Wi-Fiシームレスローミング

上司は会議室に電話をかけ、ラップトップを持って行くように言いました。 それは何もないようです-そこと職場の両方にオフィスのワイヤレスネットワークがあります。 到着-ダウンロードする大きなファイルのダウンロードが停止し、SSHセッションが終了し、何らかの理由で慎重に入力されたWebフォームがリセットされました。 おなじみですか？

今日は、Wi-Fiワイヤレスネットワークでのデバイスのシームレスなローミングについて説明します。





ローミングとは、空間内でデバイスを移動するときに、デバイスをワイヤレスネットワークに再接続するプロセスです。 無線信号の受信電力は、送信機までの距離とともに弱まり、その結果、有効な情報転送速度が低下し、無線接続の終わりまでチャネルエラーが増大します。 1つの名前（SSID）を持つ無線ネットワークに複数のアクセスポイントがある場合、モバイルサブスクライバーを最初のアクセスポイント内の信頼できる動作のゾーンから2番目のアクセスポイントからの信号がより良いエリアに移動します（より高い電力、より高いS / N比）そのような再接続が発生します。



再接続を行う決定は、 常にクライアントデバイス（Wi-Fiアダプタードライバー）によって行われます。 アクセスポイントは、このアクションが望ましいことをデバイスに「伝える」ことしかできません。 ドライバー設定で、意思決定の「攻撃性」のパラメーターを指定できる場合があります。 ただし、加入者の初期接続時に、中央制御システムは、加入者を（負荷の観点から）望ましいポイントおよび希望のチャネル/範囲に接続するように「強制」できます。



シームレスはそのようなローミングメカニズムと呼ばれ、ポイントからポイントへの切り替え時に発生する送信データの損失は最小限またはゼロに等しく、クライアントオペレーティングシステムのTCP / IPスタックは切り替えの事実に気づきさえしません。 このようなメカニズムは、ワイヤレスオーバーボイス、ビデオストリーミング、大量のデータ、および一般的にTCPプロトコルが伝送チャネルの一時的な損失を「ダイジェスト」できない場合など、遅延や損失の影響を受けやすいアプリケーションを運用する場合に重要ですデータ。



入門記事で説明した、 ジュニパーワイヤレス機器上に構築された中央制御のワイヤレスネットワークによって実装されるシームレスローミングのプロセスを実験し、見ていきます 。 これは、シームレスなローミングを確保するという問題を解決するために特別に設計されたエンタープライズクラスのシステムです。 次に、シームレス性を「破り」、これが何につながるのか、「ホームクラス」のデバイスに期待できる動作を示します。



ネットワークには、Intel WifiLink 5100abgカードが統合された通常のWindows7ラップトップ、1つのLANセグメントに2つのJuniper MX8ワイヤレスネットワークコントローラー、2つのWLA532アクセスポイントがあり、それぞれ独自のコントローラーに構成されます。 ping -f -s 1000またはping -s 100 -i 0.05ユーティリティを使用して、Linuxサーバーからラップトップへのトラフィックを作成します。 同じラップトップでスペクトル分析（ Wi-Spy DBx / Channelyzer Pro）を実行し、802.11フレーム（ OmniWiFi / OmniPeek）をキャプチャします。







802.1xメカニズムを使用してサブスクライバー（正しく、 WPA2 Enterprise ）を承認するには、FreeRADIUSサーバーを上げて、PEAP / MSChapV2用に構成します。 同時に、トラフィックが「無線コントローラ-RADIUSサーバー」をfreeradius -X経由で起動したときのトラフィックの流れを監視し、アカウンティングメッセージの完全な許可と送信のイベントを追跡できます。 ローカルユーザーデータベースとして、パスワード付きのテキストファイル。

DOT1Xネットワークでの承認のコントローラー設定は同一でシンプルです。

サービスプロファイルSecure-DOT1Xの設定ssid-name DOT1X
サービスプロファイルSecure-DOT1X 11n short-guard-interval disableを設定します
サービスプロファイルを設定Secure-DOT1X rsn-ie cipher-ccmp enable
サービスプロファイルSecure-DOT1X rsn-ieを有効にする
 service-profile Secure-DOT1X attr vlan-name defaultを設定します
 RADIUSサーバーの設定debian64アドレス172.16.130.13タイムアウト5再送信3デッドタイム5暗号化キー0832494d1b1c11
 radius server debian64 mac-addr-formatコロンを設定します
サーバーグループdebian64-groupメンバーdebian64を設定します
アカウンティングdot1x ssid DOT1Xを設定** start-stop debian64-group
認証dot1x ssid DOT1Xを設定**パススルーdebian64-group
無線プロファイルのデフォルトのサービスプロファイルSecure-DOT1Xを設定する

両方のアクセスポイント（b / g範囲のチャネル6および11、2.4 GHz）から受信する信号がほぼ同じになるようにラップトップを配置し、ネットワークに接続してpingを開始し、空中のエネルギーの分布を確認します。







ローミングパフォーマンスを確認するには、ラップトップが現在関連付けられているアクセスポイントから受信を開始する必要があります。信号は、同じSSIDと暗号化設定を持つ別のポイントからの信号よりも著しく悪いです。 ラップトップを持ち運ぶことはできますが、私にとってはあまり便利ではなかったので、アクセスポイントの1つ（長いイーサネットケーブル上）をコンクリートのコーナーの近くまたはコンクリートの周りに着用しました。 各パンの減衰は3〜4 dBでした。 その結果、ある時点で、クライアントは別のアクセスポイントに「ジャンプ」しました。







同時に、空中のパケットの分析はそのような写真を示します（OmniPeekがすべてのトラフィックを見るには、11番目のチャネルに厳密に結び付けられたポイントですべての実験を繰り返さなければなりませんでした。

ラップトップは、より優先されるアクセスポイント（プローブリクエスト、フレーム79086）を見つけようとし、23％（現在）と63％（候補）の信号レベルで両方から応答を受信します。

最後の有用なフレーム79103はap2を介してサーバーに送信され、その後、フレーム79122-79136はap1への迅速な切り替えを行い、認証、再関連付け、およびEAPOL交換を含みました。







再関連付け要求では、フレーム79126にPMKID（ペアワイズマスターキー）が含まれています。これは、大まかに言って、このワイヤレスセッションの識別子を定義します。 アクセスポイントが集合的に機能する場合（1つのコントローラーの制御下、またはコントローラーが相互に通信する場合）、「新しい」アクセスポイントはそのテーブルに従って受信した識別子をチェックし、見つかった場合は認証ステップをスキップし、すぐにデータ交換を許可します。







この場合、新しいアクセスポイントap1を通る最初の有用なフレーム79138は、最後のフレームから古いものを経て90ミリ秒後になりました。 RADIUSサーバーは、放置されたポイントから中間アカウンティングメッセージのみを受信しました。

 rad_recv：ホスト172.16.130.30ポート20000からのアカウンティング要求パケット、ID = 143、長さ= 264

これはすべて、両方のアクセスポイント（またはアクセスポイントを提供するコントローラー）が接続されたアクティブなクライアントデバイスの共通データベースを持っているために非常に高速に機能しました。 このため、コントローラーは「モビリティグループ」に結合されます。 名前が選択され、最初の「メインの役割の候補」が設定されます。



WLA-1：

モビリティドメインモードシードドメイン名LocalMobilityDomainを設定します
モビリティドメインメンバー172.16.130.31を設定します

WLA-2：

モビリティドメインモードメンバーseed-ip 172.16.130.30を設定します

機能しているモビリティグループの例：

 WLC-1＃モビリティドメインを表示 
モビリティドメイン名：LocalMobilityDomain
フラグ：u = up [2]、d / e = down / config error [0]、c = cluster enabled [0]、
        p =プライマリシード、s =セカンダリシード（S =クラスタープリエンプトモードが有効）、
        a =モビリティドメインのアクティブシード、A =クラスターのアクティブシード（異なる場合）、
        m =メンバー、y =同期中、w =同期待ち、n =同期完了、
        f =同期に失敗しました 
メンバー：* = NATの背後で切り替え
メンバーフラグモデルバージョンNoAPs APCap
 ---------------- ----- -------- ---------- ----- -----
 172.16.130.30 upa-- MX-8 8.0.2.2 1 12
 172.16.130.31 um --- MX-8 8.0.2.2 1 12

アクセスポイント間で加入者をローミングする場合、コントローラーは、加入者の動きの履歴など、加入者のコンテキストを交換します。

ローミング履歴：
   AP /無線アソシエーション時間の切り替え
   --------------- ----------- ----------------- ------- ------------
  * 172.16.130.30 5/1 06/28/13 22:12:22 00:06:34            
   172.16.130.31 2/1 06/28/13 21:57:28 00:14:54            
   172.16.130.30 5/1 06/28/13 22:08:56                     

ここで、アクセスポイントが1つのネットワークを提供するが、お互いを知らない典型的なオフィスケースをシミュレートします。 Breaking-not building：モビリティグループのいずれかのコントローラメンバーシップを削除します（モビリティドメインモードメンバーをクリアします）。 同様に、ローミングイベントがトリガーされると、より深刻な結果につながります。







クライアントは再アソシエーションメッセージで正しいPMKIDを送信しますが（27818）、新しいアクセスポイントはアソシエーションを確認し（27820）、すぐに802.1（EAP、27823）の完全な再認証を要求します。 これは、「古い」アクセスポイント（27887）への関連付け解除メッセージの送信を含むイベントの長いチェーンにつながります。 その結果、データ転送の効果的な中断は332ミリ秒でした。 さらに、この実験では、RADIUSサーバーはローカルデータベースを使用しました。 低速のSQLサーバーにアクセスせず、Active Directoryで許可を求めず、X.509証明書を送信、検証、比較しませんでした。



この記事では、WPA2 Fast BSS Transition（FT）802.11r、Neighbor Reportsなど、クライアントをローミングするためのさまざまな利用可能な標準またはベンダー依存のメカニズムを考慮しませんでした。 興味のある方はこのシリーズの記事をご覧ください 。



要約すると：

• 相互に自律的に動作する国内のアクセスポイントは、あるポイントから別のポイントに移動するときに、クライアントが完全な認証サイクルを完了することを強制します。 これには、特に集中ユーザーデータベース（企業環境で共通のパスワード/ PSKを使用しない）を使用している場合に、有用なトラフィックの伝送に重大な遅延が生じ、その結果、接続が切断されます。
• 予算はありますが、集中型システム（Mikrotik、UniFi）はシームレスなローミングを提供しますが、実装に依存します。 たとえば、UniFiには「コントローラー」がありますが、1つのインターフェイスを使用するアクセスポイントのセットの一般的な構成にのみ機能し、少なくともソフトウェアバージョン2.xでは、アクセスポイントは自律的に機能し続け、ローミングを助けません（これらのデバイスを同じ方法でテストできることを嬉しく思います）
• エンタープライズクラスのワイヤレスシステム（Juniper、Cisco、Arubaなど）は、もともとシームレスなローミングをサポートするように設計されていました。 主に802.11rのようなイノベーションを実装しています。 しかし、あなたはそれを支払う必要があり、多くの場合、多くの。