OKC 机会密钥缓存是什么
OKC（Opportunistic Key Caching）的原理很直接：终端在同一个「密钥域」内的 AP 之间漫游时，复用此前协商好的 PMK，跳过完整的 802.1X 认证，只做密钥协商的后续步骤，从而缩短切换时间。它是介于普通漫游与 802.11r 之间的一种兼容方案：不要求终端支持 11r，但时延优化的幅度也有限。
基本信息
| 原理 | PMK 在同一密钥域内的 AP 之间复用 |
|---|---|
| 前提 | 同厂商或同域策略支持，AP 需在同一漫游组内 |
| 对比 11r | 兼容性更好，但优化幅度低于 11r |
| 失效场景 | 跨密钥域漫游或缓存过期，回落到完整认证 |
| 观察方式 | 对比漫游耗时与认证日志中的认证步骤 |
密钥域设计要点
密钥域设计要点
# 1) 把同一漫游组内的 AP 纳入统一密钥域
# 2) 跨域漫游时 OKC 失效属正常设计边界，不是故障
# 3) 与 11r 可并存：终端按自身能力选择使用哪种机制
# 4) 观察切换耗时：首次漫游与后续漫游的差异可提示缓存是否生效典型使用场景
- 办公楼内漫游：员工在楼层间移动，避免每次都完整认证
- 终端兼容性复杂的环境：部分终端不支持 11r，可用 OKC 兜底
- 多厂商终端混合：以兼容性优先于极致时延
- 语音与移动办公：减少切换时的认证等待时间
- 过渡期优化：正式启用 11r 之前先改善漫游体验
漫游机制对照
| 机制 | 终端要求 | 效果 |
|---|---|---|
| 普通漫游 | 无 | 完整认证，切换耗时长 |
| OKC | 基本无（厂商策略支持即可） | 复用 PMK，切换明显缩短 |
| 802.11r | 终端需支持 | 优化幅度最大，兼容性要求高 |
| 跨密钥域漫游 | 无 | 缓存失效，回落完整认证 |
OKC 依赖缓存的新鲜度：终端长时间保持连接后首次漫游，仍可能走完整认证流程，这属于机制特性而非故障。
排查「漫游时快时慢」时，先确认终端实际走的是 OKC 还是完整认证，再判断是否需要启用 11r 或调整密钥域范围。