PPSK UniFi：功能與佈署模式比較

執行摘要

對管理多租戶大樓的物業開發商與 IT 經理而言，WiFi 的核心挑戰在於：住戶期望享有家用網路體驗 - 裝置間可互相偵測、智慧電視能進行投放、遊戲機順暢連線 - 但這一切必須在共享的基礎架構上運行，且各家各戶之間必須保持絕對隔離。標準 PSK 無法做到安全隔離。802.1X 則有 IoT 裝置相容性問題。而 PPSK（Private Pre-Shared Key）正好能完美解決這兩大痛點。

PPSK 在整棟大樓中僅廣播一個 SSID，同時向每位住戶發送專屬的唯一密碼。網路透過該密碼將每個連線的裝置分配到專屬的 VLAN，為每戶家庭建立一個隔離的微型網路。同一住戶 VLAN 內的裝置可自由通訊；不同 VLAN 上的裝置則互不可見、完全隔離。

在 Ubiquiti UniFi 硬體上，小型部署可原生使用 PPSK，而企業級規模則可透過 Purple 的雲端 RADIUS 疊加層（overlay）來實現。本指南將涵蓋這兩種模式、您必須了解的協定限制，以及將託管 WiFi 部署為增值營收服務的商業案例。

技術深度剖析：PPSK vs 802.1X vs PSK

要了解 PPSK 的定位，需要將其與兩種主流的企業級驗證標準進行直接對比。

標準 PSK

WPA2/WPA3-Personal 在同一個 SSID 上，對所有用戶端使用單一密碼。每個裝置都處於同一個廣播網域中。在多租戶大樓中，這代表住戶 A 可以看到住戶 B 的裝置。您可以在存取點（AP）上啟用用戶端隔離來防止裝置間直接通訊，但這樣做會完全破壞區域網路功能 - 智慧喇叭無法控制智慧燈泡、手機無法投放至電視，遊戲機也無法偵測區域服務。因此，標準 PSK 並不適用於住宅多租戶場景。

802.1X (WPA-Enterprise)

802.1X 透過 RADIUS 伺服器使用唯一的憑據（使用者名稱與密碼）或憑證來驗證使用者，常見的驗證方法為 EAP-TLS 或 PEAP。它提供強大的安全性，並支援透過 RADIUS 屬性（特別是 Tunnel-Private-Group-ID）進行動態 VLAN 分配。然而，802.1X 要求連線裝置運行 Supplicant - 這是用於協調驗證握手的軟體。大多數消費型 IoT 裝置、智慧電視和遊戲機均不支援 Supplicant，它們僅接受簡易密碼。在住宅環境中強制執行 802.1X，會立刻將住戶想要連線的大部分裝置排除在外。

PPSK (Private Pre-Shared Key)

PPSK - 也被 Cisco Meraki 和 Purple 稱為 iPSK (Identity Pre-Shared Key)，以及部分廠商稱為 Personal Private Network - 彌補了這一差距。它使用所有裝置都支援的 WPA2 加密，但將每個唯一的密碼對應到特定的 VLAN。無線基地台（或外部 RADIUS 伺服器）會在關聯時執行此對應。其結果是在不需要任何特殊用戶端軟體的情況下，實現每位住戶的隔離。

WPA3 的限制。 PPSK 從根本上與 WPA3 不相容。WPA3 使用對等同時身分驗證 (SAE)，這需要無線基地台在驗證信號交換開始前就知道預共用金鑰。而 PPSK 則是在驗證過程中確定使用的是哪一個金鑰。這兩個要求是互斥的。如果您在 UniFi 上部署 PPSK，您將使用 WPA2，且無法使用 6 GHz 頻段。

實作指南：2 種部署模型

模型 1：原生 UniFi PPSK（小規模部署）

Ubiquiti 在最近的韌體版本中為 UniFi 網路應用程式新增了原生 PPSK 支援。此模型適用於小型共同工作空間、精品多住戶大樓 (MDU) 或試點部署。

步驟 1：VLAN 設定。 在 UniFi 控制器中，導覽至 Settings > Networks 並為每個租戶建立專屬的 VLAN。為每個 VLAN 指派一個唯一的 ID（例如，第 1 戶為 VLAN 101，第 2 戶為 VLAN 102）。

步驟 2：網路建立。 導覽至 Settings > WiFi 並新增一個無線網路。將安全協定設定為 WPA2 Personal。

步驟 3：啟用 PPSK。 在 WiFi 設定中，啟用 Private Pre-Shared Keys 選項。控制器會提示您建立個別的密碼。

步驟 4：金鑰與 VLAN 對應。 對於您建立的每個密碼，將其指派給對應的 VLAN。無線基地台將在連線時使用該密碼來決定 VLAN 的歸屬。

步驟 5：mDNS 設定。 確保您的 UniFi 閘道器或 USG 已設定為允許在每個 VLAN 內進行 mDNS 反射，同時阻擋跨 VLAN 的多點傳送。這對於裝置發現（Chromecast、Apple Bonjour、Sonos）至關重要。 原生 PPSK 的限制。 手動金鑰管理在超過數十個單元後，在營運上便變得不可行。這裡沒有自動化的配置或撤銷機制。當租戶搬離時，您必須手動從控制器中刪除其金鑰。而且不支援與物業管理系統的整合。

模式 2：使用 Purple 的 Cloud RADIUS 覆蓋方案（企業級規模）

對於大型的 BTR（建屋出租）或學生宿舍物業，Purple 提供了一個與硬體無關的軟體覆蓋方案，可透過 RADIUS 與 UniFi 基地台整合。此模式可將整個憑證生命週期自動化。

步驟 1：RADIUS 設定檔配置。 在 UniFi 控制器中，導覽至 Settings > Profiles > RADIUS 並建立一個新的設定檔。輸入 Purple 的雲端 RADIUS 伺服器地址以及在 Purple 啟用程序中提供的共用金鑰。

步驟 2：SSID 配置。 使用 WPA2 Enterprise 建立無線網路。選擇在步驟 1 中建立的 RADIUS 設定檔。Purple 的 RADIUS 伺服器會處理驗證，並透過 Tunnel-Private-Group-ID 屬性傳回 VLAN 分配。

步驟 3：物業管理系統整合。 透過 API 或 Webhook 將 Purple 連接到您的物業管理系統 (PMS)。當在 PMS 中建立新的租約時，Purple 會自動產生一個唯一的 PPSK 並配置相對應的 VLAN。

步驟 4：住戶引導。 住戶會透過 Purple 應用程式或歡迎電子郵件收到其憑證。他們可以使用這個單一密碼連接其所有裝置 - 包括手機、筆記型電腦、智慧電視、遊戲主機和 IoT 感測器。

步驟 5：自動化退租處理。 當租約結束時，PMS 會觸發 Purple 撤銷該金鑰。存取權限會立即終止，不會影響其他任何住戶。

此模式運行在 Purple 的雲端 RADIUS 基礎架構上，該架構支援超過 80,000 個場域，並在 2024 年維持了 99.999% 的運作時間（Purple 內部數據）。它與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 基地台相容。

如需相關的網路設計策略，請參閱 三個統治一切的 SSID：訪客、Passpoint 和 IoT WiFi 以及我們完整的 iPSK: una guía completa para empresas 。

多租戶 WiFi 設計的最佳實踐

針對高密度進行設計。 預估每個家庭會有 15 至 25 台裝置（來自 80,000 多個場域的 Purple 內部數據）。一個擁有 200 個單元的 BTR 物業將會面臨 3,000 到 5,000 台裝置同時在線。請選擇 CPU 和記憶體充足、可應付高用戶端數量的 UniFi 基地台 - 如 U6-Enterprise 或 U7-Pro。將 AP 部署在走廊而非單元內部，可在維持訊號覆蓋的同時減少所需的 AP 數量。 謹慎管理 mDNS。 Multicast DNS 對於裝置探索（Apple Bonjour、Google Cast、Sonos）至關重要。請設定您的網路，使 mDNS 流量在每個住戶的 VLAN 內進行反射，同時嚴格阻擋其跨越 VLAN 邊界。UniFi 的 mDNS 重複器功能在正確設定後即可處理此問題。

正確規劃 DHCP 範圍大小。 每個住戶一個 /24 子網路（254 個可用 IP）對大多數家庭來說已足夠。確保您的核心路由基礎設施 - 通常是 UniFi Dream Machine Pro 或 UDM-SE - 能夠在不降低效能的情況下處理數百個同時運行的子網路。

盡量減少 SSID 數量。 您廣播的每個額外 SSID 都會因管理框架消耗空中時間，進而減少可用於數據流量的頻寬。PPSK 讓您能夠整合至單一的住戶 SSID。為公共區域的訪客新增一個獨立的 Guest WiFi SSID，並為大樓管理人員新增一個 Staff WiFi SSID。對於大多數部署而言，三個 SSID 是實際的最大限制。

在路由層實施 VLAN 之間的用戶端隔離。 請勿完全依賴 VLAN 標記。在您的核心路由器上設定明確的 ACL，以防止住戶網路之間進行跨 VLAN 路由。僅允許路由至網際網路閘道器以及自網際網路閘道器路由。

疑難排解與風險緩解

Chromecast 問題

在多租戶環境中，最常見的支援工單是裝置投放失敗。住戶的電話無法偵測到其 Chromecast 或 Apple TV。當投放裝置與接收裝置位於不同的子網路上，或者當 mDNS 流量在 VLAN 邊界被捨棄時，就會發生這種情況。

診斷： 確認兩部裝置皆使用相同的 PPSK。在 UniFi 控制器中，檢查用戶端清單並確認兩部裝置皆指派至相同的 VLAN。如果它們位於不同的 VLAN，則表示 PPSK 對應不正確。

解決方案： 在控制器或 Purple 儀表板中修正 PPSK 到 VLAN 的對應。確認 UniFi mDNS 重複器已啟用並將範圍設定至正確的 VLAN。

密碼輪替混亂

在標準的 PSK 部署中，當住戶搬出時，必須變更整棟大樓的密碼，這會迫使所有其他住戶更新其所有裝置。在大型規模下，這在營運上是一場災難。

解決方案： PPSK 完全消除了這種風險。撤銷某個住戶的金鑰只會影響該住戶。Purple 透過 PMS 整合自動執行撤銷，因此不需要手動干預。

DHCP 耗盡

在高密度大樓中，如果 DHCP 池規劃得太小，可能會耗盡。一個 /24 子網路提供 254 個 IP。每個家庭擁有 20 多部裝置時，這對個別住戶來說已足夠，但請確保您的 DHCP 租期設定適當（住宅使用為 4 到 8 小時），以便自中斷連線的裝置回收 IP 位址。

WPA3 移轉規劃

隨著 WPA3 成為新裝置的預設規格，PPSK 的 WPA2 限制將變得越來越顯著。請立即規劃您的遷移路徑。對於將 WPA3 視為優先考量的物業，請評估採用 802.1X 搭配雲端 RADIUS 覆蓋方案，透過基於 MAC 的驗證或專用的 IoT SSID 分開處理 IoT 裝置登入。

投資報酬率（ROI）與業務影響

將 WiFi 視為一項代管的便利設施，能為租賃專用住宅（BTR）營運商帶來可衡量的商業回報。根據英國地產聯合會（British Property Federation）的行業基準，提供高效能、即裝即用 WiFi 的物業每月每戶可獲得 15 至 30 英鎊的租金溢價。即裝即用的 WiFi 可縮短空置期 5 至 10 天。與和傳統 ISP 協商個別寬頻合約相比，在自有的 UniFi 硬體上部署 Purple 的軟體覆蓋方案可降低每戶 30-50% 的成本（根據 Purple 內部模型估算）。

對於擁有 200 個單位的 BTR 物業而言，這筆帳非常簡單。每月每戶 20 英鎊的溢價每年可產生 48,000 英鎊的額外收入。相較於按戶計算的軟體覆蓋成本，回收期通常不超過 12 個月。

對於 餐飲旅宿 營運商而言，其效益有所不同，但同樣可以衡量。使用 PPSK 安全的 SSID 取代開放式網路，可消除因 Captive Portal 阻擋 IoT 裝置而導致的顧客體驗失敗、減少向櫃檯求助的客服電話，並能啟用 WiFi 數據分析 以產生用於會員和行銷活動的第一方數據。

對於 零售 和 交通運輸 營運商，PPSK 可在與顧客 WiFi 相同的基礎設施上實現安全的員工網路隔離，從而降低硬體成本並簡化網路管理。對於 醫療保健 環境，PPSK 提供了 GDPR 和 NHS 網路安全標準下所要求的患者與訪客隔離。

Purple 已在全球超過 80,000 個場所部署了此架構，包括 Premier Inn、Whitbread 和曼徹斯特機場集團（MAG）。該平台在 2024 年處理了 4.4 億次登入，並持有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 認證。

如需深入了解 iPSK 架構與部署，請參閱 Nama ff keren iPSK：企業全面指南 以及 三個 SSID 掌控一切：訪客、員工及 IoT 的 WiFi 設計 。