Comprensione dei roaming veloci 802.11r/11k/11v su 9800 WLC

Introduzione

In questo documento vengono descritti i diversi risultati dei metodi di roaming veloce attivati/disattivati sui client wireless.

Prerequisiti 

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Nozioni fondamentali sulle WLAN IEEE 802.11. 
• Sicurezza WLAN IEEE 802.11. 
• Nozioni di base di IEEE 802.1X/EAP 
• Transizione rapida BSS IEEE 802.11r.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Cisco Wireless 9800-L Controller IOS® XE 17.9.4
• Access point Cisco Catalyst serie 9130AXI. 

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Questo documento aiuta a comprendere la differenza quando si attivano i protocolli 802.11r, 802.11v e 802.11k su un controller wireless 9800. Viene inoltre illustrato l'impatto sui client quando vengono disattivati.

802.11r, 802.11v e 802.11k sono tutti standard o modifiche differenti della famiglia di protocolli di rete wireless 802.11.

802.11r: è la transizione rapida tra set di servizi di base che introduce un nuovo concetto in cui l'handshake iniziale con un nuovo access point viene eseguito prima che il client esegua il roaming verso il punto di accesso di destinazione. È particolarmente utile in ambienti in cui la connettività ininterrotta è fondamentale, come ad esempio nelle applicazioni di streaming voce su IP o in tempo reale con monitor video o a flusso costante. Con una rete 802.11r ottimizzata, i dispositivi possono spostarsi tra i punti di accesso senza subire interruzioni significative o cali nella connettività di rete.

802.11k: Neighbor List and Assisted Roam (Radio Resource Measurement) sfrutta le funzionalità di gestione delle risorse radio per migliorare le prestazioni complessive e l'affidabilità delle reti wireless. Ottimizza le risorse radio disponibili dove i punti di accesso raccolgono e condividono informazioni sul proprio ambiente radio. Queste informazioni includono l'utilizzo dei canali, la potenza del segnale e i livelli di interferenza. Può quindi essere utilizzato dai dispositivi client per prendere decisioni più informate su quale punto di accesso connettersi, il che si traduce in un migliore bilanciamento del carico, minori interferenze e una maggiore efficienza della rete.

802.11v: Risparmio energia basato su rete che aiuta i client a migliorare la durata della batteria, consentendo loro di dormire più a lungo. Si concentra inoltre su come migliorare l'efficienza e la gestione delle reti wireless. Ciò a sua volta consente un migliore controllo e coordinamento tra l'infrastruttura di rete e i dispositivi client quando i client sono in roaming. Le caratteristiche principali sono i report sui router adiacenti, le transizioni dei set di servizi, il bilanciamento del carico e il risparmio energia basato sulla rete. Queste funzionalità migliorano l'individuazione, la selezione e il monitoraggio della rete client. Consente inoltre ai punti di accesso di incoraggiare i dispositivi client a effettuare il roaming invece di attendere che il dispositivo prenda una decisione di roaming.

Mentre lo standard 802.11r è incentrato sulla transizione senza interruzioni tra i punti di accesso, lo standard 802.11v mira a migliorare le funzionalità di gestione della rete. Lo standard 802.11k è progettato per ottimizzare l'utilizzo delle risorse radio al fine di migliorare le prestazioni e l'affidabilità.

Alcune affermazioni di questo documento sono tratte dal libro Comprensione e risoluzione dei problemi dei Cisco Catalyst serie 9800 Wireless Controller Capitolo 6, sezione roaming 802.11. 

Roam di sicurezza di livello superiore

Quando il SSID è configurato con la protezione di livello superiore L2 oltre all'autenticazione di base 802.11 Open System, sono necessari più frame per l'associazione iniziale e quando i client eseguono il roaming. I due metodi di sicurezza più comuni standardizzati e implementati per le WLAN 802.11 sono:

• WPA/WPA2/WPA3 Personale: PSK utilizzato per autenticare i client. 
• WPA/WPA2/WPA3 Enterprise: il metodo EAP (Extensible Authentication Protocol) e 802.1x vengono utilizzati per autenticare i client wireless, ovvero per convalidare le credenziali utente (nome utente e password), i certificati o i token tramite un server AAA.

In questo documento, WPA2 Enterprise WLAN può essere usato con EAP-PEAP per mostrare la differenza nell'uso dei protocolli IEEE (802.11r, 802.11k e 802.11v) e come potrebbe influenzare i tentativi di roaming wireless. 

SSID con protocolli di roaming veloce abilitati (802.11r, 802.11k e 802.11v)

Per impostazione predefinita, nella configurazione WLAN predefinita tutti i protocolli sono abilitati. In laboratorio, il client wireless tenta di effettuare il roaming tra punti di accesso 9130. Poiché si dispone della configurazione predefinita della WLAN, in altre parole, il roaming veloce è abilitato oltre agli switch 802.11v e 802.11k, il roaming dovrebbe essere uniforme. Di seguito è riportato un esempio di un'acquisizione OTA over-the-air per un evento di roaming:

Tracce RA per questo evento di roaming:

2023/09/19 21:54:25.912523930 {wncd_x_R0-0}{1}: [client-orch-sm] [15403]: (note): MAC: 62be.a38b.07c5 Re-Association received. BSSID 1416.9d7f.a22e, WLAN Roaming-Enabled, Slot 1 AP 1416.9d7f.a220, Rosalia-9130-1, old BSSID f01d.2d49.dacf
!--- Reassociation Request is received from the client. 

2023/09/19 21:54:25.912882280 {wncd_x_R0-0}{1}: [dot11-validate] [15403]: (info): MAC: 62be.a38b.07c5 Dot11 validate dot11r pmkid. 11r PMKID match found
!--- Since 802.11r is enabled, WLC/AP were able to validate/use the PMKID 

Quando lo standard 802.11r è abilitato, l'handshake iniziale con un nuovo access point viene eseguito prima che il client esegua il roaming al punto di accesso di destinazione. Questo concetto è denominato Fast Transition. L'handshake iniziale consente a un client e ai punti di accesso di eseguire in anticipo il calcolo Pairwise Transient Key (PTK). Le seguenti chiavi PTK vengono applicate al client e ai punti di accesso dopo che il client ha risposto alla richiesta di riassociazione o allo scambio con il nuovo access point di destinazione:

2023/09/19 21:54:25.913247615 {wncd_x_R0-0}{1}: [dot11] [15403]: (note): MAC: 62be.a38b.07c5 Association success. AID 2, Roaming = True, WGB = False, 11r = True, 11w = False Fast roam = True
!--- Reassociation Response is sent to the client. 

2023/09/19 21:53:59.692212232 {wncd_x_R0-0}{1}: [client-orch-state] [15403]: (note): MAC: 62be.a38b.07c5 Client state transition: S_CO_IP_LEARN_IN_PROGRESS -> S_CO_RUN
!--- Client took an IP address and moved to run state. 

SSID con protocolli di roaming veloce disabilitati (802.11r, 802.11k e 802.11v)

In questo scenario, tutti i protocolli sono disabilitati su un SSID 802.1x; in questo caso, il client usa un'autenticazione completa ogni volta che il client wireless passa da un punto di accesso all'altro. La figura seguente mostra un esempio di scambio over-the-air in cui è possibile vedere che il client non può ignorare lo scambio EAP. Pertanto, è stata eseguita una riautenticazione completa perché nessuno dei metodi di roaming veloce è abilitato: 

Protocolli Over-The-Air Disabilitati

Di seguito è riportato un riepilogo delle tracce RA del controller per questo evento di roaming:

2023/09/19 21:44:47.425575500 {wncd_x_R0-0}{1}: [client-orch-sm] [15403]: (note): MAC: a2ca.9de1.87c9 Re-Association received. BSSID 1416.9d7f.a22f, WLAN Roaming-Disabled, Slot 1 AP 1416.9d7f.a220, Rosalia-9130-1, old BSSID f01d.2d49.dace
!--- Reasscoiation Request is received from the client. 

2023/09/19 21:44:47.425980179 {wncd_x_R0-0}{1}: [dot11-validate] [15403]: (ERR): MAC: a2ca.9de1.87c9 Failed to Dot11 validate dot11i pmkids. No matching pmkid for the pmk available in cache.
!--- Since none of the roam methods are enabled, WLC/AP could not find any PMKID available. 

2023/09/19 21:44:47.426252733 {wncd_x_R0-0}{1}: [dot11] [15403]: (note): MAC: a2ca.9de1.87c9 Association success. AID 1, Roaming = True, WGB = False, 11r = False, 11w = False Fast roam = False
!--- Reasscoiation Response is sent to the client. 

2023/09/19 21:44:47.444466744 {wncd_x_R0-0}{1}: [dot1x] [15403]: (info): [a2ca.9de1.87c9:capwap_90000002] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 5, EAP-Type = Identity
2023/09/19 21:44:47.444469338 {wncd_x_R0-0}{1}: [dot1x] [15403]: (info): [a2ca.9de1.87c9:capwap_90000002] EAP Packet - REQUEST, ID : 0x1

2023/09/19 21:44:47.444481064 {wncd_x_R0-0}{1}: [dot1x] [15403]: (info): [a2ca.9de1.87c9:capwap_90000002] EAPOL packet sent to client
2023/09/19 21:44:47.471913767 {wncd_x_R0-0}{1}: [dot1x] [15403]: (info): [a2ca.9de1.87c9:capwap_90000002] Received EAPOL packet - Version : 1,EAPOL Type : EAP, Payload Length : 13, EAP-Type = Identity
2023/09/19 21:44:47.471916029 {wncd_x_R0-0}{1}: [dot1x] [15403]: (info): [a2ca.9de1.87c9:capwap_90000002] EAP Packet - RESPONSE, ID : 0x1

2023/09/19 21:44:47.475646582 {wncd_x_R0-0}{1}: [radius] [15403]: (info): RADIUS: Received from id 1812/103 10.201.234.195:0, Access-Challenge, len 129

2023/09/19 21:44:47.627108647 {wncd_x_R0-0}{1}: [dot1x] [15403]: (info): [a2ca.9de1.87c9:capwap_90000002] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 39, EAP-Type = PEAP

2023/09/19 21:44:47.627110791 {wncd_x_R0-0}{1}: [dot1x] [15403]: (info): [a2ca.9de1.87c9:capwap_90000002] EAP Packet - REQUEST, ID : 0x5c

2023/09/19 21:44:47.631319121 {wncd_x_R0-0}{1}: [dot1x] [15403]: (info): [a2ca.9de1.87c9:capwap_90000002] EAP Packet - RESPONSE, ID : 0x5c

2023/09/19 21:44:47.657492378 {wncd_x_R0-0}{1}: [radius] [15403]: (info): RADIUS: Received from id 1812/183 10.201.234.195:0, Access-Accept, len 297

2023/09/19 21:44:47.657840708 {wncd_x_R0-0}{1}: [dot1x] [15403]: (info): [a2ca.9de1.87c9:capwap_90000002] Received an EAP Success
!--- Full Reauthentication EAP exchange packets.

2023/09/19 21:44:47.658787303 {wncd_x_R0-0}{1}: [client-keymgmt] [15403]: (info): MAC: a2ca.9de1.87c9 EAP key M1 Sent successfully

2023/09/19 21:44:47.662831295 {wncd_x_R0-0}{1}: [client-keymgmt] [15403]: (info): MAC: a2ca.9de1.87c9 M2 Status: EAP key M2 validation success

2023/09/19 21:44:47.662931971 {wncd_x_R0-0}{1}: [client-keymgmt] [15403]: (info): MAC: a2ca.9de1.87c9 EAP key M3 Sent successfully

2023/09/19 21:44:47.665864464 {wncd_x_R0-0}{1}: [client-keymgmt] [15403]: (info): MAC: a2ca.9de1.87c9 M4 Status: EAP key M4 validation is successful
!--- 4-way handshake in order to compute the PTK/GTK keys. 

SSID con 802.11k abilitato

Lo standard 802.11k consente ai client di richiedere un report sui router adiacenti contenente informazioni sugli access point idonei per un roaming all'interno del set di servizi. In questo modo i client possono evitare la scansione RF passiva o attiva prima che decidano di passare a un punto di accesso diverso. Il modello C9800 supporta una funzione denominata roami assistito da 11k, che consente di creare e distribuire ai client 802.11k un elenco ottimizzato di router adiacenti. L'elenco di router adiacenti 802.11k viene generato su richiesta e può essere diverso per due client su access point diversi, in quanto il WLC considererebbe la relazione di RF tra il singolo client e gli access point circondati.

I client che non supportano il protocollo 82.11k non inviano richieste di elenco dei router adiacenti. In questo modo è possibile ottimizzare la previsione per tali client. Di conseguenza, un elenco di router adiacenti viene archiviato nella struttura di dati del software della stazione mobile su C9800.

I client inviano le richieste per gli elenchi di router adiacenti solo dopo l'associazione ai punti di accesso che annunciano l'elemento di informazioni sulle funzionalità RM (IE) nel beacon. La figura seguente mostra un esempio di frame in azione 802.11k dopo che il client è stato associato al punto di accesso: 

Rapporto Over-The-Air Neighbor

SSID con 802.11v abilitato

Con lo standard 802.11v, i due principali miglioramenti apportati alla gestione delle reti wireless includono:

I frame di gestione della transizione BSS 802.11v vengono scambiati in tre scenari: 

1. Richiesta sollecitata: prima della transizione a un nuovo punto di accesso, il client è in grado di inviare una query di gestione della transizione BSS 802.11v per individuare le migliori opzioni dei punti di accesso a cui riassociarsi e l'access point corrente a cui il client è connesso, rispondere con una richiesta di gestione della transizione BSS che fornisce l'elenco dei punti di accesso candidati a cui effettuare il roaming.

2. Richiesta di bilanciamento del carico non richiesta: funzionalità che consente all'access point di bilanciare il carico tra i client sullo stesso controller per evitare il sovraccarico dell'access point. Quando il numero di client supera la soglia di bilanciamento del carico configurata per un punto di accesso, qualsiasi nuovo client che tenti di associarsi all'punto di accesso viene rifiutato con una risposta di associazione con stato 17 (punto di accesso occupato). In genere, i client non autorizzati tentano di associarsi allo stesso access point caricato anche dopo che il client ha ricevuto un rifiuto di associazione, ovvero se dal punto di vista RSSI l'access point è l'opzione migliore. Si considerino, ad esempio, 40 utenti in una sala conferenze servita da un unico punto di accesso. Con una query 802.11v BSS Transition Management, un errore di bilanciamento del carico può essere gestito in modo più efficiente quando l'access point invia un elenco di access point candidati a cui effettuare il roaming. 

3. Richiesta di roaming ottimizzata non richiesta: i client wireless devono eseguire la scansione di RF e il roaming verso l'access point con il segnale più alto. Tuttavia, alcuni client hanno un comportamento permanente quando rimangono con l'access point a cui sono associati, anche quando un access point vicino fornisce un segnale più forte. Questo problema è noto come problema del client permanente. Per risolvere questo problema, il controller 9800 supporta una funzione denominata roaming ottimizzato in cui vengono monitorati gli RSSI dei pacchetti di dati e della velocità dei dati del client e il client viene disassociato in modo proattivo. La richiesta di gestione della transizione BSS 802.11v migliora il roaming ottimizzato che comunica al client l'imminente dissociazione e fornisce un elenco di access point a cui effettuare il roaming.

Una richiesta di gestione della transizione BSS 802.11v che, quando inviata da un punto di accesso a un client, è solo un suggerimento. Il cliente può accettare il suggerimento o ignorarlo. Il controller wireless 9800 fornisce un'opzione di configurazione denominata Imminent Disassociation che consente di forzare i client a dissociarsi se il client non si riassocia a un altro access point entro un intervallo di tempo definito. è possibile configurarla solo dalla CLI con il comando bss-transition disassociation-imminent in uno specifico profilo WLAN.

Informazioni correlate

• Transizione rapida BSS 802.11r
• Elenco router adiacenti e roaming assistito 802.11k
• 802.11v BSS
• Supporto tecnico Cisco e download