente para el rendimiento.

Casos de uso

Redes 802.1X / WPA3-Enterprise

Las WLAN empresariales basadas en WPA2/3 con autenticación 802.1X son las más fáciles de migrar a 6 GHz o Wi-Fi 7.

Para activar el SSID 802.1X solo para 6 GHz es necesario activar la compatibilidad con PMF, incluso como opción, así como los AKM 802.1X-SHA256 y/o FT + 802.1X, ambos compatibles con WPA3.

Podemos seguir ofreciendo WPA2 con 802.1X (SHA1) estándar en la misma WLAN. La compatibilidad con Wi-Fi 7 requiere habilitar la protección de baliza y configurar PMF según sea necesario en lugar de opcionalmente. WPA2 802.1X (SHA1) puede permanecer presente en la WLAN como una opción de compatibilidad con versiones anteriores. Esto significa que puede tener todos los dispositivos corporativos bajo un solo SSID, siempre que sean compatibles con 802.11w/PMF, lo que es bastante común en las NIC inalámbricas actuales para portátiles y otros terminales móviles.

Desde un SSID WPA2 típico con estos parámetros de seguridad de capa 2:

Podemos migrar la configuración para admitir WPA3, 6 GHz y Wi-Fi 7, tal y como se muestra a continuación:

Frase de paso/redes WPA3-Personal/IoT

La activación de un SSID de frase de paso para 6 GHz, hasta la compatibilidad con Wi-Fi 6E, es sencilla y requiere SAE y/o FT + SAE, junto con otros AKM PSK WPA2 si es necesario. Sin embargo, para la compatibilidad con Wi-Fi 7, la certificación exige eliminar cualquier opción WPA2 PSK y agregar AKM SAE-EXT-KEY y/o FT + SAE-EXT-KEY, junto con el cifrado GCMP256. Por lo tanto, no es posible tener una WLAN basada en una frase de contraseña con compatibilidad máxima para clientes más antiguos y rendimiento Wi-Fi 7.

En estos casos, necesitamos configurar un SSID exclusivo WPA3 con SAE, FT + SAE, SAE-EXT-KEY y FT + SAE-EXT-KEY, que ofrezca los cifrados AES (CCMP128) y GCMP256, para clientes Wi-Fi 6E y Wi-Fi 7 más recientes.

Nota: Si (FT +) SAE está activado en la WLAN y un cliente Wi-Fi 7 intenta asociarse con él en lugar de (FT +) SAE-EXT-KEY, se rechaza. Siempre que (FT +) SAE-EXT-KEY también esté habilitado, los clientes Wi-Fi 7 deben utilizar este último AKM y este problema no debe ocurrir.

Por otra parte, otro SSID WPA2 normal puede seguir alojando a los clientes heredados restantes.

Aunque esta combinación aumenta la cantidad total de SSID, permite mantener la máxima compatibilidad en un SSID, donde también podemos desactivar potencialmente otras funciones avanzadas que podrían afectar la compatibilidad y que podrían ser útiles para muchos escenarios de IoT, al tiempo que ofrece el máximo de características y rendimiento a los dispositivos más recientes a través del otro SSID.

Una opción más podría ser, por supuesto, no ofrecer el SSID Wi-Fi 7 y mantener solo uno configurado para WPA2 PSK y WPA3 SAE. La idea subyacente podría ser que los dispositivos de IoT no pueden necesitar el rendimiento de Wi-Fi 7.

De todas formas, este enfoque seguiría admitiendo 6 GHz para clientes con capacidad Wi-Fi 6E y Wi-Fi 7, que podrían conectarse con rendimiento Wi-Fi 6E en el mejor de los casos.

En todos estos casos, se recomienda encarecidamente habilitar FT al utilizar SAE. El intercambio de tramas SAE es costoso en términos de recursos y más largo que el protocolo de enlace de 4 vías WPA2 PSK.

Algunos fabricantes de dispositivos como Apple esperan utilizar SAE solo cuando FT está habilitado y pueden negarse a conectarse si no están disponibles.

Redes abiertas/abiertas mejoradas/OWE/invitados

Las redes para invitados tienen muchos sabores. Normalmente, no requieren credenciales ni frase de contraseña 802.1X para conectarse y posiblemente implican una página de bienvenida o un portal, que pueden requerir credenciales o un código. Tradicionalmente, esto se gestiona con un SSID abierto y soluciones de portal de invitados locales o externos. Sin embargo, los SSID con seguridad abierta (sin encriptación) no están permitidos en 6 GHz ni son compatibles con Wi-Fi 7.

Un primer enfoque muy conservador sería dedicar las redes de invitados a la banda de 5 GHz y Wi-Fi 6, en el mejor de los casos. Esto deja la banda de 6 GHz reservada para los dispositivos corporativos, soluciona el problema de complejidad y ofrece la máxima compatibilidad, aunque no llega hasta el rendimiento de Wi-Fi 6E/7.

Si deseamos proporcionar un servicio de 6 GHz a los invitados, se recomienda crear un SSID independiente con Enhanced Open / OWE (cifrado inalámbrico oportunista). Podría ofrecer cifrado AES (CCMP128), para una compatibilidad máxima hasta clientes Wi-Fi 6E, así como bits GCMP256 para clientes con capacidad Wi-Fi 7.

Si, por un lado, Enhanced Open es un excelente método de seguridad que ofrece privacidad mientras mantiene la experiencia de "apertura" (los usuarios finales no necesitan introducir ninguna frase de contraseña o credencial 802.1X), hasta el día de hoy sigue teniendo una compatibilidad limitada entre los terminales. Algunos clientes siguen sin admitirlo e, incluso cuando lo hacen, esta técnica no siempre se gestiona sin problemas (el dispositivo puede mostrar la conexión como no segura, mientras que en realidad es segura, o puede mostrarla como protegida por una frase de paso, incluso si no se necesita ninguna frase de paso con OWE). Se espera que una red para invitados funcione en todos los dispositivos no controlados para invitados. Puede que sea demasiado pronto para proporcionar un SSID abierto mejorado y se recomienda proporcionar ambas opciones a través de SSID independientes: una abierta a 5 GHz y una OWE habilitada a 5 y 6 GHz, ambas con el mismo portal cautivo detrás si esto también es un requisito. El modo de transición no es compatible con Wi-Fi 6E, 6 GHz (aunque todavía se puede permitir en el software) o Wi-Fi 7, por lo que no es una solución recomendada. Todas las técnicas de redirección del portal (autenticación web interna o externa, autenticación web central, ...) siguen siendo compatibles con OWE.

WPA3 adicional y opciones relacionadas

Aunque las opciones de WPA3 se describen mejor y se tratan en la guía de implementación de WPA3, en esta sección se tratan algunas recomendaciones adicionales para WPA3 relacionadas específicamente con la compatibilidad con 6 GHz y Wi-Fi 7.

Protección de baliza

Se trata de una función que soluciona la vulnerabilidad, en la que un atacante malintencionado puede transmitir balizas en lugar del punto de acceso legítimo, al tiempo que modifica algunos campos para cambiar la seguridad u otras configuraciones de clientes ya asociados. La protección de la baliza es un elemento de información adicional de la baliza que actúa como firma de la propia baliza para demostrar que la ha enviado el punto de acceso legítimo y que no se ha manipulado. Sólo los clientes asociados con una clave de cifrado WPA3 pueden verificar la legitimidad de la baliza; los clientes de sondeo no disponen de medios para verificarla. Los clientes que no lo admiten (clientes que no son Wi-Fi 7) deben ignorar el elemento de información adicional de la baliza y normalmente no representa un problema de compatibilidad (a menos que se trate de un controlador de cliente mal programado).

GCMP256

Hasta la certificación Wi-Fi 7, la mayoría de los clientes implementaban el cifrado AES (CCMP128). CCMP256 y GCMP256 son variantes muy específicas relacionadas con SUITE-B 802.1X AKM. Aunque algunas primeras generaciones de clientes Wi-Fi 7 en el mercado afirman que son compatibles con Wi-Fi 7, es posible que todavía no implementen el cifrado GCMP256, que puede convertirse en un problema si los puntos de acceso Wi-Fi 7 que aplican el estándar como se esperaba impiden que estos clientes se conecten sin el soporte GCMP256 adecuado.

Solucionar problemas y comprobar

La última versión de Wireless Configuration Analyzer Express (https://developer.cisco.com/docs/wireless-troubleshooting-tools/wireless-config-analyzer-express-gui/) incluye una comprobación de preparación para Wi-Fi 7 que evalúa la configuración 9800 para todos los requisitos de Wi-Fi 7 mencionados anteriormente.

Si aún tiene dudas sobre si su configuración está preparada para Wi-Fi 7, WCAE le permite saber qué es lo que está mal.

Referencias