Architecture VLAN par logement et PSK : un guide de conception pour les réseaux MDU

Attribuez son propre VLAN à chaque appartement lorsque les logements disposent de ports filaires et que le bâtiment compte quelques centaines de portes. Un projet BTR de 250 portes utilise environ 256 des 4 094 identifiants VLAN IEEE 802.1Q. Pour les sites à forte rotation, comme un établissement PBSA de 800 lits, placez la segmentation dans la clé unique de chaque résident, avec une politique par clé appliquée sur une poignée de VLAN partagés.

Chaque appartement doit-il avoir son propre VLAN ?

Pas toujours. Chaque résident d'un projet de logement locatif (BTR), d'immeuble collectif (MDU) ou de résidence étudiante (PBSA) a besoin d'un réseau privé. Son ordinateur portable, sa TV connectée et son imprimante doivent communiquer entre eux, sans qu'aucun appareil tiers ne puisse les voir. C'est l'expérience comme à la maison associée à une sécurité d'entreprise, et vous pouvez la fournir de deux manières.

VLAN par appartement. Chaque logement obtient son propre réseau local virtuel (VLAN). Un VLAN est un domaine de diffusion de couche 2 distinct avec son propre sous-réseau et sa propre plage DHCP. Un serveur RADIUS indique au point d'accès quel VLAN chaque appareil rejoint. RADIUS est le protocole d'authentification qui vérifie chaque appareil et renvoie sa politique réseau. Le trafic entre les logements doit traverser une passerelle de couche 3, et votre pare-feu le bloque à ce niveau.

Politique portée par la clé. Chaque résident obtient une clé prépartagée (PSK) unique sur un SSID partagé. Les équipementiers appellent cela iPSK (Identity PSK), PPSK (Private PSK), multi-PSK ou PSK dynamique. La clé identifie le résident, et le réseau applique la politique qui lui est liée. Les appareils utilisant la même clé peuvent communiquer entre eux. Les appareils utilisant des clés différentes ne le peuvent pas, même sur un VLAN partagé. Purple appelle cela un réseau privé virtuel (PAN, Private Area Network) : une bulle de réseau privé qui se déplace avec la clé.

Les deux architectures isolent correctement les résidents. Elles diffèrent par l'endroit où l'isolation est appliquée et par le volume de configuration à maintenir. Le choix dépend de quatre facteurs :

• la présence de ports filaires dans les logements
• le taux de rotation des résidents
• le nombre total de segments
• la compatibilité de vos points d'accès et commutateurs

Les sections ci-dessous détaillent chaque facteur avec des exemples de volumes pour un projet BTR de 250 portes et un site PBSA de 800 lits.

Les réelles différences entre VLAN par logement et politique basée sur les clés

Le plafond de 4 094 VLAN, et quand vous l'atteignez réellement

La norme IEEE 802.1Q transporte l'identifiant VLAN dans un champ de 12 bits. Cela donne 4 096 valeurs. Les identifiants 0 et 4 095 sont réservés, ce qui laisse 4 094 identifiants utilisables. Ce plafond s'applique par domaine de couche 2, et non par entreprise, de sorte que deux bâtiments séparés par une frontière routée peuvent réutiliser les mêmes identifiants.

Un seul bâtiment atteint rarement 4 094 VLAN uniquement avec les réseaux des résidents. Vous atteignez ce plafond dans trois situations :

• Un campus multi-bâtiments gère un seul domaine de couche 2 plat. Cinq résidences de 800 lits sur un même cœur de réseau nécessitent 4 000 VLAN résidents avant même d'ajouter le personnel, la vidéosurveillance ou la gestion technique du bâtiment.
• Vous segmentez par lit et par port. Si chaque lit dispose également d'un VLAN filaire distinct, votre total double.
• Vous ajoutez un VLAN IoT par logement pour les serrures ou thermostats intelligents, ce qui double à nouveau ce nombre.

Le plafond pratique est généralement atteint plus rapidement. Les variantes de Spanning Tree par VLAN exécutent une instance de Spanning Tree par VLAN, et les plateformes de commutation plafonnent les instances bien en dessous de 4 094. Les contrôleurs WiFi et les passerelles publient également leurs propres limites concernant les VLAN et les interfaces de couche 3. Vérifiez ces trois chiffres sur la fiche technique avant de vous engager. Le maximum 802.1Q n'est pas la bonne valeur à prendre comme référence.

Si vous dépassez ce plafond, deux solutions propres s'offrent à vous. Placez une limite routée à chaque bâtiment et réutilisez les identifiants VLAN à l'intérieur de chacun d'eux. Ou passez au VXLAN, défini dans la norme RFC 7348, dont l'identifiant de segment sur 24 bits permet environ 16 millions de segments. Multiple Spanning Tree, à l'origine IEEE 802.1s et faisant désormais partie de 802.1Q, associe de nombreux VLAN à un petit nombre d'instances. Cela élimine la contrainte liée au Spanning Tree.

Comment RADIUS attribue un résident à un VLAN

La RFC 3580 définit l'attribution dynamique de VLAN. Lorsque RADIUS accepte un équipement, le message Access-Accept transporte trois attributs :

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = l'identifiant VLAN de cet appartement

Le point d'accès ou le commutateur place ensuite l'équipement sur ce VLAN. La correspondance est conservée dans le dossier du résident, de sorte que son téléphone se connecte au même VLAN dans l'appartement, au gymnase ou sur le toit-terrasse.

La manière dont le serveur identifie le propriétaire de l'équipement dépend de la méthode d'authentification :

• IEEE 802.1X (WPA2-Enterprise ou WPA3-Enterprise). Le résident s'identifie à l'aide d'un identifiant ou d'un certificat, et RADIUS le recherche directement.
• PSK par clé (iPSK / PPSK). Le contrôleur ou le serveur RADIUS associe la clé présentée par l'équipement au dossier du résident, puis renvoie le nom du VLAN ou de la politique.

Les fournisseurs implémentent cette recherche de clé de manière différente. Suivez la documentation de votre plateforme pour connaître les étapes de configuration.

La clé PSK l'emporte dans les immeubles résidentiels pour une raison pratique. Les Smart TV, consoles de jeux, enceintes connectées et imprimantes prennent rarement en charge le 802.1X, mais une clé fonctionne sur tous ces équipements.

Vérifiez si votre plateforme prend en charge la clé PSK par clé avec WPA3-Personal. De nombreuses implémentations de clés individuelles ont été lancées sur WPA2-Personal. SAE (Simultaneous Authentication of Equals, le handshaking de WPA3-Personal) modifie la manière dont une clé peut être associée, et la prise en charge varie selon le fournisseur et le firmware.

Lorsqu'un résident déménage ou quitte son logement, l'autorisation dynamique RADIUS s'avère très utile. Elle est définie dans la RFC 5176 et permet au serveur de déconnecter une session ou d'appliquer une nouvelle politique immédiatement.

Hygiène du domaine de diffusion (broadcast)

Chaque VLAN est un domaine de diffusion. Les requêtes ARP, la découverte DHCP et les protocoles de découverte multicast atteignent tous les équipements qui s'y trouvent. Ces protocoles incluent mDNS, utilisé par AirPlay et Chromecast, ainsi que SSDP. Sur le WiFi, les trames de diffusion et de multicast sont envoyées à un débit de base. Elles consomment du temps d'antenne sur chaque point d'accès qui achemine le VLAN.

Un VLAN par logement limite chaque domaine à un seul foyer, soit environ 8 à 36 équipements. La découverte fonctionne à l'intérieur de l'appartement sans passerelle mDNS, et rien ne fuite chez le voisin.

Un VLAN partagé peut accueillir des centaines d'appareils provenant de nombreux résidents, il nécessite donc une hygiène active :

• Proxy ARP ou suppression ARP au niveau du point d'accès, afin que l'AP réponde aux requêtes ARP au lieu de les diffuser en masse.
• Conversion multicast-vers-unicast ou filtrage du broadcast sur l'SSID résidentiel.
• Une passerelle mDNS limitée par clé, afin que les cibles de diffusion d'un résident n'apparaissent que sur ses propres appareils.
• Une limite de taille. Notre règle pratique est de quelques centaines de clients par VLAN partagé. Au-delà, divisez par étage ou par bloc.

Certaines plateformes appliquent le regroupement au niveau de la clé de manière native. Par exemple, le Wireless Personal Network de Cisco Meraki groupe les appareils par iPSK et isole les groupes les uns des autres sur un VLAN partagé. Sur un parc Meraki, testez le roaming rapide en parallèle. Notre guide sur Cisco Meraki 802.11r adaptatif vs activé détaille ce comportement.

Conception des plages DHCP par segment

Nous prévoyons de huit à 12 appareils par résident. C'est le chiffre de planification de Purple, et il couvre :

• téléphones, ordinateurs portables, tablettes et montres
• téléviseurs, consoles et enceintes
• appareils de maison intelligente

Dimensionnez chaque plage selon l'occupation maximale du logement, et non selon la moyenne.

Ajoutez ensuite de la marge pour les adresses MAC privées. Apple et Google personnalisent et rendent aléatoire l'adresse MAC d'un appareil par réseau par défaut. Une nouvelle adresse aléatoire consomme un nouveau bail. Raccourcissez la durée des baux afin que les adresses abandonnées retournent dans le pool en moins d'un jour, et conservez au moins un tiers de chaque plage disponible.

Préfixe	Adresses utilisables	Baux après passerelle	Convient
/28	14	13	Non recommandé : un résident avec 12 appareils ne laisse qu'une adresse disponible
/27	30	29	Un résident avec 12 appareils, 17 disponibles
/26	62	61	Trois résidents avec 12 appareils, 25 disponibles
/23	510	509	Un étage de 25 résidents avec 12 appareils, 209 disponibles

Exécutez DHCP sur la passerelle, ou sur un serveur central avec relais DHCP sur chaque interface VLAN. Une conception par logement nécessite une plage et un relais par VLAN, donc un bâtiment de 250 logements comporte 250 plages. L'avantage est qu'une adresse IP identifie l'appartement, ce qui accélère la résolution des problèmes. Sur les VLANs partagés, l'adresse ne correspond plus à un logement. Vous identifiez le résident grâce au comptage RADIUS, qui enregistre la clé, l'adresse MAC et la session.

Facteur	VLAN par appartement	Politique portée par la clé
Lieu où l'isolation est appliquée	Passerelle de Couche 3 et pare-feu	Point d'accès ou contrôleur
VLANs résidents utilisés	Un par logement	Un par étage ou bloc
Ports filaires dans les logements	Même segment que le WiFi, via VLAN par port ou authentification MAC	Nécessite une conception filaire séparée
Découverte AirPlay et Chromecast	Fonctionne dans le VLAN, pas de passerelle	Nécessite une passerelle mDNS limitée par clé
Taille du domaine de broadcast	Un foyer, jusqu'à environ 36 appareils	Jusqu'à quelques centaines d'appareils
Plages DHCP	Une par logement	Une par VLAN partagé
Dépendance matérielle	Attribution dynamique de VLAN (RFC 3580)	PPSK par clé plus isolation par clé
Utilisation idéale	Logement locatif BTR et MDU avec ports filaires et baux longue durée	Logements étudiants PBSA, appart'hôtels, campus multi-bâtiments

Quand un VLAN par appartement est le bon choix

Choisissez un VLAN par appartement lorsque la plupart de ces conditions sont remplies :

• Les logements disposent de ports filaires. Un seul VLAN achemine la télévision filaire, le hub intelligent et les appareils WiFi du résident, garantissant le fonctionnement du casting sur l'ensemble.
• Les baux durent des mois ou des années. La correspondance entre VLAN et logement change rarement.
• Le nombre de segments reste bien en dessous des limites de votre plateforme. Comptez les instances Spanning Tree, les VLANs du contrôleur et les interfaces de passerelle.
• Votre équipe de sécurité exige une isolation au niveau de la couche 3, avec des journaux de pare-feu par segment.
• Le support a besoin de l'adresse IP pour identifier le logement sans effectuer de recherche RADIUS.

Scénario concret : un projet BTR de 250 logements

Situation. Un immeuble résidentiel BTR de 250 appartements, du studio au T3, accueillant un maximum de trois résidents par logement. Chaque appartement dispose de ports filaires pour une télévision et un hub domotique. L'espace de services comprend une salle de sport, un espace de coworking et un toit-terrasse. Le personnel, la vidéosurveillance, la gestion du bâtiment et les visiteurs du lounge ont chacun besoin de leur propre réseau.

Actions réalisées.

• Un VLAN par appartement : 250 VLANs résidents.
• Six VLANs d'infrastructure : gestion, personnel, vidéosurveillance, gestion du bâtiment, IoT et un réseau Guest WiFi pour les visiteurs dans les espaces de services. Cela fait 256 ID de VLAN au total.
• Un /26 uniforme par appartement. Trois résidents possédant 12 appareils représentent 36 appareils, ce qui laisse 25 baux libres. Un seul modèle couvre chaque logement.
• Un /18 pour l'ensemble des plages résidents. Les 250 plages /26 s'intègrent dans un seul /18 d'espace privé RFC 1918, avec six blocs /26 restants.
• Filaire et sans fil sur un seul segment. RADIUS associe la clé de chaque résident au VLAN de son appartement, et les ports filaires du logement se trouvent sur le même VLAN.
• Multiple Spanning Tree associe les 256 VLANs à un petit nombre d'instances.

Résultat (chiffres de conception).

• 256 des 4 094 ID de VLAN utilisés, soit environ 6 %.
• 256 plages DHCP et 256 interfaces de couche 3, gérées à partir d'un seul modèle de règles de pare-feu.
• Chaque adresse de résident identifie son appartement.
• Une seconde phase de 250 logements porterait le total à 506 VLANs, ce qui représente toujours environ 12 % de l'espace d'ID.

Quand la segmentation basée sur les politiques est le bon choix

Choisissez la politique portée par la clé lorsque la plupart de ces conditions sont remplies :

• Le taux de rotation est élevé. Les rentrées annuelles ou les séjours à la nuitée font de la maintenance des associations VLAN-logement une tâche récurrente.
• Les résidents se déplacent dans tout le bâtiment, y compris dans les salles d'étude, les cafés et les salles de sport.
• La confidentialité par lit pousserait le nombre de VLANs dans les centaines ou les milliers.
• Les chambres ne disposent pas de ports filaires, ou les ports servent uniquement aux systèmes du bâtiment.
• Vos points d'accès prennent en charge la clé iPSK / PPSK, l'isolation par clé et le mDNS ciblé.

Scénario concret : une résidence universitaire de 800 lits

Situation. Une université exploite une résidence étudiante de 800 lits répartis sur quatre bâtiments de huit étages, avec 25 lits par étage. Les étudiants vivent dans des appartements partagés de cinq à huit chambres autour d'une cuisine commune. Les colocataires s'attendent à ce que leur vie privée soit préservée les uns des autres, la segmentation s'effectue donc par lit. La plupart des lits changent d'occupant au début de chaque année universitaire.

Option A : un VLAN par lit.

• 800 VLANs résidents.
• Un /27 par lit accueille 12 appareils avec 17 adresses libres, ce qui totalise 25 600 adresses et nécessite un /17.
• 800 plages DHCP et 800 interfaces de passerelle.
• Chaque VLAN est relié en trunk à chaque point d'accès qu'un étudiant est susceptible d'utiliser, c'est-à-dire l'ensemble du site.

Option B : politique portée par la clé.

• Chaque étudiant reçoit une clé unique lors de son enregistrement.
• Un VLAN partagé par étage donne 32 VLANs résidents.
• Chaque /23 offre 509 baux pour 300 appareils (25 étudiants avec 12 appareils), laissant 209 adresses libres.
• Les 32 plages /23 s'intègrent dans un /18.
• L'isolation par clé s'exécute sur les points d'accès, avec une passerelle mDNS délimitée par clé. Le Proxy ARP et la conversion multicast-vers-unicast fonctionnent sur le SSID.

Ce qui a été fait. Option B. La clé associe chaque étudiant au VLAN de son étage d'origine. Un étudiant qui se rend au café conserve la même adresse et la même politique. Les 32 VLANs sont reliés en trunk à chaque point d'accès, une charge bien plus légère que 800.

Résultat (chiffres de conception).

• 32 VLANs résidents au lieu de 800, soit une réduction de 96 %.
• 32 plages DHCP au lieu de 800.
• Une plage d'adresses divisée par deux : un /18 au lieu d'un /17.
• Des domaines de diffusion d'environ 300 appareils chacun, respectant notre règle de fonctionnement.
• Le renouvellement annuel implique uniquement la révocation et la réémission des clés, sans aucune modification de VLAN, de plage ou de trunk.

Scénario d'application : un apparthôtel de 120 logements

Situation. Un apparthôtel de 120 appartements répartis sur six étages, soit 20 appartements par étage. Les séjours durent de une à 14 nuits. Les clients apportent des clés de streaming et s'attendent à pouvoir diffuser du contenu depuis leur téléphone. La réception fournit l'accès WiFi lors de l'enregistrement.

Ce qui a été fait.

• Chaque séjour reçoit sa propre clé lors de l'enregistrement, associée à un groupe de politiques par appartement.
• Les séjours courts comportent moins d'appareils, la planification prévoit donc huit appareils par client et deux clients par appartement. Cela représente 320 appareils par étage.
• Chaque étage bénéficie d'un VLAN /23, ce qui laisse 189 baux libres.
• La conception révoque chaque clé lors du départ.

Résultat (chiffres de conception).

• Six VLANs résidents au lieu de 120, soit une réduction de 95 %.
• Six plages DHCP.
• Aucune modification de VLAN entre les séjours.
• La diffusion de contenu fonctionne au sein de chaque séjour grâce à la portée mDNS par clé.

Pour une vue d'ensemble du réseau visiteurs, consultez notre page Hôtels.

Ce que chaque conception coûte en exploitation

Aucune des deux conceptions ne modifie le nombre de vos points d'accès. Celui-ci est déterminé par la densité d'appareils et la couverture. Le coût d'exploitation correspond au nombre d'objets que vous configurez, modifiez et dépannez.

Élément à maintenir	BTR de 250 logements, VLAN par appartement	PBSA de 800 lits, VLAN par lit	PBSA de 800 lits, politique par clé
VLANs résidents	250	800	32
Plages DHCP	250	800	32
Interfaces de passerelle Couche 3	250	800	32
Espace d'adressage privé	/18	/17	/18
VLANs en trunk vers chaque AP (avec 6 infrastructures)	256	806	38
Isolation appliquée au niveau de	Pare-feu de la passerelle	Pare-feu de la passerelle	Point d'accès ou contrôleur
Modification lors de la rotation des résidents	Réémission de la clé	Réémission de la clé	Réémission de la clé

Avec un VLAN par logement, le coût réside dans la gestion du changement. Chaque nouveau bloc ajoute des VLANs, des plages d'adresses, des interfaces de passerelle, des entrées de pare-feu et des modifications de trunk sur chaque commutateur du chemin. Modélisez et automatisez ce travail, sinon il dérive.

Lorsque la politique est portée par la clé, le coût se déplace ailleurs. Vous dépendez des fonctionnalités par clé présentes dans le firmware de vos points d'accès et de votre licence. Le dépannage passe également des adresses IP aux journaux de comptabilité RADIUS : formez donc votre équipe de support à leur lecture.

Purple Multi-Tenant WiFi fonctionne comme une superposition cloud sur le matériel que vous possédez déjà. Notre cloud RADIUS délivre une clé à chaque résident et renvoie son VLAN ou sa politique. Les arrivées, les déménagements et les départs sont gérés à partir d'une interface unique. Purple est indépendant du matériel parmi :

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme Networks
• Fortinet

Purple fonctionne sur plus de 80 000 sites actifs et a géré 440 millions de connexions en 2024, selon les données propres à Purple. Purple est certifié ISO 27001 et conforme au GDPR. Pour comprendre pourquoi la segmentation nécessite rarement de nouveaux points d'accès, lisez Pourquoi votre prochaine mise à niveau WiFi ne nécessite pas de nouveau matériel.

Comment décider pour votre parc informatique

Votre situation	Recommandation	Pourquoi
Jusqu'à environ 500 logements, ports filaires, baux de 12 mois ou plus	VLAN par appartement	Le réseau filaire et le WiFi partagent un même segment ; l'utilisation des ID reste proche de 12 %
Logements étudiants (PBSA) avec confidentialité par lit et rotation annuelle	Politique par clé, un VLAN partagé par étage	96 % de VLANs en moins pour 800 lits ; pas de reconfigurations à chaque rentrée
Aparthôtel ou appartements avec services pour des séjours de quelques jours	Politique par clé	Les clés suivent le séjour ; la cartographie des VLANs ne change jamais
Campus multi-bâtiments sur un cœur de réseau de niveau 2, plus de 3 000 segments	Limite routée par bâtiment, ou VXLAN, puis l'un ou l'autre modèle	4 094 ID par domaine de niveau 2
Appartements avec ports filaires et logements regroupés sur un même site	Hybride : VLAN par appartement là où les ports existent, politique par clé ailleurs	Chaque modèle s'applique là où résident ses forces
Points d'accès sans isolation par clé	VLAN par appartement, ou prévoyez une mise à niveau du firmware ou des AP	L'isolation doit être appliquée à un endroit quelconque

Suivez ces cinq étapes avant de vous engager dans une architecture.

1. Comptez vos segments. Comptez les logements ou les lits, puis ajoutez les VLANs d'infrastructure et tout multiplicateur filaire ou IoT. Comparez le total avec vos limites de spanning tree, de contrôleur et de passerelle, et non avec 4 094.
2. Dimensionnez les plages d'adresses selon l'occupation maximale. Multipliez les résidents par 12 appareils, puis conservez au moins un tiers de chaque plage libre.
3. Confirmez les fonctionnalités par clé avec votre fournisseur. Vérifiez la prise en charge de l'iPSK (PPSK), de l'attribution de VLAN par clé, de l'isolation par clé, du mDNS restreint et du WPA3-Personal sur votre firmware.
4. Évaluez la densité. Le passage de 8 à 12 appareils par résident modifie le nombre de points d'accès. Notre guide sur les études de site WiFi détaille la planification.
5. Testez l'itinérance entre l'appartement et les espaces communs. Si les résidents se déplacent entre les étages, ajustez 802.11r et 802.11k. Consultez 802.11r et 802.11k sur Android pour connaître les paramètres spécifiques aux équipementiers.

Foire aux questions

La solution Purple Multi-Tenant WiFi fonctionne-t-elle avec les points d'accès déjà installés dans mon bâtiment ?

Oui. Purple est indépendant du matériel et fonctionne comme une superposition cloud sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Vous conservez vos points d'accès et vos commutateurs. Purple fournit la couche d'identité et le RADIUS cloud qui attribuent à chaque résident une clé et renvoient son VLAN ou sa politique. Si vous choisissez une segmentation basée sur des politiques, vérifiez que votre micrologiciel prend en charge la clé PSK par clé et l'isolation par clé.

Pouvons-nous passer d'un mot de passe de bâtiment partagé à des clés par logement sans remplacer le matériel ?

Oui, si vos points d'accès prennent en charge la clé PSK par clé ou l'affectation dynamique de VLAN. Purple s'intègre au-dessus de l'infrastructure existante, aucun remplacement complet n'est donc nécessaire. Diffusez le nouvel SSID résidentiel en parallèle de l'ancien, puis faites migrer les résidents logement par logement. Supprimez le mot de passe partagé une fois le dernier résident migré. Planifiez votre carte de VLAN ou de politiques ainsi que vos plages DHCP avant la transition du premier résident.

Combien de VLAN un bâtiment résidentiel collectif peut-il prendre en charge ?

Jusqu'à 4 094 par domaine de couche 2, la limite fixée par l'identifiant VLAN de 12 bits dans la norme IEEE 802.1Q. En pratique, les limites d'instances Spanning Tree, les limites de VLAN par contrôleur et le nombre d'interfaces de passerelle posent problème en premier. Un projet BTR de 250 logements comportant six VLAN d'infrastructure utilise 256 identifiants. Les campus ayant des besoins supérieurs doivent placer une frontière routée dans chaque bâtiment ou passer au VXLAN.

La segmentation basée sur les clés est-elle aussi sécurisée qu'un VLAN par appartement ?

Oui, à condition que votre plateforme applique l'isolation entre les clés au niveau du point d'accès ou du contrôleur. La différence réside dans le point d'application. Un VLAN par logement bloque le trafic inter-logements au niveau de la passerelle de couche 3. Une politique basée sur les clés le bloque avant que le trafic ne quitte le point d'accès. Testez cela depuis l'appareil d'un résident. Vérifiez que vous ne pouvez pas accéder aux appareils d'un autre résident ni détecter ses cibles de diffusion.

Les Smart TV, les consoles et les appareils IoT fonctionnent-ils sur un réseau résidentiel segmenté ?

Oui. Les deux architectures utilisent une clé pré-partagée, compatible avec les appareils sans prise en charge 802.1X comme les Smart TV, les consoles de jeux et les enceintes connectées. Les appareils de chaque résident partagent leur propre VLAN ou groupe de clés, ce qui permet à la diffusion et à l'impression de fonctionner au sein du foyer. Sur les VLAN partagés, ajoutez une passerelle mDNS restreinte à chaque clé afin que la détection d'appareils reste privée pour chaque résident.

Comment Purple gère-t-il les données des résidents conformément au GDPR ?

Purple est certifié ISO 27001 et conforme au GDPR. Chaque clé est liée à une fiche de résident dans la couche RADIUS cloud. La comptabilité RADIUS enregistre quelle clé et quel appareil ont tenu chaque session, ce qui facilite la recherche de pannes et les demandes d'accès. Lorsqu'un résident part, vous révoquez sa clé, et le processus de gestion des arrivées, départs et mutations ferme son accès au réseau à partir d'une interface unique.

Que devient le matériel d'un résident lorsqu'il déménage ?

Il perd l'accès dès que vous révoquez la clé ou l'identifiant. Lorsque vos points d'accès le prennent en charge, l'autorisation dynamique RADIUS (RFC 5176) déconnecte immédiatement les sessions actives. Avec un VLAN par appartement, le VLAN et la plage DHCP restent en place pour le résident suivant. Avec une politique basée sur les clés, il n'y a rien à replanifier : vous attribuez simplement une nouvelle clé au nouveau résident.