PPSK 目錄：比較功能與部署模型

執行摘要

傳統的 WPA2-Personal 網路在所有裝置上共用單一密碼。在一個擁有 200 個單位的租賃專用住宅（BTR）開發項目中，這意味著大樓中的每位住戶、每台智慧電視、每個溫控器和每台遊戲主機都使用同一個密碼。當住戶搬出時，您要麼為所有人更換密碼（這會中斷其他 199 個住戶的連線），要麼讓前住戶繼續保有存取權限。這兩種做法都無法令人接受。

PPSK（Private Pre-Shared Key）目錄整合解決了這個問題。PPSK 向每位住戶或單位發放唯一的 WiFi 密碼，並將該金鑰綁定到特定的虛擬區域網路（VLAN）。裝置連線到同一個 SSID，但網路會將它們隔離到私有區段中。每位住戶的裝置可以互相偵測，而任何住戶都無法看到其他人的裝置。當租約結束時，您只需撤銷該特定金鑰，完全不會影響其他人的連線。

本指南比較了 PPSK 目錄部署與標準 PSK 及 IEEE 802.1X 的差異，詳細介紹了三種主要的部署架構，並為物業開發商、BTR 營運商以及支援他們的 IT 團隊提供具體的實作指引。Purple 的業務遍及 80,000 多個實體場域，並作為雲端重疊網路整合於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 以及 Fortinet 中。

技術深度剖析：PPSK vs 802.1X vs 標準 PSK

要了解為什麼 PPSK 在多租戶部署中佔據主導地位，您必須在關聯層將其與其他替代方案進行比較。

標準 PSK：家用網路模式

在標準 WPA2-Personal 設定中，無線基地台（AP）廣播一個 SSID 並需要單一預先共用金鑰。每個裝置都使用此金鑰。AP 將所有裝置置於同一個 VLAN 中。裝置可以互相偵測 - 這對單一家庭來說很理想，但對於有 200 個單位的 BTR 開發項目來說是不可接受的。標準 PSK 缺乏任何針對單一使用者的撤銷機制。撤銷某個使用者的存取權限需要為所有人更換金鑰。

802.1X：企業標準

IEEE 802.1X (WPA-Enterprise) 需要 RADIUS 伺服器、身分識別提供者 (例如 Microsoft Entra ID、Okta 或 Google Workspace) 以及每個裝置上的 supplicant。該 supplicant 負責處理 Extensible Authentication Protocol (EAP) 交換。這提供了強大、具備身分識別備份的安全防護，並擁有單一使用者的責任歸屬。然而，802.1X 在住宅環境中會失效，因為智慧電視、遊戲主機、無線喇叭和智慧家庭感測器等 IoT 裝置缺乏 802.1X supplicant。在 BTR 大樓中部署 802.1X，意味著每個 IoT 裝置要麼未經身分驗證，要麼只能留在獨立的未受管網路中。

PPSK 目錄：多租戶解決方案

PPSK (在 Cisco Meraki 中稱為 iPSK，在 Cisco 中稱為 Personal Private Network，在 Juniper Mist 和 Cambium 中稱為 ePSK) 彌補了這一差距。AP 會廣播單一 SSID。當裝置連線時，它會在 WPA2 四向交握期間提供其專屬的金鑰。AP 會查詢託管在雲端控制器或 RADIUS 後台的 PPSK 目錄，以驗證該金鑰並檢索指派的 VLAN。裝置端感知到的是標準的家庭網路。營運商則實現了完全的每戶隔離。

下表總結了這三種驗證模型之間的核心功能差異。

實作指南：架構與部署模型

在開始任何硬體設定之前，部署 PPSK 目錄需要採取結構化的邏輯設計方法。

步驟 1：邏輯網路設計

在接觸硬體之前，請先規劃您的住戶數量和 IoT 裝置類別。標準的 BTR 部署會依以下方式隔離流量。住戶 VLAN 從 VLAN 10 開始，一路延伸到您的大樓戶數需求 - 每戶一條 VLAN 是標準的做法。專用的 IoT VLAN (通常為 VLAN 99) 用於大樓管理系統、CCTV 和智慧感測器。管理 VLAN (VLAN 100) 承載員工裝置流量，並透過 802.1X 進行身分驗證。訪客 VLAN (VLAN 200) 則透過 Captive Portal 為公共區域的臨時訪客提供服務。

請仔細計算您的 IP 位址需求。根據英國地產聯盟（British Property Federation）的研究指出，每個家庭擁有 15 到 25 台裝置。一棟擁有 200 個住戶單元的建築同時會容納多達 5,000 台裝置。請針對每個住戶 VLAN 採用 RFC 1918 私有位址與 /24 子網路（254 個可用位址），以確保足夠的容量。而 /23（510 個位址）則能為高密度單元提供充裕的預留空間。

步驟 2：選擇佈署模型

目前實際運作中的 PPSK 架構主要有三種。

雲端控制器模型：PPSK 目錄存放於廠商的雲端平台中 - Aruba Central、Meraki Dashboard、Ruckus Cloud 或 Juniper Mist。控制器會將原則派送至 AP。當住戶遷入時，您在入口網站中產生金鑰；當他們遷出時，您將其刪除。由於其具備維運簡易性且無須落地基礎設施，這是目前新佈署中最常見的模型。

RADIUS 後端模型：AP 將驗證請求轉發至中央 RADIUS 伺服器（例如 Cisco ISE 或 FreeRADIUS），該伺服器會查詢身分識別庫。RADIUS 伺服器透過 Cisco-AVPair 屬性傳回 VLAN 分配。此模型適用於需要深入稽核軌跡以及與現有企業目錄整合的環境。雖然它增加了基礎設施的維護開銷，但卻提供了 802.1X 的可審計性與 PPSK 的裝置相容性。

混合驗證模型：住戶針對其筆記型電腦和 IoT 裝置使用 PPSK。大樓工作人員針對企業裝置，透過 Microsoft Entra ID 或 Okta 使用 802.1X。這兩個群組連接到相同的實體基礎設施，但對應到不同的邏輯區段。Purple 推薦將此架構用於全方位的租賃住宅（BTR）和多住戶單元（MDU）佈署。住戶使用 PPSK；大樓管理系統使用具備 PPSK 的專用 IoT VLAN；物業管理團隊的裝置則使用 802.1X。三種不同的驗證模型、三個不同的 VLAN、一個實體基礎設施。

步驟 3：硬體整合

PPSK 已在所有主要的企業級 AP 平台上得到支援，不過實作細節因廠商而異。

請注意 Ubiquiti UniFi 的特定限制：其目前的 PPSK 實作僅限於 WPA2。如果您部署 WiFi 6E 基地台並需要 6GHz 頻段，則必須使用支援 WPA3-SAE 搭配 PPSK 的平台。Aruba、Ruckus 和 Meraki 皆在 WPA3 配置上支援 PPSK。

Purple 作為與硬體無關的雲端重疊網路，可與此列表中的所有平台整合，無論底層硬體廠商為何，皆能提供統一的 PPSK 目錄和住戶管理介面。請參閱我們的指南 主宰一切的三個 SSID：訪客、Passpoint 和 IoT WiFi ，以瞭解更廣泛的 SSID 架構背景。

多租戶 WiFi 的最佳實踐

控制 SSID 增殖

限制每個射頻最多廣播四個 SSID。每增加一個 SSID 都會消耗信標訊框（beacon frames）的空口時間。在擁有 30 個 AP 的密集住宅大樓中，每個 AP 廣播八個 SSID 會產生 240 個信標流爭奪空口時間。請使用 PPSK 在單一 SSID 後方進行邏輯用戶分割，而不是為每個公寓或每個樓層建立個別的 SSID。請參閱 主宰一切的三個 SSID 以瞭解建議的 SSID 架構。

自動化金鑰發放

請勿依賴手動密碼表。請透過廠商的 REST API 將您的 PPSK 目錄與物業管理系統整合。在租戶簽約時自動產生唯一的金鑰，並在歡迎郵件中透過 QR code 傳送。請在部署前建立金鑰發放工作流程，而非部署後。自動化發放金鑰的營運商與手動發放相比，其回報的 WiFi 相關支援工單減少了 30%（Purple 內部數據，2024 年）。

在上線前驗證 Trunk 鏈路

最常見的調試失敗是分發交換器與核心網路之間的 Trunk 鏈路上遺失 VLAN 標籤。請設計您的 VLAN 方案，然後驗證每個住戶 VLAN 在每個相關的 Trunk 鏈路上皆被允許。在住戶遷入之前，使用每個 VLAN 上的裝置進行測試。

對 IoT VLAN 套用出口過濾

大樓基礎設施裝置 - 包含 HVAC 控制器、CCTV 攝影機、門禁控制面板 - 應置於專用的 IoT VLAN 中，並在防火牆處進行嚴格的出口過濾。這可防止遭入侵的 IoT 裝置存取住戶 VLAN 或管理網路。

如需深入瞭解 Guest WiFi 架構和 WiFi Analytics 整合，請參閱我們的產品文件。 Hospitality 產業的營運商也應閱讀我們的指南： 如何透過您的訪客 WiFi 留下美好的第一印象 。

疑難排解與風險緩釋

遊戲主機與 NAT 類型

住戶期望他們的 PlayStation 或 Xbox 能夠在線上多人在線遊戲中顯示為「Type 2」或「Open」的 NAT 類型。過於激進的電信級 NAT (CGNAT) 實施會產生「Strict」NAT，從而產生大量的支援工單。請將您的防火牆配置為根據住戶區段正確處理 UPnP。請勿對所有住戶 VLAN 應用一刀切的限制。

智慧家庭裝置配對

Chromecast、Apple TV、Amazon Echo 和 Sonos 需要在同一個邏輯網路上進行裝置探索。使用 PPSK，使用同一住戶金鑰的所有裝置都共用一個 VLAN，並且可以相互探索。使用不同金鑰的裝置則無法。這是正確的運作方式。如果住戶回報智慧家庭配對失敗，請驗證他們的所有裝置是否都使用相同的 PPSK 金鑰。

UniFi 上的金鑰耗盡

Ubiquiti UniFi 每個網路最多支援 1,000 個 PPSK 項目。對於擁有超過 1,000 個單元的開發項目，或具有高 IoT 裝置數量的項目，此限制需要仔細規劃。考慮將網路分割到多個 UniFi 站點，或遷移到具有更高金鑰限制的平台，例如 HPE Aruba 或 Cisco Meraki。

GDPR 與住戶數據

PPSK 金鑰儲存庫包含可識別住戶的數據。確保您的金鑰管理平台將數據儲存在合規的區域中。Purple 根據 GDPR 和 CCPA 要求儲存數據，並為歐盟部署提供可選擇的數據落地。僅在安全和營運需要的情況下保留可識別住戶的 WiFi 日誌 - 六個月是 BTR 環境常見的上限。

投資報酬率與商業影響

託管 WiFi 是 BTR（租賃住宅）和專用學生宿舍的核心便利設施。部署 PPSK 網路的營運商在三個維度上看到了可衡量的回報。

租金溢價。 根據英國地產聯合會（British Property Federation）的行業研究，BTR 營運商通常會為高品質、即插即用的 WiFi 每月每戶收取 15 至 30 英鎊的溢價。在一個擁有 200 個單元的開發項目中，這代表每年有 36,000 至 72,000 英鎊的額外年收入。

營運效率。 專屬金鑰消除了大樓範圍內密碼輪換的需要。營運商報告說，從共享 PSK 遷移到 PPSK 後，WiFi 相關的支援工單減少了 30% (Purple 內部數據，2024 年)。入駐當日的網路連接也將空置期縮短了五到十天。

與硬體無關的部署。 藉由將 Purple 的多租戶 WiFi 解決方案部署為您現有或所選硬體上的軟體覆蓋，您可以保留對網路的控制權以及淨營運收益（NOI）的提升。您可避免將收益讓給第三方寬頻提供商，因為他們會將連線服務綑綁到合約中，從而奪走便利設施的溢價。

自 2012 年以來，Purple 已在超過 80,000 個現場場所運作，擁有 99.999% 的正常執行時間，並獲得 ISO 27001、GDPR、CCPA 和 Cyber Essentials 認證。對於需要類似網路分割的 零售 和 醫療保健 部署，同樣的 PPSK 目錄架構也適用於特定行業的合規性覆蓋。關於此架構的 iPSK 變體，請參閱我們的相關指南： Logo guild iPSK：企業全面指南 。