Nous avons activé le 802.11r et cassé un tiers de nos clients

Le 802.11r — Fast BSS Transition — réduit le temps qu'un client passe à se réauthentifier lorsqu'il change de point d'accès. C'est une bonne fonctionnalité et vous devriez l'utiliser.

C'est aussi la fonctionnalité la plus susceptible de révéler que votre parc de clients est plus hétérogène que ne le dit votre inventaire.

Ce qui s'est mal passé

Une organisation a activé le FT sur tous les SSID en une seule fenêtre de changement, en partant du principe raisonnable que la norme a quinze ans et que leur contrôleur l'activait d'une simple case à cocher.

Dès 9h30 le lendemain matin : toute une flotte de douchettes à code-barres ne parvenait plus à s'associer. Une marque de téléphones IP s'associait puis se déconnectait toutes les quelques minutes. Plusieurs ordinateurs portables plus anciens se connectaient bien mais itinéraient plus lentement qu'avant.

Les clients qui ont cassé étaient, sans surprise, ceux que personne n'avait testés.

Les trois modes, et pourquoi over-the-DS est le piège

• FT over-the-air — le client parle directement au point d'accès cible avant l'itinérance. Largement pris en charge et le choix par défaut le plus sûr.
• FT over-the-DS — le client parle au point d'accès cible via son point d'accès actuel. Plus efficace en théorie, nettement moins bien pris en charge en pratique.
• Modes adaptatifs / mixtes — n'annoncent le FT qu'aux clients qui indiquent le prendre en charge. Là où ils existent, c'est le point de départ raisonnable, même si certains clients revendiquent une prise en charge qu'ils n'ont pas.

La plupart des problèmes de FT sur le terrain remontent à l'over-the-DS.

Comment le déployer correctement

1. Inventoriez les clients par capacité 802.11, pas par étiquette d'actif. Récupérez les données d'association et listez les OUI et indicateurs de capacité distincts. La liste est toujours plus datée que prévu.
2. Créez un SSID de test sur l'infrastructure de production, afin de tester de véritables conditions RF.
3. Testez d'abord les appareils problématiques. Douchettes à code-barres, téléphones IP, télémétrie médicale, lecteurs de badges, imprimantes.
4. Activez d'abord l'over-the-air. N'envisagez l'over-the-DS qu'une fois celui-ci stable.
5. Déployez par SSID, pas globalement. Les ordinateurs portables d'entreprise d'abord, puis la voix, puis l'IoT en dernier ou jamais.
6. Conservez un SSID de repli sans FT. C'est peu élégant, et préférable à un entrepôt en panne.

La leçon générale

Chaque fonctionnalité d'itinérance est une négociation avec un micrologiciel client que vous ne contrôlez pas et ne pouvez pas corriger. Activez-les une à une, sur un SSID à la fois, avec un moyen de revenir en arrière, et avec les appareils les moins à la mode de votre parc comme échantillon de test.

Nous avons fait exactement cette erreur dans un cabinet d'avocats — testé sur les combinés actuels, cassé ceux de 2019. Ce ne sont jamais les ordinateurs portables.