单户 VLAN 与 PSK 架构：多住户单元（MDU）网络设计指南

当公寓内部配有有线端口且楼宇包含数百户时，为每间公寓分配独立的 VLAN。一个包含 250 户的长租公寓（BTR）方案大约需要使用 4,094 个 IEEE 802.1Q VLAN ID 中的 256 个。对于像 800 张床位的高流转专用学生公寓（PBSA）这类场所，可以将网络隔离绑定到每位住户的唯一密钥上，并在少数共享 VLAN 上实施针对每个密钥的策略。

是否每间公寓都应该分配独立的 VLAN？

并不总是如此。长租公寓（BTR）、多住户单元（MDU）或专用学生公寓（PBSA）方案中的每位住户都需要一个私有网络。他们的笔记本电脑、智能电视和打印机应当能够互相通信，而其他人的设备则无法访问它们。这就是具备企业级安全性的家居网络体验，您可以通过两种方式来实现它。

每间公寓独立的 VLAN。 每个单元都拥有自己的虚拟局域网（VLAN）。VLAN 是一个独立的 2 层广播域，拥有自己的子网和 DHCP 范围。RADIUS 服务器会指示接入点每个设备应该加入哪个 VLAN。RADIUS 是用于验证每个设备并返回其网络策略的认证协议。单元之间的流量必须跨越 3 层网关，并由您的防火墙在此处予以阻断。

由密钥承载的策略。 每位住户在单个共享 SSID 上获得一个唯一的预共享密钥（PSK）。厂商将其称为身份 PSK (iPSK)、私有 PSK (PPSK)、多 PSK 或动态 PSK。密钥用于标识住户，网络会应用与其绑定的策略。使用相同密钥的设备可以相互通信，而使用不同密钥的设备则无法通信，即使它们处于同一个共享 VLAN 上也是如此。Purple 将其称为私有局域网（PAN）：一个随密钥移动的私有网络域。

这两种设计都能妥善隔离住户。区别在于隔离实施的位置以及您需要维护的配置量。选择取决于四个因素：

• 单元内的有线端口
• 住户流转率
• 总分段数量
• 您的接入点和交换机所支持的功能

接下来的章节将围绕这四个因素展开探讨，并以包含 250 户的 BTR 方案和 800 张床位的 PBSA 场所作为户数示例。

每单元 VLAN 与基于密钥的策略的本质区别

4,094 个 VLAN 的上限，以及何时会真正触及该上限

IEEE 802.1Q 在 12 位字段中承载 VLAN ID，从而提供 4,096 个值。ID 0 和 4,095 为保留项，因此留下了 4,094 个可用 ID。该上限适用于每个 2 层广播域，而非整个机构，因此位于路由边界后面的两栋楼宇可以重复使用相同的 ID。

仅靠住户 VLAN，单栋楼宇很少会达到 4,094 的上限。您可能会在以下三种情况下触及上限：

• 多栋建筑组成的园区运行单个大二层广播域。 同一个核心网络上的五栋包含 800 张床位的宿舍楼，在添加员工、CCTV 或楼宇管理网络之前就需要 4,000 个住户 VLAN。
• 您按床位和按端口进行网络隔离。 如果每张床位还分配有独立的有线 VLAN，您的 VLAN 数量将翻倍。
• 如果您为智能锁或恒温器添加每个单元的 IoT VLAN，这会使数量再次翻倍。

实际的上限通常会更早到来。基于每个 VLAN 的生成树变体会在每个 VLAN 上运行一个生成树实例，而交换机平台将实例数量限制在远低于 4,094 的水平。无线控制器和网关也会发布其自身针对 VLAN 和 3 层接口的限制。在做出承诺之前，请检查这三个规格表数据。802.1Q 的最大值并非规划时应参考的正确数字。

如果您超出了上限，有两种干净的退出方案。在每栋建筑物设置路由边界，并在每个建筑物内部重复使用 VLAN ID。或者迁移到 RFC 7348 中定义的 VXLAN，其 24 位段标识符支持约 1600 万个段。多生成树（最初为 IEEE 802.1s，现在是 802.1Q 的一部分）将许多 VLAN 映射到少数几个实例上。这就解除了生成树的限制。

RADIUS 如何将住户分配到 VLAN

RFC 3580 定义了动态 VLAN 分配。当 RADIUS 接受某个设备时，Access-Accept 消息会携带三个属性：

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = 该公寓的 VLAN ID

无线接入点或交换机随后会将设备放置在该 VLAN 上。该映射关系保存在住户的记录中，因此他们的手机无论是在公寓内、健身房还是屋顶露台，都会接入同一个 VLAN。

服务器如何识别设备的所有者取决于认证方法：

• IEEE 802.1X (WPA2-Enterprise 或 WPA3-Enterprise)。 住户使用凭据或证书登录，RADIUS 会直接进行查找。
• Per-key PSK。 控制器或 RADIUS 服务器会将设备提供的密钥与住户的记录进行匹配，然后返回 VLAN 或策略名称。

厂商实现该密钥查找的方式有所不同。请按照您平台的文档进行配置步骤。

PSK 在住宅楼中胜出有一个实际原因。智能电视、游戏机、智能音箱和打印机很少支持 802.1X，但密钥可以在所有这些设备上正常工作。

请检查您的平台是否支持带有 WPA3-Personal 的 per-key PSK。许多 per-key 实现方案最初是在 WPA2-Personal 上推出的。SAE（同等同时认证，即 WPA3-Personal 握手）改变了密钥匹配的方式，且支持情况因厂商和固件而异。

当住户搬家或搬出时，RADIUS 动态授权会有所帮助。它在 RFC 5176 中定义，允许服务器立即断开会话或推送新策略。

广播域卫生

每个 VLAN 都是一个广播域。ARP 请求、DHCP 发现和多播发现协议会到达其中的每个设备。这些协议包括 AirPlay 和 Chromecast 使用的 mDNS，以及 SSDP。在 WiFi 上，广播和多播帧以基础数据速率发送。它们会消耗承载该 VLAN 的每个无线接入点上的空口时间。

每个单元一个 VLAN 可以将每个广播域限制在一个家庭内，大约为 8 到 36 台设备。无需 mDNS 网关即可在公寓内部进行服务发现，并且不会泄露到隔壁。

共享 VLAN 可以容纳来自多名住户的数百台设备，因此需要进行主动的网络清理：

• 在接入点上应用 Proxy ARP 或 ARP 抑制，以便由 AP 响应 ARP 请求，而不是向全网泛洪。
• 在住户 SSID 上启用多播转单播转换或广播过滤。
• 基于密钥限定作用域的 mDNS 网关，使住户的投屏目标仅出现在其自身设备上。
• 限制规模。 我们的实用规则是每个共享 VLAN 最多容纳几百个客户端。超过此数量请按楼层或楼栋拆分。

部分平台原生支持密钥级别的分组。例如 Cisco Meraki 的 Wireless Personal Network 根据身份 PSK 对设备进行分组，并在共享 VLAN 上实现组间隔离。在 Meraki 网络环境中，请同步测试快速漫游功能。我们的 Cisco Meraki 802.11r 自适应与启用对比指南 详细讲解了该行为特性。

每个分段的 DHCP 作用域设计

我们按每位住户 8 到 12 台设备进行规划。这是 Purple 的标准规划数据，涵盖：

• 手机、笔记本电脑、平板电脑和手表
• 电视、游戏机和音箱
• 智能家居设备

请根据单元的最大入住人数（而非平均人数）来计算每个作用域的大小。

此外，还要为私有 MAC 地址预留冗余空间。Apple 和 Google 默认都会为每个网络随机化设备的 MAC 地址。生成新的随机地址会占用一个新的租约。请缩短租约时间，使弃用的地址能在一天内返回地址池，并保持每个作用域至少三分之一的可用空间。

前缀	可用地址	扣除网关后的租约数	适用性
/28	14	13	不推荐：一名拥有 12 台设备的住户仅剩 1 个空闲地址
/27	30	29	一名拥有 12 台设备的住户，剩余 17 个空闲地址
/26	62	61	三名拥有 12 台设备的住户，剩余 25 个空闲地址
/23	510	509	一个包含 25 名住户（每人 12 台设备）的楼层，剩余 209 个空闲地址

在网关上运行 DHCP，或在中央服务器上运行并在每个 VLAN 接口上启用 DHCP 中继。按单元设计的方案每个 VLAN 需要一个作用域和一个中继，因此拥有 250 户的建筑需要 250 个作用域。其优势在于 IP 地址直接对应公寓，能够加快排错效率。在共享 VLAN 上，地址不再映射到具体单元。您可以通过记录密钥、MAC 地址和会话的 RADIUS 记账来精确定位住户。

考量因素	每套公寓独立 VLAN	通过密钥承载策略
隔离实施位置	3 层网关和防火墙	接入点或控制器
使用的住户 VLAN	每单元一个	每楼层或每楼栋一个
单元内的有线端口	与 WiFi 处于同一网段（通过端口 VLAN 或 MAC 认证）	需要单独的有线网络设计
AirPlay 与 Chromecast 发现	在 VLAN 内部正常工作，无需网关	需要基于密钥限定作用域的 mDNS 网关
广播域大小	一个家庭，最多约 36 台设备	最多几百台设备
DHCP 作用域	每单元一个	每个共享 VLAN 一个
硬件依赖	动态 VLAN 分配 (RFC 3580)	基于密钥的 PSK 及基于密钥的隔离
最佳适用场景	包含有线端口且租期较长的长租公寓 (BTR) 和多住户单元 (MDU)	专用学生公寓 (PBSA)、公寓式酒店、多栋联排园区

何时选择“每套公寓独立 VLAN”是正确方案

当满足以下大多数条件时，请选择每套公寓独立 VLAN：

• 房间内配有有线端口。 单个 VLAN 可同时承载住户的有线电视、智能网关和 WiFi 设备，以便在两种连接方式之间无缝投屏。
• 租期长达数月或数年。 VLAN 与房间单元的映射关系极少发生变更。
• 网段总数远低于您的平台限制。 需计算生成树实例、控制器 VLAN 和网关接口的总数。
• 您的安全团队要求在第 3 层实现隔离，并为每个网段配备独立的防火墙日志。
• 技术支持需要直接通过 IP 地址识别房间单元，无需通过 RADIUS 进行查询。

实操案例：包含 250 户的长租公寓 (BTR) 项目

背景情况。 一栋包含 250 套公寓的长租公寓楼，涵盖单身公寓至两居室等多种户型，每套单元最多入住 3 名住户。每套公寓均配有用于连接电视和智能家居网关的有线端口。公共设施层设有健身房、共享办公会客厅和屋顶花园。员工、CCTV、楼宇管理和会客厅访客均需要独立的网络。

实施方案。

• 每套公寓独立 VLAN： 划分 250 个住户 VLAN。
• 6 个基础设施 VLAN： 分别用于管理、员工、CCTV、楼宇管理、IoT 以及公用区域的访客 Guest WiFi 网络。VLAN ID 总计为 256 个。
• 每套公寓统一分配 /26 子网。 3 名住户按每人 12 台设备计算共 36 台设备，还留有 25 个备用 IP 租约。单个模板即可覆盖所有房间单元。
• 所有住户地址池共用一个 /18 网段。 250 个 /26 地址池全部容纳在 RFC 1918 私有地址空间的一个 /18 网段中，并剩余 6 个 /26 子网块。
• 有线与无线整合于同一网段。 RADIUS 将每位住户的密钥映射到其所在的公寓 VLAN，同时房间内的有线端口也分配在同一个 VLAN 上。
• 多生成树协议 (MSTP) 将 256 个 VLAN 映射到少量生成树实例上。

成果（设计数据）。

• 使用了 4,094 个 VLAN ID 中的 256 个，占用率约为 6%。
• 256 个 DHCP 地址池和 256 个第 3 层接口，均通过单一防火墙规则模板统一管理。
• 每个住户 IP 地址都能精确对应其所在公寓。
• 若拓展二期 250 户项目，VLAN 总数将增至 506 个，仍仅占 ID 空间总量的 12% 左右。

何时选择“基于策略的分段”是正确方案

当满足以下大多数条件时，请选择通过密钥承载策略的方案：

• 人员流动率高。 每年新生入住或每日旅客更换使 VLAN 到房间单元的维护成为一项高频重复工作。
• 住户在整栋楼内漫游，包括自习室、咖啡厅和健身房。
• 若要实现按床位隔离隐私，VLAN 数量将激增至数百或数千个。
• 房间内没有有线端口，或者端口仅供楼宇系统使用。
• 您的接入点 (AP) 支持单密钥 PSK、单密钥隔离和作用域限定的 mDNS。

实操案例：800 张床位的大学宿舍楼

现状。 一所大学管理着一座拥有 800 张床位的宿舍楼，分布在 4 栋 8 层的建筑中，每层 25 张床位。学生居住在围绕共享厨房组成的 5 至 8 间卧室的套间公寓中。室友之间希望保留隐私，因此网络隔离精确到每张床位。大多数床位在每个学年开始时进行人员更替。

方案 A：每张床位一个 VLAN。

• 800 个居民 VLAN。
• 每张床位分配一个 /27 网段，可容纳 12 台设备并留有 17 个空余，总计需要 25,600 个地址，对应一个 /17 网段。
• 800 个 DHCP 作用域和 800 个网关接口。
• 每个 VLAN 都需要 Trunk 干线连接到学生可能使用的每个接入点，这意味着涵盖整个园区。

方案 B：基于密钥承载策略。

• 每位学生在入住办理时获得一个唯一的密钥。
• 每层楼共享一个 VLAN，共计 32 个居民 VLAN。
• 每个 /23 网段可提供 509 个租约，对应 300 台设备（25 名学生，每人 12 台设备），留有 209 个空余。
• 32 个 /23 作用域容纳在一个 /18 网段中。
• 基于密钥的隔离运行在接入点上，并按密钥范围划分 mDNS 网关。SSID 上运行 Proxy ARP 和组播转单播。

实施方案。 采用了方案 B。密钥将每位学生映射到其居住楼层的 VLAN。学生步行到咖啡馆时，仍保持相同的地址和策略。所有 32 个 VLAN 都通过 Trunk 传输到每个接入点，负载远低于 800 个 VLAN。

结果（设计指标）。

• 居民 VLAN 从 800 个减少到 32 个，降低了 96%。
• DHCP 作用域从 800 个减少到 32 个。
• 地址空间缩减一半：从 /17 降至 /18。
• 每个广播域约 300 台设备，符合我们的工作准则。
• 每年的人员更替仅需注销和重新签发密钥，无需更改 VLAN、作用域或 Trunk 配置。

操作场景：包含 120 套单元的公寓式酒店

现状。 一家拥有 120 套公寓的公寓式酒店，分布在 6 个楼层，每层 20 套公寓。住宿时间为 1 至 14 晚不等。访客会携带电视棒等流媒体设备，并希望从手机进行投屏。前台在办理入住时提供 WiFi 接入。

实施方案。

• 每次入住都会在办理手续时获得专属密钥，并映射到按公寓划分的策略组。
• 短期住宿携带的设备较少，因此规划按每位访客 8 台设备、每套公寓 2 位访客计算。即每层楼 320 台设备。
• 每层楼分配一个 /23 VLAN，留有 189 个空余租约。
• 设计在退房时注销每个密钥。

结果（设计指标）。

• 居民 VLAN 从 120 个减少到 6 个，降低了 95%。
• 6 个 DHCP 作用域。
• 两次入住之间无需更改 VLAN。
• 通过按密钥划分的 mDNS 作用域，投屏功能可在每次入住期间正常使用。

有关更广泛的访客网络概览，请参阅我们的 酒店 页面。

每种设计的运行成本

两种设计都不会改变您的接入点数量。接入点数量由设备密度和覆盖范围决定。运行成本取决于您配置、更改和排查故障的对象数量。

需维护的项目	250 户的长租公寓（BTR），每套公寓一个 VLAN	800 张床位的专属学生公寓（PBSA），每张床位一个 VLAN	800 张床位的专属学生公寓（PBSA），基于密钥的策略
居民 VLAN	250	800	32
DHCP 作用域	250	800	32
三层网关接口	250	800	32
私有地址空间	/18	/17	/18
Trunk 传输至每个 AP 的 VLAN（含 6 个基础设施）	256	806	38
隔离实施位置	网关防火墙	网关防火墙	接入点或控制器
住户人员变更时的操作	重新发放密钥	重新发放密钥	重新发放密钥

采用每户单独 VLAN 方案，成本在于变更管理。每增加一个新楼栋，路径上每台交换机都需要增加 VLAN、作用域、网关接口、防火墙条目以及 Trunk 变更。这些工作必须进行模板化和自动化，否则容易产生配置偏差。

采用由密钥携带策略的方案，成本则转移到其他方面。这取决于接入点固件和许可证中的单密钥功能。故障排查的重点也从 IP 地址转向 RADIUS 计费日志，因此需要培训您的支持团队来阅读这些日志。

Purple Multi-Tenant WiFi 作为云端叠加层运行在您现有的硬件之上。我们的云端 RADIUS 为每位住户发放一个密钥并返回其对应的 VLAN 或策略。入住、搬迁和退房均可通过统一控制台轻松处理。Purple 兼容各种硬件，支持以下品牌：

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme Networks
• Fortinet

根据 Purple 内部数据，Purple 已在 80,000 多个真实场所运行，并在 2024 年处理了 4.4 亿次登录。Purple 已获得 ISO 27001 认证并符合 GDPR 要求。了解为什么网络隔离很少需要更换新接入点，请阅读 为什么下一次 WiFi 升级不需要新硬件。

如何为您的物业资产做出决策

您的现状	建议方案	推荐原因
最多约 500 个单元、包含有线端口、租期 12 个月或以上	每户单独 VLAN	有线和 WiFi 共享一个网段；ID 使用率保持在 12% 左右
PBSA（专用学生公寓），要求每床位隐私保护且每年人员流动	按密钥应用策略，每层共享一个 VLAN	800 张床位可减少 96% 的 VLAN；每次入住无需重新规划
酒店式公寓或服务式公寓，入住时长仅数天	按密钥应用策略	密钥随住宿行程走；VLAN 映射永远无需变更
基于单一二层核心网的多楼栋园区，拥有超过 3,000 个网段	每栋楼采用路由边界或 VXLAN，然后再选择任意模型	每个二层域限制为 4,094 个 ID
同一园区内既有带有线端口的公寓，又有合租公寓	混合模式：有端口处采用每户单独 VLAN，其他地方采用按密钥应用策略	在各自适用场景发挥各自优势
接入点不支持单密钥隔离	每户单独 VLAN，或计划升级固件/AP	隔离必须在某个位置强制执行

在确定设计方案之前，请先完成以下五个步骤。

1. 统计网段数量。 统计单元或床位数量，然后加上基础设施 VLAN 以及任何有线或物联网倍增因子。将总数与生成树、控制器和网关限制进行对比，而不是仅与 4,094 进行对比。
2. 根据最大容纳人数规划作用域大小。 将住户数乘以 12 台设备，然后确保每个作用域至少保留三分之一的空闲空间。
3. 与供应商确认单密钥功能支持情况。 检查固件是否支持单密钥 PSK、单密钥 VLAN 分配、单密钥隔离、受限 mDNS 以及 WPA3-Personal。
4. 测定设备密度。 每位住户拥有 8 到 12 台设备会直接影响接入点的数量需求。我们的 WiFi 现场勘测 指南涵盖了这方面的规划。
5. 测试公寓与公共区域之间的漫游。 如果住户需要在不同楼层间移动，请对 802.11r 和 802.11k 进行调优。有关具体厂商的设置，请参阅 Android 上的 802.11r 和 802.11k。

常见问题

Purple 多租户 WiFi 是否适用于我大楼中现有的接入点？

是的。Purple 与硬件无关，作为云端叠加层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。您可以保留现有的接入点和交换机。Purple 提供云端 RADIUS 和身份层，为每位住户分发密钥并返回其 VLAN 或策略。如果您选择基于策略的网络隔离，请确认您的固件支持按密钥 PSK 和按密钥隔离。

我们能否在不更换硬件的情况下，从统一的大楼共享密码过渡到按单元分配密钥？

可以，只要您的接入点支持按密钥 PSK 或动态 VLAN 分配。Purple 叠加在现有基础设施之上，无需彻底更换设备。您可以将新的住户 SSID 与旧的 SSID 并行运行，然后逐个单元迁移住户。在最后一位住户完成迁移后，废除共享密码。请在第一位住户切换之前，规划好您的 VLAN 或策略映射以及 DHCP 作用域。

一栋多住户公寓（MDU）大楼可以支持多少个 VLAN？

在单个 2 层域中最多可支持 4,094 个，这是 IEEE 802.1Q 中 12 位 VLAN ID 所设定的上限。但在实际应用中，生成树实例限制、控制器 VLAN 限制和网关接口数量通常会先达到瓶颈。一个包含 250 套单元、配置 6 个基础设施 VLAN 的长租公寓（BTR）方案将使用 256 个 ID。需要更多 ID 的园区应在每座建筑设立路由边界或迁移至 VXLAN。

基于密钥的网络隔离与每个公寓单独配置 VLAN 一样安全吗？

是的，前提是您的平台在接入点或控制器端强制实施密钥间的隔离。两者的区别在于执行点不同。按单元配置的 VLAN 会在 3 层网关处阻断跨单元流量；而基于密钥的策略则会在流量离开接入点之前将其阻断。您可以使用住户设备进行测试，确认无法访问其他住户的设备或发现其投屏目标。

智能电视、游戏机和 IoT 设备能否在隔离的住户网络上正常工作？

可以。这两种设计都使用预共享密钥（PSK），适用于不支持 802.1X 的设备，例如智能电视、游戏机和智能音箱。每位住户的设备共享各自的 VLAN 或密钥组，因此家庭内部的投屏和打印均可正常工作。在共享 VLAN 上，可以添加按密钥划分作用域的 mDNS 网关，从而确保设备发现仅对该住户私有。

Purple 如何根据 GDPR 处理住户数据？

Purple 已通过 ISO 27001 认证并符合 GDPR 标准。每个密钥均与云端 RADIUS 层中的居民记录相关联。RADIUS 计费日志记录了每次会话所使用的密钥和设备，这为故障排查和访问请求提供了支持。当居民离开时，您只需撤销其密钥，入职、异动和离职（JML）流程即可通过单一视图终止其网络访问权限。

居民搬离时，其设备会发生什么变化？

当您撤销密钥或凭据时，他们即失去访问权限。在您的接入点支持的情况下，RADIUS 动态授权（RFC 5176）会立即断开活动会话。采用每户一个 VLAN 的方案时，VLAN 和 DHCP 作用域将保留给下一位居民使用。采用基于密钥的策略时，则无需重新规划：您只需为新居民颁发一个新密钥即可。