Entwicklung einer mandantenfähigen WiFi-Architektur für MDU

Entwurf einer Multi-Tenant-WiFi-Architektur für MDU - Ein technisches Briefing von Purple. Willkommen zur Reihe der Purple Technical Briefings. Heute befassen wir uns mit der Architektur, die einigen der komplexesten WiFi-Bereitstellungen in Enterprise-Umgebungen zugrunde liegt - Multi-Tenant WiFi für Mehrfamilienhäuser (MDU) und gemischt genutzte Gebäude. Ob Sie nun für ein Hotel mit 300 Zimmern verantwortlich sind, in dem Gäste, Personal und Gebäudemanagementsysteme dieselbe physische Infrastruktur nutzen, für einen gemischt genutzten Einzelhandels- und Bürokomplex oder für ein Studentenwohnheim mit Hunderten von unabhängigen Mietern - die Herausforderung ist im Grunde dieselbe: Wie stellen Sie eine zuverlässige, sichere und isolierte Konnektivität für mehrere unabhängige Parteien über ein einziges gemeinsam genutztes physisches Netzwerk bereit? Dies ist keine theoretische Übung. Die Entscheidungen, die Sie in der Architekturphase treffen, bestimmen direkt Ihr Sicherheitsniveau, Ihre Compliance-Risiken unter GDPR und PCI-DSS und, ganz ehrlich, ob Ihr Support-Desk sechs Monate nach dem Go-live mit Beschwerden überschwemmt wird. Lassen Sie uns also einsteigen. Das Fundament jeder Multi-Tenant-WiFi-Architektur ist die Netzwerksegmentierung - und der primäre Mechanismus zur Erreichung dieser Segmentierung ist das VLAN-Tagging, definiert unter IEEE 802.1Q. Das Konzept ist einfach: Sie weisen jeden Mandanten oder jede Verkehrsklasse einem eigenen virtuellen LAN zu. Datenverkehr auf VLAN 10 kann den Datenverkehr auf VLAN 20 nicht erreichen, es sei denn, Sie erlauben dies ausdrücklich durch eine Routing- oder Firewall-Richtlinie. Diese logische Isolierung ist Ihre erste Verteidigungslinie. Aber genau hier machen Architekten oft ihren ersten Fehler: Sie verwechseln VLAN-Segmentierung mit Sicherheit. VLANs bieten Isolierung, keine Sicherheit. Sie benötigen immer noch Firewall-Richtlinien zwischen den VLANs, Sie benötigen immer noch Zugriffskontrolllisten (ACLs) und Sie müssen sich genau überlegen, welches Inter-VLAN-Routing Sie zulassen. Ein falsch konfigurierter Trunk-Port kann Ihr gesamtes Segmentierungsmodell in Sekundenschnelle zum Einsturz bringen. Sprechen wir nun über die physische Schicht. In einer MDU-Umgebung haben Sie in der Regel eine gemeinsam genutzte physische Infrastruktur - Verkabelung, Switch-Fabric und Access Points -, die mehrere Mandanten bedient. Die Access Points selbst strahlen mehrere SSIDs aus, die jeweils einem anderen VLAN zugeordnet sind. Wenn sich also Mieter A mit seiner SSID verbindet, wird sein Datenverkehr am AP mit VLAN 10 getaggt, durchquert die gemeinsam genutzte Switch-Fabric auf einem Trunk-Port und gelangt zur Distributionsebene, wo er in das isolierte Subnetz von Mieter A geroutet wird. Der Datenverkehr von Mieter B folgt demselben physischen Pfad, ist aber auf Layer 2 vollständig isoliert. Hier ist die Wahl Ihrer Access-Point-Plattform von entscheidender Bedeutung. Sie benötigen APs, die mehrere SSID-zu-VLAN-Zuordnungen unterstützen, die das Hochfrequenzmanagement über potenziell Dutzende von Geräten in unmittelbarer Nähe hinweg bewältigen können und die sich in einen zentralen Controller oder eine Cloud-Management-Plattform integrieren lassen. Der Controller ist von entscheidender Bedeutung - er gibt Ihnen die Möglichkeit, Richtlinienänderungen bereitzustellen, den Durchsatz pro Mandant zu überwachen und auf Vorfälle zu reagieren, ohne einzelne APs anfassen zu müssen.Auf der Authentifizierungsseite ist der aktuelle Standard für mandantenfähige Bereitstellungen in Unternehmen IEEE 802.1X mit RADIUS-Authentifizierung. Jeder Mandant authentifiziert sich an seinem eigenen RADIUS-Server oder an einer gemeinsamen RADIUS-Infrastruktur mit mandantenspezifischer Richtliniendurchsetzung. WPA3-Enterprise ist heute der empfohlene Verschlüsselungsstandard - er bietet einen 192-Bit-Sicherheitsmodus für hochempfindliche Umgebungen und eliminiert die Schwachstellen, die mit dem Four-Way-Handshake von WPA2 verbunden sind. Für Gast-WiFi-Segmente - und in einer MDU-Umgebung werden Sie fast immer mindestens eines haben - wird in der Regel ein Captive Portal-Modell verwendet. Der Gast verbindet sich mit einer offenen oder WPA2-Personal SSID, wird auf eine Begrüßungsseite zur Authentifizierung oder zur Annahme der Nutzungsbedingungen weitergeleitet und erhält dann auf einem isolierten VLAN ausschließlich Internetzugang. Entscheidend ist, dass dieses Gast-VLAN keine Route zu einem Mandanten-VLAN haben darf. Absolut keine. Das ist sowohl aus Sicherheits- als auch aus GDPR-Perspektive nicht verhandelbar. Lassen Sie uns kurz über die Funkfrequenzumgebung sprechen, denn hier werden MDU-Bereitstellungen wirklich komplex. Wenn Sie mehrere Mandanten in nebeneinander liegenden Einheiten haben - denken Sie an einen Hotelkorridor mit Zimmern auf beiden Seiten oder ein Einkaufszentrum mit Geschäften, die sich Wände teilen - haben Sie eine hochdichte RF-Umgebung. Gleichkanalstörungen sind Ihr Feind. Sie benötigen vor der Bereitstellung eine ordnungsgemäße RF-Planung: eine Standortanalyse, die die Signalausbreitung abbildet, Störquellen identifiziert und Ihre Kanalbelegungsstrategie unterstützt. Das 2,4-GHz-Band bietet Ihnen in den meisten Regulierungsumgebungen drei überschneidungsfreie Kanäle - die Kanäle 1, 6 und 11. Das 5-GHz-Band bietet Ihnen deutlich mehr, weshalb moderne Bereitstellungen Clients so oft wie möglich auf 5 GHz drängen. WiFi 6 und WiFi 6E erweitern dies zusätzlich in das 6-GHz-Band und bieten Ihnen ein sauberes Spektrum, das weitgehend frei von Störungen durch ältere Geräte ist. Für neue MDU-Bereitstellungen im Jahr 2025 und darüber hinaus ist die Spezifikation von WiFi 6E-fähigen APs die richtige Entscheidung - der zusätzliche Spielraum im Spektrum zahlt sich in dichten Umgebungen aus. Ein Architekturmuster, das bei großen MDU-Bereitstellungen stark an Bedeutung gewinnt, ist die Verwendung eines Software-Defined Networking Overlays - insbesondere SD-WAN- oder SD-LAN-Ansätze, bei denen Mandantenrichtlinien zentral definiert und an die Edge übertragen werden. Dadurch wird die Richtlinienebene von der physischen Infrastruktur entkoppelt, was bedeutet, dass Sie einen neuen Mandanten einrichten, seine Bandbreitenzuweisung ändern oder seinen Zugriff widerrufen können, ohne eine einzige Switch-Befehlszeile anfassen zu müssen. Für Betreiber von Veranstaltungsorten, die Dutzende oder Hunderte von Mandanten verwalten, ist diese betriebliche Effizienz revolutionär. IoT ist die andere Dimension, die Sie nicht ignorieren dürfen. In einem modernen MDU - ob Hotel, Einzelhandelskomplex oder Wohnblock - gibt es Gebäudemanagementsysteme, HVAC-Steuerungen, intelligente Beleuchtung, Zutrittskontrolle, Videoüberwachung und eine wachsende Palette anderer vernetzter Geräte. Diese müssen sich in ihrem eigenen, isolierten VLAN befinden, das sowohl vom Datenverkehr der Mieter als auch von dem der Gäste vollständig getrennt ist. IoT-Geräte sind bekanntermaßen schwer zu patchen und stellen eine erhebliche Angriffsfläche dar. Segmentieren Sie diese, überwachen Sie sie und wenden Sie eine strenge Filterung des ausgehenden Datenverkehrs an, damit sie nur mit ihren vorgesehenen Management-Plattformen kommunizieren können. Lassen Sie uns nun praktisch werden. So würde ich an eine Greenfield-MDU-Bereitstellung herangehen. Beginnen Sie mit Ihrem logischen Design, bevor Sie ein einziges Hardware-Teil anfassen. Planen Sie Ihre Mieterzahl, Ihre Datenverkehrsklassen - Management, Unternehmen, Gäste, IoT, Zahlung - und weisen Sie die VLANs entsprechend zu. Dokumentieren Sie Ihr IP-Adressierungsschema. Definieren Sie Ihre Inter-VLAN-Routing-Richtlinie: Was darf mit wem kommunizieren und was ist absolut verboten. Führen Sie dann Ihre RF-Planung durch. Geben Sie eine ordnungsgemäße Standortvermessung in Auftrag. Verlassen Sie sich nicht auf die Abdeckungskarten der Anbieter - diese sind bestenfalls optimistisch. Sie benötigen tatsächliche Signalmessungen im physischen Raum, die Wandmaterialien, Deckenkonstruktionen und die RF-Umgebung der Nachbargebäude berücksichtigen. Wenn Sie Hardware spezifizieren, bevorzugen Sie Plattformen, die ein zentralisiertes Cloud-Management unterstützen. Der betriebliche Aufwand für die Verwaltung eines verteilten AP-Bestands ohne Controller ist bei einer großen Anzahl von Geräten nicht tragbar. Suchen Sie nach Plattformen, die Ihnen Bandbreitenrichtlinien pro SSID, Berichte pro Mieter und die Integration in Ihre RADIUS-Infrastruktur bieten. Zu den Fallstricken: Der häufigste Fehler, den ich sehe, ist eine unzureichende Konfiguration der Trunk-Ports. Architekten entwerfen ein wunderschönes VLAN-Schema und vergessen dann, die relevanten VLANs auf jeder Trunk-Verbindung im Pfad explizit zuzulassen. Der Datenverkehr bricht geräuschlos ab, Mieter beschweren sich und das Support-Team verbringt Tage mit der Fehlersuche. Dokumentieren Sie Ihre Trunk-Konfigurationen akribisch und validieren Sie diese bei der Inbetriebnahme. Der zweite Fallstrick ist die unkontrollierte Zunahme von SSIDs. Jede SSID, die Sie ausstrahlen, verbraucht Sendezeit für Beacon-Frames. In einer dichten Umgebung verschlechtert die Ausstrahlung von acht oder zehn SSIDs pro AP die Leistung für alle. Halten Sie Ihre SSID-Anzahl so gering wie möglich - in der Regel nicht mehr als vier pro Funkband. Verwenden Sie eine dynamische VLAN-Zuweisung über RADIUS-Attribute anstelle von separaten SSIDs, um mehrere Mieter über eine einzige SSID zu bedienen. Der dritte Fallstrick ist die Vernachlässigung der Management-Ebene. Ihr Management-VLAN - dasjenige, über das Ihre APs, Switches und Controller kommunizieren - muss vollständig von allen Mieter- und Gäste-VLANs isoliert sein. Wenn ein Mieter Ihre Management-Ebene erreichen kann, haben Sie eine kritische Sicherheitslücke. Verwenden Sie nach Möglichkeit Out-of-Band-Management und wenden Sie strenge ACLs auf den Management-Datenverkehr an. Lassen Sie mich nun einige Fragen durchgehen, die bei diesen Bereitstellungen immer wieder auftauchen. Wie viele Mandanten kann ein einzelner AP unterstützen? Praktisch gesehen können die meisten Enterprise-APs 20 bis 30 gleichzeitig aktive Clients pro Funkmodul verarbeiten, bevor die Leistung nachlässt. Planen Sie in einem dichten MDU mit einem AP pro 15 bis 20 aktiven Geräten, nicht pro physischer Wohneinheit. Benötige ich einen separaten AP pro Mandant? Nein - genau das ist der Zweck von VLAN-basierter Mandantenfähigkeit. Mehrere Mandanten teilen sich denselben AP, wobei die Datenverkehrsisolierung auf der Netzwerkschicht erzwungen wird. Was ist die richtige Bandbreitenzuweisung pro Mandant? Es gibt keine allgemeingültige Antwort, aber ein üblicher Ausgangspunkt sind garantierte 10 bis 25 Megabit pro Sekunde mit Burst-Fähigkeit bis zur verfügbaren Uplink-Kapazität. Nutzen Sie QoS-Richtlinien, um dies durchzusetzen und zu verhindern, dass ein einzelner Mandant den gemeinsamen Uplink überlastet. Wie gehe ich mit einem Mandanten um, der eine eigene Firewall benötigt? Stellen Sie ihm ein dediziertes VLAN und einen gerouteten Übergabepunkt bereit. Der Mandant verbindet seine eigene CPE oder Firewall mit diesem Übergabepunkt, und alles dahinter liegt in seiner Verantwortung. Zusammenfassend lässt sich sagen: Eine gut konzipierte mandantenfähige WiFi-Architektur für ein MDU basiert auf vier Säulen. Erstens: Eine strenge VLAN-Segmentierung mit erzwungenen Firewall-Richtlinien zwischen den Segmenten. Zweitens: Ein zentralisiertes, Controller-basiertes Management, das Ihnen betriebliche Transparenz und Richtlinienkontrolle im großen Stil bietet. Drittens: Eine ordnungsgemäße HF-Planung, die die physische Umgebung und die Dichte der Bereitstellung berücksichtigt. Und viertens: Ein Sicherheitsmodell, das Authentifizierung, Verschlüsselung, IoT-Isolierung und Compliance-Anforderungen vom ersten Tag an abdeckt. Die Unternehmen, die dies richtig umsetzen, erzielen messbare Ergebnisse: geringeren Support-Aufwand, schnelleres Onboarding von Mandanten, eine nachweisbare Compliance-Position für Audits und die Möglichkeit, Konnektivität als Service zu monetarisieren, anstatt sie als Kostenstelle zu betrachten. Wenn Sie eine MDU-Bereitstellung planen und erfahren möchten, wie die Plattform von Purple die Analysen, das Management von Gast-WiFi und die Berichterstellung auf Mandantenebene über Ihrer Netzwerkinfrastruktur bereitstellen kann, sind die im Leitfaden verlinkten Ressourcen ein guter Ausgangspunkt. Vielen Dank fürs Zuhören. Bis zum nächsten Mal.