Perché il WiFi per gli ospiti in stile hotel non funziona negli edifici residenziali

Il WiFi per gli ospiti in stile hotel fallisce negli edifici residenziali perché presuppone un soggiorno breve, un telefono e un browser. Un appartamento arredato può contenere 10 o più dispositivi connessi, molti dei quali privi di browser per completare un Captive Portal, e i residenti si aspettano che il casting e i kit per la smart-home funzionino correttamente. Offri invece a ogni nucleo familiare la propria chiave iPSK e un segmento di rete privato.

Quali sono le conseguenze del fallimento del WiFi per gli ospiti in un edificio residenziale?

Il problema si manifesta raramente come una rete inattiva. Si presenta piuttosto come un flusso costante di piccoli reclami da parte di residenti che pagano un affitto, non di passaggio.

Sintomi tipici in un blocco build-to-rent (BTR), in uno studentato o in un'unità multi-abitativa (MDU):

• La smart TV, l'altoparlante o il termostato non si connettono. Questi dispositivi non hanno un browser, quindi non possono completare un Captive Portal, la pagina di login web che una rete ospiti mostra prima di concedere l'accesso.
• Il casting non funziona. Il telefono di un residente non riesce a trovare il proprio Chromecast o ricevitore AirPlay, oppure trova quello del vicino.
• Tutti devono effettuare nuovamente il login ogni giorno. La sessione del portale scade con un timer di 24 ore, il che è perfetto per l'ospite di un hotel ma infastidisce chi ci vive.
• I dispositivi si disconnettono dopo un aggiornamento software. I telefoni che ruotano il proprio indirizzo hardware sembrano nuovi dispositivi, quindi la rete li dimentica.
• Chi trasloca mantiene l'accesso. Il laptop di un ex residente si connette ancora settimane dopo la fine del contratto di locazione.

Se gestisci degli Hotels e ti stai espandendo in appartamenti serviti o per lunghi soggiorni, riscontrerai questi sintomi innanzitutto nei piani dedicati ai soggiorni prolungati.

Perché il WiFi per gli ospiti in stile hotel non funziona per i residenti?

Quattro presupposti di progettazione alla base del WiFi per gli ospiti degli hotel cessano di essere validi non appena qualcuno si trasferisce.

Il numero di dispositivi è diverso

Una rete ospiti di un hotel è strutturata attorno a un telefono e un laptop per una o due notti. Conta invece i dispositivi in un bilocale: due telefoni, due laptop, una smart TV, una chiavetta per lo streaming, un altoparlante, un videocitofono, un termostato e una stampante. Sono già 10 prima ancora che arrivi qualche ospite. Ognuno di essi deve connettersi e la maggior parte non ha uno schermo su cui digitare.

I dispositivi headless non possono utilizzare un Captive Portal

Un Captive Portal funziona intercettando una richiesta del browser e mostrando una pagina di login. Uno smart speaker non apre mai un browser, quindi non vede mai la pagina e non si autentica mai. La soluzione temporanea abituale è la registrazione dell'indirizzo MAC, in cui il residente digita l'indirizzo hardware di ciascun dispositivo in un modulo. Anche questo sistema non funziona.

La randomizzazione dei MAC compromette la memoria dei dispositivi

Apple ha introdotto gli indirizzi privati per rete in iOS 14 e Android 10 randomizza l'indirizzo hardware per impostazione predefinita. Un portale che ricorda i dispositivi tramite l'indirizzo MAC li perde ogni volta che l'indirizzo cambia. I residenti devono ripetere l'autenticazione e il tuo helpdesk riceve la chiamata.

L'isolamento dei client blocca l'esperienza della rete domestica

Le reti guest normalmente isolano i client in modo che gli estranei non possano raggiungere i dispositivi degli altri. Questo è corretto nella hall di un hotel. Ma Chromecast e AirPlay trovano i ricevitori utilizzando il multicast DNS (mDNS, definito in RFC 6762), un protocollo di discovery che funziona solo tra dispositivi sullo stesso segmento di rete. Con l'isolamento attivo, il casting fallisce. Disattivando l'isolamento su una rete condivisa, ogni residente può vedere i dispositivi di tutti gli altri.

La fiducia a breve termine è il modello di fiducia errato

Il WiFi degli hotel si fida di un dispositivo per un solo soggiorno e poi lo dimentica. Il WiFi per residenti deve fidarsi dei dispositivi di un nucleo familiare per la durata di un contratto di locazione, a volte per anni. Deve anche revocare tale fiducia in una data specifica. Un timer di sessione del Captive Portal non è in grado di esprimere nessuna delle due regole.

Come capire qual è la causa del problema?

Associa il reclamo alla causa prima di modificare qualsiasi cosa. La maggior parte degli edifici ne presenta più di una.

Sintomo segnalato dai residenti	Causa più probabile	Come confermarlo
La Smart TV o l'altoparlante non si connettono	Captive Portal su un dispositivo headless	Verifica nei log del controller se il dispositivo raggiunge mai la pagina del portale
Il telefono non trova il proprio Chromecast	Isolamento dei client che blocca mDNS	Testare il casting con l'isolamento disabilitato su un singolo SSID di prova
Il residente vede i dispositivi dei vicini durante il casting	Rete flat condivisa con isolamento disattivato	Scansiona gli annunci mDNS da un dispositivo residente
Accesso giornaliero su ogni dispositivo	Timeout della sessione del portale progettato per soggiorni brevi	Verifica il timeout della sessione sull'SSID guest
Dispositivi "dimenticati" dopo un aggiornamento del telefono	Randomizzazione MAC contro la memoria basata su MAC	Confronta gli indirizzi hardware del dispositivo prima e dopo l'aggiornamento
Gli ex residenti si connettono ancora	Nessun collegamento tra la fine della locazione e l'accesso alla rete	Verifica le credenziali attive rispetto ai registri di locazione correnti

Se le prime due righe descrivono la tua situazione, correggere il timeout della sessione non sarà d'aiuto. Hai bisogno di un modello di autenticazione diverso, non di un portale ottimizzato.

Quale modello di autenticazione si adatta ai residenti?

La tabella seguente confronta le quattro opzioni attualmente utilizzate negli edifici.

Approccio	Onboarding	Dispositivi headless	Casting e smart home	Revoca di un singolo nucleo familiare	Ideale per
Captive Portal (modello hotel)	Accesso tramite browser su ciascun dispositivo, ripetuto al timeout	Errore senza registrazione manuale del MAC	Bloccato dall'isolamento dei client	Attendi la scadenza delle sessioni	Ospiti dell'hotel, acquirenti, fan, passeggeri
Una password condivisa per edificio	Una sola password per tutti	Connessione riuscita	Funziona, ma ogni residente vede ogni dispositivo	Cambia la password per l'intero edificio	Nessun edificio multi-tenant
iPSK per nucleo familiare	Una password univoca per appartamento	Connessione riuscita	Funziona solo all'interno del segmento del nucleo familiare	Elimina una sola chiave	BTR, studentati, MDU, lunghi soggiorni

iPSK (identity pre-shared key) gestisce una singola rete WPA2-Personal in cui ogni nucleo familiare riceve la propria passphrase. Quando un dispositivo si connette, un server RADIUS, il servizio di autenticazione che verifica le credenziali, identifica quale chiave è stata utilizzata. La rete lo colloca quindi nella VLAN di quel nucleo familiare, un segmento di rete virtuale. Ogni dispositivo posseduto da un residente, headless o meno, si connette una sola volta con una passphrase che già comprende.

Il risultato è una bolla di rete privata per ogni appartamento. Il telefono di un residente trova il proprio Chromecast perché entrambi si trovano nello stesso segmento. Non può vedere l'appartamento della porta accanto perché quel nucleo familiare possiede una chiave diversa e si trova in un segmento diverso.

IEEE 802.1X è più sicuro per persona, ma la maggior parte delle smart TV, degli altoparlanti e dei termostati non può utilizzarlo. Conservalo per le reti del personale.

Come risolvere il problema su Cisco Meraki, HPE Aruba, Ruckus e altri hardware?

Non hai bisogno di nuovi access point. Ciascun fornitore principale supporta l'autenticazione per chiave con il proprio nome:

• Cisco Meraki: Identity PSK (iPSK)
• HPE Aruba: MPSK (Multiple Pre-Shared Key)
• Ruckus: DPSK (Dynamic Pre-Shared Key)
• Juniper Mist: Multi PSK
• Ubiquiti UniFi: Private Pre-Shared Keys
• Cambium: ePSK
• Extreme Networks: PPSK (Private Pre-Shared Key)
• Fortinet: MPSK

Verifica due cose nella documentazione del tuo fornitore prima di effettuare il passaggio. In primo luogo, conferma il numero massimo di chiavi per SSID sulla versione del tuo controller. In secondo luogo, conferma se WPA3-Personal è supportato con l'autenticazione per chiave, poiché molte implementazioni funzionano ancora su WPA2-Personal.

Il WiFi multi-tenant di Purple funziona come un overlay cloud sopra a tale hardware, quindi non c'è bisogno di rimuovere e sostituire nulla. Purple fornisce il servizio RADIUS in cloud che mappa ciascuna chiave al rispettivo nucleo familiare. Gestisci le chiavi di ogni edificio da un'unica console centralizzata. Purple possiede la certificazione ISO 27001 ed è conforme al GDPR, e la piattaforma è attiva in oltre 80.000 sedi reali (dati interni di Purple).

Tieni la tua rete ospiti per i visitatori. Il Guest WiFi di Purple crea un record WiFi Visitors per ogni visitatore che si connette. Tale record contiene le sedi visitate, il numero di visite e il metodo di connessione, come descritto nell'articolo di supporto di Purple sui WiFi Visitors. Questo è ideale per una hall o un bar al piano terra, non per la connessione domestica di un residente.

Scenario di esempio: un hotel aggiunge un piano per soggiorni prolungati

Situazione. Un hotel cittadino di 180 camere ha convertito un piano in 40 appartamenti serviti per soggiorni da uno a sei mesi. Gli ospiti per soggiorni lunghi utilizzavano l'SSID ospiti esistente, con un captive portal, l'isolamento dei client e un timeout della sessione di 24 ore.

Cosa è stato fatto. L'hotel ha mantenuto l'SSID del portale per le camere per soggiorni brevi e la reception. Ha aggiunto un SSID iPSK per il piano dedicato ai soggiorni prolungati, con 40 chiavi, ciascuna mappata sulla propria VLAN. Le chiavi venivano emesse al check-in ed eliminate al check-out.

Risultato. I login per ospite di lungo soggiorno sono scesi da sette a settimana a uno solo all'arrivo. Smart TV e dispositivi di casting si sono connessi al primo tentativo perché non dovevano più superare un portale. Al check-out, l'eliminazione di una singola chiave rimuoveva tutti i dispositivi che quell'appartamento aveva connesso.

Scenario reale: le residenze universitarie sostituiscono la registrazione dei MAC

Situazione. Un'università pubblica gestiva una residenza da 600 posti letto con un captive portal. Gli studenti registravano console di gioco e smart speaker digitando ciascun indirizzo MAC in un modulo web. Gli indirizzi casuali sui telefoni comportavano la necessità di registrarsi nuovamente a ogni trimestre.

Cosa è stato fatto. L'IT ha emesso una chiave iPSK per ogni camera di studio sugli access point esistenti. Ogni studente ha ricevuto la propria chiave insieme all'assegnazione della stanza. Le chiavi sono state collegate alla data di scadenza del contratto di alloggio.

Risultato. Le registrazioni manuali dei MAC sono scese a zero, perché le console e gli altoparlanti ora si connettono con una passphrase. Alla fine dell'anno accademico, l'IT ha revocato tutte le 600 chiavi in un unico blocco, anziché dover rintracciare i singoli record dei dispositivi.

Come evitare che si ripeta?

Progetta la rete dei residenti in base al contratto di affitto, non alla visita.

1. Separa le reti per tipologia di pubblico. Gestisci un SSID per gli ospiti con un portale per i visitatori e un SSID iPSK per i residenti. Mantieni basso il numero di SSID, perché ogni SSID aggiuntivo aumenta il traffico beacon e consuma tempo di trasmissione.
2. Collega le chiavi a ingressi, spostamenti e uscite. Rilascia una chiave al momento del trasloco, riassegnala quando un residente cambia unità e revocala alla data di fine della locazione. Il Multi-Tenant WiFi di Purple gestisce questo ciclo di vita in modo centralizzato.
3. Pianifica la capacità per appartamento, non per persona. Calcola le dimensioni di ogni unità per il numero totale di dispositivi, compreso lo streaming nelle ore di punta serali.
4. Mantieni separati i modelli di dati. Il WiFi per gli ospiti esiste in parte per raccogliere dati di prima parte con opt-in consapevoli. Il WiFi per i residenti è un servizio fornito nell'ambito del contratto di locazione, quindi non eseguire su di esso attività di marketing capture. Se vuoi capire come vengono utilizzati gli spazi comuni, leggi Presence analytics vs engagement analytics. Se utilizzi HPE Aruba, leggi HPE Aruba Central presence analytics: setup, exports and limits.
5. Applica lo stesso modello nei siti a uso misto. Un edificio con unità di Retail al piano terra, o alloggi per il personale in un campus Healthcare, ha bisogno di un portale per il pubblico e di iPSK per le persone che vi abitano.

Domande frequenti

Posso usare un captive portal per i residenti?

No, non come rete principale per i residenti. Un captive portal richiede un browser su ogni dispositivo, e smart TV, altoparlanti e termostati non ne sono provvisti. Inoltre, i portali fanno scadere le sessioni e non riconoscono i dispositivi i cui indirizzi hardware ruotano. Mantieni un portale per i visitatori e gli ospiti a breve termine. Offri ai residenti una chiave iPSK per nucleo familiare in modo che ogni dispositivo si colleghi una sola volta e rimanga connesso per tutta la durata del contratto di locazione.

iPSK funzionerà sugli access point che già possiedo?

Sì, se utilizzi un controller aggiornato di uno dei principali vendor. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet supportano tutti l'autenticazione per singola chiave con i rispettivi nomi proprietari per questa funzionalità. Verifica la documentazione del tuo vendor per conoscere il numero massimo di chiavi per SSID sulla tua versione del controller. Purple funziona come un overlay cloud su tale hardware, quindi non dovrai sostituire gli access point per migrare i residenti su iPSK.

La rete WiFi per gli ospiti e quella per i residenti possono funzionare sugli stessi access point?

Sì. È possibile gestirle come SSID separati sugli stessi access point, ciascuno mappato sulle proprie VLAN. I visitatori visualizzeranno la rete ospiti con il relativo captive portal, mentre i residenti si collegheranno alla rete iPSK con la chiave del proprio nucleo familiare. Mantieni basso il numero totale di SSID, poiché ogni SSID aggiuntivo genera traffico di beacon che consuma tempo di trasmissione su ogni access point che lo trasmette.

Cosa succede ai dispositivi di un residente quando si trasferisce?

È sufficiente revocare la loro chiave e tutti i dispositivi che la utilizzavano perderanno l'accesso. Poiché ogni nucleo familiare possiede la propria passphrase, una singola eliminazione rimuove contemporaneamente telefono, laptop, TV e altoparlante, senza influire su nessun altro residente. Collega la revoca della chiave alla data di fine della locazione, in modo che l'accesso termini il giorno stesso della scadenza del contratto, anziché quando qualcuno si ricorda di cambiare la password.

La tecnologia iPSK è sicura quanto lo standard 802.1X?

No, ma rappresenta il controllo ideale per i dispositivi residenziali. Lo standard 802.1X assegna a ogni persona una credenziale individuale, una soluzione adatta per i laptop del personale. La maggior parte delle smart TV e degli altoparlanti non supporta questo standard, che quindi risulta inefficace negli appartamenti. La tecnologia iPSK fornisce a ogni nucleo familiare una chiave unica e lo isola nella propria VLAN; in questo modo, una chiave compromessa espone un singolo appartamento e non l'intero edificio. Utilizza lo standard 802.1X per il personale e la tecnologia iPSK per i residenti.

In che modo il GDPR si applica in modo diverso al WiFi dei residenti?

In base al UK GDPR, la connessione di un residente è un servizio fornito nell'ambito del contratto di locazione, pertanto la base giuridica sarà probabilmente l'esecuzione di un contratto ai sensi dell'Articolo 6(1)(b), e non il consenso al marketing. Il WiFi per gli ospiti raccoglie solitamente dati di marketing con meccanismi di opt-in. Mantieni separate le due soluzioni: non abilitare l'acquisizione di dati di marketing sulla rete dei residenti. Purple è certificato ISO 27001 e conforme al GDPR, e tratta i dati della rete dei residenti su questa base.

Quanto sforzo richiede il passaggio da un portale a iPSK?

Si tratta di una modifica della configurazione, non di un progetto hardware. È sufficiente creare un iPSK SSID sul controller esistente, collegarlo a un servizio RADIUS come il cloud RADIUS di Purple e mappare le chiavi sulle VLAN domestiche. L'attività principale è operativa: l'emissione delle chiavi al momento del trasloco e il collegamento della revoca alle date di fine locazione. Gestisci il portale e le reti iPSK affiancati durante la transizione in modo che nessun residente perda l'accesso.