为 MDU 设计多租户 WiFi 架构

为 MDU 设计多租户 WiFi 架构 - Purple 技术简报。 欢迎阅读 Purple 技术简报系列。今天，我们将深入探讨支撑企业环境中一些最复杂 WiFi 部署的架构 - 适用于多住宅和多用途建筑的多租户 WiFi。 无论您是负责管理一个由客人、员工和建筑管理系统共用相同物理基础设施的 300 间客房的酒店，还是负责管理一个混合用途的零售和办公综合体，亦或是拥有数百名独立租户的学生宿舍区，面临的挑战从根本上都是相同的：如何通过单一的共享物理网络为多个独立方提供可靠、安全、隔离的连接？ 这并非理论上的演练。您在架构阶段做出的决定将直接决定您的安全态势、GDPR 和 PCI-DSS 下的合规风险，坦率地说，还会决定在上线六个月后您的支持服务台是否会被投诉淹没。 那么，让我们开始吧。 任何多租户 WiFi 架构的基础都是网络分段 - 而实现该分段的主要机制是 IEEE 802.1Q 下定义的 VLAN 标记。这个概念很简单：您将每个租户或每个流量类别分配给一个独立的虚拟 LAN。除非您通过路由或防火墙策略明确允许，否则 VLAN 10 上的流量无法到达 VLAN 20。这种逻辑隔离是您的第一道防线。 但这里通常是架构师经常犯第一个错误的地方：他们将 VLAN 分段与安全混为一谈。VLAN 提供的是隔离，而不是安全。您仍然需要在 VLAN 之间建立防火墙策略，仍然需要访问控制列表，并且仍然需要仔细考虑您允许的 VLAN 间路由。配置错误的 Trunk 端口可能会在几秒钟内破坏您的整个分段模型。 现在，我们来谈谈物理层。在 MDU 环境中，您通常拥有一个共享的物理基础设施 - 布线、交换矩阵和接入点 - 为多个租户服务。接入点本身广播多个 SSID，每个 SSID 映射到不同的 VLAN。因此，租户 A 连接到其 SSID，其流量在 AP 处被标记为 VLAN 10，在 Trunk 端口上穿过共享的交换矩阵，并到达分布层，在此处被路由到租户 A 的隔离子网中。租户 B 的流量遵循相同的物理路径，但在第 2 层被完全隔离。 这就是您对接入点平台选择至关重要的地方。您需要支持多个 SSID 到 VLAN 映射的 AP，这些 AP 能够处理可能紧密相邻的数十个设备之间的射频管理，并且能够与集中式控制器或云管理平台集成。控制器至关重要 - 它使您能够推送策略更改、监控每个租户的吞吐量，并无需接触单个 AP 即可对事件做出响应。 在身份验证方面，目前企业级多租户部署的标准是采用 RADIUS 身份验证的 IEEE 802.1X。每个租户针对自己的 RADIUS 服务器进行身份验证，或者针对具有按租户策略实施的共享 RADIUS 基础设施进行身份验证。WPA3-Enterprise 目前是推荐的加密标准 - 它为高敏感性环境提供了 192 位安全模式，并消除了与 WPA2 四步握手相关的漏洞。 对于访客 WiFi 细分网络 - 在 MDU 场景中，您几乎总会至少有一个此类网络 - 您通常会考虑使用 Captive Portal 模式。访客连接到开放或 WPA2-Personal SSID，重定向到登录页面进行身份验证或接受条款，然后被授予在隔离 VLAN 上的仅限互联网访问权限。至关重要的是，该访客 VLAN 绝对不能有通往任何租户 VLAN 的路由。零路由。从安全和 GDPR 的角度来看，这是不可妥协的。 让我们谈谈射频环境，因为这是 MDU 部署变得真正复杂的地方。当相邻单元中存在多个租户时 - 例如两侧都有房间的酒店走廊，或共用墙壁的商场店铺 - 您就拥有了一个高密度的射频环境。同频干扰是您的敌人。在部署之前，您需要进行适当的射频规划工作：进行站点勘测以绘制信号传播图、识别干扰源并为您的信道分配策略提供支持。 在大多数监管区域中，2.4 GHz 频段为您提供三个不重叠的信道 - 信道 1、6 和 11。5 GHz 频段为您提供明显更多的信道，这就是为什么现代部署会尽可能将客户端推向 5 GHz 的原因。Wi-Fi 6 和 Wi-Fi 6E 将其进一步扩展到 6 GHz 频段，为您提供一个基本上没有传统设备干扰的干净频谱。对于 2025 年及以后的新 MDU 部署，指定支持 Wi-Fi 6E 的 AP 是正确的选择 - 额外的频谱裕量在高密度环境中大有裨益。 在大型 MDU 部署中获得显著青睐的一种架构模式是使用软件定义网络叠加层 - 特别是 SD-WAN 或 SD-LAN 方法，其中租户策略是集中定义的并推送到边缘。这将策略层与物理基础设施解耦，这意味着您可以加入新租户、修改其带宽分配或撤销其访问权限，而无需操作单个交换机命令行。对于管理数十个或数百分支机构的场所运营商而言，这种运营效率是颠覆性的。 物联网是您不可忽视的另一个维度。在现代多宿主单元（MDU）中 - 无论是酒店、零售综合体还是住宅楼 - 您都拥有建筑管理系统、暖通空调（HVAC）控制器、智能照明、门禁、CCTV以及越来越多其他联网设备。这些设备必须处于其独立的隔离 VLAN 中，与租户流量和访客流量完全隔开。物联网设备因难以修补补丁而臭名昭著，并且代表着巨大的攻击面。对它们进行细分、监控，并应用严格的出口过滤，以便它们只能与指定的管理平台进行通信。 好了，让我们开始实践。以下是我处理全新 MDU 部署的方法。 在触碰任何硬件之前，先从逻辑设计开始。规划出您的租户数量、流量类别 - 管理、企业、访客、物联网、支付 - 并相应地分配 VLAN。记录您的 IP 地址分配方案。定义您的跨 VLAN 路由策略：什么可以与什么通信，以及什么是绝对禁止的。 然后进行射频（RF）规划。委托进行一次适当的现场勘测。不要依赖供应商的覆盖图 - 它们顶多也就是乐观的估计。您需要物理空间中的实际信号测量，将墙壁材料、地板结构以及来自邻近建筑物的射频环境考虑在内。 在指定硬件时，优先选择支持集中式云管理的平台。在没有控制器的情况下，管理分布式 AP 资产的运营开销在规模化时是无法持续的。寻找那些能为您提供每 SSID 带宽策略、每租户报告以及与您的 RADIUS 基础设施集成的平台。 关于陷阱：我见过的最常见故障模式是干道端口（trunk port）配置不足。架构师设计了完美的 VLAN 方案，然后忘记在路径中的每个干道链路上明确允许相关的 VLAN。流量会静默丢包，租户会抱怨，支持团队要花几天时间追踪问题。一丝不苟地记录您的干道配置，并在调试期间对其进行验证。 第二个陷阱是 SSID 激增。您广播的每个 SSID 都会消耗信标帧的空中时间。在密集的环境中，每个 AP 广播八到十个 SSID 会降低每个人的性能。将您的 SSID 数量保持在最低必要水平 - 通常每个射频不超过四个。使用通过 RADIUS 属性的动态 VLAN 分配，而不是通过独立的 SSID，从而用单个 SSID 为多个租户提供服务。 第三个陷阱是忽视管理平面。您的管理 VLAN - 即您的 AP、交换机和控制器进行通信的 VLAN - 必须与所有租户和访客 VLAN 完全隔离。如果租户能够接触到您的管理平面，您就存在严重的安全漏洞。尽可能使用带外管理，并对管理流量应用严格的访问控制列表（ACL）。 现在，让我解答一些在这些部署中经常出现的问题。 单个 AP 能够支持多少个租户？实际而言，大多数企业级 AP 在性能下降之前，每个射频可处理 20 到 30 个并发活跃客户端。在密集的 MDU（多住户单元）中，应按照每 15 到 20 个活跃设备规划一个 AP，而不是按物理套间规划。 我需要为每个租户配备独立的 AP 吗？不需要 - 这正是基于 VLAN 的多租户技术的核心意义所在。多个租户共享同一个 AP，并在网络层强制执行流量隔离。 每个租户合适的带宽分配是多少？这没有统一的标准，但通常的起点是保证 10 到 25 Mbps 的带宽，并支持突发传输至可用上行链路的最大容量。使用 QoS 策略来强制执行此操作，防止任何单一租户耗尽共享的上行链路。 如何处理需要自己防火墙的租户？为他们提供专用的 VLAN 和路由交接点。他们将自己的 CPE 或防火墙连接到该交接点，其后的一切均由其自行负责。 总结一下：针对 MDU 的精心设计的多租户 WiFi 架构建立在四大支柱之上。第一，严格的 VLAN 细分，并在细分区域之间执行强制的防火墙策略。第二，基于控制器的集中式管理，为您提供大规模的操作可见性和策略控制。第三，合理的射频规划，充分考虑物理环境和部署密度。第四，从第一天起就解决身份验证、加密、IoT 隔离和合规性要求的安全模型。 做好这些的企业能够看到可衡量的成果：降低支持开销、加快租户入网速度、在审计中展现出色的合规姿态，并能够将网络连接作为一项服务进行变现，而不是将其视为成本中心。 如果您正在规划 MDU 部署，并希望探索 Purple 平台如何在您的网络基础设施之上提供分析、访客 WiFi 管理和租户级报告层，本指南中链接的资源是一个很好的起点。 感谢收听。我们下期再见。