PPSK 目录：功能与部署模式对比

概述

传统的 WPA2-Personal 网络在所有设备之间共享同一个密码。在拥有 200 个单元的“长租公寓”（BTR）开发项目中，这意味着大楼里的每位住户、每台智能电视、每个恒温器和每个游戏机都使用同一个密码。当住户搬走时，您要么为所有人更换密码 - 这会中断其他 199 个公寓的连接 - 要么让前住户继续保留访问权限。这两种方式都是不可接受的。

PPSK（Private Pre-Shared Key）目录集成解决了这个问题。PPSK 向每个住户或单元分配一个唯一的 WiFi 密码，并将该密钥绑定到特定的 VLAN（虚拟局域网）。设备连接到同一个 SSID，但网络将它们隔离到私有网段中。每个住户的设备都可以相互发现，但没有任何住户能看到其他住户的设备。当租约结束时，您只需撤销一个密钥，而无需影响其他任何人的连接。

本指南将 PPSK 目录部署与标准 PSK 和 IEEE 802.1X 进行了对比，详细介绍了三种主要的部署架构，并为物业开发商、BTR 运营商以及为他们提供支持的 IT 团队提供了可操作的实施指南。Purple 在全球 80,000 多个活跃场所运营，并作为云覆盖层集成在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 中。

技术深度解析：PPSK vs 802.1X vs 标准 PSK

要理解为什么 PPSK 在多租户部署中占据主导地位，必须将其与关联层的替代方案进行对比。

标准 PSK：家庭网络模式

在标准 WPA2-Personal 设置中，AP（接入点）广播一个 SSID 并需要一个单一的预共享密钥。所有设备都使用此密钥。AP 将所有设备放置在同一个 VLAN 中。设备可以相互发现 - 这对于单个家庭来说很理想，但对于一个 200 单元的 BTR 项目来说则是不可接受的。标准 PSK 缺乏任何单用户撤销机制。撤销一个用户的访问权限需要为所有人更换密钥。

802.1X：企业标准

IEEE 802.1X (WPA-Enterprise) 需要 RADIUS 服务器、诸如 Microsoft Entra ID、Okta 或 Google Workspace 的身份验证提供商，以及每台设备上的客户端。客户端处理可扩展身份验证协议 (EAP) 交换。这提供了强大、基于身份且针对每个用户的安全责任追究。然而，802.1X 在住宅环境中会失效，因为物联网 (IoT) 设备 - 智能电视、游戏机、无线音箱和智能家居传感器 - 缺乏 802.1X 客户端。在 BTR 建筑中部署 802.1X 意味着所有 IoT 设备要么未通过身份验证，要么处于独立的未托管网络中。

PPSK 目录：多租户解决方案

PPSK（在 Cisco Meraki 中称为 iPSK，在 Cisco 中称为个人私有网络，在 Juniper Mist 和 Cambium 中称为 ePSK）弥补了这一差距。AP 广播单个 SSID。当设备连接时，它会在 WPA2 四次握手期间出示其唯一的密钥。AP 查询托管在云控制器或 RADIUS 后台的 PPSK 目录，以验证该密钥并检索分配的 VLAN。设备感知到的是一个标准的家庭网络。运营商则实现了彻底的单户隔离。

下表总结了三种身份验证模型之间的核心功能差异。

实施指南：架构与部署模型

部署 PPSK 目录需要在开始任何硬件配置之前，采用结构化的方法进行逻辑设计。

第 1 步：逻辑网络设计

在接触硬件之前，先规划您的居民数量和 IoT 设备类别。标准的 BTR 部署按如下方式隔离流量。居民 VLAN 范围从 VLAN 10 直至您的住户数量所需的范围 - 每一户分配一个 VLAN 是标准做法。专用的 IoT VLAN（通常为 VLAN 99）服务于楼宇管理系统、CCTV 和智能传感器。管理 VLAN（VLAN 100）承载员工设备流量，通过 802.1X 进行身份验证。访客 VLAN（VLAN 200）则通过 Captive Portal 为公共区域的临时访客提供服务。

仔细计算您的 IP 地址需求。英国物业联盟的研究表明，每个家庭拥有 15 到 25 台设备。一栋拥有 200 个单元的建筑同时可容纳多达 5,000 台设备。在每个住户 VLAN 中使用具有 /24 子网（254 个可用地址）的 RFC 1918 私有寻址，以确保足够的容量。/23（510 个地址）为高密度单元提供了充裕的缓冲空间。

第 2 步：选择部署模型

目前投入使用的主要 PPSK 架构有三种。

云控制器模型。 PPSK 目录驻留在供应商的云平台中 - Aruba Central、Meraki Dashboard、Ruckus Cloud 或 Juniper Mist。控制器将策略推送到 AP。当住户入住时，您在门户中生成一个密钥。当他们搬离时，您将其删除。由于其操作简单且无需本地基础设施，这是新部署最常用的模型。

RADIUS 后端模型。 AP 将认证请求转发到中央 RADIUS 服务器（例如 Cisco ISE 或 FreeRADIUS），该服务器查询身份存储。RADIUS 服务器通过 Cisco-AVPair 属性返回 VLAN 分配。该模型适用于需要深度审计跟踪以及与现有企业目录集成的环境。它增加了基础设施开销，但提供了 802.1X 的可追溯性以及 PPSK 的设备兼容性。

混合认证模型。 住户为其笔记本电脑和物联网设备使用 PPSK。大楼工作人员针对 Microsoft Entra ID 或 Okta 使用 802.1X 来管理企业设备。这两个群体连接到相同的物理基础设施，但映射到不同的逻辑段。Purple 推荐在全面的 BTR 和多住宅单元 (MDU) 部署中使用此架构。住户获得 PPSK。大楼管理系统获得一个带有 PPSK 的专用物联网 VLAN。物业管理团队的设备使用 802.1X。三种不同的认证模型，三个不同的 VLAN，一个物理基础设施。

第 3 步：硬件集成

PPSK 在所有主流企业级 AP 平台上均得到支持，但具体实施细节因供应商而异。

请注意 Ubiquiti UniFi 的特定限制：其当前的 PPSK 实现仅限于 WPA2。如果您部署 WiFi 6E 接入点并需要 6GHz 频段，则必须使用支持 WPA3-SAE 与 PPSK 的平台。Aruba、Ruckus 和 Meraki 在 WPA3 配置上均支持 PPSK。

Purple 作为与硬件无关的云端覆盖层集成在此列表中的所有平台之上，无论底层硬件供应商是谁，都能提供统一的 PPSK 目录和居民管理界面。有关更广泛的 SSID 架构背景，请参阅我们的指南： 用三个 SSID 统治一切：访客、Passpoint 和物联网 WiFi 。

多租户 WiFi 的最佳实践

控制 SSID 激增

将每个射频的广播限制为最多四个 SSID。每个附加的 SSID 都会消耗信标帧的空中传输时间。在拥有 30 个 AP 的密集住宅楼中，每个 AP 广播八个 SSID 会产生 240 个信标流竞争空中传输时间。使用 PPSK 在单个 SSID 后面对用户进行逻辑隔离，而不是为每个公寓或每个楼层创建单独的 SSID。推荐的 SSID 架构请参阅 用三个 SSID 统治一切 。

自动分发密钥

不要依赖手动密码表。通过供应商的 REST API 将您的 PPSK 目录与您的物业管理系统集成。在租户签约时自动生成唯一密钥，并通过欢迎邮件中的二维码进行交付。在部署之前构建密钥分发工作流程，而不是在部署之后。自动交付密钥的运营商报告的 WiFi 相关支持工单比手动分发方法减少了 30%（Purple 内部数据，2024年）。

在上线前验证干道链路

最常见的调试失败是分发交换机和核心网络之间的干道链路上缺少 VLAN 标签。设计您的 VLAN 方案，然后验证每个居民 VLAN 在每个相关的干道链路上是否被允许。在居民入住前，使用每个 VLAN 上的设备进行测试。

对物联网 VLAN 应用出口过滤

楼宇基础设施设备 - 暖通空调控制器、闭路电视摄像机、门禁控制面板 - 应该位于具有严格防火墙出口过滤的专用物联网 VLAN 上。这可以防止受损的物联网设备访问居民 VLAN 或管理网络。

有关 Guest WiFi 架构和 WiFi Analytics 集成的更多信息，请参阅我们的产品文档。 Hospitality 行业的运营商还应阅读我们的指南： 如何利用访客 WiFi 留下美好的第一印象 。

故障排除与风险缓解

游戏机和 NAT 类型

住户希望其 PlayStation 或 Xbox 为在线多人游戏报告“类型 2”或“开放”的 NAT 类型。过度激进的运营商级 NAT (CGNAT) 实施会产生“严格”的 NAT，从而产生大量的支持工单。请根据住户细分正确配置您的防火墙以处理 UPnP。不要对所有住户 VLAN 应用一刀切的限制。

智能家居设备配对

Chromecast、Apple TV、Amazon Echo 和 Sonos 要求在同一逻辑网络上进行设备发现。使用 PPSK，使用同一住户密钥的所有设备都共享一个 VLAN，并可以相互发现。使用不同密钥的设备则无法相互发现。这是正确的行为。如果住户报告智能家居配对失败，请验证其所有设备是否正在使用相同的 PPSK 密钥。

UniFi 上的密钥耗尽

Ubiquiti UniFi 每个网络最多支持 1,000 个 PPSK 条目。对于拥有 1,000 多个单元的开发项目，或者物联网设备数量较多的项目，这一限制需要仔细规划。考虑跨多个 UniFi 站点对网络进行细分，或者迁移到支持更高密钥限制的平台，例如 HPE Aruba 或 Cisco Meraki。

GDPR 与住户数据

PPSK 密钥库包含可识别住户的数据。确保您的密钥管理平台将数据存储在合规的区域。Purple 存储数据符合 GDPR 和 CCPA 要求，并为欧盟部署提供可选的数据驻留。仅在安全和运营需要的时间内保留可识别住户的 WiFi 日志 - 六个月是 BTR 环境的常见上限。

投资回报率和业务影响

托管 WiFi 是 BTR（长租公寓）和专门建造的学生公寓的核心便利设施。部署 PPSK 网络的运营商在三个维度上看到了可衡量的回报。

租金溢价。 根据英国房地产联合会的行业研究，BTR 运营商通常可以凭借高质量、即入即用的 WiFi，每个单元每月获得 15 至 30 英镑的溢价。在一个拥有 200 个单元的开发项目中，这代表着每年 36,000 至 72,000 英镑的额外收入。

运营效率。 独特的密钥消除了全楼范围内的密码轮换。运营商报告称，从共享 PSK 迁移到 PPSK 后，与 WiFi 相关的支持工单减少了 30%（Purple 内部数据，2024 年）。入住当天的连通性还将空置期缩短了五到十天。

硬件无关的部署。 通过将 Purple 的多租户 WiFi 解决方案作为软件层部署在您现有或选择的硬件上，您可以保持对网络的控制并提升营运净收入。您无需将收入让给第三方宽带提供商，因为他们会将连通性捆绑到一份合同中，从而夺走该便利设施的溢价。

自 2012 年以来，Purple 已在 80,000 多个活动场所开展业务，拥有 99.999% 的在线时间，并获得了 ISO 27001、GDPR、CCPA 和 Cyber Essentials 认证。对于需要类似网络细分的 零售 和 医疗保健 部署，同样的 PPSK 目录架构同样适用，并带有行业特定的合规覆盖。有关此架构的 iPSK 变体，请参阅我们的相关指南： Logo guild iPSK：企业综合指南 。