為 MDU 設計多租戶 WiFi 架構

為 MDU 設計多租戶 WiFi 架構 - Purple 技術簡報。 歡迎觀看 Purple 技術簡報系列。今天我們將深入探討支援企業環境中最複雜 WiFi 部署的底層架構 - 適用於多住戶和多用途建築的多租戶 WiFi。 無論您是負責管理一個擁有 300 間客房，且住客、員工和建築管理系統皆共用相同實體基礎設施的飯店；是一座混合用途的零售與辦公綜合大樓；還是擁有數百個獨立租戶的學生宿舍，面臨的挑戰基本上都是相同的：如何透過單一共享的實體網路，為多個獨立方提供可靠、安全且隔離的連線？ 這並不是一個理論性的課題。您在架構階段所做出的決定，將直接決定您的安全狀況、GDPR 和 PCI-DSS 的合規風險，坦白說，還決定了在系統上線六個月後，您的支援服務台是否會被投訴淹沒。 因此，讓我們開始深入探討吧。 任何多租戶 WiFi 架構的基礎都是網路分段 - 而實現該分段的主要機制是 IEEE 802.1Q 下定義的 VLAN 標記。這個概念非常簡單：您將每個租戶或每個流量類別分配給一個獨立的虛擬 LAN。除非您透過路由或防火牆策略明確允許，否則 VLAN 10 上的流量無法到達 VLAN 20 上的流量。這種邏輯隔離是您的第一道防線。 但這正是架構師經常犯第一個錯誤的地方：他們將 VLAN 分段與安全混為一談。VLAN 僅提供隔離，不提供安全。您仍然需要在 VLAN 之間設定防火牆策略，仍然需要存取控制清單，並且仍然需要仔細考慮您允許哪些跨 VLAN 路由。一個設定錯誤的 Trunk 埠可能會在幾秒鐘內使您的整個分段模型崩潰。 現在，讓我們來談談實體層。在 MDU 環境中，您通常會擁有一個共享的實體基礎設施 - 佈線、交換器網狀架構和存取點 - 來為多個租戶提供服務。存取點本身會廣播多個 SSID，每個 SSID 都對應到不同的 VLAN。因此，租戶 A 連線到其 SSID，其流量在 AP 處被標記為 VLAN 10，透過 Trunk 埠穿過共享的交換器網狀架構，並到達分佈層，在此處被路由到租戶 A 的隔離子網路中。租戶 B 的流量遵循相同的實體路徑，但在第 2 層是完全隔離的。 這就是您對存取點平台選擇至關重要的地方。您需要支援多個 SSID-to-VLAN 對應、能夠處理可能極為接近的數十個裝置之間的射頻管理，且能與集中式控制器或雲端管理平台整合的 AP。控制器至關重要 - 它使您能夠在不接觸單一 AP 的情況下推送策略變更、監控每個租戶的吞吐量並對事件做出回應。在驗證方面，目前企業級多租戶部署的標準是採用 RADIUS 驗證的 IEEE 802.1X。每個租戶都向自己的 RADIUS 伺服器進行驗證，或是向共享的 RADIUS 基礎架構進行驗證並執行個別租戶策略。WPA3-Enterprise 是目前推薦的加密標準 - 它為高敏感度環境提供 192 位元安全模式，並消除了與 WPA2 四向握手相關的安全性漏洞。 對於訪客 WiFi 區段（在多住戶單元（MDU）的情境中，您幾乎總會需要至少一個）而言，您通常會考慮使用 Captive Portal 模型。訪客連接到開放式或 WPA2-Personal SSID，被重導向至登入頁面以進行驗證或接受條款，然後在隔離的 VLAN 上獲得僅限網際網路的存取權限。至關重要的是，該訪客 VLAN 絕對不能有任何路由通往任何租戶 VLAN。完全不行。無論是從安全性還是從 GDPR 的角度來看，這都是不可妥協的。 讓我們來談談射頻（RF）環境，因為這正是 MDU 部署變得極其複雜的地方。當您在相鄰單元中有多個租戶時 - 例如兩側都有房間的飯店走廊，或是共享牆壁的商店購物中心 - 您就面臨著高密度的 RF 環境。同頻道干擾是您的敵人。您在部署前需要進行適當的 RF 規劃工作：進行現場勘測以繪製訊號傳播圖、識別干擾源，並為您的頻道分配策略提供依據。 在大多數監管管轄區中，2.4 GHz 頻段提供三個不重疊的頻道 - 頻道 1、6 和 11。5 GHz 頻段提供顯著更多的頻道，這就是為什麼現代部署會盡可能將用戶端引導至 5 GHz 的原因。WiFi 6 和 WiFi 6E 將此進一步擴展到 6 GHz 頻段，為您提供了一個很大程度上不受舊型裝置干擾的乾淨頻譜。對於 2025 年及以後的新 MDU 部署，指定支援 WiFi 6E 的 AP 是正確的決定 - 額外的頻譜空間在高密度環境中非常有利。 在大型 MDU 部署中，有一種架構模式正獲得極大的關注，那就是使用軟體定義網路（SDN）重疊網路 - 特別是 SD-WAN 或 SD-LAN 方法，其中租戶策略集中定義並推送到邊緣。這將策略層與實體基礎架構解耦，這意味著您可以新增租戶、修改其頻寬分配或撤銷其存取權限，而無需觸碰任何單一交換器的命令列。對於管理數十個或數百個租戶的場域營運商而言，這種營運效率具有變革性的意義。 IoT 是您不容忽視的另一個維度。在現代 MDU 中（無論是飯店、零售綜合大樓還是住宅大樓），都擁有建築管理系統、HVAC 控制器、智慧照明、門禁控制、CCTV 以及越來越多的其他聯網設備。這些設備必須位於其獨立且隔離的 VLAN 上，與租戶流量和訪客流量完全隔離。IoT 設備眾所周知地難以進行修補，且代表了巨大的受攻擊面。請對其進行區隔、監控並套用嚴格的出口過濾，使其僅能與其指定的管理平台進行通訊。 好的，讓我們進入實務。以下是我處理全新 MDU 部署的方法。 在觸碰任何一個硬體設備之前，請先從您的邏輯設計開始。規劃您的租戶數量、流量類別（管理、企業、訪客、IoT、付款），並相應地分配 VLAN。記錄您的 IP 位址規劃方案。定義您的跨 VLAN 路由原則：什麼可以與什麼進行通訊，以及什麼是絕對禁止的。 接著進行您的 RF 規劃。委託進行適當的現場勘測。不要依賴廠商的訊號覆蓋圖，那些通常過於樂觀。您需要在物理空間中進行實際的訊號測量，並將牆壁材質、地板結構以及來自鄰近建築物的 RF 環境納入考量。 在規格化硬體時，請優先選擇支援集中式雲端管理的平台。在沒有控制器的情況下管理分散式 AP 資產，其營運成本在規模化時是無法承受的。請尋找能為您提供單一 SSID 頻寬原則、單一租戶報告以及與您的 RADIUS 基礎架構整合的平台。 關於常見陷阱：我看到最常見的失敗模式是中繼埠 (Trunk Port) 設定不足。架構師設計了完美的 VLAN 方案，然後卻忘記在路徑中的每個中繼連結上明確允許相關的 VLAN。流量在無聲無息中遭到捨棄，租戶開始抱怨，而支援團隊則需要花費數天時間來追查問題。請仔細記錄您的中繼設定，並在試運作期間進行驗證。 第二個陷阱是 SSID 激增。您廣播的每個 SSID 都會消耗信標訊框 (Beacon Frame) 的空中時間。在密集環境中，每個 AP 廣播八個或十個 SSID 會降低所有人的效能。請將您的 SSID 數量保持在必要的最低限度（通常每個射頻不超過四個）。請使用透過 RADIUS 屬性的動態 VLAN 分配，而不是使用個別的 SSID，以便從單一 SSID 為多個租戶提供服務。 第三個陷阱是忽略了管理層面。您的管理 VLAN（即您的 AP、交換器和控制器進行通訊的 VLAN）必須與所有租戶和訪客 VLAN 完全隔離。如果租戶可以連入您的管理層面，您就面臨了關鍵的安全漏洞。請盡可能使用頻外 (Out-of-band) 管理，並對管理流量套用嚴格的 ACL。 現在，讓我來說明在這些部署中經常出現的幾個問題。 單一 AP 可以支援多少租戶？實際而言，大多數企業級 AP 在效能下降之前，每個射頻（radio）可以處理 20 到 30 個並行作用中的用戶端。在密集的 MDU（多住戶單元）中，請規劃每 15 到 20 個作用中裝置配置一個 AP，而不是按物理戶數配置。 我需要為每個租戶提供獨立的 AP 嗎？不需要 - 這正是基於 VLAN 的多租戶架構的核心意義。多個租戶共用相同的 AP，並在網路層強制執行流量隔離。 每個租戶合適的頻寬分配是多少？這沒有標準答案，但常見的起點是保證 10 到 25 Mbps，並具備可達可用上行鏈路容量的突發傳輸能力。使用 QoS 策略來執行此規則，以防止任何單一租戶飽和共用的上行鏈路。 如何處理需要獨立防火牆的租戶？為其提供專用的 VLAN 與路由接點（routed handoff point）。他們將自己的 CPE 或防火牆連接到該接點，其後端的所有設備皆由其自行負責。 總結來說：為 MDU 設計完善的多租戶 WiFi 架構建立在四大支柱之上。第一，嚴格的 VLAN 區隔，並在各區段之間強制執行防火牆策略。第二，集中式基於控制器的管理，為您提供大規模的營運可見度與策略控制。第三，考量到物理環境與部署密度的合適射頻（RF）規劃工作。第四，從第一天起就解決驗證、加密、IoT 隔離和合規性要求的安全模型。 做對這些規劃的組織能看到量化的成果：減少支援開銷、更快的租戶上線速度、用於稽核的具體合規狀態，以及將連線能力轉化為有價服務（monetise connectivity as a service）而非僅視為成本中心的能力。 如果您正在規劃 MDU 部署，並希望探索 Purple 的平台如何在您的網路基礎架構之上提供分析、訪客 WiFi 管理和租戶級報告層，本指南中連結的資源會是一個很好的起點。 感謝您的聆聽。我們下次再見。