为 MDU 设计多租户 WiFi 架构

为 MDU 设计多租户 WiFi 架构 — Purple 技术简报。 欢迎阅读 Purple 技术简报系列。今天，我们将深入探讨支撑企业级环境中一些最复杂 WiFi 部署的底层架构 — 适用于多住户和多用途建筑的多租户 WiFi。 无论您是负责管理拥有 300 间客房、且宾客、员工和建筑管理系统共同共享物理基础设施的酒店，还是管理零售与办公混合型综合体，亦或是拥有数百名独立租户的学生公寓，您面临的挑战在本质上都是相同的：如何通过单一的共享物理网络，为多个独立方提供可靠、安全、隔离的连接？ 这并非理论演练。您在架构阶段做出的决策将直接决定您的安全态势、您在 GDPR 和 PCI-DSS 下的合规风险，坦率地说，还会决定在系统上线六个月后，您的服务台是否会被投诉淹没。 那么，让我们切入正题。 任何多租户 WiFi 架构的基础都是网络分段 — 而实现该分段的主要机制是 IEEE 802.1Q 中定义的 VLAN 标记。这个概念非常直接：您将每个租户或每个流量类别分配给一个独立的虚拟局域网。除非您通过路由或防火墙策略明确允许，否则 VLAN 10 上的流量无法到达 VLAN 20。这种逻辑隔离是您的第一道防线。 但架构师们往往在这里犯第一个错误：他们将 VLAN 分段与安全混为一谈。VLAN 提供的是隔离，而不是安全。您仍然需要在 VLAN 之间配置防火墙策略，仍然需要访问控制列表，并且仍然需要仔细考虑您允许哪些 VLAN 间路由。配置错误的汇聚端口（trunk port）可能会在几秒钟内使您的整个分段模型崩溃。 现在，我们来谈谈物理层。在 MDU 环境中，您通常拥有一个服务于多个租户的共享物理基础设施 - 包括布线、交换机架构和接入点（AP）。AP 本身广播多个 SSID，每个 SSID 映射到不同的 VLAN。因此，租户 A 连接到他们的 SSID，其流量在 AP 处被标记为 VLAN 10，通过汇聚端口传输跨越共享交换机架构，到达分布层并被路由到租户 A 的隔离子网中。租户 B 的流量遵循相同的物理路径，但在第 2 层是完全隔离的。 这就是您选择接入点平台至关重要的地方。您需要的 AP 必须支持多个 SSID 到 VLAN 的映射，能够处理可能紧密相邻的数十个设备之间的射频管理，并能与集中式控制器或云管理平台集成。控制器是关键 - 它使您无需接触单个 AP 即可下发策略变更、监控每个租户的吞吐量并对事件做出响应。在身份验证方面，目前企业级多租户部署的标准是采用 RADIUS 身份验证的 IEEE 802.1X。每个租户针对自己的 RADIUS 服务器或针对具有每租户策略执行的共享 RADIUS 基础设施进行身份验证。WPA3-Enterprise 现已成为推荐的加密标准 - 它为高敏感度环境提供 192 位安全模式，并消除了与 WPA2 四步握手相关的漏洞。 对于访客 WiFi 细分网络 - 在多单元住宅（MDU）环境中，您几乎总是会拥有至少一个这样的网络 - 您通常会考虑使用 Captive Portal 模式。访客连接到开放式或 WPA2-Personal SSID，重定向到登录页面以进行身份验证或接受条款，然后被授予在隔离 VLAN 上的纯互联网访问权限。关键是，该访客 VLAN 绝不能有任何路由通往任何租户 VLAN。零路由。从安全和 GDPR 的角度来看，这是不可妥协的。 让我们谈谈射频环境，因为这是 MDU 部署变得真正复杂的地方。当您在相邻单元中有多个租户时 - 想象一下两侧都有房间的酒店走廊，或者共享墙壁的商铺购物中心 - 您就拥有了一个高密度的射频环境。同频干扰是您的敌人。您需要在部署前进行适当的射频规划工作：进行现场勘测以绘制信号传播图、识别干扰源并为您的信道分配策略提供参考。 在大多数监管区域中，2.4 GHz 频段为您提供三个不重叠的信道 - 信道 1、6 和 11。5 GHz 频段提供的信道要多得多，这就是为什么现代部署会尽可能将客户端推向 5 GHz 的原因。WiFi 6 和 WiFi 6E 将这一优势进一步扩展到 6 GHz 频段，为您提供了一个基本上没有传统设备干扰的干净频谱。对于 2025 年及以后的新 MDU 部署，指定支持 WiFi 6E 的 AP 是正确的选择 - 额外的频谱裕度在高密度环境中会带来丰厚的回报。 在大型 MDU 部署中获得显著关注的一种架构模式是使用软件定义网络叠加 - 特别是 SD-WAN 或 SD-LAN 方法，其中租户策略是集中定义的并推送到边缘。这实现了策略层与物理基础设施的解耦，这意味着您可以接入新租户、修改其带宽分配或撤销其访问权限，而无需操作任何交换机命令行。对于管理数十个或数百分支机构的场所运营商而言，这种运营效率是颠覆性的。 IoT是您绝对不能忽视的另一个维度。在现代MDU中 - 无论是酒店、零售综合体还是住宅楼 - 您都会有楼宇管理系统、HVAC控制器、智能照明、门禁、CCTV以及越来越多其他联网设备。这些设备必须位于其自身隔离的VLAN中，与租户流量和访客流量完全分离。众所周知，IoT设备极难打补丁，且代表了巨大的攻击面。对它们进行隔离、监控，并应用严格的出口过滤，以便它们只能与指定的管理平台进行通信。 好，让我们务实一点。以下是我在面对全新MDU部署时的处理方式。 在接触任何硬件之前，先从逻辑设计开始。规划您的租户数量、您的流量类别 - 管理、企业、访客、IoT、支付 - 并相应地分配VLAN。记录您的IP地址规划方案。定义您的VLAN间路由策略：什么可以与什么通信，以及什么是绝对禁止的。 然后进行您的RF规划。委托进行一次正规的现场勘测。不要依赖厂商的覆盖图 - 它们往好里说也过于乐观。您需要物理空间中实际的信号测量值，并将墙体材料、地板结构以及来自相邻建筑物的RF环境纳入考量。 在指定硬件规格时，优先选择支持集中化云管理的平台。在没有控制器的情况下管理分布式AP资产，其运维开销在规模化时是难以承受的。寻找能够为您提供单SSID带宽策略、单租户报表以及与RADIUS基础设施集成的平台。 关于陷阱：我见过的最常见故障模式是中继端口配置不足。架构师设计了完美的VLAN方案，然后却忘记在路径中的每个中继链路上明确允许相关的VLAN。流量默默丢弃，租户抱怨，而支持团队则花费数天时间来追踪问题。请细致地记录您的中继配置，并在调试期间对其进行验证。 第二个陷阱是SSID泛滥。您广播的每个SSID都会为信标帧消耗空口时间。在高密度环境中，每个AP广播八个或十个SSID会降低所有人的性能。将您的SSID数量保持在必要的最低限度 - 通常每频段不超过四个。使用通过RADIUS属性实现的动态VLAN分配，而不是使用独立的SSID，从而通过单一SSID为多个租户提供服务。 第三个陷阱是忽视管理平面。您的管理VLAN - 您的AP、交换机和控制器进行通信的VLAN - 必须与所有租户和访客VLAN完全隔离。如果租户可以触及您的管理平面，您就面临着严重的网络安全漏洞。尽可能使用带外管理，并对管理流量应用严格的ACL。 现在，让我解答一些在这些部署中经常出现的几个问题。 单个 AP 可以支持多少个租户？实际而言，大多数企业级 AP 在性能下降之前，每个射频可支持 20 到 30 个并发活跃客户端。在密集型 MDU（多住户单元）中，请按每 15 到 20 台活跃设备规划一个 AP，而不是按物理单元规划。 我需要为每个租户配备独立的 AP 吗？不需要 - 这正是基于 VLAN 的多租户技术的意义所在。多个租户共享同一个 AP，并在网络层强制执行流量隔离。 每个租户合理的带宽分配是多少？这没有统一的答案，但通常的起点是保证 10 到 25 Mbps 的带宽，并具备突发传输至可用上行链路容量的能力。使用 QoS 策略来强制执行此操作，防止任何单一租户占满共享的上行链路。 如何处理需要独立防火墙的租户？为其提供专属的 VLAN 和路由交接点。他们将自己的 CPE 或防火墙连接到该交接点，之后的所有设备和网络均由其自行负责。 总结一下：一个设计良好的 MDU 多租户 WiFi 架构构建在四大支柱之上。第一，严格的 VLAN 细分，并在细分网络之间强制执行防火墙策略。第二，基于集中式控制器的管理，为您提供大规模的运维可见性和策略控制。第三，进行合理的射频（RF）规划，充分考虑物理环境和部署密度。第四，从第一天起就解决身份验证、加密、IoT 隔离和合规性要求的安全模型。 做好这些的企业能够看到可衡量的成果：降低支持成本、加快租户入驻速度、在审计中展示可证明的合规态势，以及能够将网络连接作为一种服务来变现，而不是将其视为成本中心。 如果您正在规划 MDU 部署，并希望了解 Purple 平台如何在您的网络基础设施之上提供分析、访客 WiFi 管理和租户级报告层，本指南中链接的资源是一个很好的起点。 感谢您的收听。我们下期再见。