In una rete wireless aziendale l'Access Point,o AP,rappresenta il dispositivo che fornisce la connettività Wi-Fi ai client e collega il livello radio all'infrastruttura Ethernet cablata. A differenza dei comuni router Wi-Fi utilizzati negli ambienti domestici,un Access Point professionale viene normalmente inserito all'interno di un'architettura più ampia nella quale indirizzamento IP,VLAN,DHCP,routing,autenticazione e sicurezza sono gestiti da componenti distinti.
L'Access Point si occupa principalmente della comunicazione wireless,gestendo radiofrequenze,canali,potenza di trasmissione,associazione dei client,cifratura e meccanismi di roaming. La parte cablata utilizza invece generalmente Ethernet,spesso con alimentazione PoE,Power over Ethernet,attraverso uno switch gestito.
In un'infrastruttura aziendale questo modello permette di distribuire numerosi Access Point all'interno di uffici,magazzini,hotel,strutture commerciali e ambienti industriali mantenendo una configurazione coerente e centralizzata.
Perché utilizzare un controller Wi-Fi
Quando gli Access Point diventano numerosi,configurarli individualmente diventa inefficiente e aumenta il rischio di errori. Il controller Wi-Fi nasce proprio per centralizzare la gestione dell'infrastruttura wireless.
Il controller può occuparsi della configurazione degli SSID,della sicurezza,della gestione delle radio,dell'assegnazione dei profili,delle VLAN,della supervisione degli Access Point e del monitoraggio dei client.
In funzione dell'architettura utilizzata,il controller può essere un apparato fisico,una macchina virtuale,un'applicazione installata su un server oppure un servizio cloud.
L'obiettivo rimane comunque lo stesso: trasformare un insieme di Access Point indipendenti in un'infrastruttura wireless coordinata.
Architettura centralizzata e gestione degli Access Point
In un'architettura gestita centralmente,gli Access Point ricevono la configurazione dal controller e comunicano con esso per fornire informazioni sullo stato della rete.
L'amministratore può quindi modificare un parametro da un'unica interfaccia e applicarlo a un gruppo di dispositivi.
Questo approccio è particolarmente utile quando la rete comprende decine o centinaia di AP. Un cambiamento relativo a un SSID,una VLAN o una policy di sicurezza può essere applicato a più dispositivi senza accedere singolarmente alla configurazione di ciascun Access Point.
La centralizzazione permette inoltre di mantenere più facilmente una configurazione coerente e di individuare eventuali AP che presentano parametri differenti rispetto al profilo previsto.
Controller fisico,virtuale e cloud
Non esiste un'unica modalità di implementazione del controller.
Un controller hardware è un dispositivo dedicato che gestisce l'infrastruttura wireless. È una soluzione tradizionale utilizzata soprattutto in reti medio-grandi dove sono richieste elevate capacità di gestione e continuità operativa.
Un controller virtuale viene invece eseguito come software all'interno di una macchina virtuale o di un server. Questa soluzione permette di integrare la gestione Wi-Fi nell'infrastruttura IT esistente.
L'architettura cloud-managed sposta invece la piattaforma di gestione su un servizio remoto. Gli Access Point comunicano con la piattaforma cloud e l'amministratore può controllare l'infrastruttura attraverso un'interfaccia web.
La scelta dipende da dimensioni della rete,connettività disponibile,requisiti di sicurezza,disponibilità del servizio e modello operativo dell'azienda.
SSID e segmentazione della rete
Uno degli aspetti più importanti nella progettazione di una rete Wi-Fi aziendale riguarda gli SSID,cioè i nomi delle reti wireless pubblicizzate dagli Access Point.
È possibile creare più SSID con finalità differenti. Un'azienda potrebbe avere una rete dedicata ai dipendenti,una rete guest e una rete destinata ai dispositivi IoT.
La semplice separazione degli SSID non garantisce però l'isolamento del traffico.
La segmentazione deve essere realizzata anche a livello di rete,normalmente attraverso VLAN e policy firewall.
Per esempio,un SSID dedicato agli ospiti potrebbe essere associato alla VLAN 30,mentre quello aziendale potrebbe utilizzare la VLAN 10.
In questo modo il traffico wireless viene associato a segmenti IP differenti e può essere sottoposto a regole di sicurezza specifiche.
VLAN e Access Point
Il collegamento tra Access Point e switch Ethernet deve essere progettato correttamente quando vengono utilizzate più VLAN.
In una configurazione tipica la porta dello switch collegata all'AP può essere configurata come trunk,consentendo il transito di più VLAN.
L'Access Point associa quindi ciascun SSID alla VLAN prevista.
Una configurazione concettualmente simile può essere:
SSID Aziendale ? VLAN 10 SSID Guest ? VLAN 20 SSID IoT ? VLAN 30
La gestione delle VLAN deve essere coerente su switch,Access Point,router e firewall. Un errore nella configurazione del trunk o del tagging 802.1Q può impedire ai client di ottenere un indirizzo DHCP o di raggiungere correttamente le risorse della rete.
Tagging 802.1Q
Il protocollo IEEE 802.1Q viene utilizzato per identificare le VLAN all'interno dei frame Ethernet.
Quando un Access Point deve trasportare il traffico appartenente a più reti virtuali,la configurazione del tagging diventa fondamentale.
È quindi necessario verificare che VLAN ID,porte trunk,Native VLAN e configurazioni degli apparati siano coerenti.
Un errore apparentemente banale,come associare l'SSID alla VLAN 20 sul controller ma non consentire la VLAN 20 sulla porta dello switch,può produrre un problema che dal punto di vista dell'utente appare semplicemente come "Wi-Fi connesso ma senza Internet".
PoE e alimentazione degli Access Point
Gli Access Point professionali vengono frequentemente alimentati tramite PoE.
Power over Ethernet consente di trasferire alimentazione e dati attraverso lo stesso cavo Ethernet,semplificando notevolmente l'installazione.
Lo switch deve però supportare lo standard PoE richiesto dall'Access Point e disporre di sufficiente potenza complessiva.
Un AP moderno dotato di più radio,funzionalità avanzate e porte aggiuntive può richiedere una quantità di energia superiore rispetto ai vecchi dispositivi.
Durante la progettazione è quindi necessario verificare il PoE budget dello switch e il consumo massimo previsto per ogni Access Point.
Frequenze 2,4 GHz,5 GHz e 6 GHz
Una rete Wi-Fi moderna può utilizzare differenti bande radio.
La banda 2,4 GHz offre generalmente una maggiore capacità di propagazione e una migliore penetrazione degli ostacoli,ma dispone di un numero più limitato di canali non sovrapposti e può essere maggiormente soggetta a interferenze.
La banda 5 GHz offre normalmente una maggiore disponibilità di canali e permette di ottenere prestazioni superiori,ma presenta una propagazione meno favorevole rispetto ai 2,4 GHz.
La banda 6 GHz,utilizzata dalle tecnologie Wi-Fi più recenti,aggiunge ulteriore spettro disponibile e può ridurre la congestione,ma richiede dispositivi compatibili.
La progettazione professionale non consiste quindi semplicemente nell'attivare tutte le bande disponibili. È necessario considerare client,spettro radio,potenza,canali e densità degli Access Point.
Channel planning e interferenze
Una delle principali cause di problemi Wi-Fi è una progettazione errata dei canali radio.
Se più Access Point vicini utilizzano gli stessi canali o canali sovrapposti,il livello di interferenza può aumentare e ridurre le prestazioni.
In una rete professionale è quindi necessario progettare la distribuzione dei canali tenendo conto della posizione fisica degli AP,della potenza di trasmissione,della larghezza dei canali e delle reti presenti nell'ambiente.
L'analisi dello spettro può evidenziare interferenze provenienti anche da dispositivi che non appartengono direttamente all'infrastruttura aziendale.
Larghezza del canale
La larghezza del canale influisce direttamente sulla capacità teorica della connessione Wi-Fi.
Canali più larghi possono consentire velocità maggiori,ma occupano una quantità maggiore di spettro e possono aumentare il rischio di interferenze.
In un ambiente con pochi AP e basso livello di congestione può essere vantaggioso utilizzare canali più larghi.
In un ufficio ad alta densità,invece,la priorità potrebbe essere aumentare la disponibilità di canali e ridurre la sovrapposizione.
La configurazione deve quindi essere adattata all'ambiente e non impostata semplicemente sul valore massimo disponibile.
Potenza di trasmissione
Aumentare al massimo la potenza di ogni Access Point non significa necessariamente migliorare la copertura.
Un AP con potenza eccessiva può creare celle radio troppo grandi e interferire con altri Access Point.
Inoltre il client non necessariamente dispone della stessa capacità di trasmissione dell'AP. Si può quindi verificare una situazione nella quale il dispositivo vede ancora il segnale dell'Access Point,ma non riesce a mantenere una comunicazione bidirezionale efficiente.
La potenza deve essere quindi dimensionata in funzione della densità e della posizione degli AP.
Roaming tra Access Point
In una rete aziendale composta da più AP,l'utente deve poter spostarsi senza perdere la connettività.
Il roaming permette al client di passare da un Access Point a un altro quando si sposta all'interno dell'area coperta.
Gli standard IEEE 802.11k,802.11v e 802.11r introducono funzionalità che possono migliorare questo processo.
802.11k può fornire al client informazioni sui dispositivi vicini,802.11v può supportare decisioni relative alla gestione del roaming mentre 802.11r può ridurre il tempo necessario per la fase di autenticazione durante il passaggio tra AP compatibili.
Il comportamento finale dipende comunque anche dal client e dal sistema operativo.
Sticky client
Un problema frequente nelle reti Wi-Fi è rappresentato dai cosiddetti sticky client.
Il dispositivo rimane collegato a un Access Point anche quando si trova ormai vicino a un altro AP che offre un segnale migliore.
Il risultato può essere una connessione apparentemente lenta o instabile nonostante la presenza di una buona copertura.
Le funzionalità di steering e roaming possono aiutare a ridurre il problema,ma non esiste un meccanismo che possa obbligare universalmente qualsiasi client a comportarsi in un determinato modo.
La progettazione deve quindi tenere conto anche del comportamento reale dei dispositivi utilizzati dagli utenti.
Sicurezza degli Access Point
La sicurezza della rete Wi-Fi non può essere ridotta alla scelta di una password complessa.
In un ambiente aziendale è preferibile utilizzare meccanismi di autenticazione centralizzata come WPA2-Enterprise o WPA3-Enterprise,quando supportati dall'infrastruttura.
L'autenticazione può essere integrata con un server RADIUS,permettendo di associare l'accesso alla rete alle credenziali dell'utente o a certificati.
Questo modello consente di evitare la condivisione di una singola password tra tutti i dipendenti.
802.1X e RADIUS
Il protocollo 802.1X permette di implementare un controllo degli accessi basato sull'autenticazione.
Nel contesto Wi-Fi aziendale,l'Access Point può comunicare con un server RADIUS per verificare le credenziali del client.
L'architettura coinvolge generalmente il supplicant sul dispositivo dell'utente,l'Access Point come authenticator e il server RADIUS come componente di autenticazione.
Questo modello permette di centralizzare le policy di accesso e può essere integrato con directory aziendali.
In infrastrutture con requisiti di sicurezza elevati è possibile utilizzare anche certificati digitali attraverso EAP-TLS.
Rete guest
Una rete Wi-Fi guest dovrebbe essere isolata dalla rete aziendale.
Non è sufficiente creare un SSID chiamato "Guest". È necessario configurare correttamente VLAN,firewall,DHCP e routing.
Il traffico guest dovrebbe essere indirizzato verso una rete separata e sottoposto a policy che impediscano l'accesso alle risorse interne.
In base alle esigenze può essere inoltre applicato un captive portal,limitazione della banda o controllo del numero di client.
QoS e traffico Wi-Fi
La qualità del servizio è particolarmente importante quando la rete wireless supporta applicazioni real-time.
VoIP,videoconferenze e applicazioni interattive possono essere penalizzate da latenza,jitter e perdita di pacchetti.
Meccanismi come WMM,Wi-Fi Multimedia consentono di classificare determinate categorie di traffico e assegnare priorità differenti.
La QoS deve però essere progettata considerando l'intero percorso del traffico. Dare priorità al pacchetto sul Wi-Fi non risolve automaticamente una congestione presente sul collegamento Internet o sul firewall.
Monitoraggio degli Access Point
Una rete Wi-Fi professionale deve essere monitorata.
Il controller può raccogliere informazioni relative a stato degli AP,client connessi,livello del segnale,canali utilizzati,interferenze,errori radio e traffico.
Questi dati permettono di individuare rapidamente anomalie.
Un Access Point che presenta improvvisamente un numero elevato di disconnessioni o un aumento degli errori radio può indicare un problema hardware,un'interferenza o una variazione nell'ambiente.
Il monitoraggio storico è particolarmente utile per identificare problemi ricorrenti.
RSSI,SNR e qualità del segnale
La semplice visualizzazione delle "tacche" Wi-Fi non è sufficiente per una diagnosi tecnica.
Parametri come RSSI,Received Signal Strength Indicator,e SNR,Signal-to-Noise Ratio,forniscono informazioni molto più utili.
Un segnale forte non significa necessariamente una comunicazione di qualità. Se il livello di rumore è elevato,il rapporto segnale/rumore può essere insufficiente.
La progettazione wireless deve quindi considerare contemporaneamente potenza del segnale,rumore,interferenze e capacità effettiva del canale.
Capacity planning
La copertura non è l'unico parametro da considerare.
Un Access Point può fornire un segnale eccellente ma non essere in grado di gestire correttamente un numero elevato di client contemporaneamente.
Questo introduce il concetto di capacity planning.
In un ufficio con centinaia di utenti è necessario valutare il numero di dispositivi previsti,il tipo di traffico generato,la distribuzione degli utenti e la capacità radio degli AP.
Una rete progettata esclusivamente sulla base della copertura può quindi funzionare bene quando ci sono pochi utenti e diventare insufficiente durante le ore di maggiore utilizzo.
Access Point ad alta densità
Ambienti come sale conferenze,auditorium,università,hotel e grandi uffici richiedono una progettazione specifica.
In queste situazioni è spesso preferibile distribuire più Access Point con celle opportunamente dimensionate invece di utilizzare pochi AP ad altissima potenza.
La progettazione deve considerare numero di client,capacità per radio,canali disponibili e distribuzione fisica delle persone.
L'obiettivo non è semplicemente "avere Wi-Fi",ma garantire una capacità sufficiente nel punto e nel momento in cui viene richiesta.
Controller e firmware
Il controller permette anche di gestire il ciclo di vita del firmware degli Access Point.
Gli aggiornamenti possono correggere vulnerabilità di sicurezza,bug radio e problemi di stabilità.
In una rete aziendale gli aggiornamenti dovrebbero essere pianificati e testati,evitando quando possibile di aggiornare contemporaneamente l'intera infrastruttura senza una strategia di rollback.
È inoltre importante mantenere controller e Access Point compatibili tra loro.
Alta disponibilità del controller
In infrastrutture critiche anche il controller rappresenta un possibile punto di guasto.
Se l'architettura dipende da un singolo controller fisico o virtuale,la sua indisponibilità può compromettere la gestione della rete.
In base alla piattaforma utilizzata è possibile implementare meccanismi di High Availability,ridondanza o gestione cloud.
La progettazione deve distinguere tra perdita del controller e perdita del servizio wireless:alcune architetture permettono agli Access Point di continuare a fornire connettività anche quando il controller non è temporaneamente raggiungibile.
Controller e autenticazione centralizzata
Il controller non deve necessariamente gestire direttamente tutte le componenti della rete.
In un'architettura aziendale può integrarsi con firewall,DHCP,DNS,RADIUS,Active Directory o altri sistemi di autenticazione.
Questo permette di separare le responsabilità e costruire una rete più strutturata.
Per esempio,l'Access Point gestisce la parte radio,il controller coordina la configurazione,RADIUS gestisce l'autenticazione,il DHCP assegna gli indirizzi IP e il firewall controlla il traffico tra le reti.
Troubleshooting di una rete Wi-Fi aziendale
Quando un utente segnala che il Wi-Fi è lento,non è corretto modificare immediatamente il canale o aumentare la potenza dell'Access Point.
La diagnosi deve considerare il dispositivo client,l'AP a cui è associato,il livello RSSI,l'SNR,la velocità di collegamento,il canale radio,la presenza di interferenze,il numero di client associati e il percorso del traffico dopo l'AP.
Se il client comunica correttamente con l'AP ma non riesce a raggiungere il gateway,il problema potrebbe essere VLAN,DHCP o switching.
Se invece il collegamento wireless è instabile ma la rete cablata funziona correttamente,la diagnosi deve concentrarsi sulla parte radio.
Progettare correttamente un'infrastruttura Wi-Fi
La progettazione di una rete Wi-Fi professionale dovrebbe partire dall'analisi dell'ambiente e dei requisiti.
La posizione degli Access Point non deve essere stabilita semplicemente in base alla disponibilità di una presa Ethernet. È necessario considerare materiali delle pareti,densità degli utenti,fonti di interferenza,distribuzione degli ambienti e applicazioni utilizzate.
In strutture complesse può essere necessario effettuare un site survey,misurando direttamente il comportamento della rete radio.
Il risultato permette di progettare numero,posizione,potenza e canali degli Access Point in modo più preciso.
Conclusione
Gli Access Point e i controller Wi-Fi rappresentano due componenti fondamentali delle moderne infrastrutture wireless aziendali. L'Access Point gestisce principalmente la comunicazione radio con i client,mentre il controller consente di centralizzare configurazione,monitoraggio,sicurezza e gestione dell'intera infrastruttura.
Una rete professionale non può però essere progettata limitandosi alla scelta degli Access Point. È necessario integrare correttamente VLAN,802.1Q,DHCP,PoE,RADIUS,802.1X,QoS,roaming e sicurezza,considerando contemporaneamente infrastruttura cablata e wireless.
Anche la parte radio richiede una progettazione specifica. Frequenze,canali,larghezza di banda,potenza,RSSI,SNR,interferenze e densità dei client determinano la reale qualità del servizio. Un segnale Wi-Fi forte non garantisce infatti automaticamente prestazioni elevate.
La gestione centralizzata attraverso un controller consente infine di trasformare una serie di dispositivi indipendenti in un'infrastruttura coerente,monitorabile e scalabile. Quando la rete cresce,questa centralizzazione diventa particolarmente importante per mantenere uniformità nelle configurazioni,ridurre gli errori e intervenire rapidamente in caso di anomalie.
Per questo motivo la progettazione di una rete Wi-Fi aziendale deve essere considerata a tutti gli effetti un'attività di network engineering: non basta garantire la copertura del segnale,ma è necessario progettare un'infrastruttura capace di fornire connettività stabile,sicura e adeguata alla quantità e al tipo di traffico generato dagli utenti.
