Architettura VLAN e PSK per unità: una guida alla progettazione per reti MDU

Assegna a ogni appartamento la propria VLAN quando le unità dispongono di porte cablate e l'edificio conta qualche centinaio di abitazioni. Un complesso BTR da 250 appartamenti utilizza circa 256 dei 4.094 ID VLAN IEEE 802.1Q. Per le strutture ad alto turnover, come un PBSA da 800 posti letto, applica la segmentazione nella chiave univoca di ciascun residente, con policy per singola chiave su un gruppo ristretto di VLAN condivise.

Ogni appartamento dovrebbe avere la propria VLAN?

Non sempre. Ogni residente in un complesso build-to-rent (BTR), multi-dwelling unit (MDU) o purpose-built student accommodation (PBSA) necessita di una rete privata. Il laptop, la smart TV e la stampante devono potersi vedere tra loro, senza che i dispositivi di altri utenti possano accedervi. Questa è l'esperienza domestica abbinata alla sicurezza enterprise, che può essere fornita in due modi.

VLAN per appartamento. Ogni unità riceve la propria virtual LAN (VLAN). Una VLAN è un dominio di broadcast di livello 2 separato, con la propria subnet e il proprio scope DHCP. Un server RADIUS indica all'access point a quale VLAN deve associarsi ciascun dispositivo. RADIUS è il protocollo di autenticazione che verifica ogni dispositivo e restituisce la relativa policy di rete. Il traffico tra le unità deve attraversare un gateway di livello 3, dove viene bloccato dal firewall.

Policy veicolata dalla chiave. Ogni residente riceve una pre-shared key (PSK) univoca su un SSID condiviso. I fornitori chiamano questa tecnologia identity PSK (iPSK), private PSK (PPSK), multi-PSK o dynamic PSK. La chiave identifica il residente e la rete applica la policy associata. I dispositivi associati alla stessa chiave possono comunicare tra loro, mentre i dispositivi con chiavi diverse non possono farlo, anche se si trovano sulla stessa VLAN condivisa. Purple definisce questa soluzione Private Area Network (PAN): una bolla di rete privata che segue la chiave.

Entrambe le architetture isolano i residenti in modo corretto. Differiscono per il punto in cui viene applicato l'isolamento e per il volume di configurazione da gestire. La scelta dipende da quattro fattori:

• presenza di porte cablate nelle unità
• turnover dei residenti
• numero totale di segmenti
• funzionalità supportate da access point e switch

Nelle sezioni seguenti viene analizzato ciascun fattore con il conteggio delle unità per un complesso BTR da 250 appartamenti e una struttura PBSA da 800 posti letto.

Il limite dei 4.094 ID VLAN e quando viene effettivamente raggiunto

Lo standard IEEE 802.1Q gestisce l'ID VLAN all'interno di un campo a 12 bit, offrendo 4.096 valori disponibili. Gli ID 0 e 4.095 sono riservati, lasciando 4.094 ID effettivamente utilizzabili. Il limite si applica per singolo dominio di livello 2 e non per organizzazione, quindi due edifici separati da un confine instradato possono riutilizzare gli stessi ID.

Un singolo edificio raggiunge raramente la quota 4.094 considerando solo le VLAN dei residenti. Il limite viene solitamente raggiunto in tre scenari:

• Un campus multi-blocco utilizza un unico dominio di livello 2 piatto. Cinque residenze da 800 posti letto collegate a un unico core richiedono 4.000 VLAN per i residenti, ancora prima di aggiungere il personale, la videosorveglianza o i sistemi di gestione dell'edificio.
• Segmentazione per singolo posto letto e per singola porta. Se a ogni posto letto viene assegnata anche una VLAN cablata separata, il conteggio raddoppia.
• Aggiungi una VLAN IoT per unità per serrature intelligenti o termostati, raddoppiando nuovamente il totale.

Il limite pratico viene solitamente raggiunto prima. Le varianti di Spanning Tree per-VLAN eseguono un'istanza di Spanning Tree per VLAN, e le piattaforme di switch limitano le istanze ben al di sotto di 4.094. Anche i controller e i gateway wireless pubblicano i propri limiti sulle VLAN e sulle interfacce di livello 3. Verifica questi tre dati sulle schede tecniche prima di procedere. Il massimo previsto dallo standard 802.1Q non è il parametro corretto su cui pianificare.

Se superi il limite massimo, hai due alternative valide. Inserisci un confine instradato (routed boundary) in ogni edificio e riutilizza gli ID VLAN all'interno di ciascuno di essi. Oppure passa a VXLAN, definito in RFC 7348, il cui identificatore di segmento a 24 bit consente circa 16 milioni di segmenti. Multiple Spanning Tree, originariamente IEEE 802.1s e ora parte di 802.1Q, mappa molte VLAN su poche istanze. Questo elimina il vincolo dello Spanning Tree.

Come RADIUS assegna un residente a una VLAN

La RFC 3580 definisce l'assegnazione dinamica della VLAN. Quando RADIUS accetta un dispositivo, il messaggio Access-Accept trasporta tre attributi:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = l'ID VLAN per quell'appartamento

L'access point o lo switch posiziona quindi il dispositivo su quella VLAN. La mappatura risiede nel record del residente, consentendo al suo telefono di connettersi alla stessa VLAN nell'appartamento, in palestra o sulla terrazza panoramica.

Il modo in cui il server identifica il proprietario del dispositivo dipende dal metodo di autenticazione:

• IEEE 802.1X (WPA2-Enterprise o WPA3-Enterprise). Il residente effettua l'accesso con una credenziale o un certificato, e RADIUS la verifica direttamente.
• PSK per chiave. Il controller o il server RADIUS associa la chiave presentata dal dispositivo al record del residente, quindi restituisce la VLAN o il nome della policy.

I diversi fornitori implementano la ricerca della chiave in modo differente. Segui la documentazione della tua piattaforma per i passaggi di configurazione.

La PSK è la scelta migliore negli edifici residenziali per un motivo pratico. Smart TV, console da gioco, smart speaker e stampanti raramente supportano l'802.1X, ma una chiave funziona su tutti questi dispositivi.

Verifica se la tua piattaforma supporta la PSK per chiave con WPA3-Personal. Molte implementazioni per chiave sono state lanciate su WPA2-Personal. L'SAE (Simultaneous Authentication of Equals, l'handshake di WPA3-Personal) modifica il modo in cui una chiave può essere associata, e il supporto varia a seconda del produttore e del firmware.

Quando un residente cambia appartamento o si trasferisce, l'autorizzazione dinamica RADIUS si rivela fondamentale. È definita nella RFC 5176 e consente al server di disconnettere una sessione o di applicare immediatamente una nuova policy.

Gestione e pulizia del dominio di broadcast

Ogni VLAN rappresenta un dominio di broadcast. Le richieste ARP, DHCP discovery e i protocolli di discovery multicast raggiungono ogni dispositivo presente al suo interno. Tali protocolli includono mDNS, utilizzato da AirPlay e Chromecast, e SSDP. Su rete WiFi, i frame di broadcast e multicast vengono inviati a una velocità dati di base, consumando tempo antenna su ogni access point che gestisce la VLAN.

Una VLAN per unità limita ciascun dominio a un unico nucleo domestico, indicativamente da otto a 36 dispositivi. L'individuazione dei dispositivi funziona all'interno dell'appartamento senza bisogno di un gateway mDNS, evitando qualsiasi fuga di dati verso l'appartamento adiacente.

Una VLAN condivisa può contenere centinaia di dispositivi di molti residenti, quindi richiede un'igiene attiva:

• Proxy ARP o soppressione ARP sull'access point, in modo che l'AP risponda alle richieste ARP anziché inviarle in broadcast.
• Conversione da multicast a unicast o filtraggio dei broadcast sull'SSID dei residenti.
• Un gateway mDNS delimitato per chiave, in modo che i dispositivi di trasmissione di un residente appaiano solo sui propri dispositivi.
• Un limite di dimensione. La nostra regola empirica è di poche centinaia di client per VLAN condivisa. Al di sopra di questa soglia, occorre suddividere per piano o per blocco.

Alcune piattaforme applicano il raggruppamento a livello di chiave in modo nativo. La Wireless Personal Network di Cisco Meraki, ad esempio, raggruppa i dispositivi in base alla chiave PSK identificativa e isola i gruppi tra loro su una VLAN condivisa. In un'infrastruttura Meraki, testare il fast roaming insieme a questa funzione. La nostra guida su Cisco Meraki 802.11r adaptive vs enabled descrive dettagliatamente questo comportamento.

Progettazione dell'ambito DHCP per segmento

Pianifichiamo da otto a 12 dispositivi per residente. Questa è la cifra di pianificazione di Purple e comprende:

• telefoni, laptop, tablet e smartwatch
• TV, console e altoparlanti
• dispositivi smart home

Dimensionare ciascun ambito in base all'occupazione massima dell'unità, non alla media.

Inserire poi del margine di sicurezza per gli indirizzi MAC privati. Sia Apple che Google rendono casuale l'indirizzo MAC di un dispositivo per impostazione predefinita per ciascuna rete. Un nuovo indirizzo casuale richiede un nuovo lease. Ridurre i tempi di lease in modo che gli indirizzi abbandonati tornino nel pool entro un giorno e mantenere libero almeno un terzo di ciascun ambito.

Prefisso	Indirizzi utilizzabili	Lease dopo il gateway	Adattabilità
/28	14	13	Non consigliato: un residente con 12 dispositivi lascia solo un indirizzo libero
/27	30	29	Un residente con 12 dispositivi, 17 liberi
/26	62	61	Tre residenti con 12 dispositivi ciascuno, 25 liberi
/23	510	509	Un piano da 25 residenti con 12 dispositivi ciascuno, 209 liberi

Eseguire il DHCP sul gateway o su un server centrale con DHCP relay su ciascuna interfaccia VLAN. Una progettazione per singola unità richiede un ambito e un relay per VLAN, quindi un edificio con 250 appartamenti avrà 250 ambiti. Il vantaggio è che un indirizzo IP identifica l'appartamento, velocizzando la risoluzione dei problemi. Sulle VLAN condivise, l'indirizzo non mappa più una singola unità. È possibile individuare il residente tramite il RADIUS accounting, che registra la chiave, l'indirizzo MAC e la sessione.

Fattore	VLAN per appartamento	Criterio applicato dalla chiave
Dove viene applicato l'isolamento	Gateway di Layer 3 e firewall	Access point o controller
VLAN residenti utilizzate	Una per unità	Una per piano o blocco
Porte cablate nelle unità	Stesso segmento del WiFi, tramite VLAN di porta o autenticazione MAC	Richiede una progettazione cablata separata
Individuazione AirPlay e Chromecast	Funziona all'interno della VLAN, senza gateway	Richiede un gateway mDNS delimitato per chiave
Dimensione del dominio di broadcast	Un nucleo abitativo, fino a circa 36 dispositivi	Fino a poche centinaia di dispositivi
Ambiti DHCP	Uno per unità	Uno per VLAN condivisa
Dipendenza hardware	Assegnazione dinamica della VLAN (RFC 3580)	PSK per chiave più isolamento per chiave
Ideale per	BTR e MDU con porte cablate e contratti di locazione a lungo termine	PBSA, aparthotel, campus con più blocchi

Quando una VLAN per appartamento è la scelta giusta

Scegli una VLAN per appartamento quando si verificano la maggior parte di queste condizioni:

• Le unità dispongono di porte cablate. Una singola VLAN gestisce la TV cablata del residente, lo smart hub e i dispositivi WiFi, consentendo al trasmettitore (casting) di funzionare su entrambi.
• I contratti di locazione durano mesi o anni. La mappatura da VLAN a unità cambia raramente.
• Il conteggio dei segmenti rimane ben al di sotto dei limiti della tua piattaforma. Conta le istanze spanning tree, le VLAN dei controller e le interfacce gateway.
• Il tuo team di sicurezza richiede l'isolamento a livello 3, con log del firewall per ciascun segmento.
• L'assistenza ha bisogno dell'indirizzo IP per identificare l'unità senza dover effettuare una ricerca RADIUS.

Esempio pratico: un complesso BTR da 250 appartamenti

Situazione. Un blocco build-to-rent da 250 appartamenti, dai monolocali ai trilocali, con un massimo di tre residenti per unità. Ogni appartamento è dotato di porte cablate per la TV e un hub per la domotica. Il piano dei servizi comprende una palestra, un'area co-working e una terrazza panoramica. Il personale, la TVCC, la gestione dell'edificio e i visitatori dell'area lounge necessitano ciascuno della propria rete.

Intervento effettuato.

• Una VLAN per appartamento: 250 VLAN per i residenti.
• Sei VLAN di infrastruttura: gestione, personale, TVCC, gestione dell'edificio, IoT e una rete Guest WiFi per i visitatori degli spazi comuni. Questo porta il totale a 256 ID VLAN.
• Una subnet /26 uniforme per appartamento. Tre residenti con 12 dispositivi corrispondono a 36 dispositivi, lasciando 25 lease liberi. Un solo template copre ogni singola unità.
• Una subnet /18 per tutti i range dei residenti. I 250 range /26 rientrano in un'unica /18 di spazio privato RFC 1918, con sei blocco /26 rimanenti.
• Connessione cablata e wireless su un unico segmento. Il server RADIUS mappa la chiave di ciascun residente sulla VLAN del relativo appartamento e le porte cablate dell'alloggio risiedono sulla stessa VLAN.
• Multiple Spanning Tree mappa le 256 VLAN su un numero ridotto di istanze.

Risultato (dati di progetto).

• 256 ID VLAN utilizzati su 4.094, circa il 6%.
• 256 range DHCP e 256 interfacce di livello 3, gestite da un unico template di regole firewall.
• Ogni indirizzo dei residenti identifica il rispettivo appartamento.
• Una seconda fase da 250 appartamenti porterebbe il totale a 506 VLAN, ancora pari a circa il 12% dello spazio ID disponibile.

Quando la segmentazione basata su policy è la scelta giusta

Scegli la policy applicata tramite la chiave quando si verificano la maggior parte di queste condizioni:

• Il turnover è elevato. Il ricambio annuale degli studenti o i soggiorni brevi rendono la manutenzione dell'associazione VLAN-unità un'attività ricorrente.
• I residenti si muovono all'interno dell'intero edificio, incluse sale studio, caffetterie e palestre.
• La privacy per singolo letto spingerebbe il numero di VLAN a centinaia o migliaia.
• Le camere non hanno porte cablate, oppure le porte servono esclusivamente i sistemi dell'edificio.
• I tuoi access point supportano PSK per chiave, isolamento per chiave e mDNS limitato.

Esempio pratico: uno studentato universitario da 800 posti letto

Situazione. Un'università gestisce un residence da 800 posti letto distribuito su quattro blocchi di otto piani, con 25 posti letto per piano. Gli studenti vivono in appartamenti condivisi da cinque a otto camere da letto con una cucina comune. I coinquilini si aspettano privacy reciproca, quindi la segmentazione è per singolo posto letto. La maggior parte dei posti letto cambia occupante all'inizio di ogni anno accademico.

Opzione A: una VLAN per posto letto.

• 800 VLAN residenti.
• Una subnet /27 per posto letto ospita 12 dispositivi con 17 liberi, per un totale di 25.600 indirizzi e la necessità di una /17.
• 800 scope DHCP e 800 interfacce gateway.
• Ogni VLAN in trunking su ogni access point che uno studente potrebbe utilizzare, il che significa l'intero sito.

Opzione B: policy veicolata dalla chiave.

• Ogni studente riceve una chiave univoca al check-in.
• Una VLAN condivisa per piano offre 32 VLAN residenti.
• Ogni /23 offre 509 lease a fronte di 300 dispositivi (25 studenti con 12 dispositivi), lasciandone 209 liberi.
• I 32 scope /23 rientrano in una /18.
• L'isolamento per chiave viene eseguito sugli access point, con un gateway mDNS limitato all'ambito della singola chiave. Proxy ARP e da multicast a unicast vengono eseguiti sull'SSID.

Cosa è stato fatto. Opzione B. La chiave associa ogni studente alla VLAN del proprio piano di residenza. Uno studente che cammina fino al bar mantiene lo stesso indirizzo e la stessa policy. Tutte le 32 VLAN sono in trunking su ogni access point, un carico molto più leggero rispetto a 800.

Risultato (dati di progetto).

• 32 VLAN residenti invece di 800, una riduzione del 96%.
• 32 scope DHCP invece di 800.
• La metà dello spazio di indirizzamento: una /18 invece di una /17.
• Domini di broadcast di circa 300 dispositivi ciascuno, rientrando nella nostra regola empirica.
• Il ricambio annuale comporta solo la revoca e la riemissione delle chiavi, senza alcuna modifica a VLAN, scope o trunk.

Scenario pratico: un aparthotel da 120 unità

Situazione. Un aparthotel da 120 appartamenti distribuito su sei piani, 20 appartamenti per piano. I soggiorni vanno da una a 14 notti. Gli ospiti portano chiavette per lo streaming e si aspettano di trasmettere i contenuti dal proprio telefono. La reception fornisce l'accesso WiFi al check-in.

Cosa è stato fatto.

• Ogni soggiorno riceve la propria chiave al check-in, associata a un gruppo di policy per appartamento.
• I soggiorni brevi comportano meno dispositivi, quindi il piano prevede otto dispositivi per ospite e due ospiti per appartamento. Si tratta di 320 dispositivi per piano.
• Ogni piano riceve una VLAN /23, lasciando 189 lease liberi.
• Il progetto revoca ciascuna chiave al checkout.

Risultato (dati di progetto).

• Sei VLAN residenti invece di 120, una riduzione del 95%.
• Sei scope DHCP.
• Nessuna modifica alle VLAN tra un soggiorno e l'altro.
• Lo streaming/casting funziona all'interno di ciascun soggiorno grazie all'ambito mDNS per chiave.

Per un quadro più ampio sulla rete ospiti, consulta la nostra pagina Hotel.

Quanto costa gestire ciascun modello

Nessuno dei due modelli modifica il numero di access point. Questo dato è stabilito dalla densità dei dispositivi e dalla copertura. Il costo operativo risiede nel numero di oggetti da configurare, modificare e sottoporre a risoluzione dei problemi.

Elemento da mantenere	BTR da 250 unità, VLAN per appartamento	PBSA da 800 posti letto, VLAN per posto letto	PBSA da 800 posti letto, policy tramite chiave
VLAN residenti	250	800	32
Scope DHCP	250	800	32
Interfacce gateway Layer 3	250	800	32
Spazio indirizzi privati	/18	/17	/18
VLAN in trunking su ogni AP (con 6 per infrastruttura)	256	806	38
Isolamento applicato a livello di	Gateway firewall	Gateway firewall	Access point o controller
Modifica al cambio di residente	Riemetti chiave	Riemetti chiave	Riemetti chiave

Con una VLAN per unità, il costo è legato alla gestione delle modifiche. Ogni nuovo blocco aggiunge VLAN, scope, interfacce gateway, voci di firewall e modifiche ai trunk su ciascuno switch del percorso. Automatizza e gestisci tramite template questo lavoro, altrimenti si verificheranno disallineamenti.

Con le policy gestite dalla chiave, il costo si sposta altrove. Dipenderai dalle funzionalità per chiave presenti nel firmware dell'access point e nella licenza. La risoluzione dei problemi passa dagli indirizzi IP ai log di accounting RADIUS, pertanto è importante formare il team di supporto alla loro lettura.

Purple Multi-Tenant WiFi funziona come un overlay cloud sull'hardware già in tuo possesso. Il nostro RADIUS in cloud assegna a ciascun residente una chiave e restituisce la relativa VLAN o policy. Nuovi ingressi, spostamenti e uscite sono gestiti da un'unica schermata centrale. Purple è indipendente dall'hardware ed è compatibile con:

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme Networks
• Fortinet

Purple è attivo in oltre 80.000 sedi e ha gestito 440 milioni di accessi nel 2024, secondo i dati interni di Purple. Purple è certificato ISO 27001 e conforme al GDPR. Per scoprire perché la segmentazione richiede raramente nuovi access point, leggi Why your next WiFi upgrade doesn't need new hardware.

Come scegliere la soluzione ideale per la tua struttura

La tua situazione	Raccomandazione	Perché
Fino a circa 500 unità, porte cablate, contratti di locazione di 12 mesi o più	VLAN per appartamento	La rete cablata e il WiFi condividono lo stesso segmento; l'uso degli ID resta intorno al 12%
PBSA con privacy per posto letto e rotazione annuale	Policy tramite chiave, una VLAN condivisa per piano	96% di VLAN in meno su 800 posti letto; nessuna riprogettazione a ogni nuovo ingresso
Residence o appartamenti con servizi e soggiorni di pochi giorni	Policy tramite chiave	Le chiavi seguono il soggiorno; la mappatura delle VLAN non cambia mai
Campus con più edifici su un unico core layer 2, oltre 3.000 segmenti	Confine instradato per edificio, o VXLAN, poi uno dei due modelli	Limite di 4.094 ID per dominio layer 2
Appartamenti con porte cablate e alloggi condivisi in una sola sede	Ibrido: VLAN per appartamento dove ci sono le porte, policy tramite chiave altrove	Ogni modello viene applicato dove offre i maggiori vantaggi
Access point privi di isolamento per chiave	VLAN per appartamento, oppure programma un aggiornamento del firmware o degli AP	L'isolamento deve essere applicato in un punto della rete

Segui questi cinque passaggi prima di definire la struttura del progetto.

1. Calcola i tuoi segmenti. Conta le unità o i posti letto, quindi aggiungi le VLAN per l'infrastruttura e gli eventuali moltiplicatori per reti cablate o IoT. Confronta il totale con i limiti dello spanning tree, del controller e del gateway, non solo con il limite teorico di 4.094.
2. Dimensiona gli scope in base all'occupazione massima. Moltiplica il numero di residenti per 12 dispositivi, quindi mantieni libero almeno un terzo di ciascuno scope.
3. Verifica le funzionalità per chiave con il tuo fornitore. Controlla nel firmware il supporto per PSK per chiave, l'assegnazione di VLAN per chiave, l'isolamento per chiave, mDNS circoscritto e WPA3-Personal.
4. Rilevare la densità. Un numero compreso tra 8 e 12 dispositivi per residente modifica il conteggio degli access point. La nostra guida sui WiFi Site Surveys ne copre la pianificazione.
5. Testare il roaming tra l'appartamento e gli spazi comuni. Se i residenti si spostano tra i piani, ottimizzare 802.11r e 802.11k. Consultare 802.11r e 802.11k su Android per le impostazioni specifiche dei produttori.

Domande frequenti

Purple Multi-Tenant WiFi funziona con gli access point già presenti nel mio edificio?

Sì. Purple è indipendente dall'hardware e funziona come overlay cloud su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Mantenete i vostri access point e switch esistenti. Purple fornisce il livello di identità e RADIUS cloud che assegna a ciascun residente una chiave e restituisce la relativa VLAN o policy. Se si sceglie la segmentazione basata su policy, verificare che il firmware supporti iPSK o PPSK e l'isolamento per chiave.

È possibile passare da un'unica password condivisa dell'edificio a chiavi per unità abitativa senza sostituire l'hardware?

Sì, se gli access point supportano iPSK, PPSK o l'assegnazione dinamica delle VLAN. Purple si sovrappone all'infrastruttura esistente, quindi non è necessaria alcuna sostituzione dell'hardware. Attivate il nuovo SSID per i residenti affiancandolo a quello vecchio, quindi trasferite i residenti unità per unità. Disattivate la password condivisa una volta che l'ultimo residente è stato migrato. Pianificate la mappa delle VLAN o delle policy e gli scope DHCP prima che il primo residente effettui il passaggio.

Quante VLAN può supportare un singolo edificio MDU?

Fino a 4.094 per dominio di livello 2, il limite stabilito dall'ID VLAN a 12 bit nello standard IEEE 802.1Q. In pratica, i limiti delle istanze spanning tree, i limiti VLAN dei controller e il conteggio delle interfacce gateway sono solitamente i primi ostacoli. Un complesso BTR da 250 appartamenti con sei VLAN di infrastruttura utilizza 256 ID. I campus che necessitano di un numero maggiore dovrebbero inserire un confine di instradamento in ogni edificio o passare a VXLAN.

La segmentazione basata su chiavi è sicura quanto una VLAN per appartamento?

Sì, a condizione che la piattaforma applichi l'isolamento tra le chiavi a livello di access point o controller. La differenza sta nel punto di applicazione. Una VLAN per unità blocca il traffico tra le unità sul gateway di livello 3. La policy basata su chiavi lo blocca prima che il traffico lasci l'access point. Eseguite un test da un dispositivo di un residente. Verificate di non poter raggiungere i dispositivi di un altro residente o di non poterne individuare i dispositivi di trasmissione streaming.

Le smart TV, le console e i dispositivi IoT funzioneranno su una rete per residenti segmentata?

Sì. Entrambi i modelli utilizzano una chiave pre-condivisa, che funziona sui dispositivi privi di supporto 802.1X, come smart TV, console da gioco e smart speaker. I dispositivi di ciascun residente condividono la propria VLAN o il proprio gruppo di chiavi, consentendo il funzionamento dello streaming e della stampa all'interno dell'abitazione. Sulle VLAN condivise, aggiungere un gateway mDNS limitato a ciascuna chiave in modo che il rilevamento dei dispositivi rimanga privato per ogni residente.

In che modo Purple gestisce i dati dei residenti ai sensi del GDPR?

Purple è certificata ISO 27001 e conforme al GDPR. Ogni chiave si collega al record di un residente nello strato RADIUS in cloud. Il RADIUS accounting registra quale chiave e dispositivo hanno tenuto ciascuna sessione, supportando la risoluzione dei problemi e le richieste di accesso. Quando un residente se ne va, revochi la sua chiave e il processo di gestione degli ingressi, spostamenti e uscite chiude il suo accesso alla rete da un unico pannello di controllo.

Cosa succede ai dispositivi di un residente quando trasloca?

Perdono l'accesso non appena revochi la chiave o le credenziali. Se supportato dai tuoi access point, l'autorizzazione dinamica RADIUS (RFC 5176) disconnette immediatamente le sessioni attive. Con una VLAN per appartamento, la VLAN e l'ambito DHCP rimangono attivi per il residente successivo. Con le policy basate su chiave, non c'è nulla da ripianificare: basta inviare una nuova chiave al nuovo residente.