Entwicklung einer Multi-Tenant WiFi-Architektur für MDU

Entwurf einer Multi-Tenant WiFi-Architektur für MDU — Ein technisches Briefing von Purple. Willkommen zur technischen Briefing-Reihe von Purple. Heute befassen wir uns mit der Architektur, die einigen der komplexesten WiFi-Bereitstellungen zugrunde liegt, denen Sie in Unternehmensumgebungen begegnen werden — Multi-Tenant WiFi für Mehrfamilienhäuser und gemischt genutzte Gebäude. Egal, ob Sie für ein Hotel mit 300 Zimmern verantwortlich sind, in dem Gäste, Mitarbeiter und Gebäudemanagementsysteme dieselbe physische Infrastruktur nutzen, für einen gemischt genutzten Einzelhandels- und Bürokomplex oder für ein Studentenwohnheim mit Hunderten von unabhängigen Mietern — die Herausforderung ist im Grunde dieselbe: Wie stellen Sie mehreren unabhängigen Parteien eine zuverlässige, sichere und isolierte Konnektivität über ein einziges, gemeinsam genutztes physisches Netzwerk bereit? Dies ist keine theoretische Übung. Die Entscheidungen, die Sie in der Architekturphase treffen, bestimmen direkt Ihr Sicherheitsniveau, Ihr Compliance-Risiko unter GDPR und PCI-DSS und, offen gesagt, ob Ihr Support-Desk sechs Monate nach dem Live-Gang von Beschwerden überschwemmt wird. Lassen Sie uns also direkt einsteigen. Das Fundament jeder Multi-Tenant WiFi-Architektur ist die Netzwerksegmentierung — und der primäre Mechanismus zur Erreichung dieser Segmentierung ist das VLAN-Tagging, definiert unter IEEE 802.1Q. Das Konzept ist einfach: Sie weisen jeden Mieter oder jede Datenverkehrsklasse einem eigenen virtuellen LAN zu. Der Datenverkehr auf VLAN 10 kann den Datenverkehr auf VLAN 20 nicht erreichen, es sei denn, Sie erlauben dies explizit durch eine Routing- oder Firewall-Richtlinie. Diese logische Isolierung ist Ihre erste Verteidigungslinie. But hier machen Architekten oft ihren ersten Fehler: Sie verwechseln VLAN-Segmentierung mit Sicherheit. VLANs bieten Isolierung, keine Sicherheit. Sie benötigen weiterhin Firewall-Richtlinien zwischen den VLANs, Sie benötigen weiterhin Zugriffskontrolllisten und Sie müssen sich genau überlegen, welches Inter-VLAN-Routing Sie zulassen. Ein fehlkonfigurierter Trunk-Port kann Ihr gesamtes Segmentierungsmodell in Sekundenschnelle zum Einsturz bringen. Sprechen wir nun über die physische Schicht. In einer MDU-Umgebung haben Sie in der Regel eine gemeinsam genutzte physische Infrastruktur — Verkabelung, Switch-Infrastruktur und Access Points —, die mehrere Mieter bedient. Die Access Points selbst strahlen mehrere SSIDs aus, die jeweils einem anderen VLAN zugeordnet sind. Mieter A verbindet sich also mit seiner SSID, sein Datenverkehr wird am AP mit VLAN 10 gekennzeichnet, durchläuft die gemeinsame Switch-Infrastruktur auf einem Trunk-Port und kommt auf der Distribution-Ebene an, wo er in das isolierte Subnetz von Mieter A geroutet wird. Der Datenverkehr von Mieter B folgt demselben physischen Pfad, ist jedoch auf Layer 2 vollständig isoliert. Hier spielt die Wahl Ihrer Access-Point-Plattform eine enorme Rolle. Sie benötigen APs, die mehrere SSID-zu-VLAN-Zuordnungen unterstützen, die das Hochfrequenz-Management über potenziell Dutzende von Einheiten in unmittelbarer Nähe hinweg bewältigen können und die sich in einen zentralen Controller oder eine Cloud-Management-Plattform integrieren lassen. Der Controller ist entscheidend — er gibt Ihnen die Möglichkeit, Richtlinienänderungen bereitzustellen, den Durchsatz pro Mieter zu überwachen und auf Vorfälle zu reagieren, ohne einzelne APs anfassen zu müssen. Auf der Authentifizierungsseite ist der aktuelle Standard für Multi-Tenant-Bereitstellungen der Enterprise-Klasse IEEE 802.1X mit RADIUS-Authentifizierung. Jeder Mieter authentifiziert sich an seinem eigenen RADIUS-Server oder an einer gemeinsam genutzten RADIUS-Infrastruktur mit mieterspezifischer Richtliniendurchsetzung. WPA3-Enterprise ist heute der empfohlene Verschlüsselungsstandard — er bietet einen 192-Bit-Sicherheitsmodus für hochsensible Umgebungen und beseitigt die mit dem WPA2-Four-Way-Handshake verbundenen Schwachstellen. Für Gäste-WiFi-Segmente — und im MDU-Kontext werden Sie fast immer mindestens eines haben — nutzen Sie in der Regel ein Captive Portal-Modell. Der Gast verbindet sich mit einer offenen oder WPA2-Personal-SSID, wird zur Authentifizierung oder Akzeptanz der Nutzungsbedingungen auf eine Splash-Page weitergeleitet und erhält dann reinen Internetzugang in einem isolierten VLAN. Entscheidend ist, dass dieses Gäste-VLAN absolut keine Route zu einem Mieter-VLAN haben darf. Null. Das ist sowohl aus Sicherheits- als auch aus GDPR-Perspektive nicht verhandelbar. Lassen Sie uns kurz über die Hochfrequenzumgebung sprechen, denn hier werden MDU-Bereitstellungen wirklich komplex. Wenn Sie mehrere Mieter in benachbarten Einheiten haben — denken Sie an einen Hotelkorridor mit Zimmern auf beiden Seiten oder ein Einkaufszentrum mit Geschäften, die sich Wände teilen —, haben Sie eine hochverdichtete RF-Umgebung. Co-Channel-Interferenz ist Ihr Feind. Sie benötigen vor der Bereitstellung eine ordnungsgemäße RF-Planung: einen Site-Survey, der die Signalübertragung abbildet, Störquellen identifiziert und Ihre Kanalzuweisungsstrategie unterstützt. Das 2,4-GHz-Band bietet Ihnen in den meisten regulatorischen Bereichen drei überschneidungsfreie Kanäle — die Kanäle 1, 6 und 11. Das 5-GHz-Band bietet deutlich mehr, weshalb moderne Bereitstellungen Clients nach Möglichkeit auf 5 GHz verweisen. WiFi 6 und WiFi 6E erweitern dies noch weiter in das 6-GHz-Band und bieten Ihnen ein sauberes Spektrum, das weitgehend frei von Störungen durch ältere Geräte ist. Für neue MDU-Bereitstellungen im Jahr 2025 und darüber hinaus ist die Spezifikation von WiFi 6E-fähigen APs die richtige Entscheidung — der zusätzliche Spektrumsspielraum zahlt sich in dichten Umgebungen aus. Ein Architekturmuster, das bei großen MDU-Bereitstellungen stark an Bedeutung gewinnt, ist die Verwendung eines Software-Defined Networking Overlays — insbesondere SD-WAN- oder SD-LAN-Ansätze, bei denen Mieterrichtlinien zentral definiert und an den Edge übertragen werden. Dies entkoppelt die Richtlinienebene von der physischen Infrastruktur, was bedeutet, dass Sie einen neuen Mieter einrichten, seine Bandbreitenzuweisung ändern oder seinen Zugriff entziehen können, ohne eine einzige Switch-Befehlszeile anfassen zu müssen. Für Betreiber von Veranstaltungsorten, die Dutzende oder Hunderte von Mietern verwalten, ist diese betriebliche Effizienz bahnbrechend. IoT ist die andere Dimension, die Sie nicht ignorieren dürfen. In einer modernen MDU — sei es ein Hotel, ein Einzelhandelskomplex oder ein Wohnblock — haben Sie Gebäudemanagementsysteme, HLK-Steuerungen, intelligente Beleuchtung, Zugriffskontrolle, Videoüberwachung und eine wachsende Palette anderer vernetzter Geräte. Diese müssen sich in ihrem eigenen isolierten VLAN befinden, vollständig getrennt vom Mieter- und Gäste-Datenverkehr. IoT-Geräte sind bekanntermaßen schwer zu patchen und stellen eine erhebliche Angriffsfläche dar. Segmentieren Sie sie, überwachen Sie sie und wenden Sie ein strenges Egress-Filtering an, sodass sie nur mit ihren dafür vorgesehenen Management-Plattformen kommunizieren können. Kommen wir nun zur Praxis. So würde ich an eine MDU-Neuinstallation herangehen. Beginnen Sie mit Ihrem logischen Design, bevor Sie auch nur ein einziges Hardwareteil anfassen. Erfassen Sie Ihre Mieteranzahl, Ihre Datenverkehrsklassen — Management, Corporate, Gäste, IoT, Zahlung — und weisen Sie die VLANs entsprechend zu. Dokumentieren Sie Ihr IP-Adressierungsschema. Definieren Sie Ihre Inter-VLAN-Routing-Richtlinie: Was darf mit was kommunizieren und was ist absolut verboten. Führen Sie dann Ihre RF-Planung durch. Beauftragen Sie einen ordnungsgemäßen Site-Survey. Verlassen Sie sich nicht auf die Abdeckungskarten der Hersteller — diese sind bestenfalls optimistisch. Sie benötigen tatsächliche Signalmessungen im physischen Raum, die Wandmaterialien, Deckenkonstruktionen und die RF-Umgebung von Nachbargebäuden berücksichtigen. Priorisieren Sie bei der Hardwarespezifikation Plattformen, die ein zentralisiertes Cloud-Management unterstützen. Der betriebliche Aufwand für die Verwaltung einer verteilten AP-Infrastruktur ohne Controller ist auf Dauer nicht tragbar. Suchen Sie nach Plattformen, die Ihnen Bandbreitenrichtlinien pro SSID, Berichte pro Mieter und eine Integration in Ihre RADIUS-Infrastruktur bieten. Zu den Fallstricken: Die häufigste Fehlerquelle, die ich sehe, ist eine unzureichende Trunk-Port-Konfiguration. Architekten entwerfen ein wunderbares VLAN-Schema und vergessen dann, die relevanten VLANs auf jeder Trunk-Verbindung im Pfad explizit zuzulassen. Der Datenverkehr wird stillschweigend verworfen, Mieter beschweren sich und das Support-Team verbringt Tage mit der Fehlersuche. Dokumentieren Sie Ihre Trunk-Konfigurationen akribisch und validieren Sie diese bei der Inbetriebnahme. Der zweite Fallstrick ist die SSID-Überwucherung. Jede SSID, die Sie ausstrahlen, verbraucht Airtime für Beacon-Frames. In einer dichten Umgebung verschlechtert das Ausstrahlen von acht oder zehn SSIDs pro AP die Leistung für alle. Halten Sie Ihre SSID-Anzahl auf dem absolut notwendigen Minimum — in der Regel nicht mehr als vier pro Funkmodul. Nutzen Sie die dynamische VLAN-Zuweisung über RADIUS-Attribute anstelle separater SSIDs, um mehrere Mieter über eine einzige SSID zu bedienen. Der dritte Fallstrick ist die Vernachlässigung der Management-Ebene. Ihr Management-VLAN — dasjenige, über das Ihre APs, Switches und Controller kommunizieren — muss vollständig von allen Mieter- und Gäste-VLANs isoliert sein. Wenn ein Mieter Ihre Management-Ebene erreichen kann, haben Sie eine kritische Sicherheitslücke. Nutzen Sie nach Möglichkeit Out-of-Band-Management und wenden Sie strenge ACLs auf den Management-Datenverkehr an. Lassen Sie mich nun einige Fragen durchgehen, die bei diesen Bereitstellungen immer wieder auftauchen. Wie viele Mieter kann ein einzelner AP unterstützen? Praktisch gesehen können die meisten Enterprise-APs 20 bis 30 gleichzeitig aktive Clients pro Funkmodul bewältigen, bevor die Leistung nachlässt. Planen Sie in einer dichten MDU mit einem AP pro 15 bis 20 aktiven Geräten, nicht pro physischer Einheit. Benötige ich einen separaten AP pro Mieter? Nein — das ist genau der Punkt bei VLAN-basierter Multi-Tenancy. Mehrere Mieter teilen sich denselben AP, wobei die Datenverkehrsisolierung auf der Netzwerkesicht erzwungen wird. Was ist die richtige Bandbreitenzuweisung pro Mieter? Es gibt keine allgemeingültige Antwort, aber ein üblicher Ausgangspunkt sind 10 bis 25 Megabit pro Sekunde garantiert mit der Möglichkeit von Bursts bis zur verfügbaren Uplink-Kapazität. Nutzen Sie QoS-Richtlinien, um dies durchzusetzen und zu verhindern, dass ein einzelner Mieter den gemeinsamen Uplink überlastet. Wie gehe ich mit einem Mieter um, der eine eigene Firewall benötigt? Stellen Sie ihm ein dediziertes VLAN und einen gerouteten Übergabepunkt bereit. Er schließt sein eigenes CPE oder seine eigene Firewall an diesen Übergabepunkt an, und alles dahinter liegt in seiner Verantwortung. Zusammenfassend lässt sich sagen: Eine gut konzipierte Multi-Tenant WiFi-Architektur für eine MDU basiert auf vier Säulen. Erstens: eine konsequente VLAN-Segmentierung mit erzwungenen Firewall-Richtlinien zwischen den Segmenten. Zweitens: ein zentralisiertes, Controller-basiertes Management, das Ihnen betriebliche Transparenz und Richtlinienkontrolle im großen Stil bietet. Drittens: eine ordnungsgemäße RF-Planung, die die physische Umgebung und die Dichte der Bereitstellung berücksichtigt. Und viertens: ein Sicherheitsmodell, das Authentifizierung, Verschlüsselung, IoT-Isolierung und Compliance-Anforderungen vom ersten Tag an berücksichtigt. Unternehmen, die dies richtig umsetzen, sehen messbare Ergebnisse: reduzierter Support-Aufwand, schnellere Mieter-Onboarding-Prozesse, eine nachweisbare Compliance-Position bei Audits und die Möglichkeit, Konnektivität als Service zu monetarisieren, anstatt sie als Kostenstelle zu betrachten. Wenn Sie eine MDU-Bereitstellung planen und herausfinden möchten, wie die Plattform von Purple die Analyse-, Gäste-WiFi-Management- und Berichterstellungsebene auf Mieterebene über Ihrer Netzwerkinfrastruktur bereitstellen kann, sind die im Leitfaden verlinkten Ressourcen ein guter Ausgangspunkt. Vielen Dank fürs Zuhören. Bis zum nächsten Mal.