Doelgroep: Merkgerichte productmanagers, IT-beheerders van scholen en embedded Wi-Fi-firmwareleads die moeten beslissen welk Wi-Fi-inrichtingspad een leespen moet blootleggen, welke beveiligingsafwegingen elk pad maakt, en hoe de firmware omgaat met de onvermijdelijke foutscenario's wanneer een ouder of een 6-jarige probeert een 16 tekens tellende WPA2-wachtwoordzin in te voeren op een apparaat met slechts één knop.
De leespennen L5, T2 en Y6 zijn uitgerust met een 802.11 b/g/n-radio naast de BLE-radio. De Wi-Fi-radio wordt gebruikt voor telemetrie in het klaslokaal, inhoudsupdates en de nieuwe functie voor 'woordenboeksynchronisatie' waarmee de komende 24 uur aan OID-boeken rechtstreeks naar de pen worden gehaald zonder via een tablet van de leraar te gaan. Geen van deze use-cases doet er echter toe totdat de pen de SSID en PSK van het school-Wi-Fi-netwerk kent. Dat is het inrichtingsprobleem dat dit artikel oplost.
Een leespen heeft één of twee knoppen, geen toetsenbord en een 1,5-inch OLED-scherm op de T2/Y6 (de L5 heeft geen OLED, alleen een driekleurige LED). De eindgebruiker is ofwel een 8-jarige leerling ofwel een 80-jarige grootouder. Het inrichtingsproces moet met één tik, binnen één minuut kunnen worden voltooid, en bestand zijn tegen een school-Wi-Fi-netwerk dat 802.1X met PEAP gebruikt. Bij de meer dan 47.000 verzonden exemplaren sinds 2023 is Wi-Fi-inrichting de belangrijkste bron van klantondersteuningstickets geweest in de maanden 1 tot 3 van elke implementatie, met een sterke daling nadat het IT-team van de school een gestandaardiseerde SSID heeft geadopteerd en de pen een eenmalige inschrijving uitvoert.
Dit artikel vergelijkt de drie inrichtingspaden die wij leveren — SoftAP, met BLE geassisteerde Smart Config en op QR gebaseerde out-of-band — legt uit wanneer elk te gebruiken, en toont het herstelproces van de firmware wanneer de gebruiker een fout maakt.
1. De drie modellen in onze catalogus
| Model | Wi-Fi-radio | Inrichtingspad | OLED |
|---|---|---|---|
| L5 | ESP32-WROVER-B (b/g/n) | SoftAP + met BLE geassisteerd | Nee (alleen LED) |
| T2 | RTL8720DN (b/g/n) | SoftAP + Smart Config + BLE | Ja (1,5") |
| Y6 | RTL8720DN (b/g/n) | SoftAP + Smart Config + BLE + QR | Ja (1,5") |
De L5 is een schoolpen met een LED-indicator; er kan geen QR-code worden weergegeven. De T2 en Y6 zijn premium pennen met OLED; ze kunnen een QR-code op het scherm weergeven voor de gebruiker om te scannen met een telefoon.
2. SoftAP-modus
In SoftAP-modus wordt de pen een Wi-Fi-toegangspunt. De gebruiker sluit zijn telefoon aan op de SSID van de pen (bijv. "SRP-L5-Setup-9F4D"), opent een captive portal op 192.168.4.1 en voert de school-Wi-Fi-inloggegevens in via een webformulier. De pen slaat de inloggegevens op, verbreekt de SoftAP, maakt verbinding met het school-Wi-Fi en schakelt BLE opnieuw in voor app-koppeling.
| Stap | Tijd | Opmerkingen |
|---|---|---|
| Gebruiker houdt knop 5 s ingedrukt | 5 s | Gaat naar SoftAP-modus |
| Pen zendt SSID uit | 1 s | SSID = "SRP-L5-Setup-XXXX" |
| Telefoon maakt verbinding met SoftAP | 3-8 s | Handmatige Wi-Fi-instellingen |
| Captive portal wordt geopend | 1 s | Automatische omleiding op de meeste telefoons |
| Gebruiker voert SSID + PSK in | 20-60 s | Inclusief 802.1X-configuratie |
| Telefoon verzendt | 1 s | POST naar /save |
| Pen slaat op in NV | 200 ms | Eén NV-schrijving |
| Pen verbreekt SoftAP | 200 ms | |
| Pen maakt verbinding met school-Wi-Fi | 1,2-4,8 s | DHCP + 802.1X-authenticatie |
| Totaal | 28-75 s | Mediaan 42 s |
De mediane inrichtingstijd op de L5 is 42 seconden. Het 95e percentiel is 78 seconden. Het 99e percentiel is 130 seconden (veroorzaakt door gebruikers die de PSK drie keer verkeerd typen).
3. De gebruikerservaring van de captive portal
De captive portal is een 12 KB HTML-pagina die wordt geleverd door de HTTP-server van de pen. Deze bevat:
- Een dropdown met nabije SSIDs (gescand tijdens de 5-seconden knopindruk).
- Een vrije SSID-invoer voor verborgen netwerken.
- Een PSK-invoer met weergeven/verbergen-toog.
- Een beveiligingsmodus-selector (WPA2-Personal, WPA2-Enterprise, WPA3-Personal, Open).
- Een gebruikersnaam/wachtwoord-invoer voor WPA2-Enterprise.
- Een "Testen en Opslaan"-knop.
Het portaal is beveiligd met HTTPS via een zelf-ondertekend certificaat dat per pen wordt gegenereerd tijdens de fabrieksinrichting. Het certificaat is uniek per apparaat en vastgezet in het captive portaal. We hebben HSTS nog niet ingeschakeld op het captive portaal omdat de verbinding alleen lokaal is.
4. Smart Config Modus (T2/Y6)
Smart Config is Espressif's ESP-Touch protocol, oorspronkelijk ontworpen voor ESP8266/ESP32 maar nu ook naar andere leveranciers gepoort. Het gebruikt Length-Varying Encoding op de Wi-Fi-beheerframes om de SSID en PSK vanaf de telefoon naar de pen uit te zenden. De radio van de pen onderschept deze frames en reconstrueert de inloggegevens.
| Stap | Tijd | Opmerkingen |
|---|---|---|
| Gebruiker opent app | 2 s | App toont "Pen inrichten" |
| Gebruiker voert SSID + PSK in app in | 15–30 s | Zelfde UX als SoftAP, maar op telefoon |
| App codeert naar ESP-Touch | 1 s | UDP-uitzending vanaf telefoon |
| Pen onderschept en decodeert | 3–10 s | Pen staat in Smart Config-modus |
| Pen maakt verbinding met school-Wi-Fi | 1,2–4,8 s | DHCP + 802.1X |
| Totaal | 22–48 s | Mediaan 32 s |
Het voordeel van Smart Config is dat de gebruiker niet van Wi-Fi-netwerk op de telefoon hoeft te wisselen. Ze blijven verbonden met het school-Wi-Fi, typen de inloggegevens eenmaal in de app, en de pen luistert naar de gecodeerde uitzending. Het nadeel is dat het school-Wi-Fi broadcast-frames moet toestaan, wat sommige 802.11ac/ax enterprise APs blokkeren.
Over 47.000+ eenheden hebben we gezien dat Smart Config 96% van de tijd werkt op thuis-Wi-Fi en 78% van de tijd op enterprise Wi-Fi. Het 22% enterprise-falen is bijna volledig te wijten aan APs die broadcast-frames uitschakelen in 802.11k/v/r-modus. Voor die omgevingen raden we SoftAP aan.
5. BLE-Assisted WiFi Inrichting
BLE-assisted WiFi-inrichting gebruikt de BLE-link (reeds totstandgebracht in TC-059) om de Wi-Fi-inloggegevens te leveren als een GATT-characteristic-schrijfactie. De pen maakt verbinding met het Wi-Fi-netwerk met de via BLE ontvangen inloggegevens.
| Stap | Tijd | Opmerkingen |
|---|---|---|
| Gebruiker opent app | 2 s | |
| Gebruiker koppelt pen via BLE | 1,5 s | Numerieke vergelijking (TC-059) |
| Gebruiker voert SSID + PSK in app in | 15–30 s | |
| App schrijft inloggegevens naar BLE-char | 200 ms | 0x2A4D or vendor 8E0C000B |
| Pen maakt verbinding met Wi-Fi | 1,2–4,8 s | |
| Totaal | 22–38 s | Mediaan 28 s |
BLE-assisted inrichting is de snelste route op T2/Y6. Het is het meest veilig omdat de BLE-link AES-CCM-versleuteld is (zie TC-045). Het nadeel is dat de telefoon al gekoppeld moet zijn met de pen, wat niet altijd het geval is bij eerste uitpakken. We leveren een "BLE First-Time"-gids in de gebruikershandleiding.
6. QR-Gebaseerde Inrichting (Alleen Y6)
Y6 heeft een 1,5-inch OLED die in staat is een QR-code weer te geven. Het inrichtingsproces gebruikt een QR-code op het scherm van de pen die de telefoon van de gebruiker scant. De QR-code bevat de huidige inrichtingsstatus van de pen (SSID, signaalsterkte, foutcode).
| Stap | Tijd | Opmerkingen |
|---|---|---|
| Gebruiker houdt knop 5 s ingedrukt | 5 s | Gaat over in provisioning-modus |
| Pen geeft QR-code weer op OLED | 200 ms | |
| Telefoon scant QR-code | 1–3 s | |
| Telefoon neemt deel aan app | 1 s | |
| App stuurt SSID + PSK | 5 s | Via BLE of Wi-Fi Direct |
| Pen neemt deel aan Wi-Fi | 1,2–4,8 s | |
| Totaal | 13–24 s | Mediaan 18 s |
QR-gebaseerde provisioning is de snelste en meest toegankelijke methode. We leveren dit alleen op Y6, omdat de OLED $1,80 toevoegt aan de BOM.
7. De provisioning-state machine
De firmware van de pen implementeert de volgende state machine:
IDLE -> [5s button hold] -> SCAN -> SOFTAP_ACTIVE | SMART_CONFIG_ACTIVE | BLE_WAIT | QR_ACTIVE SCAN -> [SSIDs found] -> SELECT_MODE SOFTAP_ACTIVE -> [credentials received] -> JOIN_WIFI SMART_CONFIG_ACTIVE -> [ESP-Touch decoded] -> JOIN_WIFI BLE_WAIT -> [BLE credentials written] -> JOIN_WIFI QR_ACTIVE -> [QR scanned] -> JOIN_WIFI JOIN_WIFI -> [DHCP success] -> CONNECTED JOIN_WIFI -> [timeout 30 s] -> RECOVERY RECOVERY -> [3 retries] -> FAIL FAIL -> [reset] -> IDLE
Elke status heeft een time-out van 30 seconden. De pen logt elke overgang naar de QA-telemetriebuffer (TC-077). Wanneer de pen terugkeert naar FAIL, moet de gebruiker de knop 5 seconden ingedrukt houden om opnieuw te proberen.
## 8. De 802.1X Enterprise-provisioning
Voor schoolimplementaties is het Wi-Fi meestal WPA2-Enterprise met PEAP of EAP-TLS. De pen ondersteunt beide:
| EAP-methode | Gebruikersnaamnotatie | Certificaat | Gebruikt door |
|---|---|---|---|
| PEAP-MSCHAPv2 | username@realm | Geen | De meeste K-12 scholen |
| EAP-TLS | N.v.t. (certificeringsauthenticatie) | Per apparaat | Implementaties met hogere beveiliging |
| EAP-TTLS | username@realm | Optioneel | Universiteit |
| EAP-FAST | username@realm | PAC | Cisco-omgevingen |
De TLS-stack van de pen gebruikt dezelfde mbedTLS 3.4.0-bibliotheek als de rest van de firmware. Per-apparaat clientcertificaten worden geprovisioneerd in de fabriek of door de school-IT-beheerder via de merkbeheerapp. Het certificaat wordt opgeslagen in het beveiligde element (TC-100) en kan niet worden geëxporteerd.
## 9. De provisioning-foutmodi die we daadwerkelijk zijn tegengekomen
Op meer dan 47.000 apparaten zijn de top 10 foutmodi in volgorde:
| Fout | % van provisioning-tickets | Oplossing |
|---|---|---|
| Verkeerde PSK getypt | 32% | "PSK tonen"-schakelaar toevoegen, foutmelding toevoegen |
| 5 GHz-netwerk | 18% | Pen ondersteunt alleen 2,4 GHz; waarschuw gebruiker in app |
| Verborgen SSID | 12% | Verborgen SSID-veld toevoegen aan captive portal |
| AP blokkeert broadcast | 9% | Automatisch overschakelen naar SoftAP-modus |
| 802.1X verkeerd wachtwoord | 8% | Gebruikersnaam-/wachtwoordfoutmelding toevoegen |
| DHCP-time-out | 7% | Langere DHCP-time-out toevoegen, AP MAC loggen |
| Captive portal SSL-waarschuwing | 6% | Zelfondertekend certificaat documenteren in gebruikershandleiding |
| Telefoon neemt deel aan pen SSID maar geen portal | 4% | Handmatige URL-hint toevoegen op captive portal |
| AP vereist PMF | 3% | Pen ondersteunt 802.11w PMF in firmware 4.2.0 |
| Pen-firmware te oud | 1% | Firmwarecontrole toevoegen tijdens provisioning |
De grootste verbetering in onze firmware van 2026 was het toevoegen van de "PSK tonen"-schakelaar. Dat alleen al verminderde de provisioning-tickets met 24%.
## 10. De merkspecifieke provisioning-aanpassing
Een ODM-klant kan het volgende aanvragen:
1. Aangepast SSID-voorvoegsel (standaard: "SRP-<model>-Setup-XXXX").
2. Aangepaste captive portal-huisstijl (logo, kleur, taal).
3. Aangepaste provisioning-time-out (standaard: 30 s).
4. Aangepaste URL na provisioning voor statusdisplay.
De aanpassing wordt toegepast in de build-stap door een Python-script dat het merkmanifest leest. De MOQ is 3.000 eenheden.
## 11. Beveiligingsoverwegingen
| Pad | MITM-risico | Referentielekkage | Opmerkingen |
|---|---|---|---|
| SoftAP | Laag (lokaal only) | Laag (HTTPS) | Zelfondertekend certificaat |
| Smart Config | Gemiddeld (broadcast) | Gemiddeld (af te luisteren) | Alleen gebruiken op vertrouwd Wi-Fi |
| BLE-assisted | Laag (AES-CCM) | Laag | Beste pad |
| QR-gebaseerd | Laag | Laag | Telefoon leest QR-code, geen broadcast |
Voor implementaties met strikte beveiligingsbeleid (bijv. defensie, gezondheidszorg) raden we uitsluitend BLE-assisted aan. Voor thuisgebruik is elk pad acceptabel.
15.2 Ondersteunde router- en captive-portalmatrix
De provisioning-stroom doorstaat onze regressiesuite op de onderstaande apparatuur. Als uw schooldistrict apparatuur gebruikt buiten deze matrix, vraag ons dan om een 5-daagse labvalidatie — we draaien dat meestal binnen 72 uur om met een vast tarief van $480 per routermodel en een rapport van 1 pagina over de acceptatie.
| Leverancier | Router / Gateway | WPA2-Personal | WPA2-Enterprise (802.1X) | Captive portal | Geteste modellen |
|---|---|---|---|---|---|
| Cisco | ISR 1100, Meraki MR36 | Geslaagd | Geslaagd (PEAP, EAP-TLS) | Geslaagd | B1, L5, T2, Y6 |
| Aruba | Instant On AP22, AP-505 | Geslaagd | Geslaagd (EAP-TTLS) | Geslaagd | B2, Q6, Q8, T2 |
| Ruckus | R510, R650 | Geslaagd | Geslaagd (PEAP) | Geslaagd | K7, KF1, Q8, Y6 |
| Ubiquiti | UniFi U6-Lite, UDM-Pro | Geslaagd | Geslaagd (EAP-TLS) | Geslaagd | F8, L5, Q6 |
| TP-Link | EAP245, Omada OC200 | Geslaagd | Beperkt | Geslaagd | B1, P2 |
| MikroTik | hAP ax2, RB5009 | Geslaagd | Geslaagd (EAP-TTLS) | Geslaagd | K7, KF1 |
| Huawei | AirEngine 5760 | Geslaagd | Geslaagd (PEAP) | Geslaagd | L5, T2 |
| Xiaomi | AX3000T | Geslaagd | Niet ondersteund | Geslaagd | B1, F8 |
| Netgear | WAX610 | Geslaagd | Geslaagd (EAP-TLS) | Geslaagd | Q6, Q8 |
15.3 Beslissingsregels voor kopers
Tip voor kopers: Vermeld altijd de AP-modus als fallback in uw onboarding-instructies. Het verschil van 8 procent tussen de AP-modus (84%) en BLE-ondersteunde modus (92%) lijkt klein totdat u het vermenigvuldigt met 10.000 eindgebruikers — dat zijn 800 minder supporttickets in het eerste kwartaal en een meetbare stijging in de app-storebeoordeling.
15.4 Certificeringsvoetafdruk van het Wi-Fi-radioblok
De 2,4 GHz-radio die deze referenties draagt, valt onder CE-RED (EN 300 328 v2.2.2, EN 301 489-1/-17), FCC Part 15.247, UKCA-RER, RCM (AS/NZS 4268), KC (KN 301 489-1/-17, MSIP), MIC (Japan, Article 38-24) en ISED RSS-247. Behuizing, magneet en inkt vallen onder EN 71-1/-2/-3, ASTM F963-17, CPSIA, RoHS 2.0, REACH en PROP 65. GCC (SFDA, Saoedi-Arabië), ESMA (UAE MoIAT), SNI (Indonesië), NOM (Mexico) en INMETRO (Brazilië) breiden de markttoegang uit. Elke zending bevat de bijbehorende DoC-bundel en een serienummerkoppeling per eenheid aan een QA-reisdocument bij onze twee productiebasissen.
15.5 Interne kruisverwijzingen en leespaden
Voor het OTA-kanaal dat wordt gebruikt om nieuwe captive-portal UI-strings te pushen na een merkverversing, zie Reading Pen OTA Firmware Update Mechanism. Voor de afweging tussen 2,4 GHz en dualband die de kanaalselectie in drukke klaslokalen bepaalt, zie Reading Pen WiFi 2.4G vs Dual Band IoT. Voor het roamgedrag wanneer een kind tussen AP's loopt, zie Reading Pen WiFi Roaming and Reconnect. Voor de LAN-detectielaag die wordt uitgevoerd na provisioning, zie Reading Pen mDNS and DNS-SD Service Discovery. Voor de fabrikantkant van het programma, zie Wholesale Reading Pens en Private Label Reading Pens.
CTA: Heeft u een captive portal nodig die is gepersonaliseerd voor uw schooldistrict of retailketen? Vraag een offerte aan met het woord "CAPTIVE" en sturen wij u een merkadvies van 4 pagina's (logo, kleurenpalet, locatie, tekst) en een vaststaand firmware-integratie-offertes binnen 24 uur. Standaard neutrale pennen worden geleverd vanaf MOQ 500 met een levertijd van 5 dagen, maatwerk captive portals vanaf MOQ 3.000 met een firmware-integratietijd van 4 weken.