按设备 PSK 的厂商对比：iPSK、DPSK、MPSK 和 PPSK 对比（及 WPA3 支持）

各厂商独享 PSK 对比：iPSK、DPSK、MPSK 和 PPSK 差异以及 WPA3 支持。Purple 技术简报。 引言与背景。 欢迎阅读 Purple 技术简报系列。我将带您深入了解当前企业 WiFi 领域中最具实用价值、也是最常被误解的话题之一：每个设备独享的预共享密钥（per-device pre-shared keys）。具体而言，我们将对比各大主流厂商如何实现这一功能、他们的命名方式、其底层的实际运行原理，以及至关重要的一点 - 当您尝试迁移到 WPA3 时会发生什么。 如果您是一名 IT 经理、网络架构师，或是负责管理酒店、零售连锁店、体育场馆或公共部门园区 WiFi 的运营总监，那么本简报将对您大有裨益。您可能已经遇到过这一堆字母缩写：iPSK、DPSK、MPSK、PPSK。它们都指向同一个概念 - 在单个 SSID 上为每个设备或用户提供其专属的唯一密码 - 但具体的实现方式却大不相同，当您规划下一次基础设施升级时，这些差异将至关重要。 让我们先从基础知识开始，然后逐一分析各个厂商，最后探讨目前每个人都在努力解决的 WPA3 问题。 技术深度解析。 那么，什么是每个设备独享的 PSK？它为什么会存在？ 传统的 WPA2 个人版（WPA2-Personal）在整个 SSID 中使用单个共享密码。您访客网络上的每个人都使用相同的密码。这会带来两个问题：首先，如果不更改每个人的密码，就无法撤销单个设备的访问权限；其次，无法实现针对单个设备的可见性或策略执行。而每个设备独享的 PSK 解决了这两个问题。每个设备或用户都会获得一个唯一的凭据，您可以在不影响其他设备的情况下撤销其中一个。您还可以根据不同的密钥分配不同的 VLAN、带宽策略或访问日程表。它是介于 WPA2 个人版的简便性与完整 802.1X 企业级认证的复杂性之间的一种折中方案。 现在让我们来看看各厂商是如何实现这一点的。 Cisco Meraki 将其称为 iPSK - 身份预共享密钥（Identity Pre-Shared Key）。Meraki 支持两种模式。在没有 RADIUS 的情况下，您可以直接在 Meraki 控制面板中配置多达五个唯一的 PSK，每个 PSK 映射到一个 VLAN。这便于快速设置，且不需要外部基础设施。在使用 RADIUS（通常为 Cisco ISE）的情况下，您可以扩展到成千上万个密钥。客户端建立关联时，AP 会向 RADIUS 服务器发送 MAC 地址和 PSK 提示信息，服务器返回正确的每个设备密钥，然后使用该密钥作为成对主密钥（Pairwise Master Key）来完成标准的 WPA2 四次握手。这里的核心要点在于，是由 RADIUS 服务器在进行查找，而不是 AP。AP 只是协助完成这一交互过程。HPE Aruba 称之为 MPSK - Multiple Pre-Shared Key。Aruba Central 和 Aruba Instant 支持两种模式的 MPSK：MPSK Local（密钥存储在控制器或 AP 集群上）以及结合了 Aruba RADIUS 和策略引擎 ClearPass 的 MPSK。ClearPass 可以保存数万个密钥，分配动态 VLAN，并为每个密钥应用基于角色的策略。其认证流程与 Meraki 的 RADIUS 模式基本相同 - 在四次握手之前，基于 MAC 的查找会返回每台设备的密钥。 Ruckus（现为 CommScope 旗下）称之为 DPSK - Dynamic Pre-Shared Key。这可以说是市场上最成熟的实现方案。Ruckus DPSK 自早期的 SmartZone 时代就已推出。在本地模式下，DPSK 服务在控制器上运行并保存密钥数据库。在 RADIUS 模式下，它与 Ruckus 自身的网络准入控制平台 Cloudpath 集成。Ruckus 的特别之处在于 DPSK3 - 即其 WPA3 版本的 DPSK，我们稍后会详细介绍。DPSK3 适用于运行 7.0 或更高版本固件的 WiFi 6、6E 和 7 接入点，并在 WPA2 / WPA3 混合模式下运行。 Juniper Mist 称之为 PPSK - Private Pre-Shared Key，有时也称为 Multi-PSK。Mist 将密钥存储在云端、Mist 组织或站点密钥数据库中，每个站点最多支持 5,000 个密钥。可以按用户、按设备或按组分配密钥。Mist 还与其云原生 NAC 服务 Access Assurance 集成，增加了基于 RADIUS 的 PSK 查找。至关重要的是，Juniper 已宣布通过 Access Assurance 支持 WPA3 RADIUS PSK，允许单个 WPA3-Personal SSID 对应多个密码。这是市场上最具前瞻性的实现方案之一。 Extreme Networks（已收购 Aerohive）通过 ExtremeCloud IQ 将其称为 PPSK - Private Pre-Shared Key。Extreme 的实现方案支持在 AP 本地存储密钥，这对于连接受限的分支机构或远程站点非常有用。它还支持通过 ExtremeCloud IQ 的云 RADIUS 服务进行基于 RADIUS 的查找。此外还提供 MAC 绑定功能，可将 PPSK 与特定的设备 MAC 地址绑定，以提供额外的安全性。 Fortinet 称之为 MPSK - Multiple Pre-Shared Key，通过 FortiAP 和 FortiGate 无线控制器进行管理。Fortinet 的实现方案非常引人注目，因为从 FortiAP 固件 8.0 开始，它在其 MPSK 配置文件中明确支持 WPA3-SAE 和 WPA3-SAE Transition 安全模式。您可以创建带有 WPA3-SAE 密钥的 MPSK 配置文件，将其分配给 VAP，并启用每个密钥的动态 VLAN 分配。这是目前最干净的 WPA3 MPSK 实现方案之一。 Ubiquiti UniFi 将其称为专用预共享密钥，即 Private PSK。UniFi 的实现仅限本地 - 密钥存储在 UniFi Network 控制器中，而不是外部 RADIUS 服务器中。您可以为每个密钥分配不同的 VLAN，并为每个密钥设置客户端限制。重大局限性在于：截至2026年中期，UniFi Private PSK 仅适用于 2.4 GHz 和 5 GHz 上的 WPA2 网络。不支持 WPA3 和 6 GHz。对于较小规模的部署来说，这没有问题，但在您大规模投入 UniFi 资产之前，这是一个值得了解的限制。 现在来看 WPA3 的问题。这是技术上最令人兴奋的地方。 WPA2-Personal 使用四步握手。客户端和 AP 从共享的成对主密钥（PMK）中派生成对临时密钥（PTK），而 PMK 本身又是从密码派生的。由于 PMK 派生发生在 RADIUS 查找之后，AP 可以在该点替换每个设备的密钥。标准并不关心这一点 - 它只看是否存在有效的 PMK。 WPA3-Personal 用 SAE（对等实体同时身份验证）取代了四步握手。SAE 是一种基于 Diffie-Hellman 的协议。在关联完成之前，双方都会致力于一个由密码派生的共享密码元素。关键区别在于：在 SAE 交换开始之前，双方都必须已知该密码。在该协议中，RADIUS 服务器无法在任何节点为每个设备注入不同的密钥。AP 和客户端已经在通过单个共享值进行加密交互。 这就是为什么 WPA3 在其标准形式下目前仅允许每个 SSID 使用一个密钥的原因。这不是固件限制，而是一种协议约束。 解决方法分为以下三类。 第一，WPA3 过渡模式 - 也称为 WPA2 / WPA3 混合模式。SSID 同时广播 WPA2-PSK 和 WPA3-SAE。WPA2 客户端使用四步握手，并可以通过 RADIUS 接收每个设备的密钥。WPA3 客户端使用具有单个共享密码的 SAE。这是目前部署最广泛的方法，并得到了 Cisco Meraki、HPE Aruba、Ruckus 等厂商的支持。 第二，专有扩展。Ruckus DPSK3 是最明确的例子。通过在 WPA2 / WPA3 混合模式下运行并以 Cloudpath 作为 RADIUS 后端，DPSK3 允许支持 WPA3 的设备使用 SAE，同时系统通过 Cloudpath 集成管理每个设备的密钥绑定。Juniper 的 Access Assurance WPA3 RADIUS PSK 也采用了类似的方法。Fortinet 带有 WPA3-SAE 过渡模式的 MPSK 允许您在同一个 MPSK 配置文件中混合使用 WPA2-Personal 和 WPA3-SAE 密钥。 第三，转向 802.1X。对于托管端点 - 企业笔记本电脑、员工设备以及任何您可以推送证书的设备 - 采用 EAP-TLS 的 WPA3-Enterprise 是最干净的解决方案。它完全兼容 WPA3 和 6 GHz，提供针对每个设备的身份识别，并与 Microsoft Entra ID、Okta 以及 Google Workspace 集成。权衡之下，其代价是部署复杂性以及对证书基础设施的需求。 实施建议与常见陷阱。 那么您实际应该怎么做呢？ 如果您正在运营一家拥有混合访客设备、IoT 传感器和员工设备的酒店资产，那么在 2026 年，务实的解决方案是采用混合 SSID 设计。为传统 IoT 和访客设备保留一个使用每设备 PSK 的 WPA2-Personal SSID。为您控制的员工设备运行一个 WPA3-Enterprise SSID。在您的主要访客 SSID 上使用过渡模式，以同时支持 WPA2 和 WPA3 客户端，而不会增加您的 SSID 数量。 如果您使用的是 Ruckus 并且运行的是 Wi-Fi 6 或更新的硬件，那么在 WPA2 / WPA3 混合模式下使用 Cloudpath 的 DPSK3 值得评估。它为您提供了目前最接近原生 WPA3 每设备 PSK 的功能。 如果您使用的是 Fortinet，带有 WPA3-SAE 过渡的 MPSK 配置文件配置起来非常简单，并为您提供了一条清晰的迁移路径。 如果您使用的是 UniFi，请向您的利益相关者明确指出 Private PSK 仅限 WPA2。对于部署带有 6 GHz 频段的 Wi-Fi 6E 或 Wi-Fi 7 的场所，您需要针对该频段采用不同的认证策略。 我们看到的最大陷阱是团队假设在现有的每设备 PSK SSID 上启用 WPA3 就可以直接工作。事实并非如此。请先在试点站点进行测试。检查您的 AP 固件版本 - 例如，DPSK3 在 Ruckus 上需要固件 7.0 或更高版本。并检查您的 RADIUS 服务器兼容性 - 混合模式下的 Ruckus DPSK3 专门需要 Cloudpath，而不是通用的 RADIUS 服务器。 第二个陷阱是密钥蔓延。每设备 PSK 对于责任追溯非常有效，但前提是您拥有在设备退役时撤销密钥的流程。如果没有生命周期管理，您最终会得到数千个孤立的密钥且没有审计跟踪。从第一天起，就将您的密钥分配与您的设备管理工作流集成在一起。 快速问答。 我可以在 6 GHz SSID 上使用每设备 PSK 吗？不能。6 GHz 强制要求仅限 WPA3，而 WPA3 原生不支持每设备 PSK。对于需要每设备 PSK 的设备，请使用 802.1X 或单独的 2.4 / 5 GHz SSID。 每设备 PSK 是否符合 PCI-DSS 要求？如果每个密钥都映射到隔离的 VLAN，WPA2 上的每设备 PSK 可以满足 PCI-DSS 4.0 网络分段要求。但 PCI-DSS 强烈建议在持卡人数据环境中使用 802.1X。请向您的 QSA 咨询。 每个 SSID 的最大密钥数量是多少？这有很大的不同。配备 ISE 的 Cisco Meraki 支持非常大规模的部署。Ruckus DPSK 支持数万个密钥。Juniper Mist 的限制是每个站点 5,000 个。UniFi 实际上受到控制器内存的限制。请始终查阅适用于您特定固件版本的厂商文档。 Purple 在其中扮演什么角色？Purple 作为云端覆盖层运行在您现有的硬件之上。我们与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 进行集成。对于访客 WiFi 和员工 WiFi 部署，Purple 处理身份层 - 身份验证、数据捕获、同意管理 - 并通过 RADIUS 或 API 将相应的 VLAN 或策略分配传回您的硬件。您保留现有的单设备 PSK 基础设施；Purple 在其上添加了身份和分析层。 总结和后续步骤。 让我们总结一下。 单设备 PSK - 无论您将其称为 iPSK、DPSK、MPSK 还是 PPSK - 都是所有主流企业级 WiFi 厂商中成熟且支持良好的功能。其实现在于密钥存储位置、如何扩展以及如何与 RADIUS 集成方面有所不同。 WPA3 的 SAE 协议对单设备 PSK 造成了真正的技术限制。该标准原生不支持它。目前的实际解决方案是过渡模式、诸如 DPSK3 之类的专有扩展，或者对于支持的设备，转向使用 802.1X。 厂商总结：Cisco Meraki iPSK 在 RADIUS 模式下与 ISE 配合良好；WPA3 支持通过过渡模式进行。具有 ClearPass 的 HPE Aruba MPSK 具有高度可扩展性；WPA3 MPSK 正在积极开发中。Ruckus DPSK3 是目前最成熟的 WPA3 单设备 PSK 解决方案。Juniper Mist Access Assurance 增加了 WPA3 RADIUS PSK。Fortinet MPSK 在其 MPSK 配置文件中明确支持 WPA3-SAE。Extreme PPSK 在本地和 RADIUS 模式下都很稳定。UniFi 专用 PSK 仅限 WPA2 且仅限本地。 对于您的后续步骤：审核您当前的单设备 PSK 部署，确定哪些设备支持 WPA3，并设计一个同时支持两者的混合 SSID 策略。如果您正在计划硬件更新，请优先选择已确认支持 DPSK3 或 WPA3 MPSK 的 WiFi 6 或 WiFi 7 AP。 如果您想了解 Purple 如何与您的特定硬件厂商集成，在您的单设备 PSK 部署之上添加身份管理和分析，请访问 purple.ai 或联系您的客户团队。 本次简报到此结束。感谢收听。