Leitfaden für iPSK: Ein umfassender Guide für Unternehmen

Willkommen zum technischen Briefing von Purple. Heute befassen wir uns mit logo guild iPSK, was für Identity Pre-Shared Key steht, und warum es sich zum maßgeblichen WiFi Sicherheitsmodell für Immobilienentwickler, BTR-Betreiber und Wohnanlagen mit mehreren Mietern entwickelt hat. Lassen Sie mich mit dem Problem beginnen, das Sie eigentlich zu lösen versuchen. Sie verwalten ein Build-to-Rent-Objekt. Das können 100 Wohneinheiten sein oder auch 500. Sie möchten, dass jeder Bewohner vom ersten Tag an sicheres, privates WiFi hat. Sie möchten nicht in jeder Wohnung einen separaten Router installieren. Sie möchten nicht Hunderte von separaten Netzwerken verwalten. Und Sie können es absolut nicht zulassen, dass Bewohner A auf dem Smart-TV von Bewohner B im Netzwerk surft. Der Standard-WPA2-PSK, das Modell mit gemeinsam genutztem Passwort, scheitert bei dieser Größenordnung sofort. Ein Passwort für das gesamte Gebäude bedeutet, dass eine Sicherheitsverletzung alle betrifft. Und Sie können den Zugang für einen einzelnen Bewohner nicht sperren, ohne das Passwort für alle zu ändern. Das ist betrieblich unmöglich. Das andere Extrem ist WPA3-Enterprise mit 802.1X. Sehr sicher. Es erfordert jedoch digitale Zertifikate oder Benutzername-Passwort-Anmeldedaten für jedes Gerät. Die Spielkonsolen, Smart-Speaker und Thermostate Ihrer Bewohner können sich schlichtweg nicht mit einem 802.1X-Netzwerk verbinden. Sie haben keinen Supplicant. Sie würden jeden Tag Support-Anrufe entgegennehmen. iPSK liegt genau in der Mitte. Jeder Bewohner erhält seinen eigenen, eindeutigen Pre-Shared Key. Für den Bewohner sieht es genauso aus und fühlt sich so an wie ein privates WiFi Passwort zu Hause. Sie geben es einmal ein, und jedes ihrer Geräte verbindet sich. Hinter den Kulissen sendet der Wireless Access Point jedoch eine RADIUS-Anfrage an die Purple Cloud, die die MAC-Adresse des Clients enthält. Unser RADIUS-Server sucht nach dieser MAC-Adresse, findet das passende Autorisierungsprofil und gibt den korrekten PSK zurück. Der Access Point validiert dann die Verbindung mit diesem individuellen Schlüssel. Das Ergebnis: eine SSID für das gesamte Gebäude, aber jeder Bewohner ist in seinem eigenen privaten Netzwerksegment isoliert. Lassen Sie mich nun die Architektur erläutern, denn hier liegt die wahre Stärke. Der Authentifizierungsablauf besteht aus vier Schritten. Erstens sendet das Client-Gerät eine Zuordnungsanfrage an den Access Point. Zweitens sendet der Wireless Controller, sei es Cisco Meraki, HPE Aruba, Ruckus oder Juniper Mist, einen RADIUS Access-Request an die Purple Cloud, der die MAC-Adresse des Clients enthält. Drittens wertet unser RADIUS-Server die Autorisierungsrichtlinie aus. Er ordnet die MAC-Adresse dem Datensatz des Bewohners zu, ruft den zugewiesenen PSK ab und gibt eine Access-Accept-Antwort zurück, die die VLAN-ID für diesen Bewohner enthält. Viertens leitet der Access Point den Client in sein dediziertes VLAN um. Aus Sicht des Bewohners ist dies nicht von einer normalen WiFi Verbindung zu Hause zu unterscheiden. Die Komplexität liegt vollständig auf der Serverseite. Das ist die Eleganz von iPSK. Eine VLAN-Zuweisung via RADIUS bedeutet, dass Bewohner A im VLAN 101 landet, Bewohner B im VLAN 102 und die IoT-Geräte des Gebäudes, wie Türsensoren, Überwachungskameras und intelligente Zähler, in einem völlig separaten VLAN liegen - ganz ohne gegenseitige Beeinflussung. Ein kurzes Wort zu dem, was wir als Private Area Network (PAN) bezeichnen. Dies ist die virtuelle Blase, die um die Geräte jedes Bewohners herum erstellt wird. Obwohl sich Hunderte von Bewohnern dieselbe WiFi-Infrastruktur teilen, sorgt iPSK für eine Isolierung auf Layer 2. Das Telefon von Bewohner A kann seinen eigenen Chromecast und Drucker sehen. Bewohner B in der Wohnung nebenan kann diese Geräte überhaupt nicht sehen oder mit ihnen interagieren. Dies ermöglicht auch das sogenannte mDNS Reflection, wodurch sich Geräte innerhalb ihres eigenen privaten Segments gegenseitig erkennen können. Das Streamen von Netflix auf einen Chromecast funktioniert also perfekt, genau wie auf einem Heimrouter, greift jedoch nicht auf den Flur oder das Netzwerk anderer Bewohner über. Lassen Sie mich nun iPSK mit den Alternativen vergleichen, da die Wahl des Authentifizierungsmodells eine der weitreichendsten Entscheidungen bei Ihrem Netzwerkdesign ist. Standard-PSK, WPA2-Personal, bietet Ihnen Einfachheit. Jeder verwendet dasselbe Passwort. Es gibt jedoch keine zentrale Kontrolle. Wenn ein Bewohner das Passwort weitergibt, ist das gesamte Netzwerk gefährdet. Das Ändern des Passworts beim Auszug eines Bewohners betrifft alle anderen Bewohner. Bei 200 Wohneinheiten ist dies nicht mehr handhabbar. 802.1X EAP-TLS ist der hochsichere Unternehmensstandard. Er bietet eine zertifikatsbasierte Authentifizierung pro Gerät. Sie können den Zugriff für einzelne Geräte sofort widerrufen. Er erfordert jedoch eine Zertifizierungsstelle, ein Zertifikatsmanagement und einen Supplicant auf jedem Gerät. Spielekonsolen, Smart-TVs und Amazon Alexa-Geräte unterstützen 802.1X alle nicht. In einer Wohnumgebung ist dies ein absolutes Ausschlusskriterium. iPSK bietet Ihnen die gerätespezifische Identität von 802.1X bei der einfachen Handhabung eines privaten Passworts. Es unterstützt 100 % aller Geräte, einschließlich aller displaylosen IoT-Geräte Ihrer Bewohner. Und es lässt sich ohne zusätzlichen Verwaltungsaufwand auf Tausende von Einheiten skalieren, da der Lebenszyklus automatisiert ist. Die Begriffe der Hersteller variieren, und es lohnt sich, die Entsprechungen zu kennen. HPE Aruba nennt dies MPSK (Multi-PSK). Ruckus und Juniper Mist verwenden DPSK (Dynamic PSK). Ubiquiti UniFi nennt es PPSK (Private PSK). Das Konzept ist bei Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet identisch. Purple lässt sich als Cloud-Overlay auf all diesen Plattformen einsetzen. Sie müssen Ihre Access Points nicht austauschen. Lassen Sie mich nun die Implementierung erläutern, da hierbei in der Praxis oft Fehler passieren. Der erste und häufigste Fehler ist eine zu geringe Dimensionierung des DHCP-Bereichs. Netzwerktechniker weisen manchmal ein Slash-28-Subnetz pro Wohnung zu, um IP-Adressraum zu sparen. Das sind 14 nutzbare Adressen. Im Jahr 2026 wird ein Paar in einer BTR-Wohnung bis Dienstag bereits 14 IPs verbraucht haben. Ein Telefon, ein Laptop, ein Tablet, ein Smart-TV, eine Spielekonsole, ein Smart-Speaker, ein paar smarte Glühbirnen. Sie sind bereits bei acht Geräten, bevor sie überhaupt Besuch von Freunden hatten. Verwenden Sie standardmäßig immer ein Slash-24-Subnetz pro Bewohner. Das zweite kritische Detail ist die Client-Isolierung. Sie müssen sicherstellen, dass die Client-Isolierung innerhalb des VLAN des Bewohners deaktiviert ist. Wenn Sie die Client-Isolierung aktiviert lassen, blockieren Sie die Smart-Home-Funktionalität, für die iPSK eigentlich entwickelt wurde. Geräte mit demselben Schlüssel können nicht miteinander kommunizieren, und Sie werden die ganze Woche über Support-Tickets für den Chromecast bearbeiten müssen. Der dritte Aspekt ist das Roaming. Wenn ein Bewohner von seiner Wohnung im vierten Stock hinunter in den Fitnessbereich im Erdgeschoss geht, muss seine Verbindung bestehen bleiben. Das bedeutet, dass sein spezifisches VLAN bis zum Access Point im Fitnessbereich getrunkt sein muss oder Sie den Datenverkehr zurück zu einem zentralen Controller tunneln müssen. Dies ist ein häufiges Versäumnis bei ersten Implementierungen. Kommen wir nun zum sprichwörtlichen Elefanten im Raum: WPA3 und das 6 GHz-Band. WiFi 6E und WiFi 7 schreiben die WPA3-Sicherheit auf dem 6 GHz-Band vor. WPA3 ersetzt den alten Vier-Wege-Handshake durch Simultaneous Authentication of Equals, oder SAE. Das Problem ist, dass der IEEE 802.11-Standard für SAE derzeit nicht mehrere Passwörter pro SSID auf die Art und Weise unterstützt, wie WPA2 es tut. Dies ist kein Cisco Meraki-Problem oder ein Aruba-Problem. Es ist eine branchenweite Einschränkung, die im IEEE-Standard selbst verankert ist. Die derzeitige Best Practice ist ein hybrider Ansatz. Betreiben Sie eine WPA2 iPSK SSID auf den 2,4 und 5 GHz-Bändern für ältere Geräte und IoT-Hardware. Richten Sie für das 6 GHz-Band eine separate SSID mit 802.1X für verwaltete Unternehmens-Endgeräte ein. Hinzu kommt die Herausforderung der MAC-Adressen-Randomisierung. Apple iOS 14 und Android 10 haben pro Netzwerk randomisierte MAC-Adressen eingeführt. Bei einer MAC-basierten iPSK-Bereitstellung sendet der Access Point die randomisierte MAC an den RADIUS-Server. Der Server erkennt sie nicht. Die Authentifizierung schlägt fehl. Der Easy PSK-Modus von Cisco Meraki löst dieses Problem weitgehend, indem er sich über EAPOL-Parameter anstelle einer MAC-Abfrage authentifiziert. Wenn Sie Meraki nutzen und iOS- oder Android-Clients haben, verwenden Sie den Easy PSK-Modus. Zwei reale Szenarien, um dies konkret zu veranschaulichen. Szenario eins: Eine Build-to-Rent-Anlage mit 350 Wohneinheiten. Der Betreiber wollte, dass die Bewohner ihre WiFi-Zugangsdaten vor dem Einzugstag erhalten. Die Multi-Tenant-WiFi-Plattform von Purple wurde in das Immobilienverwaltungssystem integriert. Nach der Unterzeichnung eines Mietvertrags löste das PMS einen API-Aufruf an Purple aus, wodurch ein eindeutiger iPSK generiert und automatisch bereitgestellt wurde. Der Bewohner erhielt seinen Schlüssel per E-Mail. Er kam am ersten Tag an, verband alle seine Geräte und das Netzwerk war sofort aktiv. Beim Auszug wurde der Schlüssel automatisch widerrufen. Absolut kein manueller Aufwand für das Facility-Management-Team. Der Betreiber reduzierte die Anzahl der WiFi-bezogenen Support-Anrufe im Vergleich zum vorherigen Modell mit gemeinsam genutzten Passwörtern um über 60 %. Szenario zwei: Ein Hotel mit 180 Zimmern. Das Hotel wollte das Captive Portal beim Login abschaffen, worüber sich die Gäste immer wieder beschwerten. Mit iPSK erhielt jedes Zimmer einen eindeutigen Schlüssel, der auf die Schlüsselkarte gedruckt oder mit der Buchungsbestätigung per E-Mail verschickt wurde. Gäste mussten sich nur einmal verbinden. Smartphones, Tablets und Laptops verbanden sich bei allen weiteren Besuchen während desselben Aufenthalts automatisch. IoT-Geräte im Zimmer befanden sich in einem separaten VLAN, isoliert vom Datenverkehr der Gäste. Die Schlüssel wurden beim Check-in generiert und beim Check-out widerrufen, ohne dass am Empfang manuelle Schritte erforderlich waren. Und nun zu den schnellen Fragen. Funktioniert iPSK auch ohne Cisco ISE? Ja. FreeRADIUS und Microsoft NPS unterstützen beide das von iPSK benötigte Tunnel-Password-Attribut. Purple fungiert als RADIUS-Server, sodass Sie Ihre eigene RADIUS-Infrastruktur überhaupt nicht bereitstellen oder verwalten müssen. Ist iPSK PCI-DSS-konform? iPSK unterstützt die Anforderungen zur Netzwerksegmentierung von PCI-DSS 4.0. Umgebungen mit Karteninhaberdaten müssen von Gäste- und IoT-Netzwerken isoliert sein. Die VLAN-Override-Funktion von iPSK ist der Mechanismus, mit dem diese Segmentierung erreicht wird. Wie sieht der kommerzielle Nutzen aus? Untersuchungen der British Property Federation zeigen, dass verwaltetes WiFi in britischen Build-to-Rent-Anlagen einen Mietaufschlag von 15 bis 30 Pfund pro Wohneinheit und Monat erzielt. Zudem entfällt die Leerstandszeit von fünf bis zehn Tagen, in der ein Bewohner auf einen Techniker des Internetanbieters wartet. Zusammenfassend lässt sich sagen: iPSK bietet Ihnen eine Identität pro Gerät auf einer einzigen SSID - ohne die Komplexität von 802.1X-Zertifikaten und ohne die Sicherheitslücken eines gemeinsam genutzten Passworts. Es ist das richtige Modell für Build-to-Rent, Hotels, den Einzelhandel und jede Multi-Tenant-Umgebung, in der Sie den Datenverkehr isolieren, den Zugriffslebenszyklus automatisieren und jeden Gerätetyp unterstützen müssen. Fünf Regeln zum Schluss. Erstens: Wenn Sie mehr als 50 Geräte oder Benutzer auf einer einzigen SSID haben und eine Zugriffskontrolle pro Gerät benötigen, ist iPSK fast sicher das richtige Modell. Zweitens: Planen Sie Ihre VLAN-Architektur immer, bevor Sie iPSK konfigurieren. Drittens: Wenn Sie Cisco Meraki mit iOS- oder Android-Clients nutzen, verwenden Sie den Easy PSK-Modus. Viertens: Stellen Sie iPSK nicht ohne eine Ebene für das Lebenszyklusmanagement bereit. Fünftens: Planen Sie Ihre WPA3-Migration jetzt.Die Multi-Tenant WiFi-Plattform von Purple übernimmt die Lifecycle-Automatisierung. Sie verbindet Ihr Property-Management-System oder Ihren Identity Provider mit Ihrer Hardware und automatisiert die Schlüsselbereitstellung sowie den Entzug im großen Stil - an über 80.000 aktiven Standorten weltweit. Wenn Sie tiefer einsteigen möchten - ob für ein Architektur-Review, einen Konfigurations-Walkthrough oder ein Pilot-Deployment - finden Sie den Link für ein Gespräch mit unserem Team im Leitfaden. Vielen Dank fürs Zuhören.