Sophos AP6: planificar canales RF, band steering y roaming

Una buena red AP6 no se consigue con la potencia máxima ni con el canal más ancho. Las celdas vecinas necesitan suficiente solapamiento para roaming, pero no deben solaparse innecesariamente ni usar canales iguales o adyacentes. Band steering y las ayudas de roaming complementan un diseño RF correcto, pero no lo sustituyen.

Plan rápido: medir el entorno con un site survey, definir canal, anchura y potencia por banda, comprobar SSID y seguridad idénticos en los AP6 participantes y cambiar solo un piloto pequeño. Recorrer después la misma ruta con varios tipos de cliente. Continuar con la siguiente oleada solo si mediciones y aplicaciones son estables.

Separar la administración de las rutas RF y de datos

Un AP6 puede administrarse localmente o con Sophos Fusion (antes Sophos Central). El plano de administración transporta configuración y estado. La ruta RF y de datos va del cliente al AP6, switch o VLAN y gateway. Un estado verde en Central no demuestra buena cobertura ni DHCP, DNS o routing correctos.

El roaming está dirigido por el cliente: el dispositivo decide cuándo abandona el AP actual y qué candidato selecciona. Sophos señala aproximadamente -70 dBm como punto habitual, pero aclara que el umbral depende del cliente. Central no es, por tanto, un requisito universal. Varios AP6 locales configurados igual también pueden ofrecer roaming; Central facilita coherencia, asignaciones y visibilidad.

SSID, cifrado, autenticación y red de cliente deben coincidir. La guía de SSID y VLAN para AP6 explica la ruta de datos. Cambiar de AP no debe cambiar inesperadamente VLAN, gateway o perfil de seguridad.

Registrar una referencia antes de cambiar

1. Mapear zonas, voz, vídeo, escáneres, IoT y movimientos previstos.
2. Inventariar bandas, anchuras y soporte 802.11k/802.11r de clientes críticos. 6 GHz requiere modelo AP6, región y clientes compatibles.
3. Anotar por AP y banda canal, anchura, TX Power, Autochannel, SSID, band steering, fast roaming, 802.11k y umbral Smart Handover.
4. Medir ocupación, interferencias, RSSI y SNR en puntos y recorridos representativos. Sophos recomienda SNR al menos 25 dB sobre el ruido; es una referencia, no una garantía.
5. Definir criterios de aceptación para latencia, pérdida, interrupción de la aplicación real, DHCP/DNS y destinos permitidos.

Un survey previo estima ubicación y canales; solo uno posterior mide RSSI y SNR reales. Debe repetirse porque aparecen nuevas redes e interferencias.

Planificar conjuntamente canal, anchura y potencia

Mantener 2,4 GHz deliberadamente estrecho

Sophos recomienda 20 MHz y los tres canales no solapados 1, 6, 11. Aunque admite 40 MHz, no lo recomienda porque toda la banda mide solo 72 MHz. En un diseño de capacidad puede ser mejor apagar 2,4 GHz en algunos AP6 que emitir todas las bandas en cada celda. Hacerlo solo tras medir cobertura y probar clientes exclusivamente 2,4 GHz.

Adaptar 5 GHz y DFS al entorno

5 GHz ofrece más canales y buen equilibrio entre alcance y rendimiento. Sophos orienta a 40 u 80 MHz, pero a 20 MHz cuando hay congestión o AP6 muy próximos. Una mayor anchura eleva la velocidad potencial individual, pero reduce los canales no solapados. En alta densidad suele aportar más la reutilización de canales pequeños.

Los canales DFS 52 a 144 comparten espectro con radar. Una detección puede cambiar el canal y desconectar clientes; desactivar DFS reduce el conjunto disponible. Probar disponibilidad regional, eventos radar, compatibilidad y reutilización requerida, sin una regla universal.

No usar 6 GHz como sustituto de alcance

6 GHz aporta muchos canales no solapados y no necesita DFS, pero tiene menos alcance. Sophos orienta a 80 o 160 MHz para aplicaciones de alto rendimiento. No es un inicio universal en redes densas: modelo, región, clientes, distancia y ocupación medida deciden. Los demás clientes aún requieren 5 o 2,4 GHz.

TX Power define la celda

100 % es el valor predeterminado documentado en Central, no necesariamente el correcto. Reducir TX Power acorta alcance y puede reducir interferencia. Ajustar por banda y lugar para que en el borde haya otro AP utilizable. Subir solo la potencia del AP tampoco arregla el enlace de retorno de un cliente menos potente.

Sophos da como referencias -67 dBm para voz, -72 dBm para datos, 15–20 % de solapamiento y una ventaja de 10–15 dB del siguiente AP. Son puntos de medición, no garantías: paredes, antenas, drivers y aplicaciones alteran el resultado.

Elegir Autochannel o plan fijo

Autochannel evalúa RSSI total, ruido, carga, límites de potencia y número de BSS. En Central, AP6 analiza al arrancar y cada 30 minutos de forma predeterminada. Con clientes conectados no cambia a un canal mejor salvo que se active Shift to a better channel even if clients are connected.

En un lugar medido preferimos un plan fijo documentado. La guía Sophos también recomienda evitar selección automática para reducir posibles conflictos. Autochannel puede servir en lugares pequeños o cambiantes si se limita su rango y se monitoriza.

⚠️ Planificar interrupción: un cambio forzado con clientes conectados puede desconectarlos. Probarlo solo en mantenimiento. Save en el detalle del AP en Central aplica inmediatamente y también puede causar una breve caída.

No mezclar la GUI local con Central

AP6 administrado localmente

En la GUI local, los valores básicos están en Wireless > Wireless settings > 2.4 GHz, 5 GHz o 6 GHz > Basic settings. Cada banda admite hasta 16 SSID, cuyos nombres pueden contener hasta 32 letras o dígitos. Estas páginas incluyen Wireless, Band, campos SSID/VLAN, Auto channel, según la banda Auto channel range, Auto channel interval, cambio con clientes conectados, Channel y Channel Bandwidth. Las opciones disponibles de canal y ancho de canal dependen de la banda.

La página Advanced settings de cada banda incluye Tx power, Guard Interval, DTIM, RTS, Beacon Interval, Idle timeout, Beamforming/MU-MIMO y Airtime Fairness. Solo 2,4 GHz ofrece además Contention, Preamble y 802.11g Protection. Sophos los reserva a usuarios expertos y advierte del impacto. Los intervalos y valores predeterminados documentados dependen de la banda; por ello, guardar por separado los valores iniciales de cada banda antes de cambiar nada y no copiarlos a ciegas entre bandas. Para RF, empezar solo con canal, anchura y TX power; mantener timers en la referencia sin un problema medido.

Bandsteering es un ajuste Wireless separado: Off, 6G first, 5G first, Balanced y User-defined. Este último fija umbrales de carga por banda, con el valor predeterminado documentado 70, y Min RSSI; los clientes 5/6 GHz aptos por debajo del valor RSSI se orientan a 2,4 GHz. Bandsteering y filtrado MAC no pueden estar activos a la vez.

Smart handover se configura localmente por banda y tiene -80 dBm como valor predeterminado documentado. Bajo el umbral, el AP desconecta al cliente para que busque otro. Activarlo solo tras un survey: un umbral demasiado alto corta antes de que exista un candidato adecuado.

AP6 administrado en Central

En Central: My Products > Wireless > Access Points, abrir el AP piloto y cada banda bajo Settings > Radio configuration. Los campos documentados son TX Power, Channel width, Autochannel, Range, Auto channel scan interval y Shift to a better channel even if clients are connected. Con Autochannel desactivado se elige el canal manualmente.

Las ayudas de roaming del SSID no están en esa página. Abrir My Products > Wireless > SSIDs, el SSID y Advanced Settings > Quality of service: Fast roaming, Band steering y, para AP6, 802.11k. La ayuda indica que band steering actúa por AP y afecta a todos sus SSID.

802.11k entrega información de vecinos y, según Sophos, está activo por defecto en todos los SSID; no todos los clientes lo soportan. Fast roaming usa 802.11r cuando procede, requiere soporte del cliente y no está disponible en una red de invitados en modo NAT. Activar Fast Transition solo cuando todos los puntos de acceso que sirven el SSID en el despliegue sean AP6. Su beneficio es mínimo sin autenticación empresarial. Si el SSID se extiende fuera de una zona controlada, Fast Transition puede crear una exposición de seguridad; evaluar ese riesgo antes de activarlo. Ayudan a la decisión del cliente, pero no fuerzan un AP destino.

Pilotar y validar caminando

1. Limitar el piloto a dos AP6 vecinos y un SSID; guardar valores y asignaciones.
2. Cambiar una clase: primero canales, después anchura, potencia y luego por separado band steering, fast roaming o Smart Handover.
3. Esperar al estado aplicado; en Central revisar también Task queue.
4. Comparar en los mismos puntos RSSI, SNR, banda, canal, tasa, latencia y pérdida.
5. Recorrer la misma ruta con ping continuo y la aplicación real de voz/vídeo. Anotar hora, AP origen/destino, punto e interrupción.
6. Probar al menos dos tipos de cliente, incluido un caso 802.11r problemático si se prevé fast roaming.
7. Tras cada cambio revisar IP, gateway, DNS y destinos. Renovar DHCP puede parecer un fallo RF.
8. Repetir bajo carga representativa; un lugar vacío no prueba estabilidad.
9. Desplegar en oleadas pequeñas solo tras cumplir criterios y repetir la prueba corta.

Diagnosticar por síntoma

El cliente permanece en el AP lejano: comprobar visibilidad del siguiente AP y que SSID, seguridad y red coinciden; medir ambos RSSI. Puede haber exceso de solapamiento, TX Power alto o lógica del cliente. No hacer Smart Handover más agresivo de inmediato.

Se desconecta sin sustituto: cobertura insuficiente o umbral Smart Handover alto. Restaurar el umbral, medir el borde y después corregir ubicación o potencia.

Señal fuerte y bajo rendimiento: revisar banda, anchura, ocupación, SNR e interferencia cocanal/adyacente. Un canal ancho o demasiadas celdas 2,4 GHz pueden reducir airtime útil.

Cortes periódicos: comparar horas con intervalo Autochannel, tareas y eventos DFS. Desactivar en el piloto el cambio forzado con clientes y repetir.

Solo fallan clientes antiguos: revisar 802.11r, 802.11k, cifrado y bandas del dispositivo exacto. Quitar primero fast roaming del piloto; quizá necesiten un SSID separado.

El roaming funciona pero cae la aplicación: seguir IP, VLAN, gateway, DNS, estado del firewall y sesión. Demostrar por separado administración, transición RF y datos.

Revertir de forma segura

Revertir no es restablecer de fábrica. Detener el despliegue y restaurar en el piloto los valores documentados de canal/Autochannel, anchura, TX Power y opciones de roaming. Revertir solo la última clase, esperar el estado y repetir pruebas fijas y caminando.

En Central, Save puede interrumpir otra vez brevemente. Localmente, revisar cada AP para no dejar divergencias. La reversión termina cuando SSID, DHCP, DNS, aplicaciones y recorrido reproducen la referencia. Si RF y datos no explican el fallo, conservar valores, horas, modelo del cliente y firmware para escalar con pruebas.