Arquitetura de VLAN e PSK por unidade: um guia de design para redes MDU

Atribua a cada apartamento a sua própria VLAN quando as unidades têm portas com fios e o edifício tem algumas centenas de portas. Um projeto BTR de 250 portas utiliza cerca de 256 dos 4 094 IDs de VLAN IEEE 802.1Q. Para locais com elevada rotatividade, como um PBSA de 800 camas, coloque a segmentação na chave única de cada residente, com políticas por chave numa mão cheia de VLANs partilhadas.

Todos os apartamentos devem ter a sua própria VLAN?

Nem sempre. Todos os residentes num empreendimento build-to-rent (BTR), unidade habitacional multifamiliar (MDU) ou alojamento estudantil à medida (PBSA) precisam de uma rede privada. O seu portátil, Smart TV e impressora devem ver-se entre si, e os dispositivos de mais ninguém os devem ver. Essa é a experiência de estar em casa com segurança empresarial, e pode fornecê-la de duas formas.

VLAN por apartamento. Cada unidade obtém a sua própria LAN virtual (VLAN). Uma VLAN é um domínio de difusão de camada 2 separado, com a sua própria sub-rede e âmbito DHCP. Um servidor RADIUS diz ao ponto de acesso a que VLAN se junta cada dispositivo. O RADIUS é o protocolo de autenticação que verifica cada dispositivo e devolve a sua política de rede. O tráfego entre unidades tem de cruzar um gateway de camada 3, e a sua firewall bloqueia-o aí.

Política transportada pela chave. Cada residente recebe uma chave pré-partilhada (PSK) única num SSID partilhado. Os fabricantes chamam a isto PSK de identidade (iPSK), PSK privada (PPSK), multi-PSK ou PSK dinâmica. A chave identifica o residente e a rede aplica a política associada a ela. Os dispositivos na mesma chave podem comunicar entre si. Os dispositivos em chaves diferentes não podem, mesmo numa VLAN partilhada. A Purple chama a isto uma Rede de Área Privada (PAN): uma bolha de rede privada que viaja com a chave.

Ambos os designs isolam os residentes adequadamente. Diferem no local onde o isolamento é aplicado e na quantidade de configuração que mantém. A escolha depende de quatro fatores:

• portas com fios nas unidades
• rotatividade dos residentes
• contagem total de segmentos
• o que os seus pontos de acesso e switches suportam

As secções abaixo analisam cada fator com contagens de unidades para um projeto BTR de 250 portas e um local PBSA de 800 camas.

Onde as VLANs por unidade e a política baseada em chaves realmente diferem

O limite de 4 094 VLANs e quando realmente o atinge

O IEEE 802.1Q transporta o ID da VLAN num campo de 12 bits. Isso fornece 4 096 valores. Os IDs 0 e 4 095 estão reservados, o que deixa 4 094 IDs utilizáveis. O limite aplica-se por domínio de camada 2, não por organização, pelo que dois edifícios atrás de uma fronteira encaminhada podem reutilizar os mesmos IDs.

Um único edifício raramente atinge 4 094 apenas com VLANs de residentes. Atinge o limite em três situações:

• Um campus multibloco executa um domínio de camada 2 simples. Cinco residências de 800 camas num único núcleo precisam de 4 000 VLANs de residentes antes de adicionar funcionários, CCTV ou gestão do edifício.
• Segmenta por cama e por porta. Se cada cama também obtiver uma VLAN com fios separada, a sua contagem duplica.
• Adiciona uma VLAN de IoT por unidade para fechaduras inteligentes ou termóstatos, o que duplica novamente a contagem.

O limite prático surge normalmente mais cedo. As variantes de spanning tree por VLAN executam uma instância de spanning tree por VLAN, e as plataformas de switches limitam as instâncias muito abaixo de 4.094. Os controladores sem fios e gateways também publicam os seus próprios limites em VLANs e interfaces de camada 3. Verifique esses três valores nas fichas técnicas antes de se comprometer. O máximo de 802.1Q é o número errado para utilizar no planeamento.

Se ultrapassar o limite, tem duas saídas limpas. Defina uma fronteira encaminhada em cada edifício e reutilize os IDs de VLAN dentro de cada um. Ou mude para VXLAN, definido na RFC 7348, cujo identificador de segmento de 24 bits permite cerca de 16 milhões de segmentos. O Multiple Spanning Tree, originalmente IEEE 802.1s e agora parte do 802.1Q, mapeia muitas VLANs em poucas instâncias. Isso elimina a limitação do spanning tree.

Como o RADIUS atribui um residente a uma VLAN

A RFC 3580 define a atribuição dinâmica de VLAN. Quando o RADIUS aceita um dispositivo, a mensagem Access-Accept carrega três atributos:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = o ID da VLAN para esse apartamento

O ponto de acesso ou switch coloca então o dispositivo nessa VLAN. O mapeamento reside no registo do residente, pelo que o seu telemóvel entra na mesma VLAN no apartamento, no ginásio ou no terraço.

A forma como o servidor identifica o proprietário do dispositivo depende do método de autenticação:

• IEEE 802.1X (WPA2-Enterprise ou WPA3-Enterprise). O residente inicia sessão com uma credencial ou certificado, e o RADIUS consulta-o diretamente.
• PSK por chave. O controlador ou servidor RADIUS faz a correspondência entre a chave apresentada pelo dispositivo e o registo do residente, retornando depois a VLAN ou o nome da política.

Os fornecedores implementam essa consulta de chave de forma diferente. Siga a documentação da sua plataforma para os passos de configuração.

A PSK ganha em edifícios residenciais por uma razão prática. As Smart TVs, consolas de jogos, colunas inteligentes e impressoras raramente suportam 802.1X, mas uma chave funciona em todas elas.

Verifique se a sua plataforma suporta PSK por chave com WPA3-Personal. Muitas implementações de PSK por chave foram lançadas no WPA2-Personal. O SAE (Simultaneous Authentication of Equals, o handshake do WPA3-Personal) altera a forma como uma chave pode ser correspondida, e o suporte varia consoante o fornecedor e o firmware.

Quando um residente muda de apartamento ou sai do edifício, a autorização dinâmica RADIUS ajuda. Está definida na RFC 5176 e permite que o servidor desligue uma sessão ou aplique uma nova política de imediato.

Higiene do domínio de difusão (broadcast domain)

Cada VLAN é um domínio de difusão. Pedidos ARP, descoberta DHCP e protocolos de descoberta multicast alcançam todos os dispositivos nela contidos. Esses protocolos incluem mDNS, que o AirPlay e o Chromecast utilizam, e o SSDP. No WiFi, as tramas de broadcast e multicast são enviadas a uma taxa de dados básica. Elas consomem tempo de antena (airtime) em todos os pontos de acesso que suportam a VLAN.

Uma VLAN por unidade mantém cada domínio restrito a uma habitação, aproximadamente entre oito a 36 dispositivos. A descoberta funciona dentro do apartamento sem um gateway mDNS, e nada é exposto ao vizinho ao lado.

Uma VLAN partilhada pode conter centenas de dispositivos de muitos residentes, pelo que necessita de uma higiene ativa:

• Proxy ARP ou supressão ARP no ponto de acesso, para que o AP responda aos pedidos ARP em vez de os inundar na rede.
• Conversão de multicast para unicast ou filtragem de broadcast no SSID do residente.
• Gateway mDNS delimitado por chave, para que os destinos de transmissão de um residente apareçam apenas nos seus próprios dispositivos.
• Um limite de tamanho. A nossa regra prática é de algumas centenas de clientes por VLAN partilhada. Divida por piso ou bloco se ultrapassar esse valor.

Algumas plataformas aplicam o agrupamento ao nível da chave nativamente. A Wireless Personal Network da Cisco Meraki, por exemplo, agrupa dispositivos por iPSK e isola os grupos entre si numa VLAN partilhada. Numa infraestrutura Meraki, teste o roaming rápido em conjunto. O nosso guia sobre Cisco Meraki 802.11r adaptive vs enabled aborda esse comportamento.

Conceção do escopo DHCP por segmento

Planeamos entre oito a 12 dispositivos por residente. Esse é o número de planeamento da Purple e inclui:

• telemóveis, portáteis, tablets e relógios
• TVs, consolas e colunas de som
• dispositivos de domótica

Dimensione cada escopo com base na ocupação máxima da unidade, não na média.

Em seguida, adicione margem para endereços MAC privados. A Apple e a Google personalizam aleatoriamente o endereço MAC de um dispositivo por rede por predefinição. Um novo endereço aleatório consome uma nova concessão (lease). Reduza o tempo das concessões para que os endereços abandonados regressem ao grupo (pool) no prazo de um dia e mantenha pelo menos um terço de cada escopo livre.

Prefixo	Endereços utilizáveis	Concessões após gateway	Adequação
/28	14	13	Não recomendado: um residente com 12 dispositivos deixa apenas um livre
/27	30	29	Um residente com 12 dispositivos, 17 livres
/26	62	61	Três residentes com 12 dispositivos, 25 livres
/23	510	509	Um piso de 25 residentes com 12 dispositivos, 209 livres

Execute o DHCP no gateway, ou num servidor central com DHCP relay em cada interface VLAN. Um design por unidade precisa de um escopo e de um relay por VLAN, pelo que um edifício com 250 frações tem 250 escopos. A vantagem é que um endereço IP identifica o apartamento, o que acelera a resolução de avarias. Em VLANs partilhadas, o endereço já não se mapeia para uma unidade. Localiza o residente através do registo RADIUS (accounting), que regista a chave, o endereço MAC e a sessão.

Fator	VLAN por apartamento	Política transportada pela chave
Onde o isolamento é aplicado	Gateway Layer 3 e firewall	Ponto de acesso ou controlador
VLANs de residentes utilizadas	Uma por unidade	Uma por piso ou bloco
Portas cabeadas nas unidades	Mesmo segmento que o WiFi, via port VLAN ou autenticação MAC	Requer um design de rede cabada separado
Descoberta AirPlay e Chromecast	Funciona dentro da VLAN, sem gateway	Requer um gateway mDNS delimitado por chave
Tamanho do domínio de broadcast	Um agregado familiar, até cerca de 36 dispositivos	Até algumas centenas de dispositivos
Escopos DHCP	Um por unidade	Um por VLAN partilhada
Dependência de hardware	Atribuição dinâmica de VLAN (RFC 3580)	PSK por chave e isolamento por chave
Melhor adequação	BTR e MDU com portas cabeadas e contratos de longa duração	PBSA, aparthotéis, campus com vários blocos

Quando uma VLAN por apartamento é a opção certa

Escolha uma VLAN por apartamento quando a maioria das seguintes condições se verificar:

• As unidades possuem portas cabeadas. Uma VLAN transporta a TV cabeada, o hub inteligente e os dispositivos WiFi do residente, para que a transmissão de conteúdos funcione em ambos.
• Os contratos duram meses ou anos. O mapeamento de VLAN para unidade raramente muda.
• A contagem de segmentos fica muito abaixo dos limites da sua plataforma. Conte com as instâncias de spanning tree, VLANs de controlador e interfaces de gateway.
• A sua equipa de segurança pretende isolamento na camada 3, com registos de firewall por segmento.
• O suporte precisa do endereço IP para identificar a unidade sem uma consulta RADIUS.

Cenário prático: um empreendimento BTR de 250 frações

Situação. Um bloco build-to-rent de 250 apartamentos, desde estúdios a T2, com um máximo de três residentes por unidade. Todos os apartamentos possuem portas cabeadas para uma TV e um hub de domótica. O piso de comodidades tem um ginásio, um espaço de co-working e um terraço no topo. A equipa de colaboradores, o CCTV, a gestão do edifício e os visitantes do lounge precisam, cada um, da sua própria rede.

O que foi feito.

• Uma VLAN por apartamento: 250 VLANs de residentes.
• Seis VLANs de infraestrutura: gestão, colaboradores, CCTV, gestão do edifício, IoT e uma rede de Guest WiFi para visitantes nos espaços de comodidades. Isto perfaz um total de 256 IDs de VLAN.
• Uma /26 uniforme por apartamento. Três residentes com 12 dispositivos totalizam 36 dispositivos, o que deixa 25 concessões livres. Um modelo cobre todas as unidades.
• Um /18 para todos os âmbitos de residentes. Os 250 âmbitos /26 cabem num único /18 de espaço privado RFC 1918, com seis blocos /26 de sobra.
• Rede cabeada e sem fios num único segmento. O RADIUS mapeia a chave de cada residente para a VLAN do seu apartamento, e as portas cabeadas do apartamento ficam na mesma VLAN.
• Multiple Spanning Tree mapeia as 256 VLANs num número reduzido de instâncias.

Resultado (números do projeto).

• 256 de 4 094 IDs de VLAN utilizados, cerca de 6%.
• 256 âmbitos DHCP e 256 interfaces de camada 3, geridos a partir de um único modelo de regras de firewall.
• Cada endereço de residente identifica o seu apartamento.
• Uma segunda fase de 250 frações elevaria o total para 506 VLANs, ainda assim cerca de 12% do espaço de IDs.

Quando a segmentação baseada em políticas é a opção certa

Escolha a política associada à chave quando a maioria das seguintes condições se verificar:

• A rotatividade é elevada. Admissões anuais ou estadias diárias tornam a manutenção de VLAN por unidade uma tarefa recorrente.
• Os residentes circulam por todo o edifício, incluindo salas de estudo, cafés e ginásios.
• A privacidade por cama exigiria contagens de VLAN na ordem das centenas ou milhares.
• Os quartos não têm portas cabeadas, ou as portas servem apenas os sistemas do edifício.
• Os seus pontos de acesso suportam PSK por chave, isolamento por chave e mDNS limitado.

Cenário prático: uma residência universitária de 800 camas

Situação. Uma universidade gere uma residência universitária com 800 camas distribuídas por quatro blocos de oito andares, com 25 camas por andar. Os estudantes vivem em apartamentos partilhados de cinco a oito quartos em redor de uma cozinha comum. Os colegas de apartamento esperam privacidade entre si, pelo que a segmentação é feita por cama. A maioria das camas muda de ocupante no início de cada ano letivo.

Opção A: uma VLAN por cama.

• 800 VLANs de residentes.
• Um /27 por cama suporta 12 dispositivos com 17 livres, o que perfaz um total de 25 600 endereços e requer um /17.
• 800 âmbitos DHCP e 800 interfaces de gateway.
• Cada VLAN em trunking para todos os pontos de acesso que um estudante possa utilizar, o que significa todo o local.

Opção B: política associada à chave.

• Cada estudante recebe uma chave única no check-in.
• Uma VLAN partilhada por andar resulta em 32 VLANs de residentes.
• Cada /23 oferece 509 concessões para 300 dispositivos (25 estudantes a 12 dispositivos), deixando 209 livres.
• Os 32 âmbitos /23 caibam num /18.
• O isolamento por chave é executado nos pontos de acesso, com um gateway mDNS delimitado por chave. O Proxy ARP e o multicast-para-unicast são executados no SSID.

O que foi feito. Opção B. A chave mapeia cada estudante para a VLAN do seu andar de origem. Um estudante que se desloque ao café mantém o mesmo endereço e política. Todas as 32 VLANs estão em trunking para todos os pontos de acesso, uma carga muito mais leve do que 800.

Resultado (valores do projeto).

• 32 VLANs de residentes em vez de 800, uma redução de 96%.
• 32 âmbitos DHCP em vez de 800.
• Metade do espaço de endereçamento: um /18 em vez de um /17.
• Domínios de difusão (broadcast) com cerca de 300 dispositivos cada, dentro da nossa regra de funcionamento.
• A rotação anual significa apenas revogar e reemitir chaves, sem alterações de VLAN, âmbitos ou trunks.

Cenário prático: um aparthotel de 120 unidades

Situação. Um aparthotel de 120 apartamentos distribuídos por seis andares, com 20 apartamentos por andar. As estadias variam entre uma e 14 noites. Os hóspedes trazem dispositivos de streaming e esperam fazer transmissão (casting) a partir dos seus telemóveis. A receção emite o acesso WiFi no check-in.

O que foi feito.

• Cada estadia recebe a sua própria chave no check-in, mapeada para um grupo de políticas por apartamento.
• As estadias curtas implicam menos dispositivos, pelo que o plano prevê oito dispositivos por hóspede e dois hóspedes por apartamento. Isto representa 320 dispositivos por andar.
• Cada andar obtém uma VLAN /23, o que deixa 189 concessões livres.
• O projeto revoga cada chave no checkout.

Resultado (valores do projeto).

• Seis VLANs de residentes em vez de 120, uma redução de 95%.
• Seis âmbitos DHCP.
• Sem alterações de VLAN entre estadias.
• A transmissão (casting) funciona dentro de cada estadia através do âmbito mDNS por chave.

Para uma visão mais ampla sobre redes para hóspedes, consulte a nossa página de Hotéis.

Quanto custa manter cada projeto

Nenhum dos projetos altera o número de pontos de acesso. Esse valor é determinado pela densidade de dispositivos e pela cobertura. O custo de manutenção reside no número de objetos que configura, altera e de que resolve problemas.

Item a manter	BTR de 250 frações, VLAN por apartamento	PBSA de 800 camas, VLAN por cama	PBSA de 800 camas, política por chave
VLANs de residentes	250	800	32
Âmbitos DHCP	250	800	32
Interfaces de gateway Layer 3	250	800	32
Espaço de endereçamento privado	/18	/17	/18
VLANs em trunking para todos os APs (com 6 de infraestrutura)	256	806	38
Isolamento imposto no	Firewall do gateway	Firewall do gateway	Ponto de acesso ou controlador
Alteração na rotação de residentes	Reemitir chave	Reemitir chave	Reemitir chave

Com uma VLAN por unidade, o custo está na gestão de alterações. Cada novo bloco adiciona VLANs, âmbitos, interfaces de gateway, entradas de firewall e alterações de trunk em cada switch no caminho. Automatize e crie modelos para esse trabalho, ou este irá desviar-se do padrão.

Com a política associada à chave, o custo muda de local. Passa a depender de funcionalidades por chave no firmware e na licença do seu ponto de acesso. A resolução de problemas também muda dos endereços IP para os registos de accounting RADIUS, pelo que deve dar formação à sua equipa de suporte para os saber ler.

O Purple Multi-Tenant WiFi funciona como um overlay na cloud no hardware que já possui. O nosso RADIUS na cloud emite uma chave a cada residente e devolve a respetiva VLAN ou política. Entradas, mudanças e saídas são geridas a partir de um único painel de controlo. O Purple é independente de hardware em:

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme Networks
• Fortinet

O Purple é executado em mais de 80 000 locais ativos e geriu 440 milhões de sessões em 2024, de acordo com os dados do próprio Purple. O Purple possui certificação ISO 27001 e conformidade com o GDPR. Para perceber por que razão a segmentação raramente exige novos pontos de acesso, leia Why your next WiFi upgrade doesn't need new hardware.

Como decidir relativamente ao seu património

A sua situação	Recomendação	Porquê
Até cerca de 500 unidades, portas cabeadas, arrendamentos de 12 meses ou mais	VLAN por apartamento	O tráfego por cabo e WiFi partilham um segmento; a utilização de IDs mantém-se perto dos 12%
PBSA com privacidade por cama e rotação anual	Política por chave, uma VLAN partilhada por piso	Menos 96% de VLANs para 800 camas; sem replaneamento a cada nova admissão
Aparthotel ou apartamentos com serviços para estadias de dias	Política por chave	As chaves acompanham a estadia; o mapa de VLANs nunca muda
Campus de vários blocos num core Layer 2, com mais de 3 000 segmentos	Limite encaminhado por edifício, ou VXLAN, e depois qualquer um dos modelos	4 094 IDs por domínio Layer 2
Apartamentos com portas cabeadas e flats em cluster num único local	Híbrido: VLAN por apartamento onde existam portas, política por chave nos restantes pontos	Cada modelo aplicado onde as suas vantagens se destacam
Pontos de acesso sem isolamento por chave	VLAN por apartamento, ou planeie uma atualização de firmware ou de AP	O isolamento tem de ser imposto em algum ponto
Percorra cinco passos antes de se comprometer com um design.

1. Conte os seus segmentos. Conte as unidades ou camas e, em seguida, adicione as VLANs de infraestrutura e qualquer multiplicador de tráfego por cabo ou IoT. Compare o total com os limites de Spanning Tree, do controlador e da gateway, e não com 4 094.
2. Dimensione os âmbitos a partir da ocupação máxima. Multiplique os residentes por 12 dispositivos e, em seguida, mantenha livre pelo menos um terço de cada âmbito.
3. Confirme as funcionalidades por chave com o seu fornecedor. Verifique o suporte para PSK por chave, atribuição de VLAN por chave, isolamento por chave, mDNS delimitado e WPA3-Personal no seu firmware.
4. Avalie a densidade. Oito a 12 dispositivos por residente alteram a contagem de pontos de acesso. O nosso guia de WiFi Site Surveys cobre o planeamento.
5. Teste o roaming entre o apartamento e as áreas comuns. Se os residentes se deslocarem entre pisos, ajuste o 802.11r e o 802.11k. Consulte 802.11r e 802.11k no Android para definições específicas do fabricante.

Perguntas frequentes

O Purple Multi-Tenant WiFi funciona com os pontos de acesso já existentes no meu edifício?

Sim. O Purple é agnóstico relativamente ao hardware e funciona como uma sobreposição na nuvem sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Mantém os seus pontos de acesso e switches. O Purple fornece a camada de RADIUS na nuvem e de identidade que emite uma chave a cada residente e devolve a sua VLAN ou política. Se optar pela segmentação baseada em políticas, confirme se o seu firmware suporta PSK por chave e isolamento por chave.

Podemos mudar de uma palavra-passe partilhada do edifício para chaves por fração sem substituir o hardware?

Sim, desde que os seus pontos de acesso suportem PSK por chave ou atribuição dinâmica de VLAN. O Purple sobrepõe-se à infraestrutura existente, pelo que não é necessária qualquer substituição integral. Execute o novo SSID de residente em paralelo com o antigo e, em seguida, migre os residentes fração a fração. Desative a palavra-passe partilhada assim que o último residente tiver migrado. Planeie o seu mapa de VLAN ou de políticas e os escopos DHCP antes de o primeiro residente mudar.

Quantas VLANs pode um edifício MDU suportar?

Até 4 094 por domínio de camada 2, o limite definido pelo ID de VLAN de 12 bits no IEEE 802.1Q. Na prática, os limites de instância do spanning tree, os limites de VLAN do controlador e as contagens de interfaces de gateway costumam ser os primeiros obstáculos. Um projeto BTR de 250 frações com seis VLANs de infraestrutura utiliza 256 IDs. Os campus que precisem de mais devem colocar um limite roteado em cada edifício ou mudar para VXLAN.

A segmentação baseada em chaves é tão segura quanto uma VLAN por apartamento?

Sim, desde que a sua plataforma aplique o isolamento entre chaves no ponto de acesso ou controlador. A diferença reside no ponto de aplicação. Uma VLAN por fração bloqueia o tráfego entre frações no gateway de camada 3. A política baseada em chaves bloqueia-o antes de o tráfego sair do ponto de acesso. Teste isto a partir de um dispositivo de residente. Confirme que não consegue aceder aos dispositivos de outro residente nem detetar os seus destinos de transmissão.

As smart TVs, consolas e dispositivos IoT funcionarão numa rede de residentes segmentada?

Sim. Ambos os designs utilizam uma chave pré-partilhada, que funciona em dispositivos sem suporte 802.1X, como smart TVs, consolas de jogos e colunas inteligentes. Os dispositivos de cada residente partilham a sua própria VLAN ou grupo de chaves, pelo que a transmissão e a impressão funcionam dentro do lar. Em VLANs partilhadas, adicione um gateway mDNS delimitado por chave para que a deteção de dispositivos permaneça privada para cada residente.

Como é que o Purple trata os dados dos residentes ao abrigo do GDPR?

A Purple possui certificação ISO 27001 e está em conformidade com o GDPR. Cada chave estabelece a ligação a um registo de residente na camada RADIUS na nuvem. A contabilidade RADIUS regista que chave e dispositivo mantiveram cada sessão, o que apoia a resolução de falhas e os pedidos de acesso. Quando um residente sai, revoga a respetiva chave e o processo de entradas, mudanças e saídas encerra o seu acesso à rede a partir de um único painel de controlo.

O que acontece aos dispositivos de um residente quando este se muda?

Eles perdem o acesso assim que revoga a chave ou credencial. Onde os seus pontos de acesso o suportarem, a autorização dinâmica RADIUS (RFC 5176) desliga as sessões ativas imediatamente. Com uma VLAN por apartamento, a VLAN e o escopo DHCP permanecem ativos para o residente seguinte. Com uma política baseada em chaves, não há nada a planear novamente: basta emitir uma nova chave para o novo residente.