PMK 缓存是什么
802.1X 环境下，终端每次关联都要完整跑一遍认证，EAP 往返十多个报文还要访问 RADIUS，漫游时开销很大。PMK 缓存（包含 OKC 与认证服务器侧的 PMKSA 缓存）让终端在同一安全域内的其他 AP 上重新关联时复用已派生的 PMK，跳过完整认证只做四步握手。缓存命中与否，直接决定漫游是几十毫秒还是数百毫秒。
基本信息
| 机制 | PMKSA 缓存与 OKC，复用已派生的 PMK |
|---|---|
| 生效条件 | 同一认证域内，且缓存条目仍在有效期内 |
| 生命周期 | 由 AC 与 RADIUS 策略定义 |
| 效果 | 命中则漫游快，失效则回落为完整认证 |
| 实测口径 | 对比快速重连与忘记网络重连的耗时差异 |
典型使用场景
- 语音与实时业务：缓存命中才能把切换时间压进可接受范围
- 排障「漫游后卡一下」：先确认是缓存未命中还是空口覆盖问题
- 安全策略设计：在缓存有效期与安全强度之间做取舍
- 多控制器部署：确认 AC 之间是否共享或转发缓存条目，否则跨 AC 漫游退化为完整认证
- 变更影响评估：RADIUS 侧调整授权属性后，缓存会让旧策略短暂延续
实测与核对
实测与核对
# 1) 终端侧持续发包，记录漫游瞬间的丢包与延迟
# 2) 对比两次：正常漫游（可能命中缓存）与忘记网络后重连（完整认证）
# 3) 两次的耗时差异即缓存收益；差异不明显说明缓存未命中或未启用
# 4) 核对 AC 与 RADIUS 策略中的缓存有效期是否符合安全要求
# 5) 跨 AC 漫游单独实测，确认缓存条目能否共享关键项读法
| 项目 | 含义 | 影响 |
|---|---|---|
| 缓存有效期 | 条目可复用的时间窗口 | 过短则频繁完整认证，过长则旧策略延续 |
| OKC | 通过候选 AP 列表预派生密钥 | 依赖 802.11k 邻居报告提供候选列表 |
| PMKSA 缓存 | 认证服务器侧缓存会话 | 跨 AC 场景需要共享机制 |
| 漫游时延 | 命中与未命中的耗时差异 | 差异可达数百毫秒，直接影响语音 |
密钥缓存与快速漫游机制配合，是漫游快的底层条件；把它当成可选优化项，往往会在语音业务上线时才暴露短板。
排障时分别测快速重连与忘记网络重连各一次，两者的耗时差就是缓存的实际收益，比只看配置项更可靠。