iPSK 綜合指南：企業實用指南

執行摘要

iPSK (Identity Pre-Shared Key) 是實現多租戶 WiFi 的關鍵技術。它讓您能夠在整個物業中廣播單一 SSID，同時為每位住戶發行唯一的密碼。當設備連接時，RADIUS 伺服器會將該密碼對應到專屬的 VLAN，為每間公寓建立一個私有的網路泡泡。住戶的手機可以看見自己的 Chromecast，其智慧喇叭可以控制自己的電燈，而住戶 B 則完全看不到這些裝置。

標準的訪客 WiFi 會隔離每個設備，使其無法支援智慧家庭裝置。802.1X EAP-TLS 提供了強大的安全性，但需要憑證管理，且無法在無螢幕的 IoT 設備上運作。iPSK 介於兩者之間：它比 802.1X 更簡單，比共享密碼安全得多，且完全相容於住戶擁有的所有設備。

Purple 將 iPSK 部署為雲端重疊網路，支援 Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks, 和 Fortinet 硬體。您不需要更換無線基地台。Purple 扮演 RADIUS 伺服器的角色、管理金鑰生命週期，並透過 API 自動化執行入駐與遷出流程。本指南涵蓋了將 WiFi 作為 BTR（建屋出租）和 MDU（多住戶單元）物業託管便利設施的架構、部署步驟、常見陷阱以及商業案例。

技術深度解析

iPSK 的運作原理

傳統的 WPA2 個人版在同一個 SSID 上為所有使用者使用相同的密碼。任何住戶都可以看到同一個廣播域上其他住戶的設備。當某位住戶搬離時更新密碼，將會影響到其他所有住戶。iPSK 則完全改變了此身分驗證模式。

當設備嘗試使用特定的 PSK 與無線基地台建立關聯時，無線控制器會向 Purple 雲端傳送 RADIUS Access-Request。RADIUS 伺服器會將該密碼與住戶記錄進行比對，並傳回包含廠商專屬屬性的 RADIUS Access-Accept 訊息：即分配給該住戶的 VLAN ID。接著控制器會將用戶端放入該 VLAN 中。整個交換過程僅需數毫秒，且對住戶而言是完全無感的。

此架構帶來了三個成果。第一，VLAN 區隔：流量在 Layer 2 進行隔離，因此 VLAN 10 上的住戶 A 無法將流量路由到 VLAN 20 上的住戶 B。第二，廣播抑制：mDNS 和 Bonjour 探索流量會保留在住戶的 VLAN 內，因此 Chromecast 和 Sonos 可以在公寓內正常運作，而不會溢出到走廊。第三，乾淨的金鑰生命週期：在住戶搬出時撤銷單一金鑰僅會影響該住戶，大樓的其他部分仍可保持連線。

各家廠商的術語不盡相同。HPE Aruba 稱此為 PPSK (Private Pre-Shared Key)。Cisco Meraki 稱之為 Personal Private Network。Ruckus 與 Juniper Mist 則使用 DPSK (Dynamic Pre-Shared Key)。所有平台上的基本概念皆完全相同。

驗證方式比較

下表總結了多租戶環境中使用的三種主要 WiFi 驗證方式之間的權衡。

對於 BTR 和 MDU 部署，iPSK 是正確的選擇。它提供了您所需的隔離性與安全性，且無需憑證授權單位的營運開銷。

WPA3 與 6 GHz 的挑戰

WPA3 引入了同時同等驗證 (SAE) 來取代 WPA2 4向握手。SAE 對離線字典攻擊具有更強的防禦力。然而，現行的 IEEE 802.11 SAE 標準並不支援在單一 SSID 上使用多個預先共用金鑰。

由於 Wi-Fi 6E 和 Wi-Fi 7 強制要求在 6 GHz 頻段上使用 WPA3，因此您目前無法在 6 GHz SSID 上運行標準的 iPSK。這並非特定廠商的限制。Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Extreme 以及 Fortinet 都面臨相同的限制，因為這源於 IEEE 標準本身。

目前的最佳實踐是採用混合部署。在 2.4 GHz 和 5 GHz 頻段上維持一個 WPA2 iPSK SSID，以支援舊型裝置和 IoT 硬體。針對支援 6 GHz 的裝置，則部署另一個使用 802.1X EAP-TLS 的獨立 SSID，或等待廠商專屬的 SAE 實作技術成熟。部分廠商正在開發專有的多金鑰 SAE 解決方案，但目前尚未有全球統一的標準化方法。

實作指南

步驟 1：VLAN 規劃

為每個公寓或住戶配置一個專用的 VLAN。確保您的核心交換器和防火牆支援所需的 VLAN 介面數量。一個擁有 200 個單位的 BTR 物業需要 200 個獨立的 VLAN。現代企業級交換平台可處理數千個 VLAN，且不會影響效能。

步驟 2：DHCP 與 IP 位址分配

為每個 VLAN 設定一個 DHCP 範圍。為每位住戶分配一個 /24 子網路 (254 個可用位址)。現代家庭會連接 15 到 25 台裝置。一個 /28 子網路 (14 個可用位址) 在幾天內就會耗盡。請務必配置足夠的 DHCP 範圍。

步驟 3：RADIUS 設定

將您的無線控制器指向 Purple RADIUS 伺服器。將控制器設定為接受用於 VLAN 分配的 RADIUS 覆寫屬性。Purple 提供每個支援的硬體平台之 RADIUS 伺服器 IP 位址、共用金鑰和屬性對映。

步驟 4：SSID 佈署

廣播單一全大樓的 SSID。在該 SSID 上啟用 MAC 驗證繞過 (MAB)。MAB 是當裝置使用 PSK 而非憑證進行連線時，控制器用來發起 RADIUS 請求的機制。

步驟 5：住戶引導

將 WiFi 佈署整合到住戶入住的工作流程中。Purple 的 API 會產生專屬的 iPSK，並透過電子郵件或住戶入口網站傳送給住戶。在退租時，物業管理系統會觸發 Purple API 以撤銷該金鑰。無需手動干預。

最佳實踐

在住戶 VLAN 內停用用戶端隔離

用戶端隔離會阻止同一子網路上的裝置互相通訊。如果您啟用此功能，將會破壞 iPSK 旨在支援的智慧家庭功能。請在每個住戶的 VLAN 內停用用戶端隔離。VLAN 邊界本身即提供了住戶之間的隔離。

針對遊戲設定 NAT

線上遊戲需要特定的 NAT 設定。PlayStation 5 和 Xbox Series X 需要 NAT 類型 2 (中等) 或 NAT 類型 1 (開放) 才能進行配對。請謹慎實施電信級 NAT (CGNAT)。請針對每個住戶 VLAN 設定 UPnP 或靜態連接埠轉發，而不是套用一律嚴格的 NAT 政策。

將所有住戶 VLAN 幹線連接到所有存取點

在 4 樓公寓內連線的住戶，當走到 1 樓健身房時必須維持其連線。所有住戶 VLAN 必須透過幹線連接到整個物業的所有存取點，或者您必須實施通道協定 (例如 CAPWAP 或 GRE) 將用戶端流量錨定到中央控制器。

為群體入住活動做好規劃

學生宿舍營運商面臨著一項特定挑戰：在入住週期間有數百名住戶同時連線。請在入住日之前預先配置所有 iPSK。在負載下測試 RADIUS 伺服器容量。Purple 的雲端基礎架構可用性評級達 99.999%，可處理並行驗證高載而不會降低效能。

疑難排解與風險緩釋

Chromecast 和智慧音箱連線失敗

這是多租戶 WiFi 中最常見的支援工單。如果住戶無法投放至其 Chromecast 或配對其智慧音箱，請檢查兩件事。首先，確認其 VLAN 內已停用用戶端隔離。其次，確認 mDNS 代理或 Bonjour 閘道沒有過濾該 VLAN 內的探測流量。

IP 位址耗盡

如果住戶回報新裝置無法連線，請檢查其 VLAN 的 DHCP 租約表。在現代家庭中，/28 子網路將在幾天內耗盡。請立即將範圍擴大到 /24。

公共區域連線中斷

如果住戶在樓層或區域之間移動時失去連線，表示該住戶的 VLAN 未骨幹連接（trunked）到該區域的存取點。請稽核連線至存取點的每個交換器連接埠上的 VLAN 骨幹設定。

金鑰撤銷後驗證失敗

如果裝置在金鑰被撤銷後仍繼續連線，請檢查 RADIUS 伺服器快取。部分控制器會將驗證決策快取一段可設定的時間。請將工作階段逾時和重新驗證間隔設定為較短的值（15 至 30 分鐘），以確保撤銷能立即生效。

投資報酬率（ROI）與業務影響

租金溢價案例

英國地產聯盟（British Property Federation）的研究指出，在英國的建置出租（BTR）開發項目中，託管 WiFi 每月可為每個單位帶來 15 至 30 英鎊的租金溢價。以一個擁有 200 個單位的物業計算，這相當於每月增加 3,000 至 6,000 英鎊的額外收入。佈署企業級存取點與 Purple 軟體重疊網路的資本成本，通常可在 12 至 18 個月內回收。

縮短空置期

提供啟用首日即時連線服務，可免去住戶等待網路服務供應商（ISP）工程師期間 5 至 10 天的空置期。住戶入住即可立即連線。這降低了空置成本，並從租約的第一天起提升住戶滿意度。

射頻（RF）環境改善

在一個擁有 200 個單位的建築中，如果每個住戶都運行自己的家用路由器，會造成嚴重的同頻干擾。200 台路由器在重疊的 2.4 GHz 和 5 GHz 頻道上競爭，會降低所有人的網路效能。將其替換為企業級存取點上的單一託管 SSID，可消除干擾，並在整棟建築中提供穩定、高速的連線。

營運效率

Purple 透過與物業管理系統的 API 整合，將整個金鑰生命週期自動化。入住佈署與遷出撤銷完全不需要 IT 或物業管理團隊的手動介入。這可以直接從支援工單數量和員工時間中衡量。

如欲瞭解更多關於 Purple 如何在超過 80,000 個場所支援 Guest WiFi 與 WiFi Analytics 的資訊，請參閱相關指南。如果您正在評估零售或餐旅環境的多租戶 WiFi，請參閱我們的 Retail 和 Hospitality 產業頁面。如欲深入探討 SSID 設計策略，請閱讀 Three SSIDs to rule them all: guest, Passpoint, and IoT WiFi 。