各廠商單一裝置 PSK 比較：iPSK、DPSK、MPSK 及 PPSK（與 WPA3 支援）

各廠商的單一裝置預用金鑰（Per-Device PSK）：iPSK、DPSK、MPSK 與 PPSK 比較，以及 WPA3 支援。Purple 技術簡報。 介紹與背景。 歡迎觀看 Purple 技術簡報系列。我將帶您深入了解目前企業 WiFi 中最實用且最常被誤解的主題之一：單一裝置預用金鑰。具體而言，我們將比較各大主流廠商如何實作此功能、他們的命名方式、其實際運作原理，以及關鍵在於 - 當您嘗試升級至 WPA3 時會發生什麼事。 如果您是負責飯店、連鎖零售、體育場館或公共部門園區等跨區域 WiFi 的 IT 經理、網路架構師或場館營運總監，這篇簡報非常適合您。您可能已經見過各種縮寫：iPSK、DPSK、MPSK、PPSK。它們都指向同一個概念 - 在單一 SSID 上為每個裝置或使用者提供其專屬的獨特密碼 - 但其實作方式有顯著差異，而這些差異在您規劃下一次基礎設施更新時至關重要。 讓我們從基本原理開始，接著逐一探討各家廠商，最後解答大家目前都在苦惱的 WPA3 問題。 技術深入剖析。 那麼，什麼是單一裝置預用金鑰？它為什麼存在？ 傳統的 WPA2-Personal 針對整個 SSID 使用單一共享密碼。您訪客網路上的每個人都使用相同的密碼。這會帶來兩個問題：首先，您無法在不變更所有人密碼的情況下撤銷單一裝置的存取權限；其次，您無法針對個別裝置進行可視化管理或原則執行。單一裝置預用金鑰解決了這兩個問題。每個裝置或使用者都會獲得專屬的認證。您可以撤銷其中一個，而不會影響其他使用者。您可以針對每個金鑰分配不同的 VLAN、頻寬原則或存取時間排程。這是介於簡單的 WPA2-Personal 與複雜的完整 802.1X 企業驗證之間的折衷方案。 現在，我們來看看各廠商是如何實作此功能的。 Cisco Meraki 將其稱為 iPSK - Identity Pre-Shared Key。Meraki 支援兩種模式。在沒有 RADIUS 的情況下，您直接在 Meraki 控制面板中配置最多五個獨特的 PSK，每個金鑰對應到一個 VLAN。這可以快速設定，且不需要外部基礎設施。搭配 RADIUS（通常為 Cisco ISE）時，您可以擴充到數千個金鑰。用戶端建立關聯，AP 將 MAC 位址和 PSK 提示傳送到 RADIUS 伺服器，伺服器回傳正確的單一裝置金鑰，接著使用該金鑰作為成對主金鑰（Pairwise Master Key）來完成標準的 WPA2 四向交握。這裡的關鍵在於，是由 RADIUS 伺服器進行查詢，而不是 AP。AP 只是協助此交換過程。 HPE Aruba 稱其為 MPSK - Multiple Pre-Shared Key。Aruba Central 與 Aruba Instant 支援兩種模式的 MPSK：MPSK Local（金鑰儲存於控制器或 AP 叢集）以及 MPSK with ClearPass（Aruba 的 RADIUS 與策略引擎）。ClearPass 可容納數萬個金鑰、分配動態 VLAN，並針對每個金鑰套用角色型策略。其驗證流程本質上與 Meraki 的 RADIUS 模式相同 - 在進行四向交握之前，透過基於 MAC 的查閱傳回各個裝置的金鑰。 Ruckus（現為 CommScope 旗下品牌）稱其為 DPSK（Dynamic Pre-Shared Key）。這可說是市場上最成熟的實作方式。Ruckus DPSK 自早期的 SmartZone 時代起即已推出。在本地模式下，DPSK 服務運行於控制器上並保存金鑰資料庫。在 RADIUS 模式下，它與 Cloudpath（Ruckus 專屬的網路存取控制平台）整合。Ruckus 的獨特之處在於 DPSK3 - 這是他們針對 WPA3 的 DPSK 擴充功能，我們稍後會再回過頭來討論。DPSK3 可用於運行韌體 7.0 或更新版本的 WiFi 6、6E 和 7 基地台，並在 WPA2 與 WPA3 混合模式下運作。 Juniper Mist 稱其為 PPSK - Private Pre-Shared Key - 有時也稱為 Multi-PSK。Mist 將金鑰儲存於雲端的 Mist 組織或站點金鑰資料庫中，每個站點限制為 5,000 個金鑰。金鑰可針對每個使用者、每個裝置或每個群組進行分配。Mist 還與其 Access Assurance 服務（雲端原生 NAC）整合 - 增加了基於 RADIUS 的 PSK 查閱功能。最重要的是，Juniper 已宣布透過 Access Assurance 支援 WPA3 RADIUS PSK，允許單一 WPA3-Personal SSID 服務多個密碼。這是市場上較具前瞻性的實作之一。 Extreme Networks（已收購 Aerohive）透過 ExtremeCloud IQ 稱其為 PPSK（Private Pre-Shared Key）。Extreme 的實作支援在 AP 本地端儲存金鑰，這對於連線能力有限的分支機構或遠端站點非常有用。它也支援透過 ExtremeCloud IQ 的雲端 RADIUS 服務進行基於 RADIUS 的查閱。此外還提供 MAC 綁定功能，可將 PPSK 綁定至特定的裝置 MAC 位址以提高安全性。 Fortinet 稱其為 MPSK（Multiple Pre-Shared Key），透過 FortiAP 與 FortiGate 無線控制器進行管理。Fortinet 的實作之所以引人注目，是因為自 FortiAP 韌體 8.0 起，其 MPSK 設定檔中明確支援 WPA3-SAE 與 WPA3-SAE Transition 安全模式。您可以建立包含 WPA3-SAE 金鑰的 MPSK 設定檔，將其分配給 VAP，並啟用每個金鑰的動態 VLAN 分配。這是目前市面上最簡潔的 WPA3 MPSK 實作之一。 Ubiquiti UniFi 將其稱為私有預先共用金鑰（Private Pre-Shared Keys，或稱 Private PSK）。UniFi 的實作僅限於本地端 - 金鑰儲存在 UniFi Network 控制器中，而非外部 RADIUS 伺服器。您可以為每個金鑰分配不同的 VLAN，並為每個金鑰設定用戶端限制。重大的限制是：截至 2026 年年中，UniFi Private PSK 僅適用於 2.4 GHz 和 5 GHz 的 WPA2 網路。不支援 WPA3 和 6 GHz。對於較小規模的部署，這沒問題，但在您大規模投入 UniFi 設備之前，這是一個值得了解的限制。 現在，來談談 WPA3 的問題。這在技術上非常有趣。 WPA2-Personal 使用四向交握（four-way handshake）。用戶端與 AP 從共用的成對主金鑰（Pairwise Master Key, PMK）衍生出成對暫時金鑰（Pairwise Transient Key），而 PMK 本身則是從密碼衍生而來。由於 PMK 的衍生發生在 RADIUS 查詢之後，因此 AP 可以在該時間點替換為每個裝置專用的金鑰。標準對此並不在意 - 它只會視其為有效的 PMK。 WPA3-Personal 將四向交握替換為 SAE - 等同同時驗證（Simultaneous Authentication of Equals）。SAE 是一種基於 Diffie-Hellman 的協定。在關聯完成之前，雙方都會承諾使用從密碼衍生出的共用密碼要素。關鍵差異在於：在 SAE 交換開始之前，雙方都必須已知該密碼。在該協定中，RADIUS 伺服器無法在任何時間點為每個裝置注入不同的金鑰。AP 和用戶端已經在利用單一共用值進行加密通訊。 這就是為什麼 WPA3 目前在其標準形式下，每個 SSID 僅允許一個金鑰的原因。這不是韌體限制，而是協定限制。 解決方法分為以下三類： 第一，WPA3 轉換模式 - 也稱為 WPA2 / WPA3 混合模式。SSID 同時廣播 WPA2-PSK 和 WPA3-SAE。WPA2 用戶端使用四向交握，並可透過 RADIUS 接收個別裝置金鑰。WPA3 用戶端則使用具有單一共用密碼的 SAE。這是目前部署最廣泛的方法，並受到 Cisco Meraki、HPE Aruba、Ruckus 等廠商的支援。 第二，專有擴充功能。Ruckus DPSK3 是最明顯的例子。透過在 WPA2 / WPA3 混合模式下執行，並以 Cloudpath 作為 RADIUS 後端，DPSK3 允許具備 WPA3 功能的裝置使用 SAE，同時系統透過 Cloudpath 整合來管理每個裝置的金鑰繫結。Juniper 的 Access Assurance WPA3 RADIUS PSK 也採用類似的方法。Fortinet 的 MPSK 搭配 WPA3-SAE Transition 模式，可讓您在同一個 MPSK 設定檔中混合使用 WPA2-Personal 和 WPA3-SAE 金鑰。 第三，轉向 802.1X。對於受管終端裝置 - 企業筆記型電腦、員工裝置、任何您可以推送憑證的裝置 - 搭配 EAP-TLS 的 WPA3-Enterprise 是最乾淨的解答。它與 WPA3 和 6 GHz 完全相容，提供每個裝置的識別身分，並與 Microsoft Entra ID、Okta 和 Google Workspace 整合。其折衷之處在於部署複雜度以及對憑證基礎架構的需求。 實作建議與陷阱。 那麼您實際上應該怎麼做？ 如果您在 2026 年營運一家擁有混合客戶裝置、IoT 感測器和員工裝置的飯店，最務實的答案是混合 SSID 設計。為舊版 IoT 和客戶裝置保留一個使用每裝置 PSK 的 WPA2-Personal SSID。為您控制的員工裝置執行 WPA3-Enterprise SSID。在您的主要客用 SSID 上使用過渡模式，以支援 WPA2 和 WPA3 用戶端，而不會使您的 SSID 數量變得碎片化。 如果您使用的是 Ruckus 並且正在執行 WiFi 6 或更全更新的硬體，那麼搭配 Cloudpath 且處於 WPA2 / WPA3 混合模式下的 DPSK3 非常值得評估。它為您提供了當今最接近原生 WPA3 每裝置 PSK 的體驗。 如果您使用的是 Fortinet，具有 WPA3-SAE 過渡的 MPSK 設定檔配置起來非常簡單，並可為您提供清晰的遷移路徑。 如果您使用的是 UniFi，請向您的利害關係人明確說明 Private PSK 僅限 WPA2。對於部署具有 6 GHz 頻段 WiFi 6E 或 WiFi 7 的場域，您需要針對該頻段採用不同的驗證策略。 我們看到的最大陷阱是團隊假設在現有的每裝置 PSK SSID 上啟用 WPA3 就能正常工作。事實並非如此。請先在試點站點進行測試。檢查您的 AP 韌體版本 - 例如，Ruckus 上的 DPSK3 需要韌體 7.0 或更高版本。並檢查您的 RADIUS 伺服器相容性 - 混合模式下的 Ruckus DPSK3 專門需要 Cloudpath，而不是一般的 RADIUS 伺服器。 第二個陷阱是金鑰擴張。每裝置 PSK 對於責任追究非常有用，但前提是您必須擁有在裝置淘汰時撤銷金鑰的流程。如果沒有生命週期管理，您最終會得到數千個孤立的金鑰且沒有稽核追蹤。從第一天起，就將您的金鑰佈署與您的裝置管理工作流程相整合。 快速問答。 我可以在 6 GHz SSID 上使用每裝置 PSK 嗎？不行。6 GHz 強制要求僅限 WPA3，而 WPA3 原生不支援每裝置 PSK。對於需要每裝置 PSK 的裝置，請使用 802.1X 或獨立的 2.4 / 5 GHz SSID。 每裝置 PSK 是否符合 PCI-DSS 要求？如果每個金鑰都對應到隔離的 VLAN，則 WPA2 上的每裝置 PSK 可以滿足 PCI-DSS 4.0 網路分割要求。但 PCI-DSS 強烈建議在持卡人資料環境中使用 802.1X。請與您的 QSA 確認。 每個 SSID 的最大金鑰數量是多少？這有很大的差異。搭配 ISE 的 Cisco Meraki 支援非常大型的部署。Ruckus DPSK 支援數萬個金鑰。Juniper Mist 的上限為每個站點 5,000 個。UniFi 實際上受限於控制器記憶體。請務必針對您的特定韌體版本查閱廠商文件。Purple 在此架構中扮演什麼角色？Purple 作為雲端重疊網路，部署在您現有的硬體之上。我們與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 進行整合。在客用 WiFi 與員工 WiFi 部署中，Purple 負責處理身分識別層（身分驗證、資料擷取、同意管理），並透過 RADIUS 或 API 將適當的 VLAN 或策略分配傳回您的硬體。您保留現有的每台裝置 PSK 基礎架構，Purple 則在上方增添身分識別與分析層。 總結與後續步驟 讓我們進行整合整理。 每台裝置 PSK（不論您稱之為 iPSK、DPSK、MPSK 或 PPSK）是所有主要企業級 WiFi 廠商中成熟且支援良好的功能。各家實作的差異在於金鑰儲存位置、如何進行擴充，以及如何與 RADIUS 整合。 WPA3 的 SAE 協定為每台裝置 PSK 帶來了實質的技術限制。該標準本身並不原生支援此功能。目前的實際解決方案是使用過渡模式、像是 DPSK3 的專有延伸功能，或是針對支援該功能的裝置改用 802.1X。 各廠商的總結：Cisco Meraki iPSK 在 RADIUS 模式下與 ISE 協同運作良好；WPA3 支援是透過過渡模式。HPE Aruba MPSK 搭配 ClearPass 具有高擴充性；WPA3 MPSK 正在積極開發中。Ruckus DPSK3 是目前最成熟的 WPA3 每台裝置 PSK 解決方案。Juniper Mist Access Assurance 增加了 WPA3 RADIUS PSK。Fortinet MPSK 在其 MPSK 設定檔中明確支援 WPA3-SAE。Extreme PPSK 在本地和 RADIUS 模式下運作穩健。UniFi Private PSK 僅限 WPA2 且僅限本地。 對於您的後續步驟：評估您目前的每台裝置 PSK 部署，識別哪些裝置具備 WPA3 功能，並設計能同時支援兩者的混合 SSID 策略。如果您正在規劃硬體汰換，請優先選擇經證實支援 DPSK3 或 WPA3 MPSK 的 Wi-Fi 6 或 Wi-Fi 7 AP。 如果您想了解 Purple 如何與您的特定硬體廠商整合，在每台裝置 PSK 部署之上增添身分管理與分析功能，請造訪 purple.ai 或聯絡您的客戶團隊。 本次簡報到此結束。感謝您的聆聽。