Meraki iPSK: Ein umfassender Leitfaden für Unternehmen
Dieser Leitfaden beschreibt die technische Architektur und Bereitstellung von Cisco Meraki iPSK (Identity Pre-Shared Key) für Unternehmensnetzwerke. Er behandelt die RADIUS-Integration, das Design von Private Area Networks und die geschäftlichen Vorteile des Ersatzes von veraltetem WPA2-Personal durch identitätsbasierte Segmentierung. Er richtet sich an Immobilienentwickler, BTR-Betreiber und IT-Architekten, die Multi-Tenant- oder Multi-Site-WiFi-Infrastrukturen verwalten.
Diesen Leitfaden anhören
Podcast-Transkript ansehen
Executive Summary
Traditionelle WiFi-Sicherheit erzwingt einen Kompromiss. Entweder entscheidet man sich für die Einfachheit eines gemeinsamen Passworts, was erhebliche Sicherheitsrisiken birgt, oder für die Komplexität von 802.1X-Zertifikaten, bei denen Smart-Geräte oft scheitern. Identity Pre-Shared Key (iPSK) löst dieses Dilemma. Es bietet die individuelle Sicherheit und Transparenz eines Unternehmensnetzwerks bei der Einfachheit eines Standardpassworts.
Dieser Leitfaden beschreibt die technische Architektur von Cisco Meraki iPSK. Wir behandeln Bereitstellungsstrategien, die RADIUS-Integration und die geschäftlichen Argumente für den Ersatz von veraltetem WPA2-Personal durch identitätsbasierte Segmentierung. Für Immobilienentwickler, Vermieter und BTR-Betreiber verwandelt iPSK WiFi von einer einfachen Grundausstattung in eine sichere, verwaltete Annehmlichkeit, die einen messbaren Mietpreisaufschlag ermöglicht.
Wichtigste Fakten: Meraki unterstützt bis zu 5.000 eindeutige iPSKs pro SSID auf der Firmware-Version MR 30.1+. Eine einzige SSID kann mehrere isolierte VLANs bedienen. Die Integration mit Microsoft Entra ID, Okta oder Google Workspace automatisiert den gesamten Lebenszyklus der Anmeldedaten. Purple betreibt diese Orchestrierungsebene an über 80.000 Standorten weltweit.
Technische Vertiefung: Die iPSK-Architektur verstehen
Identity PSK weist jedem einzelnen Benutzer oder Gerät auf einer einzigen SSID (Service Set Identifier) ein eindeutiges WiFi-Passwort zu. Obwohl sich alle mit demselben Netzwerknamen verbinden, bestimmt ihr eindeutiger Schlüssel ihre spezifischen Sicherheitsberechtigungen, Bandbreitenbegrenzungen und die Zuweisung zu einem Virtual Local Area Network (VLAN).
Wenn sich ein Gerät mit dem Access Point verbindet, fängt die Meraki-Hardware die Authentifizierungsanfrage ab. Der Access Point fragt einen zentralen RADIUS-Server ab - oder direkt die Meraki Cloud bei einer controllerlosen Bereitstellung. Der RADIUS-Server gleicht das vom Gerät bereitgestellte spezifische Passwort mit den gespeicherten Zugangsdaten ab. Nach erfolgreicher Validierung gibt der Server eine Access-Accept-Nachricht zurück, die bestimmte Attribute enthält, darunter das zugewiesene VLAN und die Gruppenrichtlinie.
Diese Architektur verändert die Netzwerkzugangskontrolle grundlegend. Anstatt das Gerät auf der Grundlage eines komplexen Zertifikatsaustauschs (EAP-TLS oder PEAP) zu authentifizieren, authentifiziert das Netzwerk den Benutzer auf der Grundlage seines eindeutigen Schlüssels. Dieser Ansatz unterstützt 100 % aller drahtlosen Geräte, einschließlich displayloser IoT-Sensoren, Spielekonsolen und Smart-Home-Geräten, die keine 802.1X-Supplicants unterstützen.
Die Rolle von RADIUS bei iPSK-Bereitstellungen
Während Meraki iPSK ohne RADIUS unterstützt - mit direkter Schlüsselverwaltung im Dashboard, begrenzt auf 50 Schlüssel pro SSID - erfordern Enterprise-Bereitstellungen einen zentralen Authentifizierungsserver. Die Integration von iPSK mit RADIUS (wie Microsoft NPS, Cisco ISE oder FreeRADIUS) ermöglicht eine dynamische VLAN-Zuweisung und ein zentrales Identitätsmanagement und skaliert auf bis zu 5.000 Schlüssel pro SSID ab der MR 30.1+ Firmware.
Bei der Konfiguration von iPSK mit RADIUS auf Meraki-Hardware fungiert der Access Point als Authentifikator. Er leitet die während des Handshakes ausgetauschten EAPOL-Parameter (Extensible Authentication Protocol over LAN) an den RADIUS-Server weiter. Der RADIUS-Server verwendet diese Attribute, um den Client zu validieren. Wenn eine Übereinstimmung gefunden wird, antwortet der Server mit dem Tunnel-Password-Attribut, wodurch die MAC-Adresse und der spezifische Pre-Shared Key miteinander verknüpft werden.
Dieser Mechanismus ermöglicht es Netzwerkarchitekten, den Datenverkehr auf Layer 2 zu segmentieren. Eine einzige SSID kann einen Mitarbeiter in ein sicheres internes VLAN, einen Gast in ein isoliertes, reines Internet-VLAN und einen IoT-Sensor in ein eingeschränktes Gerätenetzwerk leiten - und das alles über eine einzige Übertragung.
Für einen umfassenderen Vergleich von iPSK- und PPSK-Implementierungen bei verschiedenen Anbietern, einschließlich HPE Aruba, Ruckus und Juniper Mist, lesen Sie unseren Leitfaden zu PPSK im Vergleich von Funktionen und Bereitstellungsmodellen .
-
Implementierungsleitfaden: Bereitstellung von Meraki iPSK
Die Bereitstellung von iPSK erfordert eine sorgfältige Planung Ihrer Subnetz-Architektur und der Integration des Identitätsanbieters. Befolgen Sie diese herstellerneutralen Best Practices für eine robuste Implementierung.
Schritt 1: Subnetz- und VLAN-Design
Definieren Sie Ihre Netzwerktopologie, bevor Sie das Meraki-Dashboard konfigurieren. Ordnen Sie Ihre Benutzergruppen bestimmten VLANs zu. In einer mandantenfähigen Umgebung, wie z. B. einem BTR-Projekt, müssen Sie eine Private Area Network (PAN) Architektur entwerfen.
Ein PAN schafft eine virtuelle Blase um die spezifischen Geräte eines Nutzers. iPSK gewährleistet die Layer-2-Isolierung zwischen den Mandanten und ermöglicht gleichzeitig die mDNS-Reflexion innerhalb des spezifischen VLANs. Dadurch kann das Smartphone eines Bewohners seinen eigenen Chromecast erkennen, bleibt aber für den Bewohner in der Nachbarwohnung völlig unsichtbar.
Planen Sie Ihre DHCP-Bereiche großzügig ein. Ein moderner Haushalt verbindet 15 bis 25 Geräte. Ein Gebäude mit 200 Einheiten benötigt IP-Adressen für bis zu 5.000 Geräte gleichzeitig. Eine unzureichende Dimensionierung von Subnetzen ist die häufigste Ursache für Ausfälle nach der Bereitstellung in BTR- und Studentenwohnheimgemeinschaften.
Schritt 2: Konfiguration des Meraki-Dashboards
So aktivieren Sie iPSK mit RADIUS in Ihrem Meraki-Netzwerk:
- Navigieren Sie zu Wireless > Konfigurieren > Zugriffskontrolle.
- Wählen Sie die gewünschte SSID aus dem Dropdown-Menü aus.
- Wählen Sie im Bereich Sicherheit die Option Identity PSK mit RADIUS.
- Konfigurieren Sie die IP-Adressen, Ports und Shared Secrets Ihres RADIUS-Servers.
- Aktivieren Sie im Bereich Client-IP und VLAN die Option VLAN-Tagging.
- Stellen Sie das RADIUS-Override auf VLAN-Tag überschreiben ein. Dieser Schritt ermöglicht es dem RADIUS-Server, das Netzwerksegment basierend auf dem authentifizierten Schlüssel vorzugeben.
Hinweis: iPSK mit RADIUS erfordert die Firmware MR 26.5 oder höher. Easy PSK (das EAPOL-Parameter anstelle von MAC-Adressen validiert) erfordert MR 32.1.3 oder neuer. Überprüfen Sie Ihre Firmware-Version vor der Bereitstellung.
Schritt 3: Integration des Identity Providers
Manuelle Schlüsselverwaltung scheitert bei der Skalierung. Integrieren Sie Ihren RADIUS-Server mit einem Identity Provider (IdP) wie Microsoft Entra ID, Okta oder Google Workspace. Nutzen Sie das SCIM-Protokoll, um den Lebenszyklus der Pre-Shared Keys zu automatisieren. Wenn die Personalabteilung einen neuen Mitarbeiter im Verzeichnis anlegt, generiert das System automatisch einen eindeutigen WiFi-Schlüssel. Verlässt der Mitarbeiter das Unternehmen, entzieht das System den Schlüssel sofort und beendet den Netzwerkzugriff, ohne andere Benutzer zu beeinträchtigen.
Purple automatisiert diesen gesamten Lebenszyklus. Die Purple-Plattform fungiert als Orchestrierungsebene, die Ihre Meraki-Infrastruktur mit Ihrem zentralen Verzeichnis verbindet, um Schlüssel dynamisch an über 80.000 Standorten zu verwalten.
Best Practices für Enterprise-Sicherheit
Implementieren Sie diese branchenüblichen Empfehlungen, um Ihre iPSK-Bereitstellung zu härten.
Strikte Geräteisolation erzwingen
In Umgebungen des öffentlichen Sektors und in Einzelhandelsketten ist die Geräteisolation eine zwingende Sicherheitsanforderung. Verwenden Sie das Meraki-Dashboard, um die Layer-2-Isolation in Gast- und IoT-VLANs zu aktivieren. Dies verhindert laterale Bewegungen im Netzwerk, falls ein einzelnes Gerät kompromittiert wird. Diese Konfiguration entspricht den ISO 27001-Anforderungen für die Netzwerksegmentierung.
IoT-Traffic segmentieren
Platzieren Sie IoT-Geräte niemals im selben Netzwerksegment wie Unternehmensdaten. iPSK vereinfacht diese Segmentierung. Weisen Sie Ihren Gebäudemanagementsystemen, HLK-Steuerungen und Sicherheitskameras einen spezifischen Schlüssel zu. Verknüpfen Sie diesen Schlüssel mit einem eingeschränkten VLAN mit strengen Firewall-Regeln, die nur ausgehenden Datenverkehr zu bestimmten Anbieter-Domains zulassen.
Schlüsselrotation automatisieren
Während individuelle Schlüssel die Schadensausbreitung eines kompromittierten Passworts begrenzen, bleibt eine regelmäßige Rotation eine Best Practice. Automatisieren Sie die Generierung neuer Schlüssel für langfristige externe Mitarbeiter und temporäre Kräfte. Nutzen Sie die Meraki API oder eine Plattform wie Purple, um diese Schlüssel sicher per SMS oder E-Mail bereitzustellen, was den manuellen Aufwand für den Helpdesk eliminiert.
PCI DSS-Compliance in Einzelhandelsumgebungen
Für Einzelhandelsbetreiber unterstützt iPSK direkt die PCI DSS-Netzwerksegmentierungsanforderungen. Indem Sie Point-of-Sale-Terminals einen dedizierten Schlüssel zuweisen und diesen einem isolierten VLAN zuordnen, das nur zum Zahlungsabwickler routet, reduzieren Sie den Umfang Ihrer Karteninhaber-Datenumgebung (CDE). Meraki verfügt über die PCI DSS Level 1 Service Provider-Zertifizierung und bietet damit eine zusätzliche Compliance-Grundlage. Weitere Informationen finden Sie auf unserer Branchenseite für den Einzelhandel .
Fehlerbehebung und Risikominimierung
Selbst bei sorgfältiger Planung treten bei iPSK-Bereitstellungen bestimmte Fehlermodi auf.
Der EAPOL-Handshake-Timeout
Bei der Verwendung von iPSK mit RADIUS muss der RADIUS-Server die EAPOL-Parameter mit der Datenbank bekannter Schlüssel abgleichen. Wenn die Datenbank groß ist und der Server nicht genügend Ressourcen hat, kann die Suche nach einer Übereinstimmung zu lange dauern, was zu einem EAPOL-Handshake-Timeout führt. Der Access Point bricht die Verbindung ab.
Um dieses Risiko zu minimieren, stellen Sie sicher, dass Ihre RADIUS-Infrastruktur über ausreichende Ressourcen verfügt. Wenn Sie cloud-basiertes RADIUS verwenden, überwachen Sie die Latenzzeit zwischen den Meraki Access Points und den Authentifizierungsservern. Hohe Latenzzeiten führen bei Skalierung regelmäßig zu Handshake-Fehlern.
Herausforderungen durch MAC-Randomisierung
Moderne Betriebssysteme (iOS 14+, Android 10+, Windows 11) verwenden randomisierte MAC-Adressen, um die Privatsphäre der Benutzer zu schützen. Wenn Ihre RADIUS-Bereitstellung ausschließlich auf MAC Authentication Bypass (MAB) basiert, der an ein bestimmtes iPSK gebunden ist, schlagen die Verbindungsversuche dieser Geräte fehl, sobald sich ihre MAC-Adresse ändert.
Um dieses Problem zu lösen, weisen Sie die Benutzer entweder an, die Funktion "Private WiFi-Adresse" für Ihre spezifische Unternehmens- oder Wohn-SSID zu deaktivieren, oder führen Sie ein Upgrade auf die Easy PSK-Funktion in der Meraki MR 32.1.3+ Firmware durch, die auf EAPOL-Parametern anstelle einer statischen MAC-Adressbindung basiert.
WPA3-Kompatibilität
Meraki iPSK unterstützt derzeit keine WPA3-Verschlüsselung. Wenn Ihre langfristige Roadmap die Bereitstellung von WPA3 oder WiFi 6E vorsieht, berücksichtigen Sie diese Einschränkung bei Ihrer Planung. Verfolgen Sie die Release Notes von Cisco Meraki, um Updates zu dieser Einschränkung zu erhalten.
Fallstudie: BTR-Projekt mit 250 Wohneinheiten
Ein großer Build-to-Rent-Betreiber in London implementierte Meraki iPSK in einem Projekt mit 250 Wohneinheiten unter Verwendung der Multi-Tenant WiFi-Plattform von Purple. Der Betreiber ersetzte ein Altsystem aus einzelnen Routern in den Wohnungen, das durchschnittlich 12 Support-Tickets pro Monat im Zusammenhang mit Chromecast-Kopplungsfehlern und Passwort-Resets verursachte.
Nach der Bereitstellung erhielt jeder Bewohner vor dem Einzugsdatum einen eindeutigen Schlüssel. Alle 250 Bewohner verbanden ihre Geräte - darunter Smart-TVs, kabellose Drucker und Amazon Echo-Geräte - ohne jeglichen manuellen IT-Aufwand. Die WiFi-bezogenen Support-Tickets sanken auf weniger als zwei pro Monat. Der Betreiber führte eine monatliche Mietprämie von 20 £ pro Wohneinheit auf den "Instant-On"-WiFi-Komfort zurück, was einen zusätzlichen Jahresumsatz von 60.000 £ aus diesem einzigen Projekt generierte.
Weitere Informationen zum Anwendungsfall im Gastgewerbe und wie iPSK Reibungspunkte für Gäste beseitigt, finden Sie in unserem Leitfaden über die Erstellung eines großartigen ersten Eindrucks mit Ihrem Gäste-WiFi .
Fallstudie: Nationale Einzelhandelskette
Eine nationale Einzelhandelskette mit 400 Standorten musste Point-of-Sale-Terminals, digitale Beschilderung und Mitarbeiter-Tablets in ihren Filialen segmentieren und gleichzeitig die PCI-DSS-Compliance wahren. Sie betrieben drei separate SSIDs pro Standort, was einen erheblichen RF-Overhead verursachte und den Durchsatz verringerte. Durch die Bereitstellung von Meraki iPSK konsolidierten sie sich auf eine einzige SSID pro Standort. Es wurden drei unterschiedliche Schlüssel erstellt: einer für POS-Terminals (zugeordnet zu einem eingeschränkten Zahlungs-VLAN), einer für Digital Signage (nur-Internet-VLAN) und einer für Mitarbeiter-Tablets (Unternehmens-VLAN). Die Meraki-Dashboard-API übertrug diese Konfigurationen gleichzeitig an alle 400 Standorte. Die RF-Umgebung verbesserte sich messbar, und der PCI-DSS-Audit-Umfang wurde durch die Isolierung der Karteninhaber-Datenumgebung am Wireless Edge reduziert.
Weitere Informationen zu WiFi Analytics und wie Daten aus diesen Netzwerken die Business Intelligence unterstützen, finden Sie in unserer Übersicht über die Analyseplattform.
-
ROI und geschäftliche Auswirkungen
Der Übergang zu iPSK erfordert Investitionen in die RADIUS-Infrastruktur und -Integration. Die betrieblichen Erträge rechtfertigen die Investitionsausgaben in dreierlei Hinsicht.
Mietaufschlag. Untersuchungen der British Property Federation zeigen, dass hochwertiges, reibungsloses WiFi in BTR-Entwicklungen einen Mietaufschlag von £15 bis £30 pro Einheit und Monat erzielt. Durch den Einsatz von iPSK auf eigener Hardware anstelle der Bündelung von Breitbandverträgen für Endverbraucher sichern sich Betreiber dieses Netto-Betriebsergebnis direkt.
Reduzierung der Supportkosten. iPSK eliminiert die häufigsten Multi-Tenant-Supporttickets: Fehler bei der Chromecast-Kopplung, Passwort-Resets und Probleme beim Onboarding von Geräten. Betreiber berichten durchgehend von einer Reduzierung der WiFi-bezogenen Support-Kontakte um 80 % oder mehr nach der Bereitstellung.
Reduzierung von Leerstandszeiten. Die WiFi-Bereitschaft am Einzugstag verkürzt die Leerstandszeiten laut BTR-Branchen-Benchmarks um durchschnittlich fünf bis zehn Tage. Bewohner, die sich sofort verbinden können, verzögern den Einzug seltener oder fordern seltener eine vorzeitige Kündigung.
Für eine vollständige Architekturbeschreibung, wie die Multi-Tenant-WiFi-Plattform von Purple mit Hardware von Meraki, Ruckus, HPE Aruba, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet integriert wird, sprechen Sie mit unserem Team .
Einen Vergleich von iPSK mit PPSK und anderen herstellerspezifischen Implementierungen finden Sie in unserem Leitfaden Three SSIDs to rule them all .
Schlüsseldefinitionen
iPSK (Identity Pre-Shared Key)
Ein drahtloser Sicherheitsmechanismus, der einzelnen Benutzern oder Geräten auf einer einzigen SSID ein eindeutiges Passwort zuweist. Dies ermöglicht eine granulare Richtliniendurchsetzung und VLAN-Zuweisung, ohne dass 802.1X-Zertifikate erforderlich sind.
Wird verwendet, wenn IT-Teams kopflose IoT-Geräte sichern oder private Netzwerke in Multi-Tenant-Umgebungen ohne die Komplexität von 802.1X bereitstellen müssen. Die Implementierung von Cisco Meraki; entspricht Ruckus DPSK und HPE Aruba MPSK.
RADIUS (Remote Authentication Dial-In User Service)
Ein Netzwerkprotokoll, das eine zentrale Verwaltung für Authentifizierung, Autorisierung und Accounting (AAA) für Benutzer bietet, die sich mit einem Netzwerkdienst verbinden.
Die zentrale Engine, die iPSK-Passwörter validiert und dem Meraki Access Point mitteilt, welches VLAN dem verbindenden Gerät zugewiesen werden soll. Typische Implementierungen sind Microsoft NPS, Cisco ISE und FreeRADIUS.
VLAN (Virtual Local Area Network)
Ein logisches Subnetzwerk, das eine Gruppe von Geräten aus verschiedenen physischen LANs zusammenfasst und deren Datenverkehr auf Layer 2 isoliert.
Entscheidend für die Netzwerksegmentierung in iPSK-Bereitstellungen. Der RADIUS-Server weist Benutzer basierend auf dem für die Verbindung verwendeten Passwort dynamisch bestimmten VLANs zu, sodass eine SSID mehrere isolierte Netzwerksegmente bedienen kann.
802.1X
Ein IEEE-Standard für die portbasierte Netzwerkzugriffskontrolle, der erfordert, dass sich Geräte über einen zentralen Server mit Anmeldedaten oder digitalen Zertifikaten authentifizieren, bevor sie Netzwerkzugriff erhalten.
Der traditionelle Sicherheitsstandard für Unternehmen. iPSK wird häufig als Alternative zu 802.1X bereitgestellt, um intelligente Geräte zu unterstützen, die nicht über die erforderliche Supplicant-Software verfügen, darunter IoT-Sensoren und Spielekonsolen.
EAPOL (Extensible Authentication Protocol over LAN)
Ein Netzwerkport-Authentifizierungsprotokoll, das in IEEE 802.1X verwendet wird, um EAP-Nachrichten zwischen dem Supplicant (Client-Gerät) und dem Authenticator (Access Point) zu kapseln.
Bei Meraki Easy PSK-Bereitstellungen (Firmware MR 32.1.3+) übergibt der Access Point EAPOL-Parameter an den RADIUS-Server, um den Pre-Shared Key des Clients zu validieren, ohne auf die MAC-Adresse angewiesen zu sein, was Probleme mit der MAC-Randomisierung löst.
mDNS (Multicast DNS)
Ein Protokoll, das Hostnamen in kleinen Netzwerken ohne lokalen Nameserver in IP-Adressen auflöst und so die Geräteerkennung auf lokalen Segmenten ermöglicht.
Die Technologie, mit der Geräte wie Apple TVs, Chromecasts und WLAN-Drucker in einem lokalen Netzwerk erkannt werden können. iPSK-Bereitstellungen müssen mDNS-Reflection konfigurieren, um sicherzustellen, dass Bewohner ihre eigenen Geräte sehen können, nicht aber die ihrer Nachbarn.
Captive Portal
Eine Webseite, die ein Benutzer eines öffentlichen Zugangsnetzwerks anzeigen und mit der er interagieren muss, bevor der Zugriff gewährt wird.
Eine häufige Fehlerquelle im Hotel- und Wohnungswesen-WiFi. iPSK macht Captive Portals überflüssig, indem es den Benutzer nahtlos über seinen eindeutigen Schlüssel authentifiziert. Für Guest WiFi-Anwendungsfälle, bei denen eine Datenerfassung erforderlich ist, unterstützt Purple neben iPSK auch bewusste Opt-ins.
MAC Authentication Bypass (MAB)
Eine Methode, die die MAC-Adresse eines Geräts als Identität verwendet, um Netzwerkzugriff zu gewähren, typischerweise für Geräte, die 802.1X nicht unterstützen.
Wurde in der Vergangenheit zusammen mit iPSK verwendet, um einen bestimmten Schlüssel an ein bestimmtes Gerät zu binden. Dieser Ansatz wird aufgrund der MAC-Adress-Randomisierung in iOS 14+, Android 10+ und Windows 11 unzuverlässig. Easy PSK löst dies, indem stattdessen EAPOL-Parameter verwendet werden.
Private Area Network (PAN)
Ein virtuelles Netzwerksegment, das um die Geräte eines bestimmten Benutzers innerhalb einer gemeinsam genutzten Infrastruktur erstellt wird und die Geräteerkennung innerhalb des Segments ermöglicht, während die Isolation von allen anderen Benutzern aufrechterhalten wird.
Das entscheidende Merkmal von Multi-Tenant WiFi. In einer BTR-Wohnanlage ermöglicht das PAN jedes Bewohners, dass seine Smart-Home-Geräte miteinander kommunizieren, während sie für Nachbarn auf denselben physischen Access Points unsichtbar bleiben.
Ausgearbeitete Beispiele
Eine Build-to-Rent-Immobilie mit 250 Wohneinheiten muss allen Bewohnern sicheres, privates WiFi wie zu Hause bieten. Der Betreiber möchte eine einzige gebäudeweite SSID nutzen, um Funkinterferenzen zu reduzieren, aber die Bewohner müssen in der Lage sein, Smart-TVs und kabellose Drucker sicher zu verbinden, ohne dass andere Wohnungen ihre Geräte sehen können.
Stellen Sie Meraki Access Points bereit, die eine einzige, für Identity PSK mit RADIUS konfigurierte SSID ausstrahlen. Integrieren Sie das Meraki-Netzwerk mit einem zentralen, von der Purple-Plattform verwalteten RADIUS-Server. Wenn ein Bewohner seinen Mietvertrag unterschreibt, generiert das System automatisch einen eindeutigen PSK und weist ihn einem dedizierten, für seine Wohnung spezifischen VLAN zu. Der Bewohner verwendet diesen einzigen Schlüssel für alle seine Geräte (Smartphones, Laptops, Smart-Speaker). Das Netzwerk erzwingt eine Layer-2-Isolierung zwischen den verschiedenen VLANs, was eine vollständige Privatsphäre zwischen den Wohnungen gewährleistet, während die mDNS-Reflexion innerhalb des spezifischen VLANs des Bewohners aktiviert wird, damit sich seine Geräte untereinander finden können. Konfigurieren Sie DHCP-Bereiche für mindestens 25 Adressen pro Einheit, um der Dichte an IoT-Geräten gerecht zu werden.
Eine nationale Einzelhandelskette muss neue Point-of-Sale (POS)-Terminals, digitale Werbedisplays und Mitarbeiter-Tablets an 400 Standorten bereitstellen. Sie müssen die PCI DSS-Compliance einhalten und gleichzeitig den Funk-Overhead durch mehrere SSIDs reduzieren.
Implementieren Sie Meraki iPSK, um die Geräte am Wireless Edge zu segmentieren. Erstellen Sie drei verschiedene Schlüssel für jeden Standort: einen für POS-Terminals, der einem eingeschränkten VLAN zugewiesen ist, das nur zum Zahlungsabwickler routet, einen für digitale Werbung in einem reinen Internet-VLAN und einen für Mitarbeiter-Tablets in einem Unternehmens-VLAN mit Zugriff auf Inventarsysteme. Verwenden Sie die Meraki Dashboard-API, um diese Konfigurationen an alle 400 Standorte gleichzeitig zu übertragen. Dies konsolidiert drei SSIDs zu einer, was den Funk-Overhead reduziert und den Durchsatz verbessert. Die PCI DSS-Karteninhaberdaten-Umgebung wird am Wireless Edge isoliert, was den Audit-Aufwand verringert.
Übungsfragen
Q1. Sie entwerfen das Netzwerk für ein Studentenwohnheim mit 500 Betten. Der Kunde möchte 802.1X für die Sicherheit nutzen, benötigt aber auch Unterstützung für PlayStation 5-Konsolen und Amazon Echo-Lautsprecher. Wie lösen Sie diesen Konflikt?
Hinweis: Berücksichtigen Sie die Einschränkungen von 802.1X-Supplicants auf Endverbraucher-Hardware und die Anforderungen an die Gerätedichte in einer studentischen Umgebung.
Musterlösung anzeigen
Implementieren Sie Meraki iPSK anstelle von 802.1X. Generieren Sie bei der Einschreibung für jeden Studenten einen eindeutigen Pre-Shared Key. Dies bietet eine individuelle Verantwortlichkeit und Sicherheit, die einem Enterprise-Netzwerk entspricht, nutzt jedoch einen standardmäßigen Passwortmechanismus, der vollständig mit Spielekonsolen und Smart-Speakern kompatibel ist. Konfigurieren Sie das Netzwerk so, dass die Geräte jedes Studenten über eine VLAN-Zuweisung via RADIUS in ein eigenes Private Area Network (PAN) isoliert werden. Stellen Sie sicher, dass die Firmware-Version MR 32.1.3 oder neuer verwendet wird, um die MAC-Randomisierung über Easy PSK zu bewältigen. Planen Sie DHCP-Bereiche für mindestens 25 Geräte pro Student ein, um die gesamte Gerätestruktur abzudecken.
Q2. Ein Einzelhandelskunde, der Meraki iPSK mit einem zentralen RADIUS-Server nutzt, berichtet, dass einige neuere Android- und iOS-Geräte keine Verbindung herstellen können, selbst wenn das richtige Passwort verwendet wird. Ältere Geräte verbinden sich problemlos. Was ist die wahrscheinliche Ursache und die Lösung?
Hinweis: Denken Sie an die seit 2020 in mobilen Betriebssystemen eingeführten Datenschutzfunktionen und deren Auswirkungen auf die MAC-basierte Authentifizierung.
Musterlösung anzeigen
Das Problem wird durch die MAC-Adressen-Randomisierung (Private WiFi-Adresse) auf den neueren Geräten verursacht. Wenn der RADIUS-Server so konfiguriert ist, dass er das iPSK über MAC-Authentication-Bypass an eine bestimmte MAC-Adresse bindet, schlägt die Authentifizierung fehl, sobald das Gerät seine MAC-Adresse ändert. Die Lösung besteht darin, die Meraki-Firmware auf MR 32.1.3 oder neuer zu aktualisieren und Easy PSK zu aktivieren, wodurch die EAPOL-Parameter validiert werden, anstatt sich auf eine statische MAC-Bindung zu verlassen. Als Übergangsmaßnahme können Sie Benutzer anweisen, die Funktion für private Adressen für diese spezifische Netzwerk-SSID zu deaktivieren.
Q3. Ein BTR-Betreiber möchte Instant-On WiFi anbieten, bei dem die Bewohner sofort bei Einzug Netzwerkzugriff haben. Derzeit verlassen sie sich auf die manuelle Passwortgenerierung durch den Gebäudemanager, was zu Verzögerungen von ein bis drei Tagen führt. Wie kann dieser Prozess verbessert werden?
Hinweis: Überlegen Sie, wie Identity Provider und APIs die Bereitstellung des Netzwerkzugangs automatisieren und mit dem Workflow der Mietverwaltung verknüpfen können.
Musterlösung anzeigen
Automatisieren Sie den Lebenszyklus der Schlüssel, indem Sie das Immobilienverwaltungssystem über SCIM oder eine API in den RADIUS-Server integrieren. Wenn ein Mietvertrag unterzeichnet und der Bewohner im System erfasst wird, generiert ein Skript automatisch das eindeutige iPSK, weist es dem richtigen Apartment-VLAN zu und sendet die Zugangsdaten noch vor dem Einzugsdatum per E-Mail an den Bewohner. Die Plattform von Purple orchestriert diesen gesamten Workflow und verbindet die Meraki-Infrastruktur mit dem Identity Provider, um manuelle Eingriffe zu eliminieren. Der Bewohner erhält seinen Schlüssel vor der Ankunft, was eine echte Instant-On-Konnektivität am Einzugstag ermöglicht.
Q4. Ein Konferenzzentrum möchte zehn gleichzeitigen Firmenveranstaltungen sicheres, isoliertes WiFi zur Verfügung stellen, wobei jede Veranstaltung ihr eigenes privates Netzwerksegment benötigt. Es soll vermieden werden, zehn separate SSIDs auszustrahlen. Wie sieht die richtige Architektur aus?
Hinweis: Überlegen Sie, wie die iPSK-VLAN-Zuweisung eine logische Trennung ermöglichen kann, ohne dass mehrere SSIDs erforderlich sind.
Musterlösung anzeigen
Stellen Sie eine einzelne SSID bereit, die für iPSK mit RADIUS konfiguriert ist. Erstellen Sie zehn eindeutige Schlüssel, einen pro Veranstaltung. Ordnen Sie jeden Schlüssel einem dedizierten VLAN in der RADIUS-Serverkonfiguration zu. Wenn die Veranstalter ihren eindeutigen Schlüssel an die Teilnehmer verteilen, landen alle Geräte dieser Veranstaltung im selben isolierten VLAN, ohne Sichtbarkeit für andere Veranstaltungen. Dies eliminiert den RF-Overhead von zehn SSIDs, der den Durchsatz in einer dichten Veranstaltungsumgebung erheblich beeinträchtigen würde. Widerrufen Sie nach jeder Veranstaltung den Schlüssel und verwenden Sie das VLAN für die nächste Buchung wieder.
Weiterlesen in dieser Reihe
Uu PPSK pdf: Comparing Features and Deployment Models
Dieser technische Leitfaden vergleicht die Private Pre-Shared Key (PPSK) WiFi-Architektur mit herkömmlichen 802.1X- und Standard-PSK-Bereitstellungen. Er bietet Netzwerkarchitekten und IT-Managern herstellerunabhängige Implementierungsstrategien für Wohnanlagen mit mehreren Mietern, IoT- und BTR-Umgebungen.
Uu PPSK 2023: Vergleich von Funktionen und Bereitstellungsmodellen
Dieser technische Referenzleitfaden vergleicht die Unique per-User Private Pre-Shared Key (UU PPSK) WiFi-Architektur mit herkömmlichen gemeinsam genutzten PSK- und 802.1X-Implementierungen, mit einem besonderen Fokus auf der Landschaft der Anbieterimplementierungen und Plattformfunktionen im Jahr 2023. Er bietet Immobilienentwicklern, BTR-Betreibern und MDU-Vermietern umsetzbare Bereitstellungsstrategien, Anleitungen zur VLAN-Architektur und automatisierte Workflows für das Lifecycle-Management. Der Leitfaden deckt drei Bereitstellungsmodellen, Fallstudien aus der Praxis und die Compliance-Auswirkungen des jeweiligen Authentifizierungsansatzes ab.
PPSK xaverius: Vergleich von Funktionen und Bereitstellungsmodellen
Dieser fundierte Leitfaden untersucht die PPSK xaverius-Architektur für mandantenfähige Umgebungen wie Mietwohnanlagen (Build to Rent) und Studentenwohnheime. Er vergleicht Bereitstellungsmodelle, beschreibt Implementierungsstrategien im Detail und erklärt, wie die VLAN-Isolierung pro Wohneinheit ein heimisches WiFi-Erlebnis bietet und gleichzeitig die Enterprise-Sicherheit wahrt.