Come distribuire iPSK su Cisco Meraki, HPE Aruba e Ruckus

Cisco Meraki, HPE Aruba e Ruckus consentono ciascuno di inserire diversi dispositivi o gruppi in policy differenti senza dover creare un SSID separato per ogni gruppo. Configura un SSID WPA2 Personal, crea o ottieni una chiave personale,ificala a una VLAN o a un ruolo, e poi verifica che l'eliminazione blocchi le nuove associazioni. 1 2 3

Cosa fa effettivamente una distribuzione iPSK?

Una Identity Pre-Shared Key, o iPSK, fornisce una password univoca a un dispositivo o a un gruppo mantenendo un SSID condiviso. I produttori utilizzano nomi diversi per questa funzione. Cisco Meraki chiama la sua opzione supportata da RADIUS iPSK. HPE Aruba la chiama Multi Pre-Shared Key, o MPSK. Ruckus la definisce Dynamic PSK, o DPSK. Ubiquiti UniFi chiama la sua opzione locale Private Pre-Shared Key, o PPSK.

Il risultato pratico è un accesso controllato su un'unica rete WiFi personale. È possibile segregare un dispositivo di una stanza, il dispositivo di un residente o un dispositivo operativo senza trasmettere un SSID separato per ogni caso d'uso. Il punto di controllo varia a seconda della piattaforma. Cisco Meraki può ottenere la chiave e l'override della VLAN tramite RADIUS. HPE Aruba recupera le passphrase crittografate e le informazioni di autorizzazione da ClearPass. Ruckus può inserire una DPSK direttamente in un ruolo utente o in una VLAN. UniFi PPSK mappa le password sulle VLAN localmente. 1 2 3 4

Questa non è un'alternativa a 802.1X. Lo standard IEEE 802.1X fornisce il controllo dell'accesso alla rete basato su porta, mentre iPSK è adatto per i dispositivi che richiedono un SSID condiviso e l'accesso tramite chiave personale. 5

Di cosa hai bisogno prima di iniziare?

Inizia con un design di inoltro piuttosto che con la dashboard. Crea le VLAN di destinazione e assicurati che qualsiasi VLAN in grado di restituire un SSID sia attiva su ciascun uplink AP. Scegli risultati di policy che gli operatori possano spiegare, come resident, building operations, room device e test. Decidi se le chiavi saranno per singolo dispositivo o per gruppo controllato. Le chiavi per dispositivo consentono una revoca precisa, mentre le chiavi di gruppo riducono l'impegno di risoluzione dei problemi ma aumentano l'impatto di una fuga di dati. 3 Per un design basato su RADIUS, registra gli access point o la loro subnet di gestione come client RADIUS. Utilizza lo stesso segreto condiviso sugli access point e sul server RADIUS. Cisco Meraki documenta questa relazione nella configurazione del proprio server RADIUS. Conserva il codice segreto nel tuo archivio dei segreti approvato e imposta un proprietario designato per ciascun gruppo di chiavi. 1

Registra l'SSID, il risultato della policy, la sorgente della chiave, l'indirizzo MAC del dispositivo di test e il risultato della revoca, ove applicabile. La casualizzazione del MAC può complicare i flussi di lavoro legati al MAC, il che viene citato da Cisco Meraki come motivo per Easy PSK. 1

Come si configura Cisco Meraki iPSK con RADIUS?

Utilizza Cisco Meraki iPSK con RADIUS quando richiedi un controllo centralizzato. Nella dashboard, apri Wireless > Configura > Controllo di accesso, seleziona l'SSID di destinazione e scegli Identity PSK con RADIUS. Imposta la splash page su Nessuna (Accesso diretto), quindi aggiungi i dettagli del server RADIUS. La guida di Cisco Meraki include schermate ed esempi aggiornati. 1

Per i flussi di lavoro basati su MAC, il record RADIUS associa l'indirizzo MAC del client e la PSK tramite Tunnel-Password. In Easy PSK, l'AP fornisce gli attributi di handshake specifici del fornitore Meraki; RADIUS trova l'iPSK e invia un Access-Accept, dopodiché l'AP riavvia l'handshake della chiave. 1

Configura la modalità bridge dove richiedi il posizionamento della VLAN per dispositivo. Imposta la VLAN SSID predefinita in IP client e VLAN, quindi abilita l'override RADIUS documentato in modo che un Access-Accept possa sostituire quel tag VLAN predefinito. Se richiedi anche firewall, traffic-shaping o altre policy della dashboard, crea una policy di gruppo della dashboard corrispondente in A livello di rete > Configura > Policy di gruppo. La sequenza di convalida di Cisco Meraki consiste nel connettere un dispositivo di test, controllare i log in tempo reale di RADIUS e ispezionare il client nella dashboard. 1

Cisco Meraki non supporta questa funzionalità iPSK con RADIUS su WPA3 o su SSID incapsulati in un tunnel verso un MX Concentrator. Conferma entrambi gli aspetti prima di avviare un progetto pilota. 1

Come si configura HPE Aruba MPSK in Aruba Central?

Utilizza HPE Aruba MPSK con ClearPass quando richiedi che ClearPass rilasci passphrase e decisioni di autorizzazione specifiche per dispositivo o per gruppo. Il percorso documentato in Aruba Central è Gestisci > Dispositivi > Access Point > Config > WLAN. Aggiungi un SSID o modificane uno esistente, apri Sicurezza, seleziona Personale, seleziona MPSK-AES in gestione delle chiavi, seleziona ClearPass Policy Manager come server primario e salva. 2 Il flusso documentato è lineare. Un dispositivo si registra e riceve una passphrase. Si connette con WPA2-PSK-AES. L'AP esegue l'autenticazione MAC tramite ClearPass. ClearPass restituisce un Access-Accept con le informazioni di autorizzazione e l'attributo specifico del vendor Aruba-MPSK-Passphrase. L'AP genera la PSK e completa l'handshake a quattro vie. Una passphrase errata o un Access-Reject impediscono la connessione. 2 Non abilitare manualmente l'autenticazione MAC sulla WLAN solo perché il flusso include una ricerca MAC. Aruba dichiara che MPSK e l'autenticazione MAC manuale si escludono a vicenda. Specifica inoltre che MPSK si esclude a vicenda con la denylist e con i server RADIUS interni. Considera queste restrizioni come punti di controllo per la revisione del design prima di modificare i profili di produzione. 2

Pianifica la revoca in base alla cache. La documentazione di Aruba indica che l'AP memorizza la passphrase MPSK in una cache locale per il roaming e può saltare l'autenticazione MAC quando trova una voce corrispondente. Pertanto, la semplice eliminazione di una registrazione o la modifica di una policy non costituiscono una prova sufficiente. Il test di accettazione deve includere una nuova associazione dopo che lo stato memorizzato nella cache ha smesso di consentire la vecchia credenziale. Utilizza i documenti operativi aggiornati di Aruba e ClearPass per definire i processi di svuotamento o scadenza della cache per la tua release. 2

Come si generano le chiavi Ruckus DPSK su SmartZone?

Utilizza Ruckus DPSK quando SmartZone è il tuo punto di controllo operativo e desideri che il controller generi e revochi le chiavi. Per prima cosa, assicurati che la WLAN sia abilitata per DPSK. Successivamente, vai su Security > Access Control > Dynamic PSK e seleziona Generate DPSKs. Seleziona la WLAN, scegli il numero di chiavi, quindi inserisci o genera un nome utente e una passphrase. Seleziona un ruolo utente, imposta l'ID VLAN e scegli se la chiave è una DPSK di gruppo. 3

Scegli il tipo di DPSK con attenzione. Una chiave non associata viene associata al primo utilizzo, una chiave di gruppo può servire più dispositivi e una chiave associata può essere importata tramite indirizzo MAC utilizzando un file CSV. 3

Ruckus collega il ruolo utente selezionato agli attributi e ai permessi del ruolo stesso, che includono restrizioni di VLAN, UTP e orarie. È inoltre possibile impostare l'ID VLAN durante la creazione della chiave. Ciò consente di utilizzare un SSID coerente mantenendo la decisione sul controllo degli accessi legata al record DPSK o al suo ruolo. 3

Per la revoca, seleziona la DPSK nell'elenco Dynamic PSK e usa Delete. Testa l'eliminazione con lo stesso dispositivo utilizzato per emettere la chiave. Dissocia l'SSID o disconnettilo, quindi tenta una nuova connessione utilizzando la chiave rimossa. Registra una connessione negata come condizione di superamento del test. Non dichiarare il successo basandoti esclusivamente sull'assenza della chiave dall'elenco del controller. 3

In che modo RADIUS mappa una chiave a una VLAN o a una policy?

RADIUS non fa funzionare tutti i vendor allo stesso modo. Esso trasporta la decisione di autenticazione e autorizzazione. L'AP o il controller determina quali attributi restituiti supporta. La RFC 4675 descrive gli attributi RADIUS per l'assegnazione dinamica della VLAN nelle reti IEEE 802 e rileva che un dispositivo di rete wireless può trattare un'associazione di sicurezza come una porta virtuale. 6

Per Cisco Meraki, testa sia la VLAN predefinita che i risultati di override di RADIUS, quindi inserisci la VLAN restituita e la configurazione del trunk AP in un record di modifica. Per Aruba, prova il risultato della policy ClearPass nel tuo ambiente. Per Ruckus, mantieni il ruolo o la VLAN selezionata durante la generazione della DPSK compatibile con il design dello switch e del gateway. 1 2 3

Come testare se la revoca delle chiavi funziona?

Includi la revoca fin dalla primissima implementazione. Stai testando la risposta operativa a un dispositivo locale smarrito, a un collaboratore esterno disattivato o a una chiave emessa in modo errato. La condizione di successo non è "abbiamo eliminato il record". La condizione di successo è "il dispositivo non può completare una nuova associazione con la chiave rimossa e i log identificano il motivo".

Inizia con un test positivo. Connetti un dispositivo di prova utilizzando la chiave emessa. Acquisisci l'evento di accettazione del controller o del RADIUS, la policy del client assegnata e il segmento di rete osservato dal dispositivo. Per Cisco Meraki, controlla i dettagli del client in Dashboard e i log RADIUS. Per Ruckus, acquisisci il record DPSK, il ruolo o la VLAN e il risultato dell'associazione. Per Aruba, acquisisci il risultato di ClearPass e il risultato dell'AP. 1 2 3 Quindi revoca la chiave dalla sua fonte di verità. Rimuovi o nega la mappatura Cisco Meraki RADIUS corrispondente. Rimuovi la registrazione o l'autorizzazione ClearPass che fornisce la decisione Aruba MPSK. Elimina il Ruckus DPSK. Per UniFi PPSK, rimuovi la mappatura password-to-VLAN nella configurazione UniFi corrente e convalidala in base alla documentazione UniFi corrente prima di utilizzare il flusso di lavoro in un ambiente di produzione. 1 2 3 4 Forza una nuova associazione. Disabilita e riabilita il WiFi o dimentica l'SSID, quindi tenta di riconnetterti con la vecchia chiave. Controlla i log esatti. Per Aruba, è necessario considerare una memorizzazione nella cache aggiuntiva perché un MPSK memorizzato nella cache può aggirare una nuova ricerca di autenticazione MAC. Un nuovo test che utilizza uno stato memorizzato nella cache non dimostra una revoca tempestiva. 2

Infine, testa una chiave vicina non interessata sullo stesso SSID. Dovrebbe comunque connettersi e ricevere la policy prevista. In questo modo si intercettano modifiche troppo ampie nella WLAN, nella registrazione del client RADIUS o nei trunk dello switch. Registra il tempo che intercorre tra la revoca e la nuova associazione non riuscita. Questa misurazione indica ai gestori della sede cosa può effettivamente promettere il processo per i nuovi utenti, i trasferimenti e le dismissioni.

Cosa va storto e come si risolve?

Qual è il ruolo di iPSK nel design del WiFi multi-tenant?

iPSK è un modello di controllo degli accessi, non un intero modello operativo WiFi. Trova applicazione nel WiFi multi-tenant dove residenti, sistemi dell'edificio e dispositivi del personale richiedono diverse decisioni di accesso. Associalo al Guest WiFi per i visitatori. Per le decisioni relative ai contratti dell'edificio, consulta Bulk internet agreement vs managed WiFi: which model fits your building.

Questo modello si applica nei settori Hospitality, Retail, Transport e Healthcare. Purple può distribuire il suo overlay cloud indipendente dall'hardware su infrastruttura Cisco Meraki, HPE Aruba, Ruckus o Ubiquiti UniFi. Per un contesto più ampio, consulta Guest WiFi Management: Smart Authentication & Segmentation e Cloud Wifi Management: Secure Enterprise Connectivity 2026.

Esempio dettagliato: Dispositivi in camera d'hotel e gestione dell'edificio

Un hotel da 200 camere richiede un SSID operativo per i dispositivi in camera e un segmento separato per la gestione dell'edificio, senza creare un SSID separato per ogni categoria di dispositivi. I progettisti di rete scelgono Cisco Meraki iPSK con RADIUS in modalità bridge. Il progetto RADIUS contiene un record di chiavi e la decisione della VLAN desiderata per ciascuna categoria di dispositivi. L'SSID ha una VLAN predefinita e solo le risposte RADIUS definite possono sovrascriverla. 1

Il set di accettazione misurabile è discreto. Un dispositivo di prova in camera deve connettersi con la chiave emessa e ricevere il segmento dei dispositivi in camera. Un dispositivo per la gestione dell'edificio deve ricevere il segmento operativo. Una chiave rimossa dal database RADIUS deve far fallire una nuova associazione. Un'altra chiave valida deve essere comunque in grado di connettersi. Ciò dimostra che i processi di accesso, segmentazione e revoca funzionano insieme anziché come dimostrazioni isolate.

Esempio dettagliato: Gestione dello stadio e dispositivi per eventi temporanei

Uno stadio utilizza Ruckus SmartZone per i team degli eventi temporanei che richiedono un accesso controllato durante l'allestimento. I tecnici generano DPSK non vincolate per passaggi di singoli dispositivi e DPSK di gruppo controllate in modo indipendente per le apparecchiature condivise. SmartZone contiene opzioni chiare di ruolo o VLAN per ogni chiave. 3

Il risultato misurabile è la matrice di associazione. Una chiave che si vincola dopo il primo utilizzo non deve concedere l'accesso a un secondo dispositivo non pianificato. Una chiave di gruppo deve instradare ciascun dispositivo autorizzato sulla VLAN prevista. Una volta concluso l'evento, la rimozione della chiave deve impedire una nuova associazione da parte del dispositivo di prova originale. Ciò offre alla gestione della struttura un controllo ripetibile di emissione e revoca senza la proliferazione di SSID.

Domande frequenti

Posso distribuire iPSK sugli access point Cisco Meraki esistenti?

Sì, Cisco Meraki documenta iPSK con RADIUS nella sua configurazione del controllo degli accessi wireless, soggetto ai limiti della funzionalità dichiarati. Configura l'SSID, i server RADIUS e le sovrascritture VLAN in modalità bridge dove richiesto nella Dashboard. Assicurati che l'SSID non sia incanalato verso un MX Concentrator e non pianificare WPA3 con il flusso di lavoro documentato di iPSK con RADIUS. 1

È richiesto ClearPass per HPE Aruba Central MPSK?

Sì, il flusso di lavoro HPE Aruba Central MPSK indicato seleziona ClearPass Policy Manager come server principale. ClearPass fornisce passkey specifiche per dispositivo o per gruppo e restituisce le informazioni di autorizzazione Access-Accept documentate. Verificare le combinazioni escluse da Aruba prima dell'implementazione, in particolare l'autenticazione MAC manuale, il denylisting e i server RADIUS interni. 2

Ruckus DPSK può collocare un dispositivo su una VLAN separata?

Sì, Ruckus SmartZone consente di selezionare un ID VLAN durante la generazione di una DPSK e consente di assegnare un ruolo utente le cui autorizzazioni includono una VLAN. È comunque necessario assicurarsi che la WLAN, gli uplink degli AP, gli switch e i gateway supportino tale segmento. Creare e testare una chiave per ciascun risultato di policy desiderato prima di emettere le chiavi su scala locale. 3

Le funzioni Ubiquiti UniFi Private PSK e le VLAN assegnate via RADIUS sono la stessa cosa?

No, UniFi descrive PPSK e le VLAN assegnate tramite RADIUS come opzioni separate. PPSK mappa le password su un SSID condiviso a una VLAN. Le VLAN assegnate tramite RADIUS utilizzano profili univoci e richiedono WPA2 Enterprise o WPA3 Enterprise. UniFi PPSK è solo WPA2 e non funziona sulla banda a 6 GHz. 4

Quanto impegno è richiesto per un'implementazione iPSK?

Un progetto pilota richiede un SSID definito, le VLAN di destinazione, una sorgente di controllo degli accessi, la connettività da AP a RADIUS nelle sedi pertinenti e un test di revoca. L'impegno aumenta con il numero di proprietari delle chiavi e con i risultati delle policy, non con il numero di SSID. Iniziare con due policy e pochi dispositivi, quindi documentare le fasi di emissione, supporto e offboarding prima di una diffusione più ampia.

iPSK può aiutare con la conformità GDPR o PCI-DSS?

iPSK può supportare la segmentazione e la progettazione del controllo degli accessi, ma non certifica la conformità. L'Articolo 32 del GDPR richiede misure di sicurezza tecniche e organizzative adeguate. Lo standard PCI-DSS definisce i requisiti tecnici e operativi per proteggere i dati dei conti. Valutare i flussi di dati effettivi, la registrazione, la conservazione, i diritti di accesso e l'ambiente dei pagamenti con il rispettivo responsabile della conformità. 7 8

Cosa si dovrebbe testare prima di rilasciare le chiavi a residenti o al personale?

Testare una connessione consentita, il risultato previsto in termini di VLAN o policy, una connessione negata con una chiave rimossa e una chiave non interessata sullo stesso SSID. Acquisire le prove del controller e di RADIUS o ClearPass per ciascun test. Le distribuzioni Aruba devono anche considerare la cache MPSK documentata, poiché una passphrase memorizzata nella cache può alterare ciò che viene dimostrato da un tentativo immediato di riprova. 1 2 3

References