Cisco iPSK：企業必備全面指南

執行摘要

Cisco Identity Pre-Shared Key (iPSK) 解決了企業 WiFi 中最根本的安全妥協：如何在共享密碼的簡易性與 802.1X 的安全性和網路區隔之間取得平衡。對於集合住宅 (BTR)、旅宿餐飲業和零售環境的 IT 經理與場域營運總監而言，iPSK 提供了一種具擴充性的方法來隔離流量、保護 IoT 設備並自動化網路存取，而不會增加技術支援服務台的負擔。

藉由在單一 SSID 上為每個使用者或設備分配唯一的密碼，iPSK 能夠透過 RADIUS 進行 VLAN 覆寫，實現細緻的網路區隔。這種方法消除了單一密碼外洩影響整棟建築物的風險，同時支援 100% 的消費性設備 - 包括缺乏 802.1X 用戶端程式的遊戲主機、智慧電視和舊型 IoT 感測器。

本指南將詳細介紹 Cisco iPSK 的技術架構、Catalyst 9800 和 Meraki 環境的實作策略，以及身分導向網路對多租戶營運商帶來的商業影響。

技術深究：Cisco iPSK 的工作原理

傳統的 WPA2-Personal 網路對所有連線的用戶端使用單一、靜態的密碼。如果有一位住戶分享了密碼，整棟建築物的安全就會受到威脅。相反地，WPA2-Enterprise (802.1X) 需要複雜的憑證或使用者名稱/密碼憑證，這類「無螢幕」的 IoT 設備無法支援。

Cisco iPSK 彌補了這一差距，對用戶端設備而言它就像一個標準的 WPA2-PSK 網路，而在後端則作為企業級驗證系統運作。

驗證架構

當用戶端設備嘗試連線到已啟用 iPSK 的 SSID 時，驗證流程會遵循以下特定順序：

1. 關聯請求 (Association Request)： 用戶端設備向 Cisco 無線基地台發送關聯請求。
2. MAC 驗證旁路 (MAB)： Cisco 無線區域網路控制器 (WLC) 攔截該請求，並向驗證伺服器（通常為 Cisco Identity Services Engine - ISE）發送 RADIUS Access-Request。該請求將用戶端的 MAC 位址同時用作使用者名稱和密碼。
3. 原則評估： Cisco ISE 評估其授權原則。它將 MAC 位址與端點身分群組進行比對，並擷取為該特定設備或使用者分配的預共用金鑰。
4. RADIUS 回應： ISE 回傳包含特定 Cisco AV-pair 屬性的 Access-Accept 回應：psk-mode=ascii 和 psk=[實際密碼]。它也可能回傳 Tunnel-Private-Group-ID 屬性以指定 VLAN。5. 4向握手 (4-Way Handshake)： WLC 從 ISE 接收唯一的 PSK，並使用它與用戶端裝置完成標準的 WPA2 4向 EAPOL 握手。

網路分段與 VLAN 覆寫

iPSK 的主要技術優勢在於其能夠在單一 SSID 上實施網路分段。iPSK 使用 RADIUS 將裝置動態分配到特定的 VLAN，而不是為住戶、員工和 IoT 裝置廣播不同的 SSID - 這會增加通道利用率和管理開銷。

當 ISE 回傳 Access-Accept 訊息時，其中包含 VLAN 分配。WLC 會覆寫 SSID 的預設 VLAN，並將用戶端流量引導至指定的網段。這實現了私有區域網路 (PAN) 架構，確保 Layer 2 隔離。住戶的智慧型手機和智慧電視位於其專屬的隔離 VLAN 上，對於相鄰公寓的住戶來說完全不可見。

實作指南：Catalyst 9800 與 Meraki

部署 iPSK 需要無線控制器與 RADIUS 伺服器之間的協調。實作路徑會因您使用的是 Cisco Catalyst 還是 Cisco Meraki 基礎設施而略有不同。

Cisco Catalyst 9800 配置

執行 IOS-XE 的 Catalyst 9800 系列支援具有快速安全漫遊功能的強大 iPSK 部署。核心配置需要啟用 MAC 篩選和 AAA 覆寫。

1. 配置 RADIUS 伺服器： 定義 Cisco ISE 伺服器並建立指向該伺服器群組的 AAA 授權方法清單。
2. 配置 WLAN： 在 Layer 2 安全性下，啟用 MAC 篩選並將授權金鑰管理 (Auth Key Management) 設定為 PSK。您必須在 WLC 介面中輸入預設的預先共用金鑰；然而，此金鑰僅作為預留位置，用戶端永遠不會使用它，因為 ISE 會覆寫它。
3. 啟用 AAA 覆寫： 在與 WLAN 關聯的原則設定檔 (Policy Profile) 中，啟用 AAA 覆寫以允許 ISE 指定 PSK 和 VLAN 分配。
4. 配置 ISE： 在 Cisco ISE 中，定義網路裝置，將用戶端 MAC 位址新增至端點身分群組 (Endpoint Identity Groups)，並建立傳回包含唯一金鑰的 cisco-av-pair 屬性的授權設定檔 (Authorisation Profiles)。

Cisco Meraki 配置

Cisco Meraki 透過其儀表板簡化了 iPSK 部署流程，提供兩種不同的運作模式：基於 MAC 的模式和 Easy PSK。

1. 基於 MAC 的 iPSK： 這是傳統的部署模型。您在存取控制 (Access Control) 設定中選取 "Identity PSK with RADIUS"。Meraki AP 將用戶端 MAC 位址傳送至 RADIUS 伺服器，伺服器再傳回 PSK。此方法需要預先在 RADIUS 資料庫中註冊每個裝置的 MAC 位址。
2. Easy PSK (MR 30.x and newer): To address the challenge of MAC address randomisation in modern smartphones, Meraki introduced Easy PSK. Instead of relying solely on MAC lookups, the AP passes the EAPOL parameters (including the ANonce and MIC) directly to the RADIUS server using Meraki vendor-specific attributes. The RADIUS server runs a rapid dictionary attack against its known iPSKs to find the match and returns the correct key. This eliminates the need to pre-register MAC addresses.

Best Practices for BTR and Hospitality

Implementing iPSK effectively requires more than technical configuration; it demands a structured approach to lifecycle management and user experience.

1. Automate Key Lifecycle Management

Manually managing thousands of unique keys in Cisco ISE is operationally unsustainable. You must integrate your identity provider (IdP) or Property Management System (PMS) with your network infrastructure.

For Retail and Hospitality environments, leverage platforms like Purple's Guest WiFi to automate this process. When a guest checks into a hotel or a resident signs a lease in a BTR property, the PMS triggers an API call that automatically generates the iPSK, provisions it in ISE, and emails it to the user. When the lease ends, the key is instantly revoked.

2. Design the VLAN Architecture Upfront

The value of iPSK lies in segmentation. Before configuring the wireless controllers, map out your VLAN strategy. Define separate segments for:

• Individual residents or hotel rooms (Private Area Networks)
• Building management systems (HVAC, access control)
• Staff and operational devices
• Public or transient Guest WiFi users

3. Address MAC Randomisation Proactively

Apple iOS 14 and Android 10 introduced per-network randomised MAC addresses. In a MAC-based iPSK deployment, this breaks authentication because the RADIUS server does not recognise the randomised MAC.

If using Meraki, deploy Easy PSK mode to bypass the MAC lookup requirement. If using Catalyst 9800, you must educate users to disable "Private Wi-Fi Address" for the specific building SSID, or utilise an onboarding portal that registers the randomised MAC during the initial connection flow.

Troubleshooting & Risk Mitigation

When deploying iPSK, IT teams commonly encounter specific failure modes related to WPA3 compatibility and RADIUS communication.

The WPA3 and 6 GHz Challenge

目前 iPSK 部署面臨最顯著的限制是向 WPA3 和 6 GHz 頻段（WiFi 6E 和 WiFi 7）的過渡。WPA3 採用等同同時認證（SAE），這是一種更安全的交握協定，目前不支援像 WPA2 那樣在同一個 SSID 下支援多個預先共用金鑰。

由於 6 GHz 頻段強制要求使用 WPA3，您無法在 6 GHz 網路中執行傳統的 iPSK。為了緩解此問題，請實施混合 SSID 策略：

• 在 2.4 GHz 和 5 GHz 頻段上維持 WPA2 iPSK，以支援舊型裝置和 IoT 感測器。
• 在 6 GHz 頻段上部署 WPA3-Enterprise (802.1X)，用於受控的企業端點和支援憑證型驗證的現代智慧型手機。

RADIUS 逾時問題

在大型部署中，特別是使用 Meraki Easy PSK 時，RADIUS 伺服器必須處理複雜的 EAPOL 屬性才能找到相符的金鑰。如果 RADIUS 伺服器花費太長時間，EAPOL 交握就會在存取點上逾時。

請確保您的 RADIUS 基礎架構有足夠的資源。將 RADIUS 伺服器部署在地理位置靠近無線控制器的位置，以將延遲降至最低，並監控 Radius-Request 到 Access-Accept 的回應時間。

投資報酬率與商業影響

過渡到 iPSK 架構可為物業開發商和多租戶營運商帶來可衡量的商業影響。

降低支援成本： 透過消除 Captive Portal 和 802.1X 憑證錯誤，租賃住宅（BTR）營運商的 WiFi 相關客服工單通常能減少 50% - 70%。住戶可以流暢地連接他們的遊戲主機和智慧電視，就像在家中一樣。

硬體整合： iPSK 允許您使用單一、集中管理的 SSID 為整棟公寓大樓提供服務。這消除在每間公寓中安裝和管理個人消費級路由器的需求，從而降低資本支出並大幅減少射頻干擾。

增強安全性： 透過將住戶流量隔離到私有區域網路中並對易受攻擊的 IoT 裝置進行區段劃分，營運商可以保護自己免受橫向移動攻擊。如果住戶的智慧燈泡遭到入侵，威脅會被控制在他們特定的 VLAN 中，從而保護更廣泛的大樓基礎架構和其他住戶。

如需多租戶部署的完整指引，請參閱我們的 Apartment WiFi solutions: a comprehensive guide for businesses 。