Wi-Fi Best Practices: die Checkliste, über die es sich zu streiten lohnt

Jeder Punkt hier behebt ein echtes Problem, das wir mehr als einmal gesehen haben. Widersprechen Sie jedem davon bewusst, nicht versehentlich.

HF

• Für Kapazität designen, nicht für Abdeckung. Zählen Sie zuerst Geräte und Anwendungen.
• Zielwert -67 dBm primäre Abdeckung im höchsten Band, auf das Sie angewiesen sind, mit 25 dB SNR.
• 20-MHz-Kanäle bei 2,4 GHz. Immer. Es gibt keine Ausnahme.
• 40 MHz bei 5 GHz in dichten Umgebungen, 80 MHz, wo das Kanalbudget es wirklich erlaubt.
• 80 MHz bei 6 GHz als Standard. 160 MHz nur bei geringer Dichte. 320 MHz im Innenbereich fast nie.
• Deaktivieren Sie das 2,4-GHz-Funkmodul bei der Mehrheit der APs in einer dichten Installation.
• Setzen Sie die AP-Sendeleistung passend zu Ihrem schwächsten Client – üblicherweise 11–17 dBm im Innenbereich, nicht das Maximum.
• Entscheiden Sie die DFS-Frage bewusst und dokumentieren Sie warum.

Konfiguration

• Deaktivieren Sie 802.11b-Datenraten. Setzen Sie die minimale Basisrate auf 12 oder 24 Mbit/s.
• Maximal drei bis vier SSIDs. Verwenden Sie RADIUS-zugewiesene VLANs statt SSID-Wucherung.
• Aktivieren Sie 802.11k, 802.11v und 802.11r – und testen Sie 802.11r gegen Ihren Client-Mix vor dem globalen Rollout.
• Aktivieren Sie Airtime Fairness.
• Ratenbegrenzen oder umwandeln Sie Multicast und Broadcast; deaktivieren Sie die Multicast-Weiterleitung bei Gast-SSIDs vollständig.
• Setzen Sie ein sinnvolles Client-Idle-Timeout. Geister-Assoziationen belegen Tabellenplatz und verfälschen die Kapazitätsberichterstattung.
• Deaktivieren Sie veraltetes WEP, TKIP und WPA1 überall, ohne Ausnahme.

Sicherheit

• WPA3-Enterprise mit 802.1X für Unternehmensgeräte; WPA2-Enterprise-Übergangsmodus nur, solange Sie noch Altgeräte haben, mit einem Enddatum.
• Validieren Sie das RADIUS-Server-Zertifikat auf den Clients. Eine 802.1X-Installation, bei der Clients jedes Zertifikat akzeptieren, ist trivial phishbar, und das ist mit Abstand das häufigste Sicherheitsversagen bei Enterprise-Wi-Fi.
• Verwenden Sie OWE für Gastnetzwerke statt eines vollständig offenen BSS.
• Pro-Gerät-PSK (je nach Hersteller PPSK, iPSK, DPSK) für IoT, das kein 802.1X kann – weit besser als ein gemeinsamer Schlüssel für 400 Geräte.
• Aktivieren Sie Protected Management Frames. Bei 6 GHz zwingend, überall lohnenswert.
• Segmentieren Sie IoT in ein eigenes VLAN mit Egress-Filterung. Gehen Sie davon aus, dass jedes IoT-Gerät irgendwann kompromittiert wird.
• Aktivieren Sie die Erkennung von Rogue-APs und lesen Sie die Alarme auch tatsächlich.

Betrieb

• Überwachen Sie die Kanalauslastung als primäre Gesundheitsmetrik, nicht die Client-Anzahl oder die Signalstärke.
• Alarmieren Sie bei AP-Neustarts, sich der Grenze näherndem PoE-Budget und Radarereignissen.
• Halten Sie die Firmware aktuell, aber nicht bleeding-edge: ein kleineres Release hinter dem neuesten ist meist der Sweet Spot. Lesen Sie die Release Notes auf Regressionen bei der Client-Kompatibilität.
• Führen Sie nach jeder wesentlichen Änderung an Wänden, Regalen, Belegung oder Möblierung eine erneute Messung durch. Gebäude verändern sich.
• Führen Sie ein Geräte-Kompatibilitätsregister: was ist kaputtgegangen, bei welcher Firmware, mit welchem Client, und wie wurde es gelöst.
• Erfassen Sie eine Leistungs-Baseline, während alles funktioniert, damit Sie etwas zum Vergleich haben, wenn es das nicht mehr tut.

Die zwei wichtigsten Gewohnheiten

Schreiben Sie das Warum auf. Jede von der Standardeinstellung abweichende Entscheidung – DFS aus, 2,4 GHz in einem Flügel deaktiviert, eine Alt-SSID am Leben erhalten – braucht eine einzeilige Begründung, dokumentiert an einer Stelle, die der nächste Ingenieur finden wird.

Messen, bevor Sie ändern. Der Instinkt, einen Access Point hinzuzufügen, die Leistung zu erhöhen oder einen Kanal zu verbreitern, ist fast immer falsch. Erfassen Sie zuerst Kanalauslastung und SNR; die Daten zeigen meist auf etwas ganz anderes.