Wi-Fi 7 전환 시 WPA3 RADIUS 인증 오류와 6GHz LPI 신호 감쇄 해결법
사무실 와이파이를 Wi-Fi 7으로 교체하고 WPA3-Enterprise를 적용했더니 임직원 노트북의 절반이 RADIUS 인증에 실패하고, 회의실에만 들어가면 6GHz 신호가 터지지 않아 무척 답답하셨을 겁니다. 구글이나 커뮤니티를 검색해도 '인증서를 재발급하세요'나 'AP를 더 설치하세요' 같은 원론적인 답변만 나올 뿐, 6GHz 대역의 WPA2 하위 호환 불가 규정과 LPI(Low Power Indoor) 전력 밀도 제한에 따른 실질적인 원인은 짚어주지 않습니다. 이 글에서는 RADIUS 서버의 EAP/PMF 설정 오류 해결법과 6GHz LPI 신호 감쇄를 완화하는 RF 설계 및 MLO 세팅 기준을 직접 겪은 경험을 바탕으로 구체하게 풀어드립니다.
Wi-Fi 7 전환 후 WPA3-Enterprise RADIUS 인증 연동이 실패하는 원인
이것 때문에 RADIUS 인증 프로필만 몇 번을 다시 생성하고 주말 내내 패킷 캡처를 떴습니다. 기존 WPA2-Enterprise 환경에서는 문제없이 접속되던 단말들이 Wi-Fi 7 AP로 바꾼 뒤 '인증 서버가 응답하지 않음' 또는 'EAP 핸드셰이크 실패' 오류를 내뱉는 가장 큰 이유는 6GHz 대역의 암호화 의무 규정 때문입니다. Wi-Fi CERTIFIED 7™ 규격(2024년, Wi-Fi Alliance 1월 공식 발표)에 따르면 6GHz 대역에서는 WPA2나 혼용 모드(Transition Mode)가 전면 금지되며, 오직 WPA3 Strict Mode만 허용됩니다. 이로 인해 보호된 관리 프레임(PMF, 802.11w)이 필수(Required)로 전환되는데, 구형 RADIUS 정책이나 클라이언트 드라이버가 이를 거부하면서 핸드셰이크가 끊어지게 됩니다.
- 6GHz 대역 WPA2 미지원: Wi-Fi Alliance 지침에 따라 6GHz SSID는 WPA3 전용으로만 브로드캐스팅됨
- PMF(Protected Management Frames) 필수화: PMF Optional/Disabled로 설정된 기존 단말 정책과 충돌
- EAP-TLS/PEAP 인증서 암호화 강도 미달: WPA3 192-bit Mode 적용 시 SHA-384/ECDSA P-384 미지원 CA 인증서 거부
EAP-TLS 및 PMF(802.11w) 강제화로 인한 인증 실패 단계별 해결 순서
찾아보니 은근히 헷갈리는 지점이 바로 RADIUS 서버의 EAP 협상 과정입니다. Windows Server NPS나 FreeRADIUS 환경에서 아래 순서대로 설정을 개편해야 6GHz 대역에서 단말들이 정상 인증을 통과합니다.
- RADIUS 서버(NPS/FreeRADIUS)에서 TLS 1.3 활성화 확인 및 SSL/TLS 암호화 스위트 업데이트
- 인증서 체인 점검: WPA3-Enterprise 192-bit 보안 모드 사용 시 RSA 3072bit 이상 또는 ECDSA P-384 인증서 적용
- AP 콘솔 및 WLAN 컨트롤러에서 해당 SSID의 PMF 옵션을 'Mandatory(필수)'로 변경 (Capable/Optional 선택 시 6GHz 차단됨)
- 무선 클라이언트(Windows/macOS) GPO 정책에서 '보호된 관리 프레임 사용' 항목을 활성화하고 EAP-MSCHAPv2 사용 시 PEAPv0 고정
WPA2-Enterprise vs WPA3-Enterprise 규격 및 연동 조건 비교
기존 인증 체계를 무작정 유지한 채 AP만 Wi-Fi 7으로 개체하면 백엔드 RADIUS와 단말 보안 협상 단계에서 거대한 병목이 터집니다. 두 규격의 기술적 차이와 필요 요건을 비교하여 네트워크 정책 전환 기준을 수립해야 합니다.
| 구분 | WPA2-Enterprise | WPA3-Enterprise | |||
|---|---|---|---|---|---|
| 6GHz 대역 지원 | 지원 불가(전면 금지) | 필수(Strict Mode) | |||
| PMF (802.11w) | 선택(Optional/Off) | 필수(Mandatory) | |||
| 권장 암호화 | AES-CCMP 128-bit | GCMP-256 / 192-bit | EAP 연동 방식 | PEAP-MSCHAPv2 가능 | EAP-TLS 권장 |
6GHz LPI 모드 전력 제한(PSD)과 대역폭별 EIRP 계산 예시
새로 설치한 Wi-Fi 7 AP 바로 밑에서는 속도가 3Gbps 이상 나오다가 회의실 벽 하나만 넘어가면 신호가 눈에 띄게 떨어져 당황스러우셨을 겁니다. 6GHz 대역의 실내용 AP는 LPI(Low Power Indoor) 규제를 받습니다. FCC 및 국내 과기정통부 기준 LPI 모드는 전력 밀도(PSD)가 제한되어 있어, 대역폭을 넓힐수록 최대 송신 출력(EIRP) 합산치 제한에 도달하게 됩니다. 320MHz 대역폭을 지정하면 속도는 빠르지만 채널 전반에 전력이 분산되어 벽 투과 후 수신 신호 강도(RSSI)가 -75dBm 이하로 급감합니다.
| 대역폭 | PSD 기준 | 최대 EIRP | 커버리지 특성 |
|---|---|---|---|
| 20 MHz | 5 dBm/MHz(FCC) | 18 dBm | 벽 투과력 높음 |
| 80 MHz | 5 dBm/MHz(FCC) | 24 dBm | 사무실 표준 균형 |
| 160 MHz | 5 dBm/MHz(FCC) | 27 dBm | 음영지역 일부 발생 |
| 320 MHz | 5 dBm/MHz(FCC) | 30 dBm(최대) | 직진성위주,감쇄심함 |
6GHz LPI 신호 감쇄 극복을 위한 Wi-Fi 7 RF 배치 및 MLO 설정법
이 신호 감쇄 문제 때문에 AP 위치를 세 번이나 재배치하고서야 최적의 값을 찾았습니다. 6GHz LPI의 약한 감쇄 특성을 물리적 AP 추가 없이 극복하려면 Wi-Fi 7의 핵심 기술인 MLO(Multi-Link Operation)를 정교하게 타겟팅해야 합니다.
- MLO(Multi-Link Operation) 5GHz + 6GHz 동시 결합: 6GHz 신호가 약해지는 벽 뒤편에서는 5GHz 링크가 앵커 역할을 수행하여 패킷 손실 차단
- 대역폭 최적화: 전 오피스 320MHz 고집을 버리고, 밀집 사무 공간은 80MHz/160MHz로 채널 폭을 줄여 PSD 전력 집중도 향상
- AP 밀도 설계 조정: 5GHz 전용 설계 기준(AP 간격 15~20m)에서 6GHz 커버리지를 위해 AP 간격을 10~12m 수준으로 셀 축소
MLO 환경에서 발생하는 세부적인 신호 끊김 현상이 지속된다면 Wi-Fi 6E에서 Wi-Fi 7 공유기 교체 후 MLO 끊김 해결과 속도 체감 기준 글을 함께 참고하여 최적화 작업을 진행해 보세요.
Wi-Fi 6E 대비 Wi-Fi 7 도입 시 달라진 네트워크 운용 변경점
Wi-Fi 6E에서도 6GHz가 도입되었지만, Wi-Fi 7(802.11be, 2024년 Wi-Fi Alliance 1월 공식 승인)에 오면서 단말과 RADIUS 세션을 유지하는 방식이 완전히 달라졌습니다.
- 단일 MAC 주소 멀티 링크: Wi-Fi 6E는 대역 이동 시 디바이스가 AP 간 이동처럼 다시 인증을 거쳤으나, Wi-Fi 7 MLO는 MLD(Multi-Link Device) MAC 주소 하나로 RADIUS 802.1X 인증을 1회만 수행함
- Preamble Puncturing(프리앰블 펑크처링): 간섭받는 채널만 부분적으로 뚫어 사용하므로, RADIUS 계정 관리 세션이 채널 간섭으로 인해 끊기는 현상이 대폭 감소함
- 4096-QAM 적용: AP와 근거리 통신 시 물리층 전송 효율이 20% 상승하여 동일 LPI 전력 제한 내에서 데이터 처리량 증가
자주 막히는 지점
- Windows Server NPS에서 WPA3-Enterprise(PEAP-MSCHAPv2) 설정 후 6GHz 연결 시 단말 이벤트 로그에 'PMF Mismatch / EAP authentication failed' 오류가 발생하며 6GHz SSID 연결이 끊기는 현상 (원인: AP 및 클라이언트의 PMF 필수 설정 불일치)
- Wi-Fi 7 AP에서 6GHz 대역폭을 320MHz로 세팅 후 석고보드/유리 가벽 너머에서 단말기 수신 신호가 -78dBm 이하로 저하되며 MLO 연동 중 5GHz 대역으로만 계속 재접속되는 문제 (원인: LPI 전력 밀도 PSD 제한과 고주파 벽 투과 감쇄 특성)
체크리스트
- RADIUS 서버가 TLS 1.2 및 TLS 1.3을 정상 지원하는지 확인
- RADIUS 발행 CA 인증서가 ECDSA P-384 또는 RSA 3072bit 이상인지 점검
- Wi-Fi 7 AP의 6GHz SSID 암호화 방식이 'WPA3-Enterprise Strict'로 고정되었는지 확인
- AP 및 WLAN 컨트롤러 내 PMF(Protected Management Frames) 옵션이 'Required(Mandatory)'인지 확인
- 사무실 환경 내 6GHz 대역폭 설정이 320MHz 전용이 아닌 80MHz/160MHz 혼용인지 체크
- Wi-Fi 7 컨트롤러에서 MLO(STR/eMLSR) 모드가 활성화되어 5GHz/6GHz 링크가 동시에 묶여 있는지 점검
- 무선 클라이언트(노트북/스마트폰)의 Wi-Fi 7 무선 랜카드 드라이버 최신 버전 업데이트 여부 확인
오해하기 쉬운 정보
- WPA2/WPA3 혼용 모드(Transition Mode)를 켜면 6GHz 대역에서도 구형 WPA2 단말이 접속할 수 있다: 6GHz 대역 규격상 WPA2는 완전히 배제되며, 6GHz SSID에 접근하려면 WPA3 지원이 필수입니다.
- Wi-Fi 7의 6GHz LPI 모드는 송신 출력을 강제로 36dBm까지 올릴 수 있다: LPI는 실내 전용 규제로 PSD(5dBm/MHz) 및 최대 30dBm EIRP(2026년 기준) 제한을 받으므로, 소프트웨어로 출력을 무한정 올릴 수 없습니다.
- WPA3-Enterprise 적용 시 기존 PEAP-MSCHAPv2 방식은 아예 사용할 수 없다: WPA3 192-bit Suite B 모드가 아니라 일반 WPA3-Enterprise 모드라면 PEAP-MSCHAPv2 연동이 가능하나 PMF 활성화가 선행되어야 합니다.
Wi-Fi 7 전환 시 발생하는 인증 오류와 신호 감쇄는 기기 불량이 아니라 6GHz 보안 규격과 LPI 출력 제한이 만든 구조적 문제입니다. RADIUS 서버의 PMF 및 TLS 정책을 보완하고, 320MHz 고집 대신 MLO 기반의 80MHz/160MHz 설정을 적용하면 주말 밤샘 작업 없이 안정적인 네트워크를 구축할 수 있습니다. 차근차근 점검해 보시고 기업 환경에 맞는 최적의 RF 파라미터를 찾아가시길 바랍니다.
📌 같이 보면 좋은 글
핵심 요약
- Wi-Fi 7의 6GHz 대역은 WPA2 하위 호환이 불가능하며 WPA3 Strict Mode만 지원함
- RADIUS 인증 실패의 주요 원인은 PMF(802.11w) Mandatory 미설정 및 EAP 핸드셰이크 충돌임
- 6GHz LPI 모드는 PSD(5 dBm/MHz) 제한으로 320MHz 대역폭 사용 시 벽 투과 감쇄가 심해짐
- 밀집 사무실 공간에서는 80MHz 또는 160MHz 대역폭 설정이 전력 밀도 확보에 유리함
- MLO(5GHz+6GHz)를 활성화하면 6GHz 신호 감쇄 시에도 5GHz가 앵커 역할을 하여 끊김 방지
- Wi-Fi 7 MLO 적용 시 1회의 RADIUS 802.1X 인증만으로 멀티 링크 세션 유지 가능
#WiFi7 #WPA3Enterprise #RADIUS인증 #6GHzLPI #MLO #기업와이파이 #네트워크트러블슈팅
