各厂商每设备 PSK：iPSK、DPSK、MPSK 和 PPSK 比较（以及 WPA3 支持）

各厂商按设备 PSK（Per-Device PSK）对比：iPSK、DPSK、MPSK 和 PPSK 深度解析及 WPA3 支持。Purple 技术专题汇报。 引言与背景 欢迎阅读 Purple 技术专题汇报系列。今天，我将带您深入探讨当前企业级 WiFi 领域中最具实际意义、但也最容易被误解的话题之一：按设备预共享密钥（per-device pre-shared keys）。具体而言，我们将对比各大主流厂商如何实现这一功能、其官方称谓、底层的实际运作机制，以及至关重要的一点 - 当您尝试迁移到 WPA3 时会发生什么。 如果您是负责酒店集团、零售连锁、体育场馆或公共部门园区的 IT 经理、网络架构师或场所运营总监，那么本场汇报正是为您量身定制的。您可能已经遇到过这一堆令人眼花缭乱的缩略词：iPSK、DPSK、MPSK、PPSK。它们都指向同一个概念 - 在单一 SSID 上为每个设备或用户提供其专属的唯一密码 - 但具体的实现方式却大相径庭，而这些差异在您规划下一次基础设施升级时至关重要。 让我们先从基础知识开始，然后逐一分析各家厂商，最后探讨目前大家都面临的 WPA3 演进问题。 技术深度剖析 那么，什么是按设备 PSK，它为什么会存在？ 传统的 WPA2-Personal（个人版）在整个 SSID 上使用单一的共享密码。您访客网络上的每个人都使用相同的密码。这会带来两个问题：首先，您无法在不更改所有人密码的情况下撤销单个设备的访问权限；其次，您无法针对单个设备进行可见性管理或策略执行。按设备 PSK 完美解决了这两个痛点。每个设备或用户都能获得唯一的凭证，您可以单独撤销某个凭证而不影响其他用户，还可以为每个密钥分配不同的 VLAN、带宽策略或访问时间表。它介于简单的 WPA2-Personal 与复杂的完整 802.1X 企业级认证之间，找到了最佳的平衡点。 现在，让我们来看看各家厂商是如何实现这一功能的。 Cisco Meraki 将其称为 iPSK - 身份预共享密钥（Identity Pre-Shared Key）。Meraki 支持两种模式。在不使用 RADIUS 的情况下，您可以直接在 Meraki 控制面板中配置最多五个唯一的 PSK，每个 PSK 映射到一个 VLAN。这种方式配置快速，且不需要外部基础设施。在使用 RADIUS（通常为 Cisco ISE）的情况下，您可以扩展到成千上万个密钥。客户端建立关联，AP 将 MAC 地址和 PSK 提示发送给 RADIUS 服务器，服务器返回正确的按设备密钥，随后标准的 WPA2 四步握手利用该密钥作为成对主密钥（Pairwise Master Key）完成认证。这里的核心机制在于，进行查找工作的是 RADIUS 服务器，而不是 AP。AP 仅起到了协助交互的作用。 HPE Aruba 称其为 MPSK - 多重预共享密钥（Multiple Pre-Shared Key）。Aruba Central 和 Aruba Instant 支持两种模式的 MPSK：MPSK 局域模式（其密钥存储在控制器或 AP 集群上）以及结合 ClearPass（Aruba 的 RADIUS 和策略引擎）的 MPSK。ClearPass 可以容纳数万个密钥、分配动态 VLAN，并为每个密钥应用基于角色的策略。其认证流程与 Meraki 的 RADIUS 模式基本相同 - 在四次握手之前，基于 MAC 的查找会返回每台设备的专属密钥。 Ruckus（现为 CommScope 旗下）称其为 DPSK - 动态预共享密钥（Dynamic Pre-Shared Key）。这可以说是市场上最成熟的实现方式。Ruckus DPSK 自早期的 SmartZone 时代起就已推出。在本地模式下，DPSK 服务在控制器上运行并保存密钥数据库。在 RADIUS 模式下，它与 Ruckus 自家的网络准入控制平台 Cloudpath 集成。Ruckus 值得瞩目的是 DPSK3 - 即 DPSK 的 WPA3 扩展版本，我们稍后会回到这一点。DPSK3 适用于运行固件 7.0 或更高版本且支持 WiFi 6、6E 和 7 的接入点，并可在 WPA2 / WPA3 混合模式下运行。 Juniper Mist 称其为 PPSK - 专用预共享密钥（Private Pre-Shared Key），有时也称为 Multi-PSK。Mist 将密钥存储在云端、Mist 组织或站点密钥数据库中，每个站点限制 5,000 个密钥。密钥可以按用户、按设备或按组进行分配。Mist 还与其云原生 NAC 服务 Access Assurance 集成，从而增加了基于 RADIUS 的 PSK 查找功能。至关重要的是，Juniper 已经宣布通过 Access Assurance 提供 WPA3 RADIUS PSK 支持，允许单个 WPA3-Personal SSID 服务于多个密码。这是市场上极具前瞻性的实现方式之一。 Extreme Networks（已收购 Aerohive）通过 ExtremeCloud IQ 将其称为 PPSK - 专用预共享密钥。Extreme 的实现支持在 AP 本地存储密钥，这对于连接受限的分支机构或远程站点非常有用。它还支持通过 ExtremeCloud IQ 的云 RADIUS 服务进行基于 RADIUS 的查找。此外还提供 MAC 绑定功能，可将 PPSK 与特定的设备 MAC 地址绑定，以提供额外的安全性。 Fortinet 称其为 MPSK - 多重预共享密钥，通过 FortiAP 和 FortiGate 无线控制器进行管理。Fortinet 的实现非常引人注目，因为在其 MPSK 配置文件中（自 FortiAP 固件 8.0 起）明确支持 WPA3-SAE 和 WPA3-SAE 过渡安全模式。您可以创建带有 WPA3-SAE 密钥的 MPSK 配置文件，将其分配给 VAP，并启用每个密钥的动态 VLAN 分配。这是目前最出色的 WPA3 MPSK 实现方式之一。 Ubiquiti UniFi 称其为 Private Pre-Shared Keys，或 Private PSK。UniFi 的实现仅限本地 - 密钥存储在 UniFi Network 控制器中，而不是外部 RADIUS 服务器中。您可以为每个密钥分配不同的 VLAN，并为每个密钥设置客户端限制。显着的限制是：截至2026年中期，UniFi Private PSK 仅适用于 2.4 GHz 和 5 GHz 频段上的 WPA2 网络。不支持 WPA3 和 6 GHz。对于较小规模的部署，这没问题，但在大规模投入 UniFi 设备之前，这是一个值得了解的限制。 现在，关于 WPA3 的问题。这是技术上最有趣的地方。 WPA2-Personal 使用四路握手。客户端和 AP 从共享的成对主密钥（PMK）中派生成对临时密钥（PTK），而 PMK 本身又是从密码派生而来的。由于 PMK 派生发生在 RADIUS 查询之后，因此 AP 可以在该点替换每个设备的密钥。标准对此并不关心 - 它只看到一个有效的 PMK。 WPA3-Personal 将四路握手替换为 SAE - Simultaneous Authentication of Equals。SAE 是一种基于 Diffie-Hellman 的协议。在关联完成之前，双方都致力于一个从密码派生的共享密码元素。关键区别在于：在 SAE 交换开始之前，双方必须已知该密码。在协议中，RADIUS 服务器无法在任何点为每个设备注入不同的密钥。AP 和客户端已经在用单个共享值进行加密交互。 这就是为什么 WPA3 目前在其标准形式下仅允许每个 SSID 使用一个密钥。这不是固件限制。这是一个协议约束。 解决方法分为三类。 第一，WPA3 过渡模式 - 也称为 WPA2 / WPA3 混合模式。SSID 同时广播 WPA2-PSK 和 WPA3-SAE。WPA2 客户端使用四路握手，并可以通过 RADIUS 接收每个设备的密钥。WPA3 客户端使用带有单个共享密码的 SAE。这是目前应用最广泛的方法，并受到 Cisco Meraki、HPE Aruba、Ruckus 等厂商的支持。 第二，专有扩展。Ruckus DPSK3 是最清晰的例子。通过在以 Cloudpath 作为 RADIUS 后端的 WPA2 / WPA3 混合模式下运行，DPSK3 允许支持 WPA3 的设备使用 SAE，同时系统通过 Cloudpath 集成管理每个设备的密钥绑定。Juniper 的 Access Assurance WPA3 RADIUS PSK 也采用了类似的方法。Fortinet 的 MPSK 配合 WPA3-SAE 过渡模式允许您在同一个 MPSK 配置文件中混合使用 WPA2-Personal 和 WPA3-SAE 密钥。 第三，转向 802.1X。对于托管终端 - 企业笔记本电脑、员工设备、任何您可以推送证书的设备 - 采用 EAP-TLS 的 WPA3-Enterprise 是最彻底的解决方案。它完全兼容 WPA3 和 6 GHz，提供针对每个设备的身份验证，并可与 Microsoft Entra ID、Okta 和 Google Workspace 集成。权衡之处在于部署的复杂性以及对证书基础设施的需求。 实施建议与常见陷阱。 那么您实际上应该怎么做？ 如果您正在运营一家同时拥有访客设备、IoT传感器和员工设备的混合型酒店物业，那么在2026年，最务实的解决方案是采用混合SSID设计。为旧版IoT和访客设备保留一个具有每设备PSK的WPA2-Personal SSID。为您控制的员工设备运行一个WPA3-Enterprise SSID。在您的主要访客SSID上使用过渡模式，以支持WPA2和WPA3客户端，而不会增加您的SSID数量。 如果您使用的是Ruckus，并且运行的是WiFi 6或更新的硬件，那么非常值得评估在WPA2/WPA3混合模式下配合Cloudpath使用DPSK3。它能为您提供目前最接近原生WPA3每设备PSK的体验。 如果您使用的是Fortinet，那么带有WPA3-SAE过渡的MPSK配置文件配置起来非常简单，并能为您提供一条清晰的迁移路径。 如果您使用的是UniFi，请向您的利益相关者明确说明Private PSK仅支持WPA2。对于部署了带有6 GHz射频的WiFi 6E或WiFi 7的场馆，您需要针对该频段采用不同的认证策略。 我们看到的最大陷阱是团队理所当然地认为，在现有的每设备PSK SSID上启用WPA3就可以直接工作。事实并非如此。请先在试点网站进行测试。检查您的AP固件版本 - 例如，Ruckus上的DPSK3需要固件7.0或更高版本。并检查您的RADIUS服务器兼容性 - 混合模式下的Ruckus DPSK3专门需要Cloudpath，而不是通用的RADIUS服务器。 第二个陷阱是密钥扩张。每设备PSK在责任追踪方面非常出色，但前提是您必须拥有一套在设备退役时撤销密钥的流程。如果没有生命周期管理，您最终会留下数千个孤立的密钥且无法进行审计追踪。请从第一天起就将您的密钥分发与您的设备管理工作流相集成。 快速问答。 我可以在6 GHz SSID上使用每设备PSK吗？不行。6 GHz强制要求仅限WPA3，而WPA3原生不支持每设备PSK。对于需要每设备PSK的设备，请使用802.1X或单独的2.4/5 GHz SSID。 每设备PSK是否符合PCI-DSS要求？如果每个密钥都映射到隔离的VLAN，则WPA2上的每设备PSK可以满足PCI-DSS 4.0的网络分段要求。但PCI-DSS强烈建议在持卡人数据环境中使用802.1X。请咨询您的QSA。 每个SSID的最大密钥数是多少？这有很大差异。配合ISE使用的Cisco Meraki支持非常大规模的部署。Ruckus DPSK支持数万个密钥。Juniper Mist在每个站点限制为5,000个。UniFi实际上受限于控制器内存。请始终针对您的特定固件版本查阅厂商文档。Purple 在其中如何发挥作用？Purple 作为云端覆盖层运行在您现有的硬件之上。我们与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 进行集成。对于访客 WiFi 和员工 WiFi 部署，Purple 负责处理身份层 - 包括身份验证、数据采集、同意管理 - 并通过 RADIUS 或 API 将相应的 VLAN 或策略分配传回您的硬件。您保留现有的每设备 PSK 基础设施；Purple 则在之上添加身份和分析层。 总结和后续步骤。 让我们把这些整合在一起。 每设备 PSK - 无论您称之为 iPSK、DPSK、MPSK 还是 PPSK - 都是所有主流企业级 WiFi 厂商中一项成熟且得到良好支持的功能。各厂商在密钥存储位置、扩展方式以及与 RADIUS 的集成方式上有所不同。 WPA3 的 SAE 协议对每设备 PSK 构成了真正的技术限制。该标准原生不支持它。目前的实际解决方案是过渡模式、诸如 DPSK3 的专属扩展技术，或者针对支持的设备转向使用 802.1X。 各厂商汇总：Cisco Meraki iPSK 在 RADIUS 模式下与 ISE 配合良好；WPA3 支持通过过渡模式实现。HPE Aruba MPSK 配合 ClearPass 具有高度可扩展性；WPA3 MPSK 正在积极开发中。Ruckus DPSK3 是目前最成熟的 WPA3 每设备 PSK 解决方案。Juniper Mist Access Assurance 增加了 WPA3 RADIUS PSK。Fortinet MPSK 在其 MPSK 配置文件中明确支持 WPA3-SAE。Extreme PPSK 在本地和 RADIUS 模式下表现稳定。UniFi Private PSK 仅限 WPA2 且仅限本地。 关于您的后续步骤：审计您当前的每设备 PSK 部署，确定哪些设备支持 WPA3，并设计一个同时服务两者的混合 SSID 策略。如果您正在计划硬件更新，请优先考虑已确认支持 DPSK3 或 WPA3 MPSK 的 WiFi 6 或 WiFi 7 AP。 如果您想了解 Purple 如何与您特定的硬件厂商集成，以便在您的每设备 PSK 部署之上添加身份管理和分析层，请访问 purple.ai 或联系您的客户团队。 本次简报到此结束。感谢收听。