Best practice Wi-Fi: la checklist su cui vale la pena discutere

Ogni voce qui risolve un problema reale che abbiamo visto più di una volta. Se non siete d'accordo con qualcuna, che sia una scelta deliberata, non accidentale.

RF

• Progettate per la capacità, non per la copertura. Contate prima dispositivi e applicazioni.
• Puntate a -67 dBm di copertura primaria sulla banda più alta da cui dipendete, con 25 dB di SNR.
• Canali da 20 MHz a 2,4 GHz. Sempre. Non c'è eccezione.
• 40 MHz a 5 GHz negli ambienti densi, 80 MHz dove il budget di canali lo consente davvero.
• 80 MHz a 6 GHz come predefinito. 160 MHz solo a bassa densità. 320 MHz quasi mai, in interni.
• Disabilitate la radio a 2,4 GHz sulla maggioranza degli AP in un dispiegamento denso.
• Impostate la potenza di trasmissione dell'AP in base al vostro client più debole — di solito 11-17 dBm in interni, non il massimo.
• Decidete la questione DFS deliberatamente e registrate il perché.

Configurazione

• Disabilitate le velocità dati 802.11b. Impostate la velocità base minima a 12 o 24 Mbps.
• Massimo tre o quattro SSID. Usate VLAN assegnate via RADIUS invece della proliferazione di SSID.
• Abilitate 802.11k, 802.11v e 802.11r — e testate l'802.11r sul vostro mix di client prima del rollout globale.
• Attivate l'airtime fairness.
• Limitate la velocità o convertite il multicast e il broadcast; disabilitate del tutto l'inoltro multicast sugli SSID guest.
• Impostate un timeout di inattività client sensato. Le associazioni fantasma consumano spazio in tabella e confondono i report di capacità.
• Disabilitate WEP, TKIP e WPA1 legacy ovunque, senza eccezioni.

Sicurezza

• WPA3-Enterprise con 802.1X per i dispositivi aziendali; modalità di transizione WPA2-Enterprise solo finché avete ancora client legacy, con una data di fine.
• Validate il certificato del server RADIUS sui client. Un dispiegamento 802.1X in cui i client accettano qualunque certificato è banalmente attaccabile con phishing, ed è il fallimento di sicurezza Wi-Fi aziendale più comune in assoluto.
• Usate l'OWE per le reti guest anziché un BSS completamente aperto.
• PSK per dispositivo (variamente PPSK, iPSK, DPSK) per l'IoT che non può fare 802.1X — molto meglio di una chiave condivisa unica su 400 dispositivi.
• Abilitate i Protected Management Frames. Obbligatori a 6 GHz, vale la pena abilitarli ovunque.
• Segmentate l'IoT sulla sua VLAN con filtraggio in uscita. Presumete che ogni dispositivo IoT venga prima o poi compromesso.
• Attivate il rilevamento AP canaglia e leggete davvero gli avvisi.

Operazioni

• Monitorate l'utilizzo del canale come metrica di salute primaria, non il numero di client o l'intensità del segnale.
• Impostate avvisi su riavvii degli AP, budget PoE in avvicinamento al limite ed eventi radar.
• Mantenete il firmware aggiornato ma non all'avanguardia assoluta: una versione minore dietro l'ultima è di solito il punto ottimale. Leggete le note di rilascio per regressioni di compatibilità client.
• Rifate il sopralluogo dopo ogni cambiamento significativo a muri, scaffalature, occupazione o mobili. Gli edifici cambiano.
• Tenete un registro di compatibilità dei dispositivi: cosa si è rotto, su quale firmware, con quale client, e come è stato risolto.
• Fate un baseline delle prestazioni mentre tutto funziona, così avete qualcosa con cui confrontarvi quando non funziona.

Le due abitudini più importanti

Scrivete il perché. Ogni decisione non predefinita — DFS spento, 2,4 GHz disattivato in un'ala, un SSID legacy mantenuto in vita — ha bisogno di una riga di motivazione registrata da qualche parte che il prossimo ingegnere troverà.

Misurate prima di cambiare. L'istinto di aggiungere un access point, alzare la potenza o allargare un canale è quasi sempre sbagliato. Raccogliete prima utilizzo del canale e SNR; i dati di solito indicano tutt'altro.