Nama ff iPSK ind：企业综合指南

执行摘要

对于长租公寓（BTR）运营商、物业开发商和多住宅单元（MDU）业主而言，WiFi 不再是可有可无的配套设施。它是居民在签署租约前会评估的公用设施。传统的组网方式在面对规模化部署时往往会失效：共享 PSK 网络会让一个居民的设备暴露给所有邻居，802.1X Enterprise 身份验证会阻止居民所依赖的智能家居设备联网，而每个单元内安装物理路由器则会产生严重的射频（RF）干扰，降低整个建筑的网络速度。

Identity PSK (iPSK) 解决了所有这三个问题。它在整个建筑的单一网络上为每个家庭分配唯一的 WiFi 密码。每个密码都映射到一个隔离的 VLAN，为每位居民创建一个私有的“WiFi 气泡”。气泡内的设备可以相互发现 - 手机可以投屏到电视，游戏机可以连接到互联网，智能音箱可以响应语音命令 - 同时对邻居完全不可见。Purple 将其作为硬件无关的云端覆盖方案进行交付，可运行在您已拥有的 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 接入点上。其结果是每套公寓每月可获得 15 至 30 英镑的租金溢价，空置期缩短 5 至 10 天，且与单个宽带合同相比，单门连接成本降低了 30% 至 50%。

技术深度剖析

iPSK 的实际作用

iPSK (Identity Pre-Shared Key) - 在 HPE Aruba 中被称为 PPSK，在 Cisco Meraki 中被称为个人私有网络，在 Cambium 和 Juniper Mist 中被称为 ePSK - 允许单个 SSID 同时接受数千个不同的密码。每个密码对居民或家庭都是唯一的。网络将该密码作为身份信号，而不仅仅是开门的钥匙。

当居民的设备连接时，接入点（AP）不只是简单地检查密码是否正确。它会将身份验证请求转发给 RADIUS (Remote Authentication Dial-In User Service) 服务器。RADIUS 服务器根据居民的配置文件验证该密码，并返回一个包含特定策略属性（最重要的是分配给该居民的 VLAN ID）的 Access-Accept 消息。然后，AP 会用正确的 VLAN 标记来自该设备的所有流量，并将其置于该居民隔离的网络段内。

这种动态 VLAN 分配是创建每户居民 WiFi 气泡的机制。居民 A 的手机、笔记本电脑和智能电视都共享相同的 VLAN，并可以使用多播和广播协议（用于 AirPlay 和 Chromecast 的 mDNS，用于 DLNA 的 SSDP）进行自由通信。居民 B 的设备则位于完全独立的 VLAN 中，对居民 A 是不可见的，即使这两个家庭共享相同的物理接入点。

为什么 802.1X 不适用于住宅环境

IEEE 802.1X 是企业网络身份验证的黄金标准。它要求每个设备通过 EAP（可扩展身份验证协议）交互向 RADIUS 服务器出示用户名和密码或数字证书。住宅环境中的问题在于设备兼容性。智能灯泡、语音助手、游戏机和大多数物联网传感器不包含 802.1X 客户端软件。它们无法参与 EAP 交互。在住宅网络中强制使用 802.1X 意味着居民无法连接其智能家居设备，这会产生大量的支持电话和严重的居民不满。

iPSK 在客户端级别使用 WPA2-Personal 或 WPA3-Personal，所有消费级设备都支持该级别。企业级的身份逻辑完全在接入点（AP）和 RADIUS 服务器之间的后端运行，对连接设备是不可见的。

身份验证流程详解

以下序列描述了从居民设备连接那一刻起所发生的过程：

1. 设备广播探测请求并与 SSID 关联。
2. 设备在 WPA2/WPA3 四次握手期间发送其密码短语。
3. AP 拦截密码短语并构建 RADIUS Access-Request，其中包含设备 MAC 地址以及作为 Cisco AV-Pair 属性（psk-mode 和 psk-password）的密码短语。
4. 云 RADIUS 服务器（Purple 的 RADIUS-as-a-Service）对照居民数据库验证该密码短语。
5. 验证成功后，RADIUS 服务器返回一个 Access-Accept，其中包含该居民的 VLAN ID、QoS 策略和带宽配置文件。
6. AP 将设备分配到指定的 VLAN 并完成关联。
7. 设备从该 VLAN 的 DHCP 作用域获取 IP 地址，并在其隔离网段内上线。

整个序列在 500 毫秒内完成，对居民来说是完全透明的。

厂商实现说明

核心概念已标准化，但不同厂商的实现在术语和配置上有所不同：

Purple 的云 RADIUS 层屏蔽了这些厂商之间的差异，无论底层硬件如何，都能提供统一的管理界面。

实施指南

步骤 1：网络细分与 IP 地址规划

高密度住宅网络需要周密的子网规划。一个典型家庭会连接 15 - 25 台设备。一栋拥有 200 个套间的建筑在高峰期可同时容纳 3,000 - 5,000 台设备。标准的 /24 子网仅提供 254 个可用 IP 地址，这甚至不足以满足单个楼层的需求。

为客户端 VLAN 使用 /20 或 /21 子网。/20 子网提供 4,094 个可用地址；/21 子网提供 2,046 个可用地址。为您的网络基础设施分配一个专用的管理 VLAN，为建筑 IoT 系统（门禁、CCTV、HVAC）分配一个独立的 VLAN，而个人住户的 VLAN 则由 RADIUS 服务器动态处理。

在 AP 层级启用 VLAN 之间的客户端隔离，但确保允许 VLAN 内部通信，以便同一住户气泡内的设备可以自由通信。

步骤 2：RADIUS-as-a-Service 集成

Purple 的云 RADIUS 无需部署和维护本地 RADIUS 基础设施。配置您的 AP 以指向 Purple 的 RADIUS 端点（主端点和备用端点以实现冗余）。Purple 的运行时间达到 99.999%，确保即使在维护窗口期间也能保证认证可用性。

对于使用 Microsoft Entra ID 或 Okta 作为其身份提供商的物业，Purple 通过 SCIM（跨域身份管理系统）进行集成，以自动同步住户档案。这意味着当在您的身份提供商中添加或删除住户时，系统会自动配置或撤销其 iPSK，无需人工干预。

步骤 3：自动化租户生命周期

iPSK 的运营效率取决于与您的物业管理系统（PMS）的集成。工作流程应为：

签署租约时： PMS 触发向 Purple 的 API 调用。Purple 为该单元生成一个唯一的 iPSK，将其存储在住户的档案中，并通过电子邮件将密码发送给住户。无需人工 IT 参与。

入住时： 住户使用电子邮件发送的密码连接其设备。所有设备会立即放入其隔离的 VLAN 中。该体验与设置家用宽带路由器完全相同。

租期内： 住户使用 Purple 应用程序添加新设备、检查连接状态并管理其网络。无屏 IoT 设备（智能插座、传感器）可以通过自服务门户网站按 MAC 地址进行注册。

退房时： PMS 触发撤销 API 调用。Purple 立即使该住户的 iPSK 失效。其他住户不受任何影响。该单元的 VLAN 被清除，并为下一位住户做好准备。

步骤 4：RF 规划与接入点部署

用托管网络替换单户路由器可以显著减少大楼内的无线电发射器数量。在一个拥有 200 套住宅的大楼中，移除 200 台消费级路由器可以消除同频干扰的重要来源。在走廊或特制的室内位置部署企业级 AP，目标是在每套住宅的最远点达到 -65 dBm 或更佳的信号强度。

对于具有厚混凝土墙或复杂户型的大楼，应使用部署在室内的壁挂式 AP，而不是走廊安装的 AP。在安装前，配合您的 AP 供应商的 RF 规划工具（Cisco Meraki RF Planner、Aruba AirMatch、Ruckus SmartRF）对覆盖范围进行建模。

最佳实践

广播流量管理

高设备密度会放大广播流量。来自数千台设备的 mDNS、ARP 和 SSDP 帧会消耗大量空中时间。在您的 AP 上启用多播到单播（Multicast-to-Unicast）转换，将广播帧转换为定向单播传输。这可以减少空中时间浪费，并提高移动设备的电池寿命。

特别是对于 mDNS，部署 mDNS 网关或代理（Cisco Meraki、Aruba 和 Ruckus 原生提供），以在需要时处理跨 VLAN 的服务发现，例如公共区域中面向全楼的打印服务。

CGNAT 和游戏 NAT 类型

在大规模部署中，IPv4 地址耗尽需要采用运营商级 NAT (CGNAT)。然而，严格的 CGNAT 配置会破坏点对点游戏流量，导致 PlayStation 和 Xbox 主机上出现严格或 3 型 NAT。将您的网关配置为支持住户 VLAN 的 UPnP (通用即插即用) 或 PCP (端口控制协议)。这允许主机自动协商开放端口映射，而无需手动配置防火墙规则。

安全与 GDPR 合规性

住户 WiFi 数据处于敏感的隐私上下文中。住户与运营商有着长期的关系，数据暴露的时间长达数年，而非数分钟。关键合规注意事项包括：

住户隔离作为隐私要求： 在 GDPR 框架下，运营商有责任防止一名住户访问另一名住户的数据或设备。 iPSK 的 VLAN 隔离是满足这一要求的技术机制。

数据保留： 仅在运营必要的时间内保留可识别住户身份的 WiFi 连接日志。出于安全和合规目的，通常以六个月为上限。

数据驻留： Purple 默认将数据存储在位于欧盟的基础设施中，并在英国脱欧后提供特定于英国的数据驻留选项。 Purple 拥有 ISO 27001、 GDPR 和 Cyber Essentials 认证。

同意： 住户在入驻时应确认一份明确的可接受使用政策。 Purple 的自助服务门户包含可配置的同意流程。

真实案例研究

案例研究 1：拥有 350 套住宅的 BTR 项目

英国某大城市的一家管理着 350 套 BTR（建后出租）公寓的房地产开发商面临三个难题：350 个独立的家用路由器造成了严重的射频（RF）干扰、宽带开通平均需要等待 72 小时导致入住延迟，以及支持团队将 40% 的时间花在与 WiFi 相关的工单上。

该运营商使用现有的 Cisco Meraki AP，在整栋大楼中部署了 Purple 的 Multi-Tenant WiFi。Purple 通过 API 与该物业现有的 PMS 进行了集成。签署租约后，租户通过电子邮件收到了他们唯一的 iPSK。在入住当天，网络连接即时开通。由于拆除了 350 个家用路由器，射频环境显著改善，整栋大楼的平均网速提升了 35%。得益于自助设备管理门户以及智能设备配对问题的消除，在最初的三个月内，与 WiFi 相关的支持工单减少了 60%。

案例研究 2：拥有 1,200 个床位的学生公寓

一家专门建造的学生公寓（PBSA）运营商需要在学年开始的单个周末内，为 1,200 名学生办理入住并开通网络。以前的共享 PSK 系统需要员工手动分发密码表，并处理数百个来自无法连接游戏机和智能电视的学生的求助电话。

通过在 HPE Aruba 接入点上部署基于 Purple 的 iPSK，每位学生在抵达前随迎新礼包收到了他们唯一的密钥。学生们在入住前的一周内通过 Purple 应用程序注册了他们的无屏设备（游戏机、智能电视）。在入住周末，IT 团队在 1,200 名学生中仅处理了不到 20 个网络连接支持电话 - 与前一年相比减少了 94%。mDNS 代理配置解决了此前产生最多工单的所有 Chromecast 和 AirPlay 配对问题。

投资回报率（ROI）与业务影响

对于 BTR 和 MDU（多住户单元）运营商而言，管理型 iPSK WiFi 的财务优势显而易见。英国房地产联合会（British Property Federation）的研究以及 Purple 自身来自 80,000 多个真实场所的数据支持以下基准指标：

净营运收入（NOI）的影响通过三个维度产生复合效应：直接的租金溢价、空置期收入损失的减少，以及 IT 支持开销的降低。在一栋拥有 200 套房的大楼中，以每套房每月 20 英镑的溢价计算，年收入增长可达 48,000 英镑。在不考虑能源节省和维护时间的情况下，仅在五年周期内，省去 200 个平均更换成本为 80 英镑的家用路由器，就可以节省 16,000 英镑的硬件成本。 Purple 的定价模式按每单元每月计算，不捆绑宽带合同，这意味着运营商可以获取 WiFi 服务的全部价值，而无需与第三方 ISP 分成。

延伸阅读

有关相关网络设计主题，请参阅 主宰一切的三个 SSID：访客、Passpoint 和物联网 WiFi 和 iPSK：企业完整指南 参考指南。要了解底层平台，请探索 访客 WiFi 和 WiFi 分析 。Purple 为 酒店餐娱 、 零售 、 医疗保健 和 交通运输 垂直领域的运营商提供服务。