Draadloze netwerken

Een draadloos LAN (WLAN) vervoert LAN-frames via radiogolven. Een accesspoint (AP) verbindt draadloze stations met het bekabelde netwerk, het distributiesysteem. Een draadloze router voor thuis combineert meerdere taken in één apparaat; een zakelijk AP wordt meestal aangesloten op een afzonderlijke Ethernetswitch.

Namen, radio's en servicesets

De SSID is de netwerknaam, maximaal 32 bytes lang. Een BSS bestaat uit één logische AP-interface en de bijbehorende geassocieerde clients. De BSSID is een 48-bits adres in de vorm van een MAC-adres. Eén radio kan meerdere SSID's aanbieden, elk met een afzonderlijke BSSID. Een ESS groepeert BSS'en met dezelfde SSID en hetzelfde verbonden LAN, zodat clients tussen AP's kunnen bewegen; ESSID betekent die gedeelde naam.

Zo leveren 12 AP's die “Staff” op twee radio's aanbieden 24 BSSID's voor die SSID. Een client kan “Staff” blijven zien terwijl de BSSID tijdens roaming verandert. De naam duidt de dienst aan; de BSSID duidt de specifieke BSS aan.

Verbinding maken gebeurt in fasen

1. Ontdekken: luister naar beaconframes of verstuur probeverzoeken. Een gebruikelijk beaconinterval is 100 tijdseenheden, ongeveer 102,4 ms.
2. Authenticeren op 802.11: WPA2 gebruikt een open-systeemuitwisseling; WPA3-Personal gebruikt SAE.
3. Associëren: vraag aansluiting bij een BSS aan en ontvang het antwoord van het AP.
4. Sleutels instellen: Enterprise-clients voltooien eerst 802.1X/EAP-authenticatie; daarna stelt de vierweg-handshake werkende encryptiesleutels vast.
5. IP gebruiken: vraag DHCP-instellingen aan en bereik netwerkdiensten zodra veilige toegang gereed is.

Als je een SSID ziet, zegt dat dus nog niets over DHCP. Een client kan zich met succes associëren, maar later bij de sleuteluitwisseling of adresaanvraag vastlopen.

Elkaar afwisselen in de ether

Wifi deelt een halfduplexkanaal. CSMA/CA betekent luisteren, wachten tot het kanaal vrij is en vóór het zenden een willekeurige wachttijd gebruiken. Unicastlevering gebruikt bevestigingen; ontbreken die, dan volgen nieuwe verzendpogingen. Moderne radio's kunnen groepen frames tegelijk bevestigen. Met OFDMA en MU-MIMO kan een AP meerdere clients in één transmissie bedienen, maar de zendtijd van het kanaal blijft gedeeld.

Een client met lage transmissiesnelheid heeft meer tijd nodig om dezelfde gegevens te versturen. Een repeater op hetzelfde kanaal moet die ontvangen en opnieuw verzenden, waardoor de beschikbare doorvoersnelheid in een eenvoudig ontwerp met één radio ongeveer halveert. Signaalstreepjes tonen het ontvangen niveau, niet de resterende zendtijd voor nuttig verkeer.

Twee clients kunnen allebei een AP horen zonder elkaar te horen. Deze verborgen stations kunnen tegelijk zenden en bij het AP botsen. RTS/CTS reserveert zendtijd vóór de data, wat botsingen vermindert maar overhead toevoegt.

Verbinding met het bekabelde netwerk en beveiliging

Het AP schakelt 802.11-frames door naar Ethernet en koppelt SSID's meestal aan VLAN's. Een SSID verbergen beveiligt deze verbinding niet: verkeer voor ontdekking en associatie kan de naam onthullen. MAC-filtering is ook zwak omdat adressen zichtbaar en veranderbaar zijn; willekeurig gegenereerde privéadressen kunnen adreslijsten onbruikbaar maken.

Een wifi-generatie beschrijft een reeks radiomogelijkheden. Een frequentieband beschrijft waar de radio werkt. Een nieuwer AP helpt alleen als clients, kanalen en het bekabelde netwerk de functies ervan kunnen gebruiken.

Koppel namen aan standaarden

De IEEE ontwikkelt 802.11-standaarden; de Wi-Fi Alliance certificeert interoperabiliteit en geeft generatienamen.

Wifi 6E betekent dat 802.11ax is uitgebreid naar 6 GHz. Het is geen afzonderlijke IEEE-aanvulling. De oudere standaarden a, b en g hebben geen officiële genummerde generatienamen.

Hoe de snelheid stijgt

MIMO verzendt afzonderlijke ruimtelijke gegevensstromen met meerdere antenneketens. Het bruikbare aantal stromen wordt door beide uiteinden begrensd: een laptop met twee stromen kan geen vier stromen ontvangen alleen omdat het AP die ondersteunt. Bredere kanalen vervoeren meer symbolen parallel, maar gebruiken meer spectrum. QAM plaatst meer bits in elk symbool: 64-QAM bij n, 256-QAM bij ac, 1024-QAM bij ax en 4096-QAM bij be. Dichtere modulatie vereist een schoner signaal en is daarom vooral dicht bij een AP nuttig.

Wifi 6 voegt OFDMA toe, dat een kanaal in resource-eenheden voor meerdere clients verdeelt, en MU-MIMO in beide richtingen, dat afzonderlijke stromen naar verschillende clients verzendt. Geplande ontwaaktijd plant wanneer apparaten op batterijen ontwaken. Wifi 7 voegt gebruik van meerdere radioverbindingen (MLO) toe, zodat compatibele apparaten meerdere verbindingen kunnen gebruiken, ook in verschillende frequentiebanden. De gecombineerde snelheid hangt af van de beschikbare verbindingen.

Transmissiesnelheid op de fysieke laag is niet de doorvoersnelheid voor toepassingen

Een wifi 6-laptop met twee stromen op een kanaal van 80 MHz kan een transmissiesnelheid op de fysieke laag van 1.201 Mbps tonen. Headers, bevestigingen, contentie en andere gebruikers verbruiken allemaal een deel van die capaciteit. Dicht bij het AP op een rustig kanaal bereikt de doorvoersnelheid voor toepassingen gewoonlijk ongeveer de helft tot twee derde van die snelheid; afstand, hertransmissies en belasting verlagen die verder.

Een wifi 5-laptop die verbinding maakt met een wifi 7-AP gebruikt nog steeds een wifi 5-verbinding op 5 GHz. Een b- of g-client heeft 2,4 GHz nodig. Een wifi 6-client heeft 6E-ondersteuning nodig om 6 GHz te gebruiken. Controleer de daadwerkelijke adapter en het stuurprogramma, niet alleen de leeftijd van het product.

Controleer meer dan het generatielabel

Andere aanvullingen duiden specifieke functies aan: 802.11e biedt QoS/WMM; h voegt DFS/TPC toe; i vormt de basis voor WPA2; w beschermt beheerframes; k levert buurtrapporten; v biedt suggesties voor BSS-overgangen; r verkort de sleutelinstelling bij roaming; s definieert de werking van meshnetwerken. IEEE 802.11bn is in ontwikkeling met betrouwbaarheid als aandachtspunt.

Een AP-upgrade vereist ook voldoende PoE en uplinkbandbreedte. Een switchpoort van 1 Gbps kan het gezamenlijke verkeer van een snelle radio beperken; sommige AP's hebben poorten van 2,5 of 5 Gbps nodig. Schakel verouderde lage transmissiesnelheden pas uit nadat je hebt gecontroleerd of de benodigde clients en dekking blijven werken.

De beste frequentieband hangt af van waar de client werkt, wat de radio ondersteunt en hoe druk de ether is. Een signaal dat verder reikt kan nuttig zijn voor een sensor, terwijl een kleinere, schonere cel beter is voor een druk kantoor.

Vergelijk het beschikbare spectrum

De toewijzing voor 2,4 GHz is 2,400–2,4835 GHz. De 5 GHz-band bevat verschillende afzonderlijke bruikbare bereiken; de landinstelling van de apparatuur bepaalt wat beschikbaar is. In de VS lopen de regels voor binnengebruik ook door in 5,850–5,895 GHz. Beschouw een uit het hoofd geleerd aantal kanalen niet als de toegestane lijst voor de installatie.

De Amerikaanse toewijzing voor 6 GHz is 5,925–7,125 GHz, in totaal 1.200 MHz. De EU-toewijzing is 5,945–6,425 GHz, in totaal 480 MHz. Die bieden respectievelijk 59 en 24 gewone kanalen van 20 MHz. Sommige landen hebben wifi op 6 GHz niet toegestaan.

Waarom het bereik verschilt

Voor de golflengte geldt $\lambda =c\mathrm{/}f$: ongeveer 12,3 cm bij 2,437 GHz, 5,5 cm bij 5,5 GHz en 4,6 cm bij 6,5 GHz. Bij gelijke antenneversterking en afstand veroorzaakt een hogere frequentie meer vrijevelddemping. De meeste muren dempen hogere frequenties ook sterker. Daardoor is 2,4 GHz bruikbaar door meer obstakels heen, terwijl 5 en 6 GHz meestal vereisen dat AP's dichter bij elkaar staan.

De frequentie alleen bepaalt de snelheid niet. Bredere bruikbare kanalen en minder contentie maken 5 of 6 GHz vaak sneller. Dicht bij een celrand kan een sterke 2,4 GHz-verbinding echter beter presteren dan een zwakke 5 GHz-verbinding. Onderzoek beide richtingen met de daadwerkelijke clientklasse.

Houd schaarse zendtijd beschikbaar

Bluetooth, magnetrons, naburige WLAN's en veel IoT-radio's delen 2,4 GHz. Gebruik daar kanalen van 20 MHz en reserveer capaciteit voor apparatuur die niet kan overstappen. In veel bedrijfsnetwerken vervoert 5 GHz het meeste personeelsverkeer, omdat de clientondersteuning breed is en er meer kanalen beschikbaar zijn.

Alleen wifi 6E- en wifi 7-clients kunnen 6 GHz gebruiken. Een AP dat drie banden ondersteunt, kan één SSID op alle drie aanbieden, maar de client heeft nog steeds de juiste ondersteuning van radio, besturingssysteem en stuurprogramma nodig. Gebruik op 6 GHz WPA3 of Enhanced Open met beveiligde beheerframes; WPA2 en onversleutelde open netwerken zijn niet toegestaan. Clients ontdekken netwerken via informatie die op lagere banden wordt aangekondigd of via voorkeursscankanalen.

Pas de keuze toe op een gemengde locatie

Een magazijn heeft scanners die alleen 2,4 GHz ondersteunen en wifi 6E-laptops op kantoor. Behoud een 2,4 GHz-netwerk voor de scanners. Bied het personeelsnetwerk aan op 5 en 6 GHz en controleer of die cellen het kantoor met het vereiste signaal en de vereiste SNR dekken.

Bandsturing stimuleert geschikte clients om een hogere frequentieband te gebruiken, bijvoorbeeld door antwoorden op probeverzoeken op 2,4 GHz te vertragen. De client maakt de uiteindelijke keuze. Agressieve bandsturing aan de rand van het 5 GHz-dekkingsgebied kan een verbinding vertragen; controleer de resultaten daarom met clientstatistieken. Wifi 7 MLO kan meer dan één ondersteunde verbinding onderhouden, maar geeft een oudere client geen nieuwe frequentieband.

Kanaalnummers duiden middenfrequenties aan, geen stukken spectrum die slechts één nummer breed zijn. De gebruikte kanaalbreedte bepaalt of naburige AP's de ether onafhankelijk kunnen gebruiken.

Lees een kanaalnummer

In 2,4 GHz is de middenfrequentie in MHz gelijk aan $2407+5n$, waarbij n het kanaalnummer is. Kanalen 1, 6 en 11 hebben middenfrequenties van 2412, 2437 en 2462 MHz. De nummers liggen 5 MHz uit elkaar, maar een normaal kanaal beslaat ongeveer 20 MHz, of 22 MHz voor 802.11b. Daarom overlappen kanalen 1 en 3.

Gebruik 1, 6 en 11 op 20 MHz voor het gebruikelijke 2,4 GHz-plan. Deze middenfrequenties liggen 25 MHz uit elkaar. Gedeeltelijk overlappende kanalen veroorzaken interferentie van aangrenzende kanalen: ontvangers kunnen de ongewenste transmissie niet betrouwbaar decoderen en de toegang niet coördineren. Naburige apparaten op hetzelfde kanaal kunnen elkaar normaal horen en afwisselen, al vermindert ook dat de capaciteit.

In 5 GHz is de middenfrequentie in MHz gelijk aan $5000+5n$. Kanaal 36 is 5180 MHz. Gewone kanalen van 20 MHz liggen vier nummers uit elkaar: 36, 40, 44 en 48 zijn vier verschillende kanalen.

Bundel kanalen doelbewust

Bij kanaalbundeling verdubbelt de pieksnelheid ongeveer telkens als de breedte verdubbelt. Ook halveert het aantal onafhankelijke kanalen ongeveer. Bredere ontvangst vangt meer ruis op: een verdubbeling van de breedte voegt ongeveer 3 dB toe aan de ruisvloer, zodat 80 MHz onder verder gelijke omstandigheden ongeveer 6 dB meer ruis opvangt dan 20 MHz.

Voor een toegestane voorbeeldlijst van 36–64 en 100–140 zijn er 19 kanalen van 20 MHz. Standaard gebundelde blokken leveren negen kanalen van 40 MHz op, waarbij kanaal 140 ongebruikt blijft, of vier kanalen van 80 MHz: 36–48, 52–64, 100–112 en 116–128. Twaalf AP's die elkaar horen zouden elk blok van 80 MHz drie keer gebruiken. Een plan met 40 MHz geeft ze meer afzonderlijke zendtijd.

Kies een breedte voor de locatie

Gebruik 20 MHz in 2,4 GHz. Begin bij een dichte plaatsing van AP's op 5 GHz met 20 of 40 MHz; 40 of 80 MHz kan geschikt zijn voor minder drukke locaties met voldoende kanalen. In 6 GHz kan 80 MHz of breder nuttig zijn, maar tel de lokaal beschikbare kanalen voordat je kiest. Een snelheidsinstelling die voor één laptop goed lijkt, kan de totale capaciteit in een zaal verminderen.

De formule voor de middenfrequentie van 6 GHz in MHz is $5950+5n$. Gewone kanalen van 20 MHz zijn in de VS 1, 5, 9 enzovoort tot en met 233. Voorkeursscankanalen (PSC's) liggen telkens 80 MHz uit elkaar: 5, 21, 37 enzovoort tot en met 229. De lagere band van de EU heeft er zes: 5, 21, 37, 53, 69 en 85. Een PSC als primair kanaal gebruiken helpt bij de ontdekking.

Hergebruik in drie dimensies

Wijs verschillende kanalen toe aan AP's die elkaar horen, ook aan AP's erboven en eronder. Waar te veel 2,4 GHz-radio's dezelfde drie kanalen delen, schakel je overbodige radio's uit of gebruik je ze voor bewaking. Radiobeheer via een controller of de cloud kan kanalen en vermogen automatisch toewijzen; controleer de keuzes met metingen, inclusief naburige netwerken waarover de organisatie geen controle heeft.

Ook voor spectrum waarvoor geen vergunning nodig is, gelden regels. Stel het regelgevingsdomein van een AP in op het installatieland, zodat de radio de juiste kanalen, vermogens en modi voor binnen- of buitengebruik aanbiedt. Een andere landinstelling is geen geldige manier om kanalen vrij te maken.

Kanalen en vermogen verschillen per regio

Amerikaanse 2,4 GHz-apparatuur gebruikt normaal kanaal 1–11; Europese apparatuur kan 1–13 gebruiken. Japan staat kanaal 14 alleen toe voor 802.11b. Het plan met 1, 6 en 11 helpt ook bezoekende clients die kanaal 12 of 13 niet kunnen gebruiken.

Voor gewoon Amerikaans punt-tot-multipuntgebruik op 2,4 GHz zijn de gebruikelijke limieten maximaal 1 W toegevoerd vermogen en 36 dBm EIRP, met de toepasselijke antennebeperkingen. Het EU/ETSI-voorbeeld is 20 dBm EIRP, oftewel 100 mW. EIRP omvat antenneversterking: vervanging van een antenne kan verlaging van het zendvermogen vereisen. Selecteer het juiste antennemodel in de AP-instellingen.

Bescherm radargebruikers

802.11h biedt dynamische frequentieselectie (DFS) en zendvermogensregeling (TPC) voor 5 GHz-spectrum dat met radar wordt gedeeld. DFS-kanalen vereisen vóór gebruik een luisterperiode. De FCC-beschikbaarheidscontrole van een kanaal duurt normaal 60 seconden; voor Europese weerradarkanalen 120–128 kan 10 minuten nodig zijn.

Als radar wordt gedetecteerd, moet het AP het kanaal binnen 10 seconden verlaten en het minstens 30 minuten vermijden. Opnieuw opstarten kan de dienstverlening daardoor vertragen en een radargebeurtenis kan clients onderbreken terwijl het AP van kanaal wisselt. TPC maakt vermogensverlaging mogelijk. Controleer clientondersteuning en terugkerende radargebeurtenissen voordat je op DFS-capaciteit vertrouwt.

Onderscheid apparaatklassen voor 6 GHz

Amerikaans gebruik met standaardvermogen vindt plaats op U-NII-5 en U-NII-7. Automatische frequentiecoördinatie (AFC) gebruikt de apparaatlocatie om vaste microgolfverbindingen te beschermen en bepaalt welk gebruik is toegestaan. LPI-apparatuur is voor binnengebruik. VLP ondersteunt draagbaar gebruik met laag vermogen binnen en buiten, onder voorbehoud van de gebruiksbeperkingen van de klasse; de FCC heeft VLP in 2025 uitgebreid tot de volledige Amerikaanse 6 GHz-band. De EU-voorbeelden gelden alleen voor 5,945–6,425 GHz; EU-LPI sluit wegvoertuigen uit en VLP sluit drones uit.

Pas beide vermogenslimieten toe

Een limiet voor de vermogensspectrale dichtheid (PSD) begrenst het vermogen per MHz. Het totale vermogen heeft daarnaast een afzonderlijke bovengrens:

Voor een Amerikaans LPI-AP staat 20 MHz ongeveer 5 + 13 = 18 dBm toe, terwijl 80 MHz ongeveer 5 + 19 = 24 dBm toestaat. Bij 320 MHz bereikt het resultaat de totale limiet van 30 dBm. Voor EU-LPI geeft 20 MHz al ongeveer 10 + 13 = 23 dBm, zodat bredere kanalen het totale vermogen niet boven 23 dBm verhogen.

Gebruik bij de installatie van apparatuur actuele informatie van de toezichthouder en over de landenondersteuning van de leverancier. Het wettelijke maximum is een bovengrens; stel het werkvermogen in op de behoeften voor dekking en capaciteit en behoud daarbij het retourpad van de client.

Een radiometing wordt bruikbaar als je weet wat die meet. Vermogen, een verandering in vermogen en signaalkwaliteit gebruiken verwante decibeleenheden, maar beantwoorden verschillende vragen.

Zet vermogen om zonder eenheden te mengen

dBm is vermogen ten opzichte van 1 mW:

De omgekeerde omzetting is $P_{\text{mW}}={10}^{P_{\text{dBm}}\mathrm{/}10}$. Nuttige uitgangspunten zijn 1 mW = 0 dBm, 10 mW = 10 dBm, 100 mW = 20 dBm en 1 W = 30 dBm.

Een waarde in dB is een verhouding: +3 dB verdubbelt het vermogen ongeveer; −3 dB halveert het; +10 dB vermenigvuldigt het met tien. Als je 20 dBm met 3 dB verlaagt, krijg je ongeveer 17 dBm, oftewel 50 mW. Een verlaging met 10 dB geeft 10 dBm, oftewel 10 mW. Tel versterking en demping in dB op bij een vermogen in dBm of trek ze ervan af. Om twee vermogens te combineren tel je eerst hun waarden in milliwatt op: twee vermogens van 20 dBm zijn samen 200 mW, ongeveer 23 dBm, geen 40 dBm.

Vergelijk signaal met ruis

De ontvangen signaalsterkte wordt vaak als RSSI in negatieve dBm weergegeven. Dichter bij nul is sterker: −45 dBm is sterker dan −75 dBm. Sommige leveranciers rapporteren RSSI als index of percentage, dus vergelijk gelijksoortige metingen.

De ruisvloer is radiofrequente achtergrondenergie, vaak rond −90 tot −95 dBm op een rustig kanaal van 20 MHz. De signaal-ruisverhouding (SNR) is het verschil:

Een signaal van −65 dBm en ruis van −92 dBm geven een SNR van 27 dB. Een sterk signaal kan toch een slechte SNR hebben als de ruis ook sterk is. Gebruikelijke ontwerpdoelen zijn minstens 20 dB SNR voor data en 25 dB voor spraak, met een signaal van ongeveer −70 dBm voor data en −67 dBm voor spraak/video. Dit zijn planningsdoelen die je met de toepassingen en clients moet valideren; verbindingen rond −80 dBm zijn vaak onbetrouwbaar.

Schat de paddemping

Voor vrije ruimte zonder obstakels:

Gebruik in deze vorm kilometers en MHz. Bij 2.437 MHz geeft 10 m ongeveer 60,2 dB demping en 20 m ongeveer 66,2 dB. Een verdubbeling van de afstand voegt ongeveer 6 dB toe. Bij 5.500 MHz verliest het pad van 10 m ongeveer 67,2 dB.

Muren voegen demping toe: gipsplaat kan ongeveer 3 dB kosten, helder glas 2–4 dB, baksteen 6–10 dB en beton 10–20 dB. Gecoat glas en metaal kunnen veel meer blokkeren. Meet het werkelijke gebouw. Absorptie neemt energie weg; reflectie weerkaatst die; breking buigt die af tussen materialen; diffractie buigt die af rond randen; verstrooiing verspreidt die. Meerdere paden kunnen signaalverzwakking veroorzaken, terwijl MIMO geschikte padverschillen kan gebruiken voor ruimtelijke gegevensstromen.

Controleer beide richtingen

Een verbindingsbudget telt zendvermogen en antenneversterking op en trekt daarna de demping af. Bij 20 dBm EIRP, 80 dB paddemping en een ontvangstantenne van 3 dBi is het ontvangen vermogen −57 dBm. Een telefoon die 15 dBm EIRP terugzendt over hetzelfde pad naar een AP-antenne van 4 dBi, komt aan op −61 dBm. Alleen het AP-vermogen verhogen verbetert de downlink; dit retourpad blijft onveranderd.

Een antenne richt radio-energie volgens een patroon. De versterking verbetert sommige richtingen door energie in andere richtingen te verminderen; de antenne creëert geen extra zendvermogen.

Lees versterking en bundelbreedte

dBi vergelijkt versterking met een ideale antenne die in elke richting even sterk uitstraalt. dBd vergelijkt die met een dipool; 0 dBd is gelijk aan 2,15 dBi. De bundelbreedte van een richtantenne is de hoek tussen de punten die 3 dB onder de piek liggen. Meer versterking betekent doorgaans een smallere bundel.

Een rondstralende antenne met meer versterking vlakt het verticale patroon af. Die kan horizontaal verder reiken, maar onder een hoog montagepunt zwakke dekking achterlaten. Plafond-AP's hebben modelspecifieke patronen, vaak naar beneden gericht op gebruikers. Gebruik daarom de montage-instructies en stralingsdiagrammen van dat AP.

Voor een open kantoor zijn plafond-AP's vaak geschikt. Voor een lang gangpad kan een paneel dat erlangs is gericht geschikt zijn. In een grote ruimte met zitplaatsen helpen gerichte cellen om gebruikers over kanalen te verdelen. Een verbinding tussen gebouwen vereist richtantennes aan beide uiteinden.

Bereken het uitgestraalde vermogen

Gebruik dBm voor zendvermogen, dB voor demping en dBi voor antenneversterking. Bij 17 dBm aan de radio, 2 dB kabeldemping en 6 dBi versterking is de EIRP 21 dBm, ongeveer 126 mW. Als de regionale bovengrens 20 dBm zou zijn, verlaag dan het zendvermogen tot 16 dBm. Als je de versterking met 1 dB verhoogt zonder het vermogen te verlagen, zou je die bovengrens met nog eens 1 dB overschrijden.

De antenne verbetert ook de ontvangst in de voorkeursrichting. Dat helpt een retourverbinding op een manier die alleen verhoging van het AP-zendvermogen niet kan bieden.

Stem polarisatie en radioketens op elkaar af

Polarisatie is de richting van het elektrische veld. Stem beide uiteinden van een punt-tot-puntverbinding op elkaar af, bijvoorbeeld verticaal op verticaal. Gekruiste polarisaties kunnen 20 dB of meer kosten. Reflecties binnenshuis mengen de polarisatie, maar de juiste antennes en montage blijven belangrijk.

Een 4×4:4-radio heeft vier zendketens, vier ontvangstketens en maximaal vier ruimtelijke gegevensstromen. Voorzie elke vereiste connector van de voorgeschreven bijpassende antenne. Zendbundelvorming past de fasen van signalen aan zodat ze elkaar in de richting van een client versterken; de antenne draait niet fysiek.

Houd ruimte rond een buitenverbinding vrij

Zicht tussen de uiteinden is niet genoeg voor een betrouwbare punt-tot-puntverbinding. Objecten dicht bij de directe lijn kunnen in de eerste Fresnelzone komen, waar gereflecteerde paden het ontvangen signaal beïnvloeden. Houd minstens 60% van die zone vrij.

In het midden is de straal in meter ongeveer:

Voor 1 km bij 5,5 GHz is de straal ongeveer 3,7 m. Zestig procent is ongeveer 2,2 m, dus bomen en dakranden moeten in het midden op die afstand van de directe lijn blijven. Controleer ook de rest van de route; de zone wordt smaller naar elk eindpunt toe.

Bij dekking vraag je of een apparaat op een locatie frames kan uitwisselen. Bij capaciteit vraag je of alle actieve apparaten daar genoeg zendtijd kunnen krijgen. Een bruikbaar WLAN-ontwerp beantwoordt beide vragen voordat AP-locaties worden gekozen.

Vertaal eisen naar doelen

Maak een lijst van de gebieden waar dienstverlening nodig is, clienttypen, aantallen apparaten en toepassingen. Een scanner heeft andere dienstverlening nodig dan een spraaktoestel. Ontwerp de rand van een cel rond de zwakste belangrijke client, inclusief het zendvermogen en het aantal stromen. Een onderzoekslaptop met een betere antenne kan een locatie die slecht is voor een telefoon als acceptabel laten lijken.

Gebruikelijke doelen voor spraak/video zijn minstens −67 dBm en 25 dB SNR; voor algemeen dataverkeer kan ongeveer −70 dBm worden gebruikt. Meet ook secundaire dekking: een tweede AP op het doelniveau ondersteunt roaming en veerkracht. Ongeveer 15–20% overlap is een vuistregel als uitgangspunt, maar signaalmetingen en roamingtests bepalen of een bepaalde indeling werkt.

Bereken de actieve vraag

Een collegezaal met 150 zitplaatsen heeft twee apparaten per persoon, waarvan 60% tegelijk actief is. Bereken eerst 150 × 2 = 300 apparaten. Daarna is 300 × 0,6 = 180 apparaten actief. Bij een planningswaarde van 30 actieve apparaten per 5 GHz-radio zijn 180 ÷ 30 = 6 radio's nodig. Bij 2 Mbps per actief apparaat is de totale vraag 180 × 2 = 360 Mbps.

De waarde van 30 is een invoer voor de planning, geen gegarandeerde AP-limiet. Controleer of de radio's de vraag van de toepassingen bij de verwachte transmissiesnelheden aankunnen. Geef die radio's geschikte afzonderlijke kanalen; zes radio's die elkaar horen op één kanaal delen nog steeds de zendtijd van dat kanaal.

Stem cellen af op de locatie

In drukke gebieden maken gematigd vermogen en smallere kanalen kleinere cellen mogelijk die kanalen kunnen hergebruiken. Stem het AP-vermogen af op de mogelijkheden van clients. Een telefoon rond 15 dBm kan een AP op maximaal vermogen horen vanaf een locatie waar zijn eigen transmissies het AP niet betrouwbaar kunnen bereiken.

Eén krachtig AP geeft ook alle gebruikers één gedeelde hoeveelheid zendtijd en vormt een enkelvoudig storingspunt. Meerdere zorgvuldig geplaatste AP's verdelen de vraag en bieden alternatieve dekking. AP's toevoegen zonder kanaal- en vermogensplan kan daarentegen de contentie vergroten.

Monteer AP's met vrij zicht op gebruikers, in de door de fabrikant voorgeschreven stand. Vermijd metalen kasten, kanalen, pilaren en metalen plafondplaten tussen het AP en gebruikers. Houd rekening met boven- en onderliggende verdiepingen: spreid locaties en kanalen waar cellen door vloeropeningen of lichte constructies heen reiken. Houd in een magazijn rekening met volle stellingen en met een leeg gebouw.

Zorg voor bekabelde capaciteit en voeding

Controleer of het Ethernetkanaal binnen de koperlimiet van 100 m blijft en of de switchpoort snel genoeg is. Een AP met hoge capaciteit heeft mogelijk een multigigabit-uplink nodig.

Het aan het AP geleverde vermogen is lager door kabeldemping. Controleer de vereiste PoE-klasse van het AP en het totale budget van de switch. Een AP met onvoldoende voeding kan radio's of stromen uitschakelen in plaats van simpelweg uit te gaan. Buiteninstallaties hebben ook passende bescherming tegen weersinvloeden, aarding en bliksembeveiliging nodig.

Leg voor elk AP de locatie, antenne, het vermogen, kanaal en bekabelingsplan vast. Valideer het geïnstalleerde ontwerp aan de hand van dezelfde eisen voor toepassingen en clients die voor de dimensionering zijn gebruikt.

Een locatieonderzoek levert bij een WLAN-plan meetgegevens over een gebouw op. Kies de onderzoeksmethode voor de vraag die je wilt beantwoorden en registreer metingen op bekende locaties.

Gebruik de juiste methode

Een voorspellend model heeft muurmaterialen en dempingswaarden nodig. Een verkeerde schaal van de plattegrond of een ontbrekende muur kan de voorspelde celgrenzen verschuiven. Controleer het gebouw tijdens een rondgang: noteer montagepunten, kabelroutes, plafondhoogtes, metalen stellingen en ongebruikelijke materialen. Een dekkingsmeting met een tijdelijk opgesteld accesspoint is vooral nuttig waar de constructie moeilijk te modelleren is.

Een passief onderzoek toont de AP's van de organisatie en naburige netwerken zonder ermee te verbinden. Een actief onderzoek test de daadwerkelijke dienstverlening, inclusief hertransmissies en vertragingen. Een spectrumanalysator kan energie van een magnetron of videozender tonen die een gewone wifi-adapter niet kan decoderen. Deze methoden beantwoorden verschillende vragen en kunnen samen worden gebruikt.

Verzamel metingen die bij de gebruikers passen

Kalibreer de plattegrond met een bekende afstand voordat je gaat lopen. Meet het hele gebied waar dienstverlening nodig is, inclusief hoeken, trappen en verwachte roamingroutes. Meet op de hoogte waarop apparaten worden gebruikt en loop gelijkmatig, zodat meetpunten overeenkomen met hun posities op de kaart. Registreer elke gebruikte frequentieband.

Gebruik een onderzoeksadapter die lijkt op die van de belangrijke clients, of pas een onderbouwde meetcorrectie toe. Alleen een krachtige laptop gebruiken kan de dekking voor een handscanner te gunstig voorstellen. Neem de verwachte drukke inrichting op in het onderzoeksplan waar voorraad, mensen of verplaatsbare muren de omstandigheden veranderen.

Lees de legenda vóór de kleuren

Een warmtekaart kleurt een plattegrond op basis van één meting. Die kan signaal, SNR, transmissiesnelheid, secundaire dekking of het aantal hoorbare AP's op hetzelfde kanaal tonen. Een groene signaalkaart kan je niet vertellen dat de kanaalcontentie laag is, tenzij de legenda dat meet.

Stel dat het doel voor een vergaderruimte −67 dBm is en metingen −75 dBm tonen. Het tekort is 8 dB. Controleer of een nieuwe muur, montagepositie of antennepatroon dat verklaart. Verplaats of voeg een AP toe, of verander de celvorm met de juiste antenne, en herhaal daarna de clienttest. Alleen het AP-vermogen verhogen verandert de retourzender van de client niet.

Valideer de installatie

Voer na montage en configuratie van AP's een validatieonderzoek uit aan de hand van de oorspronkelijke doelen. Test toepassingen terwijl je tussen cellen loopt, niet alleen terwijl je onder een AP staat. Bewaar een rapport met eisen, AP-posities en -hoogtes, antennes, kanalen, vermogensinstellingen en resultaten.

Herhaal de validatie na grote veranderingen, zoals nieuwe stellingen, muren of naburige huurders. Een snelle wifi-analyseapp is nuttig om SSID, BSSID, kanaal en signaal te controleren, maar een volledig onderzoek voegt locatiegebonden meetgegevens voor het hele dekkingsgebied toe.

Bij WLAN-architectuur onderscheid je twee vragen: wie beheert het AP en waar gaan clientframes naartoe? Een centraal beheerd AP kan clientverkeer nog steeds rechtstreeks naar een lokaal VLAN sturen.

Vergelijk de beheermodellen

Autonome AP's zijn geschikt voor een kleine locatie, maar het wordt moeilijker ze consistent te houden naarmate het aantal groeit. Een controller of clouddashboard past gedeelde beveiligings-, firmware- en radio-instellingen toe op veel AP's.

In een controllerontwerp met split-MAC doet het AP het tijdkritische radiowerk: beaconberichten, bevestigingen, wachtrijen en draadloze versleuteling. De controller beheert beleid, roaming, beveiliging en radiobronnen. De exacte verdeling hangt af van het platform.

Volg een AP naar de controller

Een lightweight AP kan een WLC ontdekken via DHCP-optie 43, een geconfigureerd adres, een lokale broadcast of DNS zoals CISCO-CAPWAP-CONTROLLER. Het bouwt CAPWAP-tunnels over het IP-netwerk op. Beheer gebruikt UDP 5246 met DTLS-versleuteling; data gebruikt UDP 5247 met optionele tunnelversleuteling. Radioversleuteling en versleuteling van de datatunnel zijn afzonderlijke beveiligingen.

Omdat CAPWAP wordt gerouteerd, kunnen het AP en de WLC zich in verschillende subnetten bevinden. Bij centraal doorschakelen gaan clientframes door de tunnel naar de controller. Het clientverkeer komt daardoor bij de controller op de client-VLAN's terecht, niet bij de switchpoort van het AP.

Houd filiaalverkeer lokaal waar nodig

Cisco FlexConnect kan clientverkeer lokaal doorschakelen naar filiaal-VLAN's terwijl het centrale beheer behouden blijft. Lokaal doorschakelen kan lokale toegang behouden als het WAN uitvalt, maar ook authenticatie moet beschikbaar blijven: een lokaal doorgeschakelde SSID die een onbereikbare centrale RADIUS-server vereist, laat mogelijk geen nieuwe clients toe.

Een controller kan centraal in een datacenter staan, in een AP of switch zijn ingebouwd of als virtuele machine in een cloud draaien. Die laatste optie is een controller die in de cloud wordt gehost; dat verschilt van dashboardbeheer. In een typisch vanuit de cloud beheerd WLAN verzorgt de cloud configuratie en bewaking, terwijl gebruikersframes lokaal blijven. AP's behouden bij een cloudstoring meestal hun laatste configuratie; controleer productgedrag en licentievoorwaarden bij de keuze van een systeem.

Herken Cisco AP-modi

De modus Local bedient clients via de WLC en scant kort andere kanalen. De modus Monitor scant voor beveiliging en locatiebepaling zonder clients te bedienen. De modus Sniffer stuurt opgenomen frames van een kanaal naar een analysator. Rogue detector bewaakt bekabelde MAC-informatie. SE-Connect zet het AP uitsluitend in voor spectrumanalyse. Bridge/Mesh biedt draadloze backhaul en Flex+Bridge combineert mesh- en FlexConnect-functies. De beschikbaarheid van modi hangt af van het AP en het controllerplatform.

Een campus kan controllers met reserve-WLC's kiezen voor centraal beleid en roaming voor spraak. Een keten van filialen kan cloudbeheer of FlexConnect kiezen om een controller op elke locatie te vermijden. Een AP in de Local-modus is afhankelijk van contact met de controller om clients te bedienen. Plan dus zowel de veerkracht van de controller als de AP-dekking.

Het verkeerspad van het AP bepaalt de configuratie van de switchpoort. Bepaal eerst of clientframes naar een controller worden getunneld of het AP rechtstreeks naar VLAN's verlaten.

Stem de poort af op de doorstuurmodus

Een lightweight AP in de Local-modus met centraal doorgeschakeld verkeer heeft normaal een accesspoort in het beheer-VLAN nodig. De clientframes zitten in CAPWAP-pakketten, dus de fysieke AP-poort heeft niet elk client-VLAN nodig.

Een AP dat lokaal doorschakelt, heeft een trunk nodig wanneer het meerdere VLAN's vervoert. Stel dat AP-beheer VLAN 10 gebruikt, “Staff” VLAN 20 en “Guest” VLAN 30. Sta alle drie VLAN's toe op de AP-trunk. Stem op het AP en de switch af of VLAN 10 native en ongetagd is of expliciet wordt getagd.

Als VLAN 30 op die trunk ontbreekt, kunnen gasten zich mogelijk nog steeds associëren en de radiobeveiliging voltooien. Hun DHCP-broadcasts kunnen het juiste netwerk niet bereiken, zodat ze geen lease ontvangen. Dit is een bekabelde doorstuurfout, ook al verschijnt het symptoom op wifi.

Herken de controlleraansluitingen

De terminologie van Cisco AireOS onderscheidt de servicepoort voor beheer via een afzonderlijk netwerkpad, distributiesysteempoorten voor AP-, beheer- en clientverkeer, een redundantiepoort tussen een paar controllers voor hoge beschikbaarheid en een consolepoort voor de initiële configuratie. Controllerinterfaces koppelen WLAN's aan client-VLAN's. Distributiepoorten worden vaak aangesloten op switchtrunks; de servicepoort vervangt geen verbinding voor clientdata.

Linkaggregatie (LAG) combineert distributieverbindingen voor gezamenlijke bandbreedte en veerkracht. Eén verkeersstroom blijft normaal op één bundelverbinding, zodat een bundel de snelheid van elke afzonderlijke stroom niet vermenigvuldigt. AireOS gebruikt een statisch EtherChannel met modus on; nieuwere controllers zoals Catalyst 9800 kunnen LACP gebruiken. Stem de ondersteunde aggregatiemodus van controller en switch op elkaar af.

Controleer voeding vóór hogere lagen

Controleer de vereiste PoE-klasse van het AP, de capaciteit van elke switchpoort en het totale switchbudget. Vierentwintig AP-poorten waarvoor elk 30 W is begroot, vereisen 720 W PoE-capaciteit aan de switchkant. Een switch met voldoende fysieke poorten kan toch te weinig vermogen hebben. AP's met onvoldoende voeding kunnen radiofuncties verliezen, wat een capaciteitsprobleem oplevert dat lijkt op een slecht radiofrequent ontwerp.

Bescherm het beheer en sta afhankelijkheden toe

Gebruik de console voor de initiële lokale configuratie, SSH voor de opdrachtregelinterface op afstand en HTTPS voor webbeheer. Telnet en HTTP stellen gevoelig beheerverkeer bloot. Centraal apparaatbeheer gebruikt vaak TACACS+ op TCP 49; WLAN-toegang gebruikt vaak RADIUS op UDP 1812 voor authenticatie en 1813 voor gebruiksregistratie. Traditionele RADIUS versleutelt niet het hele pakket; de EAP-methode beschermt inloggegevens afzonderlijk tijdens een Enterprise-aanmelding.

Sta vereist verkeer toe door tussenliggende ACL's: CAPWAP UDP 5246/5247, DHCP UDP 67/68 en DNS-poort 53, plus de gekozen authenticatiediensten.

Controleer bij een AP dat geen verbinding kan maken achtereenvolgens de voeding en verbinding, het beheer-VLAN, DHCP-adres, de ontdekking van de controller, routering, CAPWAP-bereikbaarheid en daarna landinstellingen, certificaten en tijd. Elke controle stelt een afhankelijkheid vast die de volgende fase nodig heeft.

Een WLAN-profiel op een controller koppelt de zichtbare netwerknaam aan het VLAN, de frequentiebanden en het beveiligingsbeleid. Maak het profiel uitgeschakeld aan, controleer de instellingen in samenhang, schakel het vervolgens in en test het vanaf een client.

Maak de dienst en beveiligingsinstellingen aan

Een profiel heeft een interne naam, een WLAN-ID, een SSID, een status die aangeeft of het profiel is ingeschakeld en een koppeling met een clientinterface of VLAN. De profielnaam helpt beheerders; clients zien de SSID. Kies op welke banden de dienst wordt aangekondigd.

Maak voor een WPA2-Personal-voorbeeld WLAN-ID 2 aan, met profielnaam en SSID “Office”, gekoppeld aan VLAN 20. Selecteer WPA2 met AES-CCMP, kies PSK-sleutelbeheer en voer een sterke wachtzin van 8–63 tekens in. Laat TKIP uitgeschakeld. Pas de configuratie toe en schakel het WLAN in. Een testclient moet op “Office” verschijnen met een adres uit VLAN 20, gateway- en DNS-instellingen en moet een toegestane dienst kunnen bereiken.

Voor WPA3-Personal selecteer je SAE en vereis je beveiligde beheerframes. Voor Enterprise-profielen selecteer je 802.1X en de juiste RADIUS-servers. Een toegangsportaal is een afzonderlijke instelling voor webauthenticatie op laag 3; het vervangt radioversleuteling niet.

Behandel verkeer passend

WMM biedt de toegangscategorieën spraak, video, verkeer zonder bijzondere prioriteit en achtergrondverkeer. Cisco-controllerprofielen noemen die respectievelijk Platinum, Gold, Silver en Bronze, waarbij Silver het standaardprofiel zonder bijzondere prioriteit is. WMM is nodig voor moderne hoge transmissiesnelheden. QoS geeft verkeer passende prioriteit bij contentie; het kan geen extra zendtijd creëren of ontbrekende dekking herstellen.

Geavanceerde instellingen omvatten sessietime-out, clientuitsluiting na herhaalde mislukkingen, clientlimieten, de modus die DHCP vereist, blokkering van verkeer tussen clients, bandsturing, taakverdeling en toegestane transmissiesnelheden. Wijzig ze op basis van een gemeten behoefte. Zo kan de modus die DHCP vereist bewust statisch ingestelde clients blokkeren; een korte sessietime-out kan mislukte herauthenticatie laten lijken op periodiek verbroken verbindingen.

Zorg voor consistente roaming

Voor eenvoudige roaming binnen hetzelfde subnet bieden naburige AP's dezelfde SSID, beveiliging en hetzelfde VLAN aan. De client beslist wanneer die overstapt. 802.11k levert informatie over naburige AP's; 802.11v stelt een betere BSS voor; 802.11r verkort de sleutelinstelling voor een snelle overgang. Ze helpen de client een beter AP te vinden en te gebruiken, maar kunnen een dekkingsgat niet verhelpen.

Sommige oudere clients werken niet als snelle overgang is vereist. Test de aanwezige clients en gebruik waar nodig ondersteunde adaptieve instellingen of een afzonderlijke dienst voor compatibiliteit. Bij verschillende clientsubnetten is mobiliteitsondersteuning van de controller nodig om de verbinding te behouden terwijl een roamend apparaat zijn adres behoudt. Dezelfde SSID alleen biedt die ondersteuning niet.

Houd SSID-overhead onder controle

Bij traditionele werking heeft elke SSID een eigen BSS en periodieke beaconberichten, vaak met een lage verplichte transmissiesnelheid. Ook ongebruikte SSID's gebruiken zendtijd. Bij gebruik van meerdere BSSID's kunnen meerdere BSS'en in één beaconbericht worden aangekondigd, vooral in 6 GHz, maar meer SSID's voegen nog steeds beheerwerk en configuratie toe.

Een gebruikelijke richtlijn is drie of vier SSID's per radio. Voor veel gebruikersgroepen schaalt één Enterprise-SSID met door RADIUS toegewezen VLAN's beter dan een afzonderlijke naam voor elk team. Controleer het toegewezen VLAN en toegangsbeleid met een representatief account uit elke groep.

Radioframes kunnen voorbij de muren van een ruimte worden ontvangen. Draadloze beveiliging moet de toegang regelen, de inhoud van frames beschermen en wijzigingen detecteren. Verschillende beveiligingsmodi bieden die bescherming op verschillende manieren.

Herken verouderde en huidige modi

WPA2, gebaseerd op 802.11i, verscheen in 2004 en werd in 2006 verplicht voor wifi-certificering. WEP en TKIP maken ook de moderne hoge snelheden van 802.11n en later onmogelijk. Verouderde versleuteling kiezen voor één oud apparaat kan dus de beveiliging en prestaties verzwakken.

Begrijp het verschil tussen de Personal-modi

WPA2-Personal leidt sleutelmateriaal af uit de gedeelde wachtzin en SSID. Opgenomen handshakegegevens maken offline pogingen om het wachtwoord te raden mogelijk. Een lange willekeurige wachtzin verkleint dit risico. Iemand die die wachtzin kent en de handshake van een andere client opneemt, kan ook de sleutels van die client afleiden; afzonderlijke werksleutels per client bieden geen privacy tegenover andere wachtwoordhouders.

WPA3-Personal gebruikt SAE. Het raden van een wachtwoord vereist een actuele uitwisseling en passieve opname maakt niet hetzelfde offline raadproces mogelijk. Het biedt ook voorwaartse geheimhouding: als het wachtwoord later bekend wordt, worden eerder opgenomen sessies niet ontsloten. Gebruikers kunnen nog steeds één wachtwoord delen, dus SAE creëert geen individuele gebruikersaccounts.

Bescherm beheerframes

Beveiligde beheerframes (PMF) beschermen geselecteerd beheerverkeer, waaronder berichten om authenticatie en associatie te beëindigen, tegen vervalsing nadat de bescherming is ingesteld. WPA3 vereist PMF. Dit versleutelt niet elk beheerframe; ontdekking moet nog steeds werken voordat een client sleutels heeft.

WPA3-Enterprise gebruikt 802.1X en biedt een optionele 192-bits beveiligingsmodus met sterkere suites, zoals GCMP-256. WPA2-Personal en WPA3-Personal gebruiken voor data doorgaans allebei CCMP-128, dus de verbeteringen van WPA3 zijn niet simpelweg een langere datasleutel. Nieuwere suites, waaronder wifi 7-configuraties, kunnen GCMP-256 gebruiken.

Migreer zonder de bescherming te overschatten

De overgangsmodus accepteert WPA2-PSK- en WPA3-SAE-clients op één SSID met dezelfde wachtzin. Oudere clients behouden de zwakke punten van WPA2. Gebruik de modus tijdens de migratie op 2,4 of 5 GHz en stap daarna over op alleen WPA3 wanneer de aanwezige clients dat ondersteunen. Op 6 GHz zijn WPA2 en de overgangsmodus niet toegestaan en is PMF vereist.

Enhanced Open, gebaseerd op OWE, versleutelt het radioverkeer van elke client zonder wachtwoord. Het beschermt tegen passief afluisteren, maar authenticeert de gebruiker niet en bewijst niet dat het AP het bedoelde AP is. Het is nuttig voor openbare netwerken waarvan het toegangsbeleid afzonderlijk wordt geregeld.

Schakel WPS uit en vertrouw niet op verborgen SSID's of MAC-lijsten. Als een IoT-apparaat alleen WPA2 ondersteunt, geef het dan een afzonderlijk VLAN met alleen de toegang die het nodig heeft. Zo blijft het compatibel zonder het apparaat ruime toegang tot het bedrijfsnetwerk te geven.

Personal-beveiliging gebruikt een gedeeld wachtwoord. Enterprise-beveiliging controleert een identiteit via 802.1X, zodat een organisatie de toegang van één persoon kan intrekken zonder alle andere apparaten te wijzigen.

Kies het toegangsmodel

WPA2-Personal leidt een PSK af uit een wachtwoord; WPA3-Personal gebruikt dat wachtwoord via SAE. Beide zijn op kleine locaties eenvoudig te beheren, maar een gemeenschappelijk wachtwoord verspreidt zich en is moeilijk voor slechts één persoon in te trekken. Sommige leveranciers bieden sleutels per apparaat om dat probleem te beperken.

802.1X kent drie rollen: de authenticatieclient op de client, de authenticator op het AP of de controller en de authenticatieserver, meestal RADIUS gekoppeld aan een directory. De authenticator beheert de toegang en stuurt authenticatieberichten door; die is niet de database met het wachtwoord van elke gebruiker.

Volg de uitwisseling

1. De client associeert zich met het Enterprise-WLAN.
2. De authenticatieclient en authenticator wisselen EAP over LAN, oftewel EAPOL, uit via de draadloze verbinding.
3. De authenticator vervoert de EAP-uitwisseling in Access-Request-berichten naar de RADIUS-server, normaal via UDP 1812.
4. De client en server voltooien de gekozen EAP-methode. De server retourneert Access-Accept wanneer de identiteit is geaccepteerd en kan een VLAN of rol meegeven.
5. Sleutelmateriaal ondersteunt de vierweg-handshake tussen client en AP. Versleutelde toegang begint, gevolgd door DHCP.

RADIUS-gebruiksregistratie gebruikt gewoonlijk UDP 1813 om sessies vast te leggen. Accounts per gebruiker laten beheerders één aanmelding uitschakelen, activiteit onderzoeken en verschillende toegangsrollen op één SSID toepassen.

Selecteer een EAP-methode

EAP-TLS is een sterke gangbare keuze voor beheerde apparaten, omdat elk apparaat een clientcertificaat krijgt. PEAP en EAP-TTLS kunnen geschikt zijn voor bestaande accountsystemen, maar blijven afhankelijk van controle van het servercertificaat. Valideer zowel de vertrouwde certificaatautoriteit als de verwachte servernaam. Een bekende SSID is geen bewijs dat een server echt is.

Stem server en controller op elkaar af

Configureer het adres, de poorten en het gedeelde geheim van de RADIUS-server op de authenticator. Registreer dat AP of die controller op de server als RADIUS-client met het overeenkomende geheim. Dit infrastructuurgeheim staat los van het wachtwoord van een medewerker en van een wachtzin voor een Personal-WLAN.

Een verlopen servercertificaat kan gevolgen hebben voor elke client die het valideert. Een verkeerd ingestelde klok op één laptop beïnvloedt de certificaatcontroles van die laptop. Mislukte directoryautorisatie verschilt weer van een server die nooit verzoeken ontvangt. Vergelijk client-, controller- en RADIUS-logs om de mislukte uitwisseling te vinden.

802.1X authenticeert de toegang; WPA2 of WPA3 verzorgt radioversleuteling met de vastgestelde sleutels. Het woord Enterprise duidt dat authenticatiemodel aan. Diensten zoals eduroam gebruiken dit model om deelnemende gebruikers zich via hun eigen instelling te laten authenticeren terwijl ze een andere locatie bezoeken.

Voor gast-wifi zijn afzonderlijke keuzes nodig over toegang, privacy en bereikbaarheid. Een inlogpagina regelt het toegangsbeleid; versleuteling beschermt de radioverbinding; VLAN's en firewallregels bepalen waar gasten naartoe kunnen.

Richt de scheiding in

Koppel de gast-SSID aan een afzonderlijk VLAN of tunnel gastverkeer naar een ankercontroller in een DMZ. Pas firewallregels toe die interne netwerken blokkeren en tegelijk de bedoelde internettoegang en vereiste ondersteunende diensten toestaan. Een VLAN scheidt broadcastdomeinen; een ACL of firewall dwingt af welke gerouteerde bestemmingen bereikbaar zijn.

Schakel clientisolatie in om te voorkomen dat gastapparaten elkaar bereiken. Dat heeft een ander doel dan het blokkeren van interne subnetten. Snelheidslimieten voorkomen dat enkele gebruikers de hele internetverbinding gebruiken, terwijl geschikte DHCP-leases uitputting van adressen helpen voorkomen als bezoekers vertrekken en nieuwe bezoekers aankomen.

Begrijp wat het portaal doet

Een toegangsportaal is een webpagina die verschijnt voordat gewone toegang wordt verleend. Het kan vragen om acceptatie van voorwaarden, een voucher, een aanmelding of goedkeuring door een verantwoordelijke. Besturingssystemen detecteren het beperkte netwerk vaak en openen de pagina. Controllers noemen dit gewoonlijk webauthenticatie op laag 3.

Het voltooien van deze pagina maakt van een open radioverbinding geen versleutelde verbinding. HTTPS beschermt de toepassingssessie naar de website, maar dat is een andere laag dan wifi-versleuteling. Kies de radiobeveiliging van het WLAN expliciet.

Werk een gastontwerp uit

Een hotel biedt “Hotel-Guest” aan op VLAN 50. Enhanced Open versleutelt radioverkeer en een portaal controleert kamernummer en achternaam voor toegang. Clientisolatie blokkeert verkeer tussen gasten. Firewallbeleid blokkeert de interne bereiken van het hotel, zoals 10.0.0.0/8, en staat tegelijk de bedoelde internetdienst toe.

Een limiet van 10 Mbps per apparaat beheerst de vraag. Een sessietime-out van één dag en een voldoende korte DHCP-lease geven toegang en adressen vrij wanneer gasten vertrekken. Test vanaf twee gastapparaten en vanaf een personeelsapparaat: gasten moeten na voltooiing van het portaal internet kunnen bereiken, maar geen interne systemen of elkaar. Controleer dit met afzonderlijke tests, zodat één geslaagd resultaat een andere ontbrekende maatregel niet verhult.

Pas hetzelfde scheidingsprincipe toe op IoT- en BYOD-apparaten. Plaats ze in een passend VLAN of een passende rol en sta alleen de bestemmingen toe die ze nodig hebben. Een camera die naar één dienst uploadt, heeft geen toegang tot salarisservers nodig.

Een gebruiker die trage wifi meldt, kan een sterk signaal en bijna geen vrije zendtijd hebben. Verzamel metingen voordat je kanalen of vermogen aanpast, zodat de oplossing de werkelijke beperking aanpakt.

Vergelijk de belangrijkste symptomen

Registreer signaalniveau, ruisvloer, SNR, kanaalbezetting, hertransmissiepercentage en transmissiesnelheid van de client. Kanaalbezetting meet welk deel van de tijd het kanaal bezet is; het hertransmissiepercentage meet welk deel van het verkeer opnieuw moet worden verzonden. Vergelijk getroffen en niet-getroffen gebieden en de tijdstippen waarop gebruikers de storing ervaren.

Dit zijn aanwijzingen voor de diagnose. Bevestig de oorzaak met bijpassende metingen voordat je een permanente wijziging aanbrengt.

Onderscheid CCI van ACI

Bij interferentie op hetzelfde kanaal (CCI) wisselen hoorbare stations op hetzelfde kanaal elkaar normaal af. Het praktische gevolg is contentie en minder beschikbare zendtijd. Smallere kanalen, kleinere cellen, een grotere kanaalvoorraad en het uitschakelen van overbodige 2,4 GHz-radio's kunnen hergebruik verbeteren. AP's toevoegen op hetzelfde hoorbare kanaal kan het probleem verergeren.

Interferentie van aangrenzende kanalen (ACI) komt door gedeeltelijk overlappende kanalen, zoals 1 en 4 in 2,4 GHz, of door zeer sterke signalen op nabije kanalen. Frames raken beschadigd omdat ontvangers de toegang niet kunnen coördineren met het ongewenste signaal. Gebruik kanalen 1, 6 en 11 van 20 MHz, verlaag te hoog vermogen en plaats nabije radio's voldoende ver uit elkaar.

Zoek energie van andere bronnen dan wifi

Een wifi-analyseapp toont decodeerbare WLAN's; een spectrumanalysator ziet ook andere radiofrequente energie. Magnetrons kunnen uitbarstingen rond 2,45 GHz veroorzaken, Bluetooth springt door 2,4 GHz en draadloze videoapparatuur of andere IoT-apparatuur kan kanalen bezetten. Vergelijk het energiepatroon met de momenten waarop de vermoedelijke bron werkt. Verplaats, vervang of verwijder de bron, of verplaats clients naar een niet-gestoord kanaal of een niet-gestoorde frequentieband.

Vergelijk bij vertraging rond lunchtijd bij een keuken de metingen met de magnetron aan en uit. Als uitbarstingen in het bovenste deel van de band overeenkomen met het probleem, verplaats dan clients die twee banden ondersteunen naar 5 GHz en test voor de overige apparaten een schoner 2,4 GHz-kanaal.

Verhelp dekkingsproblemen en bijzondere gevallen

Nieuwe voorraad, muren, metaalconstructies, slechte montage of verkeerde antennes kunnen zwakke gebieden veroorzaken. Onderzoek de getroffen route en verplaats AP's, voeg ze toe of richt ze opnieuw. Alleen het AP-vermogen verhogen laat de uplink van de client onveranderd en kan contentie verder verspreiden.

Veel hertransmissies bij een goed AP-signaal kunnen op verborgen stations wijzen: clients aan tegenovergestelde kanten van de cel kunnen elkaar niet horen. RTS/CTS, kleinere cellen of minder clients per radio kunnen helpen. Bekijk bij plotselinge kanaalwisselingen de DFS-logs en verwijder herhaaldelijk getroffen kanalen uit het toegestane plan van de locatie, met behoud van de wettelijke bescherming.

Begin met de omvang: één apparaat, één locatie, één SSID of het hele WLAN. Vraag wanneer de storing begon en wat er veranderde en volg daarna de client van ontdekking tot toegang tot toepassingen.

Zoek de eerste fase die mislukt

1. Zichtbaarheid van de SSID: controleer de ondersteunde frequentiebanden van de client, het stuurprogramma, de ingeschakelde radio, het aangekondigde WLAN en de dekking. Een scanner met alleen 2,4 GHz kan een dienst met alleen 5/6 GHz niet zien.
2. Authenticatie en associatie: controleer de beveiligingscompatibiliteit. Een client met alleen WPA2 kan niet verbinden met een dienst met alleen WPA3; niet-ondersteunde eisen voor PMF of snelle overgang kunnen de verbinding ook blokkeren.
3. Sleutelinstelling: een verkeerd WPA2-wachtwoord laat meestal de vierweg-handshake mislukken. Een verkeerd WPA3-Personal-wachtwoord laat SAE eerder mislukken, vóór de associatie.
4. Adressering: controleer het client-VLAN, DHCP-bereik en relay.
5. Toegang tot toepassingen: controleer gateway, DNS, firewallbeleid en of het portaal is voltooid.

Onderzoek bij Enterprise-authenticatie de RADIUS-bereikbaarheid, het gedeelde geheim, gebruikersautorisatie en certificaten. Een verlopen servercertificaat treft alle clients die het valideren; een verkeerde clientklok kan alleen dat apparaat treffen. Herhaalde mislukte pogingen kunnen een tijdelijke uitsluiting veroorzaken, dus controleer ook de clientstatus op de controller.

Gebruik het adres als aanwijzing

Een IPv4-adres in 169.254.0.0/16 geeft gewoonlijk aan dat automatische link-local adressering volgde op een mislukte DHCP-poging. Associatie en versleuteling kunnen allebei werken. Controleer de SSID-VLAN-koppeling, toegestane VLAN's op een trunk voor lokaal doorschakelen, relayconfiguratie en beschikbare DHCP-leases.

Als de client het bedoelde adres heeft, test dan eerst de gateway. Vergelijk toegang via IP-adres met toegang via naam om DNS te onderzoeken. Controleer of het portaal nog moet worden voltooid. Het draadloze wachtwoord wijzigen herstelt geen uitgeputte DHCP-adrespool.

Onderzoek herhaald wegvallen en roaming

Vergelijk tijdstippen en redencodes van verbroken verbindingen met controllerlogs. Zoek naar zwakke dekking aan de rand, interferentie, DFS, herauthenticatie van sessies, agressieve bandsturing of fouten in het clientstuurprogramma en de energiebesparing.

Een vasthoudende client blijft bij een ver AP, ook als een beter AP beschikbaar is. De client beslist wanneer die roamt. Verminder overmatige celoverlap, beoordeel lage verplichte transmissiesnelheden en gebruik 802.11k/v-ondersteuning met geschikte clients. Test bij wegvallende spraakgesprekken tijdens het lopen de secundaire dekking op het doelniveau en controleer de compatibiliteit met 802.11r. Inconsistente beveiliging of een niet-ondersteunde subnetwijziging kan de dienstverlening verbreken, ook als het signaal goed is.

Controleer beperkingen buiten de radio

Als elke client op één AP traag is, onderzoek dan de snelheid, fouten en PoE-status van de Ethernetpoort. Een beschadigde kabel kan op 100 Mbps onderhandelen en een snelle wifi-radio begrenzen. Vergelijk een lokale doorvoertest met een internettest om WLAN-beperkingen te onderscheiden van beperkingen verderop in het netwerk.

Op Windows toont netsh wlan show interfaces de huidige SSID, BSSID, het kanaal en de beveiliging. Gebruik op macOS Wireless Diagnostics of sudo wdutil info waar ondersteund. Op Linux gebruikt iw dev wlan0 link de werkelijke interfacenaam; nmcli dev wifi toont diensten in de buurt. Combineer deze clientwaarnemingen met AP- en controllerlogs, voer één gerichte wijziging uit en test het oorspronkelijke symptoom opnieuw.