Arquitetura VLAN por unidade e PSK: um guia de design para redes MDU

Dê a cada apartamento sua própria VLAN quando as unidades tiverem portas cabeadas e o edifício tiver algumas centenas de portas. Um empreendimento BTR de 250 portas usa cerca de 256 dos 4.094 IDs de VLAN IEEE 802.1X. Para locais com alta rotatividade, como um PBSA de 800 leitos, coloque a segmentação na chave exclusiva de cada residente, com política por chave em um pequeno número de VLANs compartilhadas.

Cada apartamento deve ter sua própria VLAN?

Nem sempre. Cada residente em um projeto residencial de aluguel (BTR), unidade habitacional multifamiliar (MDU) ou acomodação estudantil projetada (PBSA) precisa de uma rede privada. O notebook, a smart TV e a impressora do residente devem ver uns aos outros, e os dispositivos de mais ninguém devem vê-los. Essa é a experiência de estar em casa com segurança corporativa, e você pode oferecê-la de duas maneiras.

VLAN por apartamento. Cada unidade recebe sua própria LAN virtual (VLAN). Uma VLAN é um domínio de broadcast separado na camada 2 com sua própria sub-rede e escopo DHCP. Um servidor RADIUS informa ao ponto de acesso a qual VLAN cada dispositivo se conecta. O RADIUS é o protocolo de autenticação que verifica cada dispositivo e retorna sua política de rede. O tráfego entre unidades deve cruzar um gateway de camada 3, e o seu firewall o bloqueia ali.

Política vinculada à chave. Cada residente recebe uma chave pré-compartilhada (PSK) exclusiva em um SSID compartilhado. Os fabricantes chamam isso de PSK de identidade (iPSK), PSK privada (PPSK), multi-PSK ou PSK dinâmica. A chave identifica o residente, e a rede aplica a política vinculada a ela. Dispositivos na mesma chave podem se comunicar entre si. Dispositivos em chaves diferentes não podem, mesmo em uma VLAN compartilhada. A Purple chama isso de Rede de Área Privada (PAN): uma bolha de rede privada que se desloca junto com a chave.

Ambos os projetos isolam os residentes adequadamente. Eles diferem no local onde o isolamento é aplicado e na quantidade de configuração mantida. A escolha depende de quatro fatores:

• portas cabeadas nas unidades
• rotatividade de residentes
• contagem total de segmentos
• o que seus pontos de acesso e switches suportam

As seções abaixo abordam cada fator com contagens de unidades para um empreendimento BTR de 250 portas e um local PBSA de 800 leitos.

Onde as VLANs por unidade e as políticas baseadas em chave realmente diferem

O limite de 4.094 VLANs, e quando você realmente o atinge

O IEEE 802.1X carrega o ID da VLAN em um campo de 12 bits. Isso fornece 4.096 valores. Os IDs 0 e 4.095 são reservados, o que deixa 4.094 IDs utilizáveis. O limite se aplica por domínio de camada 2, não por organização, portanto dois edifícios atrás de uma fronteira roteada podem reutilizar os mesmos IDs.

Um único edifício raramente atinge 4.094 apenas com VLANs de residentes. Você atinge o limite em três situações:

• Um campus com vários blocos executa um domínio plano de camada 2. Cinco prédios de 800 leitos em um único núcleo precisam de 4.000 VLANs de residentes antes de adicionar a equipe, CFTV ou automação predial.
• Você segmenta por leito e por porta. Se cada leito também receber uma VLAN cabeada separada, sua contagem dobra.
• Você adiciona uma VLAN de IoT por unidade para fechaduras inteligentes ou termostatos, o que dobra a contagem novamente.

O limite prático geralmente chega antes. As variantes de spanning tree por VLAN executam uma instância de spanning tree por VLAN, e as plataformas de comutação limitam as instâncias bem abaixo de 4.094. Controladores sem fio e gateways também publicam seus próprios limites em VLANs e interfaces de camada 3. Verifique esses três números nas especificações técnicas antes de se comprometer. O máximo do 802.1Q é o número errado para se planejar.

Se você ultrapassar o limite, terá duas saídas limpas. Coloque uma fronteira roteada em cada edifício e reutilize IDs de VLAN dentro de cada um. Ou mude para VXLAN, definida na RFC 7348, cujo identificador de segmento de 24 bits permite cerca de 16 milhões de segmentos. O Multiple Spanning Tree, originalmente IEEE 802.1s e agora parte do 802.1Q, mapeia muitas VLANs em poucas instâncias. Isso remove a restrição de spanning tree.

Como o RADIUS atribui um morador a uma VLAN

A RFC 3580 define a atribuição dinâmica de VLAN. Quando o RADIUS aceita um dispositivo, a mensagem Access-Accept carrega três atributos:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = o ID da VLAN para aquele apartamento

O ponto de acesso ou switch coloca o dispositivo nessa VLAN. O mapeamento fica no registro do morador, para que o telefone dele acesse a mesma VLAN no apartamento, na academia ou no terraço.

A forma como o servidor identifica o proprietário do dispositivo depende do método de autenticação:

• IEEE 802.1X (WPA2-Enterprise ou WPA3-Enterprise). O morador faz login com uma credencial ou certificado, e o RADIUS o consulta diretamente.
• PSK por chave. O controlador ou servidor RADIUS corresponde à chave que o dispositivo apresentou ao registro do morador e, em seguida, retorna a VLAN ou o nome da política.

Os fornecedores implementam essa busca de chave de forma diferente. Siga a documentação da sua plataforma para as etapas de configuração.

O PSK vence em edifícios residenciais por um motivo prático. Smart TVs, consoles de jogos, caixas de som inteligentes e impressoras raramente suportam 802.1X, mas uma chave funciona em todos eles.

Verifique se a sua plataforma suporta PSK por chave com WPA3-Personal. Muitas implementações de PSK por chave foram lançadas no WPA2-Personal. O SAE (Simultaneous Authentication of Equals, o handshake do WPA3-Personal) altera a forma como uma chave pode ser correspondida, e o suporte varia de acordo com o fornecedor e o firmware.

Quando um morador muda de apartamento ou se muda, a autorização dinâmica do RADIUS ajuda. Ela é definida na RFC 5176 e permite que o servidor desconecte uma sessão ou aplique uma nova política imediatamente.

Higiene do domínio de broadcast

Toda VLAN é um domínio de broadcast. Solicitações ARP, descoberta DHCP e protocolos de descoberta multicast alcançam todos os dispositivos nela. Esses protocolos incluem mDNS, que o AirPlay e o Chromecast usam, e SSDP. No WiFi, os quadros de broadcast e multicast são transmitidos em uma taxa de dados básica. Eles consomem tempo de transmissão em cada ponto de acesso que carrega a VLAN.

Uma VLAN por unidade mantém cada domínio em uma única residência, cerca de oito a 36 dispositivos. A descoberta funciona dentro do apartamento sem um gateway mDNS, e nada vaza para o vizinho.

Uma VLAN compartilhada pode conter centenas de dispositivos de muitos residentes, portanto, precisa de uma higienização ativa:

• Proxy ARP ou supressão de ARP no ponto de acesso, para que o AP responda às solicitações ARP em vez de inundá-las.
• Conversão de multicast para unicast ou filtragem de broadcast no SSID do residente.
• Um gateway mDNS com escopo por chave, para que os destinos de transmissão de um residente apareçam apenas em seus próprios dispositivos.
• Um limite de tamanho. Nossa regra prática é de algumas centenas de clientes por VLAN compartilhada. Divida por andar ou bloco acima disso.

Algumas plataformas aplicam o agrupamento no nível de chave nativamente. A Wireless Personal Network da Cisco Meraki, por exemplo, agrupa dispositivos por iPSK e isola os grupos entre si em uma VLAN compartilhada. Em uma infraestrutura Meraki, teste o roaming rápido em conjunto com isso. Nosso guia sobre Cisco Meraki 802.11r adaptável vs habilitado aborda esse comportamento.

Design do escopo DHCP por segmento

Planejamos de oito a 12 dispositivos por residente. Esse é o número de planejamento da Purple e abrange:

• telefones, notebooks, tablets e relógios
• TVs, consoles e caixas de som
• dispositivos de casa inteligente

Dimensione cada escopo com base na ocupação máxima da unidade, não na média.

Em seguida, adicione uma margem de segurança para endereços MAC privados. A Apple e o Google personalizam e randomizam o endereço MAC de um dispositivo por rede por padrão. Um novo endereço aleatório exige uma nova concessão (lease). Encurte os tempos de concessão para que os endereços abandonados retornem ao pool dentro de um dia e mantenha pelo menos um terço de cada escopo livre.

Prefixo	Endereços utilizáveis	Concessões após o gateway	Capacidade
/28	14	13	Não recomendado: um residente com 12 dispositivos deixa um livre
/27	30	29	Um residente com 12 dispositivos, 17 livres
/26	62	61	Três residentes com 12 dispositivos, 25 livres
/23	510	509	Um andar de 25 residentes com 12 dispositivos, 209 livres

Execute o DHCP no gateway ou em um servidor central com DHCP relay em cada interface VLAN. Um design por unidade precisa de um escopo e um relay por VLAN, portanto, um edifício de 250 apartamentos tem 250 escopos. O benefício é que um endereço IP identifica o apartamento, o que agiliza a solução de problemas. Em VLANs compartilhadas, o endereço não é mais mapeado para uma unidade. Você localiza o residente por meio do RADIUS accounting, que registra a chave, o endereço MAC e a sessão.

Fator	VLAN por apartamento	Política aplicada pela chave
Onde o isolamento é aplicado	Gateway e firewall de Camada 3	Ponto de acesso ou controlador
VLANs de residentes utilizadas	Uma por unidade	Uma por andar ou bloco
Portas cabeadas nas unidades	Mesmo segmento que o WiFi, via VLAN de porta ou autenticação MAC	Precisa de um design cabeado separado
Descoberta de AirPlay e Chromecast	Funciona dentro da VLAN, sem gateway	Precisa de um gateway mDNS com escopo por chave
Tamanho do domínio de broadcast	Uma residência, até cerca de 36 dispositivos	Até algumas centenas de dispositivos
Escopos DHCP	Um por unidade	Um por VLAN compartilhada
Dependência de hardware	Atribuição dinâmica de VLAN (RFC 3580)	PPSK por chave mais isolamento por chave
Melhor adequação	BTR e MDU com portas cabeadas e contratos de longa permanência	PBSA, aparthoteis, campi com múltiplos blocos

Quando uma VLAN por apartamento é a escolha certa

Escolha uma VLAN por apartamento quando a maioria destes pontos for verdadeira:

• As unidades possuem portas cabeadas. Uma VLAN carrega a TV cabeada do residente, o hub inteligente e os dispositivos WiFi, permitindo que a transmissão de conteúdo funcione entre ambos.
• Os contratos duram meses ou anos. O mapeamento de VLAN para unidade raramente muda.
• A contagem de segmentos permanece bem abaixo dos limites da sua plataforma. Conte instâncias de spanning tree, VLANs do controlador e interfaces do gateway.
• Sua equipe de segurança deseja isolamento na camada 3, com logs de firewall por segmento.
• ** O suporte precisa que o endereço IP identifique a unidade** sem uma consulta RADIUS.

Cenário prático: um empreendimento BTR de 250 portas

Situação. Um bloco build-to-rent de 250 apartamentos, variando de estúdios a dois quartos, com no máximo três residentes por unidade. Todos os apartamentos possuem portas cabeadas para uma TV e um hub de casa inteligente. O andar de comodidades conta com academia, lounge de co-working e terraço. Funcionários, CFTV, gestão predial e visitantes do lounge precisam, cada um, de sua própria rede.

O que foi feito.

• Uma VLAN por apartamento: 250 VLANs de residentes.
• Seis VLANs de infraestrutura: gerenciamento, funcionários, CFTV, gestão predial, IoT e uma rede de Guest WiFi de visitantes para os espaços de comodidades. Isso totaliza 256 IDs de VLAN.
• Um /26 uniforme por apartamento. Três residentes com 12 dispositivos equivalem a 36 dispositivos, o que deixa 25 leases livres. Um modelo cobre todas as unidades.
• Um /18 para todos os escopos de residentes. Os 250 escopos /26 cabem dentro de um único /18 de espaço privado RFC 1918, com seis blocos /26 restantes.
• Rede cabeada e sem fio em um único segmento. O RADIUS mapeia a chave de cada residente para a VLAN do seu apartamento, e as portas cabeadas do apartamento ficam na mesma VLAN.
• Multiple Spanning Tree mapeia as 256 VLANs em um pequeno número de instâncias.

Resultado (números do projeto).

• 256 de 4.094 IDs de VLAN utilizados, cerca de 6%.
• 256 escopos DHCP e 256 interfaces de camada 3, gerenciados a partir de um único modelo de regra de firewall.
• Cada endereço de residente identifica seu apartamento.
• Uma segunda fase de 250 portas levaria o total para 506 VLANs, ainda cerca de 12% do espaço de IDs.

Quando a segmentação baseada em políticas é a escolha certa

Escolha a política vinculada à chave quando a maioria destes pontos for verdadeira:

• A rotatividade é alta. Entradas anuais ou estadias diárias tornam a manutenção de VLAN para unidade uma tarefa recorrente.
• Os residentes circulam por todo o edifício, incluindo salas de estudo, cafés e academias.
• A privacidade por leito levaria as contagens de VLAN a centenas ou milhares.
• Os quartos não possuem portas cabeadas, ou as portas atendem apenas aos sistemas do edifício.
• Seus pontos de acesso suportam PSK por chave, isolamento por chave e mDNS com escopo.

Cenário prático: uma residência universitária de 800 leitos

Situação. Uma universidade opera uma residência estudantil de 800 leitos distribuída em quatro blocos de oito andares, com 25 leitos por andar. Os estudantes moram em apartamentos compartilhados de cinco a oito quartos ao redor de uma cozinha comum. Os colegas de apartamento esperam privacidade entre si, portanto a segmentação é por leito. A maioria dos leitos tem rotatividade no início de cada ano acadêmico.

Opção A: uma VLAN por leito.

• 800 VLANs de residentes.
• Um /27 por leito suporta 12 dispositivos com 17 sobressalentes, o que totaliza 25.600 endereços e exige um /17.
• 800 escopos DHCP e 800 interfaces de gateway.
• Cada VLAN em trunk para todos os pontos de acesso que um estudante possa usar, o que significa todo o local.

Opção B: política vinculada à chave.

• Cada estudante recebe uma chave única no check-in.
• Uma VLAN compartilhada por andar resulta em 32 VLANs de residentes.
• Cada /23 oferece 509 concessões (leases) para 300 dispositivos (25 estudantes com 12 dispositivos), deixando 209 sobressalentes.
• Os 32 escopos /23 se encaixam em um /18.
• O isolamento por chave roda nos pontos de acesso, com um gateway mDNS delimitado por chave. Proxy ARP e multicast-para-unicast rodam no SSID.

O que foi feito. Opção B. A chave mapeia cada estudante para a VLAN do seu andar de origem. O estudante que vai ao café mantém o mesmo endereço e a mesma política. Todas as 32 VLANs estão em trunk para todos os pontos de acesso, uma carga muito mais leve do que 800.

Resultado (números do projeto).

• 32 VLANs de residentes em vez de 800, uma redução de 96%.
• 32 escopos DHCP em vez de 800.
• Metade do espaço de endereçamento: um /18 em vez de um /17.
• Domínios de broadcast de cerca de 300 dispositivos cada, dentro de nossa regra de trabalho.
• A rotatividade anual significa apenas revogar e reemitir chaves, sem alterações de VLAN, escopo ou trunk.

Cenário prático: um aparthotel de 120 unidades

Situação. Um aparthotel de 120 apartamentos distribuídos em seis andares, 20 apartamentos por andar. As estadias variam de uma a 14 noites. Os hóspedes trazem dispositivos de streaming e esperam fazer transmissões (cast) a partir de seus telefones. A recepção libera o acesso WiFi no check-in.

O que foi feito.

• Cada estadia recebe sua própria chave no check-in, mapeada para um grupo de políticas por apartamento.
• Estadias curtas possuem menos dispositivos, então o plano utiliza oito dispositivos por hóspede e dois hóspedes por apartamento. Isso representa 320 dispositivos por andar.
• Cada andar recebe uma VLAN /23, o que deixa 189 concessões (leases) sobressalentes.
• O projeto revoga cada chave no checkout.

Resultado (números do projeto).

• Seis VLANs de residentes em vez de 120, uma redução de 95%.
• Seis escopos DHCP.
• Nenhuma alteração de VLAN entre as estadias.
• A transmissão (casting) funciona dentro de cada estadia por meio do escopo mDNS por chave.

Para uma visão mais ampla sobre redes de hóspedes, consulte nossa página de Hotéis.

Quanto custa executar cada projeto

Nenhum dos projetos altera a quantidade de pontos de acesso. Isso é determinado pela densidade de dispositivos e pela cobertura. O custo operacional é o número de objetos que você configura, altera e soluciona problemas.

Item para manter	BTR de 250 portas, VLAN por apartamento	PBSA de 800 leitos, VLAN por leito	PBSA de 800 leitos, política por chave
VLANs de residentes	250	800	32
Escopos DHCP	250	800	32
Interfaces de gateway Camada 3	250	800	32
Espaço de endereço privado	/18	/17	/18
VLANs em trunking para cada AP (com 6 de infraestrutura)	256	806	38
Isolamento aplicado em	Firewall do gateway	Firewall do gateway	Ponto de acesso ou controlador
Alteração na rotatividade de residentes	Reemitir chave	Reemitir chave	Reemitir chave

Com uma VLAN por unidade, o custo está na gestão de mudanças. Cada novo bloco adiciona VLANs, escopos, interfaces de gateway, entradas de firewall e alterações de trunking em cada switch no caminho. Automatize e padronize esse trabalho com modelos, ou ele se desorganizará.

Com a política vinculada à chave, o custo se desloca para outro lugar. Você passa a depender de recursos por chave no firmware do seu ponto de acesso e na sua licença. A solução de problemas também muda de endereços IP para logs de contabilização RADIUS, portanto, treine sua equipe de suporte para interpretá-los.

O Purple Multi-Tenant WiFi funciona como uma sobreposição em nuvem no hardware que você já possui. Nosso RADIUS em nuvem emite uma chave para cada residente e retorna sua VLAN ou política. Entradas, mudanças e saídas são gerenciadas a partir de um painel único. O Purple é independente de hardware, sendo compatível com:

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme
• Fortinet

O Purple opera em mais de 80.000 locais ativos e processou 440 milhões de logins em 2024, de acordo com dados do próprio Purple. O Purple possui certificação ISO 27001 e conformidade com o GDPR. Para entender por que a segmentação raramente exige novos pontos de acesso, leia Por que sua próxima atualização de WiFi não precisa de novos hardwares.

Como decidir para a sua propriedade

Sua situação	Recomendação	Por quê
Até cerca de 500 unidades, portas cabeadas, locações de 12 meses ou mais	VLAN por apartamento	As conexões cabeadas e WiFi compartilham o mesmo segmento; o uso de IDs permanece próximo a 12%
PBSA com privacidade por leito e rotatividade anual	Política por chave, uma VLAN compartilhada por andar	96% a menos de VLANs em 800 leitos; sem replanejamento a cada nova turma
Aparthotel ou apartamentos com serviços e estadias de dias	Política por chave	As chaves acompanham a estadia; o mapa de VLANs nunca muda
Campus de múltiplos blocos em um único core Layer 2, com mais de 3.000 segmentos	Fronteira roteada por edifício, ou VXLAN, e depois qualquer um dos modelos	Limitado a 4.094 IDs por domínio Layer 2
Apartamentos com portas cabeadas e flats integrados no mesmo local	Híbrido: VLAN por apartamento onde houver portas, política por chave nos demais locais	Aplica cada modelo onde suas vantagens são maximizadas
Pontos de acesso sem isolamento por chave	VLAN por apartamento ou planeje uma atualização de AP ou firmware	O isolamento precisa ser aplicado em algum ponto

Siga estas cinco etapas antes de se comprometer com um projeto.

1. Conte seus segmentos. Conte as unidades ou leitos e adicione as VLANs de infraestrutura e qualquer multiplicador para redes cabeadas ou IoT. Compare o total com os limites de Spanning Tree, do controlador e do gateway, e não com 4.094.
2. Dimensione os escopos com base na ocupação máxima. Multiplique os residentes por 12 dispositivos e mantenha pelo menos um terço de cada escopo livre.
3. Confirme os recursos por chave com seu fornecedor. Verifique no seu firmware o suporte a PSK por chave, atribuição de VLAN por chave, isolamento por chave, mDNS delimitado e WPA3-Personal.
4. Levantamento para densidade. De oito a 12 dispositivos por morador alteram a contagem de pontos de acesso. Nosso guia de Levantamentos de Local de WiFi cobre o planejamento.
5. Teste o roaming entre o apartamento e as áreas de lazer. Se os moradores se deslocam entre andares, ajuste o 802.11r e o 802.11k. Veja 802.11r e 802.11k no Android para configurações específicas de cada fabricante.

Perguntas frequentes

O Purple Multi-Tenant WiFi funciona com os pontos de acesso já existentes no meu edifício?

Sim. O Purple é agnóstico em relação ao hardware e roda como uma sobreposição em nuvem sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Você mantém seus pontos de acesso e switches. O Purple fornece o RADIUS em nuvem e a camada de identidade que emite uma chave para cada morador e retorna sua VLAN ou política. Se optar pela segmentação baseada em políticas, confirme se o seu firmware suporta PSK por chave e isolamento por chave.

Podemos mudar de uma senha compartilhada do edifício para chaves por unidade sem substituir o hardware?

Sim, desde que seus pontos de acesso suportem PSK por chave ou atribuição dinâmica de VLAN. O Purple é integrado sobre a infraestrutura existente, portanto, não é necessário fazer uma substituição completa. Execute o novo SSID de morador junto com o antigo e, em seguida, migre os moradores unidade por unidade. Desative a senha compartilhada assim que o último morador for migrado. Planeje seu mapa de VLAN ou políticas e os escopos DHCP antes que o primeiro morador faça a transição.

Quantas VLANs um edifício MDU pode suportar?

Até 4.094 por domínio de camada 2, o limite definido pelo ID de VLAN de 12 bits no IEEE 802.1Q. Na prática, os limites de instância do spanning tree, limites de VLAN do controlador e contagens de interface de gateway costumam ser os primeiros gargalos. Um empreendimento BTR de 250 unidades com seis VLANs de infraestrutura usa 256 IDs. Campuses que precisam de mais devem colocar uma fronteira roteada em cada edifício ou migrar para VXLAN.

A segmentação baseada em chaves é tão segura quanto uma VLAN por apartamento?

Sim, desde que sua plataforma aplique o isolamento entre chaves no ponto de acesso ou controlador. A diferença é o ponto de aplicação. Uma VLAN por unidade bloqueia o tráfego entre unidades no gateway de camada 3. A política baseada em chaves o bloqueia antes que o tráfego saia do ponto de acesso. Teste isso a partir do dispositivo de um morador. Confirme se você não consegue alcançar os dispositivos de outro morador nem descobrir seus alvos de transmissão.

Smart TVs, consoles e dispositivos IoT funcionarão em uma rede de moradores segmentada?

Sim. Ambos os projetos usam uma chave pré-compartilhada, que funciona em dispositivos sem suporte a 802.1X, como smart TVs, consoles de jogos e caixas de som inteligentes. Os dispositivos de cada morador compartilham sua própria VLAN ou grupo de chaves, permitindo que a transmissão e a impressão funcionem dentro de casa. Em VLANs compartilhadas, adicione um gateway mDNS com escopo por chave para que a descoberta de dispositivos permaneça privada para cada morador.

Como o Purple lida com os dados dos moradores sob o GDPR?

O Purple possui certificação ISO 27001 e conformidade com o GDPR. Cada chave se conecta a um registro de residente na camada de RADIUS na nuvem. A contabilização RADIUS registra qual chave e dispositivo mantiveram cada sessão, o que auxilia na identificação de falhas e nas solicitações de acesso. Quando um residente se muda, você revoga sua chave, e o processo de entrada, movimentação e saída encerra o acesso à rede a partir de um painel único.

O que acontece com os dispositivos de um residente quando ele se muda?

Eles perdem o acesso quando você revoga a chave ou credencial. Onde seus pontos de acesso suportam, a autorização dinâmica RADIUS (RFC 5176) desconecta as sessões ativas imediatamente. Com uma VLAN por apartamento, o escopo de VLAN e DHCP permanece ativo para o próximo residente. Com políticas baseadas em chave, não há nada a ser planejado novamente: você apenas emite uma nova chave para o novo residente.