Warum das Firmen-WLAN immer wieder abreißt

Symptome sortieren: ein Gerät, eine Zone oder alle

Bevor du ein Werkzeug startest, sortiere die Meldungen nach Reichweite. Betrifft es nur ein Gerätemodell, liegt die Ursache meist beim Client: Treiber, Firmware oder Energiesparfunktionen. Betrifft es alle Geräte in einer Zone, liegt sie in der Funkplanung oder bei einer Störquelle dort. Betrifft es alle am Standort zur gleichen Zeit, liegt sie selten in der Luft, sondern bei Controller, RADIUS-Server, DHCP oder Uplink.

Die zweite Achse ist der Auslöser. Abbrüche beim Gehen deuten auf Roaming. Abbrüche in vollen Räumen deuten auf Dichte und Kanalbreite. Abbrüche zu festen Zeiten deuten auf Timer, Radar auf DFS-Kanälen oder eine Störquelle mit Tagesrhythmus wie eine Mikrowelle im 2,4-GHz-Band. Lass dir deshalb von den Nutzern Uhrzeit, Ort und Tätigkeit nennen, nicht nur ein „geht nicht“.

• Gerätemodell, Betriebssystem, WLAN-Adapter und Treiberversion

• Ort mit Raumnummer oder Planposition und Uhrzeit auf die Minute

• Tätigkeit im Moment des Abbruchs: Gehen, Telefonat, Besprechung, Rückkehr aus dem Ruhezustand

• Anzahl der betroffenen Personen und ob deren Geräte gleich sind

• Dauer des Abbruchs und ob er sich von selbst behebt

Sticky Clients und zu hohe Sendeleistung

Im WLAN entscheidet der Client, wann er die Zelle wechselt. Viele Geräte suchen erst nach einem neuen Access Point, wenn das Signal des alten deutlich nachlässt. Sendet der Access Point mit hoher Leistung, sieht der Client ihn noch in großer Entfernung als brauchbar an. Der Access Point hört den Client dort aber schlecht, weil ein Smartphone mit deutlich weniger Leistung sendet. Die Verbindung wird einseitig, die Datenrate fällt, Rahmen werden wiederholt, und irgendwann reißt sie ab.

Zwei Stellschrauben verkleinern die Zelle auf das Maß, in dem beide Richtungen funktionieren. Die erste ist eine Obergrenze für die automatische Leistungsregelung. Die zweite ist das Abschalten der niedrigsten Datenraten. Ein Client, der 6 und 9 Mbit/s nicht mehr verwenden darf, muss früher wechseln, statt am Rand der Zelle festzuhalten. Ändere beides zuerst in einem RF-Profil für eine Zone und vergleiche die Roaming-Zeiten vorher und nachher.

Der Catalyst 9800 bietet zusätzlich Optimized Roaming, das Clients unterhalb eines Pegels oder einer Datenrate aktiv trennt. Cisco weist selbst darauf hin, dass das nicht für jedes Netz passt und eine gute Überlappung der Zellen voraussetzt. Ohne diese Überlappung schickt es Clients in eine Lücke.

Gleichkanalstörung und Kanalbreite

Zwei Access Points auf demselben Kanal, die sich gegenseitig hören, teilen sich die Sendezeit wie eine einzige Zelle. Mit 80 MHz stehen im deutschen 5-GHz-Band nur vier Kanäle zur Verfügung, mit 40 MHz neun, mit 20 MHz neunzehn. In einem Gebäude mit vielen Access Points führen breite Kanäle deshalb fast zwangsläufig zu Gleichkanalstörung, und jeder zusätzliche Access Point verschlechtert die Lage, statt sie zu verbessern.

Im 2,4-GHz-Band ist das Problem noch ausgeprägter. Es gibt nur die Kanäle 1, 6 und 11, die Zellen sind größer als bei 5 GHz, und fremde Netze aus der Nachbarschaft belegen dieselben Kanäle. Ein Teil der 2,4-GHz-Radios gehört deshalb abgeschaltet oder in den Monitor-Modus, wenn die Access Points für 5 GHz dicht gesetzt sind.

Auf DFS-Kanälen kommt ein zweiter Effekt hinzu. Erkennt ein Access Point ein Radarsignal, muss er den Kanal verlassen, und alle Clients verlieren kurz die Verbindung. Häufen sich solche Ereignisse in einer Zone, etwa in der Nähe eines Flughafens oder einer Wetterradaranlage, nimmst du die betroffenen Kanäle dort aus der automatischen Kanalwahl.

Roaming-Standards 802.11r, 802.11k und 802.11v und ihre Tücken

Die drei Erweiterungen stammen aus den Jahren 2008 bis 2011 und sind heute Teil des Grundstandards IEEE 802.11. 802.11k liefert dem Client auf Anfrage eine Nachbarliste mit Access Points, die für ihn in Frage kommen, damit er nicht alle Kanäle absuchen muss. 802.11v erlaubt dem Netz, einem Client einen Wechsel zu empfehlen, bis hin zur Ankündigung, dass er getrennt wird. 802.11r, Fast Transition, berechnet die Schlüssel für die neue Zelle schon vor dem Wechsel, sodass keine vollständige Anmeldung nötig ist.

Cisco zeigt in einer Analyse für den Catalyst 9800 den Unterschied: Mit 802.11r findet der Controller beim Wechsel den passenden Schlüssel, ohne 802.11r folgt eine vollständige EAP-Anmeldung mit anschließendem Vier-Wege-Handshake. Eine Empfehlung nach 802.11v bleibt dagegen nur eine Empfehlung, und der Client darf sie ignorieren.

Die Tücke liegt bei älteren Treibern. Eine SSID mit 802.11r kündigt im RSN-Element eine zusätzliche Schlüsselverwaltung an. Manche Geräte kommen damit nicht zurecht und verbinden sich gar nicht mehr. Der sichere Weg ist eine Test-SSID mit 802.11r, an der du alle Gerätetypen prüfst, bevor du die produktive SSID umstellst.

wlan CORP-FT-TEST 30 CORP-FT-TEST
 shutdown
 security wpa akm dot1x
 security wpa akm ft dot1x
 security ft
 no security ft over-the-ds
 security dot1x authentication-list ISE-AUTH
 assisted-roaming neighbor-list
 assisted-roaming dual-list
 bss-transition
 no shutdown
!
show wlan name CORP-FT-TEST

Authentifizierung beim Roaming: wenn der RADIUS-Server bremst

In einem WLAN mit 802.1X meldet sich der Client beim ersten Verbinden über EAP am RADIUS-Server an. Das dauert mehrere Hin- und Rückwege zwischen Client, Controller und Server, bei EAP-TLS zusätzlich mit Zertifikatsprüfung. Ohne 802.11r oder PMK-Caching wiederholt sich das bei jedem Zellwechsel. Für Daten fällt das kaum auf, für ein Telefonat ist es eine hörbare Lücke.

Liegt der RADIUS-Server in einem anderen Rechenzentrum, addiert sich die Laufzeit der WAN-Strecke zu jedem dieser Wege. Ist er ausgelastet oder fragt er selbst ein entferntes Verzeichnis ab, verlängert sich jede Anmeldung zusätzlich. Miss deshalb die Antwortzeiten auf dem Server und am Controller, bevor du an der Funkplanung drehst.

Ein abgelaufenes Server- oder Clientzertifikat zeigt sich nicht als Abbruch beim Roaming, sondern als Anmeldefehler bei allen betroffenen Geräten zugleich. Im Mitschnitt endet die Anmeldung dann mit dem Reason Code 23 für eine fehlgeschlagene 802.1X-Authentifizierung, und im Log des RADIUS-Servers steht die Ablehnung mit Grund.

Messen: Client-Logs, Controller-Trace und Funkmitschnitt

Auf dem Client beginnt die Messung mit Bordmitteln. Windows erzeugt mit netsh einen HTML-Bericht über Sitzungen und Trennungsgründe der letzten Tage. Unter Linux zeigt iw die aktuelle Verbindung und die Ereignisse mit Zeitstempel. Notiere BSSID, Kanal und Pegel unmittelbar vor dem Abbruch, das grenzt die betroffene Zelle ein.

Auf dem Catalyst 9800 ist die Radioactive Trace das wichtigste Werkzeug. Sie schreibt für eine MAC-Adresse alle Schritte über alle Prozesse mit, von der Assoziation bis zur Löschung des Clients. Über die Weboberfläche liegt sie unter Troubleshooting, in der Kommandozeile startest du sie mit debug wireless. Für ein Ticket beim Hersteller fasst das Debug Bundle die Ausgaben ausgewählter Befehle in einer Datei zusammen.

Was der Controller nicht sieht, zeigt der Funkmitschnitt: Rahmen, die der Access Point nie empfangen hat, Deauthentication-Rahmen von fremden Geräten und die tatsächliche Dauer eines Wechsels. Ein zweites Gerät im Monitor-Modus auf dem Kanal der betroffenen Zelle reicht dafür. Für Störquellen außerhalb von WLAN, etwa Funkkameras oder defekte Vorschaltgeräte, brauchst du eine Spektrumanalyse, bei Cisco über CleanAir in den Access Points.

# Windows: Bericht unter C:\ProgramData\Microsoft\Windows\WlanReport\
netsh wlan show wlanreport
netsh wlan show interfaces

# Linux: Verbindung und Ereignisse mit Zeitstempel
iw dev wlan0 link
iw event -t

! Catalyst 9800: Zustand und Löschgründe
show wireless client mac-address aaaa.bbbb.cccc detail
show wireless stats client delete reasons
! Radioactive Trace für 30 Minuten, Fehler nachstellen
debug wireless mac aaaa.bbbb.cccc monitor-time 1800
no debug wireless mac aaaa.bbbb.cccc
show logging profile wireless filter mac aaaa.bbbb.cccc to-file bootflash:ra-client.txt

# Wireshark-Anzeigefilter: Trennungen, Reassoziationen, EAPOL
wlan.fc.type_subtype == 0x000c || wlan.fc.type_subtype == 0x000a
wlan.fc.type_subtype == 0x0002 || wlan.fc.type_subtype == 0x0003
eapol

Prüfreihenfolge für die nächste Meldung

Die Reihenfolge spart Zeit, weil sie mit den Fragen beginnt, die sich ohne Werkzeug beantworten lassen, und erst danach in die Tiefe geht. Ändere bei jedem Schritt höchstens eine Einstellung und miss dasselbe Szenario erneut, sonst weißt du am Ende nicht, was geholfen hat.

• Bestimme das Muster: Betrifft es ein Gerät, eine Zone oder alle, und ist der Auslöser Bewegung, Dichte oder Zeit?

• Vergleiche Treiber und Firmware der betroffenen Geräte mit einer Version, die funktioniert.

• Lies im Client-Log BSSID, Kanal und Pegel vor dem Abbruch ab.

• Sieh am Controller nach, mit welchem Grund der Client gelöscht wurde und ob die Access Points im Zeitraum den Kanal gewechselt haben.

• Starte eine Radioactive Trace für einen betroffenen Client und stelle den Fehler nach.

• Schneide an der Stelle des Abbruchs im Funk mit und lies Reason Code und Dauer des Wechsels ab.

• Ändere erst dann etwas, ob Leistung, Datenraten, Kanalbreite, Roaming-Funktionen oder RADIUS.