为多租户写字楼设计 WiFi 网络

執行摘要

對於管理多租戶辦公大樓的 CTO 和網路架構師而言，挑戰顯而易見：如何在單一共享的實體網路上，為多個獨立的組織提供可靠、安全且隔離的連線。在多租戶環境中，扁平化網路架構（Flat Network Architecture）是一個嚴重的安全隱患。它不僅擴大了您在 GDPR 和 PCI DSS 規範下的合規範圍，使租戶面臨橫向安全威脅，還會帶來隨著租戶數量增加而難以擴展的營運負擔。

本指南為設計多租戶 WiFi 架構提供了一套與廠商無關的藍圖。透過實作 IEEE 802.1Q VLAN 分割、基於 802.1X 的動態 VLAN 分配以及嚴格的射頻（RF）規劃，您可以消除 SSID 激增問題、減少高達 20% 的空口時間（Airtime）開銷，並確保租戶之間嚴格的 Layer 2 隔離。我們詳細介紹了技術標準、包括 Cisco Meraki、HPE Aruba、Ruckus 和 Juniper Mist 在內的各家硬體考量，以及保護基礎設施安全所需的路由策略。只要實作得當，此架構能降低支援維護成本、簡化合規性稽核，並讓您將網路連線轉化為可獲利的服務（Connectivity as a Service）。

技術深度剖析

反對扁平化網路的理由

扁平化網路會將所有裝置（不論租戶、流量類型或安全層級）置於單一廣播網域中。每個裝置都會收到所有的廣播封包。一台受駭的訪客裝置就能掃描並存取 POS 終端機、大樓管理系統和企業工作站。這會使您的整個網路都落入 PCI DSS 的稽核範圍。這並非理論上的風險，而是許多在無線網路密度成為設計考量之前就已佈線的多租戶大樓之預設狀態。

解決方案是邏輯分割。您不需要為每個租戶建置獨立的實體基礎設施，而是需要一個設計正確的 VLAN 架構、配置妥當的防火牆以及集中式管理平台。

IEEE 802.1Q 與 VLAN 標記

虛擬區域網路（VLAN，標準化為 IEEE 802.1Q）允許您將單一實體交換器架構分割為多個隔離的邏輯網路。當用戶端連線到 WiFi 存取點（AP）時，AP 會使用 12 位元的 VLAN 識別碼（VID）來標記該用戶端的資料訊框。交換器會讀取此標記，並確保來自某個 VLAN 的流量絕不會轉發到另一個 VLAN 的連接埠，除非防火牆有明確的路由規則。

一棟標準的多租戶辦公大樓至少需要四個 VLAN：

針對擁有更多租戶的大樓，您可以擴展此模型。每個新增的租戶都會分配到一個專屬的 VLAN 和相應的防火牆策略。實體基礎設施則保持共享。

透過 802.1X 與 RADIUS 進行動態 VLAN 分配

過去，網路工程師會為每個租戶建立獨立的 SSID。這種方法會降低效能。每個 SSID 都會以最低的基本強制資料傳輸率廣播管理訊框（信標），以確保舊型裝置能夠連線。在單一存取點上廣播六或七個 SSID，在傳輸任何使用者資料之前，就可能消耗 20% 到 30% 的可用無線空口時間。在密集的多租戶大樓中，這是無法接受的。

現代標準是動態 VLAN 分配。您可以使用 IEEE 802.1X 驗證廣播單一安全 SSID。當使用者連線時，其裝置（請求端）會透過存取點（驗證端）與 RADIUS 伺服器交換憑證。RADIUS 伺服器會比對身分識別提供者（Microsoft Entra ID、Okta 或 Google Workspace）驗證憑證，並將 Access-Accept 訊息傳回存取點。此訊息包含三個 IETF 標準 RADIUS 屬性：

• Tunnel-Type（屬性 64）：設定為 VLAN
• Tunnel-Medium-Type（屬性 65）：設定為 802
• Tunnel-Private-Group-ID（屬性 81）：該使用者組織的特定 VLAN ID

存取點接收這些屬性，並動態地將該使用者的流量放入其專屬的 VLAN 中。租戶 A 的員工和租戶 B 的員工連線到同一個 SSID。他們的流量在 Layer 2 被完全隔離。交換器處理他們的方式，就像他們插在完全獨立的實體網路上一樣。

針對訪客區段，請將流量透過專屬的訪客 VLAN 路由至 captive portal。Purple 的 Guest WiFi 平台可在隔離的區段上處理符合 GDPR 規範的同意管理、安全引導以及 WiFi Analytics ，且對企業網路具有零路由存取權限。如需存取控制架構的更廣泛概述，請參閱我們的 網路存取控制系統指南 。

WPA3-Enterprise 與加密標準

WPA3-Enterprise 是多租戶部署中推薦的加密標準。它提供 192 位元安全模式，消除了 WPA2 四向交握中的漏洞，並根據 IEEE 802.11w 強制執行受保護的管理訊框 (PMF)。對於處理付款卡資料或敏感企業資訊的環境，採用 EAP-TLS（基於憑證的雙向驗證）的 WPA3-Enterprise 可完全消除憑證遭竊取的管道。

對於無法部署憑證的訪客區段，WPA3-SAE (Simultaneous Authentication of Equals) 可提供正向保密，確保遭破解的金鑰不會洩露歷史流量。

高密度環境中的 RF 規劃

同通道干擾 (CCI) 是多租戶辦公大樓中 WiFi 效能不佳的主要原因。當相鄰的存取點在相同的頻率通道上進行廣播時，裝置必須等待空閒的空中傳輸時間才能進行傳送。在擁有多個租戶且裝置密度極高的建築物中，未經規劃的通道分配會造成擁擠的 RF 環境，這是再多頻寬也無法解決的。

在部署之前，必須進行主動的現場 RF 場地勘測。廠商的覆蓋範圍地圖通常過於樂觀。您需要在實體空間中進行實際的訊號測量，並將牆壁材質、地板結構以及來自鄰近建築物的 RF 環境納入考量。

在大多數監管區域中，2.4 GHz 頻段提供三個不重疊的通道（1、6 和 11）。5 GHz 頻段則提供顯著更大的容量。WiFi 6E 延伸至 6 GHz 頻段，提供乾淨且基本上不受舊版裝置干擾的頻譜。對於新的多租戶部署，指定使用來自 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 或 Ubiquiti UniFi 且支援 WiFi 6E 的存取點，可為高密度環境提供所需的頻譜裕度。

IoT 隔離

現代辦公大樓包含大樓管理系統、HVAC 控制器、智慧照明、存取控制和 CCTV。這些裝置眾所周知難以修補，且代表了極大的攻擊表面。它們必須被隔離在具有嚴格出口過濾的專用 VLAN 上，僅允許向其指定的管理平台進行外網通訊。對任何租戶 VLAN 的路由存取權限為零。對訪客 VLAN 的路由存取權限為零。無論是從安全還是 GDPR 的角度來看，這都是不可妥協的。

實作指南

步驟 1：在接觸硬體之前，先設計您的邏輯架構。 規劃您的租戶數量、流量類別（企業、訪客、IoT、付款、管理），並分配 VLAN。記錄您的 IP 位址配置方案。定義您的跨 VLAN 路由原則：哪些可以互相通訊，而哪些是絕對禁止的。

步驟 2：委託進行主動式 RF 場地勘測。 切勿依賴廠商的覆蓋範圍圖。您需要在物理空間中進行實際的訊號測量，以作為 AP 部署和頻道分配的依據。

步驟 3：使用「預設拒絕」策略設定您的核心防火牆。 預設封鎖所有 VLAN 間的路由。僅新增明確的、特定連接埠的例外狀況。每個 VLAN 間的路徑都必須經過合理化評估並記錄存檔。

步驟 4：在所有 Trunk 連接埠上停用 VLAN 1。 將 Trunk 連接埠上的 Native VLAN 變更為未使用的、不可路由的 VLAN ID。這可以防止利用預設 Native VLAN 的 VLAN 跳躍攻擊。

步驟 5：驗證 Trunk 連接埠設定。 在從存取點到分佈層路徑中的每個 Trunk 鏈路上，明確允許所有必要的 VLAN ID。遺失 VLAN 標籤會導致無聲的流量丟棄，這需要花費大量時間來診斷。

步驟 6：部署集中式雲端管理。 來自 Cisco Meraki、HPE Aruba、Juniper Mist 和 Ruckus 的平台提供每個 SSID 的頻寬策略、每個租戶的報表，以及與您的 RADIUS 基礎架構的整合。在沒有控制器的情況下管理分散式 AP 資產，其營運開銷在規模化時是無法持續承受的。

步驟 7：設定每個區段的 DHCP 租約時間。 企業 VLAN：8 到 24 小時。訪客 WiFi VLAN：1 到 2 小時。訪客區段上的短租約時間可防止在高周轉率環境中耗盡 IP 位址。

步驟 8：隔離管理平面。 您的管理 VLAN 必須與所有租戶和訪客 VLAN 完全隔離。對管理流量套用嚴格的 ACL。如果租戶可以存取您的管理平面，表示您存在嚴重的安全性漏洞。

最佳實踐

下表總結了符合規範的多租戶 WiFi 部署之關鍵設定標準。

對於 旅宿業 部署，訪客 VLAN 隔離至關重要。對於 零售業 環境，在專用 VLAN 上隔離 POS 終端機能直接縮減 PCI DSS 稽核範圍。對於 交通運輸 樞紐和 醫療保健 機構，同樣適用相同的分割原則，並需額外注意同時連線的數量和裝置類型的多樣性。

對於考慮使用衛星廣播 WAN 上行鏈路的場域，Purple 的 如何在 Starlink 上設定 Captive Portal 指南涵蓋了針對偏遠和海洋環境的特定考量。

疑難排解與風險緩釋

無聲流量丟棄。 這是多租戶部署中最常見的故障模式。原因在於 Trunk 連接埠上遺失了 VLAN 標記。使用者透過 802.1X 成功驗證，RADIUS 伺服器將其分配給 VLAN 40，但 Trunk 連接埠上不允許 VLAN 40。流量隨之丟棄，使用者無法取得 IP 位址。請務必仔細記錄 Trunk 設定，並在啟用調試期間進行驗證。

SSID 激增。 您廣播的每個 SSID 都會消耗信標訊框（Beacon Frame）的空中時間。在密集環境中，每個 AP 廣播 8 到 10 個 SSID 會降低所有人的網路效能。請將每個射頻（Radio）的 SSID 數量控制在不超過 4 個。請使用透過 RADIUS 屬性的動態 VLAN 分配（Dynamic VLAN Assignment），而非使用獨立的 SSID 來服務多個租戶。

管理層面暴露。 如果您的管理 VLAN 未進行隔離，獲得存取權限的租戶就可以修改 AP 設定、中斷服務或攔截管理流量。請盡可能使用帶外管理（Out-of-band Management），並對所有管理介面套用嚴格的 ACL。

IoT 裝置激增。 大樓營運商經常在未通知網路團隊的情況下增加 IoT 裝置。請實施網路存取控制（NAC）原則，要求在任何新裝置於 IoT VLAN 上取得 IP 位址之前，必須獲得明確授權。

訪客 VLAN 上的 DHCP 耗盡。 在高流動率的環境中，裝置在斷開連線後仍會保留 DHCP 租約。一個 /24 子網路提供 254 個位址。在繁忙的會議中心或共享工作空間中，這些位址很快就會耗盡。請將租約時間設定為 1 到 2 小時，並調整訪客 VLAN 子網路的大小，以容納高峰期的同時連線裝置數量。

ROI 與商業影響

適當分割的多租戶 WiFi 架構可在三個維度上帶來可衡量的成果。

合規成本降低。 根據 Purple 自身的部署數據，將 POS 和付款終端機隔離在具有嚴格防火牆控制的專用 VLAN 上，可將 PCI DSS 稽核範圍縮減約 70%。這直接降低了年度稽核成本以及 IT 團隊處理合規文件所需的時間。

營運效率。 集中式雲端管理可降低與管理分散式 AP 資產相關的營運成本（OpEx）。零接觸部署（Zero-touch provisioning）、全域原則強制執行以及針對每個租戶的報表，消除了現場修改設定的需求。新租戶的加入時間從幾天縮短到幾小時。

創造營收。 安全、高效能的網路讓大樓營運商能夠將連線能力轉化為服務來獲利。分級頻寬方案、針對每個租戶的 SLA 以及數據分析驅動的洞察，將 WiFi 從成本中心轉變為營收來源。Purple 在全球 80,000 多個實體場域運作，並在 2024 年處理了 4.4 億次登入（Purple 內部數據，2024 年），為大規模支援此模式提供了分析基礎架構。

如需進一步瞭解 WiFi 連線如何支援更廣泛的數位包容目標，請參閱我們關於 2026 世界 WiFi 日 的文章。如需瞭解與多據點部署相關的 WAN 架構考量入門指南，請參閱我們的 WAN 電腦定義指南 。