Dynamic VLAN Assignment 在多租戶大樓中的運作原理

執行摘要

對於管理商辦大樓、零售綜合體或大型餐旅場所等多元租戶建築的 IT 經理和網路架構師而言，管理網路區隔是一項關鍵挑戰。過去，隔離租戶流量意味著部署獨立的實體基礎設施，或為每個租戶廣播一個專屬的 SSID。這兩種方法都有根本性的缺陷。實體隔離成本過高且缺乏彈性，而廣播多個 SSID 則會因為過多的管理訊框開銷而嚴重降低 RF 效能。

動態 VLAN 指派（Dynamic VLAN Assignment）透過將無線環境整合至單一、安全的 SSID 來解決此問題。利用 IEEE 802.1X 驗證和 RADIUS，網路會根據使用者的身分（而非他們選擇的網路），動態將其指派至其專屬的虛擬區域網路（VLAN）。本指南針對架構設計、部署以及動態 VLAN 指派的疑難排解提供全面的技術深入剖析，以確保安全的 Layer 2 隔離、符合 PCI DSS 和 GDPR 等標準，並為場所營運商帶來豐厚的投資報酬率（ROI）。

技術深入剖析

多個 SSID 帶來的問題

在共用建築中，經常會看到廣播著數十個 SSID（例如 "TenantA_Corp"、"TenantB_Secure"、"Building_Guest"）。無線基地台（AP）廣播的每個 SSID 都必須以最低的強制資料速率（通常為 1 Mbps 或 6 Mbps）傳送指標訊框（Beacon Frame）。隨著 SSID 數量的增加，管理開銷所消耗的空中有線時間（Airtime）比例會呈指數級成長，從而減少了實際資料傳輸的可用時間。不論底層的網速有多快，這都會導致高延遲、低吞吐量以及不佳的使用者體驗。

802.1X 與 RADIUS 架構

動態 VLAN 指派將區隔邏輯從 RF 層轉移到驗證層。它依賴 IEEE 802.1X 標準進行基於連接埠的網路存取控制，並與 RADIUS 伺服器整合。

該架構主要由三個部分組成：

1. 用戶端（Supplicant）： 請求網路存取的用戶端裝置（筆記型電腦、智慧型手機）。
2. 驗證者（Authenticator）： 網路存取裝置，通常是 WiFi 基地台或無線控制器，在驗證成功之前會阻擋流量。
3. 驗證伺服器（Authentication Server）： RADIUS 伺服器，負責對照身分儲存庫（例如 Active Directory、LDAP）來驗證憑證並制定網路原則。

驗證流程

當用戶端嘗試連接至整合的 SSID 時，會進行以下流程：

1. EAPOL 初始化： 請求端（supplicant）連線至 AP。AP 會阻擋除了 LAN 上的可延伸驗證協定（EAPOL）封包之外的所有流量。
2. RADIUS Access-Request： AP 將 EAP 資料封裝，並將其作為 Access-Request 轉發至 RADIUS 伺服器。
3. 憑證驗證： RADIUS 伺服器驗證使用者憑證（透過 EAP-TLS、PEAP 等方式）。
4. RADIUS Access-Accept： 驗證成功後，RADIUS 伺服器會以 Access-Accept 訊息進行回應。至關重要的是，此訊息包含特定的 IETF 標準 RADIUS 屬性，用以指示 AP 應將使用者分配到哪個 VLAN。

動態 VLAN 分配所需的關鍵 RADIUS 屬性為：

• Tunnel-Type (64)：設定為 VLAN（值 13）
• Tunnel-Medium-Type (65)：設定為 802（值 6）
• Tunnel-Private-Group-ID (81)：設定為特定的 VLAN ID（例如：租戶 A 的「20」、租戶 B 的「30」）

當 AP 收到這些屬性後，會直接將使用者的流量導入指定的 VLAN。接著，上游網路交換器就會處理這些流量，如同使用者實體插入該租戶的專用連接埠一樣，以確保完全的 Layer 2 隔離。

實作指南

部署動態 VLAN 分配需要無線基礎設施、邊緣交換器與識別提供者之間的密切配合。請遵循以下與供應商無關的實作順序。

階段 1：網路基礎設施準備

1. VLAN 佈署： 在您的核心路由基礎設施與 DHCP 伺服器上定義並建立所需的 VLAN。確保每個租戶 VLAN 都擁有自己獨立的子網與適當的路由策略（例如：路由至網際網路，但丟棄跨 VLAN 流量）。
2. 交換器 Trunking 串接： 這是至關重要的步驟。連接到您 Access Point 的交換器連接埠必須設定為 802.1Q trunk 連接埠。您必須為 AP 可能需要分配的所有潛在租戶 VLAN 加上標籤（tag）。如果 RADIUS 伺服器分配了 VLAN 40，但交換器連接埠上未對 VLAN 40 進行標籤，則用戶端將會通過驗證，但無法取得 IP 位址。
3. AP 設定： 將 AP 設定為廣播單一啟用 802.1X 的 SSID（例如：WPA3-Enterprise）。在您的無線控制器或 AP 上啟用特定設定，以允許它們接受 RADIUS 覆寫屬性（通常標記為「AAA Override」或「Dynamic VLAN」）。

階段 2：RADIUS 與識別整合

1. 識別存放庫整合： 將您的 RADIUS 伺服器連接到包含使用者識別及其租戶關聯的目錄服務。
2. 網路策略建立： 在 RADIUS 伺服器中建立將使用者群組對應到 VLAN ID 的策略。例如，一項策略聲明：如果使用者屬於「Retail_Staff」群組，則傳回 Tunnel-Private-Group-ID = 10。
3. 憑證管理： 如果使用 EAP-TLS（推薦用於企業設備），請部署用戶端憑證。如果使用 PEAP-MSCHAPv2（常用於 BYOD），請確保在 RADIUS 伺服器上安裝了有效且受信任的伺服器憑證。

階段 3：測試與分階段部署

1. 試點測試： 對跨不同租戶的一小組設備進行測試。確認連接後，設備從正確的子網路獲取 IP 位址，且無法 ping 通其他租戶 VLAN 中的設備。
2. IoT 及無介面設備： 對於不支持 802.1X 的設備（印表機、智慧電視），請實施 MAC 驗證旁路 (MAB)。RADIUS 伺服器會根據設備的 MAC 位址進行驗證並分配相應的 VLAN。注意：由於 MAC 位址可能被偽造，請將這些設備放置在嚴格隔離的 VLAN 中。

最佳實踐

• 整合 SSID： 建議最多設定三個 SSID：一個適用於所有租戶的 802.1X SSID，一個適用於舊版 IoT 設備（使用 PSK 或 MAB）的 SSID，以及一個用於 Guest WiFi （使用 Captive Portal）的 SSID。
• 強制執行用戶端隔離： 在訪客網路和不受信任的租戶網路中，在 AP 層級啟用 Layer 2 用戶端隔離，以防止設備之間相互通訊，從而降低橫向移動的風險。
• 利用進階分析： 將您的驗證流程與強大的 WiFi Analytics 平台整合，以深入瞭解場地利用率、停留時間和租戶網路效能。
• 標準化 WPA3： 在用戶端支援的情況下，強制對 802.1X SSID 使用 WPA3-Enterprise，以確保最高層級的加密並防止字典攻擊。
• 產業背景： 根據垂直產業量身客製部署。在 零售 環境中，確保 POS 系統處於嚴格隔離的 VLAN 中，以維持 PCI-DSS 合規性。在 旅宿餐飲 環境中，確保訪客 VLAN 與後勤維運完全隔離。

疑難排解與風險緩釋

常見故障模式

1. 「已驗證但無 IP」情境：

• 症狀： 用戶端已連接，驗證成功，但設備自行分配了 APIPA 位址 (169.254.x.x)。
• 根本原因： RADIUS 伺服器分配了 VLAN，但該 VLAN 未在 DHCP 伺服器上建立，或者更常見的是，連接交換器與 AP 的 Trunk 連接埠未標記該 VLAN。
• 修正方法： 驗證邊緣交換器上的 802.1Q Trunk 設定。

1. RADIUS 逾時 / 無法連線：

• 症狀： 用戶端卡在「正在連線...」或重複提示輸入憑據。
• 根本原因： AP 無法連線至 RADIUS 伺服器，或者 AP 與伺服器之間的 RADIUS 共用金鑰不相符。
• 修正方法： 驗證 AP 管理 IP 與 RADIUS 伺服器之間的網路連線。再次檢查共用金鑰。

1. 憑證過期：
   • 常見症狀： 所有使用 PEAP 或 EAP-TLS 的使用者突然大範圍發生驗證失敗。
   • 根本原因： RADIUS 伺服器憑證已過期，導致用戶端拒絕連線。
   • 解決方案： 針對 RADIUS 憑證實施嚴格的監控與警報機制。至少在過期前 30 天更新憑證。

風險緩解策略

• 故障開放 (Fail-Open) 與 故障關閉 (Fail-Closed)： 明確定義當無法連線至 RADIUS 伺服器時的應對原則。對於企業租戶網路，基於安全考量，必須採用故障關閉（拒絕存取）。對於訪客存取，您可以設定故障開放原則，將使用者移至受高度限制、僅限網際網路的「隔離」VLAN。
• 備援機制： 務必將 RADIUS 伺服器部署為高可用性 (HA) 雙機架構，若支援多個場域，建議採用地理分佈式部署。

投資報酬率 (ROI) 與業務影響

為場域營運商實施動態 VLAN 分配能帶來顯著且可衡量的業務成果：

1. 降低營運成本 (OpEx)： 集中管理單一 SSID，可大幅減少與配置、更新和排除個別租戶網路故障相關的 IT 開銷。
2. 優化射頻頻譜： 消除過多的 SSID 可收回寶貴的空口時間。如需管理頻譜的指南，請參閱我們的文章 Wi Fi Frequencies: A Guide to Wi-Fi Frequencies in 2026 。這能帶來更高的傳輸吞吐量，並減少關於「WiFi 速度慢」的支援工單。
3. 增強安全與合規性： 嚴格的 Layer 2 隔離可確保單一租戶網路遭受入侵時不會擴散到其他網路。這對於滿足 PCI-DSS 和 GDPR 等法規要求至關重要。
4. 擴充性： 導入新租戶時，無需對實體基礎設施或無線設定進行任何變更；只需在 RADIUS 伺服器中建立新原則即可。

如需了解在共享空間設計網路的更全面策略，請參閱我們的指南 Designing a Multi-Tenant WiFi Architecture for MDU 。