Sophos AP6: RF-kanalen, band steering en roaming plannen

Een goed AP6-netwerk ontstaat niet met maximaal zendvermogen of het breedste kanaal. Aangrenzende cellen hebben genoeg overlap nodig voor roaming, maar moeten niet onnodig overlappen of dezelfde of aangrenzende kanalen gebruiken. Band steering en roamingfuncties ondersteunen een goed RF-ontwerp, maar vervangen het niet.

Snelplan: meet de omgeving met een site survey, bepaal per band kanaalplan, breedte en vermogen, zorg voor identieke SSID- en beveiligingswaarden op de betrokken AP6-apparaten en wijzig alleen een kleine pilot. Loop daarna dezelfde route met meerdere clienttypen. Ga pas verder als metingen en toepassingen stabiel zijn.

Beheer, RF en datapad scheiden

Een AP6 kan lokaal of met Sophos Fusion (voorheen Sophos Central) worden beheerd. Het beheerpad draagt configuratie en status. Het RF- en datapad loopt van client via AP6, switch of VLAN naar gateway. Een groene Central-status bewijst geen goede dekking en evenmin werkende DHCP, DNS of routing.

Roaming is clientgestuurd: het eindpunt bepaalt wanneer het de huidige AP verlaat en welke kandidaat het kiest. Sophos noemt ongeveer -70 dBm als gebruikelijk beginpunt, maar zegt uitdrukkelijk dat de drempel per client varieert. Central is daarom geen universele roamingvoorwaarde. Gelijk geconfigureerde lokale AP6-apparaten kunnen ook roaming bieden; Central maakt consistentie, toewijzingen en inzicht vooral eenvoudiger.

SSID, encryptie, authenticatie en clientnetwerk moeten op alle deelnemende AP6-apparaten overeenkomen. De gids voor AP6-SSID en VLAN verklaart het datapad. Een RF-wissel mag niet onverwacht ook VLAN, gateway of beveiligingsprofiel wijzigen.

Voor wijzigingen een baseline vastleggen

Breng ruimtes, spraak, video, scanners, IoT en verwachte beweging in kaart.
Inventariseer banden, breedtes en 802.11k/802.11r van kritieke clients. 6 GHz vereist een geschikt AP6-model, toegestane regio en geschikte clients.
Noteer per AP en band kanaal, breedte, TX Power, Autochannel, SSID’s, band steering, fast roaming, 802.11k en Smart Handover-drempel.
Meet bezetting, storing, RSSI en SNR op representatieve punten en routes. Sophos adviseert minstens 25 dB SNR boven de ruisvloer; dit is een planningswaarde, geen garantie.
Definieer acceptatie voor latency, pakketverlies, onderbreking van de echte toepassing, DHCP/DNS en toegestane doelen.

Een survey vooraf schat plaatsing en kanalen. Alleen een survey na installatie meet echte RSSI en SNR. Herhaal die later omdat naburige netwerken en storingsbronnen veranderen.

Kanaal, breedte en vermogen samen plannen

2,4 GHz bewust smal houden

Sophos adviseert 20 MHz en de drie niet-overlappende kanalen 1, 6, 11. 40 MHz wordt ondersteund maar afgeraden omdat de hele band slechts 72 MHz breed is. In een capaciteitsontwerp kan 2,4 GHz op enkele AP6-apparaten uitschakelen beter zijn dan elke band in elke cel uitzenden. Doe dit pas na dekkingsmeting en tests met uitsluitend 2,4-GHz-clients.

5 GHz en DFS op de locatie afstemmen

5 GHz biedt meer kanalen en een goede balans tussen bereik en doorvoer. Sophos noemt 40 of 80 MHz, maar 20 MHz bij sterke drukte of dicht bij elkaar gemonteerde AP6-apparaten. Breder verhoogt de potentiële snelheid per client, maar verlaagt het aantal niet-overlappende kanalen. Bij hoge dichtheid is hergebruik van kleinere kanalen vaak waardevoller.

DFS-kanalen 52 tot 144 delen spectrum met radar. Detectie kan een kanaalwissel en clientonderbreking veroorzaken; DFS uitschakelen verkleint echter de kanaalpool. Meet in de pilot regionale beschikbaarheid, lokale radargebeurtenissen, clientcompatibiliteit en vereist hergebruik.

6 GHz niet als vervanging voor bereik zien

6 GHz biedt veel niet-overlappende kanalen zonder DFS, maar heeft een korter bereik. Sophos noemt 80 of 160 MHz voor krachtige toepassingen. Dat is geen universele startwaarde: model, regio, clients, celafstand en gemeten bezetting bepalen de keuze. Andere clients hebben nog 5- of 2,4-GHz-dekking nodig.

TX Power vormt de cel

100% is de gedocumenteerde Central-standaard, niet automatisch de juiste productie-instelling. Lagere TX Power verkleint bereik en kan storing verminderen. Stel per band en locatie zo in dat aan de celrand een bruikbare volgende AP zichtbaar is. Alleen AP-vermogen verhogen repareert ook geen zwak retourpad van een client.

Sophos geeft -67 dBm voor spraak, -72 dBm voor data, circa 15–20% overlap en 10–15 dB voordeel voor de volgende AP als richtwaarden. Dit zijn meetpunten, geen garanties; muren, antennes, drivers en toepassingen beïnvloeden het resultaat.

Autochannel of een vast kanaalplan kiezen

Autochannel beoordeelt onder andere totale RSSI, ruisvloer, kanaallast, vermogenslimieten en het aantal BSS. In Central scant AP6 standaard bij starten en elke 30 minuten. Met verbonden clients wisselt het niet naar een beter kanaal, tenzij Shift to a better channel even if clients are connected aanstaat.

Voor een gemeten locatie geven we voorkeur aan een gedocumenteerd vast plan. Ook Sophos adviseert automatische selectie te vermijden om mogelijke conflicten te beperken. Autochannel kan passen bij kleine, veranderlijke locaties als het bereik bewust wordt beperkt en bewaakt.

⚠️ Plan onderbreking: een gedwongen wissel met verbonden clients kan ze verbreken. Test alleen in een onderhoudsvenster. Save op de Central AP-detailpagina past direct toe en kan kort onderbreken.

Lokale GUI en Central niet verwisselen

Lokaal beheerde AP6

In de lokale GUI staan basiswaarden onder Wireless > Wireless settings > 2.4 GHz, 5 GHz of 6 GHz > Basic settings. Elke band ondersteunt maximaal 16 SSID’s; een SSID-naam mag maximaal 32 letters of cijfers bevatten. De pagina’s bevatten Wireless, Band, SSID-/VLAN-velden, Auto channel, afhankelijk van de band Auto channel range, Auto channel interval, wisselen met verbonden clients, Channel en Channel Bandwidth. De beschikbare kanaal- en kanaalbreedteopties zijn bandafhankelijk.

De Advanced settings per band bevatten Tx power, Guard Interval, DTIM, RTS, Beacon Interval, Idle timeout, Beamforming/MU-MIMO en Airtime Fairness. Alleen 2,4 GHz biedt daarnaast Contention, Preamble en 802.11g Protection. Sophos noemt dit voor ervaren gebruikers en waarschuwt voor prestatieverlies. Gedocumenteerde bereiken en standaardwaarden zijn bandafhankelijk; leg daarom vóór wijzigingen de uitgangswaarden van elke band afzonderlijk vast en neem waarden niet blind over tussen banden. Begin bij RF-tuning alleen met kanaal, breedte en TX power; laat timers op de baseline zonder concreet gemeten probleem.

Bandsteering is lokaal een aparte Wireless-instelling met Off, 6G first, 5G first, Balanced en User-defined. De laatste stelt belastingsdrempels per band met de gedocumenteerde standaardwaarde 70 en Min RSSI in; geschikte 5-/6-GHz-clients onder de RSSI-waarde worden naar 2,4 GHz gestuurd. Bandsteering en MAC-filtering kunnen niet tegelijk aanstaan.

Smart handover wordt lokaal per band ingesteld; de gedocumenteerde standaard is -80 dBm. Onder de drempel verbreekt de AP de client zodat die een andere AP zoekt. Schakel dit pas na een survey in: een te hoge drempel verbreekt voordat een geschikte kandidaat beschikbaar is.

Door Central beheerde AP6

Ga in Central naar My Products > Wireless > Access Points, open de pilot-AP en elke band onder Settings > Radio configuration. De gedocumenteerde velden zijn TX Power, Channel width, Autochannel, Range, Auto channel scan interval en Shift to a better channel even if clients are connected. Met Autochannel uit kiest men handmatig.

SSID-roamingfuncties staan niet op die radiopagina. Open My Products > Wireless > SSIDs, de SSID en Advanced Settings > Quality of service voor Fast roaming, Band steering en bij AP6 802.11k. Volgens Central werkt band steering per AP en raakt het alle SSID’s op die AP.

802.11k levert buurinformatie en staat volgens Sophos standaard aan op alle SSID’s; niet elke client ondersteunt het. Fast roaming gebruikt waar passend 802.11r, vereist clientondersteuning en is niet beschikbaar voor een gastnetwerk in NAT-modus. Schakel Fast Transition alleen in als elk toegangspunt dat de SSID in de implementatie aanbiedt een AP6 is. Zonder enterprise-authenticatie is het voordeel minimaal. Als de SSID buiten een gecontroleerd gebied reikt, kan Fast Transition een beveiligingsrisico vormen; beoordeel dat risico vóór inschakeling. Deze functies helpen de clientkeuze maar dwingen geen doel-AP af.

Gefaseerd testen met een looptest

Beperk de pilot tot twee naburige AP6-apparaten en één SSID; bewaar waarden en toewijzingen.
Wijzig één klasse: kanalen, dan breedte, vermogen en pas daarna afzonderlijk band steering, fast roaming of Smart Handover.
Wacht op configuratiestatus; controleer in Central ook Task queue.
Vergelijk op dezelfde punten RSSI, SNR, band, kanaal, datasnelheid, latency en verlies.
Loop dezelfde route met continue ping en vooral de echte spraak-/videoapp. Noteer tijd, bron/doel-AP, overgangspunt en onderbreking.
Test minstens twee clienttypen, inclusief een lastig 802.11r-geval indien gepland.
Controleer na de overgang IP, gateway, DNS en doelen; DHCP-vernieuwing kan op een RF-fout lijken.
Herhaal onder representatieve belasting; een lege locatie bewijst geen stabiliteit.
Rol pas daarna in kleine golven uit en herhaal telkens de korte test.

Problemen per symptoom oplossen

Client blijft verbonden met een AP op grotere afstand: controleer of een volgende AP met dezelfde SSID, beveiliging en hetzelfde clientnetwerk zichtbaar is; meet de RSSI van beide AP’s. Te veel overlap, hoge TX Power of clientlogica kunnen een rol spelen. Maak Smart Handover niet direct agressiever.

Client verbreekt zonder vervanger: te weinig dekking of een te hoge Smart Handover-drempel. Herstel baseline, meet de celrand en corrigeer dan plaatsing of vermogen.

Sterk signaal, lage doorvoer: controleer band, breedte, bezetting, SNR en co-/aangrenzende storing. Een breed kanaal of te veel 2,4-GHz-cellen kan bruikbare airtime verminderen.

Periodieke uitval: vergelijk tijden met Autochannel-interval, taken en DFS-events. Schakel gedwongen wisselen met clients in de pilot uit en herhaal.

Alleen oudere clients vallen uit: controleer 802.11r, 802.11k, encryptie en banden. Verwijder eerst fast roaming uit de pilot; mogelijk is een aparte SSID beter.

Roaming lukt maar app valt weg: volg IP, VLAN, gateway, DNS, firewallstatus en sessie. Bewijs beheer, RF-overgang en datapad apart.

Veilig terugrollen

Rollback is geen fabrieksreset. Stop uitrol en herstel op pilot-AP’s de vastgelegde kanaal/Autochannel-, breedte-, TX Power- en roamingwaarden. Draai alleen de laatst gewijzigde klasse terug, wacht op status en herhaal vaste en lopende tests.

In Central kan Save opnieuw kort onderbreken. Controleer lokaal elke AP op resterende verschillen. Rollback is klaar als bestaande SSID, DHCP, DNS, apps en route de baseline reproduceren. Bewaar anders waarden, tijden, clientmodel en firmware en escaleer met die bewijzen.