WLAN-Netzwerke

Ein WLAN überträgt LAN-Frames per Funk. Ein Access Point (AP) verbindet drahtlose Stationen mit dem kabelgebundenen Netzwerk, das Verteilungssystem genannt wird. Ein WLAN-Router für zu Hause vereint mehrere Aufgaben in einem Gerät; ein Unternehmens-AP wird üblicherweise an einen separaten Ethernet-Switch angeschlossen.

Namen, Funkmodule und Service Sets

Die SSID ist der bis zu 32 Byte lange Netzwerkname. Ein Basic Service Set (BSS) besteht aus einer logischen AP-Schnittstelle und ihren assoziierten Clients. Seine BSSID ist eine 48-Bit-Adresse im Format einer MAC-Adresse. Ein Funkmodul kann mehrere SSIDs anbieten, jeweils mit einer eigenen BSSID. Ein Extended Service Set (ESS) fasst BSS mit derselben SSID und demselben angebundenen LAN zusammen, sodass Clients zwischen APs wechseln können; ESSID bezeichnet diesen gemeinsamen Namen.

Beispiel: 12 APs, die „Staff“ auf zwei Funkmodulen anbieten, stellen 24 BSSIDs für diese SSID bereit. Ein Client kann weiterhin „Staff“ sehen, während sich seine BSSID beim Roaming ändert. Der Name bezeichnet den Dienst; die BSSID bezeichnet das jeweilige BSS.

Die Anmeldung erfolgt in Schritten

1. Suchen: Auf Beacon-Frames hören oder Probe Requests senden. Ein übliches Beacon-Intervall beträgt 100 Zeiteinheiten, etwa 102,4 ms.
2. Auf 802.11-Ebene authentifizieren: WPA2 nutzt einen Open-System-Austausch; WPA3-Personal nutzt SAE.
3. Assoziieren: Die Zugehörigkeit zu einem BSS anfordern und die Antwort des AP empfangen.
4. Schlüssel einrichten: Enterprise-Clients schließen zunächst die 802.1X-/EAP-Authentifizierung ab; danach richtet der Vier-Wege-Handshake die verwendeten Verschlüsselungsschlüssel ein.
5. IP nutzen: Sobald der sichere Zugang bereitsteht, DHCP-Einstellungen anfordern und Netzwerkdienste erreichen.

Dass eine SSID sichtbar ist, sagt also noch nichts über DHCP aus. Ein Client kann sich erfolgreich assoziieren, aber beim späteren Schlüsselaustausch oder bei der Adressanforderung scheitern.

Abwechselnd per Funk senden

WLAN nutzt einen gemeinsam verwendeten Halbduplexkanal. CSMA/CA bedeutet, vor dem Senden auf einen freien Kanal zu warten und anschließend eine zufällige Backoff-Zeit einzuhalten. Unicast-Übertragungen werden bestätigt; fehlende Bestätigungen führen zu Wiederholungen. Moderne Funkmodule können Gruppen von Frames gemeinsam bestätigen. OFDMA und MU-MIMO ermöglichen einem AP, mehrere Clients in einer Übertragung zu bedienen, aber die Sendezeit des Kanals bleibt gemeinsam genutzt.

Ein Client mit niedriger Datenrate benötigt länger, um dieselben Daten zu senden. Ein Repeater auf demselben Kanal muss sie empfangen und erneut senden und halbiert bei einem einfachen Aufbau mit einem Funkmodul ungefähr den verfügbaren Datendurchsatz. Signalbalken zeigen den Empfangspegel, nicht die für Nutzdaten verbleibende Sendezeit.

Zwei Clients können beide einen AP hören, ohne einander zu hören. Diese verdeckten Stationen können gleichzeitig senden und am AP kollidieren. RTS/CTS reserviert vor den Daten Sendezeit und verringert Kollisionen, verursacht aber zusätzlichen Overhead.

Kabelgebundene Anbindung und Sicherheit

Der AP leitet 802.11-Frames zum Ethernet weiter und ordnet SSIDs üblicherweise VLANs zu. Das Verbergen einer SSID sichert diese Verbindung nicht: Such- und Assoziierungsverkehr können den Namen offenlegen. Auch MAC-Filterung ist schwach, weil Adressen sichtbar sind und geändert werden können; private, zufällig erzeugte Adressen können Adresslisten unwirksam machen.

Eine Wi-Fi-Generation beschreibt eine Reihe von Funkfunktionen. Ein Frequenzband beschreibt, wo das Funkmodul arbeitet. Ein neuerer AP hilft nur, wenn Clients, Kanäle und das kabelgebundene Netzwerk seine Funktionen nutzen können.

Ordne Namen den Standards zu

Das IEEE entwickelt 802.11-Standards; die Wi-Fi Alliance zertifiziert die Interoperabilität und vergibt Generationsnamen.

Wi-Fi 6E bezeichnet die Erweiterung von 802.11ax auf 6 GHz. Es ist keine eigene IEEE-Ergänzung. Die älteren Standards a, b und g haben keine offiziellen nummerierten Generationsnamen.

Wie die Datenrate steigt

MIMO sendet getrennte räumliche Datenströme über mehrere Antennenketten. Die nutzbare Anzahl der Datenströme wird durch beide Enden begrenzt: Ein Laptop mit zwei Datenströmen kann nicht vier empfangen, nur weil der AP sie unterstützt. Breitere Kanäle übertragen mehr Symbole parallel, beanspruchen aber mehr Spektrum. QAM bringt mehr Bits in jedem Symbol unter: 64-QAM bei n, 256-QAM bei ac, 1024-QAM bei ax und 4096-QAM bei be. Eine dichtere Modulation benötigt ein störungsärmeres Signal und ist daher nahe am AP am nützlichsten.

Wi-Fi 6 ergänzt OFDMA, das einen Kanal für mehrere Clients in Ressourceneinheiten aufteilt, und bidirektionales MU-MIMO, das getrennte Datenströme an verschiedene Clients sendet. Target Wake Time plant Wachzeiten für batteriebetriebene Geräte. Wi-Fi 7 ergänzt Multi-Link Operation (MLO), sodass kompatible Geräte mehrere Verbindungen nutzen können, auch in unterschiedlichen Frequenzbändern. Ihre kombinierte Datenrate hängt von den verfügbaren Verbindungen ab.

PHY-Datenrate und Anwendungsdatendurchsatz

Ein Wi-Fi-6-Laptop mit zwei Datenströmen kann auf einem 80-MHz-Kanal eine PHY-Datenrate von 1.201 Mbit/s anzeigen. Header, Bestätigungen, Zugriffskonkurrenz und andere Nutzer verbrauchen einen Teil dieser Kapazität. Nahe am AP erreicht der Anwendungsdatendurchsatz auf einem wenig genutzten Kanal üblicherweise etwa die Hälfte bis zwei Drittel dieser Rate; Entfernung, Wiederholungen und Auslastung verringern ihn weiter.

Ein Wi-Fi-5-Laptop, der sich an einem Wi-Fi-7-AP anmeldet, nutzt weiterhin eine Wi-Fi-5-Verbindung bei 5 GHz. Ein b- oder g-Client benötigt 2,4 GHz. Ein Wi-Fi-6-Client benötigt 6E-Unterstützung, um 6 GHz zu nutzen. Prüfe den tatsächlichen Adapter und Treiber, nicht nur das Alter des Produkts.

Prüfe Funktionen über die Generationsbezeichnung hinaus

Andere Ergänzungen bezeichnen bestimmte Funktionen: 802.11e bietet QoS/WMM; h ergänzt DFS/TPC; i bildet die Grundlage für WPA2; w schützt Management-Frames; k liefert Nachbarberichte; v bietet Vorschläge für BSS-Übergänge; r verkürzt die Schlüsseleinrichtung beim Roaming; s definiert den Mesh-Betrieb. IEEE 802.11bn befindet sich in Entwicklung und legt den Schwerpunkt auf Zuverlässigkeit.

Für eine AP-Aufrüstung sind außerdem ausreichend PoE-Leistung und Uplink-Bandbreite nötig. Ein Switch-Port mit 1 Gbit/s kann den gesamten Datenverkehr eines schnellen Funkmoduls begrenzen; einige APs benötigen Ports mit 2,5 oder 5 Gbit/s. Deaktiviere veraltete niedrige Datenraten erst, nachdem du geprüft hast, dass die benötigten Clients und die Funkabdeckung weiterhin funktionieren.

Das beste Frequenzband hängt davon ab, wo der Client arbeitet, was sein Funkmodul unterstützt und wie stark das Funkmedium belegt ist. Ein weiter reichendes Signal kann für einen Sensor nützlich sein, während eine kleinere, störungsärmere Funkzelle für ein stark genutztes Büro besser geeignet ist.

Vergleiche das verfügbare Spektrum

Die Zuweisung für 2,4 GHz umfasst 2,400–2,4835 GHz. Das 5-GHz-Band enthält mehrere getrennte nutzbare Bereiche; die Ländereinstellung des Geräts bestimmt, was verfügbar ist. In den USA reichen die Vorschriften für Innenräume auch in den Bereich 5,850–5,895 GHz. Betrachte eine auswendig gelernte Kanalzahl nicht als Liste der am Installationsort erlaubten Kanäle.

Die US-Zuweisung für 6 GHz umfasst 5,925–7,125 GHz, insgesamt 1.200 MHz. Die EU-Zuweisung umfasst 5,945–6,425 GHz, insgesamt 480 MHz. Das ergibt jeweils 59 beziehungsweise 24 gewöhnliche 20-MHz-Kanäle. Einige Länder haben WLAN bei 6 GHz nicht zugelassen.

Warum sich die Reichweite unterscheidet

Für die Wellenlänge gilt $\lambda =c\mathrm{/}f$: etwa 12,3 cm bei 2,437 GHz, 5,5 cm bei 5,5 GHz und 4,6 cm bei 6,5 GHz. Bei gleichem Antennengewinn und gleicher Entfernung verursacht eine höhere Frequenz mehr Freiraumdämpfung. Die meisten Wände dämpfen höhere Frequenzen ebenfalls stärker. Dadurch ist 2,4 GHz bei mehr Hindernissen nützlich, während 5 und 6 GHz meist geringere Abstände zwischen APs erfordern.

Die Frequenz allein bestimmt nicht die Geschwindigkeit. Breitere nutzbare Kanäle und weniger Zugriffskonkurrenz machen 5 oder 6 GHz oft schneller. Nahe am Funkzellenrand kann eine starke 2,4-GHz-Verbindung jedoch mehr leisten als eine schwache 5-GHz-Verbindung. Miss beide Richtungen mit der tatsächlich verwendeten Client-Klasse.

Halte knappe Sendezeit verfügbar

Bluetooth, Mikrowellengeräte, benachbarte WLANs und viele IoT-Funkmodule teilen sich 2,4 GHz. Nutze dort weiterhin 20-MHz-Kanäle und halte Kapazität für Geräte frei, die nicht auf ein anderes Band wechseln können. In vielen Unternehmensnetzwerken läuft der Großteil des Mitarbeiterverkehrs über 5 GHz, weil die Client-Unterstützung breit ist und mehr Kanäle verfügbar sind.

Nur Wi-Fi-6E- und Wi-Fi-7-Clients können 6 GHz nutzen. Ein AP für drei Frequenzbänder kann eine SSID auf allen drei Bändern anbieten, aber der Client benötigt weiterhin die passende Unterstützung durch Funkmodul, Betriebssystem und Treiber. Nutze bei 6 GHz WPA3 oder Enhanced Open mit geschützten Management-Frames; WPA2 und unverschlüsselter offener Betrieb sind nicht erlaubt. Clients finden Netzwerke über Informationen, die auf niedrigeren Frequenzbändern angekündigt werden, oder über bevorzugte Suchkanäle.

Wende die Auswahl auf einen gemischten Standort an

Ein Lager hat Scanner, die nur 2,4 GHz unterstützen, und Wi-Fi-6E-Laptops im Büro. Behalte für die Scanner einen 2,4-GHz-Dienst bei. Biete den Mitarbeitern den Dienst auf 5 und 6 GHz an und überprüfe, ob diese Funkzellen das Büro mit dem benötigten Signal und SNR abdecken.

Band Steering bewegt geeignete Clients auf ein höheres Frequenzband, zum Beispiel durch verzögerte 2,4-GHz-Probe-Responses. Die endgültige Wahl trifft der Client. Aggressives Steering am Rand der 5-GHz-Funkabdeckung kann eine Verbindung verzögern; prüfe die Ergebnisse daher anhand der Client-Statistiken. Wi-Fi-7-MLO kann mehr als eine unterstützte Verbindung aufrechterhalten, gibt einem älteren Client aber kein neues Frequenzband.

Kanalnummern bezeichnen Mittenfrequenzen, keine nur eine Nummer breiten Abschnitte. Die belegte Kanalbreite bestimmt, ob benachbarte APs das Funkmedium unabhängig voneinander nutzen können.

Lies eine Kanalnummer

Bei 2,4 GHz beträgt die Mittenfrequenz in MHz $2407+5n$, wobei n die Kanalnummer ist. Die Mittenfrequenzen der Kanäle 1, 6 und 11 liegen bei 2412, 2437 und 2462 MHz. Die Nummern steigen in Schritten von 5 MHz, aber ein normaler Kanal belegt etwa 20 MHz beziehungsweise 22 MHz bei 802.11b. Deshalb überlappen sich die Kanäle 1 und 3.

Nutze 1, 6 und 11 bei 20 MHz für den üblichen 2,4-GHz-Plan. Diese Mittenfrequenzen liegen 25 MHz auseinander. Teilweise überlappende Kanäle erzeugen Nachbarkanalinterferenz: Empfänger können die unerwünschte Übertragung nicht zuverlässig dekodieren und den Zugriff nicht koordinieren. Nachbarn auf demselben Kanal können einander normalerweise hören und sich abwechseln, obwohl auch das die Kapazität verringert.

Bei 5 GHz beträgt die Mittenfrequenz in MHz $5000+5n$. Kanal 36 liegt bei 5180 MHz. Gewöhnliche 20-MHz-Kanäle steigen in Viererschritten: 36, 40, 44 und 48 sind vier verschiedene Kanäle.

Bündele Kanäle gezielt

Die Bündelung verdoppelt bei jeder Verdopplung der Breite ungefähr die Spitzenrate. Sie halbiert auch ungefähr die Anzahl unabhängiger Kanäle. Ein breiterer Empfang nimmt mehr Rauschen auf: Eine Verdopplung der Breite erhöht den Rauschpegel um etwa 3 dB, sodass 80 MHz bei sonst gleichen Bedingungen etwa 6 dB mehr Rauschen aufnehmen als 20 MHz.

Für die beispielhafte Liste zugelassener Kanäle 36–64 und 100–140 gibt es 19 Kanäle mit 20 MHz. Standardmäßig gebündelte Blöcke ergeben neun mit 40 MHz, wobei Kanal 140 ungenutzt bleibt, oder vier mit 80 MHz: 36–48, 52–64, 100–112 und 116–128. Zwölf APs, die einander hören, würden jeden 80-MHz-Block dreimal verwenden. Ein 40-MHz-Plan gibt ihnen mehr getrennte Sendezeit.

Wähle eine Breite für den Standort

Nutze 20 MHz bei 2,4 GHz. Beginne bei dicht stehenden APs im 5-GHz-Band mit 20 oder 40 MHz; 40 oder 80 MHz können sich für weniger dicht belegte Standorte mit genügend Kanälen eignen. Bei 6 GHz können 80 MHz oder mehr nützlich sein, aber zähle vor der Wahl die örtlich verfügbaren Kanäle. Eine Geschwindigkeitseinstellung, die für einen Laptop gut aussieht, kann die Gesamtkapazität in einem Saal verringern.

Die Formel für die 6-GHz-Mittenfrequenz in MHz lautet $5950+5n$. Gewöhnliche 20-MHz-Kanäle sind in den USA 1, 5, 9 und so weiter bis 233. Bevorzugte Suchkanäle (PSCs) liegen jeweils 80 MHz auseinander: 5, 21, 37 und so weiter bis 229. Das untere EU-Band hat sechs: 5, 21, 37, 53, 69 und 85. Ein PSC als primärer Kanal erleichtert die Suche.

Verwende Kanäle dreidimensional wieder

Weise APs, die einander hören, unterschiedliche Kanäle zu, auch APs darüber und darunter. Teilen sich zu viele 2,4-GHz-Funkmodule dieselben drei Kanäle, deaktiviere überschüssige Funkmodule oder nutze sie zur Überwachung. Die Funkverwaltung eines Controllers oder einer Cloud kann Kanäle und Leistung automatisch zuweisen; überprüfe ihre Entscheidungen durch Messungen, auch bei benachbarten Netzwerken, die die Organisation nicht kontrollieren kann.

Auch für lizenzfreies Spektrum gelten Vorschriften. Stelle die Regulierungsdomäne eines AP auf sein Installationsland ein, damit das Funkmodul die richtigen Kanäle, Leistungen und Betriebsarten für Innenräume oder im Freien anbietet. Die Einstellung eines anderen Landes ist kein zulässiger Weg, um Kanäle freizuschalten.

Kanäle und Leistung sind regional geregelt

US-Geräte für 2,4 GHz nutzen normalerweise die Kanäle 1–11; europäische Geräte können 1–13 nutzen. Japan erlaubt Kanal 14 nur für 802.11b. Der Plan 1, 6, 11 hilft auch Besucher-Clients, die Kanäle 12 oder 13 nicht nutzen können.

Für den gewöhnlichen US-Punkt-zu-Mehrpunkt-Betrieb bei 2,4 GHz gelten die bekannten Grenzen von bis zu 1 W leitungsgebundener Leistung und 36 dBm EIRP mit den jeweils geltenden Antennenbeschränkungen. Das EU-/ETSI-Beispiel beträgt 20 dBm EIRP oder 100 mW. Die EIRP umfasst den Antennengewinn: Beim Austausch einer Antenne kann es nötig sein, die Senderleistung zu senken. Wähle in den AP-Einstellungen das richtige Antennenmodell.

Schütze Radarnutzer

802.11h stellt dynamische Frequenzwahl (DFS) und Sendeleistungsregelung (TPC) für das gemeinsam mit Radar genutzte 5-GHz-Spektrum bereit. DFS-Kanäle erfordern vor der Nutzung eine Abhörzeit. Die FCC-Kanalverfügbarkeitsprüfung dauert normalerweise 60 Sekunden; europäische Wetterradarkanäle 120–128 können 10 Minuten erfordern.

Wird Radar erkannt, muss der AP den Kanal innerhalb von 10 Sekunden verlassen und mindestens 30 Minuten lang meiden. Ein Neustart kann daher die Bereitstellung verzögern, und ein Radarereignis kann Clients unterbrechen, während der AP den Kanal wechselt. TPC ermöglicht eine Leistungsreduzierung. Prüfe Client-Unterstützung und wiederkehrende Radarereignisse, bevor du dich auf DFS-Kapazität verlässt.

Unterscheide 6-GHz-Geräteklassen

Der US-Standard-Power-Betrieb nutzt U-NII-5 und U-NII-7. Die automatisierte Frequenzkoordinierung (AFC) nutzt den Gerätestandort, um ortsfeste Richtfunkverbindungen zu schützen, und bestimmt den zulässigen Betrieb. LPI-Geräte sind für Innenräume bestimmt. VLP unterstützt tragbaren Betrieb mit niedriger Leistung in Innenräumen und im Freien, vorbehaltlich der Betriebsbeschränkungen dieser Klasse; die FCC erweiterte VLP 2025 auf das gesamte US-6-GHz-Band. Die EU-Beispiele gelten nur für 5,945–6,425 GHz; EU-LPI schließt Straßenfahrzeuge und VLP Drohnen aus.

Wende beide Leistungsgrenzen an

Ein Grenzwert für die spektrale Leistungsdichte (PSD) begrenzt die Leistung pro MHz. Für die Gesamtleistung gilt außerdem eine eigene Obergrenze:

Bei einem US-LPI-AP erlauben 20 MHz etwa 5 + 13 = 18 dBm, während 80 MHz etwa 5 + 19 = 24 dBm erlauben. Bei 320 MHz erreicht das Ergebnis die Gesamtobergrenze von 30 dBm. Bei EU-LPI ergeben bereits 20 MHz etwa 10 + 13 = 23 dBm, sodass breitere Kanäle die Gesamtleistung nicht über 23 dBm erhöhen.

Nutze bei der Installation von Geräten die aktuellen Informationen der Regulierungsbehörde und des Herstellers zur Länderunterstützung. Das gesetzliche Maximum ist eine Obergrenze; stelle die Betriebsleistung so ein, dass sie den Bedarf an Funkabdeckung und Kapazität erfüllt und gleichzeitig den Rückweg des Clients erhält.

Ein Funkmesswert wird nützlich, wenn du weißt, was er misst. Leistung, Leistungsänderung und Signalqualität verwenden verwandte Dezibeleinheiten, beantworten aber unterschiedliche Fragen.

Rechne Leistung um, ohne Einheiten zu vermischen

dBm ist eine Leistung bezogen auf 1 mW:

Die Rückrechnung lautet $P_{\text{mW}}={10}^{P_{\text{dBm}}\mathrm{/}10}$. Nützliche Anhaltspunkte sind 1 mW = 0 dBm, 10 mW = 10 dBm, 100 mW = 20 dBm und 1 W = 30 dBm.

Ein dB-Wert ist ein Verhältnis: +3 dB verdoppeln die Leistung ungefähr; −3 dB halbieren sie; +10 dB vervielfachen sie mit zehn. Verringerst du 20 dBm um 3 dB, erhältst du etwa 17 dBm oder 50 mW. Eine Verringerung um 10 dB ergibt 10 dBm oder 10 mW. Addiere Gewinne und Dämpfungen in dB zu einer Leistung in dBm. Um zwei Leistungen zusammenzufassen, addiere zuerst ihre Milliwattwerte: Zwei Leistungen von je 20 dBm ergeben zusammen 200 mW, etwa 23 dBm und nicht 40 dBm.

Vergleiche Signal und Rauschen

Die empfangene Signalstärke wird oft als RSSI in negativen dBm angezeigt. Näher an null ist stärker: −45 dBm sind stärker als −75 dBm. Einige Hersteller geben RSSI stattdessen als Index oder Prozentwert an; vergleiche daher gleichartige Messwerte.

Der Rauschpegel ist die Hintergrundenergie im Hochfrequenzbereich und liegt auf einem wenig genutzten 20-MHz-Kanal oft bei etwa −90 bis −95 dBm. Das Signal-Rausch-Verhältnis (SNR) ist die Differenz:

Ein Signal von −65 dBm und ein Rauschpegel von −92 dBm ergeben ein SNR von 27 dB. Ein starkes Signal kann trotzdem ein schlechtes SNR haben, wenn auch das Rauschen stark ist. Häufige Planungsziele sind mindestens 20 dB SNR für Daten und 25 dB für Sprache, bei einem Signal von etwa −70 dBm für Daten und −67 dBm für Sprache/Video. Diese Planungsziele müssen mit den Anwendungen und Clients überprüft werden; Verbindungen nahe −80 dBm sind oft unzuverlässig.

Schätze die Streckendämpfung ab

Für ungehinderten freien Raum gilt:

Verwende in dieser Form Kilometer und MHz. Bei 2.437 MHz ergeben 10 m etwa 60,2 dB Dämpfung und 20 m etwa 66,2 dB. Eine Verdopplung der Entfernung erhöht die Dämpfung um etwa 6 dB. Bei 5.500 MHz beträgt die Dämpfung auf 10 m etwa 67,2 dB.

Wände erhöhen die Dämpfung: Eine Trockenbauwand kann etwa 3 dB kosten, klares Glas 2–4 dB, Ziegel 6–10 dB und Beton 10–20 dB. Beschichtetes Glas und Metall können deutlich mehr blockieren. Miss das tatsächliche Gebäude. Absorption entzieht Energie; Reflexion wirft sie zurück; Brechung lenkt sie zwischen Materialien ab; Beugung lenkt sie um Kanten; Streuung verteilt sie. Mehrere Wege können Signalschwund verursachen, während MIMO geeignete Wegunterschiede für räumliche Datenströme nutzen kann.

Prüfe beide Richtungen

Eine Leistungsbilanz addiert Sendeleistung und Antennengewinne und zieht dann Dämpfungen ab. Bei 20 dBm EIRP, 80 dB Streckendämpfung und einer Empfangsantenne mit 3 dBi beträgt die Empfangsleistung −57 dBm. Ein Smartphone, das über denselben Weg mit 15 dBm EIRP an eine AP-Antenne mit 4 dBi zurücksendet, erreicht dort −61 dBm. Erhöhst du nur die AP-Leistung, verbessert sich der Downlink; der Rückweg bleibt unverändert.

Eine Antenne richtet Funkenergie in einem bestimmten Muster aus. Ihr Gewinn verbessert einige Richtungen, indem er die Energie in anderen verringert; er erzeugt keine zusätzliche Senderleistung.

Lies Gewinn und Halbwertsbreite

dBi vergleicht den Gewinn mit einer idealen Antenne, die in jede Richtung gleichmäßig abstrahlt. dBd vergleicht ihn mit einem Dipol; 0 dBd entsprechen 2,15 dBi. Die Halbwertsbreite einer Richtantenne ist der Winkel zwischen den Punkten, die 3 dB unter ihrem Höchstwert liegen. Mehr Gewinn bedeutet im Allgemeinen einen schmaleren Strahl.

Eine Rundstrahlantenne mit höherem Gewinn flacht ihr vertikales Strahlungsmuster ab. Sie kann horizontal weiter reichen und dennoch unter einem hohen Montagepunkt eine schwache Funkabdeckung lassen. Decken-APs haben modellspezifische Strahlungsmuster, die oft nach unten zu den Nutzern gerichtet sind. Nutze daher die Montageanweisungen und Strahlungsdiagramme für den jeweiligen AP.

Für ein offenes Büro eignen sich oft Decken-APs. Für einen langen Gang kann sich ein entlang des Gangs ausgerichtetes Panel eignen. In einem großen Sitzbereich helfen ausgerichtete Funkzellen, Nutzer auf Kanäle zu verteilen. Eine Verbindung zwischen Gebäuden benötigt an beiden Enden Richtantennen.

Berechne die abgestrahlte Leistung

Verwende dBm für die Senderleistung, dB für die Dämpfung und dBi für den Antennengewinn. Bei 17 dBm am Funkmodul, 2 dB Kabeldämpfung und 6 dBi Gewinn beträgt die EIRP 21 dBm, etwa 126 mW. Läge die regionale Obergrenze bei 20 dBm, müsstest du die Senderleistung auf 16 dBm senken. Eine Erhöhung des Gewinns um 1 dB ohne Verringerung der Leistung würde diese Obergrenze um weitere 1 dB überschreiten.

Die Antenne verbessert auch den Empfang in ihrer bevorzugten Richtung. Das hilft einer Rückverbindung auf eine Weise, die eine bloße Erhöhung der AP-Senderleistung nicht leisten kann.

Stimme Polarisation und Funkketten ab

Polarisation ist die Richtung des elektrischen Feldes. Stimme beide Enden einer Punkt-zu-Punkt-Verbindung aufeinander ab, zum Beispiel vertikal auf vertikal. Gekreuzte Polarisationen können 20 dB oder mehr kosten. Reflexionen in Innenräumen mischen die Polarisation, aber korrekte Antennen und Montage bleiben wichtig.

Ein 4×4:4-Funkmodul hat vier Sendeketten, vier Empfangsketten und bis zu vier räumliche Datenströme. Bestücke jeden erforderlichen Anschluss mit den vorgegebenen passenden Antennen. Sendeseitiges Beamforming passt die Phasen der Signale so an, dass sie sich in Richtung eines Clients verstärken; die Antenne dreht sich nicht physisch.

Halte Raum um eine Außenverbindung frei

Eine sichtbare Sichtverbindung reicht für eine zuverlässige Punkt-zu-Punkt-Verbindung nicht aus. Objekte nahe der direkten Linie können in die erste Fresnelzone hineinragen, in der reflektierte Wege das empfangene Signal beeinflussen. Halte mindestens 60 % dieser Zone frei.

In der Mitte beträgt ihr Radius in Metern ungefähr:

Bei 1 km und 5,5 GHz beträgt der Radius etwa 3,7 m. Sechzig Prozent sind etwa 2,2 m, sodass Bäume und Dachkanten in der Mitte diesen Abstand um die direkte Linie einhalten müssen. Prüfe auch den Rest der Strecke; die Zone wird zu jedem Endpunkt hin schmaler.

Bei der Funkabdeckung geht es darum, ob ein Gerät an einem Ort Frames austauschen kann. Bei der Kapazität geht es darum, ob alle aktiven Geräte dort genügend Sendezeit erhalten. Eine brauchbare WLAN-Planung beantwortet beide Fragen, bevor AP-Standorte gewählt werden.

Leite Zielwerte aus Anforderungen ab

Liste Versorgungsbereiche, Client-Typen, Geräteanzahlen und Anwendungen auf. Ein Scanner benötigt einen anderen Dienst als ein Sprachhandgerät. Plane den Funkzellenrand für den schwächsten wichtigen Client und berücksichtige dabei seine Sendeleistung und Anzahl der Datenströme. Ein Mess-Laptop mit besserer Antenne kann einen für ein Smartphone ungeeigneten Ort als akzeptabel erscheinen lassen.

Typische Zielwerte für Sprache/Video sind mindestens −67 dBm und 25 dB SNR; für allgemeine Daten können etwa −70 dBm gelten. Miss auch die sekundäre Funkabdeckung: Ein zweiter AP auf dem Zielpegel unterstützt Roaming und Ausfallsicherheit. Etwa 15–20 % Überlappung sind eine erste Faustregel, aber Signalmessungen und Roaming-Tests entscheiden, ob eine bestimmte Anordnung funktioniert.

Berechne den aktiven Bedarf

Ein Hörsaal mit 150 Plätzen hat zwei Geräte pro Person, von denen 60 % gleichzeitig aktiv sind. Berechne zuerst 150 × 2 = 300 Geräte. Dann 300 × 0,6 = 180 aktive Geräte. Bei einem Planungsansatz von 30 aktiven Geräten pro 5-GHz-Funkmodul werden 180 ÷ 30 = 6 Funkmodule benötigt. Bei 2 Mbit/s pro aktivem Gerät beträgt der Gesamtbedarf 180 × 2 = 360 Mbit/s.

Der Ansatz von 30 ist ein Planungswert und keine garantierte AP-Grenze. Prüfe, ob die Funkmodule den Anwendungsbedarf bei den erwarteten Datenraten bewältigen können. Weise diesen Funkmodulen geeignete getrennte Kanäle zu; sechs Funkmodule, die einander auf einem Kanal hören, teilen sich weiterhin dessen Sendezeit.

Passe Funkzellen an den Standort an

In dicht belegten Bereichen erzeugen mäßige Leistung und schmalere Kanäle kleinere Funkzellen, die Kanäle wiederverwenden können. Passe die AP-Leistung an die Fähigkeiten der Clients an. Ein Smartphone mit etwa 15 dBm kann einen AP mit maximaler Leistung an einem Ort hören, von dem aus seine eigenen Sendungen den AP nicht zuverlässig erreichen.

Ein leistungsstarker AP bietet zudem allen Nutzern nur einen gemeinsamen Sendezeitvorrat und bildet einen Single Point of Failure. Mehrere sorgfältig platzierte APs verteilen den Bedarf und bieten alternative Funkabdeckung. Zusätzliche APs ohne Kanal- und Leistungsplan können dagegen die Zugriffskonkurrenz erhöhen.

Montiere APs mit freier Sicht auf die Nutzer in der vom Hersteller vorgegebenen Ausrichtung. Vermeide Metallschränke, Kanäle, Säulen und Metalldeckenplatten zwischen AP und Nutzern. Berücksichtige die Etagen darüber und darunter: Versetze Standorte und Kanäle, wo Funkzellen durch Deckenöffnungen oder Leichtbaukonstruktionen reichen. Berücksichtige in einem Lager sowohl volle Regale als auch das leere Gebäude.

Stelle kabelgebundene Kapazität und Stromversorgung bereit

Prüfe, ob die Ethernet-Übertragungsstrecke innerhalb der Kupfergrenze von 100 m bleibt und der Switch-Port schnell genug ist. Ein AP mit hoher Kapazität benötigt möglicherweise einen Multigigabit-Uplink.

Die am AP ankommende Leistung ist wegen Kabeldämpfung geringer. Prüfe die benötigte PoE-Klasse des AP und das Gesamtbudget des Switches. Ein AP mit unzureichender Stromversorgung kann Funkmodule oder Datenströme deaktivieren, statt sich einfach auszuschalten. Installationen im Freien benötigen außerdem geeigneten Wetterschutz, Erdung und Blitzschutz.

Dokumentiere für jeden AP Standort, Antenne, Leistung, Kanal und Verkabelungsplan. Überprüfe die installierte Planung anhand derselben Anwendungs- und Client-Anforderungen, die für ihre Dimensionierung verwendet wurden.

Eine WLAN-Ausleuchtung liefert anhand eines WLAN-Plans Messbelege für ein Gebäude. Wähle die Ausleuchtungsmethode passend zu der Frage, die du beantworten möchtest, und zeichne dann Messwerte an bekannten Orten auf.

Nutze die richtige Methode

Ein prädiktives Modell benötigt Wandmaterialien und Dämpfungswerte. Ein falscher Grundrissmaßstab oder eine fehlende Wand kann die vorhergesagten Funkzellengrenzen verschieben. Prüfe das Gebäude bei einer Begehung: Notiere Montagepunkte, Kabelwege, Deckenhöhen, Metallregale und ungewöhnliche Materialien. Eine AP-on-a-Stick-Ausleuchtung ist besonders nützlich, wo sich das Bauwerk schwer modellieren lässt.

Eine passive Ausleuchtung zeigt die APs der Organisation und nahe gelegene Netzwerke, ohne sich daran anzumelden. Eine aktive Ausleuchtung prüft den tatsächlichen Dienst einschließlich Wiederholungen und Verzögerungen. Ein Spektrumanalysator kann Energie von Mikrowellengeräten oder Videosendern sichtbar machen, die ein gewöhnlicher WLAN-Adapter nicht dekodieren kann. Diese Methoden beantworten unterschiedliche Fragen und können gemeinsam eingesetzt werden.

Erfasse Messungen passend zu den Nutzern

Kalibriere den Plan vor der Begehung anhand einer bekannten Entfernung. Miss den gesamten Versorgungsbereich einschließlich Ecken, Treppen und erwarteter Roaming-Wege. Miss auf der Höhe, in der Geräte genutzt werden, und gehe gleichmäßig, damit die Messpunkte ihren Positionen auf der Karte entsprechen. Erfasse jedes verwendete Frequenzband.

Nutze einen Messadapter, der den wichtigen Clients ähnelt, oder berücksichtige einen begründeten Messkorrekturwert. Ein leistungsstarker Laptop allein kann die Funkabdeckung für einen Handscanner zu gut erscheinen lassen. Wo Warenbestand, Menschen oder bewegliche Wände die Bedingungen verändern, berücksichtige im Ausleuchtungsplan die erwartete Anordnung bei hoher Auslastung.

Lies die Legende vor den Farben

Eine Heatmap färbt einen Grundriss nach einem Messwert ein. Sie kann Signal, SNR, Datenrate, sekundäre Funkabdeckung oder die Anzahl empfangbarer APs auf demselben Kanal zeigen. Eine grüne Signalkarte kann dir nicht zeigen, dass die Zugriffskonkurrenz auf dem Kanal gering ist, sofern die Legende nicht genau das misst.

Angenommen, der Zielwert im Besprechungsraum ist −67 dBm und Messungen zeigen −75 dBm. Es fehlen 8 dB. Prüfe, ob eine neue Wand, die Montageposition oder das Antennenmuster dies erklärt. Versetze oder ergänze einen AP oder verändere die Form der Funkzelle mit der richtigen Antenne und wiederhole dann den Client-Test. Eine Erhöhung der AP-Leistung allein verändert den Sender des Clients für den Rückweg nicht.

Überprüfe die Installation

Führe nach Montage und Konfiguration der APs eine Validierungsmessung anhand der ursprünglichen Zielwerte durch. Teste Anwendungen beim Wechsel zwischen Funkzellen, nicht nur beim Stehen unter einem AP. Bewahre einen Bericht mit Anforderungen, AP-Positionen und -Höhen, Antennen, Kanälen, Leistungseinstellungen und Ergebnissen auf.

Wiederhole die Validierung nach größeren Änderungen wie neuen Regalen, Wänden oder benachbarten Mietern. Ein schneller WLAN-Analysator ist nützlich, um SSID, BSSID, Kanal und Signal zu prüfen; eine vollständige Ausleuchtung liefert zusätzlich ortsbezogene Messbelege für den gesamten Versorgungsbereich.

Die WLAN-Architektur trennt zwei Fragen: Wer verwaltet den AP, und welchen Weg nehmen Client-Frames? Ein zentral verwalteter AP kann Client-Datenverkehr dennoch direkt auf ein lokales VLAN senden.

Vergleiche die Verwaltungsmodelle

Autonome APs eignen sich für einen kleinen Standort, lassen sich aber mit wachsender Anzahl schwerer einheitlich verwalten. Ein Controller oder Cloud-Dashboard wendet gemeinsame Sicherheits-, Firmware- und Funkeinstellungen auf viele APs an.

In einer controllerbasierten Split-MAC-Architektur übernimmt der AP zeitkritische Funkaufgaben: Beacons, Bestätigungen, Warteschlangen und Verschlüsselung auf der Funkstrecke. Der Controller verwaltet Richtlinien, Roaming, Sicherheit und Funkressourcen. Die genaue Aufteilung hängt von der Plattform ab.

Verfolge den Weg eines AP zu seinem Controller

Ein Lightweight-AP kann einen WLC über DHCP-Option 43, eine konfigurierte Adresse, einen lokalen Broadcast oder DNS wie CISCO-CAPWAP-CONTROLLER finden. Er baut CAPWAP-Tunnel über das IP-Netzwerk auf. Die Steuerung nutzt UDP 5246 mit DTLS-Verschlüsselung; Daten nutzen UDP 5247 mit optionaler Tunnelverschlüsselung. Funkverschlüsselung und Datentunnelverschlüsselung sind getrennte Schutzmaßnahmen.

Da CAPWAP geroutet wird, können AP und WLC in unterschiedlichen Subnetzen liegen. Beim zentralen Switching laufen Client-Frames durch den Tunnel zum Controller. Der Client-Datenverkehr wird daher am Controller den Client-VLANs zugeordnet, nicht am Switch-Port des AP.

Halte Zweigstellenverkehr bei Bedarf lokal

Cisco FlexConnect kann Client-Datenverkehr auf VLANs der Zweigstelle weiterleiten und dabei die zentrale Verwaltung beibehalten. Lokales Switching kann bei einem WAN-Ausfall den lokalen Zugang erhalten, aber auch die Authentifizierung muss verfügbar bleiben: Eine lokal geswitchte SSID, die einen nicht erreichbaren zentralen RADIUS-Server benötigt, lässt möglicherweise keine neuen Clients zu.

Ein Controller kann zentral in einem Rechenzentrum stehen, in einen AP oder Switch eingebettet sein oder als virtuelle Maschine in einer Cloud laufen. Die letzte Variante ist ein in der Cloud gehosteter Controller und unterscheidet sich von der Dashboard-Verwaltung. In einem typischen cloudverwalteten WLAN übernimmt die Cloud Konfiguration und Überwachung, während Nutzer-Frames lokal bleiben. APs behalten bei einem Cloud-Ausfall üblicherweise ihre letzte Konfiguration; prüfe bei der Systemauswahl das Produktverhalten und die Lizenzbedingungen.

Erkenne Cisco-AP-Modi

Der Modus Local bedient Clients über den WLC und scannt kurz andere Kanäle. Der Modus Monitor scannt für Sicherheits- und Standortaufgaben, ohne Clients zu bedienen. Der Modus Sniffer sendet aufgezeichnete Frames eines Kanals an einen Analysator. Rogue detector überwacht MAC-Informationen im kabelgebundenen Netzwerk. SE-Connect widmet den AP der Spektrumanalyse. Bridge/Mesh stellt drahtlosen Backhaul bereit, und Flex+Bridge kombiniert Mesh- und FlexConnect-Funktionen. Die Verfügbarkeit der Modi hängt von AP und Controllerplattform ab.

Ein Campus kann für zentrale Richtlinien und Roaming bei Sprachanwendungen Controller mit Ersatz-WLCs wählen. Eine Kette von Zweigstellen kann Cloud-Verwaltung oder FlexConnect wählen, um einen Controller an jedem Standort zu vermeiden. Ein AP im Local-Modus benötigt Controllerkontakt, um Clients zu bedienen; plane daher neben der AP-Funkabdeckung auch die Ausfallsicherheit der Controller.

Der Datenverkehrspfad des AP bestimmt seine Switch-Port-Konfiguration. Entscheide zuerst, ob Client-Frames zu einem Controller getunnelt werden oder den AP direkt auf VLANs verlassen.

Passe den Port an den Weiterleitungsmodus an

Ein Lightweight-AP im Local-Modus mit zentral geswitchtem Datenverkehr benötigt normalerweise einen Access-Port in seinem Management-VLAN. Seine Client-Frames befinden sich in CAPWAP-Paketen, sodass der physische AP-Port nicht jedes Client-VLAN benötigt.

Ein lokal switchender AP benötigt einen Trunk, wenn er mehrere VLANs überträgt. Angenommen, die AP-Verwaltung nutzt VLAN 10, „Staff“ nutzt VLAN 20 und „Guest“ nutzt VLAN 30. Lasse alle drei VLANs auf dem AP-Trunk zu. Stimme AP und Switch darauf ab, ob VLAN 10 nativ und ohne Tag oder ausdrücklich mit Tag übertragen wird.

Fehlt VLAN 30 auf diesem Trunk, können sich Gäste möglicherweise trotzdem assoziieren und die Funksicherheit abschließen. Ihre DHCP-Broadcasts erreichen nicht das richtige Netzwerk, sodass sie keine Lease erhalten. Das ist ein Fehler der kabelgebundenen Weiterleitung, obwohl das Symptom im WLAN auftritt.

Erkenne die Controller-Anschlüsse

Die Cisco-AireOS-Terminologie unterscheidet den Service-Port für Out-of-Band-Management, Distribution-System-Ports für AP-, Verwaltungs- und Client-Datenverkehr, einen Redundanz-Port zwischen einem Hochverfügbarkeitspaar und einen Konsolenport für die Ersteinrichtung. Controller-Schnittstellen ordnen WLANs Client-VLANs zu. Distribution-Ports sind üblicherweise mit Switch-Trunks verbunden; der Service-Port ersetzt keine Verbindung für Client-Daten.

Link-Aggregation (LAG) bündelt Distribution-Verbindungen für Gesamtbandbreite und Ausfallsicherheit. Ein einzelner Datenfluss bleibt normalerweise auf einer Mitgliedsverbindung, sodass ein Bündel nicht die Geschwindigkeit jedes einzelnen Datenflusses vervielfacht. AireOS nutzt statisches EtherChannel mit dem Modus on; neuere Controller wie Catalyst 9800 können LACP nutzen. Stimme den unterstützten Aggregationsmodus von Controller und Switch ab.

Prüfe die Stromversorgung vor höheren Schichten

Prüfe die benötigte PoE-Klasse des AP, die Fähigkeit jedes Switch-Ports und das Gesamtbudget des Switches. Vierundzwanzig AP-Ports mit je 30 W benötigen 720 W PoE-Kapazität auf Switch-Seite. Ein Switch mit genügend physischen Ports kann trotzdem zu wenig Leistung haben. APs mit unzureichender Stromversorgung können Funkfunktionen verlieren und dadurch ein Kapazitätsproblem erzeugen, das einer schlechten Funkplanung ähnelt.

Schütze die Verwaltung und erlaube benötigte Dienste

Nutze die Konsole für die erste lokale Einrichtung, SSH für den entfernten CLI-Zugang und HTTPS für die Webverwaltung. Telnet und HTTP legen vertraulichen Verwaltungsverkehr offen. Die zentrale Geräteverwaltung nutzt häufig TACACS+ über TCP 49; der WLAN-Zugang nutzt häufig RADIUS über UDP 1812 für Authentifizierung und 1813 für Accounting. Herkömmliches RADIUS verschlüsselt nicht das gesamte Paket; das EAP-Verfahren schützt Zugangsdaten bei einer Enterprise-Anmeldung gesondert.

Lasse benötigten Datenverkehr durch dazwischenliegende ACLs zu: CAPWAP UDP 5246/5247, DHCP UDP 67/68 und DNS-Port 53 sowie die gewählten Authentifizierungsdienste.

Prüfe bei einem AP, der sich nicht anmelden kann, Stromversorgung und Verbindung, Management-VLAN, DHCP-Adresse, Controller-Suche, Routing, CAPWAP-Erreichbarkeit und anschließend Ländereinstellungen, Zertifikate und Uhrzeit. Jede Prüfung stellt eine Voraussetzung fest, die für die nächste Stufe benötigt wird.

Ein WLAN-Profil auf einem Controller verbindet den sichtbaren Netzwerknamen mit seinem VLAN, seinen Frequenzbändern und seiner Sicherheitsrichtlinie. Erstelle es im deaktivierten Zustand, prüfe die Einstellungen zusammen, aktiviere es dann und teste es mit einem Client.

Erstelle die Dienst- und Sicherheitseinstellungen

Ein Profil hat einen internen Namen, eine WLAN-ID, eine SSID, einen Aktivierungsstatus und eine Client-Schnittstelle oder VLAN-Zuordnung. Der Profilname hilft Administratoren; Clients sehen die SSID. Wähle, auf welchen Frequenzbändern der Dienst angekündigt wird.

Erstelle für ein WPA2-Personal-Beispiel WLAN-ID 2, Profil und SSID „Office“, zugeordnet zu VLAN 20. Wähle WPA2 mit AES-CCMP und PSK-Schlüsselverwaltung und gib eine starke Passphrase mit 8–63 Zeichen ein. Lasse TKIP deaktiviert. Übernimm die Konfiguration und aktiviere das WLAN. Ein Testclient sollte auf „Office“ mit einer Adresse aus VLAN 20 sowie Gateway- und DNS-Einstellungen erscheinen und einen zugelassenen Dienst erreichen.

Für WPA3-Personal wählst du stattdessen SAE; geschützte Management-Frames sind vorgeschrieben. Für Enterprise-Profile wählst du 802.1X und die richtigen RADIUS-Server. Ein Captive Portal ist eine separate Einstellung für Webauthentifizierung auf Schicht 3; es ersetzt die Funkverschlüsselung nicht.

Behandle Datenverkehr angemessen

WMM bietet die Zugriffskategorien Sprache, Video, Best Effort und Hintergrund. Cisco-Controllerprofile nennen diese entsprechend Platinum, Gold, Silver und Bronze; Silver ist das Standardprofil für Best Effort. WMM wird für moderne hohe Datenraten benötigt. QoS gibt Datenverkehr bei Zugriffskonkurrenz eine geeignete Priorität; es kann weder zusätzliche Sendezeit schaffen noch fehlende Funkabdeckung beheben.

Zu den erweiterten Einstellungen gehören Sitzungszeitlimit, Client-Ausschluss nach wiederholten Fehlern, Client-Grenzwerte, erforderliche DHCP-Zuweisung, Peer-to-Peer-Sperre, Band Steering, Lastverteilung und zugelassene Datenraten. Ändere sie aufgrund eines gemessenen Bedarfs. Beispielsweise kann die erforderliche DHCP-Zuweisung absichtlich statisch konfigurierte Clients blockieren; ein kurzes Sitzungszeitlimit kann dazu führen, dass fehlgeschlagene erneute Authentifizierungen als regelmäßige Verbindungsabbrüche erscheinen.

Halte Roaming-Einstellungen einheitlich

Für einfaches Roaming innerhalb desselben Subnetzes bieten benachbarte APs dieselbe SSID, Sicherheit und dasselbe VLAN an. Der Client entscheidet, wann er wechselt. 802.11k liefert Nachbarinformationen; 802.11v schlägt ein besseres BSS vor; 802.11r verkürzt die Schlüsseleinrichtung für einen schnellen Übergang. Sie helfen dem Client, einen besseren AP zu finden und zu nutzen, können aber kein Funkloch beheben.

Einige ältere Clients scheitern, wenn der schnelle Übergang vorgeschrieben ist. Teste den Client-Bestand und nutze bei Bedarf unterstützte adaptive Einstellungen oder einen separaten Kompatibilitätsdienst. Bei unterschiedlichen Client-Subnetzen ist Mobilitätsunterstützung des Controllers nötig, damit die Verbindung erhalten bleibt, während ein wechselndes Gerät seine Adresse behält. Dieselbe SSID allein bietet diese Unterstützung nicht.

Halte den SSID-Overhead unter Kontrolle

Im herkömmlichen Betrieb hat jede SSID ein eigenes BSS und regelmäßige Beacons, oft mit einer niedrigen verpflichtenden Datenrate. Auch ungenutzte SSIDs verbrauchen Sendezeit. Der Multiple-BSSID-Betrieb kann mehrere BSS in einem Beacon ankündigen, besonders bei 6 GHz; mehr SSIDs verursachen aber weiterhin zusätzlichen Verwaltungsaufwand und zusätzliche Konfiguration.

Eine gängige Richtlinie sind drei oder vier SSIDs pro Funkmodul. Für viele Nutzergruppen skaliert eine Enterprise-SSID mit VLAN-Zuweisung durch RADIUS besser als ein separater Name für jedes Team. Überprüfe das zugewiesene VLAN und die Zugriffsrichtlinie mit einem repräsentativen Konto aus jeder Gruppe.

Funk-Frames können auch außerhalb der Wände eines Raums empfangen werden. WLAN-Sicherheit muss den Zugang kontrollieren, die Inhalte der Frames schützen und Veränderungen erkennen. Unterschiedliche Sicherheitsmodi bieten diesen Schutz auf unterschiedliche Weise.

Erkenne veraltete und aktuelle Modi

WPA2 auf Basis von 802.11i erschien 2004 und wurde 2006 für die Wi-Fi-Zertifizierung verpflichtend. WEP und TKIP verhindern außerdem die modernen hohen Datenraten von 802.11n und neueren Standards. Die Wahl einer veralteten Verschlüsselung für ein altes Gerät kann daher Sicherheit und Leistung schwächen.

Verstehe den Unterschied im Personal-Modus

WPA2-Personal leitet Schlüsselmaterial aus der gemeinsamen Passphrase und der SSID ab. Aufgezeichnete Handshake-Informationen ermöglichen das Offline-Raten des Passworts. Eine lange zufällige Passphrase verringert dieses Risiko. Wer diese Passphrase kennt und den Handshake eines anderen Clients aufzeichnet, kann auch dessen Schlüssel ableiten; die einzelnen Arbeitsschlüssel pro Client bieten also keine Vertraulichkeit gegenüber anderen Passwortinhabern.

WPA3-Personal nutzt SAE. Das Erraten von Passwörtern erfordert eine laufende Interaktion, und eine passive Aufzeichnung ermöglicht nicht dasselbe Offline-Rateverfahren. Es bietet außerdem Forward Secrecy: Wird das Passwort später offengelegt, werden zuvor aufgezeichnete Sitzungen dadurch nicht entschlüsselt. Nutzer können weiterhin ein Passwort teilen, sodass SAE keine individuellen Nutzerkonten erzeugt.

Schütze Management-Frames

Geschützte Management-Frames (PMF) schützen ausgewählten Verwaltungsverkehr einschließlich Deauthentifizierung und Disassoziierung nach Einrichtung des Schutzes vor Fälschung. WPA3 schreibt PMF vor. Dadurch wird nicht jeder Management-Frame verschlüsselt; die Suche muss bereits funktionieren, bevor ein Client Schlüssel besitzt.

WPA3-Enterprise nutzt 802.1X und bietet einen optionalen 192-Bit-Sicherheitsmodus mit stärkeren Verfahren wie GCMP-256. WPA2-Personal und WPA3-Personal nutzen für Daten üblicherweise beide CCMP-128, sodass die Vorteile von WPA3 nicht einfach in einem längeren Datenschlüssel bestehen. Neuere Sicherheitssuiten, darunter Wi-Fi-7-Konfigurationen, können GCMP-256 nutzen.

Stelle um, ohne den Schutz zu überschätzen

Der Übergangsmodus akzeptiert WPA2-PSK- und WPA3-SAE-Clients auf einer SSID mit derselben Passphrase. Ältere Clients behalten die Schwächen von WPA2. Nutze ihn während der Umstellung auf 2,4 oder 5 GHz und wechsle dann zu reinem WPA3, sobald der Gerätebestand es unterstützt. Bei 6 GHz sind WPA2 und der Übergangsmodus nicht erlaubt und PMF ist vorgeschrieben.

Enhanced Open auf Basis von OWE verschlüsselt den Funkverkehr jedes Clients ohne Passwort. Es schützt vor passivem Abhören, authentifiziert aber weder den Nutzer noch weist es nach, dass der AP der beabsichtigte ist. Es eignet sich für öffentliche Netzwerke, deren Zugangsrichtlinie gesondert geregelt wird.

Deaktiviere WPS und verlasse dich nicht auf verborgene SSIDs oder MAC-Listen. Unterstützt ein IoT-Gerät nur WPA2, gib ihm ein separates VLAN mit nur dem benötigten Zugriff. So bleibt es kompatibel, ohne dass es weitreichenden Zugang zum Unternehmensnetzwerk erhält.

Personal-Sicherheit nutzt ein gemeinsames Passwort. Enterprise-Sicherheit prüft eine Identität über 802.1X, sodass eine Organisation den Zugang einer Person entziehen kann, ohne jedes andere Gerät zu ändern.

Wähle das Zugangsmodell

WPA2-Personal leitet einen PSK aus einem Passwort ab; WPA3-Personal nutzt dieses Passwort über SAE. Beide sind an kleinen Standorten einfach zu verwalten, aber ein gemeinsames Passwort verbreitet sich und lässt sich schwer für nur eine Person zurückziehen. Einige Hersteller bieten gerätespezifische Schlüssel an, um dieses Problem zu verringern.

802.1X hat drei Rollen: den Supplicant auf dem Client, den Authentifikator auf dem AP oder Controller und den Authentifizierungsserver, meist einen mit einem Verzeichnis verbundenen RADIUS-Server. Der Authentifikator kontrolliert den Zugang und leitet Authentifizierungsnachrichten weiter; er ist nicht die Datenbank aller Nutzerpasswörter.

Verfolge den Austausch

1. Der Client assoziiert sich mit dem Enterprise-WLAN.
2. Supplicant und Authentifikator tauschen EAP über LAN, also EAPOL, über die Funkverbindung aus.
3. Der Authentifikator überträgt den EAP-Austausch in Access-Request-Nachrichten an den RADIUS-Server, normalerweise über UDP 1812.
4. Client und Server schließen das gewählte EAP-Verfahren ab. Der Server sendet Access-Accept zurück, wenn die Identität akzeptiert wird, und kann ein VLAN oder eine Rolle übermitteln.
5. Schlüsselmaterial unterstützt den Vier-Wege-Handshake zwischen Client und AP. Der verschlüsselte Zugang beginnt, anschließend folgt DHCP.

RADIUS Accounting nutzt üblicherweise UDP 1813, um Sitzungen aufzuzeichnen. Nutzerkonten ermöglichen Administratoren, einzelne Anmeldungen zu deaktivieren, Aktivitäten zu untersuchen und unterschiedliche Zugriffsrollen auf einer SSID anzuwenden.

Wähle ein EAP-Verfahren

EAP-TLS ist eine starke gängige Wahl für verwaltete Geräte, weil jedes ein Client-Zertifikat erhält. PEAP und EAP-TTLS können sich für bestehende Kontosysteme eignen, hängen aber weiterhin von der Prüfung des Serverzertifikats ab. Überprüfe sowohl die vertrauenswürdige Zertifizierungsstelle als auch den erwarteten Servernamen. Eine vertraute SSID ist kein Beleg dafür, dass ein Server echt ist.

Stimme Server und Controller ab

Konfiguriere die Adresse, Ports und das gemeinsame Geheimnis des RADIUS-Servers auf dem Authentifikator. Registriere diesen AP oder Controller auf dem Server als RADIUS-Client mit dem passenden Geheimnis. Dieses Infrastrukturgeheimnis ist vom Passwort eines Mitarbeiters und von der Passphrase eines Personal-WLANs getrennt.

Ein abgelaufenes Serverzertifikat kann jeden prüfenden Client betreffen. Eine falsche Uhrzeit auf einem Laptop wirkt sich auf dessen Zertifikatsprüfungen aus. Eine fehlgeschlagene Autorisierung im Verzeichnis unterscheidet sich wiederum von einem Server, der nie Anfragen erhält. Vergleiche Client-, Controller- und RADIUS-Protokolle, um den fehlgeschlagenen Austausch zu finden.

802.1X authentifiziert den Zugang; WPA2 oder WPA3 stellt die Funkverschlüsselung mit den eingerichteten Schlüsseln bereit. Das Wort Enterprise bezeichnet dieses Authentifizierungsmodell. Dienste wie eduroam nutzen es, damit teilnehmende Nutzer sich beim Besuch eines anderen Standorts über ihre Heimateinrichtung authentifizieren können.

Für ein Gast-WLAN sind getrennte Entscheidungen über Zugang, Vertraulichkeit und Erreichbarkeit nötig. Eine Anmeldeseite setzt die Zugangsrichtlinie um; Verschlüsselung schützt die Funkverbindung; VLANs und Firewall-Regeln kontrollieren, welche Ziele Gäste erreichen können.

Errichte die Trennung

Ordne die Gast-SSID einem separaten VLAN zu oder tunnele Gastdatenverkehr zu einem Anker-Controller in einer DMZ. Wende Firewall-Regeln an, die interne Netzwerke blockieren und gleichzeitig den vorgesehenen Internetzugang und erforderliche unterstützende Dienste erlauben. Ein VLAN trennt Broadcast-Domänen; eine ACL oder Firewall setzt durch, welche gerouteten Ziele erreichbar sind.

Aktiviere Client-Isolierung, damit Gastgeräte einander nicht erreichen können. Sie erfüllt einen anderen Zweck als das Blockieren interner Subnetze. Datenratenbegrenzungen verhindern, dass einzelne Nutzer die gesamte Internetverbindung beanspruchen, während geeignete DHCP-Leases helfen, Adresserschöpfung bei abreisenden und neu eintreffenden Besuchern zu vermeiden.

Verstehe die Aufgabe des Portals

Ein Captive Portal ist eine Webseite, die vor der Freigabe des gewöhnlichen Zugangs erscheint. Sie kann die Zustimmung zu Bedingungen, einen Gutschein, eine Anmeldung oder die Freigabe durch einen Verantwortlichen verlangen. Betriebssysteme erkennen das eingeschränkte Netzwerk oft und öffnen die Seite. Controller nennen dies üblicherweise Webauthentifizierung auf Schicht 3.

Das Abschließen dieser Seite macht aus einer offenen Funkverbindung keine verschlüsselte. HTTPS schützt die Anwendungssitzung zur Webseite, ist aber eine von der WLAN-Verschlüsselung getrennte Schicht. Wähle die Funksicherheit des WLANs ausdrücklich aus.

Plane einen Gastzugang

Ein Hotel bietet „Hotel-Guest“ auf VLAN 50 an. Enhanced Open verschlüsselt den Funkverkehr, und ein Portal prüft Zimmernummer und Nachnamen für den Zugang. Client-Isolierung blockiert Datenverkehr zwischen Gästen. Die Firewall-Richtlinie blockiert die internen Bereiche des Hotels, etwa 10.0.0.0/8, und erlaubt den vorgesehenen Internetdienst.

Eine Begrenzung auf 10 Mbit/s pro Gerät kontrolliert den Bedarf. Ein Sitzungszeitlimit von einem Tag und eine geeignet kurze DHCP-Lease geben Zugang und Adressen frei, wenn Gäste abreisen. Teste mit zwei Gastgeräten und einem Mitarbeitergerät: Gäste sollten nach Abschluss des Portals das Internet erreichen, interne Systeme nicht erreichen und einander nicht erreichen können. Prüfe dies in getrennten Tests, damit ein erfolgreiches Ergebnis keine andere fehlende Schutzmaßnahme verdeckt.

Wende dasselbe Trennungsprinzip auf IoT- und BYOD-Geräte an. Ordne sie einem geeigneten VLAN oder einer geeigneten Rolle zu und erlaube nur die benötigten Ziele. Eine Kamera, die Daten an einen Dienst hochlädt, benötigt keinen Zugang zu Gehaltsabrechnungsservern.

Ein Nutzer, der langsames WLAN meldet, kann ein starkes Signal und fast keine freie Sendezeit haben. Erfasse Messwerte, bevor du Kanäle oder Leistung änderst, damit die Maßnahme die tatsächliche Einschränkung behebt.

Vergleiche die wichtigsten Symptome

Erfasse Signalpegel, Rauschpegel, SNR, Kanalauslastung, Wiederholungsrate und Client-Datenrate. Die Kanalauslastung misst, wie lange der Kanal belegt ist; die Wiederholungsrate misst, wie viel Datenverkehr erneut gesendet werden muss. Vergleiche betroffene und nicht betroffene Bereiche sowie die Zeiten, zu denen Nutzer den Fehler bemerken.

Dies sind diagnostische Hinweise. Bestätige die Ursache mit passenden Messungen, bevor du eine dauerhafte Änderung vornimmst.

Unterscheide CCI und ACI

Bei Gleichkanalinterferenz (CCI) wechseln sich hörbare Stationen auf demselben Kanal normalerweise ab. Die praktischen Folgen sind Zugriffskonkurrenz und weniger verfügbare Sendezeit. Schmalere Kanäle, kleinere Funkzellen, ein größerer Kanalpool und das Deaktivieren überschüssiger 2,4-GHz-Funkmodule können die Wiederverwendung verbessern. Zusätzliche APs auf demselben hörbaren Kanal können das Problem verschlimmern.

Nachbarkanalinterferenz (ACI) entsteht durch teilweise überlappende Kanäle, etwa 1 und 4 bei 2,4 GHz, oder durch sehr starke Signale auf nahe gelegenen Kanälen. Frames werden beschädigt, weil Empfänger den Zugriff mit dem unerwünschten Signal nicht koordinieren können. Nutze die 20-MHz-Kanäle 1, 6 und 11, senke überhöhte Leistung und platziere nahe Funkmodule mit angemessenem Abstand.

Finde Energie außerhalb des WLANs

Ein WLAN-Analysator meldet dekodierbare WLANs; ein Spektrumanalysator sieht auch andere Hochfrequenzenergie. Mikrowellengeräte können Impulse nahe 2,45 GHz erzeugen, Bluetooth springt durch 2,4 GHz, und drahtlose Videogeräte oder andere IoT-Geräte können Kanäle belegen. Vergleiche das Energiemuster mit den Betriebszeiten der vermuteten Quelle. Versetze, ersetze oder entferne die Quelle oder verschiebe Clients auf einen unbeeinträchtigten Kanal oder ein unbeeinträchtigtes Frequenzband.

Bei langsamer Verbindung zur Mittagszeit nahe einer Küche vergleiche Messungen mit laufendem und ausgeschaltetem Mikrowellengerät. Passen Impulse im oberen Bandbereich zum Problem, verschiebe Clients mit Unterstützung für zwei Frequenzbänder auf 5 GHz und teste für die verbleibenden Geräte einen störungsärmeren 2,4-GHz-Kanal.

Behebe Funkabdeckungsprobleme und Sonderfälle

Neue Warenbestände, Wände, Metallkonstruktionen, ungünstige Montage oder falsche Antennen können schwache Bereiche erzeugen. Leuchte den betroffenen Weg aus und versetze, ergänze oder richte APs neu aus. Eine Erhöhung allein der AP-Leistung lässt den Uplink des Clients unverändert und kann die Zugriffskonkurrenz weiter verbreiten.

Viele Wiederholungen bei gutem AP-Signal können auf verdeckte Stationen hindeuten: Clients auf gegenüberliegenden Seiten der Funkzelle können einander nicht hören. RTS/CTS, kleinere Funkzellen oder weniger Clients pro Funkmodul können helfen. Prüfe bei abrupten Kanalwechseln die DFS-Protokolle und entferne wiederholt betroffene Kanäle aus dem zulässigen Standortplan, ohne die regulatorischen Schutzmaßnahmen aufzuheben.

Beginne mit dem Umfang: ein Gerät, ein Standort, eine SSID oder das gesamte WLAN. Frage, wann der Fehler begann und was sich geändert hat, und verfolge dann den Client von der Suche bis zum Anwendungszugriff.

Finde den ersten fehlgeschlagenen Schritt

1. Sichtbarkeit der SSID: Prüfe die vom Client unterstützten Frequenzbänder, den Treiber, das aktivierte Funkmodul, das angekündigte WLAN und die Funkabdeckung. Ein Scanner nur für 2,4 GHz kann einen Dienst nur auf 5/6 GHz nicht sehen.
2. Authentifizierung und Assoziierung: Prüfe die Sicherheitskompatibilität. Ein Client nur für WPA2 kann sich nicht an einem reinen WPA3-Dienst anmelden; auch nicht unterstützte Anforderungen für PMF oder schnellen Übergang können die Anmeldung blockieren.
3. Schlüsseleinrichtung: Ein falsches WPA2-Passwort lässt üblicherweise den Vier-Wege-Handshake scheitern. Ein falsches WPA3-Personal-Passwort lässt SAE früher scheitern, vor der Assoziierung.
4. Adressierung: Prüfe Client-VLAN, DHCP-Bereich und Relay.
5. Anwendungszugriff: Prüfe Gateway, DNS, Firewall-Richtlinie und ob das Portal abgeschlossen wurde.

Untersuche bei Enterprise-Authentifizierung die RADIUS-Erreichbarkeit, das gemeinsame Geheimnis, die Nutzerautorisierung und Zertifikate. Ein abgelaufenes Serverzertifikat betrifft alle Clients, die es prüfen; eine falsche Client-Uhrzeit kann nur dieses Gerät betreffen. Wiederholt fehlgeschlagene Versuche können einen vorübergehenden Ausschluss auslösen, prüfe daher auch den Client-Status auf dem Controller.

Nutze die Adresse als Hinweis

Eine IPv4-Adresse aus 169.254.0.0/16 deutet häufig darauf hin, dass nach einem fehlgeschlagenen DHCP-Versuch eine automatische linklokale Adressierung erfolgte. Assoziierung und Verschlüsselung können beide funktionieren. Prüfe die SSID-zu-VLAN-Zuordnung, zugelassene VLANs auf einem Trunk mit lokalem Switching, die Relay-Konfiguration und verfügbare DHCP-Leases.

Hat der Client die vorgesehene Adresse, teste zuerst sein Gateway. Vergleiche den Zugriff per IP-Adresse mit dem Zugriff per Namen, um DNS zu untersuchen. Prüfe, ob das Portal noch abgeschlossen werden muss. Das Ändern des WLAN-Passworts behebt keinen erschöpften DHCP-Adresspool.

Untersuche wiederholte Abbrüche und Roaming

Gleiche Zeitstempel und Grundcodes von Verbindungsabbrüchen mit Controller-Protokollen ab. Suche nach schwacher Funkabdeckung am Rand, Interferenzen, DFS, erneuter Sitzungsanmeldung, aggressivem Steering oder Treiber- und Energiesparfehlern des Clients.

Ein Sticky Client bleibt bei einem entfernten AP, selbst wenn ein besserer verfügbar ist. Der Client entscheidet, wann er wechselt. Verringere übermäßige Funkzellenüberlappung, prüfe niedrige verpflichtende Datenraten und nutze die Unterstützung durch 802.11k/v bei geeigneten Clients. Teste bei Sprachausfällen während des Gehens die sekundäre Funkabdeckung auf dem Zielpegel und überprüfe die 802.11r-Kompatibilität. Uneinheitliche Sicherheit oder ein nicht unterstützter Subnetzwechsel können den Dienst selbst bei gutem Signal unterbrechen.

Prüfe Grenzen hinter der Funkstrecke

Sind alle Clients an einem AP langsam, prüfe Geschwindigkeit, Fehler und PoE-Status seines Ethernet-Ports. Ein beschädigtes Kabel kann 100 Mbit/s aushandeln und ein schnelles WLAN-Funkmodul begrenzen. Vergleiche einen lokalen Datendurchsatztest mit einem Internettest, um WLAN- und vorgelagerte Grenzen zu unterscheiden.

Unter Windows meldet netsh wlan show interfaces die aktuelle SSID, BSSID, den Kanal und die Sicherheit. Nutze unter macOS „Wireless Diagnostics“ oder sudo wdutil info, wo unterstützt. Unter Linux verwendet iw dev wlan0 link den tatsächlichen Schnittstellennamen; nmcli dev wifi listet nahe gelegene Dienste auf. Vergleiche diese Client-Beobachtungen mit AP-/Controller-Protokollen, nimm eine gezielte Änderung vor und teste das ursprüngliche Symptom erneut.