Wi-Fi e infrastruttura di rete: cosa c’è davvero dietro una rete wireless affidabile

Il Wi-Fi non è solo radio

Dal punto di vista dell’utente, il Wi-Fi viene spesso percepito
come un unico servizio: il dispositivo si associa a una rete,
ottiene connettività e raggiunge applicazioni o Internet.

Dal punto di vista tecnico, invece, la comunicazione attraversa
molte componenti differenti.

Il client trasmette via radio verso l’Access Point.
L’Access Point inoltra il traffico sulla rete cablata.
Da quel momento entrano in gioco switch, VLAN, gateway,
servizi DHCP e DNS, firewall, server di autenticazione
e infine le applicazioni di destinazione.

Questo significa che un problema percepito come
“problema Wi-Fi” può nascere in qualsiasi punto
di questa catena.

La radio può essere perfetta,
ma se il client non riceve correttamente un indirizzo IP,
non risolve i nomi DNS o viene inserito nella VLAN sbagliata,
l’esperienza utente sarà comunque negativa.

Dal client all’applicazione: il vero percorso di una connessione Wi-Fi

Una connessione wireless operativa può essere vista
come una sequenza di passaggi.

Prima il client deve rilevare la rete, selezionarla
e completare l’associazione 802.11.
Successivamente può essere necessario autenticarsi,
ad esempio attraverso WPA2-Enterprise o WPA3-Enterprise.

Una volta autorizzato, il dispositivo deve ottenere
una configurazione IP.
Normalmente questo avviene tramite DHCP,
che assegna indirizzo, subnet mask, gateway
e server DNS.

Solo a questo punto il client può iniziare
a raggiungere realmente le risorse di rete.

È una sequenza importante perché ogni fase
può fallire in modo differente.
Un client può risultare perfettamente associato
al Wi-Fi ma non avere connettività IP.
Oppure può avere connettività IP ma non riuscire
a risolvere un nome DNS.

Per questo la dicitura “connesso al Wi-Fi”
non equivale necessariamente a
“rete funzionante”.

Switching e VLAN: la parte invisibile della rete wireless

Gli Access Point vengono generalmente collegati
a un’infrastruttura Ethernet.
Lo switch diventa quindi il punto di ingresso
del traffico wireless nella rete cablata.

In molti ambienti professionali,
lo stesso Access Point gestisce più SSID
associati a reti logiche differenti.

Un SSID aziendale può essere collegato
a una VLAN interna,
mentre una rete guest può essere isolata
su una VLAN separata.
Dispositivi IoT, terminali industriali
e sistemi voce possono avere segmentazioni dedicate.

Questa separazione permette di applicare
politiche di sicurezza,
instradamento e controllo differenti
senza dover costruire reti fisiche separate.

Ma introduce anche una dipendenza precisa:
il tagging VLAN deve essere coerente
tra Access Point, porte switch,
trunk e gateway.

Una configurazione errata può produrre
una situazione apparentemente paradossale:
il client vede il Wi-Fi,
si associa correttamente,
ma non riesce a ottenere un indirizzo
oppure raggiunge la rete sbagliata.

PoE: l’alimentazione è parte del progetto Wi-Fi

Gli Access Point enterprise vengono normalmente
alimentati attraverso Power over Ethernet.
Questo consente di utilizzare lo stesso cavo
sia per la connettività dati
sia per l’alimentazione elettrica.

PoE viene spesso considerato
un dettaglio puramente infrastrutturale,
ma in realtà può incidere direttamente
sul comportamento dell’Access Point.

Ogni modello ha requisiti energetici specifici
e lo switch deve poter fornire
una potenza adeguata alla modalità operativa prevista.

In alcuni scenari,
un’alimentazione insufficiente
può portare il dispositivo
a ridurre funzionalità,
radio disponibili
o capacità operative.

Inoltre non basta verificare
la potenza sulla singola porta.
È necessario considerare
anche il PoE budget complessivo dello switch,
soprattutto in installazioni con molti Access Point,
telecamere, telefoni IP
o altri dispositivi alimentati via Ethernet.

DHCP e DNS: quando il Wi-Fi funziona ma la rete sembra non funzionare

Dopo l’associazione,
uno dei servizi più importanti
per il client è DHCP.

Senza una configurazione IP valida,
il dispositivo non può comunicare
correttamente con la rete.

Problemi di DHCP possono quindi
essere percepiti come instabilità Wi-Fi,
anche se la parte radio
non presenta alcuna anomalia.

Pool esauriti,
relay configurati in modo errato,
VLAN non raggiungibili
o tempi di risposta troppo elevati
possono impedire al client
di diventare operativo dopo l’associazione.

Lo stesso vale per il DNS.
Un dispositivo può raggiungere
perfettamente un indirizzo IP,
ma se non riesce a tradurre
un nome di dominio,
l’utente percepirà comunque
la rete come lenta o non funzionante.

È un esempio classico
di come la qualità percepita del Wi-Fi
dipenda da servizi che non sono,
tecnicamente, radio.

802.1X e RADIUS: autenticare utenti e dispositivi

In molte reti professionali
l’accesso wireless non viene gestito
semplicemente con una password condivisa.

Il modello enterprise utilizza spesso
802.1X,
che consente di autenticare
individualmente utenti o dispositivi.

L’architettura coinvolge più componenti.
Il client è il supplicant,
l’infrastruttura wireless agisce
come authenticator
e un server RADIUS
verifica le credenziali
o il certificato presentato.

Questo permette di costruire
politiche molto più granulari,
ad esempio assegnando VLAN differenti
sulla base dell’identità,
del gruppo o del tipo di dispositivo.

Ma introduce anche una catena
di dipendenze che deve essere
progettata e monitorata correttamente.

Un problema di certificato,
sincronizzazione temporale,
raggiungibilità RADIUS
o configurazione EAP
può impedire l’accesso alla rete
anche quando la copertura Wi-Fi
è perfetta.

Routing, gateway e firewall: cosa succede dopo la VLAN

Una volta inserito nella propria rete logica,
il client deve poter raggiungere
le destinazioni necessarie.

Se la destinazione appartiene
a una subnet differente,
il traffico viene inviato
al default gateway
e da lì entra nel dominio del routing.

Firewall e policy di sicurezza
possono quindi determinare
quali servizi siano raggiungibili
e quali debbano essere bloccati.

In una rete guest,
ad esempio,
può essere previsto
l’accesso a Internet
ma non alle risorse interne.

In una rete IoT
può essere necessario consentire
soltanto determinate comunicazioni
verso server specifici.

Anche qui il Wi-Fi
può essere perfettamente funzionante
e tuttavia l’utente
non riuscire a raggiungere
una determinata applicazione.

Diagnosticare correttamente il problema
significa quindi capire
dove termina la parte radio
e dove inizia
la politica di rete.

QoS e WMM: quando non tutti i pacchetti hanno la stessa priorità

Il Wi-Fi è un mezzo condiviso
e l’airtime è una risorsa limitata.

In presenza di traffico voce,
video e dati,
la rete deve poter differenziare
le diverse esigenze applicative.

Sul lato wireless entra in gioco
WMM,
che utilizza categorie di accesso
differenti per dare priorità
ai flussi più sensibili
a latenza e jitter.

Ma WMM da solo non basta.
La classificazione deve essere
coerente lungo l’intero percorso.

Se il traffico viene marcato correttamente
sulla radio ma perde la priorità
entrando nella rete cablata,
il vantaggio può scomparire.

QoS deve quindi essere considerato
end-to-end:
client, Wi-Fi, switch,
routing e WAN
devono interpretare
in modo coerente
la priorità dei pacchetti.

Broadcast e multicast: traffico che può diventare costoso sul Wi-Fi

Il comportamento del traffico broadcast
e multicast assume una particolare importanza
nelle reti wireless.

Nel mondo Ethernet,
una quantità moderata di broadcast
può passare quasi inosservata.

Sul Wi-Fi,
invece, ogni trasmissione
consuma airtime
e quindi una risorsa condivisa
tra tutti i client presenti sulla radio.

Alcuni flussi multicast
possono inoltre essere trasmessi
a data rate più conservativi,
aumentando ulteriormente
il tempo occupato sul mezzo.

Per questo una rete wireless
molto estesa
con domini broadcast
eccessivamente grandi
può soffrire
anche se la componente RF
è apparentemente corretta.

La segmentazione attraverso VLAN
e una gestione consapevole
del traffico multicast
diventano quindi parte
della progettazione Wi-Fi.

Roaming: il client cambia Access Point, ma la rete deve rimanere la stessa

Il roaming è spesso descritto
soltanto come il passaggio
da un Access Point a un altro.

Ma perché il passaggio
sia realmente trasparente,
la rete sottostante
deve mantenere coerenza.

VLAN, policy,
autenticazione
e raggiungibilità
devono continuare
a funzionare
mentre il client si sposta.

Inoltre protocolli
e meccanismi come
802.11k, 802.11v e 802.11r
possono aiutare
a rendere il processo
più efficiente,
soprattutto per applicazioni
sensibili alla mobilità.

È importante ricordare,
però, che il roaming
rimane in gran parte
una decisione del client.

Questo è uno dei motivi
per cui nelle attività
di Wi-Fi Survey
non osserviamo soltanto
la copertura,
ma anche la sovrapposizione
delle celle
e il comportamento reale
dei dispositivi.

L2 e L3: dove si muove realmente il client

Un altro aspetto importante
riguarda il dominio
nel quale avviene
la mobilità del client.

Se gli Access Point
appartengono allo stesso
dominio Layer 2,
il client può mantenere
più facilmente
la propria configurazione IP
durante lo spostamento.

Quando invece
la mobilità attraversa
confini Layer 3,
l’architettura deve gestire
il passaggio tra subnet differenti
senza compromettere
la continuità applicativa.

Questo tema diventa importante
soprattutto in campus,
grandi strutture,
magazzini e ambienti
distribuiti su più edifici.

Ancora una volta,
il progetto Wi-Fi
deve quindi dialogare
con il progetto IP.

Troubleshooting Wi-Fi: diagnosticare il problema end-to-end

Quando un utente segnala
che “il Wi-Fi non funziona”,
una diagnosi efficace
dovrebbe seguire
il percorso reale della comunicazione.

Prima si verifica
la parte RF:
RSSI, SNR,
channel utilization,
interferenze,
data rate
e qualità della cella.

Poi si controllano
associazione
e autenticazione.

Successivamente
si verifica DHCP,
raggiungibilità del gateway,
DNS
e accesso alle destinazioni.

Nei casi complessi
può essere necessario
analizzare anche
packet capture,
frame 802.11
e traffico IP
per determinare
il punto esatto
in cui il comportamento
inizia a degradare.

Questo approccio evita
di attribuire automaticamente
ogni problema al segnale
e permette di distinguere
un problema radio
da un problema
di infrastruttura.

Progettare il Wi-Fi come sistema, non come insieme di Access Point

Una buona progettazione Wi-Fi
non dovrebbe iniziare
chiedendosi semplicemente
quanti Access Point servono.

Bisogna prima comprendere
quali applicazioni
utilizzeranno la rete,
quanti dispositivi saranno presenti,
come si sposteranno,
quali VLAN dovranno utilizzare,
come avverrà l’autenticazione
e quali servizi
dovranno raggiungere.

Anche la rete cablata
deve essere dimensionata
di conseguenza.

Uplink, porte,
PoE budget,
trunk VLAN,
routing,
firewall
e servizi IP
devono essere coerenti
con la capacità richiesta
dalla parte wireless.

È inutile progettare
una radio capace
di fornire elevata capacità
se il traffico viene poi
limitato da un collo di bottiglia
nella rete sottostante.

Wi-Fi e infrastruttura: un’unica architettura

Una rete wireless professionale
funziona correttamente
quando la componente RF
e la componente IP
sono progettate
come parti dello stesso sistema.

La radio determina
come il client
accede alla rete.
L’infrastruttura sottostante
determina cosa può fare
una volta connesso.

Switching,
VLAN,
PoE,
DHCP,
DNS,
autenticazione,
routing,
firewall
e QoS
non sono elementi esterni al Wi-Fi:
sono ciò che permette
al Wi-Fi di diventare
realmente un servizio di rete.

È per questo che
nelle attività SurveyWiFi
consideriamo insieme
progettazione,
misurazione
e
analisi end-to-end.

Una rete affidabile
nasce quando radio
e infrastruttura
parlano la stessa lingua.