Designing WiFi Networks for Multi-Tenant Office Buildings

Questa guida fornisce a IT manager, architetti di rete e CTO un modello indipendente dai vendor per la progettazione di reti WiFi scalabili, sicure e isolate in edifici per uffici multi-tenant. Copre la segmentazione VLAN secondo lo standard IEEE 802.1Q, l'assegnazione dinamica delle VLAN (Dynamic VLAN Assignment) tramite 802.1X e RADIUS, la pianificazione RF per ambienti ad alta densità e le considerazioni sulla conformità ai sensi del GDPR e PCI DSS. I gestori delle strutture e i building manager troveranno linee guida architetturali pratiche, casi di studio reali ed errori di configurazione da evitare prima dell'implementazione.

📖 9 minuti di lettura📝 2,022 parole🔧 2 esempi pratici❓ 4 domande di esercitazione📚 10 definizioni chiave

Ascolta questa guida

Visualizza trascrizione del podcast

PURPLE TECHNICAL BRIEFING
Designing WiFi Networks for Multi-Tenant Office Buildings
Full Transcript

[SECTION 1: INTRODUCTION AND CONTEXT - 1 MINUTE]

Welcome to the Purple Technical Briefing. I'm a Senior Solutions Architect at Purple, and today we're getting into one of the most technically demanding deployment scenarios in enterprise networking: designing WiFi networks for multi-tenant office buildings.

Whether you're responsible for a grade-A commercial tower with fifteen independent tenants, a mixed-use development combining retail and office space, or a flexible coworking campus, the challenge is fundamentally the same. You need to deliver reliable, secure, isolated connectivity to multiple independent organisations over a single shared physical network. And you need to do it in a way that satisfies compliance requirements, keeps your support desk quiet, and doesn't require a full-time engineer to maintain.

Let's get into the technical architecture.

[SECTION 2: TECHNICAL DEEP-DIVE - 5 MINUTES]

The foundation of any multi-tenant WiFi design is network segmentation. The primary mechanism for achieving that is VLAN tagging, standardised under IEEE 802.1Q. The concept is straightforward: you assign each tenant, or each traffic class, to a distinct virtual LAN. Traffic on VLAN 10 cannot reach traffic on VLAN 20 unless you explicitly permit it through a firewall policy. That logical isolation is your first line of defence.

Now, here's where architects often make their first mistake. They conflate VLAN segmentation with security. VLANs provide isolation, not security. You still need firewall policies between VLANs. You still need access control lists. And you still need to think carefully about what inter-VLAN routing you permit. A misconfigured trunk port can collapse your entire segmentation model in seconds.

In a multi-tenant office building, you typically have a shared physical infrastructure: cabling, switch fabric, and access points serving multiple tenants. The access points broadcast multiple SSIDs, each mapped to a different VLAN. Tenant A connects to their SSID, their traffic is tagged with VLAN 10 at the access point, traverses the shared switch fabric on a trunk port, and arrives at the distribution layer where it's routed into Tenant A's isolated subnet. Tenant B's traffic follows the same physical path but is completely isolated at Layer 2.

Now, historically, network engineers segmented environments by creating a unique SSID for every tenant. But SSID proliferation is a performance killer. Every SSID you broadcast must transmit management frames, called beacons, at the lowest basic mandatory data rate. If you're broadcasting six or seven SSIDs on an access point, you can easily consume twenty to thirty percent of your available wireless airtime just on management overhead. That's before a single byte of actual user data is transmitted.

The modern enterprise standard is Dynamic VLAN Assignment. Instead of multiple SSIDs, you broadcast one secure SSID using IEEE 802.1X authentication. When a user connects, their device exchanges credentials with a RADIUS server. The RADIUS server authenticates the user and sends an Access-Accept message back to the access point. Critically, this message includes specific IETF standard attributes: the Tunnel-Type, the Tunnel-Medium-Type, and the Tunnel-Private-Group-ID, which contains the specific VLAN ID for that user's organisation.

The access point receives these attributes and dynamically drops that user's traffic directly into their dedicated VLAN. A corporate executive and an IoT device can connect to the exact same SSID, but their traffic is completely isolated at Layer 2.

For authentication, WPA3-Enterprise is now the recommended encryption standard. It provides 192-bit security mode and eliminates the vulnerabilities associated with WPA2's four-way handshake. Identity providers like Microsoft Entra ID, Okta, or Google Workspace integrate with your RADIUS infrastructure to manage credentials centrally.

Now let's talk about RF planning, because this is where multi-tenant office deployments get genuinely complex. When you have multiple tenants in adjacent spaces, you have a high-density RF environment. Co-channel interference is your enemy. You need a proper RF planning exercise before deployment: an active site survey that maps signal propagation, identifies interference sources, and informs your channel allocation strategy.

The 2.4 GHz band gives you three non-overlapping channels in most regulatory domains: channels 1, 6, and 11. The 5 GHz band gives you significantly more capacity. WiFi 6E extends this into the 6 GHz band, giving you clean spectrum largely free from legacy device interference. For new multi-tenant deployments, specifying WiFi 6E capable access points from vendors like Cisco Meraki, HPE Aruba, Ruckus, or Juniper Mist is the right call. The additional spectrum headroom pays dividends in dense environments.

IoT is the other dimension you cannot ignore. In a modern multi-tenant building, you have building management systems, HVAC controllers, smart lighting, access control, and CCTV. These must be on their own isolated VLAN, completely separated from both tenant traffic and guest traffic. IoT devices are notoriously difficult to patch and represent a significant attack surface. Segment them, monitor them, and apply strict egress filtering.

[SECTION 3: IMPLEMENTATION RECOMMENDATIONS AND PITFALLS - 2 MINUTES]

Let me share the three most common pitfalls I see in multi-tenant deployments.

The first is insufficient trunk port configuration. Architects design a beautiful VLAN scheme and then forget to explicitly permit the relevant VLANs on every trunk link in the path. Traffic silently drops, tenants complain, and the support team spends days tracing the issue. Document your trunk configurations meticulously and validate them during commissioning.

The second pitfall is SSID proliferation. Keep your SSID count to no more than four per radio. Use Dynamic VLAN Assignment via RADIUS attributes rather than separate SSIDs to serve multiple tenants.

The third pitfall is neglecting the management plane. Your management VLAN, the one your access points, switches, and controllers communicate on, must be completely isolated from all tenant and guest VLANs. If a tenant can reach your management plane, you have a critical security vulnerability.

I'd also add a fourth: neglecting DHCP lease time management on guest VLANs. In high-turnover environments, devices hold leases after disconnecting. Set guest VLAN lease times to one to two hours to prevent IP address exhaustion.

[SECTION 4: RAPID-FIRE Q AND A - 1 MINUTE]

Let me run through a few questions that come up consistently in these deployments.

Do you need separate physical access points per tenant? No. That's the whole point of VLAN-based multi-tenancy. Multiple tenants share the same access point, with traffic isolation enforced at the network layer.

How do you handle legacy IoT devices that don't support 802.1X? Use MAC Authentication Bypass combined with WPA3-SAE. The RADIUS server identifies the device by its MAC address and assigns it to an isolated IoT VLAN. Apply strict firewall rules to this segment.

Does Dynamic VLAN Assignment affect roaming? Not if you configure it correctly. Enable 802.11r for Fast BSS Transition and Opportunistic Key Caching. Authentication state is cached across your access points, and users roam seamlessly without re-authentication delays.

[SECTION 5: SUMMARY AND NEXT STEPS - 1 MINUTE]

To bring this together: a well-designed multi-tenant WiFi architecture for an office building is built on four pillars.

First, rigorous VLAN segmentation with enforced firewall policies between segments. Second, centralised controller-based management that gives you operational visibility and policy control at scale. Third, a proper RF planning exercise that accounts for the physical environment and the density of the deployment. And fourth, a security model that addresses authentication, encryption, IoT isolation, and compliance requirements from day one.

The organisations that get this right see measurable outcomes: reduced support overhead, faster tenant onboarding, demonstrable compliance posture for audits, and the ability to monetise connectivity as a service rather than treating it as a cost centre.

If you're planning a multi-tenant deployment and want to explore how Purple's platform can provide the analytics, Guest WiFi management, and tenant-level reporting layer on top of your network infrastructure, visit purple dot ai. The resources linked in the guide are a good starting point.

Thanks for listening. Until next time.

Punti chiave

✓A flat network in a multi-tenant building is a critical security and compliance liability. Segment every traffic class into its own VLAN from day one.
✓IEEE 802.1Q VLAN tagging provides Layer 2 isolation. A Default-Deny firewall policy between VLANs provides Layer 3 security. You need both.
✓Dynamic VLAN Assignment via 802.1X and RADIUS eliminates SSID proliferation, reducing airtime overhead from 20-30% to under 8% and increasing client throughput by over 40%.
✓Isolating POS terminals on a dedicated VLAN reduces PCI DSS audit scope by approximately 70%, directly lowering compliance costs.
✓Never use VLAN 1 as the native VLAN on trunk ports. Change it to an unused, non-routable VLAN ID to prevent VLAN hopping attacks.
✓Commission an active RF site survey before deployment. Vendor coverage maps are optimistic. Co-channel interference is the primary cause of poor performance in dense environments.
✓Centralised cloud management from vendors like Cisco Meraki, HPE Aruba, or Juniper Mist reduces OpEx and enables consistent policy enforcement across distributed AP estates.

Sintesi esecutiva

Per i CTO e gli architetti di rete che gestiscono edifici per uffici multi-tenant, la sfida è chiara: fornire una connettività affidabile, sicura e isolata a più organizzazioni indipendenti su un'unica rete fisica condivisa. Un'architettura di rete piatta in un ambiente multi-tenant rappresenta un rischio critico. Amplia l'ambito di conformità ai sensi del GDPR e PCI DSS, espone i tenant a minacce di sicurezza laterali e crea un carico operativo che scala difficilmente con l'aumentare del numero di tenant.

Questa guida fornisce un modello indipendente dai vendor per la progettazione di un'architettura WiFi multi-tenant. Implementando la segmentazione VLAN IEEE 802.1Q, l'assegnazione dinamica delle VLAN tramite 802.1X e una rigorosa pianificazione RF, è possibile eliminare la proliferazione degli SSID, ridurre il sovraccarico di tempo di trasmissione (airtime overhead) fino a 20 punti percentuali e garantire un rigoroso isolamento a livello Layer 2 tra i tenant. Analizziamo in dettaglio gli standard tecnici, le considerazioni sull'hardware dei vari vendor (tra cui Cisco Meraki, HPE Aruba, Ruckus e Juniper Mist) e le policy di routing necessarie per proteggere l'infrastruttura. Se implementata correttamente, questa architettura riduce i costi di supporto, semplifica gli audit di conformità e consente di monetizzare la connettività come servizio.

Approfondimento tecnico

I limiti delle reti piatte

Una rete piatta inserisce ogni dispositivo, indipendentemente dal tenant, dal tipo di traffico o dalla classificazione di sicurezza, in un unico dominio di broadcast. Ogni dispositivo riceve ogni pacchetto broadcast. Un dispositivo ospite compromesso può scansionare e raggiungere terminali POS, sistemi di gestione dell'edificio (BMS) e workstation aziendali. L'intera rete rientra così nell'ambito di applicazione dello standard PCI DSS. Non si tratta di un rischio teorico. È lo stato predefinito di molti edifici multi-tenant cablati prima che la densità wireless diventasse un vincolo di progettazione.

La soluzione è la segmentazione logica. Non è necessaria un'infrastruttura fisica separata per ogni tenant. Occorrono un'architettura VLAN progettata correttamente, un firewall configurato in modo adeguato e una piattaforma di gestione centralizzata.

IEEE 802.1Q e tagging VLAN

Le Virtual Local Area Network (VLAN), standardizzate secondo la norma IEEE 802.1Q, consentono di suddividere un'unica infrastruttura di switch fisici in più reti logiche isolate. Quando un client si connette a un access point WiFi, l'AP tagga i frame di dati di quel client con un identificatore VLAN (VID) a 12 bit. Gli switch leggono questo tag e garantiscono che il traffico di una VLAN non venga mai inoltrato alle porte di un'altra VLAN, a meno che non sia esplicitamente instradato da un firewall.

Un tipico edificio per uffici multi-tenant richiede come minimo quattro VLAN:

VLAN	Classe di traffico	Policy di routing
VLAN 10	Tenant aziendale A	Solo Internet + risorse specifiche del tenant
VLAN 20	Tenant aziendale B	Solo Internet + risorse specifiche del tenant
VLAN 30	WiFi ospiti (Captive Portal)	Solo Internet, nessun accesso alle VLAN dei tenant
VLAN 40	IoT e BMS	Solo traffico in uscita verso le piattaforme di gestione designate

Per gli edifici con più tenant, questo modello viene esteso. Ogni tenant aggiuntivo riceve una VLAN dedicata e una corrispondente policy del firewall. L'infrastruttura fisica rimane condivisa.

Assegnazione dinamica delle VLAN tramite 802.1X e RADIUS

In passato, gli ingegneri di rete creavano un SSID separato per ogni tenant. Questo approccio riduce le prestazioni. Ogni SSID trasmette frame di gestione (beacon) alla velocità di trasmissione dati minima obbligatoria per garantire la connessione dei dispositivi legacy. La trasmissione di sei o sette SSID su un singolo access point può consumare dal 20% al 30% del tempo di trasmissione wireless (airtime) disponibile prima ancora che vengano trasmessi i dati degli utenti. In un edificio multi-tenant ad alta densità, questo è inaccettabile.

Lo standard moderno è l'assegnazione dinamica delle VLAN (Dynamic VLAN Assignment). Si trasmette un unico SSID sicuro utilizzando l'autenticazione IEEE 802.1X. Quando un utente si connette, il suo dispositivo (il supplicant) scambia le credenziali con un server RADIUS tramite l'access point (l'authenticator). Il server RADIUS convalida le credenziali rispetto a un provider di identità (come Microsoft Entra ID, Okta o Google Workspace) e invia un messaggio di Access-Accept all'access point. Questo messaggio include tre attributi RADIUS standard IETF:

Tunnel-Type (attributo 64): impostato su VLAN
Tunnel-Medium-Type (attributo 65): impostato su 802
Tunnel-Private-Group-ID (attributo 81): l'ID VLAN specifico per l'organizzazione di quell'utente

L'access point riceve questi attributi e inserisce dinamicamente il traffico dell'utente nella sua VLAN dedicata. Un dipendente del Tenant A e uno del Tenant B si connettono allo stesso SSID. Il loro traffico è completamente isolato a livello Layer 2. Lo switch li gestisce come se fossero collegati a reti fisiche completamente separate.

Per i segmenti ospiti, instrada il traffico attraverso una VLAN guest dedicata verso un Captive Portal. La piattaforma Guest WiFi di Purple gestisce il consenso in conformità al GDPR, l'onboarding sicuro e la WiFi Analytics su un segmento isolato, senza alcun accesso di routing alle reti aziendali. Per una panoramica più ampia sull'architettura del controllo degli accessi, consulta la nostra guida ai sistemi di controllo dell'accesso alla rete .

WPA3-Enterprise e standard di crittografia

WPA3-Enterprise è lo standard di crittografia consigliato per le distribuzioni multi-tenant. Fornisce una modalità di sicurezza a 192 bit, elimina le vulnerabilità dell'handshake a quattro vie di WPA2 e rende obbligatori i Protected Management Frames (PMF) ai sensi dello standard IEEE 802.11w. Per gli ambienti che gestiscono dati di carte di pagamento o informazioni aziendali sensibili, loPA3-Enterprise con EAP-TLS (autenticazione reciproca basata su certificati) elimina completamente i vettori di furto delle credenziali.

Per i segmenti guest in cui la distribuzione dei certificati non è pratica, WPA3-SAE (Simultaneous Authentication of Equals) fornisce forward secrecy, garantendo che una chiave di sessione compromessa non esponga il traffico storico.

Pianificazione RF in ambienti ad alta densità

L'interferenza co-canale (CCI) è la causa principale delle scarse prestazioni WiFi negli edifici per uffici multi-tenant. Quando gli access point adiacenti trasmettono sullo stesso canale di frequenza, i dispositivi devono attendere che l'etere sia libero prima di trasmettere. In un edificio con più tenant e un'elevata densità di dispositivi, l'allocazione non pianificata dei canali crea un ambiente RF congestionato che nessuna quantità di larghezza di banda può risolvere.

Un site survey RF attivo in loco è obbligatorio prima della distribuzione. Le mappe di copertura dei vendor sono ottimistiche. Sono necessarie misurazioni effettive del segnale nello spazio fisico, tenendo conto dei materiali delle pareti, della struttura dei pavimenti e dell'ambiente RF degli edifici vicini.

La banda a 2,4 GHz fornisce tre canali non sovrapposti (1, 6 e 11) nella maggior parte dei domini normativi. La banda a 5 GHz offre una capacità significativamente maggiore. Il WiFi 6E si estende nella banda a 6 GHz, fornendo uno spettro pulito ampiamente privo di interferenze da parte di dispositivi legacy. Per le nuove distribuzioni multi-tenant, la scelta di access point compatibili con WiFi 6E di Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist o Ubiquiti UniFi fornisce il margine di spettro necessario per gli ambienti densi.

Isolamento IoT

I moderni edifici per uffici contengono sistemi di gestione degli edifici, controller HVAC, illuminazione intelligente, controllo degli accessi e videosorveglianza (CCTV). Questi dispositivi sono notoriamente difficili da aggiornare e rappresentano una superficie di attacco significativa. Devono essere isolati su una VLAN dedicata con un filtraggio in uscita rigoroso, consentendo la comunicazione in uscita solo verso le piattaforme di gestione designate. Nessun accesso di routing a qualsiasi VLAN tenant. Nessun accesso di routing alla VLAN guest. Questo non è negoziabile sia dal punto di vista della sicurezza che del GDPR.

Guida all'implementazione

Fase 1: Progetta la tua architettura logica prima di toccare l'hardware. Mappa il numero di tenant, le classi di traffico (aziendale, guest, IoT, pagamenti, gestione) e assegna le VLAN. Documenta il tuo schema di indirizzamento IP. Definisci la tua policy di routing inter-VLAN: cosa può comunicare con cosa e cosa è assolutamente vietato.

Fase 2: Commissiona un site survey RF attivo. Non affidarti alle mappe di copertura dei vendor. Sono necessarie misurazioni effettive del segnale nello spazio fisico per definire il posizionamento degli AP e l'allocazione dei canali.

Fase 3: Configura il firewall principale con una policy Default-Deny. Blocca tutto il routing inter-VLAN per impostazione predefinita. Aggiungi solo eccezioni esplicite e specifiche per porta. Ogni percorso inter-VLAN deve essere giustificato e documentato.

Fase 4: Disabilita la VLAN 1 su tutte le porte trunk. Modifica la VLAN nativa sulle porte trunk con un ID VLAN non utilizzato e non instradabile. Ciò impedisce gli attacchi di VLAN hopping che sfruttano la VLAN nativa predefinita.

Fase 5: Convalida le configurazioni delle porte trunk. Consenti esplicitamente tutti gli ID VLAN richiesti su ogni collegamento trunk nel percorso dall'access point al livello di distribuzione. I tag VLAN mancanti causano perdite di traffico silenziose che richiedono molto tempo per essere diagnosticate.

Fase 6: Distribuisci una gestione cloud centralizzata. Le piattaforme di Cisco Meraki, HPE Aruba, Juniper Mist e Ruckus offrono policy di larghezza di banda per SSID, reportistica per tenant e integrazione con l'infrastruttura RADIUS. Il sovraccarico operativo per la gestione di un parco AP distribuito senza un controller non è sostenibile su scala.

Fase 7: Imposta i tempi di lease DHCP per segmento. VLAN aziendali: da 8 a 24 ore. VLAN WiFi guest: da 1 a 2 ore. Tempi di lease brevi sui segmenti guest prevengono l'esaurimento degli indirizzi IP in ambienti ad alta rotazione.

Fase 8: Isola il piano di gestione. La VLAN di gestione deve essere completamente isolata da tutte le VLAN tenant e guest. Applica ACL rigorose al traffico di gestione. Se un tenant può raggiungere il tuo piano di gestione, hai una vulnerabilità di sicurezza critica.

Best practice

La tabella seguente riassume gli standard di configurazione chiave per una distribuzione WiFi multi-tenant conforme.

Controllo	Standard	Motivazione
Segmentazione VLAN	IEEE 802.1Q	Isolamento di livello 2 tra i tenant
Autenticazione	IEEE 802.1X con WPA3-Enterprise	Elimina i vettori di furto delle credenziali
Assegnazione dinamica della VLAN	RADIUS con attributi Tunnel	Riduce il numero di SSID, preserva l'etere
Onboarding dei guest	Captive Portal con consenso GDPR	Conformità e raccolta dati
Isolamento IoT	VLAN dedicata con ACL in uscita	Limita la superficie di attacco dei dispositivi non aggiornati
Pianificazione RF	Site survey attivo	Mitiga l'interferenza co-canale
Roaming	802.11r Fast BSS Transition	Handoff continuo tra gli AP
VLAN nativa	ID VLAN non instradabile e non utilizzato	Previene gli attacchi di VLAN hopping

Per le distribuzioni nel settore hospitality , l'isolamento della VLAN guest è fondamentale. Per gli ambienti retail , l'isolamento dei terminali POS su una VLAN dedicata riduce direttamente l'ambito dell'audit PCI DSS. Per gli hub di trasporto e le strutture sanitarie , si applicano gli stessi principi di segmentazione, con un'attenzione particolare al volume di connessioni simultanee e alla diversità dei tipi di dispositivi.

Per le sedi che considerano uplink WAN satellitari, la guida di Purple su come configurare un captive portal su Starlink copre le considerazioni specifiche per gli ambienti remoti e marittimi.

Risoluzione dei problemi e mitigazione dei rischi

Perdite di traffico silenziose. La modalità di guasto più comune nelle distribuzioni multi-tenant. Causata dalla mancanza di tag VLAN sulle porte trunk. Un utente si autentica correttamente tramite 802.1X, il server RADIUS li assegna alla VLAN 40, ma la VLAN 40 non è consentita sulla porta trunk. Il traffico viene interrotto. L'utente non riceve alcun indirizzo IP. Documenta meticolosamente le configurazioni dei trunk e convalidale durante la messa in servizio.

Proliferazione degli SSID. Ogni SSID trasmesso consuma tempo di trasmissione (airtime) per i frame beacon. In un ambiente denso, trasmettere otto o dieci SSID per AP riduce le prestazioni per tutti. Mantieni il numero di SSID a non più di quattro per radio. Utilizza l'assegnazione dinamica della VLAN tramite attributi RADIUS anziché SSID separati per servire più tenant.

Esposizione del piano di gestione. Se la VLAN di gestione non è isolata, un tenant che vi accede può modificare le configurazioni degli AP, interrompere il servizio o intercettare il traffico di gestione. Utilizza la gestione out-of-band ove possibile. Applica ACL rigorose a tutte le interfacce di gestione.

Proliferazione dei dispositivi IoT. I gestori degli edifici aggiungono frequentemente dispositivi IoT senza informare il team di rete. Implementa policy di controllo dell'accesso alla rete (NAC) che richiedano un'autorizzazione esplicita prima che qualsiasi nuovo dispositivo riceva un indirizzo IP sulla VLAN IoT.

Esaurimento del DHCP sulle VLAN guest. In ambienti ad alto turnover, i dispositivi mantengono i lease DHCP dopo la disconnessione. Una subnet /24 fornisce 254 indirizzi. In un centro congressi o in uno spazio di coworking affollato, questi si esauriscono rapidamente. Imposta i tempi di lease da 1 a 2 ore e dimensiona la subnet della VLAN guest per accogliere il numero massimo di dispositivi simultanei.

ROI e impatto aziendale

Un'architettura WiFi multi-tenant adeguatamente segmentata offre risultati misurabili su tre dimensioni.

Riduzione dei costi di conformità. L'isolamento dei POS e dei terminali di pagamento su una VLAN dedicata con controlli firewall rigorosi riduce l'ambito dell'audit PCI DSS di circa il 70%, in base ai dati di implementazione di Purple. Ciò riduce direttamente i costi di audit annuali e il tempo richiesto al team IT per la documentazione di conformità.

Efficienza operativa. La gestione centralizzata in cloud riduce le OpEx associate alla gestione di un parco AP distribuito. Il provisioning zero-touch, l'applicazione di policy globali e la reportistica per tenant eliminano la necessità di modifiche di configurazione in loco. L'onboarding dei nuovi tenant si riduce da giorni a ore.

Generazione di ricavi. Una rete sicura e ad alte prestazioni consente ai gestori degli edifici di monetizzare la connettività come servizio. Pacchetti di larghezza di banda a livelli, SLA per tenant e insight basati sugli analytics trasformano il WiFi da un centro di costo a una fonte di ricavo. Purple opera in oltre 80.000 sedi attive e ha elaborato 440 milioni di accessi nel 2024 (dati interni Purple, 2024), fornendo l'infrastruttura di analytics per supportare questo modello su scala.

Per ulteriori letture su come la connettività WiFi supporti obiettivi più ampi di inclusione digitale, consulta il nostro articolo sul World WiFi Day 2026 . Per un'introduzione alle considerazioni sull'architettura WAN rilevanti per le distribuzioni multi-sito, consulta la nostra guida alla definizione di computer WAN .

Definizioni chiave

IEEE 802.1Q

The networking standard that defines VLAN tagging for Ethernet frames. It adds a 4-byte tag to each frame containing a 12-bit VLAN Identifier (VID), allowing switches to maintain multiple isolated broadcast domains over shared physical infrastructure.

The foundational protocol for multi-tenant network segmentation. Every enterprise switch and access point supports 802.1Q. Without it, logical isolation between tenants is impossible.

Dynamic VLAN Assignment

A method where a RADIUS server assigns a specific VLAN to a user or device upon successful 802.1X authentication, using IETF RADIUS attributes (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) to instruct the access point which VLAN to place the user into.

The standard approach for serving multiple tenants from a single SSID. Eliminates SSID proliferation and preserves wireless airtime while maintaining full Layer 2 isolation between tenants.

IEEE 802.1X

The IEEE standard for port-based Network Access Control (PNAC). It defines a three-party authentication model: the supplicant (client device), the authenticator (access point or switch), and the authentication server (RADIUS). The authenticator blocks all traffic until the supplicant is authenticated.

The authentication framework used to enforce Dynamic VLAN Assignment. Required for WPA3-Enterprise deployments. Integrates with identity providers including Microsoft Entra ID, Okta, and Google Workspace.

RADIUS

Remote Authentication Dial-In User Service. A networking protocol that provides centralised Authentication, Authorisation, and Accounting (AAA) management. In WiFi deployments, the RADIUS server validates user credentials and returns VLAN assignment attributes to the access point.

The server infrastructure that enforces Dynamic VLAN Assignment. Can be deployed on-premises or as a cloud service. Integrates with identity providers via LDAP, SAML, or SCIM.

Co-channel interference (CCI)

Interference caused when two or more access points broadcast on the same frequency channel within range of each other. Devices must wait for clear airtime before transmitting, reducing effective throughput for all users on that channel.

The primary cause of poor WiFi performance in dense multi-tenant buildings. Mitigated through active RF site surveys and careful channel allocation across the 2.4 GHz, 5 GHz, and 6 GHz bands.

Native VLAN

The VLAN on an 802.1Q trunk port that carries untagged traffic. By default, most switches use VLAN 1 as the native VLAN, creating a well-known attack vector for VLAN hopping.

A security risk that must be addressed in every multi-tenant deployment. Change the native VLAN on all trunk ports to an unused, non-routable VLAN ID to prevent VLAN hopping attacks.

Captive portal

A web page that a user must interact with before being granted network access. In WiFi deployments, the user connects to an open or WPA2-Personal SSID, is redirected to a splash page for authentication or terms acceptance, and is then granted internet-only access on an isolated VLAN.

The standard onboarding mechanism for Guest WiFi segments. Enables GDPR-compliant consent collection, identity verification, and analytics. Must be deployed on a VLAN with zero routing access to corporate or tenant networks.

WPA3-Enterprise

The latest WiFi security protocol for enterprise networks, standardised by the Wi-Fi Alliance. Provides 192-bit cryptographic strength (CNSA suite), requires 802.1X authentication, mandates Protected Management Frames (PMF) under IEEE 802.11w, and eliminates the vulnerabilities in WPA2's four-way handshake.

The recommended encryption standard for multi-tenant corporate WiFi segments. Required for environments handling payment card data or sensitive corporate information. Supported by all major enterprise AP vendors.

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security. A certificate-based 802.1X authentication method that requires both the client and the RADIUS server to present X.509 digital certificates, providing mutual authentication and eliminating password-based credential theft.

The most secure 802.1X authentication method. Used in high-security multi-tenant environments where credential theft is a primary concern. Requires a Public Key Infrastructure (PKI) to issue and manage client certificates.

MAC Authentication Bypass (MAB)

A fallback authentication method that uses a device's MAC address as its identity when the device does not support 802.1X. The RADIUS server looks up the MAC address and assigns the device to a predefined VLAN.

Used for IoT devices, printers, and other equipment that cannot perform 802.1X authentication. Because MAC addresses can be spoofed, MAB must always be combined with strict firewall rules on the assigned VLAN.

Esempi pratici

A 350-room hotel group with 12 properties needs to secure its network. Currently, guest smartphones, staff laptops, POS terminals, and building management systems all share a single flat network. The IT team spends 40 hours monthly on PCI DSS compliance documentation because the entire network is in scope. The CTO wants to reduce compliance overhead and improve security posture before the next audit.

Deploy a four-VLAN architecture using IEEE 802.1Q across all 12 properties via a centralised cloud management platform. Assign VLANs as follows: VLAN 10 for Staff Corporate (802.1X authenticated, routed to internal resources and internet), VLAN 20 for Guest WiFi (captive portal, internet only), VLAN 30 for POS Terminals (802.1X authenticated, routed only to payment processor endpoints), and VLAN 40 for IoT and BMS (MAC Authentication Bypass, egress to BMS management platform only). Configure a Default-Deny firewall policy between all VLANs. Integrate Purple's Guest WiFi platform on VLAN 20 for GDPR-compliant consent management and analytics. Validate trunk port configurations on every switch in the path during commissioning.

Commento dell'esaminatore: This approach reduces PCI DSS audit scope by approximately 70% by isolating the POS segment. The strict firewall policy prevents lateral movement from a compromised guest device to payment infrastructure. The IT team recovers the 40 hours monthly previously spent on compliance documentation. The centralised cloud management platform enables consistent policy enforcement across all 12 properties without on-site visits.

A coworking operator manages a 15-floor office building with 40 independent member companies. Each company needs its own isolated WiFi network. The current architecture broadcasts a separate SSID per company, resulting in 40 SSIDs per floor. WiFi performance is poor across the building despite a 10 Gbps fibre uplink. The network team wants to resolve performance issues without replacing hardware.

Consolidate to a single secure SSID using WPA3-Enterprise and IEEE 802.1X authentication. Deploy a RADIUS server integrated with the building's identity provider (Microsoft Entra ID or Okta). Configure the RADIUS server to return Dynamic VLAN Assignment attributes (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) for each authenticated user, placing them into their company's dedicated VLAN. Retain a separate Guest WiFi SSID with a captive portal for visitor access. This reduces the SSID count from 40 to two per radio. Conduct an active RF site survey to validate channel allocation and AP placement following the SSID consolidation.

Commento dell'esaminatore: Reducing the SSID count from 40 to two per radio eliminates the beacon management overhead that was consuming 20% to 30% of available airtime. Average client throughput increases significantly. The Dynamic VLAN Assignment approach maintains full Layer 2 isolation between all 40 member companies without any change to the physical infrastructure. The RF site survey ensures channel allocation is optimised following the configuration change.

Domande di esercitazione

Q1. You are deploying WiFi for a new mixed-use building with 20 independent retail tenants on the ground floor and 10 office tenants on floors 1 to 5. The building owner wants each tenant to have their own secure WiFi network, plus a shared Guest WiFi network for visitors. What is the most efficient architectural approach, and what is the maximum number of SSIDs you should broadcast per access point?

Suggerimento: Consider the impact of broadcasting 30 separate SSIDs on wireless airtime. Think about how Dynamic VLAN Assignment can serve multiple tenants from a single SSID.

Visualizza risposta modello

Deploy a single secure SSID using WPA3-Enterprise and IEEE 802.1X authentication for all corporate tenants. Use a RADIUS server integrated with the building's identity provider to perform Dynamic VLAN Assignment, placing each tenant's devices into their own isolated VLAN upon authentication. Deploy a second SSID for Guest WiFi with a captive portal. This results in two SSIDs per radio, well within the four-SSID maximum. Each of the 30 tenants receives a dedicated VLAN with a corresponding Default-Deny firewall policy. The Guest WiFi VLAN has zero routing access to any tenant VLAN.

Q2. During a post-deployment audit of a multi-tenant office building, you discover that traffic from the Guest WiFi VLAN (VLAN 30) can successfully ping devices on the IoT VLAN (VLAN 40). Both are on separate VLANs. What is the most likely cause, and what is the immediate remediation step?

Suggerimento: VLANs separate broadcast domains at Layer 2. What handles traffic routing between different subnets at Layer 3?

Visualizza risposta modello

The core router or firewall is missing a Default-Deny inter-VLAN routing policy. By default, routers pass traffic between all connected subnets. The immediate remediation is to configure an explicit Deny rule on the firewall blocking all traffic from VLAN 30 to VLAN 40. Audit all other inter-VLAN routing policies at the same time to confirm no other unintended paths exist. The long-term fix is to implement a Default-Deny policy across all VLANs with only explicit, documented exceptions permitted.

Q3. A tenant in a multi-tenant office building reports that their devices can authenticate to the WiFi network successfully, but they never receive an IP address and cannot access the internet. Other tenants on the same access points are working normally. The RADIUS server logs show successful authentication and a VLAN 50 assignment for the affected tenant. What is the first configuration you should check?

Suggerimento: Think about the physical path that VLAN-tagged traffic takes from the access point to the core switch. What must be configured on that path for VLAN 50 traffic to pass?

Visualizza risposta modello

Check the 802.1Q trunk port configuration on the switch port connected to the access point. Verify that VLAN 50 is explicitly listed as an allowed VLAN on the trunk. If VLAN 50 is not permitted on the trunk, the switch drops all VLAN 50 tagged frames, and the client never receives a DHCP response. Add VLAN 50 to the trunk's allowed VLAN list and verify the client receives an IP address. Also confirm that a DHCP scope exists for the VLAN 50 subnet.

Q4. A building operator wants to add 50 new IoT sensors to monitor energy consumption across a multi-tenant office building. The sensors do not support 802.1X authentication. How should you onboard these devices securely, and what firewall policy should apply to their VLAN?

Suggerimento: Consider the authentication method available for devices that cannot perform 802.1X, and the security implications of that method.

Visualizza risposta modello

Use MAC Authentication Bypass (MAB) to onboard the IoT sensors. Register each sensor's MAC address in the RADIUS server and configure the server to assign authenticated MAC addresses to the dedicated IoT VLAN (e.g., VLAN 40). Because MAC addresses can be spoofed, apply strict egress firewall rules to VLAN 40: permit outbound traffic only to the designated energy management platform IP addresses, and block all other outbound and all inbound traffic. Apply strict ACLs to prevent any device on VLAN 40 from initiating connections to any tenant VLAN or the management VLAN.

Continua a leggere questa serie

Mean time to innocence: how to prove it's not the WiFi

Il Mean time to innocence (MTTI) è la metrica fondamentale che definisce quanto tempo i team IT dedicano a dimostrare che un problema di rete non è colpa loro. Questa guida illustra una metodologia di osservabilità in cinque passaggi per eliminare il rimpallo di responsabilità negli ambienti multi-tenant, sostituendo le accuse reciproche con prove condivise per ridurre il tempo medio di risoluzione (MTTR).

VLAN Segmentation Best Practices for Multi-Tenant Environments

Questa guida fornisce a IT manager, network architect, CTO e direttori operativi delle location un modello autorevole e indipendente dai vendor per implementare la segmentazione VLAN in ambienti WiFi multi-tenant. Copre lo standard IEEE 802.1Q, l'assegnazione dinamica delle VLAN (Dynamic VLAN Assignment) tramite 802.1X e RADIUS, e una guida all'implementazione passo-passo per strutture ricettive, retail, stadi e settore pubblico. Una corretta segmentazione VLAN rappresenta il controllo fondamentale per la conformità PCI DSS e GDPR, la prevenzione dei movimenti laterali e l'erogazione di una connettività wireless ad alte prestazioni su un'infrastruttura fisica condivisa.

Managing Public IP Exhaustion in Student Housing

This guide provides a definitive technical reference for network architects deploying Carrier-Grade NAT (CGNAT) and Port Address Translation (PAT) to manage IPv4 exhaustion in dense student housing and multi-tenant WiFi environments. It covers NAT444 architecture, RFC 6598 shared address space, Port Block Allocation sizing, GDPR-compliant logging strategies, and a dual-stack IPv6 migration path. The guide is essential for any operator managing hundreds or thousands of concurrent devices on a constrained public IP pool, providing actionable configuration guidance, real-world case studies, and ROI analysis.