Contents

Introdução

Por que 6 GHz e Wi-Fi 7

Requisitos básicos para operações de 6 GHz e Wi-Fi 7

Requisitos de banda de 6 GHz

Requisitos de Wi-Fi 7

17.18.1 e mais recente

17.15.3 e versões posteriores 17.15.x

Considerações de projeto de rádio para cobertura de 6 GHz

Comportamentos de roaming entre APs pré-Wi-Fi 6E/7 e Wi-Fi 6E/7

Habilitando o Wi-Fi 7 globalmente

Casos de uso

Redes 802.1X / WPA3-Enterprise

Senha / WPA3-Personal / Redes da IoT

Redes abertas / aprimoradas abertas / OWE / de convidados

WPA3 adicional e opções relacionadas

Proteção de beacon

GCMP256

Solucionar problemas e verificar

Referências

Introdução

Este documento descreve as diretrizes de design e configuração para otimizar o desempenho do Wi-Fi 7 e aproveitar totalmente o espectro de 6 GHz.

Por que 6 GHz e Wi-Fi 7

6 GHz é uma nova banda que se tornou disponível em 2020 para operações de WLAN e foi inicialmente explorada pela certificação Wi-Fi 6E. Embora o Wi-Fi 6E ainda dependa do mesmo padrão 802.11ax (certificado pelo Wi-Fi 6 para as faixas de 2,4/5 GHz), ele se estende para operar somente na faixa de 6 GHz, desde que os requisitos específicos sejam atendidos.

O Wi-Fi 7 corresponde à certificação do padrão IEEE 802.11be e, ao contrário do Wi-Fi 6E, que é restrito apenas a 6 GHz, é definido para uso em todas as três bandas: 2,4, 5 e 6 GHz. O Wi-Fi 7 também vem com novos recursos em comparação com certificações anteriores.

6 GHz e/ou Wi-Fi 7 têm requisitos específicos para serem suportados, o que geralmente se traduz em novas configurações e designs de RF, especialmente em comparação com o que éramos usados até as bandas de 2,4/5 GHz e Wi-Fi 6. Por exemplo, assim como o uso da segurança WEP nos impede de usar padrões 802.11 diferentes dos padrões 802.11a/b/g, padrões mais recentes vêm com pré-requisitos de segurança mais elevados, para impulsionar a adoção de redes mais seguras.

Por outro lado, a banda mais recente de 6 GHz, juntamente com certificações modernas como Wi-Fi 6E/7, libera frequências mais limpas, melhor desempenho e novos usos, ou até mesmo uma implementação mais "livre de preocupações" dos casos de uso existentes (por exemplo, conferência de voz/vídeo).

Requisitos básicos para operações de 6 GHz e Wi-Fi 7

Estes são os requisitos de segurança escritos nas certificações para operações de 6 GHz e Wi-Fi 7.

Requisitos de banda de 6 GHz

A banda de 6 GHz só pode permitir WPA3 ou Enhanced Open WLANs, o que significa uma destas opções de segurança:

- WPA3-Enterprise com autenticação 802.1X

- WPA3 - Autenticação Simultânea de Iguais (SAE - Simultaneous Authentication of Equals) (também conhecida como WPA3-Personal) com senha. SAE-FT (SAE com Transição Rápida) é outro AKM possível e é realmente recomendado para uso desde que o handshake SAE não é trivial e FT permite pular essa troca mais longa.

- Aberto aprimorado com criptografia sem fio oportunista (OWE)

Embora, de acordo com as especificações do WPA3 v3.4 (Seção 11.2), o modo de transição Aberto Aprimorado não seja suportado com 6 GHz, muitos fornecedores (incluindo a Cisco até o IOS® XE 17.18) ainda não aplicam isso. Portanto, é tecnicamente possível configurar, por exemplo, um SSID aberto em 5 GHz, um SSID aberto aprimorado correspondente em 5 e 6 GHz, ambos com o Modo de transição ativado e tudo isso sem estar em conformidade com as especificações padrão. Nesse cenário, deve-se esperar, no entanto, que em vez disso, configuremos um SSID Aberto Aprimorado sem o modo de transição e disponível somente em 6 GHz (os clientes que suportam 6 GHz normalmente também suportam o Aberto Aprimorado), enquanto mantemos nosso SSID Aberto regular em 5 GHz, também sem o modo de transição.

Não há novos requisitos específicos de cifras ou algoritmos para WPA3-Enterprise, exceto a aplicação do 802.11w/Protected Management Frame (PMF). Muitos fornecedores, incluindo a Cisco, consideram o 802.1X-SHA256 ou "FT + 802.1X" (que na verdade é 802.1X com SHA256 e Fast Transition no topo) apenas compatível com WPA3 e o 802.1X simples (que usa SHA1) é considerado parte do WPA2, portanto, não se encaixa/é suportado para 6 GHz.

Requisitos de Wi-Fi 7

Com a certificação Wi-Fi 7 do padrão 802.11be, a Wi-Fi Alliance aumentou os requisitos de segurança. Alguns deles permitem usar as taxas de dados e melhorias de protocolo do 802.11be, enquanto outros são específicos para suportar Operações de Multilink (MLO - Multi-Link Operations), permitindo que dispositivos compatíveis (clientes e/ou APs) usem várias bandas de frequência enquanto mantêm a mesma associação.

Em geral, o Wi-Fi 7 exige um destes tipos de segurança:

- WPA3-Empresa com AES(CCMP128) e 802.1X-SHA256 ou FT + 802.1X (que ainda usa SHA256, mesmo que não explícito em sua nomeação). Isso não representa uma mudança em relação aos pré-requisitos de segurança WPA3 existentes anteriormente para a banda de 6 GHz.

- WPA3-Personal com GCMP256 e SAE-EXT-KEY e/ou FT + SAE-EXT-KEY (AKM 24 ou 25). Wi-Fi 6E obrigatório WPA3 SAE e/ou FT + SAE apenas com AES regular (CCMP128) e nenhum uso de chave estendida adicional, portanto esta é uma nova cifra especificamente introduzida para Wi-Fi 7.

- Enhanced Open / OWE com GCMP256. Embora o AES(CCMP128) ainda possa ser configurado no mesmo SSID, os clientes que usam o AES 128 não podem suportar Wi-Fi 7. Antes do Wi-Fi 7, a maioria dos clientes que suportam o Enhanced Open usavam apenas o AES 128, portanto, esse é um requisito novo e mais forte. Quanto ao suporte para 6 GHz, nenhum modo de transição é tolerado.

Em todos esses casos, é necessário também proteger os quadros de gerenciamento protegido (PMF - Protected Management Frames) e a proteção de beacon para suportar o Wi-Fi 7 na WLAN.

Como o Wi-Fi 7 ainda era recente no momento da elaboração deste documento, com uma versão o mais cedo possível, muitos fornecedores não aplicaram todos esses requisitos de segurança desde o início.

Mais recentemente, a Cisco vem aplicando progressivamente as opções de configuração para estar em conformidade com a certificação Wi-Fi 7. Estes são os comportamentos específicos da versão:

17.18.1 e mais recente

O IOS XE 17.18 e versões posteriores somente anunciam uma determinada WLAN como Wi-Fi 7 habilitada se a WLAN tiver parâmetros de segurança que correspondam aos requisitos do Wi-Fi 7 (proteção de beacon, PMF e o AKM correto conforme descrito anteriormente, dependendo do tipo de WLAN, bem como da presença de GCMP256 para atingir o MLO do Wi-Fi 7, no caso de OWE ou SAE-EXT). A presença do AES128 é tolerada no SSID, mas, quando usado, ele só fornecerá Wi-Fi 6E e não Wi-Fi 7 MLO.

Um cliente pode se associar como Wi-Fi 7 e atingir taxas de dados Wi-Fi 7 independentemente do método de segurança que usar (desde que ainda seja suportado pela WLAN). No entanto, o cliente só pode se associar como capaz de MLO (em uma ou mais bandas) se respeitar os requisitos rigorosos de segurança Wi-Fi 7, ou se for rejeitado.

17.15.3 e versões posteriores 17.15.x

Nesta filial, todas as WLANs são transmitidas como SSIDs Wi-Fi 7, desde que o Wi-Fi 7 seja ativado globalmente e independentemente das configurações de segurança.

Um cliente pode se associar como compatível com Wi-Fi 7 e atingir taxas de dados Wi-Fi 7, independentemente do método de segurança usado, desde que ainda seja suportado pela WLAN. No entanto, o cliente só pode se associar como capaz de MLO (em uma ou mais bandas) se respeitar os requisitos rigorosos de segurança Wi-Fi 7, ou se for rejeitado.

Isso poderia causar problemas, quando algum cliente Wi-Fi 7 anterior incapaz de suportar cifras mais seguras como GCMP256 tenta se associar como Wi-Fi 7 MLO capaz a uma WLAN, cujas configurações de segurança não correspondem aos requisitos do Wi-Fi 7. Nesse caso, o cliente é rejeitado devido às configurações de segurança inválidas (ainda podem ser configuradas na WLAN).

Considerações de projeto de rádio para cobertura de 6 GHz

Sem querer tornar-se um guia prescritivo completo sobre as pesquisas do local, esta seção descreve brevemente algumas considerações básicas ao projetar a cobertura de 6 GHz, especialmente se já houver uma instalação existente para 2,4/5 GHz que gostaríamos de migrar para Wi-Fi 6E ou 7.

Como em qualquer nova implantação de Wi-Fi a que estivemos acostumados em 2,4 e/ou 5 GHz, um novo projeto sem fio em 6 GHz deve incluir também uma pesquisa de site dedicada correspondente em 6 GHz.

Quando os APs pré-Wi-Fi 6E/7 já estão posicionados para cobertura e necessidades específicas de 5 GHz, em alguns casos podemos esperar substituí-los por APs com capacidade para Wi-Fi 6E/7 e ainda obter boa cobertura em 6 GHz também. Para que essa teoria funcione, nossos APs existentes já devem fornecer cobertura correta de 5 GHz para as necessidades pretendidas (somente dados, voz, aplicativos específicos e assim por diante) e, ao mesmo tempo, já devem ter pelo menos 3 a 4 níveis de potência de transmissão abaixo do limite máximo. Os APs normalmente têm de 7 a 8 níveis de potência e cada nível de potência divide a potência de transmissão pela metade. Isso significa que um ponto confortável é quando os APs estão usando o meio de sua faixa de potência de transmissão permitida.

De acordo com cálculos de perda de espaço livre, os sinais de 6 GHz são atenuados em 2 dB por mais de 5 GHz. Além disso, os sinais de 6 GHz também podem ser mais afetados por obstáculos do que seus equivalentes de 5 GHz.

Quando um AP Cisco aumenta/diminui sua potência de transmissão em um nível, ele faz isso por um "salto" de 3 dB. Um AP que passa de um nível de potência de 4, com uma potência de transmissão de 11 dBm, por exemplo, para um nível de potência de 3, aumenta sua potência de transmissão para 14 dBm (11 dBm para o nível de potência 4 e 14 dBm para o nível de potência 3 são apenas um exemplo genérico, pois modelos/gerações diferentes de APs podem ter valores de potência de transmissão ligeiramente diferentes em dBm para o mesmo número de nível de potência).

Se um AP pré-Wi-Fi 6E/7 já fornece uma boa cobertura a 5 GHz no nível de potência 4, por exemplo, um AP Wi-Fi 6E/7 mais recente com padrões de rádio de 5 GHz semelhantes poderia substituir esse AP anterior sem qualquer impacto significativo na rede de 5 GHz existente.

Além disso, o rádio de 6 GHz do novo AP Wi-Fi 6E/7 poderia fornecer uma cobertura de 6 GHz semelhante à de 5 GHz apenas por estar em um nível de potência de transmissão (portanto 3 dB) mais alto.

Se 5 GHz já estiver coberto corretamente com o rádio de 5 GHz do AP em níveis de potência de 3 a 4 abaixo do seu máximo, o rádio de 6 GHz correspondente poderia ser definido em níveis de potência de 2 a 3 abaixo do seu máximo para cobertura comparável.

Além disso, se o rádio de 6 GHz já fornecer cobertura correta a 2-3 níveis de potência inferiores ao máximo, ele ainda poderá excepcionalmente ir até alguns níveis superiores, por exemplo, para tentar contornar brechas temporárias de cobertura inesperadas (falha de um AP vizinho, obstáculos não anunciados, novas necessidades de RF e assim por diante).

Comportamentos de roaming entre APs pré-Wi-Fi 6E/7 e Wi-Fi 6E/7

A implantação de APs que suportam diferentes padrões e/ou faixas de frequência na mesma área de cobertura sempre não foi uma prática recomendada, especialmente se essas diferentes gerações de APs forem instaladas de forma "salina e pimenta" (que são misturadas uma com a outra na mesma zona).

Embora um controlador sem fio possa lidar com operações (por exemplo, atribuição dinâmica de canal, controle de energia de transmissão, distribuição de cache PMK e assim por diante) de um grupo de vários modelos de AP, clientes que se movem entre diferentes padrões e até mesmo bandas de frequência diferentes nem sempre são capazes de lidar com isso corretamente e provavelmente podem enfrentar problemas de roaming, por exemplo.

Além disso, devido aos padrões mais recentes, os APs Wi-Fi 6E/7 suportam cifras GCMP256 para WPA3. O mesmo nem sempre pode ser verdade para alguns APs Wi-Fi 6 e modelos anteriores. Para senhas/WPA3-Personal e SSIDs Open/OWE aprimorados, que exigem a configuração de cifras AES(CCMP128) e GCMP256, determinadas cifras Wi-Fi 6 (como as séries 9105, 9115 e 9120) não oferecem suporte a GCMP256 e podem oferecer cifras AES(CCMP128) somente para clientes associados, incluindo as habilitadas para Wi-Fi 6E/7. Se esses clientes Wi-Fi 6E/7 precisassem fazer roaming de/para APs Wi-Fi 6E/7 vizinhos que suportassem GCMP256, eles teriam que passar por uma associação totalmente nova, já que a renegociação de cifras entre AES(CCMP128) e GCMP256 não é suportada para roaming transparente. Além disso, em geral, não é ideal ter alguns APs oferecendo novos recursos e outros APs na mesma área que não ofereçam esses mesmos recursos : ele não permite que os clientes usem esses recursos com segurança enquanto se movimentam e pode levar à adesão ou desconexões.

Embora esse cenário deva representar um caso de vértice, queremos ainda ter em mente que, com as cifras GCMP256 configuradas na WLAN, o roaming de clientes Wi-Fi 6E/7 entre APs 9105/9115/9120 e APs 9130/9124/916x/917x não pode ser possível, já que essas últimas séries suportam GCMP256 e as primeiras não.

Larguras de canal de 40 MHz ou mais em 6 GHz também podem causar adesão para clientes com capacidade de 6 GHz, que podem se recusar a se reassociar a outras bandas. Isso deve ser mais um motivo para não misturar APs com capacidade de 6 GHz e APs sem capacidade de 6 GHz na mesma área de roaming.

Habilitando o Wi-Fi 7 globalmente

Ao instalar ou atualizar para uma versão do IOS XE que suporta Wi-Fi 7, por padrão, o suporte para Wi-Fi 7 é desabilitado globalmente.

Para ativá-lo, precisamos navegar no menu de configuração Alta taxa de transferência de cada banda de 2,4/5/6 GHz e marcar a caixa para ativar o 11be.

Outra opção também poderia ser executar essas três linhas de comando via SSH/console, no modo de configuração de terminal:

ap dot11 24ghz dot11be

ap dot11 5ghz dot11be

ap dot11 6ghz dot11be

Como mencionado na nota de aviso, ao tentar modificar essas configurações, a alteração do status do suporte a 802.11be resulta em uma breve perda de conectividade para todos os clientes em rádios de APs Wi-Fi 7. Se você quiser executar o MLO, que significa que os clientes se conectam a várias bandas ao mesmo tempo, você precisará ativar o 11be em todas as bandas às quais deseja que o cliente se conecte. Não é necessário ativar em todas as bandas, mas é recomendado simplesmente para o desempenho.

Casos de uso

Redes 802.1X / WPA3-Enterprise

As WLANs corporativas baseadas em WPA2/3 com autenticação 802.1X são as mais fáceis de migrar para 6 GHz e/ou Wi-Fi 7.

A habilitação do SSID 802.1X para 6 GHz exige apenas a habilitação do suporte a PMF, mesmo que opcional, bem como 802.1X-SHA256 e/ou FT + 802.1X AKMs, ambos compatíveis com WPA3.

Podemos continuar oferecendo WPA2 com 802.1X (SHA1) padrão na mesma WLAN. O suporte a Wi-Fi 7 requer a ativação da Proteção de Beacon e a definição de PMF conforme necessário, em vez de opcional; A WPA2 802.1X (SHA1) pode permanecer presente na WLAN como uma opção de compatibilidade com versões anteriores. Isso significa que você pode ter todos os seus dispositivos corporativos em um único SSID, desde que eles suportem 802.11w/PMF, que é bastante comum em placas de rede sem fio atuais para laptops e outros terminais móveis.

De um SSID WPA2 típico com estas configurações de segurança L2:

Podemos migrar a configuração para suporte a WPA3, 6 GHz e Wi-Fi 7 como mostrado aqui:

Senha / WPA3-Personal / Redes da IoT

A habilitação de uma senha SSID para 6 GHz, suporte até Wi-Fi 6E, é simples e requer SAE e/ou FT + SAE, juntamente com outros AKMs WPA2 PSK, se necessário. No entanto, para o suporte Wi-Fi 7, a certificação obriga a remover qualquer opção WPA2 PSK e adicionar SAE-EXT-KEY e/ou FT + SAE-EXT-KEY AKMs, juntamente com a cifra GCMP256. Portanto, não é possível ter uma WLAN baseada em senha com compatibilidade máxima para clientes mais antigos e desempenho de Wi-Fi 7.

Nesses casos, precisamos configurar um SSID exclusivo somente WPA3 com SAE, FT + SAE, SAE-EXT-KEY e FT + SAE-EXT-KEY, oferecendo cifras AES(CCMP128) e GCMP256, para clientes Wi-Fi 6E e Wi-Fi 7 mais recentes.

Note: Se o (FT +) SAE estiver habilitado na WLAN e um cliente Wi-Fi 7 tentar se associar a ele em vez de (FT +) SAE-EXT-KEY, ele será rejeitado. Desde que (FT +) SAE-EXT-KEY também esteja habilitado, os clientes Wi-Fi 7 devem de qualquer forma usar este último AKM e este problema não deve acontecer.

Outro SSID WPA2 normal, por outro lado, ainda pode acomodar clientes herdados restantes.

Embora essa combinação aumente a quantidade total de SSIDs, ela permite manter a compatibilidade máxima em um SSID, onde também podemos potencialmente desativar outros recursos avançados que poderiam afetar a compatibilidade e que poderiam ser úteis para muitos cenários de IoT, oferecendo recursos e desempenho máximos para dispositivos mais recentes por meio de outro SSID.

Outra opção também poderia ser, obviamente, não oferecer o Wi-Fi 7 SSID e manter apenas um único configurado para WPA2 PSK e WPA3 SAE. A ideia por trás disso pode ser que os dispositivos da IoT não precisam de desempenho do Wi-Fi 7.

Essa abordagem ainda suportaria 6 GHz para clientes com capacidade Wi-Fi 6E e Wi-Fi 7, que seriam capazes de se conectar com desempenho Wi-Fi 6E na melhor das hipóteses.

Em todos esses cenários, é altamente recomendável habilitar a FT ao usar o SAE. A troca de quadros SAE é cara em termos de recursos e mais longa do que o handshake de quatro vias WPA2 PSK.

Alguns fabricantes de dispositivos como a Apple esperam usar o SAE somente quando o FT estiver habilitado e podem recusar a conexão se não estiverem disponíveis.

Redes abertas / aprimoradas abertas / OWE / de convidados

As redes de convidados vêm com muitas opções. Geralmente, eles não exigem credenciais 802.1X ou senha para se conectar e possivelmente implicam em uma página inicial ou portal, que pode exigir credenciais ou um código. Tradicionalmente, isso é tratado com um SSID aberto e soluções de portal para convidados locais ou externos. No entanto, SSIDs com segurança aberta (sem criptografia) não são permitidos em 6 GHz ou para suporte a Wi-Fi 7.

Uma primeira abordagem muito conservadora seria dedicar redes de convidados à banda de 5 GHz e Wi-Fi 6, na melhor das hipóteses. Isso deixa a banda de 6 GHz reservada para dispositivos corporativos, resolve o problema de complexidade e traz compatibilidade máxima, embora não até desempenho Wi-Fi 6E/7.

Se quiséssemos fornecer serviço de 6 GHz aos convidados, a recomendação seria criar um SSID separado com Enhanced Open / OWE (Opportunistic Wireless Encryption). Ele poderia oferecer tanto a cifra AES(CCMP128), para máxima compatibilidade até clientes Wi-Fi 6E, bem como GCMP256 bits para clientes com capacidade Wi-Fi 7.

Se, de um lado, o Enhanced Open é um excelente método de segurança que oferece privacidade e mantém a experiência "aberta" (os usuários finais não precisam inserir nenhuma credencial 802.1X ou senha), até hoje ele ainda tem suporte limitado entre os endpoints. Alguns clientes ainda não suportam isso e, mesmo quando o fazem, essa técnica nem sempre é tratada sem problemas (o dispositivo pode mostrar a conexão como não segura, enquanto ela é realmente segura, ou pode exibi-la como protegida por senha, mesmo que nenhuma senha seja necessária com OWE). Como se espera que uma rede de convidados funcione em todos os dispositivos não controlados de convidados, pode ser muito cedo para fornecer apenas um SSID Aberto Aprimorado e é recomendável fornecer ambas as opções por meio de SSIDs separados: um aberto em 5 GHz e um OWE habilitado em 5 e 6 GHz, ambos com o mesmo portal cativo atrás, se isso também for um requisito. O Modo de Transição não é suportado em Wi-Fi 6E, 6 GHz (embora ainda possa ser permitido no software) ou Wi-Fi 7, portanto essa não é uma solução recomendada. Todas as técnicas de redirecionamento do portal (autenticação da Web interna ou externa, autenticação da Web central, ...) ainda são suportadas com OWE.

WPA3 adicional e opções relacionadas

Embora as opções de WPA3 sejam melhor descritas e abordadas no guia de implantação de WPA3, esta seção aborda algumas recomendações adicionais para WPA3 especificamente relacionadas ao suporte de 6 GHz e Wi-Fi 7.

Proteção de beacon

Esse é um recurso que resolve a vulnerabilidade, em que um invasor mal-intencionado pode transmitir beacons em vez do ponto de acesso legítimo, ao mesmo tempo em que modifica alguns campos para alterar a segurança ou outras configurações de clientes já associados. A proteção de beacon é um elemento de informação adicional no beacon que atua como uma assinatura para o próprio beacon, para provar que ele foi enviado pelo ponto de acesso legítimo e que não foi violado. Somente os clientes associados a uma chave de criptografia WPA3 podem verificar a legitimidade do beacon; os clientes de sondagem não têm meios de verificá-lo. O elemento de informação adicional no beacon deve simplesmente ser ignorado pelos clientes que não o suportam (clientes não Wi-Fi 7) e normalmente não representa um problema de compatibilidade (a menos que com um driver de cliente mal programado).

GCMP256

Até a certificação Wi-Fi 7, a maioria dos clientes implementava a criptografia por cifra AES(CCMP128). CCMP256 e GCMP256 são variantes muito específicas relacionadas ao SUITE-B 802.1X AKM. Embora algumas primeiras gerações de clientes Wi-Fi 7 no mercado aleguem o suporte Wi-Fi 7, eles ainda podem não implementar a criptografia GCMP256, que pode se tornar um problema se os APs Wi-Fi 7 que aplicam o padrão como esperado impedem que esses clientes se conectem sem o suporte GCMP256 adequado.

Solucionar problemas e verificar

A versão mais recente do Wireless Configuration Analyzer Express (https://developer.cisco.com/docs/wireless-troubleshooting-tools/wireless-config-analyzer-express-gui/) tem uma verificação de prontidão Wi-Fi 7 que avalia sua configuração 9800 para todos os requisitos Wi-Fi 7 mencionados acima.

Se você ainda tiver dúvidas sobre se sua configuração está preparada para Wi-Fi 7, o WCAE permitirá que você saiba o que está errado.

Referências