Wi-Fi Roaming Neden Kopar? 802.11k, 802.11v ve 802.11r

Depoda el terminaliyle raflar arasında yürüyen bir çalışan, koridorun ortasında uygulamanın “bağlantı yok” uyarısını görüyor. Wi-Fi telefonuyla konuşan biri katın bir ucundan diğerine geçerken birkaç kelimeyi kaçırıyor. İki şikâyetin ortak noktası, cihazın bir AP’den diğerine geçtiği an: roaming.

Roaming kararını ağ değil istemci verir; bu ayrım ve bağlantının ilk kuruluş adımları Wi-Fi’ye Bağlanırken Ne Olur? yazısında anlatıldı. Bu yazı bir geçişi adımlarına ayırıyor ve kopmanın hangi adımda oluştuğunu bulmaya odaklanıyor. Ardından 802.11k, 802.11v ve 802.11r’nin hangi adımı hızlandırdığını ve bunları açmanın istemci tarafındaki risklerini ele alıyor.

Bir geçiş beş adımdır

Huawei’nin roaming tanımı, Cisco’nun hızlı roaming belgesi ve Meraki’nin roaming belgesi geçişi benzer adımlarla anlatır. Teşhis için bu adımları ayrı ayrı düşünmek gerekir:

Karar: İstemci mevcut AP’den ayrılmaya kendi algoritmasıyla karar verir. Eşik cihaza göre değişir. Apple’ın belgesine göre iPhone ve iPad, bağlı oldukları AP’nin sinyali −70 dBm eşiğini geçene, yani bu değerin altına düşene kadar bağlantıyı sürdürür; Mac’lerde bu eşik −75 dBm’dir. Sinyal ölçüsünün anlamı RSSI, SNR ve dBm yazısında.
Tarama: İstemci aynı SSID’yi yayınlayan aday AP’leri arar. Bunun için kanalları dinler ya da probe gönderir.
Yeniden ilişkilendirme: Seçtiği AP ile 802.11 authentication ve reassociation çerçevelerini değiş tokuş eder.
Kimlik doğrulama: Enterprise ağlarda 802.1X ile kimlik yeniden doğrulanabilir; EAP mesajları RADIUS sunucusuna gidip gelir. Personal ağlarda bu adım yoktur; parola zaten bilindiği için Meraki’nin belirttiği gibi anahtarı türetmek için gereken her şey hazırdır. 802.1X’in kendisi NAC: 802.1X, RADIUS ve MAB, Personal ile Enterprise farkı WPA2, WPA3 ve Enterprise yazısında.
Anahtarlar: Yeni AP ile oturum anahtarları oluşturulur. Normal bir geçişte bu 4-way handshake ile yapılır.

Bu beş adım IP adresini kapsamaz. İstemci aynı VLAN’da, yani aynı L2 alanında kalıyorsa adresi değişmez ve DHCP gerekmez; Huawei roaming’in amacını tam da IP adresinin ve oturumun korunması olarak tanımlar. Geçişte VLAN değişiyorsa ya da AP’ler farklı alt ağlara çıkıyorsa durum mimariye bağlıdır. Bridge ve tunnel modlarında adresin nasıl korunduğu Local Bridge mı, Tunnel Forwarding mi? yazısında anlatıldı. Bazı uygulamalarda DHCP bir ayar yüzünden geçişe girer: Meraki’nin belgesine göre “Mandatory DHCP” açık SSID’lerde MR 32 öncesi sürümler, geçiş sonrası trafiğe izin vermek için yeni bir DHCP alışverişi bekliyordu.

Kopma hangi adımda?

Meraki’nin belgesi yavaş geçişin sesli aramalarda kesinti, görüntülü yayınlarda takılma olarak hissedildiğini belirtir. Şikâyet aynı olsa da nedeni farklı adımlarda olabilir:

İstemci zayıf sinyalde eski AP’de kalıyor: Sorun karar adımındadır. Yeni AP’nin sinyali iyi olduğu hâlde istemci eşiğine ulaşmamıştır ya da eşiği çok düşüktür. Kapsama planı ve istemcinin sürücü ayarları incelenir. Band steering ve yük dengeleme bu yazının konusu değildir.
Geçişten önce uzun bir boşluk var: Tarama adımı uzundur. İstemci her kanalı tek tek dinliyor olabilir.
İlişkilendirme hızlı, ama trafik bir süre gelmiyor; RADIUS loglarında her geçişte yeni bir EAP oturumu görülüyor: Kimlik doğrulama adımı her geçişte baştan yapılıyordur.
İstemci SSID’ye hiç bağlanamıyor ya da yalnızca bazı AP’lerde sorun var: Bir güvenlik ya da hızlı geçiş ayarı istemciyle uyumsuz olabilir; aşağıdaki uyumluluk bölümüne bakılır.
Geçişten sonra IP adresi değişiyor ve uygulama oturumu kopuyor: Sorun Wi-Fi adımlarında değil, VLAN ya da L3 tasarımındadır.

Kanıt üç yerden toplanır: controller ya da yönetim panelindeki istemci olay geçmişi (hangi AP’den hangisine, ne zaman), RADIUS logları ve gerekiyorsa kablosuz paket yakalama. İstemcinin kendi ekranındaki “bağlı” göstergesi geçişin hangi adımda takıldığını söylemez.

802.11k, 802.11v ve 802.11r: her biri neye dokunur?

Üç standart üç farklı soruna yanıt verir: 802.11k nereye bakılacağını, 802.11v nereye gidilebileceğini, 802.11r geçişin ne kadar hızlı ve güvenli tamamlanacağını.

802.11k tarama adımına yardım eder. İstemci bağlı olduğu AP’den bir komşu raporu ister ve aday AP’leri, kanallarıyla birlikte önceden öğrenir. Bu taramayı ortadan kaldırmaz, daraltır. Apple’ın belgesine göre iPhone ve iPad, komşu raporundaki ilk altı girişi taranacak kanalları önceliklendirmek için kullanır; önce bu kanalları tarar ve uygun sinyalli bir aday bulursa geçer. Cisco da raporun istemcinin geniş bir RF taraması yapma ihtiyacını azalttığını anlatır; istemci adayları yine de kendisi dinleyip doğrular. 802.11k desteklemeyen istemciler komşu listesi istemez. Apple, komşu raporu yoksa istemcinin her banttaki her kanalı taraması gerektiğini ve bunun sürece birkaç saniye ekleyebileceğini belirtir.

802.11v (BSS Transition Management) karar adımına dokunur: AP istemciye gidebileceği daha uygun AP’lerin listesini önerir. Cisco’nun belgesi bunu açıkça yazar: AP’nin gönderdiği BSS geçiş isteği yalnızca bir öneridir; istemci uyabilir ya da yok sayabilir.

Zorla bağlantı kesme ayrı bir davranıştır ve öneri değildir. Cisco 9800’de “disassociation imminent” seçeneği, istemci belirli bir süre içinde başka bir AP’ye geçmezse bağlantısını keser. Huawei’nin akıllı roaming özelliği yapışkan istemciyi 802.11v ile ya da bağlantısını keserek hedef AP’ye yönlendirir. Fortinet’in kılavuzu kendi 802.11v seçeneğini, yoğun bir AP’ye bağlanmaya çalışan istemcilere deauthentication çerçevesi göndermek olarak tanımlar. Aynı adla anılan ayarlar üreticiden üreticiye farklı davranabilir. Cisco’nun TAC notuna göre istemciyi proaktif olarak düşüren optimize roaming her ağa uygun değildir; AP’ler arasındaki kapsama yeterli değilse yeni sorunlar çıkarabilir.

802.11r kimlik doğrulama ve anahtar adımlarını kısaltır. Ayrıntısı bir sonraki bölümde.

Hızlı geçiş: dört yöntem, üç örnek akış

Dört yöntem, üç örnek akış: PMK önbelleği ve OKC aynı satırdadır. Önbellek yalnızca EAP'yi atlatır; 802.11r kimlik ve anahtar işlemlerini yeniden ilişkilendirmeyle birleştirir.

Hızlı geçiş için kullanılan dört yöntem aynı şey değildir; hangi adımı atladıkları farklıdır. Diyagram üç örnek akış gösterir: PMK önbelleği ve OKC aynı adımları izlediği için tek satırdadır.

Tam yeniden doğrulama: Önbellek yoksa 802.1X istemcisi her yeni AP’de EAP’yi baştan yapar, ardından 4-way handshake gelir. En uzun yol budur.
PMK önbelleği: 802.11i’de tanımlıdır. Meraki ve Huawei’nin belgelerine göre istemci daha önce kimliğini doğruladığı bir AP’ye döndüğünde reassociation çerçevesinde PMK kimliğini (PMKID) gönderir; eşleşme bulunursa EAP atlanır ve doğrudan 4-way handshake yapılır. Yalnızca daha önce bağlanılan AP’ye dönüşte işe yarar.
OKC (Opportunistic Key Caching): Standart değildir. Meraki’ye göre aynı ağdaki AP’ler istemcinin PMK bilgisini paylaşır; istemci daha önce hiç görmediği bir AP’de de EAP’yi atlar. 4-way handshake yine yapılır. HPE Aruba’nın Instant kılavuzu da OKC ile istemcinin yalnızca 4-way handshake yaptığını belirtir. Meraki, OKC’yi Windows istemcilerin ve bazı Android cihazların desteklediğini not eder.
802.11r (FT, Fast BSS Transition): IEEE standardıdır. Cisco’nun 802.11r kılavuzuna göre anahtar hesabı geçişten önce, FT el sıkışması sırasında yapılır ve oturum anahtarları reassociation ile birlikte uygulanır. Huawei’nin tanımıyla FT, geçiş sırasında 802.1X kimlik doğrulaması ve ayrı bir anahtar müzakeresi gerektirmez.

FT iki yolla yapılabilir. Over-the-air yönteminde istemci hedef AP ile doğrudan konuşur. Over-the-DS yönteminde istemci mesajları bağlı olduğu AP üzerinden gönderir; mesajlar AP’leri birbirine bağlayan dağıtım sistemi, yani kablolu taraf üzerinden hedef AP’ye ulaşır. Cisco’nun controller tabanlı mimarisinde bu yol controller’dan geçer; başka mimarilerde yol farklı olabilir. Cisco’nun kılavuzu, ağ over-the-DS’yi duyuruyorsa istemcilerin genellikle onu tercih ettiğini not eder. Teşhiste bu fark şunun için önemlidir: over-the-DS’de istemci ilk FT mesajlarını mevcut AP’ye gönderir; bu mesajlar hedef AP’nin kanalında görünmez, kablolu tarafta taşınır. Hedef AP’nin kanalını dinleyen bir paket yakalama bu yüzden geçişin başını göremeyebilir.

Personal ağlarda atlanacak bir EAP adımı yoktur. Meraki bu yüzden PMK önbelleği ve OKC’nin WPA2-Personal’da kullanılmadığını belirtir. FT ise Personal ağlarda da kullanılabilir, ama bunun istemci tarafından desteklenmesi gerekir.

Uyumluluk: FT’yi açmadan önce

802.11r açmak bir SSID ayarıdır, ama etkisi istemcide görülür:

Eski sürücüler: Cisco’nun 802.11r kılavuzuna göre, sürücüsü SSID’nin duyurduğu yeni FT anahtar yönetimi türlerini (AKM) tanımayan eski istemciler bu SSID’ye hiç bağlanamayabilir. Öncelik istemcinin sürücüsünü ya da yazılımını güncellemektir. Platform ve istemci destekliyorsa karma ya da uyarlamalı FT kullanılabilir (aşağıda). Bunlar da uymuyorsa eski cihazlar farklı adlı ayrı bir SSID’ye alınır. Aynı kılavuz aynı adla FT’li ve FT’siz iki SSID yayınlamayı da bir geçici çözüm olarak verir; ancak bu, 2016 tarihli AireOS kılavuzuna özgü bir yoldur. Cisco’nun güncel 6 GHz ve Wi-Fi 7 belgesi, SSID adının istemcinin sorunsuz geçebileceği BSS’leri tanımladığını ve aynı adı farklı güvenlik ayarlarıyla kullanmanın geçersiz ve tehlikeli olduğunu belirtir. HPE Aruba’nın Instant kılavuzu ise 802.11r desteklemeyen istemcinin normal WPA2 kimlik doğrulamasına döndüğünü belirtir. Davranış platforma ve istemciye göre değişir; asıl sonuç cihazla yapılan testte görülür.
Karma ve uyarlamalı modlar: Cisco’nun kılavuzu, FT’li ve FT’siz anahtar yönetimini aynı SSID’de sunan karma (mixed) modu anlatır. Meraki’nin Adaptive 802.11r seçeneği FT’yi yalnızca tanıdığı iOS cihazlara açar. Meraki’ye göre bu seçenek yalnızca WPA2 modunda çalışır; WPA3’e geçildiğinde ayar “Enabled” olarak değişir. Apple’a göre Adaptive 802.11r, Cisco tarafında 8.3 ve sonrası sürümleri, istemci tarafında iOS 10, iPadOS 13.1 ve macOS 10.13 ya da sonrasını gerektirir.
İstemci desteği aynı değildir: Microsoft’un belgesine göre Windows 10, FT’yi yalnızca 802.1X kullanan ağlarda destekler; PSK ve açık ağlarda desteklemez, bu durumda OKC’ye döner. Apple’a göre listelenen iPhone, iPad ve Apple silicon Mac modelleri 802.11k, 802.11r ve 802.11v’yi destekler ve FT donanım üreticisine bağlı olarak hem PSK hem 802.1X ile çalışabilir. Intel işlemcili Mac’ler 802.11k, r ve v’yi desteklemez. WPA3’te FT için ayrı anahtar yönetimi türleri vardır (SAE ile FT, SHA-256’lı 802.1X ile FT); desteği cihaza, güvenlik yöntemine ve yazılım sürümüne göre değişir. Bir özelliğin bütün cihazlarda aynı çalışacağı varsayılmaz.
Varsayılanlar farklıdır: Meraki’de 802.11r varsayılan olarak kapalıdır ve Meraki açmadan önce kritik cihazlarla bir uyumluluk denetimi önerir. HPE Aruba AOS 10’da 802.11r varsayılan olarak açık, OKC kapalıdır; 802.11k açıldığında 802.11v arka planda etkinleşir. Fortinet’in teknik notuna göre FortiGate’te 802.11r’yi destekleyen istemci FT kullanır, desteklemeyen istemci OKC’ye ya da tam kimlik doğrulamaya döner; Fortinet OKC’yi FT ile birlikte açık tutmayı önerir.
AP yazılım sürümleri: Meraki’nin belgesi, karma bir kurulumda Wi-Fi 6 modelleri ile 25.x ya da daha eski sürüm çalıştıran AP’ler arasında FT’nin desteklenmediğini ve bütün AP’lerin en az 26.4’e yükseltilmesi gerektiğini belirtir.

Pratik sıra şudur: önce kritik istemcilerin (el terminalleri, Wi-Fi telefonlar, tıbbi cihazlar) üreticilerinden hangi standartları hangi güvenlik yöntemiyle desteklediklerini öğrenmek, sonra ayarı küçük bir alanda açıp bu cihazlarla denemek.

Kendinizi deneyin

Alıştırma 1: Bir hastanede Wi-Fi telefonlar WPA2-Enterprise bir SSID’de çalışıyor. Hemşireler koridorda yürürken konuşmanın kısa bir süre kesildiğini bildiriyor. Controller’ın olay geçmişinde geçişlerin hızlı gerçekleştiği görülüyor. RADIUS loglarında ise her AP geçişinde aynı telefon için yeni ve tam bir EAP oturumu var. SSID’de 802.11r ve OKC kapalı. Telefon üreticisinin belgesi 802.11r’yi 802.1X ile desteklediğini söylüyor. Kesinti hangi adımda oluşuyor ve ne yapılabilir?

Cevap ve açıklama

Adım: Kimlik doğrulama. Karar, tarama ve yeniden ilişkilendirme hızlı görünüyor. RADIUS’taki tam EAP oturumları her geçişte 802.1X’in baştan yapıldığını gösteriyor; bu süre boyunca telefon trafik gönderemez.
PMK önbelleği yeterli değil: Yalnızca daha önce bağlanılan AP’ye dönüşte EAP’yi atlatır. Koridorda sürekli yeni AP’lere geçen bir telefon için yetmez.
Seçenekler: Telefon 802.11r’yi 802.1X ile desteklediği için FT en doğrudan çözümdür: EAP ve ayrı 4-way handshake geçiş sırasında yapılmaz. Platform destekliyorsa OKC de açılabilir; FT desteklemeyen istemciler için bir geri dönüş yolu olur ve onlarda 4-way handshake yine yapılır.
Önce test: Aynı SSID’deki diğer cihazların FT ile bağlanabildiği küçük bir alanda doğrulanır. Ardından RADIUS loglarında geçiş başına yeni EAP oturumunun kaybolduğu kontrol edilir.

Alıştırma 2: Bir depoda WPA2-Personal bir SSID’de 802.11r açıldıktan sonra iki şikâyet geliyor. (a) Eski bir modeldeki el terminalleri SSID’ye artık hiç bağlanamıyor; yeni modeldekiler sorunsuz. (b) Ayrıca 802.11v açılmış olmasına rağmen bazı terminaller rafların sonunda −78 dBm’lik sinyalle eski AP’de kalmaya devam ediyor. İki durumu açıklayın.