目录

简介

为什么选择6 GHz和Wi-Fi 7

6 GHz操作和Wi-Fi 7的基本要求

6 GHz频段要求

Wi-Fi 7要求

17.18.1 及更高版本

17.15.3及更高版本17.15.x

6 GHz覆盖的无线电设计注意事项

在Wi-Fi 6E/7之前和Wi-Fi 6E/7 AP之间的漫游行为

全局启用Wi-Fi 7

使用案例

802.1X / WPA3 — 企业网络

口令/ WPA3 — 个人/ IoT网络

开放/增强型开放/OWE/访客网络

其他WPA3和相关选项

信标保护

GCMP256

故障排除和验证

参考

简介

本文档介绍设计和配置指南，以优化Wi-Fi 7的性能并充分利用6 GHz频谱。

为什么选择6 GHz和Wi-Fi 7

6 GHz是2020年推出的一款用于WLAN操作的新频段，最初由Wi-Fi 6E认证开发。虽然Wi-Fi 6E仍然依赖相同的802.11ax标准（在2.4/5 GHz频段上通过Wi-Fi 6认证），但它扩展为仅在6 GHz频段上运行，前提是满足特定要求。

Wi-Fi 7对应于IEEE 802.11be标准的认证，并且与Wi-Fi 6E（仅限于6 GHz）不同，Wi-Fi 6E被定义用于所有三个频段：2.4、5和6 GHz。与之前的认证相比，Wi-Fi 7还具备新功能。

6 GHz和/或Wi-Fi 7具有需要支持的特定要求，这通常会转化为新的配置和RF设计，尤其是与我们在2.4/5 GHz频段和Wi-Fi 6之前使用的要求相比。例如，就像使用WEP安全性阻止我们使用除802.11a/b/g之外的802.11标准一样，更新的标准具有更高的安全性前提条件，从而推动采用更安全的网络。

另一方面，最新的6 GHz频段与Wi-Fi 6E/7等现代认证相结合，可以释放更清洁的频率、更好的性能和新的用途，甚至可以更加“无忧”地实施现有使用案例（例如语音/视频会议）。

6 GHz操作和Wi-Fi 7的基本要求

这些是6 GHz和Wi-Fi 7操作认证中写下的安全要求。

6 GHz频段要求

6 GHz频段只能允许WPA3或增强型开放式WLAN，这意味着以下安全选项之一：

- 采用802.1X身份验证的WPA3-Enterprise

- WPA3对等同时身份验证(SAE)（也称为WPA3 — 个人）和密码。SAE-FT(SAE with Fast Transition)是另一种可能的AKM，实际上建议使用，因为SAE握手并非无关紧要，并且FT允许跳过更长的交换。

- 通过机会无线加密(OWE)增强开放性

虽然根据WPA3 v3.4规范(第11.2节),6 GHz不支持增强型开放式过渡模式，但许多供应商(包括最高支持IOS® XE 17.18的思科)尚未实施该模式。因此，在技术上，可以配置（例如）5 GHz上的开放式SSID、5 GHz和6 GHz上的相应增强型开放式SSID，两者都启用过渡模式，并且所有这些都不符合标准规范。然而，在这样的场景中，我们最好配置不带转换模式的增强型开放式SSID，且仅在6 GHz上可用（支持6 GHz的客户端通常也支持增强型开放），同时保持常规的开放式SSID在5 GHz上，也没有转换模式。

除了802.11w/保护管理帧(PMF)实施外，WPA3-Enterprise没有新的特定密码或算法要求。许多供应商（包括思科）认为802.1X-SHA256或“FT + 802.1X”（实际上是802.1X，上面有SHA256和Fast Transition）仅兼容WPA3，而普通802.1X（使用SHA1）则被认为是WPA2的一部分，因此不适合/不支持6 GHz。

Wi-Fi 7要求

通过802.11be标准的Wi-Fi 7认证，Wi-Fi联盟提高了安全要求。其中一些允许使用802.11be数据速率和协议改进，而其他一些则专门支持多链路操作(MLO)，允许兼容设备（客户端和/或AP）使用多个频段，同时保持相同的关联。

一般来说，Wi-Fi 7要求使用以下安全类型之一：

- WPA3-Enterprise，带AES(CCMP128)和802.1X-SHA256或FT + 802.1X（仍使用SHA256，即使其命名未明确显示）。 与之前现有的6 GHz频段的WPA3安全必备条件相比，这并不是更改。

- WPA3 — 个人，带GCMP256和SAE-EXT-KEY和/或FT + SAE-EXT-KEY（AKM 24或25）。 Wi-Fi 6E仅通过常规AES(CCMP128)强制实施WPA3 SAE和/或FT + SAE，并且没有其他扩展密钥使用，因此这是专门为Wi-Fi 7引入的新加密算法。

- GCMP256的增强型开放/OWE。虽然AES(CCMP128)仍然可以在同一个SSID上配置，但使用AES 128的客户端不支持Wi-Fi 7。在Wi-Fi 7之前，大多数支持增强型开放的客户端仅使用AES 128，因此这是一个新的更强的要求。对于6 GHz支持，不允许转换模式。

在所有这些情况下，还需要受保护管理帧(PMF)和信标保护来支持WLAN上的Wi-Fi 7。

在撰写本文时，Wi-Fi 7还处于最新阶段，如果尽早发布，许多供应商从一开始就未强制执行这些安全要求。

最近，思科逐步实施了配置选项，以符合Wi-Fi 7认证。以下是版本特定的行为：

17.18.1 及更高版本

如果WLAN具有与Wi-Fi 7要求相匹配的安全参数（信标保护、PMF和前面所述的正确AKM，这取决于WLAN类型以及是否存在GCMP256，以便在OWE或SAE-EXT的情况下实现Wi-Fi 7 MLO），则IOS XE 17.18及更高版本仅将给定WLAN通告为Wi-Fi 7。 SSID上允许存在AES128，但使用时，它只能提供Wi-Fi 6E而不是Wi-Fi 7 MLO。

客户端可以作为Wi-Fi 7进行关联，并实现Wi-Fi 7数据速率，而不管其使用的是何种安全方法（前提是WLAN仍支持它）。 但是，如果客户端遵守Wi-Fi 7安全性的严格要求，或者被拒绝，则客户端只能关联为支持MLO的（在一个或多个频段上）。

17.15.3及更高版本17.15.x

在此分支机构中，如果全局启用Wi-Fi 7，则所有WLAN都将广播为Wi-Fi 7 SSID，而不考虑安全设置。

客户端可以关联为支持Wi-Fi 7，并实现Wi-Fi 7数据速率，无论其使用何种安全方法，前提是WLAN仍支持它。但是，如果客户端遵守Wi-Fi 7安全的严格要求，或者被拒绝，则它只能关联为支持MLO的客户端（在一个或多个频段上）。

当某些早期的Wi-Fi 7客户端无法支持更安全的密码（如GCMP256）尝试将具有Wi-Fi 7 MLO功能的WLAN关联到其安全设置与Wi-Fi 7要求不匹配时，这可能会导致问题。在这种情况下，由于安全设置无效（仍允许在WLAN下配置），客户端被拒绝。

6 GHz覆盖的无线电设计注意事项

本部分无意成为现场勘测的完整规范指南，简要介绍设计6 GHz覆盖范围时的一些基本注意事项，特别是如果已经存在要迁移到Wi-Fi 6E或7的2.4/5 GHz安装。

对于我们过去在2.4和/或5 GHz频段采用的任何新Wi-Fi部署，6 GHz频段的新无线项目也必须包括相应的专用6 GHz站点勘察。

当Wi-Fi 6E/7以前的AP已针对特定的5 GHz覆盖范围和需求进行定位时，在某些情况下，我们可以期望能够将其替换为支持Wi-Fi 6E/7的AP，同时仍能在6 GHz上获得良好的覆盖范围。为了让此理论起作用，我们现有的AP必须已针对预期需求（仅数据、语音、特定应用等）提供正确的5 GHz覆盖范围，同时其最大传输功率水平至少已达到3-4级。AP通常有7到8个功率电平，每个功率电平将发射功率除一半。这意味着，当AP使用其允许的传输功率范围的介质时，可以有一个舒适的位置。

根据自由空间损失计算，6GHz信号比5GHz信号衰减2dB。此外，6 GHz信号受障碍的影响也比5 GHz信号更大。

当思科AP将发射功率增加/减少一个级别时，其发送功率增加/减少为3 dB。AP从功率级别4（例如，发射功率为11 dBm）上升到功率级别3，将其发射功率提高至14 dBm（功率级别4为11 dBm，功率级别3为14 dBm，这只是一般示例，因为不同型号/代的AP对于相同功率级别编号在dBm中的发射功率值可能稍有不同）。

例如，如果之前的Wi-Fi 6E/7 AP已经在5GHz的功率水平4上提供良好的覆盖范围，那么具有类似5GHz无线电模式的较新Wi-Fi 6E/7 AP可以取代之前的AP，而不会对现有的5GHz网络产生任何显着影响。

此外，新型Wi-Fi 6E/7 AP的6 GHz无线电只需提高一个发射功率电平（所以3 dB），就可以提供与5 GHz无线电类似的6 GHz覆盖。

如果AP的5 GHz无线电已正确覆盖了5 GHz的最大功率以下的3-4个功率电平，则对应的6 GHz无线电可设置为最大功率以下的2-3个功率电平，以实现可比覆盖。

此外，如果6 GHz无线电在低于其最大功率水平的2-3个功率水平下已提供正确的覆盖范围，它仍可能会在特殊情况下提高几个电平，例如尝试绕过临时意外的覆盖盲区（邻居AP故障、未通告的障碍、新的RF需求等）。

在Wi-Fi 6E/7之前和Wi-Fi 6E/7 AP之间的漫游行为

在同一个覆盖区域部署支持不同标准和/或频段的AP始终不是推荐的做法，尤其是当这些不同代的AP以“盐和胡椒”方式（即在同一区域中相互混合）安装时。

虽然无线控制器可以处理来自一组多个AP型号的操作（例如，动态信道分配、传输功率控制、PMK缓存分配等），但在不同标准甚至不同频段之间移动的客户端并不总是能够正确处理这些操作，它们可能遇到漫游问题。

此外，由于新标准，Wi-Fi 6E/7 AP支持WPA3的GCMP256密码。但是，一些Wi-Fi 6 AP和早期型号并非总是如此。对于需要同时配置AES(CCMP128)和GCMP256密码的口令/WPA3-Personal和增强型开放/OWE SSID，某些Wi-Fi 6（如9105、9115和9120系列）不支持GCMP256，并且只能为关联客户端（包括支持Wi-Fi 6E/7的客户端）提供AES(CCMP128)密码。如果这些Wi-Fi 6E/7客户端需要从支持GCMP256的相邻Wi-Fi 6E/7 AP漫游或漫游到相邻Wi-Fi 6E/7 AP，它们必须经历全新的关联，因为透明漫游不支持AES(CCMP128)和GCMP256之间的重新协商密码。此外，一般而言，让某些AP提供新功能并不理想，而让同一区域中的其他AP不提供相同功能：它不允许客户端在四处移动时安全地使用这些功能，可能会导致粘滞或断开。

虽然此场景必须代表一个角落，但我们仍要记住，在WLAN下配置了GCMP256密码后，在9105/9115/9120和9130/9124/916x/917x AP之间漫游的Wi-Fi 6E/7客户端是不可能的，因为这些后一系列支持GCMP256，而前一个系列则不支持。

6 GHz上40 MHz或更大的信道宽度也会导致支持6 GHz的客户端粘性，这些客户端可能会拒绝重新关联到其他频段。这肯定是不在同一漫游区域混合使用6 GHz功能的AP和非6 GHz功能的AP的另一个原因。

全局启用Wi-Fi 7

当安装或升级到支持Wi-Fi 7的IOS XE版本时，默认情况下全局禁用对Wi-Fi 7的支持。

要激活它，我们需要导航到每个2.4/5/6 GHz频段的High Throughput configuration菜单下，并选中启用11be的复选框。

另一种方法也可以是通过SSH/控制台在终端配置模式下运行以下三条命令行：

ap dot11 24ghz dot11be

ap dot11 5ghz dot11be

ap dot11 6ghz dot11be

如警告说明中所述，当尝试修改这些设置时，更改802.11be支持状态会导致Wi-Fi 7 AP无线电上的所有客户端短暂失去连接。如果要执行MLO（这意味着客户端同时连接到多个频段），则需要在希望客户端连接的所有频段上启用11be。不必在所有频段上启用，但建议仅为性能启用。

使用案例

802.1X / WPA3 — 企业网络

基于采用802.1X身份验证的WPA2/3的企业WLAN最容易迁移至6 GHz和/或Wi-Fi 7。

启用6 GHz的802.1X SSID只需要启用PMF支持（即使可选），以及802.1X-SHA256和/或FT + 802.1X AKM（两者均符合WPA3）。

我们可以在同一WLAN上继续提供具有标准802.1X(SHA1)的WPA2。Wi-Fi 7支持需要启用Beacon Protection并根据需要设置PMF，而不是可选的；WPA2 802.1X(SHA1)可以作为向后兼容选项保留在WLAN上。这意味着您可以在单个SSID下拥有所有企业设备，前提是它们支持802.11w/PMF，这在用于笔记本电脑和其他移动终端的当前无线网卡上非常常见。

从具有以下L2安全设置的典型WPA2 SSID:

我们可以迁移WPA3、6 GHz和Wi-Fi 7支持的配置，如下所示：

口令/ WPA3 — 个人/ IoT网络

为6 GHz启用口令SSID（最多支持Wi-Fi 6E）非常简单，并且需要SAE和/或FT + SAE，以及其他WPA2 PSK AKM（如果需要）。但是，对于Wi-Fi 7支持，认证要求删除任何WPA2 PSK选项，并添加SAE-EXT-KEY和/或FT + SAE-EXT-KEY AKM以及GCMP256密码。因此，基于口令的WLAN不可能同时具有对较旧客户端的最大兼容性和Wi-Fi 7性能。

在这种情况下，我们需要为更近的Wi-Fi 6E和Wi-Fi 7客户端配置SAE、FT + SAE、SAE-EXT-KEY和FT + SAE-EXT-KEY的专用WPA3专用SSID，提供AES(CCMP128)和GCMP256密码。

注意：如果在WLAN上启用了(FT +)SAE，并且Wi-Fi 7客户端尝试与其关联，而不是(FT +)SAE-EXT-KEY，则会拒绝该请求。只要(FT +)SAE-EXT-KEY也启用，Wi-Fi 7客户端无论如何都必须使用后一个AKM，并且此问题一定不会发生。

另一方面，另一个常规WPA2 SSID仍可容纳剩余的旧版客户端。

虽然此组合会增加总SSID的数量，但它允许保持一个SSID的最大兼容性，这样我们可能也会禁用其他可能影响兼容性且对许多IoT场景有帮助的高级功能，同时通过另一个SSID为较新的设备提供最大功能和性能。

当然，还有一个选项也可能是不提供Wi-Fi 7 SSID，只保留一个配置用于WPA2 PSK和WPA3 SAE的SSID。其背后的理念可能是，IoT设备无论如何都不需要Wi-Fi 7性能。

此方法仍然支持6 GHz的Wi-Fi 6E和Wi-Fi 7客户端，这些客户端最多能连接Wi-Fi 6E性能。

在所有这些方案中，我们强烈建议使用SAE时启用FT。SAE帧交换在资源方面成本高昂，并且比WPA2 PSK 4次握手更长。

一些设备制造商，如苹果，期望仅在启用FT时使用SAE，如果无法连接，可以拒绝连接。

开放/增强型开放/OWE/访客网络

访客网络具有多种风格。通常，它们不需要802.1X凭证或密码短语进行连接，并且可能意味着启动页或门户，可能需要凭证或代码。这通常通过开放式SSID以及本地或外部访客门户解决方案来处理。但是，在6 GHz或Wi-Fi 7支持中不允许使用具有开放安全（无加密）的SSID。

第一个非常保守的方法是最多将访客网络专用于5 GHz频段和Wi-Fi 6。这就为企业设备保留了6 GHz频段，解决了复杂性问题并带来了最大兼容性，尽管其性能不高达Wi-Fi 6E/7。

如果我们想向访客提供6 GHz服务，建议创建具有增强型开放/OWE（机会无线加密）的独立SSID。 它可以同时提供AES(CCMP128)加密技术，最大兼容至Wi-Fi 6E客户端，并为支持Wi-Fi 7的客户端提供GCMP256位。

如果一方面增强型开放是提供隐私的出色安全方法，同时保持“开放”体验（最终用户无需输入任何802.1X凭证或密码），那么直到今天，它在终端之间的支持仍然有限。一些客户端仍然不支持它，即使它们支持，这种技术也并非总是能够顺利处理（设备可以将连接显示为非安全，而实际上它是安全的，或者可以将其显示为受密码保护的，即使不需要使用OWE的密码）。访客网络需要在所有访客不受控制的设备上运行，仅提供增强型开放SSID可能为时过早，建议通过单独的SSID提供两种选项：5 GHz的开放端口和5 GHz和6 GHz的OWE端口，如果这也需要的话，两者后面都有相同的强制网络门户。过渡模式在Wi-Fi 6E、6 GHz（即使软件上仍允许过渡模式）或Wi-Fi 7上不受支持，因此不建议采用此解决方案。OWE仍支持所有门户重定向技术（内部或外部Web身份验证、中央Web身份验证……）。

其他WPA3和相关选项

虽然WPA3选项在WPA3部署指南中进行了最详细的描述和介绍，但本节介绍一些有关WPA3的额外建议，具体涉及6 GHz和Wi-Fi 7支持。

信标保护

该功能可解决该漏洞，恶意攻击者可在该漏洞中传输信标而非合法接入点，同时修改某些字段以更改已关联客户端的安全性或其他设置。信标保护是信标中的一个额外信息元素，作为信标本身的签名，以证明它是合法接入点发送的，并且未被篡改。只有具有WPA3加密密钥的关联客户端可以验证信标的合法性，探测客户端无法验证信标。信标中的其他信息元素必须被不支持它的客户端（非Wi-Fi 7客户端）忽略，并且通常不会出现兼容性问题（除非具有编程不当的客户端驱动程序）。

GCMP256

在Wi-Fi 7认证之前，大多数客户端都实施AES(CCMP128)密码加密。CCMP256和GCMP256是与SUITE-B 802.1X AKM相关的非常具体的变体。虽然市场上的某些第一代Wi-Fi 7客户端声称Wi-Fi 7支持，但它们可能仍未实施GCMP256加密，如果Wi-Fi 7 AP按预期实施标准阻止这些客户端在没有适当的GCMP256支持的情况下进行连接，则可能会产生问题。

故障排除和验证

Wireless Configuration Analyzer Express最新版本(https://developer.cisco.com/docs/wireless-troubleshooting-tools/wireless-config-analyzer-express-gui/)具有Wi-Fi 7就绪性检查，可评估您的9800配置满足上述所有Wi-Fi 7要求。

如果您仍然怀疑您的配置是否为Wi-Fi 7就绪，则WCAE会让您知道问题所在。

参考