Abbiamo attivato l'802.11r e rotto un terzo dei nostri client

L'802.11r — Fast BSS Transition — riduce il tempo che un client impiega per riautenticarsi quando fa roaming. È una buona funzione e dovreste usarla.

È anche la funzione più capace di rivelare che il vostro parco client è più eterogeneo di quanto dica il vostro registro asset.

Cosa è andato storto

Un'organizzazione ha attivato l'FT su tutti gli SSID in un'unica finestra di cambiamento, sulla base ragionevole che lo standard ha quindici anni e che il loro controller lo ha attivato con una sola casella di spunta.

Alle 9:30 del mattino successivo: una flotta di lettori di codici a barre portatili non riusciva ad associarsi affatto. Una marca di telefono IP si associava e poi cadeva ogni pochi minuti. Diversi laptop più datati si connettevano bene ma facevano roaming più lentamente di prima.

I client che si sono rotti erano, prevedibilmente, quelli che nessuno aveva testato.

Le tre modalità, e perché over-the-DS è la trappola

• FT over-the-air — il client parla direttamente con l'AP di destinazione prima di fare roaming. Ampiamente supportato ed è l'impostazione predefinita più sicura.
• FT over-the-DS — il client parla con l'AP di destinazione attraverso il suo AP attuale. Più efficiente in teoria, sensibilmente meno supportato nella pratica.
• Modalità adattive / miste — annunciano l'FT solo ai client che indicano supporto. Dove esiste, è il punto di partenza sensato, anche se alcuni client dichiarano un supporto che non hanno.

La maggior parte dei problemi FT sul campo risale all'over-the-DS.

Come distribuirlo correttamente

1. Inventariate i client per capacità 802.11, non per etichetta asset. Estraete i dati di associazione ed elencate OUI distinti e flag di capacità. L'elenco è sempre più vecchio del previsto.
2. Costruite un SSID di test sull'infrastruttura di produzione, così state testando l'RF reale.
3. Testate prima i dispositivi problematici. Lettori di codici a barre, telefoni IP, telemetria medica, lettori badge, stampanti.
4. Attivate prima l'over-the-air. Considerate l'over-the-DS solo dopo che è stabile.
5. Fate il rollout per SSID, non globalmente. Prima i laptop aziendali, poi la voce, poi l'IoT per ultimo o mai.
6. Mantenete un SSID di riserva senza FT. È poco elegante e meglio di un magazzino rotto.

La lezione generale

Ogni funzione di roaming è una negoziazione con un firmware client che non controllate e non potete correggere. Attivatele una alla volta, su un SSID alla volta, con un modo per fare rollback, e con i dispositivi meno alla moda del vostro parco come set di test.

Abbiamo commesso esattamente questo errore in uno studio legale — testato sui telefonini attuali, rotto quelli del 2019. Non sono mai i laptop.