Directory PPSK: confronto tra funzionalità e modelli di implementazione

Executive summary

Le reti WPA2-Personal tradizionali condividono un'unica password su tutti i dispositivi. In un complesso Build to Rent (BTR) di 200 unità, ciò significa una sola password per ogni residente, ogni smart TV, ogni termostato e ogni console di gioco dell'edificio. Quando un residente si trasferisce, o si cambia la password per tutti - interrompendo la connettività per gli altri 199 appartamenti - o si lascia l'accesso al precedente residente. Nessuna delle due opzioni è accettabile.

L'integrazione delle directory Private Pre-Shared Key (PPSK) risolve questo problema. PPSK assegna una password WiFi unica a ciascun residente o unità, legando tale chiave a una Virtual Local Area Network (VLAN) specifica. I dispositivi si connettono allo stesso Service Set Identifier (SSID), ma la rete li isola in segmenti privati. I dispositivi di ciascun residente si rilevano a vicenda. Nessun residente può vedere i dispositivi di un altro. Al termine di un contratto di locazione, si revoca una sola chiave senza compromettere la connessione di tutti gli altri.

Questa guida confronta l'implementazione della directory PPSK con le soluzioni PSK standard e IEEE 802.1X, descrive in dettaglio le tre principali architetture di implementazione e fornisce indicazioni pratiche per gli sviluppatori immobiliari, gli operatori BTR e i team IT che li supportano. Purple opera in oltre 80.000 sedi attive e si integra come overlay cloud con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet.

Technical deep-dive: PPSK vs 802.1X vs standard PSK

Per comprendere il motivo per cui la tecnologia PPSK domina le implementazioni multi-tenant, è necessario confrontarla con le alternative a livello di associazione.

Standard PSK: il modello di rete domestica

In una configurazione WPA2-Personal standard, l'Access Point (AP) trasmette un SSID e richiede una singola Pre-Shared Key. Ogni dispositivo utilizza questa chiave. L'AP inserisce tutti i dispositivi sulla stessa VLAN. I dispositivi possono rilevarsi a vicenda - una soluzione ideale per un singolo nucleo familiare, ma inaccettabile per un complesso BTR di 200 unità. La PSK standard è priva di qualsiasi meccanismo di revoca per singolo utente. Revocare l'accesso a un utente richiede la modifica della chiave per tutti gli altri.

802.1X: lo standard enterprise

Lo standard IEEE 802.1X (WPA-Enterprise) richiede un server RADIUS, un identity provider come Microsoft Entra ID, Okta o Google Workspace e un supplicant su ogni dispositivo. Il supplicant gestisce lo scambio EAP (Extensible Authentication Protocol). Questo garantisce una sicurezza solida e basata sull'identità, con una tracciabilità per singolo utente. Tuttavia, lo standard 802.1X non è adatto agli ambienti residenziali perché i dispositivi IoT - smart TV, console di gioco, altoparlanti wireless e sensori domotici - sono privi di supplicant 802.1X. Implementare l'802.1X in un edificio BTR significa lasciare tutti i dispositivi IoT non autenticati o su una rete separata non gestita.

PPSK directory: la soluzione multi-tenant

La tecnologia PPSK (chiamata iPSK da Cisco Meraki, Personal Private Network da Cisco ed ePSK da Juniper Mist e Cambium) colma questa lacuna. L'AP trasmette un singolo SSID. Quando un dispositivo si connette, presenta la sua chiave univoca durante l'handshake a quattro vie WPA2. L'AP interroga la directory PPSK - ospitata nel controller cloud o in un backend RADIUS - per convalidare la chiave e recuperare la VLAN assegnata. Il dispositivo percepisce una rete domestica standard. L'operatore ottiene un isolamento completo per singola unità.

La tabella seguente riassume le principali differenze di funzionalità tra i tre modelli di autenticazione.

Guida all'implementazione: architettura e modelli di distribuzione

La distribuzione di una directory PPSK richiede un approccio strutturato alla progettazione logica prima di iniziare qualsiasi configurazione hardware.

Passo 1: progettazione logica della rete

Mappa il numero di residenti e le categorie di dispositivi IoT prima di toccare l'hardware. Una tipica implementazione BTR isola il traffico come segue. Le VLAN dei residenti vanno dalla VLAN 10 fino a coprire il numero totale di unità - una VLAN per appartamento è l'approccio standard. Una VLAN IoT dedicata (solitamente VLAN 99) serve i sistemi di gestione dell'edificio, la videosorveglianza e i sensori intelligenti. Una VLAN di gestione (VLAN 100) trasporta il traffico dei dispositivi del personale, autenticato tramite 802.1X. Una VLAN ospiti (VLAN 200) serve i visitatori temporanei nelle aree comuni tramite un Captive Portal.

Calcola attentamente i requisiti di indirizzamento IP. Le ricerche della British Property Federation indicano da 15 a 25 dispositivi per nucleo familiare. Un edificio di 200 unità ospita fino a 5.000 dispositivi contemporaneamente. Utilizza l'indirizzamento privato RFC 1918 con una sottorete /24 (254 indirizzi utilizzabili) per ciascuna VLAN residente per garantire una capacità sufficiente. Una /23 (510 indirizzi) offre un margine di sicurezza per le unità ad alta densità.

Passaggio 2: scelta del modello di distribuzione

Tre architetture PPSK principali sono attualmente in produzione.

Modello cloud controller. La directory PPSK risiede nella piattaforma cloud del vendor - Aruba Central, Meraki Dashboard, Ruckus Cloud o Juniper Mist. Il controller invia i criteri agli AP. Quando un residente si trasferisce, si genera una chiave nel portale. Quando se ne va, la si elimina. Questo è il modello più comune per le nuove distribuzioni grazie alla sua semplicità operativa e all'assenza di infrastruttura on-premises.

Modello backend RADIUS. Gli AP inoltrano le richieste di autenticazione a un server RADIUS centrale come Cisco ISE o FreeRADIUS, che interroga un archivio di identità. Il server RADIUS restituisce l'assegnazione della VLAN tramite un attributo Cisco-AVPair. Questo modello è adatto agli ambienti che richiedono audit trail approfonditi e integrazione con le directory aziendali esistenti. Aggiunge un sovraccarico di infrastruttura ma offre la responsabilità di 802.1X con la compatibilità dei dispositivi di PPSK.

Modello di autenticazione ibrido. I residenti utilizzano PPSK per i loro laptop e dispositivi IoT. Il personale dell'edificio utilizza 802.1X per i dispositivi aziendali rispetto a Microsoft Entra ID o Okta. Entrambi i gruppi si connettono alla stessa infrastruttura fisica ma si mappano su segmenti logici diversi. Purple consiglia questa architettura per distribuzioni complete BTR e multi-dwelling unit (MDU). I residenti ottengono il PPSK. I sistemi di gestione dell'edificio ottengono una VLAN IoT dedicata con PPSK. I dispositivi del team di gestione immobiliare utilizzano 802.1X. Tre modelli di autenticazione distinti, tre VLAN distinte, un'unica infrastruttura fisica.

Passaggio 3: integrazione hardware

Il PPSK è supportato su tutte le principali piattaforme AP aziendali, sebbene i dettagli di implementazione varino a seconda del vendor.

Note the specific constraint with Ubiquiti UniFi: its current PPSK implementation is restricted to WPA2. If you deploy WiFi 6E access points and require the 6GHz band, you must use a platform that supports WPA3-SAE with PPSK. Aruba, Ruckus, and Meraki all support PPSK on WPA3 configurations.

Purple integrates as a hardware-agnostic cloud overlay across all platforms in this list, providing a unified PPSK directory and resident management interface regardless of the underlying hardware vendor. See our guide on Three SSIDs to rule them all: guest, Passpoint, and IoT WiFi for the broader SSID architecture context.

Best practices for multi-tenant WiFi

Control SSID proliferation

Limit your broadcast to a maximum of four SSIDs per radio. Each additional SSID consumes airtime for beacon frames. In a dense residential building with 30 APs, broadcasting eight SSIDs per AP generates 240 beacon streams competing for airtime. Use PPSK to segment users logically behind a single SSID rather than creating a separate SSID per flat or per floor. See Three SSIDs to rule them all for the recommended SSID architecture.

Automate key distribution

Do not rely on manual password sheets. Integrate your PPSK directory with your property management system via the vendor REST API. Generate the unique key automatically at tenancy sign-up and deliver it via a QR code in the welcome email. Build the key distribution workflow before deployment, not after. Operators who automate key delivery report 30% fewer WiFi-related support tickets compared to manual distribution methods (Purple internal data, 2024).

Validate trunk links before go-live

The most common commissioning failure is missing VLAN tags on trunk links between distribution switches and the core network. Design your VLAN scheme, then verify that every resident VLAN is permitted on every relevant trunk link. Test with a device on each VLAN before residents move in.

Apply egress filtering to the IoT VLAN

Building infrastructure devices - HVAC controllers, CCTV cameras, access control panels - should sit on a dedicated IoT VLAN with strict egress filtering at the firewall. This prevents a compromised IoT device from reaching resident VLANs or the management network.

For more on Guest WiFi architecture and WiFi Analytics integration, see our product documentation. Operators in Hospitality should also review our guide on how to make a great first impression with your guest WiFi .

Troubleshooting and risk mitigation

Gaming consoles and NAT type

I residenti si aspettano che la loro PlayStation o Xbox riporti un tipo di NAT "Type 2" o "Open" per il multiplayer online. Un'implementazione eccessivamente aggressiva del Carrier-Grade NAT (CGNAT) produce un NAT "Strict", generando un volume elevato di ticket di supporto. Configura il tuo firewall per gestire correttamente l'UPnP per ciascun segmento di residenti. Non applicare una restrizione generica a tutte le VLAN dei residenti.

Associazione di dispositivi smart home

Chromecast, Apple TV, Amazon Echo e Sonos richiedono l'identificazione del dispositivo sulla stessa rete logica. Con PPSK, tutti i dispositivi sulla stessa chiave residente condividono una VLAN e possono trovarsi a vicenda. I dispositivi su chiavi diverse non possono farlo. Questo è il comportamento corretto. Se i residenti segnalano errori di associazione della smart home, verifica che tutti i loro dispositivi utilizzino la stessa chiave PPSK.

Esaurimento delle chiavi su UniFi

Ubiquiti UniFi supporta fino a 1.000 voci PPSK per rete. Per uno sviluppo con più di 1.000 unità, o con un numero elevato di dispositivi IoT, questo limite richiede una pianificazione attenta. Prendi in considerazione la segmentazione della rete su più siti UniFi o la migrazione a una piattaforma con limiti di chiavi più elevati come HPE Aruba o Cisco Meraki.

GDPR e dati dei residenti

I database delle chiavi PPSK contengono dati identificabili dei residenti. Assicurati che la tua piattaforma di gestione delle chiavi memorizzi i dati in una regione conforme. Purple memorizza i dati in linea con i requisiti GDPR e CCPA, con residenza dei dati selezionabile per le implementazioni nell'UE. Conserva i log WiFi identificabili dei residenti solo per il tempo necessario alla sicurezza e alle operazioni - sei mesi è un limite comune per gli ambienti BTR.

ROI e impatto aziendale

Il WiFi gestito è un servizio fondamentale nel BTR e negli alloggi per studenti appositamente costruiti. Gli operatori che distribuiscono reti PPSK vedono ritorni misurabili su tre dimensioni.

Premium sull'affitto. Gli operatori BTR di solito richiedono un supplemento mensile da £15 a £30 per unità per un WiFi di alta qualità e pronto all'uso, secondo una ricerca di settore della British Property Federation. Su uno sviluppo di 200 unità, ciò rappresenta da £36.000 a £72.000 di entrate annuali aggiuntive.

Efficienza operativa. Le chiavi uniche eliminano le rotazioni delle password a livello di edificio. Gli operatori segnalano una riduzione del 30% dei ticket di supporto relativi al WiFi dopo la migrazione da PSK condiviso a PPSK (dati interni Purple, 2024). La connettività immediata al momento del trasloco riduce anche i periodi di sfitto da cinque a dieci giorni.

Implementazione indipendente dall'hardware. Distribuendo la soluzione Multi-Tenant WiFi di Purple come overlay software sul tuo hardware esistente o scelto, mantieni il controllo della rete e dell'aumento del NOI. Eviti di cedere le entrate a un fornitore di banda larga terzo che include la connettività in un contratto che si appropria del premium del servizio.

Purple opera in oltre 80.000 sedi attive dal 2012, con un uptime del 99,999% e certificazioni ISO 27001, GDPR, CCPA e Cyber Essentials. Per le installazioni in ambito Retail e Healthcare che richiedono una segmentazione della rete simile, si applica la stessa architettura di directory PPSK con overlay di conformità specifici per il settore.

Per la variante iPSK di questa architettura, consulta la nostra guida correlata: Logo guild iPSK: una guida completa per le aziende .