Entwurf einer mandantenfähigen WiFi-Architektur für MDU

Entwurf einer Multi-Tenant-WiFi-Architektur für MDU — Ein technisches Briefing von Purple. Willkommen bei der Reihe der technischen Briefings von Purple. Heute befassen wir uns mit der Architektur, die einigen der komplexesten WiFi-Bereitstellungen zugrunde liegt, denen Sie in Unternehmensumgebungen begegnen werden — Multi-Tenant-WiFi für Mehrfamilienhäuser und gemischt genutzte Gebäude. Ob Sie nun für ein Hotel mit 300 Zimmern verantwortlich sind, in dem sich Gäste, Personal und Gebäudemanagementsysteme dieselbe physische Infrastruktur teilen, für einen gemischt genutzten Einzelhandels- und Bürokomplex oder für ein Studentenwohnheim mit Hunderten von unabhängigen Mietern — die Herausforderung ist im Grunde dieselbe: Wie stellen Sie mehreren unabhängigen Parteien über ein einziges gemeinsam genutztes physisches Netzwerk eine zuverlässige, sichere und isolierte Konnektivität zur Verfügung? Dies ist keine theoretische Übung. Die Entscheidungen, die Sie in der Architekturphase treffen, bestimmen direkt Ihr Sicherheitsniveau, Ihr Compliance-Risiko im Rahmen der GDPR und PCI DSS und, ehrlich gesagt, ob Ihr Support-Desk sechs Monate nach dem Go-Live mit Beschwerden überschwemmt wird. Lassen Sie uns also einsteigen. Das Fundament jeder Multi-Tenant-WiFi-Architektur ist die Netzwerksegmentierung — und der primäre Mechanismus zur Erreichung dieser Segmentierung ist das VLAN-Tagging, definiert unter IEEE 802.1Q. Das Konzept ist einfach: Sie weisen jedem Mieter oder jeder Datenverkehrsklasse ein eigenes virtuelles LAN zu. Der Datenverkehr auf VLAN 10 kann den Datenverkehr auf VLAN 20 nicht erreichen, es sei denn, Sie erlauben dies explizit durch eine Routing- oder Firewall-Richtlinie. Diese logische Isolierung ist Ihre erste Verteidigungslinie. Aber hier machen Architekten oft ihren ersten Fehler: Sie verwechseln VLAN-Segmentierung mit Sicherheit. VLANs bieten Isolierung, nicht Sicherheit. Sie benötigen weiterhin Firewall-Richtlinien zwischen den VLANs, Sie benötigen weiterhin Zugriffskontrolllisten und Sie müssen sich genau überlegen, welches Inter-VLAN-Routing Sie zulassen. Ein falsch konfigurierter Trunk-Port kann Ihr gesamtes Segmentierungsmodell in Sekundenschnelle zum Einsturz bringen. Lassen Sie uns nun über die physische Ebene sprechen. In einer MDU-Umgebung verfügen Sie in der Regel über eine gemeinsam genutzte physische Infrastruktur — Verkabelung, Switch-Fabric und Access Points —, die mehrere Mieter bedient. Die Access Points selbst strahlen mehrere SSIDs aus, die jeweils einem anderen VLAN zugeordnet sind. Wenn sich also Mieter A mit seiner SSID verbindet, wird sein Datenverkehr am AP mit VLAN 10 getaggt, durchläuft die gemeinsam genutzte Switch-Fabric auf einem Trunk-Port und gelangt zur Distributionsebene, wo er in das isolierte Subnetz von Mieter A geroutet wird. Der Datenverkehr von Mieter B folgt demselben physischen Pfad, ist jedoch auf Layer 2 vollständig isoliert. Hier ist die Wahl Ihrer Access-Point-Plattform von enormer Bedeutung. Sie benötigen APs, die mehrere SSID-zu-VLAN-Zuordnungen unterstützen, die das Hochfrequenzmanagement über potenziell Dutzende von Geräten in unmittelbarer Nähe hinweg bewältigen können und die sich in einen zentralen Controller oder eine Cloud-Management-Plattform integrieren lassen. Der Controller ist entscheidend — er gibt Ihnen die Möglichkeit, Richtlinienänderungen zu übertragen, den Durchsatz pro Mieter zu überwachen und auf Vorfälle zu reagieren, ohne einzelne APs anfassen zu müssen. Auf der Authentifizierungsseite ist der aktuelle Standard für mandantenfähige Bereitstellungen der Enterprise-Klasse IEEE 802.1X mit RADIUS-Authentifizierung. Jeder Mandant authentifiziert sich an seinem eigenen RADIUS-Server oder an einer gemeinsam genutzten RADIUS-Infrastruktur mit mandantenspezifischer Richtliniendurchsetzung. WPA3-Enterprise ist mittlerweile der empfohlene Verschlüsselungsstandard – er bietet einen 192-Bit-Sicherheitsmodus für hochsensible Umgebungen und eliminiert die Schwachstellen, die mit dem Four-Way-Handshake von WPA2 verbunden sind. Für Gast-WiFi-Segmente – und im MDU-Kontext werden Sie fast immer mindestens eines haben – greift man in der Regel auf ein Captive Portal-Modell zurück. Der Gast verbindet sich mit einer offenen oder WPA2-Personal-SSID, wird zur Authentifizierung oder zur Akzeptanz der Nutzungsbedingungen auf eine Splash-Page weitergeleitet und erhält dann reinen Internetzugang in einem isolierten VLAN. Entscheidend ist, dass dieses Gast-VLAN keine Route zu einem Mandanten-VLAN haben darf. Keine. Das ist sowohl aus Sicherheits- als auch aus GDPR-Perspektive nicht verhandelbar. Lassen Sie uns kurz über die Hochfrequenzumgebung sprechen, denn hier werden MDU-Bereitstellungen wirklich komplex. Wenn Sie mehrere Mandanten in angrenzenden Einheiten haben – denken Sie an einen Hotelkorridor mit Zimmern auf beiden Seiten oder ein Einkaufszentrum mit Geschäften, die sich Wände teilen –, haben Sie eine hochdichte HF-Umgebung. Gleichkanalstörungen sind Ihr Feind. Sie benötigen vor der Bereitstellung eine ordnungsgemäße HF-Planung: eine Standortvermessung (Site Survey), die die Signalübertragung abbildet, Störquellen identifiziert und Ihre Kanalbelegungsstrategie unterstützt. Das 2,4-GHz-Band bietet Ihnen in den meisten regulatorischen Bereichen drei überschneidungsfreie Kanäle – die Kanäle 1, 6 und 11. Das 5-GHz-Band bietet Ihnen deutlich mehr, weshalb moderne Bereitstellungen Clients wo immer möglich auf 5 GHz drängen. Wi-Fi 6 und Wi-Fi 6E erweitern dies noch weiter in das 6-GHz-Band und bieten Ihnen ein sauberes Spektrum, das weitgehend frei von Interferenzen durch Altgeräte ist. Für neue MDU-Bereitstellungen im Jahr 2025 und darüber hinaus ist die Spezifikation von Wi-Fi 6E-fähigen APs die richtige Entscheidung – der zusätzliche Spektrumsspielraum zahlt sich in dichten Umgebungen aus. Ein Architekturmuster, das bei großen MDU-Bereitstellungen erheblich an Bedeutung gewinnt, ist die Verwendung eines Software-Defined Networking Overlays – insbesondere SD-WAN- oder SD-LAN-Ansätze, bei denen Mandantenrichtlinien zentral definiert und an die Edge gepusht werden. Dies entkoppelt die Richtlinienebene von der physischen Infrastruktur, was bedeutet, dass Sie einen neuen Mandanten einrichten, seine Bandbreitenzuweisung ändern oder seinen Zugriff entziehen können, ohne eine einzige Switch-Befehlszeile anfassen zu müssen. Für Betreiber von Veranstaltungsorten, die Dutzende oder Hunderte von Mandanten verwalten, ist diese betriebliche Effizienz bahnbrechend. IoT ist die andere Dimension, die Sie nicht ignorieren dürfen. In einem modernen MDU – sei es ein Hotel, ein Einkaufszentrum oder ein Wohnblock – gibt es Gebäudemanagementsysteme, HLK-Steuerungen, intelligente Beleuchtung, Zutrittskontrolle, Videoüberwachung und eine wachsende Palette anderer vernetzter Geräte. Diese müssen sich in ihrem eigenen, isolierten VLAN befinden, völlig getrennt sowohl vom Datenverkehr der Mieter als auch von dem der Gäste. IoT-Geräte sind bekanntermaßen schwer zu patchen und stellen eine erhebliche Angriffsfläche dar. Segmentieren Sie sie, überwachen Sie sie und wenden Sie eine strenge Egress-Filterung an, damit sie nur mit ihren vorgesehenen Management-Plattformen kommunizieren können. Gut, werden wir praktisch. So würde ich an eine MDU-Neuinstallation herangehen. Beginnen Sie mit Ihrem logischen Design, bevor Sie auch nur ein einziges Hardwareteil anfassen. Planen Sie Ihre Mieterzahl und Ihre Datenverkehrsklassen – Management, Unternehmen, Gäste, IoT, Zahlungsverkehr – und weisen Sie die VLANs entsprechend zu. Dokumentieren Sie Ihr IP-Adressierungsschema. Definieren Sie Ihre Inter-VLAN-Routing-Richtlinie: Was darf mit was kommunizieren und was ist absolut verboten. Führen Sie dann Ihre RF-Planung durch. Geben Sie eine ordnungsgemäße Standortvermessung in Auftrag. Verlassen Sie sich nicht auf die Abdeckungskarten der Hersteller – diese sind bestenfalls optimistisch. Sie benötigen tatsächliche Signalmessungen im physischen Raum, die Wandmaterialien, Deckenkonstruktionen und die RF-Umgebung von Nachbargebäuden berücksichtigen. Wenn Sie Hardware spezifizieren, bevorzugen Sie Plattformen, die ein zentralisiertes Cloud-Management unterstützen. Der betriebliche Aufwand für die Verwaltung einer verteilten AP-Infrastruktur ohne Controller ist bei Skalierung nicht tragbar. Suchen Sie nach Plattformen, die Ihnen Bandbreitenrichtlinien pro SSID, Berichte pro Mieter und die Integration in Ihre RADIUS-Infrastruktur bieten. Zu den Fallstricken: Der häufigste Fehler, den ich sehe, ist eine unzureichende Konfiguration der Trunk-Ports. Architekten entwerfen ein wunderschönes VLAN-Schema und vergessen dann, die relevanten VLANs auf jeder Trunk-Verbindung im Pfad explizit zuzulassen. Der Datenverkehr bricht geräuschlos ab, Mieter beschweren sich und das Support-Team verbringt Tage mit der Fehlersuche. Dokumentieren Sie Ihre Trunk-Konfigurationen akribisch und validieren Sie diese bei der Inbetriebnahme. Der zweite Fallstrick ist die unkontrollierte Verbreitung von SSIDs. Jede SSID, die Sie ausstrahlen, verbraucht Sendezeit für Beacon-Frames. In einer dichten Umgebung verschlechtert das Ausstrahlen von acht oder zehn SSIDs pro AP die Leistung für alle. Halten Sie Ihre SSID-Anzahl auf dem absolut notwendigen Minimum – in der Regel nicht mehr als vier pro Funkmodul. Nutzen Sie die dynamische VLAN-Zuweisung über RADIUS-Attribute anstelle von separaten SSIDs, um mehrere Mieter über eine einzige SSID zu bedienen. Der dritte Fallstrick ist die Vernachlässigung der Management-Ebene. Ihr Management-VLAN – dasjenige, über das Ihre APs, Switches und Controller kommunizieren – muss vollständig von allen Mieter- und Gäste-VLANs isoliert sein. Wenn ein Mieter Ihre Management-Ebene erreichen kann, haben Sie eine kritische Sicherheitslücke. Nutzen Sie nach Möglichkeit Out-of-Band-Management und wenden Sie strenge ACLs auf den Management-Datenverkehr an. Lassen Sie mich nun einige Fragen durchgehen, die bei diesen Bereitstellungen immer wieder auftauchen. Wie viele Mieter kann ein einzelner AP unterstützen? In der Praxis können die meisten Enterprise-APs 20 bis 30 gleichzeitig aktive Clients pro Funkmodul verarbeiten, bevor die Leistung nachlässt. Planen Sie in einem dichten MDU mit einem AP pro 15 bis 20 aktive Geräte, nicht pro Wohneinheit. Benötige ich einen separaten AP pro Mieter? Nein – genau das ist der Sinn von VLAN-basierter Mandantenfähigkeit. Mehrere Mieter teilen sich denselben AP, wobei die Datenverkehrsisolierung auf der Netzwerkschicht erzwungen wird. Was ist die richtige Bandbreitenzuweisung pro Mieter? Es gibt keine allgemeingültige Antwort, aber ein üblicher Ausgangspunkt sind 10 bis 25 Megabit pro Sekunde garantiert mit Burst-Fähigkeit bis zur verfügbaren Uplink-Kapazität. Nutzen Sie QoS-Richtlinien, um dies durchzusetzen und zu verhindern, dass ein einzelner Mieter den gemeinsamen Uplink überlastet. Wie gehe ich mit einem Mieter um, der eine eigene Firewall benötigt? Richten Sie für diesen ein dediziertes VLAN und einen gerouteten Übergabepunkt ein. Der Mieter verbindet sein eigenes CPE oder seine eigene Firewall mit diesem Übergabepunkt, und alles dahinter liegt in seiner Verantwortung. Zusammenfassend lässt sich sagen: Eine gut konzipierte Multi-Tenant-WiFi-Architektur für ein MDU basiert auf vier Säulen. Erstens: eine strenge VLAN-Segmentierung mit erzwungenen Firewall-Richtlinien zwischen den Segmenten. Zweitens: ein zentralisiertes, Controller-basiertes Management, das Ihnen betriebliche Transparenz und Richtlinienkontrolle im großen Stil bietet. Drittens: eine ordnungsgemäße RF-Planung, die die physische Umgebung und die Dichte der Bereitstellung berücksichtigt. Und viertens: ein Sicherheitsmodell, das Authentifizierung, Verschlüsselung, IoT-Isolierung und Compliance-Anforderungen vom ersten Tag an abdeckt. Die Unternehmen, die dies richtig umsetzen, erzielen messbare Ergebnisse: geringeren Support-Aufwand, schnelleres Onboarding von Mietern, eine nachweisbare Compliance-Position bei Audits und die Möglichkeit, Konnektivität als Service zu monetarisieren, anstatt sie als Kostenstelle zu betrachten. Wenn Sie eine MDU-Bereitstellung planen und herausfinden möchten, wie die Plattform von Purple die Analyse-, Gast-WiFi-Management- und Berichterstellungsebene auf Mieterebene über Ihrer Netzwerkinfrastruktur bereitstellen kann, sind die im Leitfaden verlinkten Ressourcen ein guter Ausgangspunkt. Vielen Dank fürs Zuhören. Bis zum nächsten Mal.