iPSK ff: ein umfassender Leitfaden für Unternehmen
iPSK ff (Identity Pre-Shared Key) ist der definitive WiFi Authentifizierungsstandard für Multi-Tenant-Umgebungen - er liefert jedem Bewohner eine eindeutige Passphrase auf einer einzigen SSID, mit dynamischer VLAN-Zuweisung und Layer-2-Isolierung. Dieser Leitfaden behandelt die technische Architektur, die Implementierungsschritte und die wirtschaftlichen Argumente für Immobilienentwickler, BTR-Betreiber und Vermieter, die verwaltetes WiFi in großem Stil bereitstellen.
Diesen Leitfaden anhören
Podcast-Transkript ansehen
Executive Summary
Für Build-to-Rent (BTR) Betreiber, Immobilienentwickler und Vermieter von Mehrfamilienhäusern (MDU) ist WiFi keine nette Zusatzleistung mehr. Es ist die Grundversorgung, die Bewohner bewerten, noch bevor sie einen Mietvertrag unterschreiben. Traditionelle Ansätze scheitern in der Praxis: Gemeinsam genutzte PSK-Netzwerke setzen die Geräte eines Bewohners jedem Nachbarn aus, die 802.1X Enterprise-Authentifizierung blockiert die Smart Home-Geräte, auf die sich Bewohner verlassen, und ein physischer Router in jeder Wohneinheit verursacht erhebliche Funkfrequenz-Interferenzen (RF), welche die Geschwindigkeiten für das gesamte Gebäude beeinträchtigen.
Identity PSK (iPSK) löst alle drei Probleme. Es vergibt ein einzigartiges WiFi-Passwort an jeden Haushalt in einem einzigen, gebäudeweiten Netzwerk. Jedes Passwort ist einem isolierten VLAN zugeordnet und schafft so eine private WiFi-Blase pro Bewohner. Geräte innerhalb dieser Blase finden sich gegenseitig - Smartphones streamen auf Fernseher, Konsolen verbinden sich mit dem Internet, Smart Speaker reagieren auf Sprachbefehle - während sie für Nachbarn völlig unsichtbar bleiben. Purple stellt dies als hardwareunabhängiges Cloud-Overlay bereit, das auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks und Fortinet Access Points läuft. Das Ergebnis ist ein Mietaufschlag von 15 - 30 £ pro Wohneinheit und Monat, fünf bis zehn Tage kürzere Leerstandszeiten und eine Reduzierung der Konnektivitätskosten pro Wohneinheit um 30 - 50 % im Vergleich zu einzelnen Breitbandverträgen (interne Daten von Purple, 2025).
Technischer Deep-Dive
Was iPSK tatsächlich tut
iPSK (Identity Pre-Shared Key) - von HPE Aruba als MPSK, von Ruckus als DPSK und von Cambium und Juniper Mist als ePSK bezeichnet - ermöglicht es einer einzigen SSID, Tausende von verschiedenen Passwörtern gleichzeitig zu akzeptieren. Jedes Passwort ist für einen Bewohner oder Haushalt einzigartig. Das Netzwerk nutzt dieses Passwort als Identitätssignal, nicht nur als Türöffner.
Wenn sich das Gerät eines Bewohners verbindet, prüft der Access Point (AP) nicht einfach nur, ob das Passwort korrekt ist. Er leitet die Authentifizierungsanfrage an einen RADIUS-Server (Remote Authentication Dial-In User Service) weiter. Der RADIUS-Server validiert das Passwort anhand des Bewohnerprofils und gibt eine Access-Accept-Nachricht zurück, die spezifische Richtlinienattribute enthält - vor allem die dem Bewohner zugewiesene VLAN ID. Der AP kennzeichnet dann den gesamten Datenverkehr dieses Geräts mit dem korrekten VLAN und platziert es in dem isolierten Netzwerksegment des Bewohners.
Diese dynamische VLAN-Zuweisung ist der Mechanismus, der die WiFi-Blase pro Bewohner erzeugt. Das Smartphone, der Laptop und der Smart TV von Bewohner A nutzen alle dasselbe VLAN und können über Multicast- und Broadcast-Protokolle (mDNS für AirPlay und Chromecast, SSDP für DLNA) ungehindert miteinander kommunizieren. Die Geräte von Bewohner B befinden sich in einem völlig separaten VLAN und sind für Bewohner A unsichtbar, obwohl beide Haushalte dieselben physischen Access Points nutzen.
Warum 802.1X für Wohnanlagen nicht funktioniert
IEEE 802.1X ist der Goldstandard für die Netzwerkauthentifizierung in Unternehmen. Es erfordert, dass jedes Gerät über einen EAP-Austausch (Extensible Authentication Protocol) einen Benutzernamen und ein Passwort oder ein digitales Zertifikat an einen RADIUS-Server übermittelt. Das Problem in Wohnumgebungen ist die Gerätekompatibilität. Intelligente Glühbirnen, Sprachassistenten, Spielekonsolen und die meisten IoT-Sensoren verfügen nicht über einen 802.1X-Supplicant. Sie können nicht an einem EAP-Austausch teilnehmen. Die Erzwingung von 802.1X in einem Wohnnetzwerk führt dazu, dass Bewohner ihre Smart-Home-Geräte nicht verbinden können, was eine Flut von Support-Anrufen und erhebliche Unzufriedenheit bei den Bewohnern zur Folge hat.
iPSK verwendet WPA2-Personal oder WPA3-Personal auf Client-Ebene, was von jedem Verbrauchergerät unterstützt wird. Die Identitätslogik auf Enterprise-Niveau läuft vollständig im Backend zwischen dem AP und dem RADIUS-Server und bleibt für das verbindende Gerät unsichtbar.
Der Authentifizierungsablauf im Detail
Die folgende Sequenz beschreibt, was ab dem Moment passiert, in dem sich das Gerät eines Bewohners verbindet:
- Das Gerät sendet einen Probe Request und assoziiert sich mit der SSID.
- Das Gerät sendet seine Passphrase während des WPA2/WPA3-Vier-Wege-Handshakes.
- Der AP fängt die Passphrase ab und erstellt einen RADIUS Access-Request, der die MAC-Adresse des Geräts und die Passphrase als Cisco AV-Pair-Attribut (
psk-modeundpsk-password) enthält. - Der Cloud-RADIUS-Server (Purple RADIUS-as-a-Service) gleicht die Passphrase mit der Bewohnerdatenbank ab.
- Bei Erfolg gibt der RADIUS-Server ein Access-Accept mit der VLAN ID, der QoS-Richtlinie und dem Bandbreitenprofil für diesen Bewohner zurück.
- Der AP weist das Gerät dem angegebenen VLAN zu und schließt die Assoziierung ab.
- Das Gerät erhält eine IP-Adresse aus dem DHCP-Bereich für dieses VLAN und ist innerhalb seines isolierten Segments online.
Die gesamte Sequenz dauert weniger als 500 Millisekunden und ist für den Bewohner völlig transparent.
Hinweise zur Implementierung der verschiedenen Hersteller
Das Kernkonzept ist standardisiert, aber die Implementierungen der Hersteller unterscheiden sich in der Benennung und der Handhabung der Attribute. Cisco Meraki verwendet die Cisco AV-Pairs psk-mode und psk-password. HPE Aruba ClearPass nutzt sein eigenes MPSK-Attributset. Ruckus SmartZone unterstützt DPSK bei kleineren Bereitstellungen nativ ohne einen RADIUS-Server, obwohl eine RADIUS-Integration für alle Anlagen mit mehr als 50 Einheiten empfohlen wird. Die Cloud-RADIUS-Ebene von Purple gleicht diese Unterschiede aus und bietet eine einzige Verwaltungsoberfläche, unabhängig von der zugrunde liegenden Hardware.
Implementierungshandbuch
Schritt 1: Subnetz- und VLAN-Design
In einer hochverdichteten BTR-Umgebung sollten Sie mit 15 bis 25 Geräten pro Einheit planen. Ein Standard-/24-Subnetz (254 nutzbare Adressen) wird seinen DHCP-Pool in einem Gebäude mit mehr als zehn Einheiten schnell erschöpfen. Verwenden Sie /20- oder /21-Subnetze für Ihre Client-VLANs. Stellen Sie sicher, dass Ihre DHCP-Lease-Zeiten angemessen konfiguriert sind - in der Regel acht bis 12 Stunden für Wohnbereiche, aber kürzer für flüchtige Gäiseumgebungen wie Hotels oder Serviced Apartments.
Entwerfen Sie ein separates VLAN für IoT-Geräte der Gebäudeverwaltung (Türsprechanlagen, CCTV, HVAC-Sensoren). Dadurch bleibt die Betriebsinfrastruktur vom Datenverkehr der Bewohner isoliert und Sicherheitsprüfungen werden vereinfacht.
Schritt 2: Platzierung der Access Points und RF-Planung
Entfernen Sie die Router der einzelnen Einheiten, bevor Sie verwaltete APs bereitstellen. Platzieren Sie APs der Enterprise-Klasse in Korridoren, Gemeinschaftsbereichen und Betriebsräumen, um eine Abdeckung zu gewährleisten, ohne in die einzelnen Einheiten einzudringen. Nutzen Sie eine professionelle RF-Messung, um die AP-Dichte zu bestimmen. Für ein typisches Wohngebäude in Standard-Betonbauweise ist ein AP pro zwei bis vier Einheiten ein vernünftiger Ausgangspunkt, der jedoch immer durch eine Standortmessung validiert werden sollte.
Konfigurieren Sie APs so, dass sie die 5GHz- und 6GHz-Bänder bevorzugen. Reservieren Sie 2,4GHz für ältere IoT-Geräte, die keine Verbindung auf höheren Bändern herstellen können. Aktivieren Sie Band-Steering, um fähige Geräte automatisch auf die schnelleren Bänder umzuleiten.
Schritt 3: Automatisierung des Key-Lifecycle-Managements
Verwalten Sie Schlüssel nicht manuell. Integrieren Sie Ihr Property Management System (PMS) oder Ihren Identity Provider (IdP) in Ihre RADIUS-Infrastruktur. Wenn ein neuer Mietvertrag unterzeichnet wird, sollte das System automatisch einen eindeutigen iPSK generieren und per E-Mail an den Bewohner senden. Wenn dieser auszieht, muss der Schlüssel sofort widerrufen werden. Die Plattform von Purple fungiert als diese Orchestrierungsebene und lässt sich in Microsoft Entra ID, Okta und Google Workspace sowie in führende PMS-Plattformen integrieren. Diese Automatisierung eliminiert den manuellen Aufwand, der iPSK-Bereitstellungen in großem Maßstab ohne die richtigen Tools betrieblich unpraktikabel macht.
Schritt 4: Umgang mit der Randomisierung von MAC-Adressen
Moderne Betriebssysteme verwenden aus Datenschutzgründen standardmäßig die Randomisierung von MAC-Adressen. iOS 14 und höher, Android 10 und höher sowie Windows 11 randomisieren alle die MAC-Adresse, wenn sie eine Verbindung zu neuen Netzwerken herstellen. Da iPSK in einigen Implementierungen für die Identitätssuche auf MAC-Adressen angewiesen ist, kann eine randomisierte MAC zu Authentifizierungsfehlern führen oder die VLAN-Zuweisung verhindern.
Die empfohlene Abhilfemaßnahme besteht darin, Ihr Onboarding-Portal so zu konfigurieren, dass es Bewohner anweist, die Option "Private WLAN-Adresse" (iOS) oder "Randomisierte MAC" (Android) für die SSID des Gebäudes zu deaktivieren. Alternativ können Sie einen Vorregistrierungs-Workflow implementieren, bei dem sich der Bewohner bei der ersten Verbindung über ein Webportal authentifiziert und die aktuelle MAC-Adresse seines Geräts an sein Profil bindet. Das Self-Service-Portal von Purple übernimmt dies automatisch.
Schritt 5: Self-Service-Geräteverwaltung
Bewohner fügen regelmäßig neue Geräte hinzu. Bieten Sie ein Self-Service-Portal oder eine App an, auf dem Bewohner neue MAC-Adressen registrieren, verbundene Geräte einsehen und ihr Passwort zurücksetzen können, ohne sich an die Hausverwaltung wenden zu müssen. Das Bewohnerportal von Purple übernimmt diese Aufgabe und reduziert die Anzahl der Support-Tickets im Vergleich zu manuell verwalteten Netzwerken um bis zu 60 % (interne Daten von Purple, 2025).
Best Practices
Um die Effektivität Ihrer iPSK-Bereitstellung zu maximieren, befolgen Sie diese bewährten Branchenempfehlungen:
Erzwingen Sie Layer-2-Isolierung auf SSID-Ebene. Konfigurieren Sie die Peer-to-Peer-Blockierung auf der SSID und überschreiben Sie diese nur für Geräte innerhalb desselben zugewiesenen VLANs. Dies stellt sicher, dass das PAN korrekt funktioniert, und verhindert den Datenverkehr zwischen Bewohnern auf der Wireless-Ebene, nicht nur auf der Routing-Ebene.
Planen Sie eine RADIUS-Redundanz ein. Ihr Netzwerk ist nur so zuverlässig wie Ihre RADIUS-Infrastruktur. Stellen Sie primäre und sekundäre RADIUS-Server über verschiedene Verfügbarkeitszonen oder Rechenzentren hinweg bereit. Konfigurieren Sie den WLC mit entsprechenden Failover-Timern - in der Regel drei bis fünf Sekunden, bevor auf den sekundären Server umgeschaltet wird.
Überwachen Sie den RF-Zustand kontinuierlich. Auch wenn Sie weniger APs als bei einem Design mit einem Router pro Wohneinheit verwenden, sollten Sie die Kanalauslastung und Co-Kanal-Interferenzen überwachen. Nutzen Sie die integrierten RF-Analysen in Cisco Meraki, HPE Aruba Central oder Juniper Mist AI, um Störungen automatisch zu erkennen und zu beheben.
Richten Sie sich nach der GDPR und den Datenschutzstandards aus. iPSK selbst ist ein Netzwerk-Authentifizierungsmechanismus und kein Datenerfassungstool. Die Identitätsdaten, die Sie in Ihrer RADIUS-Datenbank speichern (Namen der Bewohner, E-Mail-Adressen, MAC-Adressen der Geräte), sind jedoch personenbezogene Daten gemäß der GDPR. Stellen Sie sicher, dass Ihre Richtlinien zur Datenaufbewahrung, Einwilligungsmechanismen und Vereinbarungen zur Auftragsverarbeitung vor dem Live-Gang eingerichtet sind. Purple ist nach GDPR, CCPA, ISO 27001 und Cyber Essentials zertifiziert.
Testen Sie Ihre IoT-Geräteflotte vor dem Live-Gang. Die meisten IoT-Geräte funktionieren problemlos mit iPSK, aber einige ältere Geräte weisen Besonderheiten beim WPA2-PSK-Handshake auf. Führen Sie vor der Bereitstellung einen Kompatibilitätstest durch, insbesondere für maßgeschneiderte oder veraltete Hardware wie ältere Zutrittskontrollsysteme oder Gebäudemanagementsensoren.
Einen umfassenderen Überblick darüber, wie Sie Ihr Netzwerk für Gäste-, Mitarbeiter- und IoT-Verkehr strukturieren können, finden Sie in unserem Leitfaden über Drei SSIDs, um sie alle zu beherrschen: Gäste, Passpoint und IoT WiFi .
Fehlerbehebung und Risikominderung
Authentifizierungs-Timeouts
Wenn der RADIUS-Server nur langsam antwortet, bricht der WLC die Verbindung zum Client möglicherweise ab, bevor der Handshake abgeschlossen ist. Überwachen Sie die RADIUS-Antwortlatenz und stellen Sie sicher, dass sie unter 200 ms bleibt. Wenn Sie einen Cloud-RADIUS-Service nutzen, überprüfen Sie die Stabilität der WAN-Uplinks und konfigurieren Sie das lokale RADIUS-Caching, sofern die Hardware dies unterstützt.
DHCP-Erschöpfung
Wenn Geräte eine Verbindung herstellen, aber keine IP-Adresse erhalten, ist Ihr Subnetz zu klein oder die Lease-Zeiten sind zu lang. Überwachen Sie die Auslastung des DHCP-Pools und erweitern Sie den Bereich, bevor er 80 % der Kapazität erreicht. In einem Gebäude mit 200 Wohneinheiten und 25 Geräten pro Einheit benötigen Sie mindestens 5.000 verfügbare Adressen - ein /19-Subnetz bietet 8.190 nutzbare Adressen und schafft Spielraum für Wachstum.
Roaming-Probleme
Stellen Sie in einer Multi-AP-Umgebung sicher, dass 802.11k (Nachbarschaftsberichte), 802.11v (BSS-Übergangsmanagement) und 802.11r (Fast-BSS-Transition) aktiviert sind, um das Client-Roaming zu unterstützen. Wenn ein Gerät die Verbindung verliert, während es sich zwischen APs bewegt, überprüfen Sie, ob das VLAN vorhanden und auf allen Switches und Access Points korrekt getrunkt ist. Ein häufiger Fehler besteht darin, das VLAN auf dem WLC zu konfigurieren, aber zu vergessen, es dem Trunk-Port auf dem Verteilungsswitch hinzuzufügen.
MAC-Randomisierung verursacht Authentifizierungsfehler
Wenn Bewohner von zeitweise auftretenden Verbindungsabbrüchen berichten, insbesondere nachdem ihr Gerät inaktiv war, ist die MAC-Randomisierung die wahrscheinlichste Ursache. Suchen Sie in Ihren RADIUS-Protokollen nach Access-Reject-Meldungen von unbekannten MAC-Adressen. Implementieren Sie den in Schritt 4 der Implementierungsanleitung beschriebenen Vorregistrierungs-Workflow.
ROI und geschäftlicher Nutzen
Die Bereitstellung von iPSK verwandelt WiFi von einem Kostenfaktor in einen strategischen Vorteil für BTR-Betreiber und Immobilienentwickler.
Mietaufschlag. Verwaltetes WiFi als inbegriffene Annehmlichkeit unterstützt einen Mietaufschlag von 15 - 30 £ pro Einheit und Monat auf dem britischen BTR-Markt (interne Daten von Purple, 2025). Bei einem Projekt mit 200 Einheiten entspricht dies zusätzlichen jährlichen Einnahmen von 36.000 - 72.000 £.
Reduzierte Leerstandszeiten. Die "Instant-On"-Erfahrung - bei der ein Bewohner seinen eindeutigen Schlüssel vor dem Einzugstag erhält und sofort bei der Ankunft online ist - reduziert Leerstandszeiten um fünf bis zehn Tage. Bei einer durchschnittlichen Monatsmiete von 1.500 £ pro Einheit entspricht dies einer Ersparnis von 250 - 500 £ pro vermiedenem Leerstand.
Geringere Hardwarekosten. Der Verzicht auf einzelne Router in 200 Einheiten eliminiert die Investitionskosten für 200 Verbrauchergeräte (normalerweise 50 - 100 £ pro Stück) und den laufenden Support-Aufwand für deren Verwaltung. In Fluren installierte Enterprise-APs kosten zwar pro Gerät mehr, decken jedoch mehrere Wohnungen ab, was die Gesamtzahl der Geräte erheblich reduziert.
Reduzierter Support-Aufwand. Die automatisierte Bereitstellung und der Widerruf von Schlüsseln in Kombination mit der Selbstbedienung bei der Geräteverwaltung reduzieren WiFi-bezogene Support-Tickets um bis zu 60 % (interne Daten von Purple, 2025). Für ein Immobilienmanagement-Team, das 500 Einheiten betreut, bedeutet dies eine erhebliche Reduzierung der Betriebskosten.
Analysen und Daten. Die Plattform für WiFi Analytics von Purple bietet Einblicke in die Netzwerkauslastung, Spitzenzeiten und die Gerätedichte pro Etage. Diese Daten dienen als Grundlage für Entscheidungen über die Platzierung von APs, die Bereitstellung von Bandbreite und zukünftige Infrastrukturinvestitionen. Weitere Informationen darüber, wie die Guest WiFi -Plattform von Purple Multi-Tenant-Bereitstellungen unterstützt, einschließlich des vollständigen Funktionsumfangs für das Onboarding und das Lifecycle-Management von Bewohnern, finden Sie auf unseren speziellen Produktseiten.
Weiterführende Informationen zu PPSK-Bereitstellungsmodellen und wie sie im Vergleich zu iPSK bei verschiedenen Anbieterimplementierungen abschneiden, finden Sie in unserem Leitfaden über PPSK usm kubang kerian: Vergleich von Funktionen und Bereitstellungsmodellen .
Schlüsseldefinitionen
iPSK (Identity Pre-Shared Key)
Eine drahtlose Authentifizierungsmethode, die jedem Benutzer oder Gerät auf einer einzigen SSID eine eindeutige Passphrase zuweist. Die Passphrase fungiert als Identitätssignal, das eine dynamische VLAN-Zuweisung und die Durchsetzung von Richtlinien pro Benutzer über einen RADIUS-Server auslöst.
Das primäre Authentifizierungsmodell für mandantenfähiges Wohn-WiFi, das in Umgebungen mit gemischten Geräteflotten sowohl gemeinsam genutztes PSK als auch 802.1X ersetzt.
VLAN (Virtual Local Area Network)
Ein logisches Subnetzwerk, das Geräte von verschiedenen physischen Standorten in einer einzigen Broadcast-Domäne zusammenfasst und deren Datenverkehr von anderen VLANs auf derselben physischen Infrastruktur isoliert.
Der Mechanismus, der in einer iPSK-Bereitstellung eine Isolierung pro Bewohner bewirkt. Der eindeutige Schlüssel jedes Bewohners wird einer bestimmten VLAN-ID zugeordnet, die vom RADIUS-Server zurückgegeben wird.
RADIUS (Remote Authentication Dial-In User Service)
Ein Netzwerkprotokoll, das eine zentralisierte Verwaltung von Authentifizierung, Autorisierung und Accounting (AAA) bietet. In einer iPSK-Bereitstellung validiert der RADIUS-Server die Passphrase und gibt die VLAN-Zuweisung zurück.
Die Backend-Intelligenz in einer iPSK-Bereitstellung. Purple bietet RADIUS-as-a-Service an, wodurch das Self-Hosting dieser Infrastruktur entfällt.
PAN (Private Area Network)
Ein virtualisiertes, isoliertes Netzwerksegment, das für einen bestimmten Bewohner erstellt wird und es seinen Geräten ermöglicht, sich gegenseitig über mDNS und SSDP zu erkennen und miteinander zu kommunizieren, während sie für andere Bewohner auf derselben physischen Infrastruktur unsichtbar bleiben.
Der für Bewohner spürbare Vorteil der VLAN-Isolierung von iPSK. Sie ermöglicht AirPlay, Chromecast und die Erkennung von Smart-Home-Geräten innerhalb der eigenen Blase des Bewohners.
MAC-Adressen-Randomisierung
Eine Datenschutzfunktion in iOS 14+, Android 10+ und Windows 11, die die MAC-Adresse des Geräts regelmäßig ändert, um ein Tracking über Netzwerke hinweg zu verhindern.
Eine erhebliche betriebliche Herausforderung für iPSK-Bereitstellungen. Randomisierte MAC-Adressen können zu Authentifizierungsfehlern führen, wenn der RADIUS-Server MAC-Adressen zur Geräteidentifikation verwendet.
Headless-Gerät
Ein mit dem Netzwerk verbundenes Gerät ohne herkömmliche Benutzeroberfläche (Bildschirm oder Tastatur), wie z. B. eine intelligente Glühbirne, ein Umgebungssensor oder ein Streaming-Stick.
Diese Geräte können keine Captive Portals navigieren oder die zertifikatsbasierte 802.1X-Authentifizierung unterstützen, was iPSK zur einzig praktikablen Authentifizierungsmethode für sie macht.
Layer 2 Isolation
Eine Netzwerksicherheitskonfiguration, die verhindert, dass Geräte im selben Subnetz oder auf derselben SSID auf der Sicherungsschicht (Data Link Layer) direkt miteinander kommunizieren.
In mandantenfähigen Umgebungen unerlässlich, um zu verhindern, dass ein Bewohner auf die Geräte eines anderen zugreift, selbst wenn sie sich auf derselben physischen Infrastruktur befinden.
BTR (Build-to-Rent)
Zweckgebundene Wohnanlagen, die speziell für die langfristige Vermietung konzipiert und verwaltet werden, in der Regel mit professioneller Hausverwaltung und Gemeinschaftseinrichtungen.
Der Primärmarkt für verwaltete iPSK WiFi Bereitstellungen im britischen Wohnungssektor. BTR-Betreiber betrachten WiFi als eine in der Miete enthaltene, verwaltete Serviceleistung.
RADIUS-as-a-Service
Eine in der Cloud gehostete RADIUS-Infrastruktur, die Authentifizierung, Autorisierung und Accounting übernimmt, ohne dass der Betreiber eigene RADIUS-Server vor Ort bereitstellen und verwalten muss.
Purple bietet RADIUS-as-a-Service als Teil seiner mandantenfähigen WiFi Plattform an und unterstützt Hardware von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet.
Ausgearbeitete Beispiele
Ein BTR-Projekt mit 300 Einheiten hat schwerwiegende WiFi Performance-Probleme. Bewohner beschweren sich über langsame Geschwindigkeiten und Verbindungsabbrüche. Das aktuelle Setup nutzt ein Standard-PSK-Netzwerk mit einzelnen Routern für Endverbraucher in jeder Wohnung. Der Gebäudebetreiber möchte auf eine verwaltete Lösung aufrüsten, ohne die vorhandene strukturierte Verkabelung zu ersetzen.
Das Gebäude leidet unter massiven Gleichkanal-Interferenzen, die durch 300 nicht verwaltete Router verursacht werden, die gleichzeitig auf überlappenden 2,4-GHz- und 5-GHz-Kanälen senden. Der Sanierungsplan sieht wie folgt aus. Erstens: Durchführung einer Funkmessung, um die Zonen mit den stärksten Interferenzen zu identifizieren und die optimale Platzierung der APs in Fluren und Gemeinschaftsbereichen zu bestimmen. Zweitens: Bereitstellung von APs der Enterprise-Klasse - Cisco Meraki MR46 oder HPE Aruba AP-505 sind für eine Wohnungsflurumgebung geeignet - angeschlossen an die vorhandene strukturierte Verkabelung. Drittens: Konfiguration einer einzigen gebäudeweiten SSID mit iPSK-Authentifizierung unter Verwendung von Purple's RADIUS-as-a-Service als Identitäts-Backend. Viertens: Integration von Purple in das Immobilienverwaltungssystem, um automatisch eindeutige iPSKs für jeden Bewohner zu generieren und diese vor dem Einzug per E-Mail zu versenden. Fünftens: Konfiguration von drei VLANs: Bewohner (eines pro Haushalt), IoT (gemeinsam genutzt für Gebäudemanagementgeräte) und Management (für die AP-Verwaltung). Sechstens: Entfernung der einzelnen Consumer-Router aus jeder Wohnung. Das erwartete Ergebnis ist eine Reduzierung der Support-Tickets um 60 - 80 %, die Eliminierung von Gleichkanal-Interferenzen und eine messbare Verbesserung der Bewohnerzufriedenheit.
Eine Einzelhandelskette mit 80 Filialen muss POS-Terminals, Mitarbeiter-Tablets, digitale Beschilderung und das Gäste-WiFi für Kunden an dieselbe physische drahtlose Infrastruktur anschließen, ohne die PCI-DSS-Konformität zu gefährden. Das IT-Team möchte das Ausstrahlen mehrerer SSIDs vermeiden, da dies die WiFi Performance beeinträchtigt.
Bereitstellung von iPSK auf einer einzigen Unternehmens-SSID in allen 80 Filialen. Generieren Sie vier Kategorien von iPSK: eine für POS-Terminals, eine für Mitarbeiter-Tablets, eine für digitale Beschilderung und eine für den Gästezugang der Kunden. Konfigurieren Sie den RADIUS-Server so, dass er basierend auf dem verwendeten iPSK unterschiedliche VLAN-IDs zurückgibt. VLAN 10: POS-Terminals - darauf beschränkt, Datenverkehr nur an den IP-Bereich des Payment-Gateways zu leiten. VLAN 20: Mitarbeiter-Tablets - allgemeines Unternehmens-VLAN mit Internetzugang und internem Anwendungsrouting. VLAN 30: Digitale Beschilderung - beschränkt auf den Content-Management-Server. VLAN 40: Kundengäste - reiner Internetzugang mit einem Captive Portal für die Datenerfassung, verwaltet über die Guest-WiFi-Plattform von Purple. Erzwingen Sie Layer-2-Isolierung zwischen allen VLANs auf WLC- und Switch-Ebene. Dokumentieren Sie für die PCI-DSS-Konformität die VLAN-Segmentierung in Ihrem Netzwerkdiagramm und nehmen Sie sie in Ihr jährliches QSA-Assessment auf. Das Single-SSID-Design eliminiert die Leistungseinbußen mehrerer SSIDs und vereinfacht die RF-Umgebung in allen 80 Filialen.
Übungsfragen
Q1. Sie entwerfen das WiFi-Netzwerk für ein Studentenwohnheim mit 500 Betten. Der Kunde wünscht maximale Sicherheit, besteht aber darauf, dass die Studenten ihre PlayStation- und Xbox-Konsolen ohne manuelle Konfiguration verbinden können. Welches Authentifizierungsmodell empfehlen Sie und warum?
Hinweis: Berücksichtigen Sie die Fähigkeiten von Spielekonsolen hinsichtlich zertifikatsbasierter Authentifizierung und der Navigation in Captive Portals.
Musterlösung anzeigen
Empfehlen Sie iPSK. Während 802.1X maximale Sicherheit für verwaltete Unternehmensgeräte bietet, verfügen Spielekonsolen über keinen 802.1X-Supplicant und können nicht an einem EAP-Austausch teilnehmen. Sie können auch Captive Portals nicht zuverlässig nutzen. iPSK bietet die erforderliche Sicherheit durch dynamische VLAN-Zuweisung und Layer-2-Isolierung, während sich Konsolen über eine Standard-WPA2-Personal-Passphrase verbinden können - genau wie zu Hause. Jeder Student erhält einen eindeutigen Schlüssel, seine Geräte sind von den Geräten anderer Studenten isoliert und das IT-Team kann den Zugriff bei Bedarf sofort entziehen.
Q2. Ein Hotel-IT-Manager berichtet, dass Gäste, die das neue iPSK-Netzwerk nutzen, häufig die Verbindung verlieren und sich erneut authentifizieren müssen, insbesondere bei der Nutzung moderner iPhones und Android-Geräte. Die RADIUS-Protokolle zeigen eine hohe Anzahl von Access-Reject-Meldungen von MAC-Adressen, die nicht im Identitätsspeicher vorhanden sind. Was ist die wahrscheinlichste Ursache und wie lösen Sie das Problem?
Hinweis: Denken Sie daran, wie moderne mobile Betriebssysteme ihre Hardware-Identifikatoren verarbeiten, um die Privatsphäre der Benutzer in verschiedenen Netzwerken zu schützen.
Musterlösung anzeigen
Die Ursache ist die MAC-Adressen-Randomisierung. iOS 14+ und Android 10+ randomisieren die MAC-Adresse des Geräts bei der Verbindung mit neuen Netzwerken und rotieren diese danach regelmäßig. Da der RADIUS-Server die MAC-Adresse zur Identifizierung des Geräts und zur Suche nach der zugehörigen iPSK verwendet, führt eine rotierte MAC-Adresse zu einem Access-Reject. Die Lösung besteht in der Implementierung eines Vorabregistrierungs-Workflows: Bei der ersten Verbindung authentifiziert sich der Gast über ein Webportal, wodurch seine aktuelle MAC-Adresse an sein Profil gebunden wird. Weisen Sie die Gäste außerdem an, "Private WLAN-Adresse" für die SSID des Hotels in ihren Geräteeinstellungen zu deaktivieren. Das Onboarding-Portal von Purple automatisiert beide Schritte.
Q3. Sie stellen iPSK in einer BTR-Wohnanlage mit 200 Einheiten bereit. Sechs Monate nach dem Go-Live berichten Bewohner in den Einheiten 150 bis 200 von zeitweiligen Verbindungsabbrüchen, wenn sie sich zwischen den Etagen bewegen. Die RADIUS-Protokolle zeigen eine erfolgreiche Authentifizierung, aber die Geräte verlieren bei der Bewegung die Verbindung. Was ist die wahrscheinlichste Ursache und wie lösen Sie das Problem?
Hinweis: Die RADIUS-Authentifizierung ist erfolgreich, das Problem liegt also nicht auf der Identitätsebene. Konzentrieren Sie sich darauf, was nach der Authentifizierung passiert, wenn sich ein Gerät zwischen Access Points bewegt.
Musterlösung anzeigen
Das Problem ist ein Roaming-Fehler auf der Funkschnittstelle. Obwohl die RADIUS-Authentifizierung erfolgreich ist, wechselt das Gerät nicht reibungslos zwischen den APs. Überprüfen Sie, ob 802.11k (Neighbour Reports), 802.11v (BSS Transition Management) und 802.11r (Fast BSS Transition) auf der SSID aktiviert sind. Überprüfen Sie auch, ob die VLANs der Bewohner auf allen Switches und APs auf den Etagen 4 und 5 korrekt getrunkt sind - eine häufige Ursache für Verbindungsverlust nach dem Roaming ist ein VLAN, das auf dem WLC existiert, aber in der Trunk-Konfiguration eines bestimmten Distribution-Switches fehlt. Verwenden Sie die Client-Roaming-Protokolle des WLC, um festzustellen, zu welchem AP das Gerät roamt und ob die VLAN-Übergabe korrekt abgeschlossen wird.
Weiterlesen in dieser Reihe
Uu PPSK pdf: Comparing Features and Deployment Models
Dieser technische Leitfaden vergleicht die Private Pre-Shared Key (PPSK) WiFi-Architektur mit herkömmlichen 802.1X- und Standard-PSK-Bereitstellungen. Er bietet Netzwerkarchitekten und IT-Managern herstellerunabhängige Implementierungsstrategien für Wohnanlagen mit mehreren Mietern, IoT- und BTR-Umgebungen.
Uu PPSK 2023: Vergleich von Funktionen und Bereitstellungsmodellen
Dieser technische Referenzleitfaden vergleicht die Unique per-User Private Pre-Shared Key (UU PPSK) WiFi-Architektur mit herkömmlichen gemeinsam genutzten PSK- und 802.1X-Implementierungen, mit einem besonderen Fokus auf der Landschaft der Anbieterimplementierungen und Plattformfunktionen im Jahr 2023. Er bietet Immobilienentwicklern, BTR-Betreibern und MDU-Vermietern umsetzbare Bereitstellungsstrategien, Anleitungen zur VLAN-Architektur und automatisierte Workflows für das Lifecycle-Management. Der Leitfaden deckt drei Bereitstellungsmodellen, Fallstudien aus der Praxis und die Compliance-Auswirkungen des jeweiligen Authentifizierungsansatzes ab.
PPSK xaverius: Vergleich von Funktionen und Bereitstellungsmodellen
Dieser fundierte Leitfaden untersucht die PPSK xaverius-Architektur für mandantenfähige Umgebungen wie Mietwohnanlagen (Build to Rent) und Studentenwohnheime. Er vergleicht Bereitstellungsmodelle, beschreibt Implementierungsstrategien im Detail und erklärt, wie die VLAN-Isolierung pro Wohneinheit ein heimisches WiFi-Erlebnis bietet und gleichzeitig die Enterprise-Sicherheit wahrt.