Nama guild iPSK：企业综合指南

执行摘要

传统的 WiFi 安全面临着在两个不尽人意的选项之间进行抉择的困境。标准的 WPA2-Personal 虽然简单，但无法实现个人行为审计。一旦密码泄露，整个网络就会面临风险，而要撤销单个住户的访问权限，就意味着必须为所有人更改密码。采用 IEEE 802.1X 的 WPA2-Enterprise 或 WPA3-Enterprise 虽然能提供针对每个用户的控制，但却会导致游戏机、智能电视和 IoT 设备因无法处理数字证书而无法联网。

Identity Pre-Shared Key (iPSK) 解决了这一矛盾。它在单个 SSID 上为每个独立用户或设备分配一个唯一的密码，从而能够通过中央 RADIUS 服务器实现动态 VLAN 分配和二层隔离。对于长租公寓 (BTR) 运营商、房地产开发商和房东而言，iPSK 是多租户联网的绝对标准。它能 100% 支持住户设备，为每个套房创建专属的私有局域网，并通过与 Microsoft Entra ID、Okta 或 Google Workspace 等身份提供商集成的自动化生命周期管理来实现扩展。Purple 在超过 80,000 个活跃场所中实现了这一完整工作流的自动化，并与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 进行了无缝集成。

技术深度解析

Identity PSK 的工作机制

iPSK 对标准的 WPA2 四阶段 EAPOL 握手进行了优化。当客户端设备使用特定的预共享密钥与接入点 (AP) 关联时，接入点不会立即授予访问权限。相反，它会向中央认证服务器发送一个 RADIUS 请求报文。该请求包含厂商特定属性。对于 Cisco Meraki，这些是 Meraki-IPSK 属性。RADIUS 服务器对其已配置 iPSK 的数据库进行字典比对检查。如果找到匹配项，它会响应一个包含该密码的准入接受报文，并且最关键的是，还会通过 Tunnel-Private-Group-Id 属性实现动态 VLAN 分配。

这种架构不需要任何证书基础设施。客户端设备看到的只是一个标准的 WPA2-Personal 网络，并使用密码进行连接。所有的复杂性完全由接入点和 RADIUS 服务器之间处理。这就是为什么 iPSK 能够 100% 支持消费级设备的原因 - 游戏机、智能电视、无线打印机和 IoT 传感器都可以使用与在家中相同的简单密码体验进行连接。

二层隔离与私有局域网

在多租户环境中，在数百套公寓中部署单个 SSID 有利于射频（RF）规划，但如果没有适当的隔离，会带来严重的安全风险。iPSK 可以为每个住户创建私有局域网（PAN）。

当住户使用其唯一的 iPSK 进行身份验证时，RADIUS 服务器会将他们的设备分配到特定的 VLAN。网络基础设施会强制在这些 VLAN 之间进行二层（Layer 2）隔离。一个住户的 iPhone 可以看到自己的打印机或 Chromecast，但隔壁公寓的住户无法发现或与这些设备互动。这种微隔离对于遵守 GDPR 和维护住户信任至关重要。

由于每个住户都有自己隔离的 VLAN，您可以在该特定 VLAN 内启用 mDNS 反射。mDNS 是支持 AirPlay、Chromecast 投屏和无线打印的协议。在每个住户的私有 VLAN 内启用 mDNS 反射可以让其自身的设备之间进行通信，同时保持与其他所有住户的完全隔离。其结果是在共享基础设施上获得家一般的体验。

硬件厂商实现方式

每个主流的企业级 WiFi 硬件厂商都支持单设备 PSK，但产品名称不同。下表将厂商术语映射到基础技术。

Purple 独立于硬件，并在所有这些平台之上提供统一的管理层。您不会被锁定在单一厂商，并且可以在不重建身份验证基础设施的情况下迁移硬件。

实施指南

部署 iPSK 需要无线基础设施、RADIUS 服务器和身份提供商之间的协调。请按照以下步骤进行正确部署。

步骤 1 - 规划您的 VLAN 架构。 为每个住宅单元分配一个 VLAN。在拥有 300 个单元的开发项目中，您需要 300 个 VLAN。标准 802.1Q 支持 4,094 个 VLAN，这对于大多数 BTR（新建出租住宅）开发项目来说已经足够了。对于更大规模的部署，请规划 VXLAN 覆盖网络。

步骤 2 - 部署您的 RADIUS 服务器。 Purple 提供 99.999% 可用性的云托管 RADIUS 服务。将您的无线控制器指向 Purple 的 RADIUS 端点。配置接入点（AP）与 RADIUS 服务器之间的共享密钥。 第 3 步 - 配置无线控制器。 创建一个采用 WPA2-PSK 安全模式的单一 SSID。启用厂商特定的 iPSK 或 PPSK 开关。启用 AAA 覆盖，以便 RADIUS 响应可以动态分配 VLAN。在 SSID 级别禁用客户端隔离 - 隔离将在每个 VLAN 级别进行处理。

第 4 步 - 集成身份提供商。 将 Purple 连接到 Microsoft Entra ID、Okta 或 Google Workspace。Purple 会读取住户目录，并为每位住户自动配置唯一的 iPSK 和 VLAN 分配。

第 5 步 - 配置授权变更 (CoA)。 在 Purple 与您的无线控制器之间设置 CoA。这允许 Purple 在住户租约终止时发送断开连接消息，从而强制立即终止会话。

第 6 步 - 启用每个 VLAN 的 mDNS 反射。 配置您的网络交换机和无线控制器，以便在每个 VLAN 边界内反射 mDNS 流量。这可以在每个公寓内启用 AirPlay、Chromecast 和无线打印，而不会在整栋建筑中泄露发现流量。

有关设计整体 WiFi 架构的更多信息，请参阅我们的指南： 三个统治一切的 SSID：访客、Passpoint 和 IoT WiFi 。

最佳实践

避免 MAC 地址随机化失败。 现代智能手机会随机化其 MAC 地址以保护用户隐私。如果您的 iPSK 实现依赖于 MAC 地址旁路 (MAB)，随机化将破坏身份验证。确保您的基础设施使用现代基于 EAPOL 的 iPSK 验证，其中密码本身就是验证器，而不是 MAC 地址。

规划 RADIUS 性能。 由于 EAPOL 握手期间需要进行字典检查，iPSK 给 RADIUS 服务器带来的计算负载比标准 PSK 更重。请使用云托管的高性能 RADIUS 服务。Purple 的 RADIUS 基础设施专为这种工作负载而构建，并在 80,000 多个场所中保持 99.999% 的在线率。

尽早解决 WPA3 兼容性问题。 iPSK 目前在 WPA2 上运行。如果您正在 6 GHz 频段上部署 WiFi 6E 或 WiFi 7 接入点，您需要为这些客户端制定单独的 WPA3-Enterprise 策略。6 GHz 频段强制要求 WPA3 安全，而 WPA3 目前不支持以同样的方式支持 iPSK。规划双频策略：在 2.4 GHz 和 5 GHz 上使用 WPA2 iPSK，在 6 GHz 上使用 WPA3-Enterprise。

自动交付凭据。 请勿通过电子邮件发送纯文本密码。Purple 通过安全、品牌化的门户网站或通过 Purple 应用程序向住户交付凭据。这创建了凭据交付的可审计记录，并确保住户可以在不联系服务台的情况下自行重置密码。

在上线前测试 mDNS 反射。 部署 iPSK 后，住户最常见的抱怨是他们的 Chromecast 或 AirPlay 无法工作。在调试期间测试每个 VLAN 中的 mDNS 反射。在交接前，使用同一住户 VLAN 上的笔记本电脑和 Chromecast 并验证投屏是否正常工作。 有关您的 WiFi 网络如何给居民留下第一印象的相关指南，请参阅 如何通过您的访客 WiFi 留下良好的第一印象 。

故障排除与风险缓解

密钥撤销后的过期会话。 这是 iPSK 部署中最常见的失效模式。在 RADIUS 数据库中撤销密钥可以防止未来的连接，但不会断开活动会话。在您的无线控制器上配置 CoA，并确保 Purple 在每次密钥撤销事件中发送 CoA 断开连接消息。

VLAN 耗尽。 在超大型多租户部署中，您可能会耗尽 4,094 个 VLAN 的限制。通过使用 VXLAN 叠加或在交叉污染风险微不足道的非相邻单元之间共享 VLAN 来缓解此问题。

RADIUS 服务器不可用。 如果您的 RADIUS 服务器掉线，将无法连接新设备。使用备用服务器配置 RADIUS 故障转移。Purple 的云 RADIUS 服务包含内置冗余和 99.999% 的运行时间 SLA。

密钥同步延迟。 当新居民入住时，物业管理系统中的租赁签约与 RADIUS 中配置 iPSK 之间可能会出现延迟。将您的物业管理系统直接与 Purple 的 API 集成，以自动进行配置并消除这一差距。

ROI 与业务影响

消除每户的消费级路由器改变了多租户 WiFi 的经济效益。一个典型的拥有 300 个单元的 BTR（建房出租）开发项目可能会在每个单元的消费级路由器上花费 £150 - £200，总计高达 £60,000 的硬件费用，且每三到五年就需要更换一次。在走廊和公共区域采用集中的企业级接入点可降低硬件成本，并消除在已入住公寓中更换损坏的消费级路由器的运营开销。

更重要的是，您提供了即开即用的居民体验。居民在走进大门的那一刻，就可以使用在入住日前安全送达的凭证连接到 WiFi。这种优质的便利设施提高了租户满意度，并支持更高的租金收益。根据物业行业的研究，托管 WiFi 现在被居民列为他们在 BTR 开发项目中期望的前三大便利设施之一。

Purple 的 Multi-Tenant WiFi 解决方案可安全地隔离流量并支持居民智能设备，并由我们全球网络收集的 290 亿个数据点提供支持。我们的 WiFi Analytics 平台让物业经理能够直观地了解网络利用率，帮助您合理调整基础设施投资，并向投资者展示托管 WiFi 便利设施的价值。 对于希望将住户互动延伸到网络连接之外的 BTR 运营商，Purple 的 Guest WiFi 平台可与物业管理系统集成，以提供定向沟通和忠诚度计划。另请参阅我们的指南 如何利用群发短信进行营销以增加回头客 ，获取关于留住住户的实用策略。