Lese penn WiFi AP-mod konfigurering Smart Config: out-of-band legitimasjonslevering

Målgruppe: Produktansvarlige hos merkevaren, IT-administratorer på skoler og innebygde Wi-Fi-firmwareansvarlige som må avgjøre hvilken Wi-Fi-provisjoneringsvei en lesepenn skal tilby, hvilke sikkerhetsavveininger hver vei innebærer, og hvordan firmwaren håndterer de uunngåelige feilsituasjonene når en forelder eller et 6-åring prøver å taste inn et 16-tegns WPA2-passord på en enhet med én knapp.

L5-, T2- og Y6-lesepennene har en 802.11 b/g/n-radio i tillegg til BLE-radioen. Wi-Fi-radioen brukes til telemetri i klasserommet, innholdsoppdateringer og den nye «ordboksynkronisering»-funksjonen som henter de neste 24 timene med OID-bøker direkte til pennen uten å gå via en lærers nettbrett. Ingen av disse bruksområdene har imidlertid verdi før pennen kjenner skolens Wi-Fi-SSID og PSK. Det er dette provisoneringsproblemet denne artikkelen løser.

En lesepenn har én eller to knapper, ikke tastatur, og en 1,5-tommers OLED på T2/Y6 (L5 har ingen OLED, bare en trikolor-LED). Sluttbrukeren er enten en 8 år gammel elev eller en 80 år gammel besteforelder. Provisjoneringsflyten må være ett-klikk, ett-minutt, og tåle skolens Wi-Fi som bruker 802.1X med PEAP. På tvers av de over 47 000 enhetene sendt siden 2023 har Wi-Fi-provisjonering vært den største kilden til kundestøttehenvendelser i måned 1 til 3 av enhver utrulling, og synker kraftig etter at skolens IT-team tar i bruk en standardisert SSID og pennen kjører en engangsregistrering.

Denne artikkelen sammenligner de tre provisoneringsveiene vi leverer – SoftAP, BLE-assistert Smart Config og QR-basert out-of-band – forklarer når hver skal brukes, og viser firmwareens gjenopprettingsflyt når brukeren gjør en feil.

1. De tre modellene i katalogen vår

L5 er en skolepenn med LED-indikator; den kan ikke vise en QR-kode. T2 og Y6 er premium-penner med OLED; de kan vise en QR-kode på skjermen som brukeren kan skanne med en telefon.

2. SoftAP-modus

I SoftAP-modus blir pennen et Wi-Fi-tilgangspunkt. Brukeren kobler telefonen til pennens SSID (f.eks. «SRP-L5-Setup-9F4D»), åpner et captive portal på 192.168.4.1 og skriver inn skolens Wi-Fi-legitimasjon i et web-skjema. Pennen lagrer legitimasjonen, kobler fra sin SoftAP, kobler til skolens Wi-Fi og aktiverer BLE på nytt for app-paring.

Median provisoneringstid på L5 er 42 sekunder. 95-persentilen er 78 sekunder. 99-persentilen er 130 sekunder (drevet av brukere som skriver feil PSK tre ganger).

3. Brukeropplevelsen i det captive portal

Det captive portal er en 12 KB HTML-side servert av pennens HTTP-server. Den inneholder:

1. En rullegardin med SSID-er i nærheten (skannet i løpet av de 5 sekundene knappen holdes inne).
2. Et fritekstfelt for SSID for skjulte nettverk.
3. Et PSK-felt med vis/skjul-bryter.
4. En sikkerhetsmodusvelger (WPA2-Personal, WPA2-Enterprise, WPA3-Personal, Open).
5. Et brukernavn/passord-felt for WPA2-Enterprise.
6. En «Test og lagre»-knapp.

Portalen er HTTPS-beskyttet med et selvsignert sertifikat som genereres per penn ved fabrikkprovisionering. Sertifikatet er unikt per enhet og er festet (pinned) i captive portalen. Vi har foreløpig ikke aktivert HSTS på captive portalen ettersom tilkoblingen kun er lokal.

4. Smart Config-modus (T2/Y6)

Smart Config er Espressifs ESP-Touch-protokoll, opprinnelig designet for ESP8266/ESP32, men nå portert til andre leverandører. Den bruker Length-Varying Encoding på Wi-Fi-styringsrammene for å kringkaste SSID og PSK fra telefonen til pennen. Pennens radio snuser på disse rammene og rekonstruerer påloggingsinformasjonen.

Fordelen med Smart Config er at brukeren slipper å bytte telefones Wi-Fi-nettverk. De blir værende på skolens Wi-Fi, skriver inn påloggingsinformasjonen én gang i appen, og pennen lytter etter den kodede sendingen. Ulempen er at skolens Wi-Fi må tillate kringkastingsrammer, noe som enkelte 802.11ac/ax-bedrifts-AP-er blokkerer.

På tvers av 47 000+ enheter har vi sett at Smart Config fungerer 96 % av gangene på hjemme-Wi-Fi og 78 % av gangene på bedrifts-Wi-Fi. Den 22 % høye feilraten for bedrifter skyldes nesten utelukkende AP-er som deaktiverer kringkastingsrammer i 802.11k/v/r-modus. For slike miljøer anbefaler vi SoftAP.

5. BLE-assistert WiFi-tilknytning

BLE-assistert WiFi-tilknytning bruker BLE-forbindelsen (allerede etablert i TC-059) til å levere Wi-Fi-legitimasjonen som en GATT-characteristic write. Pennen kobler seg til Wi-Fi-nettverket ved hjelp av legitimasjonen mottatt over BLE.

BLE-assistert tilknytning er den raskeste veien på T2/Y6. Det er den sikreste fordi BLE-forbindelsen er AES-CCM-kryptert (se TC-045). Ulempen er at telefonen allerede må være paret med pennen, noe som ikke alltid er tilfelle ved første gangs utpakking. Vi sender med en "BLE første gang"-veiledning i brukermanualen.

6. QR-basert tilknytning (kun Y6)

Y6 har en 1,5-tommers OLED som kan vise en QR-kode. Tilknytningsflyten bruker en QR-kode på pennens skjerm som brukerens telefon skanner. QR-koden inneholder pennens gjeldende tilknytningsstatus (SSID, signalstyrke, feilkode).

QR-basert konfigurasjon er den raskeste og mest tilgjengelige. Vi leverer den kun på Y6 fordi OLED-skjermen legger til $1,80 i BOM.

7. Tilstandsmaskinen for konfigurasjon

Pennens fastvare implementerer følgende tilstandsmaskin:

IDLE -> [5s button hold] -> SCAN -> SOFTAP_ACTIVE | SMART_CONFIG_ACTIVE | BLE_WAIT | QR_ACTIVE SCAN -> [SSIDs found] -> SELECT_MODE SOFTAP_ACTIVE -> [credentials received] -> JOIN_WIFI SMART_CONFIG_ACTIVE -> [ESP-Touch decoded] -> JOIN_WIFI BLE_WAIT -> [BLE credentials written] -> JOIN_WIFI QR_ACTIVE -> [QR scanned] -> JOIN_WIFI JOIN_WIFI -> [DHCP success] -> CONNECTED JOIN_WIFI -> [timeout 30 s] -> RECOVERY RECOVERY -> [3 retries] -> FAIL FAIL -> [reset] -> IDLE

[fiks: engelsk-rest]

Hver tilstand har en tidsavbrudd på 30 sekunder. Pennen logger hver overgang til QA-telemetribufferen (TC-077). Når pennen går tilbake til FAIL, må brukeren holde knappen inne i 5 sekunder for å prøve igjen.

## 8. 802.1X Enterprise-klargjøring

For skoleutrullinger er Wi-Fi vanligvis WPA2-Enterprise med PEAP eller EAP-TLS. Pennen støtter begge:

| EAP-metode | Brukernavnformat | Sertifikat | Brukes av |
|---|---|---|---|
| PEAP-MSCHAPv2 | brukernavn@realm | Ingen | De fleste K-12-skoler |
| EAP-TLS | N/A (sertifikatautentisering) | Per enhet | Utrullinger med høyere sikkerhet |
| EAP-TTLS | brukernavn@realm | Valgfritt | Universitet |
| EAP-FAST | brukernavn@realm | PAC | Cisco-miljøer |

Pennens TLS-stack bruker det samme mbedTLS 3.4.0-biblioteket som resten av fastvaren. Klientsertifikater per enhet klargjøres på fabrikken eller av skolens IT-administrator via merkevareadministrator-appen. Sertifikatet lagres i sikkerhetselementet (TC-100) og kan ikke eksporteres.

## 9. Klargjøringsfeilene vi faktisk har sett

Blant over 47 000 enheter er de 10 vanligste feilmodusene, i rekkefølge:

| Feil | % av klargjøringssaker | Tiltak |
|---|---|---|---|
| Feil PSK skrevet inn | 32 % | Legg til «vis PSK»-bryter, legg til feilmelding |
| 5 GHz-nettverk | 18 % | Pennen støtter kun 2,4 GHz; advar brukeren i appen |
| Skjult SSID | 12 % | Legg til felt for skjult SSID i captive portal |
| AP blokkerer kringkasting | 9 % | Bytt til SoftAP-modus automatisk |
| Feil passord for 802.1X | 8 % | Legg til feilmelding for brukernavn/passord |
| DHCP-tidsavbrudd | 7 % | Legg til lengre DHCP-tidsavbrudd, logg AP-MAC |
| SSL-advarsel for captive portal | 6 % | Dokumenter selvsignert sertifikat i brukerhåndboken |
| Telefonen kobler til pennens SSID, men ingen portal | 4 % | Legg til manuell URL-ledetråd i captive portal |
| AP krever PMF | 3 % | Pennen støtter 802.11w PMF i fastvare 4.2.0 |
| For gammel fastvare på pennen | 1 % | Legg til fastvarekontroll under klargjøring |

Den klart største forbedringen i fastvaren vår fra 2026 var å legge til «vis PSK»-bryteren. Det alene reduserte antall klargjøringssaker med 24 %.

## 10. Merkevarespesifikk tilpasning av klargjøring

En ODM-kunde kan be om:

1. Egendefinert SSID-prefiks (standard: «SRP-<model>-Setup-XXXX»).
2. Egendefinert merkevaretilpasning av captive portal (logo, farge, språk).
3. Egendefinert tidsavbrudd for klargjøring (standard: 30 s).
4. Egendefinert URL etter klargjøring for statusvisning.

Tilpasningen utføres i byggetrinnet av et Python-skript som leser merkevaremanifestet. MOQ er 3 000 enheter.

## 11. Sikkerhetshensyn

| Bane | MITM-risiko | Lekkasje av påloggingsinfo | Merknader |
|---|---|---|---|
| SoftAP | Lav (kun lokalt) | Lav (HTTPS) | Selvsignert sertifikat |
| Smart Config | Middels (kringkasting) | Middels (kan sniffes) | Bruk kun på klarert Wi-Fi |
| BLE-assistert | Lav (AES-CCM) | Lav | Beste bane |
| QR-basert | Lav | Lav | Telefonen leser QR, ingen kringkasting |

For utrullinger med strenge sikkerhetspolicyer (f.eks. forsvar, helsevesen) anbefaler vi kun BLE-assistert. For hjemmebruk er alle baner akseptable.

``` ## 12. Hvordan dette henger sammen med de andre artiklene TC-062 hører til i Wi-Fi-provisjoneringsklyngen. TC-059/060/061 dekker BLE-siden. TC-063 forklarer hvordan pennen annonserer seg selv på LAN-et etter at Wi-Fi er provisjonert. TC-064 dekker CoAP, som er protokollen som kjører over LAN-forbindelsen. TC-020 forklarer avgjørelsen om dual-band Wi-Fi 2,4 GHz vs 5 GHz, som påvirker hvilken vei brukeren må velge. ## 13. Vanlige spørsmål ## 14. Relatert lesning - [Reading Pen USB HID and HID over GATT](/TECHNICAL/TC-057-reading-pen-usb-hid-and-hid-over-gatt) - [Reading Pen Bluetooth Pairing SSP Secure Simple Pairing](/TECHNICAL/TC-059-reading-pen-bluetooth-pairing-ssp-secure-simple-pairing) - [Reading Pen BLE Service Characteristic UUID Design](/TECHNICAL/TC-060-reading-pen-ble-service-characteristic-uuid-design) - [Reading Pen GATT Server and Notification Mechanism](/TECHNICAL/TC-061-reading-pen-gatt-server-and-notification-mechanism) - [Reading Pen WiFi 2.4G vs Dual Band IoT](/TECHNICAL/TC-020-reading-pen-wifi-2-4g-vs-dual-band-iot) - [Reading Pen WiFi Roaming and Reconnect](/TECHNICAL/TC-043-reading-pen-wifi-roaming-and-reconnect) - [Reading Pen mDNS and DNS-SD Service Discovery](/TECHNICAL/TC-063-reading-pen-mdns-and-dns-sd-service-discovery) - [Reading Pen IoT MQTT vs HTTP vs CoAP](/TECHNICAL/TC-044-reading-pen-iot-mqtt-vs-http-vs-coap) --- **Svar på en e-post fra teamet vårt med ordet «PROVISION», så sender vi captive portal HTML-malen, SDK-referansen for BLE-assistert WiFi-levering og en 38-siders distribusjonsveiledning for grunnskoler som dekker 802.1X, PEAP og EAP-TLS. OEM/ODM-kunder kan også be om en merkevaretilpasset captive portal ved MOQ 3 000 med 4 ukers leveringstid.** ## 15. Feltdata, kanaldekning og innkjøpssjekkliste På tvers av 47 000+ sendte enheter i 47 land er Wi-Fi-provisjoneringsflyten på B1-, B2-, F8-, K7-, KF1-, L5-, P2-, Q6-, Q8-, T2- og Y6-seriene validert mot 18 bedriftsrutere og 6 captive-portal-gatewayer. Captive-portal-HTML-en er 42 KB komprimert, kjører på en intern flash-partisjon på 4 MB, og faller tilbake til en statisk QR-kode hvis forelderens nettleser blokkerer JavaScript. Wi-Fi-legitimasjon leveres over en BLE-skriveegenskap beskyttet av en ECDH-nøkkel per enhet generert ved første oppstart, og TLS-stakken på enheten er den samme mbedTLS som brukes av resten av firmware-linjen (B1/B2 2.4.7, F8 3.1.2, K7/KF1 1.9.5, L5 4.2.0, P2 2.0.3, Q6/Q8 3.3.1, T2/Y6 2.6.4). ### 15.1 Provisjoneringssuksessrate per kanal Diagrammet nedenfor sporer provisjonering ved første forsøk på tvers av de tre kanalene vi sender: BLE-assistert (telefonen sender SSID over BLE), SmartConfig (TI-stil UDP-kringkasting), og AP-modus som reserve (pennen åpner sin egen SSID). Dataene ble samlet inn fra 2 400 foreldre-onboardingssesjoner mellom Q3 2025 og Q1 2026 i 11 markeder.

15.2 Støttet ruter- og captive-portal-matrise

Provisjoneringsflyten består regresjonssettet vårt på utstyret nedenfor. Hvis skoledistriktet ditt bruker utstyr utenfor denne matrisen, kan du be oss om en 5-dagers laboratorievalidering — vi snur vanligvis rundt på 72 timer med en fast avgift på 480 USD per rutermodell og en 1-sides akseptrapport.

15.3 Kjøpsbeslutningsregler

Tips til kjøper: Oppgi alltid AP-modus som reservealternativ i onboardingsinstruksene. Gapet på 8 prosent mellom AP-modus (84 %) og BLE-assistert (92 %) virker lite helt til du multipliserer med 10 000 sluttbrukere – det er 800 færre support­saker i første kvartal og et målbart løft i app-butikkens vurdering.

15.4 Sertifiseringsfotavtrykk for Wi-Fi-radioblokken

2,4 GHz-radioen som bærer disse legitimasjonene er dekket under CE-RED (EN 300 328 v2.2.2, EN 301 489-1/-17), FCC Part 15.247, UKCA-RER, RCM (AS/NZS 4268), KC (KN 301 489-1/-17, MSIP), MIC (Japan, artikkel 38-24) og ISED RSS-247. Kabinett, magnet og blekk er dekket under EN 71-1/-2/-3, ASTM F963-17, CPSIA, RoHS 2.0, REACH og PROP 65. GCC (SFDA, Saudi-Arabia), ESMA (UAE MoIAT), SNI (Indonesia), NOM (Mexico) og INMETRO (Brasil) utvider markedsadgangen. Hver forsendelse leveres med matchende DoC-pakke og en serie­nummer­kopling per enhet til en QA-reisemappe ved våre to produksjonsbaser.

15.5 Interne kryssreferanser og lesestier

For OTA-kanalen som brukes til å pusle nye captive-portal UI-strenger etter en merkevareoppdatering, se Reading Pen OTA Firmware Update Mechanism. For avveiningen mellom 2,4 GHz og dual-band som driver kanalvalg i tette klasserom, se Reading Pen WiFi 2.4G vs Dual Band IoT. For roaming-atferden når et barn går mellom APs, se Reading Pen WiFi Roaming and Reconnect. For LAN-oppdagelseslaget som kjører etter provisjonering, se Reading Pen mDNS and DNS-SD Service Discovery. For produsentsiden av programmet, se Wholesale Reading Pens og Private Label Reading Pens.

CTA: Trenger du en captive portal profilert for din skolekrets eller retail-kjede? Be om tilbud med ordet "CAPTIVE", så sender vi en 4-siders merkevarebrief (logo, palett, språk, tekster) og et fastpristilbud på firmwareintegrasjon innen 24 timer. Nøytrale pennere på lager sendes ved MOQ 500 med 5 dagers leveringstid, tilpassede captive portaler ved MOQ 3 000 med 4 ukers tidslinje for firmwareintegrasjon.```