Egy irodaházban vagy egy raktárban egyetlen hozzáférési pont nem fedi le az egész területet, ezért több, nagyobb épületben akár több tucat is működik egymás mellett, ugyanazzal a hálózatnévvel (SSID). A felhasználó ebből semmit nem lát: a laptopja vagy a telefonja egyszerűen „a céges Wi-Fi-n” van. Valójában az eszköz mindig egyetlen hozzáférési ponthoz kapcsolódik, és amikor a tulajdonosa továbbmegy, át kell jelentkeznie egy másikra. Ez az átjelentkezés a roaming.
Böngészésnél vagy levelezésnél a váltás közbeni rövid kimaradás fel sem tűnik. Egy hanghívásnál, egy videókonferenciánál vagy egy kézi vonalkódolvasó folyamatos kapcsolatánál viszont hallható szakadás, lefagyott kép vagy megszakadt munkamenet lesz belőle. Az alábbiakban végigmegyünk rajta, ki dönt a váltásról, mi rontja el, és mit ad hozzá a három IEEE-módosítás, a 802.11k, a 802.11v és a 802.11r.
Ki dönt a roamingról: a kliens
A Wi-Fi-ben a váltásról a kliens dönt, nem a hálózat. Az IEEE 802.11 szabvány leírja, milyen keretekkel lehet egyik hozzáférési ponttól a másikhoz átjelentkezni, de azt nem, hogy a kliens mikor tegye meg. Ezt az eszköz meghajtóprogramja és operációs rendszere határozza meg, ezért ugyanazon a hálózaton két különböző laptop vagy telefon egészen másképp viselkedhet.
Hogyan talál új hozzáférési pontot
Ahhoz, hogy a kliens váltani tudjon, előbb tudnia kell, milyen hozzáférési pontok vannak a közelben. Ezt kétféleképpen derítheti ki:
- passzív kereséssel: sorra hallgatja a csatornákat, és összegyűjti a hozzáférési pontok által rendszeresen sugárzott beaconöket;
- aktív kereséssel: csatornánként próbakérést (probe request) küld, és a válaszokból tájékozódik.
Mindkettőhöz el kell hagynia a saját csatornáját, és amíg máshol hallgatózik, a saját hozzáférési pontjától nem kap forgalmat. Az 5 GHz-es sáv DFS-csatornáin (a radarvédelem miatt dinamikus frekvenciaválasztású csatornákon) ráadásul próbakérést csak akkor küldhet, ha előbb már hallott ott egy beacont, így ott csak lassabb, passzív kereséssel tájékozódhat. Minél több csatornát kell végignéznie, annál tovább tart a felderítés.
Mi alapján dönt
A legtöbb kliens a jelenlegi kapcsolat jelszintjét figyeli. Amíg ez egy belső küszöb fölött van, nem is keres, mert a keresés áramot fogyaszt és megszakítja az adatforgalmat. Ha a jelszint a küszöb alá esik, vagy megnő az újraküldések aránya, a kliens keresni kezd, és akkor vált, ha talál egy jelentősen erősebb hozzáférési pontot. A küszöbök és a „jelentősen” mértéke eszközönként eltér, és általában nem állítható.
Maga a váltás több lépésből áll: a kliens hitelesíti magát az új hozzáférési pontnál, újracsatlakozik (reassociation), majd lefut a titkosítási kulcsokat előállító négyutas kézfogás. Ha a hálózat 802.1X-es hitelesítést használ, ehhez jön még a teljes hitelesítés a RADIUS-szerverrel, amely több oda-vissza üzenetváltást jelent, akár egy másik telephelyen álló szerverig. Amíg mindez tart, a kliens nem tud adatot küldeni.
Ragadós kliensek és túl erős hozzáférési pontok
Sok roamingpanasz mögött nem a váltás lassúsága áll, hanem az, hogy a kliens nem vált időben. A ragadós kliens (sticky client) akkor is a régi hozzáférési ponthoz kapaszkodik, amikor már egy sokkal közelebbi is elérhető lenne. Az eszköz egy alacsony adatsebességen, sok újraküldéssel kommunikál, a hívás akadozik, a felhasználó pedig azt látja, hogy „van Wi-Fi, csak rossz”.
A túl nagy adóteljesítmény
A ragadós viselkedést gyakran maga a hálózat okozza. Ha a hozzáférési pontok teljes adóteljesítménnyel sugároznak, a cellájuk nagyobb lesz, mint amire szükség van, és a kliens még messziről is elég erősnek hallja a régi hozzáférési pontot ahhoz, hogy ne keressen újat. A kapcsolat ilyenkor aszimmetrikus: egy telefon vagy egy kézi terminál jellemzően jóval kisebb teljesítménnyel ad, mint egy mennyezeti hozzáférési pont. A kliens jól hallja a hozzáférési pontot, a hozzáférési pont viszont már alig a klienst, ezért a feltöltési irány romlik el először, a kliensoldali jelszint pedig ebből semmit nem mutat.
A túl erős cellák mellékhatása az is, hogy a szomszédos, azonos csatornán működő hozzáférési pontok hallják egymást, és osztozniuk kell az adási időn. A megoldás általában a kisebb adóteljesítmény, sűrűbb hozzáférési pontokkal, úgy méretezve, hogy a kliens és a hozzáférési pont nagyjából hasonló távolságig hallja egymást, a szomszédos cellák pedig annyira fedjék át egymást, hogy a váltáskor mindig legyen hová lépni.
Amit a hálózat a kliens helyett tehet
Mivel a döntés a kliensé, a hálózat csak közvetve tud beavatkozni. Több vállalati rendszerben beállítható egy minimális jelszint, amely alatt a hozzáférési pont nem fogad új csatlakozást, vagy leválasztja a gyengén hallott klienst, hogy az kénytelen legyen keresni. Ez durva eszköz: a leválasztás maga is kimaradás, és rosszul beállított küszöbnél a kliens a lefedettség szélén csatlakozni sem tud. A sávterelés (band steering) a többsávos klienseket a 2,4 GHz-ről az 5 vagy 6 GHz-es sáv felé tereli, ahol több a csatorna és kisebb a zsúfoltság. A finomabb megoldást a következő két szabványmódosítás adja: ezek információt és javaslatot adnak a kliensnek, a döntést meghagyják neki.
802.11k: szomszédsági lista
Az IEEE 802.11k-2008 (Radio Resource Measurement) rádiós méréseket és jelentéseket vezetett be a kliens és a hozzáférési pont között. A roaming szempontjából a legfontosabb a szomszédsági jelentés (neighbor report): a kliens megkérdezheti a saját hozzáférési pontját, hogy milyen szomszédok vannak a közelben, és a válaszban megkapja azok azonosítóját (BSSID), csatornáját és néhány képességét.
Ezzel a kliensnek nem kell minden csatornát végignéznie. Ha a lista szerint a szomszédok az 1-es, a 36-os és a 100-as csatornán vannak, elég ott keresnie, ami rövidebb felderítést és kevesebb időt jelent a saját csatornáján kívül. A gyakorlatban sok kliens a csatlakozás után kéri le a listát, és a jelszint romlásakor ebből indul ki.
A 802.11k más méréseket is leír. A beacon-jelentésben a hozzáférési pont arra kéri a klienst, hogy mondja meg, mely hozzáférési pontokat milyen erősen hallja. Így a hálózat a kliens szemével látja a környezetet, ami a hozzáférési pont saját méréseiből nem derülne ki. A szomszédsági lista csak annyit ér, amennyire pontos: ha a hálózat rosszul ismeri a saját topológiáját, és olyan hozzáférési pontot ajánl, amely valójában messze van, a kliens fölöslegesen keres.
802.11v: javaslat a kliensnek
Az IEEE 802.11v-2011 (Wireless Network Management) hálózatkezelési funkciókat adott a szabványhoz, köztük az átmenetkezelést (BSS Transition Management). Ezzel a hozzáférési pont maga javasolhatja a kliensnek, hogy váltson, és egy rangsorolt listát is küldhet arról, hová.
A hálózat több okból is küldhet ilyen kérést:
- a klienst gyengén hallja, és tudja, hogy van jobb hozzáférési pont a közelben;
- a hozzáférési pont túlterhelt, és a forgalom egy részét a szomszédokra tenné át;
- a hozzáférési pontot karbantartás vagy újraindítás miatt hamarosan leállítják, és a klienseket előre átküldené.
A kérés javaslat, a kliens elfogadhatja vagy indoklással elutasíthatja. A szabvány tartalmaz egy erősebb jelzést is („disassociation imminent”): ezzel a hozzáférési pont azt közli, hogy egy megadott idő után le fogja választani a klienst. Ez sem kényszer, de a kliens tudja, hogy maradni nem érdemes. Ahol a kliens nem támogatja a 802.11v-t, a hálózat legfeljebb a leválasztás durvább eszközéhez nyúlhat.
Az átmenetkezelés a kliens viselkedésén múlik. Egy jól megírt meghajtóprogram a javaslatot a saját méréseivel összeveti, egy gyengébb figyelmen kívül hagyja, vagy éppen fordítva, kritika nélkül követi akkor is, ha a javasolt hozzáférési pont rosszabb. Ezért a 802.11v beállításait érdemes a ténylegesen használt eszközökkel kipróbálni.
802.11r: gyors átadás hitelesítéssel
A 802.11k és a 802.11v abban segít, hogy a kliens időben és jó helyre váltson. A 802.11r (IEEE 802.11r-2008, Fast BSS Transition, röviden FT) magát a váltást gyorsítja, azzal, hogy a hitelesítés nagy részét nem kell minden hozzáférési pontnál elölről kezdeni.
Hogyan működik
Az FT a hozzáférési pontokat egy mobilitási tartományba (mobility domain) szervezi. Az első csatlakozáskor a kliens a szokásos módon hitelesít, 802.1X esetén a RADIUS-szerverrel. Az ebből származó kulcsanyagból a hálózat egy kétszintű kulcshierarchiát épít (PMK-R0 és PMK-R1), és a tartomány hozzáférési pontjai a saját kulcsukat ebből kapják meg. Amikor a kliens átlép egy másik hozzáférési ponthoz, a kulcsegyeztetés már a hitelesítési és újracsatlakozási keretekben lezajlik, a négyutas kézfogás és a RADIUS-szerverhez forduló teljes hitelesítés elmarad.
Az átadás két úton történhet. A levegőn át (over-the-air) a kliens közvetlenül az új hozzáférési ponttal váltja az üzeneteket. Az elosztórendszeren át (over-the-DS) a régi hozzáférési pontján keresztül, a vezetékes hálózaton éri el az újat, és csak az utolsó lépésnél vált csatornát. Hogy melyik működik, az a hozzáférési pontok és a kliens támogatásán múlik.
Hol segít, és mire kell figyelni
A legtöbbet a 802.1X-es hálózatok nyerik vele, ahol a teljes hitelesítés a leghosszabb lépés. Az FT előre megosztott kulccsal (FT-PSK) és a WPA3 SAE-hitelesítésével is működik. FT-PSK-nál a négyutas kézfogás, FT-SAE-nál a SAE-csere és a négyutas kézfogás is elmarad; szerverhez forduló hitelesítés egyik esetben sincs, ezért a megtakarítás kisebb.
Az FT bekapcsolása a kompatibilitás miatt nem mindig egyszerű. Az SSID egy új hitelesítési módot is hirdet, és egyes régebbi kliensek vagy ipari eszközök ezt nem értik: nem látják a hálózatot, vagy nem tudnak csatlakozni. Ilyenkor az a kérdés, hogy az érintett eszközök külön SSID-re kerüljenek-e, vagy az FT-t a tesztek után csak ott kapcsolják be, ahol minden kliens kezeli.
Ha az FT nem használható, marad a régebbi PMKSA-gyorsítótár (IEEE 802.11i). Ez akkor rövidíti a váltást, ha a kliens egy olyan hozzáférési ponthoz tér vissza, amelynél korábban már teljes hitelesítést végzett, egy új hozzáférési pontnál nem segít. A 802.1X-es hálózat felépítéséről és a megosztott jelszó gondjairól a vállalati Wi-Fi biztonságáról szóló cikk ír.
A váltás a hálózati rétegben is folytatódik
A gyors rádiós átadás csak akkor ér valamit, ha a kliens a váltás után ugyanabban az IP-alhálózatban marad. Ha a két hozzáférési pont más VLAN-ba teszi ugyanannak az SSID-nek a forgalmát, a kliensnek új címet kellene kérnie, és a futó kapcsolatai megszakadnak. Ezért a roamingra tervezett SSID-t vagy minden hozzáférési ponton ugyanabba a VLAN-ba kell kötni, vagy egy központi vezérlőn keresztül kell elvezetni, amely a klienst a régi alhálózatában tartja. Ugyanez igaz az SSID beállításaira: a biztonsági mód, a titkosítás és a k/v/r beállításai minden hozzáférési ponton legyenek azonosak (802.11r esetén ugyanaz a mobilitási tartomány).
A 6 GHz-es sávban a felderítés is megváltozott. Az IEEE 802.11ax-2021 szerint a 2,4 és 5 GHz-es beaconök jelentést hordozhatnak a 6 GHz-es szomszédokról (Reduced Neighbor Report), és a próbakérések egy szűkebb, előre meghatározott csatornakészletre (preferált keresőcsatornák, PSC) korlátozódnak. A Wi-Fi Alliance követelményei szerint a 6 GHz-en csak WPA3 vagy OWE használható, így ott az FT is a WPA3 változataival fut.
Mérés és hangolás a helyszínen
A roaming minősége a hozzáférési pontok elhelyezésén, az adóteljesítményen és a kliensek viselkedésén együtt múlik, ezért papíron nem lehet ellenőrizni. A lefedettségi térkép megmutatja, hol elég erős a jel, de azt nem, hogy egy adott telefon mikor és hová vált. Ehhez a helyszínen kell mérni, a ténylegesen használt eszközökkel. A lefedettség, a jel-zaj viszony és a csatornaátfedés méréséről a Wi-Fi helyszíni felmérésről szóló cikk szól, itt a roamingra jellemző teendők következnek.
Sétateszt hívással
Az egyik leghasznosabb próba: a tesztelő hanghívást vagy videóhívást indít, és a jellemző útvonalakon végigsétál az épületen, folyosón, lépcsőházon, raktárfolyosók között. Közben a felügyeleti rendszerben figyelhető, melyik hozzáférési pontnál mikor jelentkezett át a kliens, a hívásban pedig hallható, hol akadozott. Ahol a kliens túl sokáig marad egy távoli hozzáférési ponton, ott a cellák mérete vagy a minimális jelszint beállítása a gyanús. Ahol két hozzáférési pont között ide-oda vált, ott a cellák túl egyformák, és a kliens nem talál egyértelműen jobbat.
Mit érdemes rögzíteni
- A légtéri csomagrögzítés megmutatja a váltás kereteit: mikor kért szomszédsági listát a kliens, kapott-e átmenetkezelési javaslatot, és FT-vel vagy teljes hitelesítéssel jelentkezett-e át.
- A RADIUS-szerver naplója jelzi, ha a kliensek váltáskor rendre teljes hitelesítést végeznek, vagy ha a hitelesítés időnként sikertelen.
- A felügyeleti rendszer roamingeseményei kliensenként mutatják a váltások számát és idejét, így a rendszeresen ragadós eszköztípusok kiszűrhetők.
- A kliensek képességei: a hálózat jellemzően látja, melyik eszköz támogatja a 802.11k, v és r módosítást, és ebből kiderül, hol nem segíthet a beállítás.
Hangolás lépésenként
A változtatásokat érdemes egyenként végezni, és mindegyik után megismételni a sétatesztet. Előbb az adóteljesítmény és a cellaátfedés kerüljön rendbe, mert ezek nélkül a szabványmódosítások sem segítenek. Utána jöhet a 802.11k és a 802.11v, amelyek a régebbi klienseket általában nem zavarják, végül a 802.11r, a kompatibilitási teszttel együtt. A Wi-Fi Alliance Voice-Enterprise és Wi-Fi Agile Multiband tanúsítása azt jelzi, hogy egy eszköz a k/v/r funkciók egy részét ellenőrzött módon kezeli. Új kézi terminálok vagy hangeszközök beszerzésénél érdemes ezekre is rákérdezni.
Kapcsolódó szolgáltatás: Wi-Fi hálózat helyszíni felméréssel →
