Designing WiFi Networks for Multi-Tenant Office Buildings

PURPLE TECHNICAL BRIEFING Konzeptionierung von WiFi-Netzwerken für Bürogebäude mit mehreren Mietern Vollständiges Transkript [ABSCHNITT 1: EINFÜHRUNG UND KONTEXT - 1 MINUTE] Willkommen beim Purple Technical Briefing. Ich bin Senior Solutions Architect bei Purple und heute befassen wir uns mit einem der technisch anspruchsvollsten Bereitstellungsszenarien im Bereich der Unternehmensnetzwerke: der Konzeptionierung von WiFi-Netzwerken für Bürogebäude mit mehreren Mietern. Egal, ob Sie für ein erstklassiges Geschäftsgebäude mit fünfzehn unabhängigen Mietern, eine gemischt genutzte Immobilie mit Einzelhandels- und Büroflächen oder einen flexiblen Coworking-Campus verantwortlich sind – die Herausforderung ist im Grunde dieselbe. Sie müssen mehreren unabhängigen Organisationen über ein einziges gemeinsames physisches Netzwerk eine zuverlässige, sichere und isolierte Konnektivität bereitstellen. Und Sie müssen dies so tun, dass Compliance-Anforderungen erfüllt werden, Ihr Support-Desk entlastet wird und keine Vollzeit-Techniker für die Wartung erforderlich sind. Lassen Sie uns in die technische Architektur einsteigen. [ABSCHNITT 2: TECHNISCHER DEEP-DIVE - 5 MINUTEN] Das Fundament jedes WiFi-Designs für mehrere Mieter ist die Netzwerksegmentierung. Der primäre Mechanismus, um dies zu erreichen, ist das VLAN-Tagging, standardisiert nach IEEE 802.1Q. Das Konzept ist einfach: Sie weisen jedem Mieter oder jeder Traffic-Klasse ein eigenes virtuelles LAN zu. Datenverkehr auf VLAN 10 kann den Datenverkehr auf VLAN 20 nicht erreichen, es sei denn, Sie erlauben dies explizit über eine Firewall-Richtlinie. Diese logische Isolation ist Ihre erste Verteidigungslinie. Hier machen Architekten oft ihren ersten Fehler. Sie verwechseln VLAN-Segmentierung mit Sicherheit. VLANs bieten Isolation, keine Sicherheit. Sie benötigen weiterhin Firewall-Richtlinien zwischen den VLANs. Sie benötigen weiterhin Zugriffskontrolllisten. Und Sie müssen sich genau überlegen, welches Inter-VLAN-Routing Sie zulassen. Ein falsch konfigurierter Trunk-Port kann Ihr gesamtes Segmentierungsmodell in Sekundenschnelle zum Einsturz bringen. In einem Bürogebäude mit mehreren Mietern haben Sie in der Regel eine gemeinsame physische Infrastruktur: Verkabelung, Switch-Fabric und Access Points, die mehrere Mieter bedienen. Die Access Points strahlen mehrere SSIDs aus, die jeweils einem anderen VLAN zugeordnet sind. Mieter A verbindet sich mit seiner SSID, sein Datenverkehr wird am Access Point mit VLAN 10 getaggt, durchläuft die gemeinsame Switch-Fabric auf einem Trunk-Port und gelangt zur Distribution-Schicht, wo er in das isolierte Subnetz von Mieter A geroutet wird. Der Datenverkehr von Mieter B folgt demselben physischen Pfad, ist jedoch auf Layer 2 vollständig isoliert. In der Vergangenheit haben Netzwerktechniker Umgebungen segmentiert, indem sie für jeden Mieter eine eigene SSID erstellt haben. Aber die unkontrollierte Zunahme von SSIDs ist ein Performance-Killer. Jede SSID, die Sie ausstrahlen, muss Management-Frames, sogenannte Beacons, mit der niedrigsten obligatorischen Basisdatenrate übertragen. Wenn Sie sechs oder sieben SSIDs auf einem Access Point ausstrahlen, können Sie problemlos zwanzig bis dreißig Prozent Ihrer verfügbaren drahtlosen Sendezeit allein für den Management-Overhead verbrauchen. Und das noch bevor ein einziges Byte an tatsächlichen Benutzerdaten übertragen wird. Der moderne Enterprise-Standard ist die dynamische VLAN-Zuweisung. Anstelle von mehreren SSIDs strahlen Sie eine einzige sichere SSID mit IEEE 802.1X-Authentifizierung aus. Wenn sich ein Benutzer verbindet, tauscht sein Gerät Anmeldedaten mit einem RADIUS-Server aus. Der RADIUS-Server authentifiziert den Benutzer und sendet eine Access-Accept-Nachricht an den Access Point zurück. Entscheidend ist, dass diese Nachricht spezifische IETF-Standardattribute enthält: den Tunnel-Type, den Tunnel-Medium-Type und die Tunnel-Private-Group-ID, welche die spezifische VLAN-ID für die Organisation dieses Benutzers enthält. Der Access Point empfängt diese Attribute und leitet den Datenverkehr dieses Benutzers dynamisch direkt in sein dediziertes VLAN weiter. Ein Unternehmensvorstand und ein IoT-Gerät können sich mit exakt derselben SSID verbinden, aber ihr Datenverkehr ist auf Layer 2 vollständig isoliert. Für die Authentifizierung ist WPA3-Enterprise mittlerweile der empfohlene Verschlüsselungsstandard. Er bietet einen 192-Bit-Sicherheitsmodus und eliminiert die Schwachstellen, die mit dem Four-Way-Handshake von WPA2 verbunden sind. Identitätsanbieter wie Microsoft Entra ID, Okta oder Google Workspace lassen sich in Ihre RADIUS-Infrastruktur integrieren, um Anmeldedaten zentral zu verwalten. Sprechen wir nun über die HF-Planung, denn hier werden Multi-Tenant-Büroumgebungen wirklich komplex. Wenn Sie mehrere Mieter in angrenzenden Räumen haben, liegt eine HF-Umgebung mit hoher Dichte vor. Gleichkanalstörungen (Co-Channel Interference) sind Ihr Feind. Sie benötigen vor der Bereitstellung eine ordnungsgemäße HF-Planung: eine aktive Standortvermessung (Site Survey), die die Signalübertragung abbildet, Störquellen identifiziert und Ihre Kanalbelegungsstrategie unterstützt. Das 2,4-GHz-Band bietet Ihnen in den meisten regulatorischen Bereichen drei überschneidungsfreie Kanäle: die Kanäle 1, 6 und 11. Das 5-GHz-Band bietet Ihnen deutlich mehr Kapazität. WiFi 6E erweitert dies auf das 6-GHz-Band und bietet Ihnen ein sauberes Spektrum, das weitgehend frei von Störungen durch ältere Geräte ist. Für neue Multi-Tenant-Bereitstellungen ist die Spezifikation von WiFi 6E-fähigen Access Points von Anbietern wie Cisco Meraki, HPE Aruba, Ruckus oder Juniper Mist die richtige Entscheidung. Der zusätzliche Spielraum im Spektrum zahlt sich in dichten Umgebungen aus. IoT ist die andere Dimension, die Sie nicht ignorieren dürfen. In einem modernen Multi-Tenant-Gebäude haben Sie Gebäudemanagementsysteme, HLK-Steuerungen, intelligente Beleuchtung, Zutrittskontrolle und Videoüberwachung. Diese müssen sich in einem eigenen, isolierten VLAN befinden, das sowohl vom Mieter- als auch vom Gast-Datenverkehr vollständig getrennt ist. IoT-Geräte sind bekanntlich schwer zu patchen und stellen eine erhebliche Angriffsfläche dar. Segmentieren Sie diese, überwachen Sie sie und wenden Sie eine strenge Filterung des ausgehenden Datenverkehrs (Egress Filtering) an. [SECTION 3: IMPLEMENTATION RECOMMENDATIONS AND PITFALLS - 2 MINUTES] Lassen Sie mich die drei häufigsten Fehler teilen, die ich bei Multi-Tenant-Bereitstellungen beobachte. Der erste ist eine unzureichende Trunk-Port-Konfiguration. Architekten entwerfen ein hervorragendes VLAN-Konzept und vergessen dann, die relevanten VLANs auf jedem Trunk-Link im Pfad explizit zuzulassen. Der Datenverkehr bricht geräuschlos ab, Mieter beschweren sich und das Support-Team verbringt Tage mit der Fehlersuche. Dokumentieren Sie Ihre Trunk-Konfigurationen akribisch und validieren Sie diese bei der Inbetriebnahme. Die zweite Falle ist die SSID-Proliferation. Beschränken Sie Ihre SSID-Anzahl auf maximal vier pro Funkmodul. Nutzen Sie die dynamische VLAN-Zuweisung über RADIUS-Attribute anstelle von separaten SSIDs, um mehrere Mieter zu bedienen. Die dritte Falle ist die Vernachlässigung der Management-Ebene. Ihr Management-VLAN, über das Ihre Access Points, Switches und Controller kommunizieren, muss vollständig von allen Mieter- und Gast-VLANs isoliert sein. Wenn ein Mieter Ihre Management-Ebene erreichen kann, haben Sie eine kritische Sicherheitslücke. Ich würde noch einen vierten Punkt hinzufügen: die Vernachlässigung des DHCP-Lease-Time-Managements in Gast-VLANs. In Umgebungen mit hoher Fluktuation behalten Geräte ihre Leases auch nach dem Trennen der Verbindung. Setzen Sie die Lease-Zeiten für Gast-VLANs auf ein bis zwei Stunden, um eine Erschöpfung der IP-Adressen zu verhindern. [SECTION 4: RAPID-FIRE Q AND A - 1 MINUTE] Lassen Sie mich ein paar Fragen durchgehen, die bei diesen Implementierungen immer wieder auftauchen. Benötigen Sie separate physische Access Points pro Mieter? Nein. Das ist der gesamte Sinn von VLAN-basierter Mandantenfähigkeit. Mehrere Mieter teilen sich denselben Access Point, wobei die Isolation des Datenverkehrs auf der Netzwerkschicht erzwungen wird. Wie gehen Sie mit älteren IoT-Geräten um, die 802.1X nicht unterstützen? Nutzen Sie MAC Authentication Bypass in Kombination mit WPA3-SAE. Der RADIUS-Server identifiziert das Gerät anhand seiner MAC-Adresse und weist es einem isolierten IoT-VLAN zu. Wenden Sie strenge Firewall-Regeln auf dieses Segment an. Beeinflusst die dynamische VLAN-Zuweisung das Roaming? Nicht, wenn Sie es richtig konfigurieren. Aktivieren Sie 802.11r für Fast BSS Transition und Opportunistic Key Caching. Der Authentifizierungsstatus wird über Ihre Access Points hinweg zwischengespeichert, und Benutzer wechseln nahtlos ohne Verzögerungen durch erneute Authentifizierung. [SECTION 5: SUMMARY AND NEXT STEPS - 1 MINUTE] Zusammenfassend lässt sich sagen: Eine gut konzipierte mandantenfähige WiFi-Architektur für ein Bürogebäude basiert auf vier Säulen. Erstens: Eine strenge VLAN-Segmentierung mit erzwungenen Firewall-Richtlinien zwischen den Segmenten. Zweitens: Ein zentralisiertes, Controller-basiertes Management, das Ihnen betriebliche Transparenz und Richtlinienkontrolle im großen Stil bietet. Drittens: Eine ordnungsgemäße RF-Planung, die die physische Umgebung und die Dichte der Bereitstellung berücksichtigt. Und viertens: Ein Sicherheitsmodell, das Authentifizierung, Verschlüsselung, IoT-Isolierung und Compliance-Anforderungen vom ersten Tag an berücksichtigt. Die Unternehmen, die dies richtig umsetzen, sehen messbare Ergebnisse: geringeren Support-Aufwand, schnelleres Onboarding von Mietern, eine nachweisbare Compliance-Position bei Audits und die Möglichkeit, Konnektivität als Service zu monetarisieren, anstatt sie als Kostenstelle zu betrachten. Wenn Sie eine mandantenfähige Bereitstellung planen und herausfinden möchten, wie die Plattform von Purple die Analysen, das Guest WiFi-Management und das Reporting auf Mandantenebene über Ihre Netzwerkinfrastruktur hinweg bereitstellen kann, besuchen Sie purple.ai. Die im Leitfaden verlinkten Ressourcen sind ein guter Ausgangspunkt. Vielen Dank fürs Zuhören. Bis zum nächsten Mal.