每戶 VLAN 與 PSK 架構：MDU 網路設計指南

當單元設有有線連接埠且大樓有數百戶時，為每個公寓提供專屬的 VLAN。一個包含 250 戶的 BTR 方案約會使用 4,094 個 IEEE 802.1Q VLAN ID 中的 256 個。對於人員流動率高的場所，例如擁有 800 張床位的 PBSA，請將網路隔離原則放在每位住戶的唯一金鑰中，並在少數共享的 VLAN 上套用單一金鑰原則。

每間公寓都應該擁有獨立的 VLAN 嗎？

不一定。在長租公寓 (BTR)、多住戶住宅 (MDU) 或專用學生宿舍 (PBSA) 方案中的每位住戶都需要一個私有網路。他們的筆記型電腦、智慧電視和印表機應該能夠互相連線，且任何其他人的裝置都不應看到它們。這就是兼具企業級安全性的居家體驗，您可以透過兩種方式實現。

每間公寓專屬 VLAN。 每個單元都擁有自己的虛擬區域網路 (VLAN)。VLAN 是一個獨立的第 2 層廣播網域，擁有自己的子網路和 DHCP 範圍。RADIUS 伺服器會告知無線存取點每個裝置要加入哪個 VLAN。RADIUS 是用於檢查每個裝置並傳回其網路原則的驗證協定。單元之間的流量必須跨越第 3 層閘道，您的防火牆會在該處進行阻擋。

由金鑰承載的原則。 每位住戶在同一個共享的 SSID 上都會獲得一個唯一的預共享金鑰 (PSK)。各廠商稱此為身分 PSK (iPSK)、私有 PSK (PPSK)、多 PSK 或動態 PSK。該金鑰會辨識住戶，且網路會套用與其綁定的原則。使用相同金鑰的裝置可以互相通訊；使用不同金鑰的裝置則無法通訊，即使在共享的 VLAN 上也是如此。Purple 將此稱為私有區域網路 (PAN)：一個跟隨金鑰移動的私有網路防護罩。

兩種設計都能妥善隔離住戶。兩者的差異在於隔離執行的位置，以及您需要維護多少設定。選擇取決於四個因素：

• 單元內的有線連接埠
• 住戶流動率
• 總網段數量
• 您的無線存取點和交換器支援的功能

以下章節將透過 250 戶 BTR 方案和 800 張床位 PBSA 場所的單元數量，詳細分析每個因素。

每單元 VLAN 與基於金鑰原則的真正差異

4,094 個 VLAN 的上限，以及您何時會真正觸及它

IEEE 802.1Q 在 12 位元欄位中承載 VLAN ID，這提供了 4,096 個數值。ID 0 和 4,095 為保留 ID，因此剩下 4,094 個可用 ID。此上限適用於每個第 2 層網域，而非每個組織，因此在路由邊界後方的兩棟建築物可以重複使用相同的 ID。

單一建築物很少光靠住戶 VLAN 就達到 4,094 個上限。您會在以下三種情況下觸及上限：

• 多棟建築的大型校園運行單一扁平的第 2 層網域。 一個核心網路下的五棟 800 床位宿舍，在加上員工、CCTV 或建築管理網路之前，就需要 4,000 個住戶 VLAN。
• 您按床位和連接埠進行分段。 如果每個床位還獲得獨立的有線 VLAN，您的數量就會加倍。
• 您為智慧鎖或溫控器新增了每個單元的 IoT VLAN，這會讓數量再次翻倍。

實際的上限通常會更早到來。每個 VLAN 的生成樹變體會為每個 VLAN 執行一個生成樹執行個體，而交換器平台將執行個體上限設在遠低於 4,094 的位置。無線控制器和閘道器也會發佈其自身對 VLAN 和 layer 3 介面的限制。在您提交之前，請先檢查這三項規格表數據。802.1Q 的最大值並非規劃時該參考的正確數字。

如果您超過了上限，有兩種乾淨的退出方案。在每棟建築物設定一個路由邊界，並在每棟建築物內部重複使用 VLAN ID。或是改用 RFC 7348 中定義的 VXLAN，其 24 位元的區段識別碼允許大約 1,600 萬個區段。多重生成樹（最初為 IEEE 802.1s，現為 802.1Q 的一部分）可將許多 VLAN 對映到少數執行個體上。這消除了生成樹的限制。

RADIUS 如何將住戶分派至 VLAN

RFC 3580 定義了動態 VLAN 分派。當 RADIUS 接受裝置時，Access-Accept 訊息會包含三個屬性：

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = 該公寓的 VLAN ID

無線基地台或交換器接著會將裝置放置在該 VLAN 上。這項對映存在於住戶的記錄中，因此他們的電話無論是在公寓內、健身房還是頂樓露臺，都會連線到相同的 VLAN。

伺服器如何識別裝置的擁有者取決於驗證方法：

• IEEE 802.1X（WPA2-Enterprise 或 WPA3-Enterprise）。 住戶使用憑證或證書登入，RADIUS 會直接查詢該資訊。
• Per-key PSK。 控制器或 RADIUS 伺服器會將裝置出示的金鑰與住戶的記錄進行比對，然後傳回 VLAN 或原則名稱。

廠商實作該金鑰查詢的方式各有不同。請遵循您平台的說明文件來執行設定步驟。

在住宅建築中，PSK 因一個實用原因而勝出。智慧電視、遊戲主機、智慧喇叭和印表機很少支援 802.1X，但金鑰適用於所有這些裝置。

請檢查您的平台是否支援搭配 WPA3-Personal 的 per-key PSK。許多 per-key 實作最初是在 WPA2-Personal 上推出的。SAE（同時等效驗證，即 WPA3-Personal 握手）改變了金鑰的比對方式，且支援程度因廠商和韌體而異。

當住戶搬家或搬出時，RADIUS 動態授權會有所幫助。它在 RFC 5176 中定義，可讓伺服器立即中斷連線會話或推播新原則。

廣播域衛生管理

每個 VLAN 都是一個廣播域。ARP 請求、DHCP 發現和多播發現協定會傳送到其中的每台裝置。這些協定包括 AirPlay 和 Chromecast 使用的 mDNS，以及 SSDP。在 WiFi 上，廣播和多播封包會以基本資料傳輸率發出。它們會消耗承載該 VLAN 的每個無線基地台之空中時間。

每個單元的 VLAN 可將每個廣播域維持在單一家庭（大約 8 到 36 台裝置）。可以在公寓內部進行裝置尋找，無需 mDNS 閘道器，且不會洩漏到隔壁。

共用 VLAN 可容納來自多名住戶的數百台裝置，因此需要主動的維護機制：

• 在基地台啟用 Proxy ARP 或 ARP 抑制，讓 AP 直接回應 ARP 請求，而不是進行大量廣播。
• 在住戶 SSID 上進行多播轉單播轉換（Multicast-to-unicast conversion）或廣播過濾。
• 按金鑰限制範圍的 mDNS 閘道，確保住戶的投屏目標僅出現在他們自己的裝置上。
• 規模限制。 我們的實務經驗法則是每個共用 VLAN 最多容納幾百台用戶端。超過此數量時，請按樓層或棟別進行分割。

某些平台原生支援金鑰層級的群組劃分。例如 Cisco Meraki 的 Wireless Personal Network 會透過身份 PSK 對裝置進行群組劃分，並在共用 VLAN 上將各群組彼此隔離。在 Meraki 環境中，請同步測試快速漫遊。我們的 Cisco Meraki 802.11r 自適應與啟用對比 指南涵蓋了該行為的詳細說明。

每個區段的 DHCP 範圍設計

我們以每位住戶 8 到 12 台裝置進行規劃。這是 Purple 的規劃基準數字，涵蓋：

• 手機、筆記型電腦、平板電腦和智慧手錶
• 電視、遊戲機和揚聲器
• 智慧家庭裝置

請根據單位的最大入住人數來規劃每個範圍的大小，而不是平均人數。

接著預留空間給私有 MAC 地址。Apple 和 Google 預設都會針對每個網路隨機化裝置的 MAC 地址。新的隨機地址會佔用新的租約。請縮短租約時間，讓廢棄的地址能在一天之內釋放回位址池，並保持每個範圍至少有三分之一的可用空間。

前綴	可用地址	扣除閘道後的租約數	適用性
/28	14	13	不建議：一名住戶使用 12 台裝置後僅剩 1 個可用
/27	30	29	一名住戶使用 12 台裝置，剩餘 17 個
/26	62	61	三名住戶各使用 12 台裝置，剩餘 25 個
/23	510	509	一個樓層 25 名住戶各使用 12 台裝置，剩餘 209 個

在閘道上運行 DHCP，或在中央伺服器上運行並於每個 VLAN 介面上設定 DHCP 中繼。按單位設計的方案需要每個 VLAN 配備一個範圍和一個中繼，因此擁有 250 個戶別的大樓將有 250 個範圍。好處是 IP 地址可以識別公寓戶別，從而加快故障排查速度。在共用 VLAN 上，地址不再映射到特定單位。您需要透過 RADIUS 計費日誌（上記錄了金鑰、MAC 地址和工作階段）來尋找住戶。

考量因素	每戶獨立 VLAN	由金鑰套用的原則
實施隔離的位置	第三層閘道與防火牆	基地台或控制器
使用的住戶 VLAN	每戶一個	每樓層或每棟一個
單位內的有線連接埠	與 WiFi 位於相同區段（透過 Port VLAN 或 MAC 驗證）	需要獨立的有線網路設計
AirPlay 與 Chromecast 搜尋	在 VLAN 內即可運作，無需閘道	需要按金鑰限制範圍的 mDNS 閘道
廣播網域大小	一個家庭，最多約 36 台裝置	最多幾百台裝置
DHCP 範圍	每戶一個	每個共用 VLAN 一個
硬體依賴性	動態 VLAN 分配 (RFC 3580)	按金鑰 PSK 以及按金鑰隔離
最佳適用情境	具備有線連接埠且租期較長的 BTR 與 MDU	PBSA、公寓式酒店、多棟式校園

何時適合採用「每戶一組 VLAN」

當滿足以下大部分條件時，請選擇每戶配置一組 VLAN：

• 單位內設有有線連接埠。 單一 VLAN 可同時承載住戶的有線電視、智慧中心與 WiFi 裝置，因此跨裝置投屏運作順暢。
• 租期長達數月或數年。 VLAN 與單位的對映關係極少變動。
• 分段數量遠低於您的平台上限。 請計算生成樹實例（spanning tree instances）、控制器 VLAN 及閘道介面數量。
• 您的安全團隊希望在 Layer 3 進行隔離，並針對每個分段記錄防火牆日誌。
• 支援團隊需要透過 IP 位址識別單位，無須進行 RADIUS 查詢。

實際情境分析：250 戶的 BTR 方案

背景。 一棟包含 250 間公寓的租賃專用住宅（BTR）大樓，涵蓋套房至兩房戶型，每戶最多入住三名住戶。每間公寓皆配有供電視與智慧家居中心使用的有線連接埠。公設層設有健身房、共享工作廊道及頂樓露台。員工、監視器（CCTV）、物業管理與廊道訪客皆需要各自獨立的網路。

執行方案。

• 每戶一組 VLAN： 250 組住戶 VLAN。
• 六組基礎設施 VLAN： 管理、員工、CCTV、物業管理、IoT 以及公設空間專用的訪客 Guest WiFi 網路。總共使用 256 個 VLAN ID。
• 每戶統一配置 /26。 三名住戶每人 12 台裝置共有 36 台裝置，仍留有 25 個 IP 租約備用。單一範本即可涵蓋所有單位。
• 所有住戶範圍共用一個 /18。 250 個 /26 範圍可容納於 RFC 1918 私有空間的單一 /18 內，並剩餘六個 /26 區塊。
• 有線與無線整合於單一分段。 RADIUS 將每位住戶的金鑰對映至其公寓的 VLAN，且該公寓的有線連接埠亦位於相同的 VLAN 上。
• 多重生成樹（Multiple Spanning Tree） 將 256 個 VLAN 對映至少數實例上。

成果（設計數據）。

• 使用了 4,094 個 VLAN ID 中的 256 個，約佔 6%。
• 256 個 DHCP 範圍與 256 個 Layer 3 介面，皆可透過單一防火牆規則範本進行管理。
• 每個住戶位址皆能精確識別其對應的公寓。
• 若擴建包含 250 戶的第二期工程，總計將達 506 個 VLAN，仍僅佔 ID 空間的 12% 左右。

何時適合採用「基於策略的分段」

當滿足以下大部分條件時，請選擇透過金鑰帶載策略：

• 人員流動率高。 每年新生入學或按日入住使得 VLAN 與單位的維護成為常態性工作。
• 住戶會在整棟建築內漫遊，包含自習室、咖啡廳與健身房。
• 若按床位提供隱私隔離，將導致 VLAN 數量 激增至數百或數千個。
• 房間內未提供有線連接埠，或連接埠僅供建築系統使用。
• 您的存取點（AP）支援單一金鑰 PSK、單一金鑰隔離以及具備範圍限制的 mDNS。

實際情境分析：800 個床位的位學生宿舍

**情境。**一所大學營運一棟擁有 800 張床位的大樓，分為四區，每區八個樓層，每層 25 張床位。學生居住在分組套房中，每組套房有五至八間臥室並共用廚房。室友之間希望擁有隱私，因此網路區隔是以每張床位為單位。大多數床位會在每個學年開始時交接換人。

方案 A：每張床位一個 VLAN。

• 800 個住戶 VLAN。
• 每張床位使用一個 /27 子網路，可容納 12 台裝置並有 17 個預留位置，總計需要 25,600 個 IP 位址，需使用一個 /17 子網路。
• 800 個 DHCP 範圍與 800 個閘道介面。
• 每個 VLAN 都需中繼（trunked）至學生可能使用的每個存取點，這意味著涵蓋整個校區。

方案 B：透過金鑰套用政策。

• 每位學生在辦理入住時都會收到一組唯一的金鑰。
• 每層樓共用一個 VLAN，共產生 32 個住戶 VLAN。
• 每個 /23 子網路提供 509 個租約，可對應 300 台裝置（25 位學生，每人 12 台裝置），並留有 209 個預留位置。
• 32 個 /23 範圍可整合於一個 /18 子網路中。
• 依金鑰區隔的隔離功能在存取點上執行，並配備按金鑰限定範圍的 mDNS 閘道。Proxy ARP 與多播轉單播功能則在 SSID 上運行。

實際做法。 採用方案 B。金鑰會將每位學生映射至其宿舍樓層的 VLAN。當學生步行至咖啡廳時，仍保持相同的位址與政策。所有 32 個 VLAN 都中繼至每個存取點，負擔遠比 800 個 VLAN 輕得多。

成果（設計數據）。

• 住戶 VLAN 從 800 個減少至 32 個，降低了 96%。
• DHCP 範圍從 800 個減少至 32 個。
• 位址空間需求減半：從 /17 降至 /18。
• 廣播域各約為 300 台裝置，符合我們的最佳實務原則。
• 年度人員流動僅需撤銷並重新核發金鑰，無需對 VLAN、範圍或中繼進行任何變更。

實例演練：擁有 120 間客房的公寓式酒店

情境。 一間擁有 120 間公寓的公寓式酒店，分佈於六個樓層，每層 20 間公寓。住宿天數從 1 到 14 晚不等。房客會攜帶串流電視棒並希望從手機進行投屏。前台會在辦理入住時提供 WiFi 存取權限。

實際做法。

• 每次入住手續都會在辦理時取得專屬金鑰，並映射至按公寓設定的政策群組。
• 短期住宿攜帶的裝置較少，因此規劃每位房客配置八台裝置，每間公寓配置兩位房客。即每層樓有 320 台裝置。
• 每層樓配置一個 /23 VLAN，並預留 189 個租約。
• 此設計會在退房時撤銷每組金鑰。

成果（設計數據）。

• 住戶 VLAN 從 120 個減少至六個，降低了 95%。
• 六個 DHCP 範圍。
• 房客換房或退房之間無需變更 VLAN。
• 透過依金鑰設定的 mDNS 範圍，每次住宿期間皆可正常使用投屏功能。

如需深入了解更廣泛的訪客網路架構，請參閱我們的 飯店與旅宿 頁面。

各種設計的營運維護成本

兩種設計都不會改變您的存取點數量，存取點數量是由裝置密度與涵蓋範圍決定的。營運成本取決於您需要設定、變更與排解疑難的物件數量。

維護項目	250 間房的租賃住宅（BTR），每間公寓一個 VLAN	800 張床位的大學生宿舍（PBSA），每張床位一個 VLAN	800 張床位的大學生宿舍（PBSA），透過金鑰套用政策
住戶 VLAN	250	800	32
DHCP 範圍	250	800	32
Layer 3 閘道介面	250	800	32
私有位址空間	/18	/17	/18
Trunk 至每台 AP 的 VLAN（含 6 個基礎架構 VLAN）	256	806	38
強制實施隔離的位置	閘道防火牆	閘道防火牆	無線存取點或控制器
住戶變更時的異動	重新發放金鑰	重新發放金鑰	重新發放金鑰

採用每戶單一 VLAN 的架構，成本在於變更管理。每新增一個區塊，路徑上每台交換器都需要新增 VLAN、範圍、閘道介面、防火牆項目與 Trunk 變更。請對這些工作進行範本化與自動化，否則容易產生設定偏差。

若將策略綁定於金鑰，成本則轉移至其他地方。您將依賴 AP 韌體與授權中的單一金鑰功能。除錯工作也會從 IP 位址轉移至 RADIUS 計費記錄，因此請訓練您的支援團隊解讀這些記錄。

Purple Multi-Tenant WiFi 以雲端重疊（cloud overlay）方式運行於您現有的硬體上。我們的雲端 RADIUS 為每位住戶發放金鑰並回傳其對應的 VLAN 或策略。無論是新進、異動或離入住戶，皆可在單一管理介面（single pane of glass）輕鬆處理。Purple 可跨多種硬體運作，不限特定廠商：

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme Networks
• Fortinet

根據 Purple 的內部數據，Purple 運行於 80,000 多個實體場地，並在 2024 年處理了 4.4 億次登入。Purple 通過 ISO 27001 認證並符合 GDPR 規範。若想了解為何網路分割通常不需要更換新的存取點，請閱讀 為什麼您的下次 WiFi 升級不需要新硬體。

如何為您的物業資產做決定

您的狀況	建議方案	原因
多達約 500 個單位、有有線連接埠、租期 12 個月以上	每戶單一 VLAN	有線與 WiFi 共用一個網段；ID 使用率維持在 12% 左右
專用學生宿舍（PBSA），具備床位等級隱私且每年更換住戶	依金鑰套用策略，每層樓共用一個 VLAN	800 個床位可減少 96% 的 VLAN；每次新生入住無需重新規劃
酒店式公寓或短期住宿（入住天數計）	依金鑰套用策略	金鑰隨住宿期間有效；VLAN 對照表永遠不必變更
單一 Layer 2 核心上的多棟校區/園區，超過 3,000 個網段	每棟建築採用路由邊界，或採用 VXLAN，再搭配任一模型	每個 Layer 2 網域最多 4,094 個 ID
同一場地內兼有有線連接埠公寓與單間分租套房	混合模式：有連接埠之處採用每戶 VLAN，其他區域採依金鑰套用策略	在各自具備優勢的地方發揮所長
AP 不支援單一金鑰隔離功能	每戶單一 VLAN，或規劃韌體/AP 升級	隔離措施必須在某處強制執行
---	---	---

在定案設計之前，請先完成以下五個步驟：

1. 計算您的網段數量。 計算單位或床位數量，接著加上基礎架構 VLAN 以及任何有線或 IoT 倍增因子。將總數與您的 Spanning Tree、控制器及閘道限制進行比較，而不是僅與 4,094 比較。
2. 依最大容納人數估算範圍大小。 將住戶人數乘以 12 台裝置，並確保每個範圍至少保留三分之一的可用空間。
3. 向您的廠商確認單一金鑰功能。 檢查您的韌體是否支援單一金鑰 PSK、單一金鑰 VLAN 分配、單一金鑰隔離、限定範圍的 mDNS 以及 WPA3-Personal。
4. **針對裝置密度進行實地勘測。**每位住戶擁有 8 至 12 台裝置會改變基地台的數量需求。我們的 WiFi Site Surveys 指南涵蓋了相關規劃細節。
5. **測試公寓與公共設施空間之間的漫遊。**如果住戶會在不同樓層之間移動，請微調 802.11r 和 802.11k。請參閱 802.11r and 802.11k on Android 瞭解特定廠商的設定。

常見問題

Purple Multi-Tenant WiFi 是否相容於我大樓內現有的基地台？

是的。Purple 不受硬體限制，可作為雲端重疊層（cloud overlay）運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet 之上。您能繼續保留現有的基地台和交換器。Purple 提供雲端 RADIUS 與身分層，為每位住戶頒發專屬金鑰，並回傳其對應的 VLAN 或策略。如果您選擇基於策略的分隔機制，請確認您的韌體支援單一金鑰 PSK（per-key PSK）和單一金鑰隔離功能。

我們能否在不更換硬體的情況下，從共用大樓密碼轉移至每戶專屬金鑰？

是的，只要您的基地台支援單一金鑰 PSK 或動態 VLAN 指派即可。Purple 疊加於現有基礎設施之上，因此無需進行全面淘汰拆換。您可以讓新的住戶 SSID 與舊有 SSID 並行運作，然後以逐戶方式移轉住戶。當最後一位住戶移轉完成後，即可停用共用密碼。在第一位住戶切換之前，請先規劃好您的 VLAN 或策略對映以及 DHCP 範圍。

一棟多住戶住宅（MDU）建築可以支援多少個 VLAN？

每個 Layer 2 網域最多可支援 4,094 個，這是由 IEEE 802.1Q 中的 12 位元 VLAN ID 所設定的上限。但在實際應用中，生成樹實例（spanning tree instance）限制、控制器 VLAN 限制和閘道介面數量通常會先達到瓶頸。一個包含六個基礎設施 VLAN 的 250 戶 BTR（出租專用住宅）方案會使用 256 個 ID。需要更多數量的園區應在每棟建築放置路由邊界，或轉用 VXLAN。

基於金鑰的分隔機制是否與每戶獨立 VLAN 一樣安全？

是的，前提是您的平台能在基地台或控制器端強制執行金鑰之間的隔離。兩者的差異在於強制執行點（enforcement point）。每戶獨立 VLAN 會在 Layer 3 閘道端阻擋跨住戶的流量；而基於金鑰的策略則是在流量離開基地台之前就予以阻擋。您可以透過住戶裝置進行測試，確認無法存取其他住戶的裝置，或搜尋到他們的投屏目標。

智慧電視、遊戲機和 IoT 裝置可以在進行分隔的住戶網路上一樣正常運作嗎？

是的。兩種設計皆採用預共享金鑰（pre-shared key），適用於不支援 802.1X 的裝置，例如智慧電視、遊戲主機和智慧音響。每位住戶的裝置都會共享其專屬的 VLAN 或金鑰群組，因此在自家範圍內的投屏與列印功能都能正常運作。在共享 VLAN 上，您可以新增一個按金鑰限定範圍的 mDNS 閘道，確保裝置搜尋對每位住戶保持私密。

Purple 如何根據 GDPR 處理住戶資料？

Purple 通過 ISO 27001 認證並符合 GDPR 規範。每個密鑰皆連結至雲端 RADIUS 層中的住戶記錄。RADIUS 計帳會記錄每次會話所使用的密鑰與裝置，這有助於故障排除與存取請求處理。當住戶搬離時，您只需撤銷其密鑰，即可透過單一管理介面（single pane of glass）在住戶入駐、變更與離去流程中關閉其網路存取權限。

住戶搬出時，其裝置會發生什麼事？

當您撤銷密鑰或憑證時，住戶即失去存取權限。在您的存取點支援的情況下，RADIUS 動態授權（RFC 5176）會立即斷開活動中的會話。若每個公寓皆設定獨立 VLAN，該 VLAN 與 DHCP 範圍將會保留給下一位住戶。採用基於密鑰的策略時，無需重新規劃：您只需為新住戶發放新密鑰即可。