Uu PPSK: Vergleich von Funktionen und Bereitstellungsmodellen

UU PPSK: Features und Bereitstellungsmodelle im Vergleich Ein technischer Briefing-Podcast von Purple Ungefähre Laufzeit: 14 Minuten Willkommen beim technischen Briefing von Purple. Ich werde Sie durch eine der wichtigsten Entscheidungen führen, die Sie bei der Planung von WiFi für eine bewohnte oder gewerbliche Multi-Tenant-Immobilie treffen müssen: welches Pre-Shared-Key-Modell Sie bereitstellen sollten. Und insbesondere werden wir uns auf UU PPSK konzentrieren, was für Unique per-User Pre-Shared Key steht, und warum es sich zur bevorzugten Architektur für Build-to-Rent-Betreiber, Anbieter von Studentenwohnheimen und MDU-Vermieter in ganz Großbritannien entwickelt hat. Beginnen wir mit dem Problem. Wenn Sie ein Immobilienentwickler oder Vermieter sind, verwalten Sie ein Gebäude, in dem Dutzende oder Hunderte separate Haushalte dieselbe physische Netzwerkinfrastruktur nutzen. Sie müssen jedem Bewohner ein privates, heimeliges WiFi-Erlebnis bieten. Ihr Chromecast muss ihr Telefon finden. Ihr Smart-Speaker muss mit ihren Glühbirnen kommunizieren. Und entscheidend ist, dass nichts davon für den Bewohner in der Wohnung nebenan sichtbar sein darf. Die traditionelle Antwort darauf war entweder ein gemeinsames Passwort, was bei entsprechender Skalierung eine Sicherheitskatastrophe ist, oder eine vollständige 802.1X-Enterprise-Bereitstellung, die eine Public-Key-Infrastruktur, Zertifikatsverwaltung und einen RADIUS-Server erfordert - Ressourcen, über die die meisten Immobilienbetreiber in ihrer IT einfach nicht verfügen. Keine dieser Optionen ist für einen BTR-Block mit 200 Einheiten geeignet. Hier kommt PPSK ins Spiel. PPSK steht für Private Pre-Shared Key. Das Konzept ist einfach: Statt eines gemeinsamen WiFi-Passworts für das gesamte Gebäude erhält jeder Bewohner seine eigene, eindeutige Passphrase. Sie verbinden sich mit derselben SSID, demselben Netzwerknamen, aber ihr Schlüssel gehört ihnen allein. Wenn sie ausziehen, widerrufen Sie ihren Schlüssel. Dies hat keinerlei Auswirkungen auf andere Bewohner. Es gibt hier eigentlich drei verschiedene Modelle, und das Verständnis der Unterschiede zwischen ihnen ist entscheidend für die richtige Architekturentscheidung. Das erste Modell ist ein Standard-Shared-PSK. Ein Passwort, alle im selben Netzwerk. Das ist es, was die meisten Gebäude heute noch nutzen. Es ist einfach bereitzustellen, stellt jedoch einen Single Point of Failure dar. Ein Bewohner teilt das Passwort in einem Forum, und schon haben Sie die Kontrolle über Ihr Netzwerk verloren. Sie möchten den Zugriff eines Auftragnehmers sperren? Sie müssen das Passwort für alle ändern. Bei entsprechender Skalierung ist dies schlichtweg nicht handhabbar. Das zweite Modell ist Group PPSK. Hier weisen Sie jeder Gruppe von Benutzern einen eindeutigen Schlüssel zu, vielleicht einen Schlüssel pro Etage oder einen Schlüssel pro Mietverhältnis-Typ. Das ist besser als ein gemeinsames Passwort, hat aber immer noch das Problem einer großen Schadenswirkung. Wenn ein Schlüssel in einer Gruppe kompromittiert wird, ist die gesamte Gruppe betroffen. Und Sie können einzelne Bewohner auf der Netzwerkschicht immer noch nicht voneinander isolieren.Das dritte Modell – und das, worauf wir uns heute konzentrieren – ist UU PPSK, Unique per-User Pre-Shared Key, auch bekannt als iPSK bei Cisco, DPSK bei Ruckus und MPSK bei HPE Aruba. Die Terminologie variiert je nach Anbieter, aber das Konzept ist identisch. Jeder einzelne Bewohner, jede einzelne Gerätegruppe erhält einen eigenen, kryptografisch einzigartigen Schlüssel. Und dieser Schlüssel wird einem eigenen VLAN, einem eigenen Netzwerksegment zugewiesen – völlig isoliert von jedem anderen Bewohner im Gebäude. Dies ist die Architektur, die das liefert, was ich als WiFi-Blase bezeichne. Die Geräte von Bewohner A können sich gegenseitig sehen, sie können streamen, sich koppeln und Dateien austauschen, genau wie in einem Heimnetzwerk. Aber Bewohner A kann kein einziges Gerät sehen, das Bewohner B gehört, obwohl beide mit demselben Access Point, auf derselben SSID und über dieselbe physische Kabelinfrastruktur verbunden sind. Lassen Sie mich den technischen Authentifizierungsfluss beschreiben, denn hier geschieht die Magie. Wenn sich das Gerät eines Bewohners mit der SSID verbindet, fängt der Wireless LAN Controller den Verbindungsversuch ab und leitet die MAC-Adresse des Geräts an einen RADIUS-Server weiter. Der RADIUS-Server, der wie bei Purple in der Cloud gehostet sein kann, sucht diese MAC-Adresse in seinem Identitätsspeicher. Er gibt eine Access-Accept-Antwort zurück, die den dem Bewohner zugewiesenen eindeutigen Pre-Shared Key enthält. Der Controller validiert den vom Gerät präsentierten Schlüssel mit dem zurückgegebenen Schlüssel. Wenn sie übereinstimmen, wird das Gerät authentifiziert und im dedizierten VLAN des Bewohners platziert. Entscheidend ist, dass diese RADIUS-Antwort auch die VLAN-Zuweisung enthält. Das Gerät wird also nicht nur authentifiziert. Es wird automatisch im richtigen Netzwerksegment mit der richtigen Bandbreitenrichtlinie und den richtigen Firewall-Regeln platziert – und das alles über eine einzige SSID. Keine SSID-Überlastung. Kein Beacon-Overhead. Ein Netzwerkname, darunter Hunderte von isolierten privaten Netzwerken. Nun ein Wort zur MAC-Adressen-Randomisierung, denn das ist die Falle, über die die meisten Implementierungen stolpern. Seit iOS 14, Android 10 und Windows 11 verwenden Geräte aus Datenschutzgründen standardmäßig randomisierte MAC-Adressen. Wenn Ihr RADIUS-Server eine MAC-Abfrage durchführt und das Gerät eine randomisierte Adresse präsentiert, schlägt die Abfrage fehl und das Gerät kann keine Verbindung herstellen. Die Lösung besteht darin, Ihre SSID so zu konfigurieren, dass sie anfordert, dass Clients ihre permanente Hardware-MAC-Adresse verwenden, oder einen Vorregistrierungs-Workflow zu implementieren, bei dem die Bewohner ihr Gerät vor dem Verbindungsaufbau registrieren. Die Plattform von Purple übernimmt dies automatisch im Rahmen des Onboarding-Prozesses für Bewohner. Lassen Sie uns über Bereitstellungsmodelle sprechen, denn UU PPSK kann auf drei verschiedene Arten bereitgestellt werden. Die richtige Wahl hängt von der Größe Ihres Gebäudes, Ihren IT-Ressourcen und Ihrem Budget ab. Das erste Modell ist controller-lokales PPSK. Hier werden die eindeutigen Schlüssel direkt auf dem Wireless-Controller gespeichert, ohne dass ein externer RADIUS-Server erforderlich ist. Dies eignet sich gut für kleinere Implementierungen mit bis zu 200 Geräten und ist am einfachsten zu betreiben. Ubiquiti UniFi unterstützt dies nativ. Die Einschränkung liegt in der Skalierbarkeit. Die meisten Controller stoßen bei einigen hundert lokalen PPSK-Einträgen an ihre Grenzen, und es fehlt die zentrale Lifecycle-Verwaltung, die UU PPSK in großem Maßstab betrieblich tragbar macht. Das zweite Modell ist RADIUS-gestütztes PPSK. Hier werden die Schlüssel auf einem externen RADIUS-Server gespeichert, und der Controller fragt bei jeder neuen Verbindung den RADIUS-Server ab. Dies lässt sich auf Tausende von Geräten skalieren. TP-Link Omada unterstützt mit einem externen RADIUS-Server bis zu 4.000 PPSKs. Ruckus SmartZone, HPE Aruba ClearPass und Cisco ISE unterstützen dieses Modell ebenfalls. Der betriebliche Aufwand ist höher, aber die Skalierbarkeit und die Funktionen zur Lifecycle-Verwaltung sind erheblich besser. Das dritte Modell, das Purple für BTR- und MDU-Betreiber empfiehlt, ist Cloud RADIUS-as-a-Service. Hierbei wird die RADIUS-Infrastruktur von Purple gehostet und verwaltet, und Sie verbinden Ihre Access Points über ein Cloud-Overlay mit ihr. Dies bietet Ihnen die Skalierbarkeit von RADIUS-gestütztem PPSK ohne den betrieblichen Aufwand für den Betrieb eines eigenen RADIUS-Servers. Die Plattform von Purple setzt auf Ihrer vorhandenen Hardware auf - sei es Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme oder Fortinet - und bietet die Orchestrierungsebene für Schlüsselbereitstellung, Lifecycle-Verwaltung und das Onboarding der Bewohner. Der Lebenszyklus der Schlüssel ist vollständig automatisiert. Wenn ein Bewohner einzieht, wird sein Schlüssel über die Integration des Immobilienverwaltungssystems bereitgestellt. Zieht er aus, wird sein Schlüssel sofort widerrufen, ohne Auswirkungen auf andere Bewohner. Kein manuelles Eingreifen, keine Sicherheitslücken, kein Aufwand bei der Passwortrotation. Lassen Sie mich Ihnen zwei konkrete Implementierungsszenarien vorstellen, um dies zu veranschaulichen. Das erste ist ein Build-to-Rent-Projekt (BTR) mit 250 Wohneinheiten. Der Entwickler hatte im gesamten Gebäude Cisco Meraki Access Points spezifiziert. Sie benötigten für jeden Bewohner ein privates WiFi-Erlebnis mit voller IoT-Unterstützung, bezugsfertiger Bereitstellung am selben Tag und der Fähigkeit, 15 bis 25 Geräte pro Haushalt zu unterstützen. Der durchschnittliche BTR-Haushalt verbindet heute 18 Geräte mit dem WiFi, von Smartphones und Laptops bis hin zu Smart Speakern, Streaming-Sticks und vernetzten Haushaltsgeräten. Die bereitgestellte Architektur bestand aus einer einzigen SSID über das gesamte Gebäude hinweg, mit UU PPSK über den Cloud-RADIUS-Dienst von Purple. Jeder Bewohner erhielt beim Einzug einen eindeutigen Schlüssel, der über die Bewohner-App bereitgestellt wurde. Der Schlüssel war einem dedizierten VLAN mit einem privaten Subnetz zugeordnet, wodurch jeder Haushalt ein vollständig isoliertes Netzwerksegment erhielt. mDNS-Reflection wurde innerhalb jedes VLANs aktiviert, sodass Chromecast, Apple TV und Sonos einwandfrei funktionierten. Das Gebäude ging am ersten Tag mit 250 aktiven Bewohner-VLANs live, ohne dass das Team vor Ort manuelle RADIUS-Konfigurationen vornehmen musste.Das zweite Szenario ist ein eigens für diesen Zweck gebautes Studentenwohnheim mit 400 Betten. Die Herausforderung hierbei ist der jährliche Wechsel des Jahrgangs. Jedes Jahr im August ziehen 400 Studierende aus und 400 neue Studierende ein, oft innerhalb derselben Woche. Bei einem gemeinsam genutzten PSK-Modell bedeutet dies eine gebäudeweite Passwortänderung, die jeden verbleibenden Bewohner betrifft. Mit UU PPSK bedeutet dies den Entzug von 400 Schlüsseln und die Bereitstellung von 400 neuen Schlüsseln, was vollständig über die Integration des Studentenverwaltungssystems automatisiert ist. Die Bereitstellung nutzte Ruckus SmartZone mit DPSK, unterstützt durch den RADIUS-Service von Purple. Jeder Student erhielt seinen individuellen Schlüssel während der Registrierung vor der Ankunft per E-Mail. Der Schlüssel war für die Dauer des Mietverhältnisses gültig und lief am Ende des Vertragsdatums automatisch ab. Das Betriebsteam meldete im ersten Semester eine Reduzierung der Support-Tickets im Zusammenhang mit WiFi um 70 %, vor allem weil die Probleme bei der Kopplung von Chromecast und Smart-TVs, die die vorherige Bereitstellung mit gemeinsam genutztem PSK geplagt hatten, vollständig beseitigt wurden. Lassen Sie mich nun den Aspekt der Compliance behandeln, da dies für Immobilienbetreiber in einer Weise von Bedeutung ist, die manchmal unterschätzt wird. Die GDPR verlangt, dass Sie die Rechenschaftspflicht für die Datenverarbeitung nachweisen können. In einem WiFi-Kontext bedeutet dies, dass Sie identifizieren können müssen, welcher Bewohner welchen Netzwerkverkehr generiert hat, und dass Sie auf eine Auskunftsanfrage oder eine Anfrage von Strafverfolgungsbehörden mit präzisen, bewohnerspezifischen Daten antworten können. Mit einem gemeinsam genutzten PSK ist das unmöglich. Jedes Gerät im Netzwerk sieht aus der Perspektive des RADIUS-Servers identisch aus. Mit UU PPSK ist jede Verbindung an einen bestimmten Bewohnerschlüssel gebunden, der wiederum mit einem bestimmten Mietvertrag verknüpft ist. Ihr Audit-Trail ist lückenlos. Lassen Sie mich Ihnen drei praktische Faustregeln an die Hand geben, bevor wir zu den schnellen Fragen übergehen. Regel eins: Wenn Ihr Gebäude mehr als 50 Einheiten hat, verwenden Sie RADIUS-backed UU PPSK, nicht Controller-lokales PPSK. Die Skalierbarkeitsgrenze von Controller-lokalem PPSK wird Ihnen innerhalb von 12 Monaten nach der Inbetriebnahme Probleme bereiten. Regel zwei: Planen Sie die MAC-Randomisierung vom ersten Tag an ein. Integrieren Sie einen Vorregistrierungs-Workflow in Ihren Onboarding-Prozess für Bewohner. Gehen Sie nicht davon aus, dass Geräte standardmäßig ihre permanente MAC-Adresse angeben. Regel drei: Automatisieren Sie den Lebenszyklus der Schlüssel. Der betriebliche Wert von UU PPSK gegenüber einem gemeinsam genutzten PSK hängt vollständig davon ab, dass Schlüssel automatisch bereitgestellt und widerrufen werden. Ein manuelles Schlüsselmanagement ist in großem Maßstab nicht machbar. Integrieren Sie von Anfang an Ihr Immobilienverwaltungssystem oder Studentenverwaltungssystem. Gut, lassen Sie uns eine kurze Fragerunde zu den am häufigsten gestellten Fragen machen. Funktioniert UU PPSK mit WPA3? Ja, mit Einschränkungen. WPA3-SAE ändert den Handshake-Mechanismus. Die meisten modernen Controller unterstützen UU PPSK im WPA2- und WPA3-Übergangsmodus zur Abwärtskompatibilität. Überprüfen Sie die spezifische Dokumentation Ihres Herstellers, bevor Sie eine reine WPA3-Bereitstellung festlegen. Wie viele eindeutige Schlüssel kann eine einzelne SSID unterstützen? Das hängt von Ihrer Controller-Plattform ab. Mit einem externen RADIUS-Server liegt die praktische Grenze bei der Kapazität Ihrer RADIUS-Datenbank. Der Cloud-RADIUS-Service von Purple lässt sich auf Zehntausende gleichzeitiger Schlüssel skalieren. Ist UU PPSK ein Ersatz für 802.1X? Nein. Für vollständig verwaltete Firmen-Geräteflotten mit MDM-registrierten Endpunkten und bereits vorhandener Zertifikatsinfrastruktur ist WPA3-Enterprise mit 802.1X die sicherere Variante. UU PPSK ist das richtige Tool für Umgebungen, in denen Sie keine Kontrolle über die mit Ihrem Netzwerk verbundenen Geräte haben - was genau in BTR, Studentenwohnheimen und MDU-Szenarien der Fall ist. Auf welcher Hardware läuft es? Der Cloud-Overlay von Purple unterstützt Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Sie müssen Ihre vorhandenen Access Points nicht austauschen. Zusammenfassend lässt sich sagen: UU PPSK ist die Authentifizierungsarchitektur, die Multi-Tenant-WiFi im Wohnbereich operativ rentabel macht. Sie bietet Netzwerkisolierung pro Bewohner, umfassenden IoT-Support, automatisiertes Schlüssel-Lebenszyklusmanagement und einen GDPR-konformen Audit-Trail - alles über eine einzige SSID auf Ihrer vorhandenen Hardware. Die drei Bereitstellungsmodelle - Controller-lokal, RADIUS-gestützt und Cloud-RADIUS-as-a-Service - eignen sich für unterschiedliche Gebäudegrößen und IT-Ressourcenstufen. Ab einer Größe von 50 Einheiten ist Cloud-RADIUS-as-a-Service die richtige Wahl. Damit entfällt der betriebliche Aufwand für den Betrieb einer eigenen RADIUS-Infrastruktur, während Sie gleichzeitig die Skalierbarkeit und die Funktionen zur Lebenszyklusverwaltung erhalten, die Sie benötigen. Die Multi-Tenant-WiFi-Plattform von Purple bietet genau das. Das 2012 gegründete Unternehmen ist an 80.000 Live-Standorten im Einsatz, und unsere Plattform hat allein im Jahr 2024 bereits 440 Millionen Logins verarbeitet. Wir sind ISO 27001-zertifiziert, GDPR-konform und hardwareunabhängig. Wenn Sie ein BTR-, Studentenwohnheim- oder MDU-Projekt planen und wissen möchten, wie UU PPSK in Ihre spezifische Architektur passt, sind die in diesem Briefing verlinkten Leitfäden ein guter Ausgangspunkt. Vielen Dank fürs Zuhören. Bis zum nächsten Mal.