服务式办公室和共享办公空间托管 WiFi：租户隔离与计费

服务式办公室和联合办公运营商通过为每个会员企业分配独立的网络身份来实现租户隔离。该身份是在同一个共享网络上的专有 WiFi 密钥或 802.1X 登录凭证，并映射到其专属的 VLAN。访客、日间通行证和会议室则使用独立的 Captive Portal。带宽层级会与每个身份关联，并通过您的工作空间管理系统进行计费。

您的服务式办公室应该选择哪种租户隔离模式？

对大多数运营商而言，正确的解决方案是包含三个部分的分层设计：

• 在同一个共享会员网络上为每个会员企业提供一个专有密钥。
• 将使用托管笔记本电脑的企业租户迁移到 802.1X。
• 将所有访客、日间通行证和会议室预订放置在独立的 Captive Portal 网络上。

该设计解决了服务式办公室 WiFi 的核心痛点。数十家公司共享相同的接入点，但每家公司都希望网络表现得像自己独立的办公室一样。会员希望看到自己的打印机和文件服务器，而不是其他人的设备。而您希望管理一个统一的网络资产，而不是为每个租户管理一个单独的网络。

为什么每个公司分配一个 SSID 会失效

SSID（服务集标识符）是设备看到的网络名称。最直观的解决办法是每家公司分配一个 SSID，但这在规模化扩展时会失效。根据 IEEE 802.11 标准，每个 SSID 默认每 102.4 毫秒广播一次自己的信标帧。信标以最低的基本数据速率发送，因此会占用大量空口时间。10 个租户意味着每个射频频段上都有 10 套信标。这些被占用的空口时间原本属于您会员付费购买的网络容量。

采用客户端隔离的共享密码是另一种常见的捷径。客户端隔离会阻止设备之间相互通信，包括同一家公司的笔记本电脑和打印机。当一名会员离职时，您不得不更改密码，从而导致其他每家公司都需要重新配置所有设备。

可规模化扩展的模式：共享网络上的身份识别

可扩展的架构模式将网络名称与网络身份进行了解耦。每家会员公司连接同一个 SSID，而其提供的凭证决定了它最终进入的区域。

有两种方法可以承载这种身份：

• 身份预共享密钥 (iPSK)。 每家公司或每台设备在同一个 SSID 上获得专属的密码。不同厂商对此有不同的称呼。Cisco Meraki 称之为 iPSK，HPE Aruba 称之为 MPSK，Ruckus 称之为 DPSK。通用的术语是 PPSK（私有预共享密钥）。
• IEEE 802.1X。 每位员工或每台设备进行单独认证。PEAP（受保护的扩展身份验证协议）使用用户名和密码。EAP-TLS（扩展身份验证协议 - 传输层安全性）使用数字证书。

这两种方法都会交接给 RADIUS (远程用户拨号认证服务) 服务器。RADIUS 会核对凭据，并告知接入点要使用哪个 VLAN。VLAN (虚拟局域网) 是逻辑上独立的网络段。RFC 3580 定义了用于该 VLAN 分配的标准 RADIUS 属性。一个公司的 VLAN 中的流量在不经过您防火墙的情况下，无法到达另一家公司的 VLAN。

Purple Multi-Tenant WiFi 在您现有的接入点上作为云端覆盖层运行此模式。每个成员公司都会获得一个私有区域网络 (PAN)，即基于共享基础设施的私有网络隔离圈。Purple 的 Cloud RADIUS 会核对身份并返回 VLAN，因此您无需在本地托管 RADIUS 服务器。

按公司 PSK、802.1X 与 Captive Portal 接入方式的实质差异

下表根据决定多租户部署的核心要素，对运营商考量的四种模式进行了对比。

	共享密码	按公司 iPSK	802.1X (PEAP 或 EAP-TLS)	Captive Portal
设备如何连接	所有租户使用同一个密码	每个公司或每台设备使用一个密码	个人登录信息或设备证书	加入后通过 Web 登录页面操作
如何隔离租户	仅靠客户端隔离	每个公司分配 RADIUS 分配的 VLAN	每个公司或角色分配 RADIUS 分配的 VLAN	访客 VLAN 上的客户端隔离
打印机、屏幕和 IoT 设备	支持	支持	对无头设备的支持有限	不适用
入驻新公司	共享现有密码	创建一个密钥	创建账号或颁发证书	无需操作，访客自助服务
当公司离开时	重新设置整个建筑的密钥	删除一个密钥	在目录中禁用账号	会话按定时器过期
安全标准	WPA2 或 WPA3-Personal	WPA2-Personal，及厂商支持情况下的 WPA3-Personal	WPA2 或 WPA3-Enterprise	开放网络或 OWE，加上 Portal
最佳适用场景	不推荐用于多租户场景	中小型成员公司	拥有托管设备的企业租户	访客、一日通票、会议室、活动

OWE (机会无线加密，RFC 8110) 可在无需密码的情况下加密开放网络。它可以保护访客 SSID 上的访客免受被动窃听。

接入点背后的 VLAN 设计需求

Purple 控制身份认证和 VLAN 分配。您的交换机和防火墙仍然负责实施隔离，因此有线网络设计与无线网络设计同等重要。

• 每个成员公司分配一个 VLAN，各自拥有用于分配 IP 地址的专属 DHCP (动态主机配置协议) 作用域。
• 防火墙在 VLAN 之间实施默认拒绝。允许访问互联网，以及您选择开放的任何共享服务，例如大楼打印机。
• 匹配有线端口。 公司私有办公室内的端口与其 WiFi 处于同一个 VLAN。这样桌面扩展坞和笔记本电脑就能看到同一个网络。
• 在访客 VLAN 上启用客户端隔离，确保访客无法访问彼此的设备。

针对随机设备地址做好规划

运行 iOS 14 及以上版本的 Apple 设备和运行 Android 10 及以上版本的 Android 设备默认对每个网络使用随机 MAC 地址。任何通过硬件地址识别会员的设计都会失灵，无论是对于一日通行证还是计费。请务必将访问权限和计费与密钥或登录信息绑定，切勿与 MAC 地址绑定。

何时选择按公司分配 iPSK 是正确的决策

iPSK 适合大多数共享办公会员。它适用于任何支持 WPA2-Personal 的设备，包括打印机、智能电视和会议室视频条形音箱。会员不需要 IT 部门，除了输入密码外无需任何配置。您只需为每家公司管理一条记录。

尽早决定是使用按公司分配还是按设备分配密钥。按公司分配的密钥分发起来更简单。按设备或按人员分配的密钥允许您在不更改所有人密码的情况下注销一台丢失的手机。许多运营商将两者结合使用：将公司密钥用于共享硬件，将个人密钥用于员工。

购买前请检查一个细节。WPA3-Personal 用 SAE（等效同时身份验证）取代了 PSK 握手。请确认您的接入点是否支持在 WPA3-Personal（而非仅 WPA2-Personal）下每个 SSID 使用多个密钥。

以下场景均为经过实际验证的设计方案，其效果已在网络本身中得到衡量。

实操场景：设有服务式办公楼层的酒店

现状。 一家拥有 180 间客房的城市酒店将其一楼改建为 12 间服务式办公室。所有 12 家租户共享一个密码，与访客网络相互隔离。当有租户搬离时，酒店更改了密码，导致其他 11 家公司必须重新配置每台设备。此外，其中一家租户的网络打印机对整个楼层完全可见。

实施方案。 酒店创建了一个会员 SSID 并配有 12 个 iPSK，每个 iPSK 均映射到其独立的 VLAN。每个办公室内的有线端口均迁移至对应的 VLAN 上。酒店为客房和大堂的宾客保留了基于独立 Captive Portal SSID 的 Guest WiFi。

结果。 受租户离职影响的公司数量从 12 家减少到 1 家。酒店仅运行两个 SSID，而不是每租户单设网络设计所需的 13 个。每台打印机变得仅在其所在公司的 VLAN 内部可见。相同的模式适用于任何为其业务增设办公空间服务的 Hotels。

何时选择基于会员身份的 802.1X 是正确的决策

当租户拥有自己的 IT 团队和托管笔记本电脑时，请将其迁移至 802.1X。当其安全策略要求基于证书的访问时（这在金融和医疗保健类会员中很常见），也应采取相同的做法。

EAP-TLS 完全消除了共享密码。每台托管的笔记本电脑都包含一个证书，吊销该证书即可撤销该设备的访问权限。PEAP 则改为使用租户的目录凭据。这更容易推广部署，但它继承了密码过期问题以及随之而来的技术支持呼叫。

Purple 基于身份的网络将网络访问权限与身份绑定，而非共享密钥。Purple 可与 Microsoft Entra ID、Okta 及 Google Workspace 相连接。入职、转岗和离职流程均在身份层进行处理。当离职人员在租户目录中被禁用时，在其下一次身份验证时就会失去 WiFi 访问权限，无需您的团队采取任何操作。

个人安全与企业安全不能共享同一个 SSID，因为它们使用不同的身份验证方法。因此，企业租户需要第二个会员 SSID。请保持只有一个，由每个 802.1X 租户共享，并按公司分配 VLAN。

对于拥有多个中心的运营方，可以考虑使用 Passpoint (Hotspot 2.0)。它允许设备使用存储的配置文件自动且安全地加入网络。OpenRoaming 是基于 Passpoint 构建的无线宽带联盟（Wireless Broadband Alliance）联盟，Purple 对其提供支持。无论采用哪种方式，会员都可以在您的不同场地之间无缝移动，无需再次登录。

操作场景实例：市政局企业枢纽

情况。 一个由市政局运营的企业中心托管着 40 家初创企业和一支 25 人的市政局经济发展团队。市政局 IT 部门要求为其托管的笔记本电脑使用 802.1X。市政局团队曾与该中心共同安装了自己的无线接入点，导致两层楼的硬件数量翻倍。

采取的措施。 该中心整合为一个接入点架构，包含三个 SSID。第一个是会员 SSID，拥有映射到 40 个 VLAN 的 40 个 iPSK。第二个是 802.1X SSID，针对市政局目录使用 EAP-TLS，并映射到市政局 VLAN。第三个是带有 Captive Portal 的访客 SSID。

结果。 两层楼上的第二个接入点架构被移除。中心运行三个 SSID，取代了每个租户一个（共 41 个）的方案。当 IT 部门在目录中禁用离职人员时，这些人员就会失去 WiFi 权限，中心工作人员无需进行任何更改。

访客、一日通行证和会议室如何安排？

访客永远不会接触会员网络。Captive Portal 是设备在连接互联网之前看到的网页。它位于独立的访客 SSID 和 VLAN 上，并启用了客户端隔离。

三类访客需要不同的规则：

• 会员访客。 为会员公司到访的客户和求职者提供来自前台或 Portal 的限时访客访问权限。他们不会获得公司的密钥。
• 一日通行证持有者。 在签到时签发一份在闭馆时间到期的凭据。转为固定工位会员的一日通行证持有者将切换到会员 SSID 上的个人密钥。
• 会议室预订者。 外部预订者将获得一个在预订窗口期内有效的验证码。预订会议室的会员已经拥有自己的网络，无需任何额外配置。

在 GDPR 合规要求下，访客登录信息属于个人数据，因此只需收集所需的信息。通过明确的选择性同意（opt-ins）获取营销同意，而不是使用预先勾选的复选框。在上线前设置登录记录和网络日志的保留期限。共享 WiFi 运营方的 GDPR 数据保留：您可以保留访客登录数据和网络日志多长时间 介绍了具体限制。

日票和会议室访客就是您未来的会员。获取同意的访客数据能为您的销售团队提供关于谁来访问、访问频率以及他们预订了哪些空间的第一方数据。WiFi 分析 可显示休息室和会议室的访问频率与逗留时间，为定价和空间布局提供依据。

实际案例：联合办公空间内的活动场地

背景。 一家拥有 300 人容量活动厅的灵活办公空间每周举办晚间活动。由于访客网络没有活动模式，前台工作人员会将会员密码直接提供给与会者。

做法。 每个活动在访客 SSID 上都会获得专属访问代码，有效期为 17:00 至 23:00。每台设备的速率限制为 10 Mbps，以保护共享上行链路上的会员流量。 Portal 页面为与会者提供自主勾选选项，同意接收组织者的后续跟进。

结果。 从那时起，再也没有与会者收到过会员密码。访问在 23:00 自动结束，无需任何手动更改。每个同意选项都成为了活动团队可用于下次预订推广的第一方数据。

每种模式的运行成本以及计费工作原理

按模式划分的运行成本

抛开许可费用不谈，每种模式的真实成本是人员时间以及配套基础设施。

• iPSK 的每个租户管理成本最低：一家公司一个密钥，员工离职时只需删除一次。 Cloud RADIUS 替代了您原本需要托管和打补丁的服务器。
• 采用 PEAP 的 802.1X 依赖于租户的目录系统。当密码过期且设备断开网络连接时，可能会引发服务台求助电话。
• 采用 EAP-TLS 的 802.1X 需要 PKI（公钥基础设施）来颁发证书，并需要设备管理系统来进行安装。其部署成本最高，但持续的安全风险暴露最低。
• Captive Portal 几乎不需要对每个访客进行人工管理。您的主要成本在于符合 GDPR 关于数据留存和同意要求的合规工作。

硬件很少是成本的主要驱动因素。云端叠加层可以直接运行在您现有的接入点上，详见 为什么您的下一次 WiFi 升级不需要新硬件。

网络可以强制执行的计费模式

只有当网络能够强制执行账单上的条款时，计费才是合理的。下面的每种模式都将一项收费映射到一项控制措施以及证明该收费的数据上。

计费模式	您的收费方式	由什么强制执行	您需要的数据
打包计费	WiFi 费用已包含在会员费中	公司密钥或登录账号在会员资格生效期间保持激活	每家公司的激活或撤销状态
带宽分级	月度附加项，例如 100 Mbps、500 Mbps 或 1 Gbps	附加至公司身份的速率限制	每个公司 VLAN 的吞吐量
专向上行链路	透传专用线路成本并附加利润	策略路由将公司 VLAN 发送至其专向上行链路	每月上行链路利用率
日票	按天收费，在前台或在线支付	在关门时间到期的凭据	每个凭据的颁发和到期日志
会议室	已包含在会议室预订价格中	代码在预订窗口期内有效	预订参考号与每个代码相关联

速率限制通过 RADIUS 厂商特定属性或接入点上的每组策略附加到每个身份。不同厂商的机制有所不同，因此在定价之前，请先在您自己的硬件上测试每个层级。

通过您的办公空间管理系统进行入职引导

您的办公空间管理平台中已经保存了会员记录。目标是让每个会员事件都能触发相应的网络事件：

1. 签署合同后将创建公司的密钥或企业 VLAN。
2. 层级升级会更改该身份上的速率限制。
3. 搬离日期将在租期结束时撤销密钥。

通过这种方式建立连接，离职者会在合同结束当天失去访问权限，而不是在有人想起来处理的那一天。在签署前，请要求包括 Purple 在内的任何供应商针对您的平台演示此流程。有关运行企业级网络的更多背景信息，请参阅 WiFi in business。

如何为您的办公空间做出决定：设计与买方清单

决策矩阵

您的现状	建议
多达 50 家拥有混合设备的小型会员公司	一个 iPSK 会员 SSID 加一个访客 Portal SSID
拥有独立 IT 和托管笔记本电脑的企业租户	增加一个带有 EAP-TLS 的 802.1X SSID，每个租户分配一个 VLAN
拥有跨区域漫游会员的多个中心	在每个站点配置相同的 SSID，并增加 Passpoint 或 OpenRoaming
频繁举办活动和会议室租赁业务	在访客 SSID 上使用限时代码，并设单设备上限
接受刷卡支付的租户	专用 VLAN 和已记录的防火墙规则，以缩减 PCI-DSS 评估范围

PCI-DSS 指南将网络切片视为缩小评估范围的一种方法。请记录隔离接受支付租户的 VLAN 的防火墙规则，因为评估人员会要求提供这些规则。

设计清单

1. 将网络环境中的 SSID 限制为三个：会员 iPSK、会员 802.1X 和访客。
2. 为每个会员公司创建一个 VLAN 和 DHCP 作用域。
3. 在 VLAN 之间设置默认拒绝，并为共享服务设置显式允许规则。
4. 将独立办公室的有线端口映射到各个公司的 VLAN。
5. 在访客 SSID 上启用客户端隔离和 OWE。
6. 定义带宽层级，并在您的接入点上测试每个速率限制。
7. 将日票和计费与凭据绑定，切勿绑定 MAC 地址。
8. 在上线前设置访客数据和网络日志的保留期限。

买方清单

1. 硬件支持。 该平台是否支持在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上运行？Purple 兼容所有这八家厂商的硬件。
2. 单一平台支持每种模式。 它能否通过统一的单点管理界面（Single Pane of Glass）管理 iPSK、802.1X 和 Captive Portal 访问？
3. 动态 VLAN。 它的 RADIUS 是否使用标准 RFC 3580 属性按身份返回 VLAN？
4. 基于身份的速率限制。 带宽层级能否绑定到公司而非 SSID？
5. 生命周期自动化。 会员事件能否在无需人工干预的情况下创建、更改和撤销网络访问权限？
6. 合规性。 关注 ISO 27001、GDPR、CCPA 和 Cyber Essentials。Purple 同时具备这四项认证，且是一家获得认证的 B Corp（共益企业）。
7. 可用性。 供应商承诺多少正常运行时间？Purple 平台的正常运行时间高达 99.999%。
8. 多场地控制。 您能否在每个中心应用统一的策略并保持本地品牌特色？参阅 加盟店多场地访客 WiFi：集中控制与本地品牌化。

评估供应商的运营成熟度时，规模至关重要。Purple 成立于 2012 年，运行于 90 多个国家的 80,000 多个活跃场所。我们自己的数据显示，2024 年登录量达到了 4.4 亿次。

常见问题解答

Purple Multi-Tenant WiFi 能否在我们现有的接入点上运行？

可以。Purple 不受硬件限制，可以作为云覆盖层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。您可以保留现有的接入点、交换机和防火墙。Purple 在上层添加 Cloud RADIUS、按公司划分的身份和 VLAN 分配，无需进行全面替换。在规划 iPSK 部署之前，请确认您的型号支持在一个 SSID 上使用多个预共享密钥。

会员能否安全地使用自己的设备（BYOD）？

可以，前提是每家公司的设备都能落入各自的 VLAN 中。使用 iPSK 时，会员的手机、笔记本电脑和打印机使用公司密钥接入，并且只能看到该公司的网络。使用 802.1X 时，每个人都使用个人凭据或证书登录。无论采用哪种方式，同一接入点上的其他租户在未通过您的防火墙前，都无法访问这些设备。

灵活办公空间中的 WiFi 如何计费？

大多数运营商将标准 WiFi 捆绑在会员费中，并将带宽层级或专用上行链路作为附加服务出售。日票按天收费，会议室 WiFi 则计入预订价格中。只有当网络强制执行时，计费才能成立，因此每个速率限制都必须与公司的身份关联。然后通过每个公司 VLAN 的吞吐量来支持账单明细。

我们是否需要为每家会员公司提供单独的 SSID？

不需要。一个带有“每家公司独立密钥”的会员 SSID 可以扩展到数十个租户，而不会增加信标开销。仅为 802.1X 企业租户添加第二个 SSID，因为个人安全和企业安全无法共享同一个网络名称。再为访客添加一个访客 SSID。无论您托管多少家公司，三个 SSID 就能涵盖大多数服务式办公室。

我们如何在不打扰会员的情况下，从单一共享密码平滑迁移？

将新的会员 SSID 与旧 SSID 并行运行，然后逐家公司进行迁移。为每家公司分发其专属密钥，将其办公室端口移动到对应的 VLAN，并在开始下一家之前确认其设备运行正常。当最后一家公司迁移完成后，停用共享密码。请先列出每个办公室的打印机和视听设备，因为无头设备（无界面设备）往往会引发最多的问题。

联合办公访客网络上的访客登录数据是否符合 GDPR 规定？

是的，前提是您在合法的基础上收集数据，且保存时间不超过实际需要。Purple 符合 GDPR 并通过了 ISO 27001 认证，其 Captive Portal 采用明确选择的同意机制来获取营销授权。作为运营方，您仍需设置登录数据和网络日志的保存期限。请在上线前确定这些期限，并在您的隐私声明中予以公布。

我们应该为会员企业选择 iPSK 还是 802.1X？

对于大多数会员企业，建议选择 iPSK；对于拥有托管设备的企业租户，建议选择 802.1X。iPSK 适用于所有 WPA2-Personal 设备（包括打印机和显示屏），并且每个公司只需要一个密钥。采用 EAP-TLS 的 802.1X 可以为每台设备提供独立的证书，并将访问权限与租户的目录相关联，代价是需要进行证书管理。许多服务式办公室都会在相同的 AP 上同时运行这两种方案。