Une école qui a survécu à la première semaine de septembre pour la première fois

Le réseau sans fil de l'école fonctionnait correctement la majeure partie de l'année et échouait systématiquement la première semaine de septembre. Cela s'était produit trois années de suite, et avait été remonté aux administrateurs.

Le schéma était précis : le premier lundi du trimestre, à partir d'environ 8h40, les appareils s'associaient puis échouaient à obtenir une adresse ou à s'authentifier. Les choses s'amélioraient le mercredi. Dès la deuxième semaine, le réseau fonctionnait bien.

Trois cycles d'investigation précédents avaient conclu qu'il fallait davantage de points d'accès.

Ce qui se passait réellement

Trois problèmes distincts survenant au même moment.

Épuisement du pool DHCP. Le VLAN élèves disposait d'un /22 — environ 1 000 adresses utilisables — avec un bail de 24 heures. Neuf cents élèves arrivant avec deux appareils chacun, plus le personnel, plus chaque appareil resté éteint pendant six semaines demandant une nouvelle adresse, dépassait ce total avant la première récréation. Le pool restait ensuite épuisé car les baux n'expiraient pas.

Saturation RADIUS. Le serveur d'authentification était une machine virtuelle unique dimensionnée plusieurs années auparavant. Deux mille authentifications 802.1X simultanées à 8h40 produisaient une file d'attente, des délais d'expiration, et des clients qui réessayaient — ce qui augmentait encore la charge.

Problèmes de capacité réels dans deux espaces. Le grand hall et le centre des terminales étaient réellement sous-dimensionnés, et c'étaient les seuls endroits où le diagnostic « il faut plus de points d'accès » était correct.

Deux des trois problèmes n'étaient pas du tout des problèmes sans fil. Ils se présentaient simplement comme « le Wi-Fi ne fonctionne pas », parce que c'est ce qu'un élève voit.

Les correctifs peu glamour d'abord

• Pool DHCP élargi à un /21 et durée de bail réduite à 4 heures pendant la rentrée, revenant à 12 heures ensuite. Ce seul changement a supprimé le plus grand mode de défaillance.
• RADIUS mis à l'échelle sur deux instances derrière un répartiteur de charge, avec le délai d'expiration d'authentification relevé et l'intervalle de nouvelle tentative client ajusté pour qu'une réponse lente ne produise pas une tempête de nouvelles tentatives.
• EAP-TLS basé sur certificat pour les appareils gérés par l'école, remplaçant PEAP-MSCHAPv2. Cela a supprimé entièrement les échecs liés aux mots de passe et la charge d'assistance associée pour cette classe d'appareils.
• PSK par appareil pour le parc BYOD des élèves, qui ne peut pas prendre de certificat. Chaque appareil élève reçoit une clé liée à son dossier et atterrissant sur le VLAN élèves.

Le travail sans fil

• 16 points d'accès supplémentaires, dont 11 dans le grand hall et le centre des terminales où la capacité était réellement insuffisante.
• Grand hall reconfiguré d'une grille plafond vers une disposition directionnelle avant-et-côté pour les rassemblements, avec des canaux à 20 MHz lors des événements pour toute l'école.
• Largeurs de canaux réduites à 20 MHz dans les espaces d'enseignement, et 40 MHz conservé uniquement dans les zones à faible densité.
• Débit de base minimal relevé à 12 Mbps, et 2,4 GHz désactivé sur environ 60 % des points d'accès.
• Deux bâtiments classés traités avec des goulottes montées en surface et des points d'accès dans des emplacements approuvés par le patrimoine, ce qui a contraint le placement et nécessité deux unités supplémentaires pour compenser.

La répétition générale

Le changement que tout le monde a trouvé le plus utile n'était pas technique. Deux semaines avant la rentrée, l'informatique a mené une répétition en charge : 40 appareils du personnel plus un script générant une charge d'authentification synthétique, dans le grand hall, à grande échelle.

Cela a permis de découvrir un attribut RADIUS mal configuré qui aurait fait échouer chaque appareil élève dès le premier jour.

Première semaine de trimestre : 22 tickets d'assistance contre 287 l'année précédente. Aucun épuisement DHCP. Les échecs d'authentification au pic sont passés de 410 à 11 par jour.

L'utilisation du canal dans le grand hall pendant le rassemblement de toute l'école est passée de 84 % à 38 %.

La propre mesure de l'école était que le réseau n'a pas été évoqué lors de la première réunion des administrateurs de l'année, ce qui ne s'était jamais produit auparavant.

Le bilan honnête

Sur les quatre changements les plus importants, trois n'étaient pas des changements sans fil. Le pool DHCP, la mise à l'échelle RADIUS et la méthode d'authentification représentaient à eux seuls la majorité de l'amélioration.

Les trois années précédentes d'investigation s'étaient concentrées sur la couche d'accès parce que c'est là que le symptôme apparaissait. C'est l'erreur de diagnostic la plus courante en sans fil, et une école en septembre est l'environnement le plus susceptible de l'exposer.