VLAN- und PSK-Architektur pro Wohneinheit: ein Design-Leitfaden für MDU-Netzwerke

Weisen Sie jedem Apartment ein eigenes VLAN zu, wenn die Einheiten über kabelgebundene Anschlüsse verfügen und das Gebäude einige hundert Türen umfasst. Ein BTR-Projekt mit 250 Wohneinheiten nutzt etwa 256 der 4.094 IEEE 802.1Q VLAN-IDs. Für Standorte mit hoher Fluktuation, wie z. B. ein PBSA mit 800 Betten, legen Sie die Segmentierung in den individuellen Schlüssel jedes Bewohners, mit Richtlinien pro Schlüssel auf einer Handvoll gemeinsam genutzter VLANs.

Sollte jedes Apartment ein eigenes VLAN erhalten?

Nicht immer. Jeder Bewohner in einem Build-to-Rent (BTR), Multi-Dwelling Unit (MDU) oder Purpose-Built Student Accommodation (PBSA) Projekt benötigt ein privates Netzwerk. Laptop, Smart-TV und Drucker sollten sich gegenseitig sehen können, während die Geräte anderer Bewohner unsichtbar bleiben. Das ist das gewohnte Heimnetzwerk-Erlebnis mit Enterprise-Sicherheit, und Sie können es auf zwei Arten bereitstellen.

VLAN pro Apartment. Jede Einheit erhält ihr eigenes virtuelles LAN (VLAN). Ein VLAN ist eine separate Layer-2-Broadcast-Domäne mit eigenem Subnetz und DHCP-Bereich. Ein RADIUS-Server teilt dem Access Point mit, welchem VLAN ein Gerät beitritt. RADIUS ist das Authentifizierungsprotokoll, das jedes Gerät überprüft und seine Netzwerkrichtlinie zurückgibt. Der Datenverkehr zwischen den Einheiten muss ein Layer-3-Gateway passieren und wird dort von Ihrer Firewall blockiert.

Richtlinie über den Schlüssel. Jeder Bewohner erhält einen eindeutigen Pre-Shared Key (PSK) auf einer gemeinsam genutzten SSID. Anbieter nennen dies Identity PSK (iPSK), Private PSK (PPSK), Multi-PSK oder Dynamic PSK. Der Schlüssel identifiziert den Bewohner, und das Netzwerk wendet die damit verknüpfte Richtlinie an. Geräte mit demselben Schlüssel können miteinander kommunizieren. Geräte mit unterschiedlichen Schlüsseln können dies nicht, selbst in einem gemeinsam genutzten VLAN. Purple nennt dies ein Private Area Network (PAN): eine private Netzwerkblase, die mit dem Schlüssel mitreist.

Beide Designs isolieren die Bewohner ordnungsgemäß. Sie unterscheiden sich darin, wo die Isolierung durchgesetzt wird und wie viel Konfigurationsaufwand entsteht. Die Entscheidung hängt von vier Faktoren ab:

• kabelgebundene Anschlüsse in den Einheiten
• Fluktuation der Bewohner
• Gesamtzahl der Segmente
• Unterstützung durch Ihre Access Points und Switches

Die folgenden Abschnitte gehen jeden Faktor mit konkreten Zahlen für ein BTR-Projekt mit 250 Einheiten und einen PBSA-Standort mit 800 Betten durch.

Wo sich VLANs pro Einheit und schlüsselbasierte Richtlinien grundlegend unterscheiden

Die Grenze von 4.094 VLANs und wann Sie diese tatsächlich erreichen

IEEE 802.1Q überträgt die VLAN-ID in einem 12-Bit-Feld. Das ergibt 4.096 Werte. Die IDs 0 und 4.095 sind reserviert, sodass 4.094 nutzbare IDs verbleiben. Die Obergrenze gilt pro Layer-2-Domäne, nicht pro Organisation. Zwei Gebäude hinter einer gerouteten Grenze können daher dieselben IDs wiederverwenden.

Ein einzelnes Gebäude erreicht 4.094 selten allein durch Bewohner-VLANs. Sie stoßen in drei Situationen an die Grenze:

• Ein Campus mit mehreren Gebäuden nutzt eine flache Layer-2-Domäne. Fünf Wohnheime mit je 800 Betten an einem Core benötigen 4.000 Bewohner-VLANs, noch bevor Personal, Videoüberwachung oder Gebäudeleittechnik hinzukommen.
• Sie segmentieren pro Bett und pro Anschluss. Wenn jedes Bett zusätzlich ein separates kabelgebundenes VLAN erhält, verdoppelt sich Ihre Anzahl.
• Sie fügen ein IoT VLAN pro Wohneinheit für Smart Locks oder Thermostate hinzu, was die Anzahl erneut verdoppelt.

Die praktische Obergrenze wird gewöhnlich früher erreicht. Per-VLAN Spanning Tree Varianten führen eine Spanning Tree Instanz pro VLAN aus, und Switch Plattformen begrenzen diese Instanzen weit unterhalb von 4.094. Wireless Controller und Gateways veröffentlichen ebenfalls eigene Limits für VLANs und Layer 3 Schnittstellen. Überprüfen Sie diese drei Datenblattwerte, bevor Sie sich festlegen. Das 802.1Q Maximum ist der falsche Wert für die Planung.

Wenn Sie die Obergrenze überschreiten, haben Sie zwei saubere Auswege. Richten Sie an jedem Gebäude eine geroutete Grenze ein und verwenden Sie VLAN IDs innerhalb jedes Gebäudes wieder. Oder wechseln Sie zu VXLAN, definiert in RFC 7348, dessen 24-Bit-Segment-Identifier rund 16 Millionen Segmente ermöglicht. Multiple Spanning Tree, ursprünglich IEEE 802.1s und heute Teil von 802.1Q, bildet viele VLANs auf wenige Instanzen ab. Das hebt die Spanning Tree Einschränkung auf.

Wie RADIUS einen Bewohner einem VLAN zuweist

RFC 3580 definiert die dynamische VLAN Zuweisung. Wenn RADIUS ein Gerät akzeptiert, enthält die Access-Accept Nachricht drei Attribute:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = die VLAN ID für diese Wohnung

Der Access Point oder Switch platziert das Gerät dann in diesem VLAN. Die Zuordnung ist im Datensatz des Bewohners gespeichert, sodass sein Smartphone in der Wohnung, im Fitnessraum oder auf der Dachterrasse im selben VLAN landet.

Wie der Server den Eigentümer des Geräts identifiziert, hängt von der Authentifizierungsmethode ab:

• IEEE 802.1X (WPA2-Enterprise oder WPA3-Enterprise). Der Bewohner meldet sich mit Anmeldedaten oder einem Zertifikat an, und RADIUS schlägt diese direkt nach.
• PPSK. Der Controller oder RADIUS Server gleicht den vom Gerät vorgelegten Schlüssel mit dem Datensatz des Bewohners ab und gibt dann den VLAN- oder Richtliniennamen zurück.

Anbieter implementieren diese Schlüsselsuche unterschiedlich. Befolgen Sie die Dokumentation Ihrer Plattform für die Konfigurationsschritte.

PPSK setzt sich in Wohngebäuden aus einem praktischen Grund durch. Smart TVs, Spielekonsolen, Smart Speaker und Drucker unterstützen selten 802.1X, aber ein Schlüssel funktioniert auf allen diesen Geräten.

Prüfen Sie, ob Ihre Plattform PPSK mit WPA3-Personal unterstützt. Viele PPSK Implementierungen wurden auf WPA2-Personal eingeführt. SAE (Simultaneous Authentication of Equals, der WPA3-Personal Handshake) ändert die Art und Weise, wie ein Schlüssel abgeglichen werden kann, und die Unterstützung variiert je nach Anbieter und Firmware.

Wenn ein Bewohner die Wohnung wechselt oder auszieht, hilft die dynamische RADIUS Autorisierung. Sie ist in RFC 5176 definiert und ermöglicht es dem Server, eine Sitzung sofort zu trennen oder eine neue Richtlinie direkt zu übertragen.

Hygiene der Broadcast-Domäne

Jedes VLAN ist eine Broadcast-Domäne. ARP-Anfragen, DHCP Discovery und Multicast Discovery Protokolle erreichen jedes darin befindliche Gerät. Zu diesen Protokollen gehören mDNS, das von AirPlay und Chromecast verwendet wird, sowie SSDP. Über WiFi werden Broadcast- und Multicast-Frames mit einer Basisdatenrate gesendet. Sie verbrauchen Sendezeit auf jedem Access Point, der das VLAN überträgt.

Ein VLAN pro Wohneinheit beschränkt jede Domäne auf einen Haushalt, etwa acht bis 36 Geräte. Die Erkennung funktioniert innerhalb der Wohnung ohne ein mDNS Gateway, und nichts dringt nach nebenan davor.

Ein gemeinsam genutztes VLAN kann Hunderte von Geräten vieler Bewohner enthalten, daher erfordert es aktive Hygiene:

• Proxy ARP oder ARP-Unterdrückung am Access Point, sodass der AP ARP-Anfragen beantwortet, anstatt sie als Flooding zu verteilen.
• Multicast-zu-Unicast-Konvertierung oder Broadcast-Filterung auf der Bewohner-SSID.
• Ein mDNS-Gateway mit Zuordnung pro Schlüssel, sodass die Casting-Ziele eines Bewohners nur auf dessen eigenen Geräten erscheinen.
• Eine Größenbeschränkung. Unsere Faustregel lautet: einige hundert Clients pro gemeinsam genutztem VLAN. Bei höheren Zahlen sollte nach Etage oder Block aufgeteilt werden.

Einige Plattformen erzwingen die Gruppierung auf Schlüsselebene nativ. Das Wireless Personal Network von Cisco Meraki gruppiert Geräte beispielsweise nach Identitäts-PSK und isoliert die Gruppen in einem gemeinsam genutzten VLAN voneinander. Testen Sie in einer Meraki-Umgebung schnelles Roaming parallel dazu. Unser Leitfaden zu Cisco Meraki 802.11r adaptive vs enabled behandelt dieses Verhalten.

DHCP-Bereichsdesign pro Segment

Wir planen mit acht bis 12 Geräten pro Bewohner. Das ist die Planungszahl von Purple und umfasst:

• Smartphones, Laptops, Tablets und Smartwatches
• Fernseher, Konsolen und Lautsprecher
• Smart-Home-Geräte

Dimensionieren Sie jeden Bereich anhand der maximalen Belegung der Einheit, nicht anhand des Durchschnitts.

Planen Sie anschließend Puffer für private MAC-Adressen ein. Apple und Google randomisieren die MAC-Adresse eines Geräts pro Netzwerk standardmäßig. Eine neue zufällige Adresse erfordert einen neuen Lease. Verkürzen Sie die Lease-Zeiten, damit nicht mehr genutzte Adressen innerhalb eines Tages in den Pool zurückkehren, und halten Sie mindestens ein Drittel jedes Bereichs frei.

Präfix	Nutzbare Adressen	Leases nach Gateway	Eignung
/28	14	13	Nicht empfohlen: Ein Bewohner mit 12 Geräten lässt nur eine Adresse frei
/27	30	29	Ein Bewohner mit 12 Geräten, 17 frei
/26	62	61	Drei Bewohner mit 12 Geräten, 25 frei
/23	510	509	Eine Etage mit 25 Bewohnern mit 12 Geräten, 209 frei

Führen Sie DHCP auf dem Gateway oder auf einem zentralen Server mit DHCP-Relay auf jeder VLAN-Schnittstelle aus. Ein Design pro Einheit erfordert einen Bereich und ein Relay pro VLAN, sodass ein Gebäude mit 250 Einheiten 250 Bereiche hat. Der Vorteil besteht darin, dass eine IP-Adresse die Wohnung identifiziert, was die Fehlersuche beschleunigt. In gemeinsam genutzten VLANs lässt sich die Adresse nicht mehr einer Einheit zuordnen. Sie finden den Bewohner über RADIUS-Accounting, das den Schlüssel, die MAC-Adresse und die Sitzung protokolliert.

Faktor	VLAN pro Apartment	Durch den Schlüssel durchgesetzte Richtlinie
Wo die Isolierung erzwungen wird	Layer-3-Gateway und Firewall	Access Point oder Controller
Genutzte Bewohner-VLANs	Eines pro Einheit	Eines pro Etage oder Block
Kabelgebundene Anschlüsse in Einheiten	Gleiches Segment wie WiFi, über Port-VLAN oder MAC-Authentifizierung	Erfordert ein separates kabelgebundenes Design
AirPlay- und Chromecast-Erkennung	Funktioniert innerhalb des VLANs, kein Gateway erforderlich	Erfordert ein mDNS-Gateway mit Zuordnung pro Schlüssel
Größe der Broadcast-Domäne	Ein Haushalt, bis zu etwa 36 Geräte	Bis zu einige hundert Geräte
DHCP-Bereiche	Einer pro Einheit	Einer pro gemeinsam genutztem VLAN
Hardware-Abhängigkeit	Dynamische VLAN-Zuweisung (RFC 3580)	PSK pro Schlüssel plus Isolierung pro Schlüssel
Idealer Anwendungsfall	BTR und MDU mit kabelgebundenen Anschlüssen und langen Mietzeiten	PBSA, Aparthotels, Campus-Anlagen mit mehreren Gebäuden

Wann ein VLAN pro Wohnung die richtige Wahl ist

Wählen Sie ein VLAN pro Wohnung, wenn die meisten dieser Punkte zutreffen:

• Einheiten verfügen über kabelgebundene Anschlüsse. Ein VLAN überträgt die kabelgebundenen TV-, Smart-Hub- und WiFi-Geräte des Bewohners, sodass Casting auf allen Geräten funktioniert.
• Mietverhältnisse laufen über Monate oder Jahre. Die Zuordnung von VLAN zur Einheit ändert sich selten.
• Die Anzahl der Segmente bleibt weit unter Ihren Plattformlimits. Zählen Sie Spanning-Tree-Instanzen, Controller-VLANs und Gateway-Schnittstellen.
• Ihr Sicherheitsteam wünscht eine Isolierung auf Layer 3 mit Firewall-Protokollen pro Segment.
• Der Support benötigt die IP-Adresse zur Identifizierung der Einheit ohne einen RADIUS-Lookup.

Praxisbeispiel: Ein BTR-Projekt mit 250 Wohneinheiten

Situation. Ein Build-to-Rent-Block mit 250 Wohnungen, von Studios bis zu 3-Zimmer-Wohnungen, mit maximal drei Bewohnern pro Einheit. Jede Wohnung verfügt über kabelgebundene Anschlüsse für einen Fernseher und einen Smart-Home-Hub. Die Gemeinschaftsfläche bietet ein Fitnessstudio, eine Co-Working-Lounge und eine Dachterrasse. Personal, CCTV, Gebäudemanagement und Lounge-Besucher benötigen jeweils ein eigenes Netzwerk.

Was umgesetzt wurde.

• Ein VLAN pro Wohnung: 250 Bewohner-VLANs.
• Sechs Infrastruktur-VLANs: Verwaltung, Personal, CCTV, Gebäudemanagement, IoT und ein Besucher-Guest WiFi-Netzwerk für die Gemeinschaftsflächen. Das ergibt insgesamt 256 VLAN-IDs.
• Einheitlich ein /26 pro Wohnung. Drei Bewohner mit jeweils 12 Geräten ergeben 36 Geräte, wodurch 25 Leases frei bleiben. Eine Vorlage deckt jede Einheit ab.
• Ein /18 für alle Bewohnerbereiche. Die 250 /26-Bereiche passen in ein einziges /18 des privaten RFC 1918-Adreßraums, wobei sechs /26-Blöcke übrig bleiben.
• Kabelgebunden und drahtlos auf einem Segment. RADIUS ordnet den Schlüssel jedes Bewohners seinem Wohnungs-VLAN zu, und die kabelgebundenen Anschlüsse der Wohnung befinden sich im selben VLAN.
• Multiple Spanning Tree bildet die 256 VLANs auf eine geringe Anzahl von Instanzen ab.

Ergebnis (Planungszahlen).

• 256 von 4.094 VLAN-IDs genutzt, etwa 6 %.
• 256 DHCP-Bereiche und 256 Layer-3-Schnittstellen, verwaltet über eine einzige Firewall-Regelvorlage.
• Jede Bewohneradresse identifiziert ihre Wohnung.
• Eine zweite Phase mit 250 Wohneinheiten würde die Gesamtzahl auf 506 VLANs erhöhen, was immer noch etwa 12 % des ID-Rraums entspricht.

Wann richtlinienbasierte Segmentierung die richtige Wahl ist

Wählen Sie eine über den Schlüssel übertragene Richtlinie, wenn die meisten dieser Punkte zutreffen:

• Die Fluktuation ist hoch. Jährliche Neuzugänge oder nächtliche Aufenthalte machen die Zuordnung von VLAN zur Einheit zu einer wiederkehrenden Aufgabe.
• Bewohner bewegen sich im gesamten Gebäude, einschließlich Studienräumen, Cafés und Fitnessstudios.
• Datenschutz pro Bett würde die Anzahl der VLANs in die Hunderte oder Tausende treiben.
• Zimmer haben keine kabelgebundenen Anschlüsse, oder die Anschlüsse dienen nur den Gebäudesystemen.
• Ihre Access Points unterstützen schlüsselbasiertes PSK, schlüsselbasierte Isolierung und zielgerichtetes mDNS.

Praxisbeispiel: Ein Studentenheim mit 800 Betten

Ausgangssituation. Eine Universität betreibt ein Wohnheim mit 800 Betten aufgeteilt auf vier Blöcke mit je acht Etagen und 25 Betten pro Etage. Die Studierenden leben in Wohngemeinschaften von fünf bis acht Zimmern rund um eine gemeinsame Küche. Die Mitbewohner erwarten Privatsphäre voneinander, daher erfolgt die Segmentierung pro Bett. Die meisten Betten wechseln zu Beginn jedes akademischen Jahres den Besitzer.

Option A: Ein VLAN pro Bett.

• 800 Bewohner-VLANs.
• Ein /27 pro Bett fasst 12 Geräte mit 17 freien Adressen, was insgesamt 25.600 Adressen entspricht und ein /17 erfordert.
• 800 DHCP-Scopes und 800 Gateway-Schnittstellen.
• Jedes VLAN wird auf jeden Access Point getrunkt, den ein Studierender nutzen könnte, was den gesamten Standort umfasst.

Option B: Richtlinie über den Schlüssel (PPSK).

• Jeder Studierende erhält beim Check-in einen eindeutigen Schlüssel.
• Ein gemeinsames VLAN pro Etage ergibt 32 Bewohner-VLANs.
• Jedes /23 bietet 509 Leases für 300 Geräte (25 Studierende mit je 12 Geräten), wodurch 209 frei bleiben.
• Die 32 /23-Scopes passen in ein /18.
• Die Isolierung pro Schlüssel läuft auf den Access Points, mit einem mDNS-Gateway, das pro Schlüssel abgegrenzt ist. Proxy-ARP und Multicast-to-Unicast laufen auf der SSID.

Umsetzung. Option B. Der Schlüssel ordnet jeden Studierenden seinem Heimatetagen-VLAN zu. Ein Studierender, der ins Café geht, behält dieselbe Adresse und Richtlinie. Alle 32 VLANs werden auf jeden Access Point getrunkt - eine weit geringere Last als 800.

Ergebnis (Planungszahlen).

• 32 Bewohner-VLANs statt 800, eine Reduzierung um 96%.
• 32 DHCP-Scopes statt 800.
• Halbierung des Adressraums: ein /18 statt eines /17.
• Broadcast-Domänen von jeweils etwa 300 Geräten, was unseren Richtwerten entspricht.
• Der jährliche Wechsel bedeutet nur das Widerrufen und Neuausgeben von Schlüsseln, ohne Änderungen an VLANs, Scopes oder Trunks.

Praxisbeispiel: Ein Aparthotel mit 120 Einheiten

Ausgangssituation. Ein Aparthotel mit 120 Apartments auf sechs Etagen, 20 Apartments pro Etage. Die Aufenthalte dauern zwischen einer und 14 Nächten. Die Gäste bringen Streaming-Sticks mit und erwarten, von ihren Smartphones aus streamen zu können. Die Rezeption gibt beim Check-in den WiFi-Zugang aus.

Umsetzung.

• Jeder Aufenthalt erhält beim Check-in einen eigenen Schlüssel, der einer Richtliniengruppe pro Apartment zugewiesen ist.
• Kurze Aufenthalte bringen weniger Geräte mit sich, daher plant das Modell mit acht Geräten pro Gast und zwei Gästen pro Apartment. Das entspricht 320 Geräten pro Etage.
• Jede Etage erhält ein /23-VLAN, wodurch 189 Leases frei bleiben.
• Das Konzept sieht vor, jeden Schlüssel beim Check-out zu widerrufen.

Ergebnis (Planungszahlen).

• Sechs Bewohner-VLANs statt 120, eine Reduzierung um 95%.
• Sechs DHCP-Scopes.
• Keine VLAN-Änderungen zwischen Aufenthalten.
• Streaming funktioniert innerhalb jedes Aufenthalts über den mDNS-Bereich pro Schlüssel.

Für den allgemeinen Überblick zum Thema Gäste-Netzwerke besuchen Sie unsere Hotels-Seite.

Betriebskosten der jeweiligen Konzepte

Keines der Konzepte ändert Ihre Anzahl an Access Points. Diese wird durch Gerätedichte und Abdeckung bestimmt. Die Betriebskosten ergeben sich aus der Anzahl der Objekte, die Sie konfigurieren, ändern und verwalten müssen.

Zu wartendes Element	250-Einheiten-BTR, VLAN pro Apartment	800-Betten-PBSA, VLAN pro Bett	800-Betten-PBSA, Richtlinie nach Schlüssel
Bewohner-VLANs	250	800	32
DHCP-Scopes	250	800	32
Layer-3-Gateway-Schnittstellen	250	800	32
Privater Adressbereich	/18	/17	/18
Zu jedem AP getrunkte VLANs (mit 6 Infrastruktur-VLANs)	256	806	38
Isolierung erzwungen am	Gateway-Firewall	Gateway-Firewall	Access Point oder Controller
Änderung bei Bewohnerwechsel	Schlüssel neu ausgeben	Schlüssel neu ausgeben	Schlüssel neu ausgeben

Bei einem VLAN pro Wohneinheit bestehen die Kosten im Änderungsmanagement. Jeder neue Block fügt VLANs, Scopes, Gateway-Schnittstellen, Firewall-Einträge und Trunk-Änderungen an jedem Switch im Pfad hinzu. Vorlagen und Automatisierung dieser Arbeit sind zwingend erforderlich, da sie sonst verfällt.

Wenn die Richtlinie über den Schlüssel übertragen wird, verlagern sich die Kosten an eine andere Stelle. Sie sind von Schlüsselfunktionen pro Nutzer in Ihrer Access-Point-Firmware und -Lizenz abhängig. Die Fehlersuche verlagert sich ebenfalls von IP-Adressen zu RADIUS-Accounting-Protokollen - schulen Sie Ihr Support-Team daher im Lesen dieser Protokolle.

Purple Multi-Tenant WiFi läuft als Cloud-Overlay auf der Hardware, die Sie bereits besitzen. Unser Cloud-RADIUS stellt jedem Bewohner einen Schlüssel aus und gibt dessen VLAN oder Richtlinie zurück. Zugänge, Umzüge und Abgänge werden über eine zentrale Benutzeroberfläche (Single Pane of Glass) verwaltet. Purple ist hardwareunabhängig über:

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme Networks
• Fortinet

Purple läuft an über 80.000 aktiven Standorten und verarbeitete im Jahr 2024 nach eigenen Angaben von Purple 440 Millionen Anmeldungen. Purple ist ISO 27001-zertifiziert und GDPR-konform. Warum eine Segmentierung selten neue Access Points erfordert, lesen Sie unter Warum Ihr nächstes WiFi-Upgrade keine neue Hardware benötigt.

So treffen Sie die richtige Entscheidung für Ihren Bestand

Ihre Situation	Empfehlung	Grund
Bis zu ca. 500 Einheiten, kabelgebundene Anschlüsse, Mietdauern ab 12 Monaten	VLAN pro Apartment	Kabelgebundenes Netzwerk und WiFi teilen sich ein Segment; ID-Nutzung bleibt bei nahe 12 %
Studentisches Wohnen (PBSA) mit Privatsphäre pro Bett und jährlichem Wechsel	Richtlinie nach Schlüssel, ein gemeinsames VLAN pro Etage	96 % weniger VLANs bei 800 Betten; keine Neuplanung bei jedem Einzug
Aparthotel oder Serviced Apartments mit Aufenthalten von wenigen Tagen	Richtlinie nach Schlüssel	Schlüssel folgen dem Aufenthalt; die VLAN-Zuordnung ändert sich nie
Campus mit mehreren Blöcken auf einem Layer-2-Core, über 3.000 Segmente	Geroutete Grenze pro Gebäude oder VXLAN, dann beliebiges Modell	4.094 IDs pro Layer-2-Domäne
Apartments mit kabelgebundenen Anschlüssen und Cluster-Wohnungen auf einem Gelände	Hybrid: VLAN pro Apartment bei vorhandenen Anschlüssen, sonst Richtlinie nach Schlüssel	Jedes Modell dort einsetzen, wo seine Stärken liegen
Access Points ohne Isolierung pro Schlüssel	VLAN pro Apartment oder Firmware- bzw. AP-Upgrade planen	Die Isolierung muss an irgendeiner Stelle erzwungen werden

Gehen Sie fünf Schritte durch, bevor Sie sich für ein Design entscheiden.

1. Zählen Sie Ihre Segmente. Zählen Sie Einheiten oder Betten, addieren Sie dann Infrastruktur-VLANs und alle Multiplikatoren für kabelgebundene Geräte oder IoT hinzu. Vergleichen Sie die Gesamtzahl mit Ihren Spanning-Tree-, Controller- und Gateway-Limits, nicht mit 4.094.
2. Dimensionieren Sie Scopes anhand der Maximalbelegung. Multiplizieren Sie die Anzahl der Bewohner mit 12 Geräten und halten Sie dann mindestens ein Drittel jedes Scopes frei.
3. Bestätigen Sie Schlüsselfunktionen pro Nutzer mit Ihrem Anbieter. Überprüfen Sie die Unterstützung für PSK pro Schlüssel, VLAN-Zuweisung pro Schlüssel, Isolierung pro Schlüssel, scoped mDNS und WPA3-Personal auf Ihrer Firmware.
4. Prüfung der Dichte. Acht bis 12 Geräte pro Bewohner verändern die Anzahl der Access Points. Unser Leitfaden für WiFi-Standortanalysen deckt die Planung ab.
5. Testen des Roamings zwischen der Wohnung und den Gemeinschaftsbereichen. Wenn Bewohner zwischen den Etagen wechseln, passen Sie 802.11r und 802.11k an. Siehe 802.11r und 802.11k auf Android für herstellerspezifische Einstellungen.

Häufig gestellte Fragen

Funktioniert Purple Multi-Tenant WiFi mit den bereits in meinem Gebäude vorhandenen Access Points?

Ja. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Sie behalten Ihre Access Points und Switches. Purple liefert die Cloud-RADIUS- und Identitätsschicht, die jedem Bewohner einen Schlüssel ausstellt und dessen VLAN oder Richtlinie zurückgibt. Wenn Sie sich für eine richtlinienbasierte Segmentierung entscheiden, stellen Sie sicher, dass Ihre Firmware PSK pro Schlüssel und Isolierung pro Schlüssel unterstützt.

Können wir von einem gemeinsamen Gebäudepasswort zu Schlüsseln pro Wohneinheit wechseln, ohne die Hardware auszutauschen?

Ja, sofern Ihre Access Points PSK pro Schlüssel oder die dynamische VLAN-Zuweisung unterstützen. Purple setzt auf der bestehenden Infrastruktur auf, sodass kein Austausch erforderlich ist. Betreiben Sie die neue Bewohner-SSID parallel zur alten und stellen Sie die Bewohner dann Einheit für Einheit um. Deaktivieren Sie das gemeinsame Passwort, sobald der letzte Bewohner umgezogen ist. Planen Sie Ihre VLAN- oder Richtlinienzuordnung und DHCP-Bereiche vor dem ersten Wechsel eines Bewohners.

Wie viele VLANs kann ein MDU-Gebäude unterstützen?

Bis zu 4.094 pro Layer-2-Domäne - die Grenze, die durch die 12-Bit-VLAN-ID in IEEE 802.1Q festgelegt ist. In der Praxis greifen die Grenzen von Spanning-Tree-Instanzen, Controller-VLAN-Limits und Schnittstellenanzahlen am Gateway meist zuerst. Ein BTR-Projekt mit 250 Wohneinheiten und sechs Infrastruktur-VLANs nutzt 256 IDs. Standorte mit höherem Bedarf sollten eine geroutete Grenze an jedem Gebäude einrichten oder auf VXLAN umsteigen.

Ist die schlüsselbasierte Segmentierung genauso sicher wie ein VLAN pro Wohnung?

Ja, vorausgesetzt, Ihre Plattform setzt die Isolierung zwischen den Schlüsseln am Access Point oder Controller durch. Der Unterschied liegt am Durchsetzungspunkt. Ein VLAN pro Einheit blockiert den wohnungsübergreifenden Datenverkehr am Layer-3-Gateway. Die schlüsselbasierte Richtlinie blockiert ihn, bevor der Datenverkehr den Access Point verlässt. Testen Sie dies von einem Bewohnergerät aus. Bestätigen Sie, dass Sie die Geräte anderer Bewohner nicht erreichen oder deren Streaming-Ziele nicht erkennen können.

Funktionieren Smart-TVs, Konsolen und IoT-Geräte in einem segmentierten Bewohnernetzwerk?

Ja. Beide Konzepte nutzen einen Pre-Shared Key, der auf Geräten ohne 802.1X-Unterstützung wie Smart-TVs, Spielekonsolen und Smart-Speakern funktioniert. Die Geräte jedes Bewohners teilen sich ihr eigenes VLAN oder ihre eigene Schlüsselgruppe, sodass Streaming und Drucken innerhalb des Hauses funktionieren. Fügen Sie bei gemeinsamen VLANs ein mDNS-Gateway hinzu, das pro Schlüssel abgegrenzt ist, damit die Gerätesuche für jeden Bewohner privat bleibt.

Wie verarbeitet Purple Bewohnerdaten gemäß GDPR?

Purple ist ISO 27001-zertifiziert und GDPR-konform. Jeder Schlüssel ist mit einem Datensatz für Bewohner in der Cloud-RADIUS-Schicht verknüpft. Das RADIUS-Accounting protokolliert, welcher Schlüssel und welches Gerät die jeweilige Sitzung gehalten hat, was die Fehlersuche und Auskunftsersuchen unterstützt. Wenn ein Bewohner auszieht, widerrufen Sie seinen Schlüssel, und der Prozess für Neueinsteiger, Umzügler und Ausscheidende schließt den Netzwerkzugriff über eine zentrale Verwaltungsoberfläche.

Was passiert mit den Geräten eines Bewohners, wenn er auszieht?

Sie verlieren den Zugriff, sobald Sie den Schlüssel oder die Anmeldeinformationen widerrufen. Sofern Ihre Access Points dies unterstützen, trennt die dynamische RADIUS-Autorisierung (RFC 5176) aktive Sitzungen sofort. Bei einem VLAN pro Wohnung bleiben das VLAN und der DHCP-Bereich für den nächsten Bewohner bestehen. Bei einer schlüsselbasierten Richtlinie muss nichts neu geplant werden: Sie stellen dem neuen Bewohner einfach einen neuen Schlüssel aus.