Contents

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Descrição

Etapas

Detalhes do Lab Repro

FLUXO DE DÉBITO

Quadro original de beacon

Beacons de SSID ocultos

Solicitação de Investigação enviada do cliente para o SSID de Transição OWE

Resposta de sondagem enviada do AP para o cliente

autenticação OPEN

Solicitação de Associação do cliente para o AP

Resposta de associação enviada do AP para o cliente

Intercâmbio de chave

Autenticação L2 Bem-sucedida

Estado de aprendizagem IP

Cliente no estado EXECUTAR

Clientes sem suporte para criptografia OWE

Informações sobre a transição rápida

OWE não é suportado com PSK/dot1x

Troubleshooting

RA Trace e EPC (Captura de PAcket Incorporada)

AIR PCAP

Roaming

Introdução

Este documento descreve o fluxo de transição OWE e como ele funciona no Catalyst 9800 Wireless LAN Controller (WLC).

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Como configurar a WLC 9800, o ponto de acesso (AP) para operação básica

- Como configurar perfis de WLAN e de política.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- C9800-80, Cisco IOS® XE 17.12.4 e também testado no Cisco IOS® XE 17.9.6

- Modelo de AP: C9136I, verificado nos modos de conexão local e flexível.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Descrição

- OWE (Opportunistic Wireless Encryption) é uma extensão do IEEE 802.11 que fornece criptografia para o meio sem fio. A finalidade da autenticação baseada em OWE é evitar a conectividade sem fio aberta e não segura entre o AP e os clientes.

- O OWE usa a criptografia baseada em algoritmos Diffie-Hellman para configurar a criptografia sem fio.

- Com o OWE, o cliente e o AP executam uma troca de chave Diffie-Hellman durante o procedimento de acesso e usam o segredo resultante em pares com o handshake de 4 vias.

- O uso do OWE melhora a segurança da rede sem fio para implantações em que redes abertas ou compartilhadas baseadas em PSK são implantadas.

Etapas

1. Configure uma WLAN ABERTA sem qualquer criptografia/segurança e habilite a transmissão.

2. Configure outro SSID com configurações de segurança OWE e mapeie o número de ID de WLAN OPEN no modo de transição-wlan-id. Desabilite a opção de SSID de transmissão neste SSID de transição OWE.

3. Mapeie o número de ID da WLAN de transição OWE no campo OPEN WLAN "transition-mode-wlan-id".

Detalhes do Lab Repro

- Nome do SSID aberto: OPEN-OWE

- Nome do SSID de transição OWE: Transição OWE

- BSSID de OPEN-OWE: 40:ce:24:dd:2e:87

- BSSID de OWE-Transition: 40:ce:24:dd:2e:8f

FLUXO DE DÉBITO

1. Os beacons podem ser transmitidos para o SSID ABERTO. Você pode vê-lo por seu nome SSID no AIR PCAP.

2. Também podemos ver o SSID habilitado para segurança oculta com o nome "Curinga" em vez de seu próprio nome SSID no AIR PCAP.

3. Quando os clientes receberem o quadro beacon para o SSID ABERTO, se ele tiver ou suportar o OWE, ele poderá começar a enviar a solicitação de sondagem para o SSID de transição do OWE (que é o SSID com segurança ativada em vez do SSID ABERTO).

4. Os clientes compatíveis com OWE podem obter resposta de sondagem do SSID de transição.

5. A autenticação OPEN pode ocorrer entre o cliente e o AP.

6. O cliente pode enviar uma solicitação de associação ao AP com detalhes de troca de chave DH e usar o segredo resultante em pares para o handshake de 4 vias.

7. O AP pode enviar a resposta da associação.

8. O handshake de quatro vias pode acontecer entre o AP e o dispositivo do cliente.

9. Após o gerenciamento bem-sucedido de chaves, a L2 PSK pode ser bem-sucedida.

10. O cliente pode obter o IP de DHCP, ARP, etc.

11. O cliente pode ir para o estado EXECUTAR.

12. Se os dispositivos cliente não estiverem suportando OWE, ele poderá enviar a solicitação de sondagem para o próprio SSID OPEN e poderá obter diretamente o IP do que poderá ir para o estado RUN.

Quadro original de beacon

- Aqui, AIR PCAP mostra isso, o SSID "OPEN-OWE" broadcast (Quadro de Beacon). Que contém detalhes do SSID de transição e é chamado de "OWE-Transition".

Imagem-1: Quadro de beacon do SSID ABERTO

Beacons de SSID ocultos

- De acordo com a configuração da WLAN, a "transmissão" está desabilitada para esse SSID de "transição OWE". No entanto, você pode ver beacons de SSID ocultos no AIR PCAP que contêm o nome de SSID "Curinga". No entanto, se você verificar esse pacote, ele conterá detalhes de OWE-Transition.

- Obtenha o BSSID do SSID oculto usando este pacote, como "40:ce:24:dd:2e:8f" e pesquise-o na captura de pacotes.

- Nesse pacote, ele mostra que o SSID está "ausente" e contém seu SSID de transição como "OPEN-OWE" e seu BSSID "40:ce:24:dd:2e:87".

Imagem-2: SSID oculto - Transição OWE

Solicitação de Investigação enviada do cliente para o SSID de Transição OWE

- Com base no quadro de beacon SSID "OPEN-OWE", o cliente passa a conhecer os outros detalhes do SSID que precisa conectar; nesse cenário, é "OWE-Transition". Se o cliente for capaz de suportar a criptografia OWE, ele poderá enviar a solicitação de sondagem para o SSID "OWE-Transition" e obter uma resposta.

- Solicitação de sondagem enviada para OWE-Transition BSSID "40:ce:24:dd:2e:8f" e obteve uma resposta. Dentro desse pacote de resposta de sondagem também, você pode ver detalhes do SSID OPEN-OWE.

Imagem 3: Solicitação de Sondagem

Resposta de sondagem enviada do AP para o cliente

- O cliente recebeu uma resposta de sondagem para o SSID "OWE-Transition", no entanto, ele tem seus detalhes de SSID originais "OPEN-OWE" na WiFi Alliance.

Imagem-4: Resposta da Sondagem

autenticação OPEN

- Depois de obter a resposta da sonda, a autenticação OPEN pode acontecer entre o cliente e o AP para verificar os detalhes/capacidades wifi dos clientes, antes da associação.

Imagem 5: ABRIR autenticação após investigação bem-sucedida

Solicitação de Associação do cliente para o AP

- Neste pacote, observe que o cliente pode estar anexando o valor do parâmetro Diffie-Hellman para criptografia.

Imagem-6: Solicitação de Associação

- No rastreamento de RA, você pode começar a ver os logs de cliente da fase de Associação,

2025/01/21 15:21:57.391071821 {wncd_x_R0-0}{1}: [client-orch-sm] [21675]: (note): MAC: ee13.e8a8.cd5b  Association received. BSSID 40ce.24dd.2e8f, WLAN OWE-Transition, Slot 1 AP 40ce.24dd.2e80, APA023.9F66.1B3C, Site tag default-site-tag, Policy tag default-policy-tag, Policy profile OWE-Policy, Switching Central, Socket delay 0ms

2025/01/21 15:21:57.391117645 {wncd_x_R0-0}{1}: [client-orch-sm] [21675]: (debug): MAC: ee13.e8a8.cd5b  Received Dot11 association request. Processing started,SSID: OWE-Transition, Policy profile: OWE-Policy, AP Name: APA023.9F66.1B3C, Ap Mac Address: 40ce.24dd.2e80BSSID MAC0000.0000.0000wlan ID: 36RSSI: -42, SNR: 49

Resposta de associação enviada do AP para o cliente

Imagem-7: Resposta da associação

2025/01/21 15:21:57.391334260 {wncd_x_R0-0}{1}: [client-orch-state] [21675]: (note): MAC: ee13.e8a8.cd5b  Client state transition: S_CO_INIT -> S_CO_ASSOCIATING

2025/01/21 15:21:57.392296819 {wncd_x_R0-0}{1}: [dot11] [21675]: (note): MAC: ee13.e8a8.cd5b  Association success. AID 1, Roaming = False, WGB = False, 11r = False, 11w = True Fast roam = False

Intercâmbio de chave

O handshake de 4 vias pode acontecer entre o AP e o dispositivo do cliente.

Key-1 enviado por AP

Key-2 enviada pelo cliente

Key-3 enviada pelo AP

Key-4 enviado pelo cliente

Imagem-8: Handshake em quatro vias

2025/01/21 15:21:57.392538716 {wncd_x_R0-0}{1}: [client-orch-sm] [21675]: (debug): MAC: ee13.e8a8.cd5b  Starting L2 authentication. Bssid in state machine:40ce.24dd.2e8f  Bssid in request is:40ce.24dd.2e8f

2025/01/21 15:21:57.392557538 {wncd_x_R0-0}{1}: [client-orch-state] [21675]: (note): MAC: ee13.e8a8.cd5b  Client state transition: S_CO_ASSOCIATING -> S_CO_L2_AUTH_IN_PROGRESS

2025/01/21 15:21:57.392640494 {wncd_x_R0-0}{1}: [client-auth] [21675]: (note): MAC: ee13.e8a8.cd5b  L2 Authentication initiated. method PSK, Policy VLAN 1417, AAA override = 0, NAC = 0

2025/01/21 15:21:57.394830551 {wncd_x_R0-0}{1}: [client-auth] [21675]: (info): MAC: ee13.e8a8.cd5b  Client auth-interface state transition: S_AUTHIF_AWAIT_PSK_AUTH_START_RESP -> S_AUTHIF_PSK_AUTH_PENDING

2025/01/21 15:21:57.395171903 {wncd_x_R0-0}{1}: [client-auth] [21675]: (info): MAC: ee13.e8a8.cd5b  Client auth-interface state transition: S_AUTHIF_PSK_AUTH_PENDING -> S_AUTHIF_ADD_MOBILE_ACK_WAIT_KM

2025/01/21 15:21:57.420590731 {wncd_x_R0-0}{1}: [client-auth] [21675]: (info): MAC: ee13.e8a8.cd5b  Client auth-interface state transition: S_AUTHIF_ADD_MOBILE_ACK_WAIT_KM -> S_AUTHIF_PSK_AUTH_KEY_XCHNG_PENDING

2025/01/21 15:21:57.420706435 {wncd_x_R0-0}{1}: [client-keymgmt] [21675]: (info): MAC: ee13.e8a8.cd5b  EAP key M1 Sent successfully

2025/01/21 15:21:57.420775720 {wncd_x_R0-0}{1}: [client-keymgmt] [21675]: (info): MAC: ee13.e8a8.cd5b  Client key-mgmt state transition: S_INITPMK -> S_PTK_START

2025/01/21 15:21:57.426548998 {wncd_x_R0-0}{1}: [client-keymgmt] [21675]: (info): MAC: ee13.e8a8.cd5b   M2 Status: EAP key M2 validation success

2025/01/21 15:21:57.426725965 {wncd_x_R0-0}{1}: [client-keymgmt] [21675]: (info): MAC: ee13.e8a8.cd5b  EAP key M3 Sent successfully

2025/01/21 15:21:57.426727805 {wncd_x_R0-0}{1}: [client-keymgmt] [21675]: (info): MAC: ee13.e8a8.cd5b  Client key-mgmt state transition: S_PTK_START -> S_PTKINITNEGOTIATING

2025/01/21 15:21:57.434078994 {wncd_x_R0-0}{1}: [client-keymgmt] [21675]: (info): MAC: ee13.e8a8.cd5b  M4 Status: EAP key M4 validation is successful

2025/01/21 15:21:57.434099154 {wncd_x_R0-0}{1}: [client-keymgmt] [21675]: (note): MAC: ee13.e8a8.cd5b  EAP Key management successful. AKM:OWE Cipher:CCMP WPA Version: WPA3

Autenticação L2 Bem-sucedida

2025/01/21 15:21:57.434111288 {wncd_x_R0-0}{1}: [client-keymgmt] [21675]: (info): MAC: ee13.e8a8.cd5b  Client key-mgmt state transition: S_PTKINITNEGOTIATING -> S_PTKINITDONE

2025/01/21 15:21:57.434250308 {wncd_x_R0-0}{1}: [client-auth] [21675]: (note): MAC: ee13.e8a8.cd5b  L2 PSK Authentication Success. EAP type: NA, Resolved VLAN: 1417, Audit Session id: 0000000000001BBA88469FD1

2025/01/21 15:21:57.434286035 {wncd_x_R0-0}{1}: [client-auth] [21675]: (info): MAC: ee13.e8a8.cd5b  Client auth-interface state transition: S_AUTHIF_PSK_AUTH_KEY_XCHNG_PENDING -> S_AUTHIF_PSK_AUTH_DONE

2025/01/21 15:21:57.434308953 {wncd_x_R0-0}{1}: [client-orch-sm] [21675]: (debug): MAC: ee13.e8a8.cd5b  L2 Authentication of station is successful., L3 Authentication : 0

Estado de aprendizagem IP

2025/01/21 15:21:57.434789679 {wncd_x_R0-0}{1}: [client-orch-sm] [21675]: (note): MAC: ee13.e8a8.cd5b  Mobility discovery triggered. Client mode: Local

2025/01/21 15:21:57.436611026 {wncd_x_R0-0}{1}: [client-orch-state] [21675]: (note): MAC: ee13.e8a8.cd5b  Client state transition: S_CO_MOBILITY_DISCOVERY_IN_PROGRESS -> S_CO_DPATH_PLUMB_IN_PROGRESS

2025/01/21 15:21:57.437239513 {wncd_x_R0-0}{1}: [client-orch-state] [21675]: (note): MAC: ee13.e8a8.cd5b  Client state transition: S_CO_DPATH_PLUMB_IN_PROGRESS -> S_CO_IP_LEARN_IN_PROGRESS

2025/01/21 15:21:57.437508189 {wncd_x_R0-0}{1}: [client-iplearn] [21675]: (info): MAC: ee13.e8a8.cd5b  IP-learn state transition: S_IPLEARN_INIT -> S_IPLEARN_IN_PROGRESS

2025/01/21 15:21:57.534166453 {wncd_x_R0-0}{1}: [sisf-packet] [21675]: (info): TX: DHCPv4 from interface capwap_90000016 on vlan 1417 Src MAC: ee13.e8a8.cd5b Dst MAC: ffff.ffff.ffff src_ip: 0.0.0.0, dst_ip: 255.255.255.255, BOOTPREQUEST, SISF_DHCPREQUEST, giaddr: 0.0.0.0, yiaddr: 0.0.0.0, CMAC: ee13.e8a8.cd5b

2025/01/21 15:21:57.535325325 {wncd_x_R0-0}{1}: [client-iplearn] [21675]: (note): MAC: ee13.e8a8.cd5b  Client IP learn successful. Method: DHCP IP: 10.107.81.254

2025/01/21 15:21:57.535874658 {wncd_x_R0-0}{1}: [sisf-packet] [21675]: (info): TX: DHCPv4 from interface Tw0/0/1 on vlan 1417 Src MAC: 4cec.0fde.a4c1 Dst MAC: ee13.e8a8.cd5b src_ip: 10.107.81.1, dst_ip: 10.107.81.254, BOOTPREPLY, SISF_DHCPACK, giaddr: 0.0.0.0, yiaddr: 10.107.81.254, CMAC: ee13.e8a8.cd5b

2025/01/21 15:21:57.536500021 {wncd_x_R0-0}{1}: [client-orch-sm] [21675]: (debug): MAC: ee13.e8a8.cd5b  Received ip learn response. method: IPLEARN_METHOD_DHCP

Cliente no estado EXECUTAR

2025/01/21 15:21:57.537017277 {wncd_x_R0-0}{1}: [client-orch-state] [21675]: (note): MAC: ee13.e8a8.cd5b  Client state transition: S_CO_IP_LEARN_IN_PROGRESS -> S_CO_RUN

Clientes sem suporte para criptografia OWE

- Ao revisar um quadro beacon em si, os clientes ficam sabendo se eles são capazes de suportar esse método de criptografia ou não. Se não for suportado, ele pode simplesmente enviar uma solicitação de sondagem para abrir o SSID "OPEN-OWE" e pode fazer uma autenticação aberta normal, obter o endereço IP e, em seguida, passar para o estado RUN.

2025/01/16 15:36:06.178370757 {wncd_x_R0-2}{1}: [client-orch-sm] [17332]: (note): MAC: d037.4587.8f35  Association received. BSSID 6cd6.e301.bbae, WLAN OPEN-OWE, Slot 1 AP 6cd6.e301.bba0, ap01, Site tag default-site-tag, Policy tag Laki-Policy-Tag, Policy profile OWE-Policy, Switching Central, Socket delay 0ms

2025/01/16 15:36:06.209288788 {wncd_x_R0-2}{1}: [dot11] [17332]: (note): MAC: d037.4587.8f35  Association success. AID 1, Roaming = False, WGB = False, 11r = False, 11w = False Fast roam = False

2025/01/16 15:36:06.248651191 {wncd_x_R0-2}{1}: [client-auth] [17332]: (note): MAC: d037.4587.8f35  Open L2 Authentication Success. EAP type: NA, Resolved VLAN: 1417, Audit Session id: 000000000000000B696B83DE

2025/01/16 15:36:06.248751507 {wncd_x_R0-2}{1}: [client-orch-state] [17332]: (note): MAC: d037.4587.8f35  Client state transition: S_CO_L2_AUTH_IN_PROGRESS -> S_CO_MOBILITY_DISCOVERY_IN_PROGRESS

2025/01/16 15:36:06.281808554 {wncd_x_R0-2}{1}: [client-orch-state] [17332]: (note): MAC: d037.4587.8f35  Client state transition: S_CO_MOBILITY_DISCOVERY_IN_PROGRESS -> S_CO_DPATH_PLUMB_IN_PROGRESS

2025/01/16 15:36:06.303307756 {wncd_x_R0-2}{1}: [client-orch-state] [17332]: (note): MAC: d037.4587.8f35  Client state transition: S_CO_DPATH_PLUMB_IN_PROGRESS -> S_CO_IP_LEARN_IN_PROGRESS

2025/01/16 15:36:10.305041414 {wncd_x_R0-2}{1}: [client-iplearn] [17332]: (note): MAC: d037.4587.8f35  Client IP learn successful. Method: ARP IP: 10.106.241.167

2025/01/16 15:36:10.305777492 {wncd_x_R0-2}{1}: [client-orch-state] [17332]: (note): MAC: d037.4587.8f35  Client state transition: S_CO_IP_LEARN_IN_PROGRESS -> S_CO_RUN

Informações sobre a transição rápida

- Podemos configurar o OWE apenas na autenticação OPEN ou em Webauth (CWA/LWA/EWA).

- O FT não é suportado na transição OWE.

- Se você habilitar o FT, receberá esta mensagem de erro,

Imagem-9: Mensagem de erro quando habilitamos FT no SSID de transição OWE

OWE não é suportado com PSK/dot1x

Não podemos habilitar o OWE nessas combinações,

1. 802.1x ou FT+802.1x

2. PSK ou FT+PSK ou PSK-SHA256

3. SAE ou FT+SAE

4. 802.1x-SHA256 ou FT+802.1x-SHA256

Se você tentar ativar qualquer um desses métodos, receberá a mensagem de erro,

Imagem-10: Mensagem de erro ao obter ao habilitar outros métodos de autenticação no SSID OWE

Imagem-11: Mensagem de erro ao habilitar o AKM

- Na versão IOS do Cisco IOS® XE 17.9.6, você pode ver a opção "OWE" no AKM quando seleciona "WPA2+WPA3". No entanto, você pode obter a mensagem de erro, você não pode usar OWE com essa combinação.

Imagem-12: Mensagem de erro ao escolher WPA2+WPA3

- No Cisco IOS® XE versão 17.12.4, quando você escolhe "WPA2+WPA3", você não pode obter a opção "OWE" no AKM,

Imagem-13: Mensagem de erro - Não obtendo a opção OWE no AKM

Troubleshooting

1. Verifique as configurações nas duas WLANs, no SSID ABERTO e no SSID de transição OWE, para que o ID da WLAN de transição seja mapeado.

2. A opção de difusão deve ser desabilitada no SSID de transição OWE; ela deve ser habilitada somente no SSID OPEN.

3. Verifique os métodos de autenticação/criptografia/FT suportados descritos neste artigo.

4. Se as configurações estiverem corretas na extremidade da WLC, colete os logs e as saídas necessários para restringir o problema.

RA Trace e EPC (Captura de PAcket Incorporada)

Login to WLC GUI -> Troubleshooting -> Radioative Trace -> Add client wifi MAC address -> Clique na caixa de seleção desse cliente -> Start

Faça login na GUI da WLC -> Solução de problemas -> Captura de pacotes -> Adicione um novo nome de arquivo -> Escolha a interface de uplink e a VLAN/Interface da WMI -> Iniciar.

Da Máquina Cliente: Se possível, você pode instalar o aplicativo wireshark e coletar a captura de pacotes escolhendo a interface WiFi.

https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/213949-wireless-debugging-and-log-collection-on.html#anc12

AIR PCAP

Você pode coletá-lo usando o laptop MAC ou configurando um dos AP no modo farejador, consulte estes links,

Do laptop MAC:

https://www.cisco.com/c/en/us/support/docs/wireless-mobility/wireless-mobility/217042-collect-packet-captures-over-the-air-on.html

Do AP farejador:

https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/217057-configure-access-point-in-sniffer-mode-o.html

Conecte um laptop (servidor wireshark) à porta do switch e ele deve ter um aplicativo wireshark instalado. Esse servidor wireshark deve ter acessibilidade para a interface WMI da WLC. É necessário permitir o protocolo "5555, 5000 ou 5556" no firewall se ele estiver entre o WLC e o servidor do Wireshark.

Verifique se há algum "gscaler" instalado no PC em que o Wireshark está instalado, se for o que, por favor, "desligue" e tente, se houver qualquer firewall como o Windows Defender ou qualquer coisa presente nele, desabilite-os e tente coletar o PCAP.

Roaming

Quando o cliente faz roaming de um AP para outro, ele precisa executar estas etapas,

- Necessidade de enviar reassociação/associação - Depende da solicitação do cliente.

- É necessário enviar detalhes DH (Diffie-Helman) na solicitação de associação.

- O cliente pode obter detalhes de DH na resposta de associação do AP, com base nas obtenções de PMK geradas no cliente e no AP.

- O handshake de 4 vias pode acontecer entre o AP e o cliente.

- No OWE, você não consegue habilitar a FT, portanto, o 802.11r não é possível.

- Cada vez, quando o cliente faz roaming, ele precisa fazer um handshake de 4 vias após a troca de DH em associação.

- Cliente e AP que usam seu próprio PMKID, é exclusivo para cada AP e clientes.

- Se o cliente se conectar ao mesmo AP, ele poderá usar o mesmo PMKID. Em algum cenário, se o cliente foi excluído do que o AP pode gerar um novo PMKID, no entanto, o cliente usa o mesmo PMKID para handshake de 4 vias.

Exemplo:

Se o cliente se conectar ao mesmo AP, você poderá ver o mesmo PMKID tanto na solicitação de associação quanto na resposta de associação. Na resposta de Associação, você não poderá ver detalhes de DH se ele usar o mesmo PMKID.

Imagem-14: Usando o mesmo PMKID

Imagem-15: Resposta de Associação com o mesmo PMKID

Para testes, excluiu manualmente esse cliente da WLC e ele foi associado novamente ao mesmo AP, nesse momento, o cliente envia um mesmo PMKID, mas o AP envia detalhes de DH na resposta de associação.

Imagem-16: Após a exclusão, o cliente enviou a mesma PMKID com detalhes de DH

Imagem-17: O AP usa valores DH para gerar seu novo PMKID

Neste exemplo: Tanto o AP como o cliente usam o mesmo PMKID ao fazer handshake de 4 vias, verifique as mensagens "M1 e em M2".

Imagem- 18: AP e cliente usando o mesmo PMKID

Neste exemplo: O cliente que usa o mesmo PMKID, mas o AP que usa um PMKID diferente que ele gerou depois que o cliente foi excluído, verifique as mensagens "M1 e M2".

Imagem-19: AP e cliente usando PMKID diferente

Do rastreamento RA interno:

Neste exemplo: O cliente enviou parâmetros DH na solicitação de associação e o AP processou mais do que gerou a PMK.

2025/01/21 15:18:50.157081690 {wncd_x_R0-0}{1}: [dot11-validate] [21675]: (debug): MAC: ee13.e8a8.cd5b  In case of DH parameter IE received.

2025/01/21 15:18:50.157082294 {wncd_x_R0-0}{1}: [dot11-validate] [21675]: (debug): MAC: ee13.e8a8.cd5b  Dot11 ie process received DH param element.

2025/01/21 15:18:50.157523328 {wncd_x_R0-0}{1}: [dot11-validate] [21675]: (debug): MAC: ee13.e8a8.cd5b  OWE: prk:

2025/01/21 15:18:50.157531792 {wncd_x_R0-0}{1}: [dot11-validate] [21675]: (debug): MAC: ee13.e8a8.cd5b  OWE: PMK:

2025/01/21 15:18:50.157532236 {wncd_x_R0-0}{1}: [dot11-validate] [21675]: (debug): MAC: ee13.e8a8.cd5b  OWE: PMKID:

2025/01/21 15:18:50.157532538 {wncd_x_R0-0}{1}: [dot11-validate] [21675]: (debug): MAC: ee13.e8a8.cd5b  Dot11 IE validate DH parameter element.IE ID = 255 , Len = 35

2025/01/21 15:18:50.157841380 {wncd_x_R0-0}{1}: [dot11-frame] [21675]: (debug): MAC: ee13.e8a8.cd5b  OWE :DH parameter element encoding sucessful

Depois disso, o mesmo cliente se conectando ao mesmo AP, neste momento, o AP não gerou o novo PMKID,

2025/01/21 15:21:57.391898613 {wncd_x_R0-0}{1}: [dot11-validate] [21675]: (debug): MAC: ee13.e8a8.cd5b  In case of DH parameter IE received.

2025/01/21 15:21:57.391903915 {wncd_x_R0-0}{1}: [dot11-validate] [21675]: (debug): MAC: ee13.e8a8.cd5b  Dot11 ie process received DH param element.

2025/01/21 15:21:57.391906073 {wncd_x_R0-0}{1}: [dot11-validate] [21675]: (debug): MAC: ee13.e8a8.cd5b  Dot11 ie validate DH param element. PMKID found so skipping DH processing.

2025/01/21 15:21:57.391906329 {wncd_x_R0-0}{1}: [dot11-validate] [21675]: (debug): MAC: ee13.e8a8.cd5b  Dot11 IE validate DH parameter element.IE ID = 255 , Len = 35