PPSK WiFi: 比較功能與部署模型

歡迎閱讀 Purple 技術簡報。今天我們要探討的是 PPSK WiFi - 私人預共用金鑰 (Private Pre-Shared Key) - 什麼是 PPSK、它與其他替代方案的比較，以及在何處實際部署它最合理。 [medium pause] 讓我們從它解決的問題開始。在傳統的 WPA2 個人網路上，網路上的每個裝置都共用同一個密碼。這對家庭來說沒問題。但對於擁有 200 個單元的出租公寓開發項目、學生宿舍區或擁有 300 間客房的飯店來說，這是一種安全隱患。當一位住戶搬走時，您要麼為每個人更改密碼 - 在此過程中中斷所有其他住戶的智慧電視、恆溫器和遊戲機的連線 - 要麼讓搬走的住戶繼續擁有存取權限。這兩種選擇都無法令人接受。 [short pause] PPSK 透過為每個住戶、每個公寓或每個裝置群組提供其專屬的唯一 WiFi 金鑰來解決此問題。他們都連接到同一個 SSID - 相同的網路名稱 - 但每個金鑰都對應到一個獨立的 VLAN。12 號公寓在 VLAN 10 上。13 號公寓在 VLAN 20 上。IoT 裝置在 VLAN 99 上。無線基地台會自動處理金鑰到 VLAN 的對應。不需要 RADIUS 伺服器。不需要憑證基礎架構。裝置上不需要 802.1X 請求方 (supplicant)。 [medium pause] 現在我們來談談術語，因為不同廠商的稱呼有所不同，這在市場上造成了真正的混淆。Aruba 稱之為 PPSK - Private Pre-Shared Key。Cisco Meraki 稱之為 iPSK - Identity PSK，或個人私人網路。Juniper Mist 使用 ePSK。最初在 Aerohive 品牌下開發此概念的 Extreme Networks 稱之為 Private PSK。Ubiquiti UniFi 則簡稱為 PPSK。Cambium 也使用 ePSK。所有這些的底層機制都是完全相同的：一個 SSID、多個唯一金鑰，每個金鑰都綁定到一個 VLAN 或一個策略群組。 [short pause] 從技術上講，以下是關聯層發生的情況。當裝置連線時，它會在 WPA2 四向交握期間提供其預共用金鑰。無線基地台 - 或其背後的雲端控制器 - 會在 PPSK 儲存庫中查找該金鑰，識別其對應的 VLAN，並從此時開始相應地標記該裝置的流量。裝置端看到的是普通的 WiFi 連線。它完全不知道自己已被放入一個隔離的網路區段中。其 Chromecast 可以運作。其智慧喇叭可以配對。其遊戲機可以獲得正確的 NAT 類型。一切運作起來都像家用網路一樣 - 因為從裝置的角度來看，它就是家用網路。 [medium pause] 這是與 802.1X 的關鍵區別，後者是員工網路和企業環境的企業標準。802.1X 需要 RADIUS 伺服器、身分識別提供者 - Microsoft Entra ID、Okta 或 Google Workspace - 以及每個裝置上的請求方。該請求方是處理 EAP 驗證交換的軟體元件。每台受管轄的筆記型電腦、每部公司手機都配有一個。但您住戶的智慧冰箱沒有。您大樓的 HVAC 控制器沒有。您的 IoT 感測器也沒有。PPSK 適用於所有這些裝置，因為它運作在 WPA 個人層，而不是 WPA 企業層。 [short pause] 話雖如此，在企業環境中 PPSK 並不是 802.1X 的替代方案。它是針對不同問題的不同工具。如果您正在運行一個重視個人責任的員工網路 - 您需要知道特定人員在特定時間進行了驗證，並且在他們離開組織時需要立即撤銷其存取權限 - 802.1X 是正確的答案。如果您正在運行一個需要每戶隔離、IoT 支援以及大規模操作簡化性的住宅網路，PPSK 則是正確的答案。 [medium pause] 讓我們來看看部署模式。目前在實際運作中有三種主要的模式。 [short pause] 第一種是雲端控制器模式，這是新部署中最常見的。您的無線基地台 - 無論是 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 還是 Fortinet - 都會連接到一個雲端管理平台。PPSK 金鑰庫存在於雲端控制器中。當您配置新住戶時，您在入口網站中建立一個金鑰，將其分配給一個 VLAN，控制器就會將該策略推送到大樓中的每個無線基地台。住戶透過電子郵件、簡訊或歡迎禮包中的 QR code 取得金鑰並進行連接。當他們搬出時，您刪除該金鑰。他們的裝置就會停止連接。其他人都毫無影響。 [short pause] 第二種模式是搭配本地 RADIUS 後端的 PPSK。一些企業部署使用 RADIUS 伺服器來儲存和驗證 PPSK 憑證，這為您提供了集中式記錄、稽核追蹤以及與身分管理平台的整合。這增加了基礎設施的開銷，但為您提供了 802.1X 的責任追究性，同時保有 PPSK 的裝置相容性。這是混合環境的正確模式 - 例如，共同工作空間中同時擁有受管企業裝置和會員擁有的 IoT 設備。 [short pause] 第三種模式是混合型：針對住戶和 IoT 採用 PPSK，針對員工和管理系統採用 802.1X。這是 Purple 針對「建屋出租（Build to Rent）」和多住戶單元部署所推薦的架構。住戶使用 PPSK。大樓管理系統、CCTV 和門禁控制擁有自己專屬、採用 PPSK 的 IoT VLAN。物業管理團隊的裝置則對 Microsoft Entra ID 或 Okta 使用 802.1X。三種不同的驗證模式，三個不同的 VLAN，單一實體基礎設施。 現在讓我們進入實作階段。如果您正在為「建屋出租」建案或多住戶單元物業部署 PPSK，以下是行之有效的步驟順序。 [short pause] 在接觸硬體之前，先從您的邏輯設計開始。規劃出您的住戶數量、您的 IoT 裝置類別，以及任何員工或管理系統。分配 VLAN。典型的 BTR 部署如下所示：從 VLAN 10 開始一直到您的單元數量所需的住戶 VLAN，每個公寓一個 VLAN，或根據您的密度每個樓層一個 VLAN。VLAN 99 用於 IoT。VLAN 100 用於大樓管理。VLAN 200 用於公共區域的訪客 WiFi。 [short pause] 接下來請記錄您的 IP 定址配置方案。在一個擁有 200 戶的建築中，您隨時都必須面對網路上有 3,000 到 5,000 台裝置的情況。這是根據 British Property Federation 的研究，每戶家庭擁有 15 到 25 台裝置所估算出來的數據。您的 DHCP 範圍必須能容納這樣的需求。請使用 RFC 1918 私有定址，並為每個 VLAN 配置足夠的子網域大小。/24 子網路提供 254 個可用位址，/23 子網路則提供 510 個。請依需求調整大小。 [medium pause] 在硬體選擇方面：所有主要的企業級存取點平台皆支援 PPSK。Cisco Meraki 稱其為 iPSK，並透過 Meraki 儀表板搭配各 SSID 金鑰原則進行管理。HPE Aruba 在 ArubaOS 與 Aruba Central 中提供原生支援。Ruckus 透過 SmartZone 與 Ruckus Cloud 平台提供支援。Juniper Mist 使用 ePSK 搭配 AI 驅動的 RF 管理。Ubiquiti UniFi 自 2023 年起即提供 PPSK 支援，但請注意目前僅支援 WPA2，且不支援 6 GHz 頻段。Cambium 與 Extreme 則皆透過其各自的雲端平台提供支援。 [short pause] 一個需要注意的重要限制：UniFi 的 PPSK 實作僅支援 WPA2。如果您正在規劃 WiFi 6E 存取點，且希望在 6 GHz 頻段上為 PPSK 用戶端服務，您會需要一個支援 WPA3-SAE 搭配 PPSK 的平台，或者您必須將 PPSK 用戶端限制在 2.4 與 5 GHz 頻段。Aruba、Ruckus 與 Meraki 皆在 WPA3 設定中支援 PPSK。 [medium pause] 現在我們來談談常見的陷阱。這些是在實際部署中屢見不鮮的失敗模式。 [short pause] 第一個是 SSID 激增。您廣播的每個 SSID 都會消耗信標訊框的無線電通訊時間。在密集的住宅大樓中，如果您在每個存取點廣播 6 到 8 個 SSID，將會降低所有人的網路效能。請將每個射頻頻段的 SSID 控制在最多 4 個。利用 PPSK 從單一 SSID 服務多個住戶群組，而不是為每個公寓或每個樓層建立獨立的 SSID。 [short pause] 第二個陷阱是中繼埠（Trunk Port）設定不足。您設計了一個乾淨的 VLAN 方案、部署了存取點，但隨後流量卻無聲無息地中斷，這是因為有人忘記在分發交換器與存取層之間的中繼連結上允許相關的 VLAN。在啟用偵錯時，請驗證每個中繼埠。記錄下來，並在住戶搬入之前，在每個 VLAN 上使用裝置進行測試。 [short pause] 第三個陷阱是金鑰分發。產生金鑰很簡單，但要以安全且便於營運管理的方式將其提供給住戶就比較困難。在迎新資料包中提供 QR code 非常適合入住當天使用。而提供一個可讓住戶查詢其金鑰並新增裝置的住戶入口網站，對於持續營運而言則是更好的方案。請在部署之前，而不是部署之後，建立好金鑰分發的工作流程。 [short pause] 第四個陷阱是針對 IoT 的，就是不加思索地將智慧家居設備放在住戶的 PPSK 區段中。住戶 VLAN 上被入侵的 IoT 設備可能會攻擊該同一個 VLAN 上的其他設備。對於高風險的 IoT 類別，請考慮使用具有出口過濾功能的分離 IoT VLAN，即使這意味著住戶需要配置其智慧家居應用程式以使用不同的網路。 [medium pause] 讓我們來看看兩個真實世界的場景。 [short pause] 場景一：位於市中心的 180 戶建屋出租（Build to Rent）開發項目。營運商希望將 WiFi 作為一項便利設施包含在租金中，並在入住當天啟用並提供完整的智慧家居支援。他們部署了透過 Aruba Central 管理的 HPE Aruba 存取點。每個公寓在簽訂租約時都會產生一個唯一的 PPSK 金鑰。該金鑰會透過電子郵件發送給住戶，並附帶一個 QR code。他們掃描後，所有設備都會連線，其 Chromecast、智慧喇叭和遊戲機都能立即正常運作。當住戶搬出時，物業經理會在入口網站中刪除該金鑰。新住戶在入住時會獲得一個全新的金鑰。完全沒有密碼輪替的困擾。營運商表示，與先前部署的共享密碼相比，與 WiFi 相關的支援工單減少了 30%。 [short pause] 場景二：一個擁有 400 個床位的專門建造學生宿舍大樓。這裡的挑戰是新生入學週，數百名學生同時抵達，所有人都試圖同時連線數十台設備。營運商使用配備 SmartZone 的 Ruckus 存取點，為每間套房部署一個 PPSK 金鑰。金鑰已預先產生，並包含在抵達前寄出的歡迎套包中。學生在抵達時掃描 QR code，並在幾秒鐘內連線。網路在沒有效能降低的情況下處理了入住高峰，因為每個學生的流量都被隔離在各自的 VLAN 區段。 [medium pause] 現在針對最常出現的問題進行快速問答。 [short pause] 單一存取點可以處理多少個 PPSK 金鑰？大多數企業級平台每個 SSID 支援數千個金鑰。Cisco Meraki 每個網路支援多達 5,000 個 iPSK 項目。Aruba 也支援類似的規模。Ubiquiti UniFi 每個網路支援高達 1,000 個 PPSK 項目。對於一棟擁有 200 戶的建築物，您在任何平台上都完全在限制範圍之內。 [short pause] PPSK 是否支援 WPA3？是的，在大多數企業級平台上皆支援。與 WPA2-PSK 相比，WPA3-SAE 提供了更強的防禦離線字典攻擊保護，因此在用戶端設備支援的情況下，在 WPA3 上部署 PPSK 是正確的做法。唯一的例外是 UniFi，其目前對 PPSK 僅支援 WPA2。 [short pause] 我是否可以將 PPSK 與我的物業管理系統整合？可以，透過廠商的 API。Aruba Central、Meraki、Ruckus 和 Mist 都為 PPSK 金鑰管理提供了 REST API。您可以將金鑰的建立和撤銷自動化，作為您租賃管理工作流程的一部分。 [short pause] PPSK 與 802.1X 在安全防護上到底有何不同？最根本的差異在於 PPSK 是一種共享金鑰模型。其金鑰是一串可被分享或攔截的字元。而採用 EAP-TLS 的 802.1X 則是使用數位憑證，憑證無法以同樣的方式分享，並能提供雙向身分驗證。對於主要威脅模型在於住戶間相互隔離的住宅環境，PPSK 能提供足夠的安全性。而對於企業員工網路，802.1X 才是正確的選擇。 [medium pause] 總結來說：對於多租戶住宅部署、高度依賴 IoT 的環境，以及任何在不需要 802.1X 基礎設施開銷的情況下需要單一使用者或單一家庭隔離的場景，PPSK WiFi 都是正確的身分驗證模型。它可運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。它能透過 API 與物業管理系統整合，並解決了共享密碼網路無法解決的三大核心營運問題：在不影響其他人的情況下讓住戶遷出、智慧家庭裝置支援，以及單一住戶的可歸責性。 [short pause] 決策架構非常簡單直接。如果您的裝置支援 802.1X 且您擁有 RADIUS 基礎設施，請針對員工和託管裝置使用 802.1X。如果您營運的是多租戶住宅物業，請使用 PPSK。如果您的 IoT 裝置不支援 802.1X，請將 PPSK 搭配專用的 IoT VLAN 使用。如果您需要在公共區域提供訪客 WiFi，請使用標準 PSK 或在其上建構 Captive Portal 的開放網路。 [short pause] 接下來的步驟：請檢視指南中的架構概覽圖，其中展示了從 ISP 上行鏈路到住戶裝置的完整 PPSK 部署架構。使用決策流程圖將您的具體環境對應至正確的身分驗證模型。如果您正計劃進行 BTR 或 MDU 部署，並希望瞭解 Purple 的多租戶 WiFi 平台如何與您現有的硬體結合，以提供金鑰管理、住戶入口網站和分析層，相關連結已提供於指南中。 [medium pause] 今天的簡報就到這裡。感謝您的收聽。 讓我進一步深入探討安全模型，因為這是我在市場上看到最容易產生混淆的地方。 [short pause] PPSK 運作於 WPA 個人安全層級。每個金鑰都是一個預先共享的金鑰。PPSK 提供的安全保障是住戶間的相互隔離 - 使用金鑰 A 的裝置 A 無法與使用金鑰 B 的裝置 B 進行通訊，即使它們與同一個實體存取點建立關聯也是如此。這種隔離是在 VLAN 層級強制執行的，而不是在加密層級。不論裝置使用哪一個 PPSK 金鑰進行身分驗證，裝置與存取點之間的加密都會使用相同的 WPA2 或 WPA3 加密演算法。 [short pause] PPSK 所無法提供的是 802.1X 所具備的雙向驗證。在採用 EAP-TLS 的 802.1X 部署中，用戶端會向網路進行驗證，而網路也會向用戶端進行驗證。雙方都會出示憑證。這可以防止惡意存取點攻擊。而使用 PPSK，用戶端則無法驗證其連線的是合法網路，還是廣播相同 SSID 的惡意 AP。對於主要威脅模型在於隔離住戶彼此的住宅大樓而言，這是可以接受的折衷方案。但對於處理敏感資料的企業環境來說，這並不適用。 [medium pause] 現在我們來談談 WPA3 升級路徑。WPA3-SAE（即同時等同驗證）以稱為 Dragonfly 的更安全金鑰交換協定，取代了 WPA2 的四向交握。對 PPSK 部署而言，關鍵的改進是前向安全性：即使攻擊者擷取了 WiFi 流量並在稍後取得了預先共用金鑰，他們也無法解密已擷取的流量。WPA2-PSK 不提供前向安全性。WPA3-SAE 則有。如果您目前正在部署新硬體，請指定支援 WPA3-SAE 並為您的 PPSK SSID 啟用它。不支援 WPA3 的用戶端將在過渡模式下退回到 WPA2，因此您不需要進行強制性的硬性切換。 [short pause] GDPR 的角度值得直接探討。在多租戶住宅部署中，您正在處理個人資料 - 具體而言，就是 WiFi 金鑰與具名住戶之間的關聯。根據 UK GDPR 和歐盟 GDPR，該關聯屬於個人資料。您需要有處理該資料的合法依據。在 BTR 的情境中，合法依據通常是履行合約（租賃合約）或合法利益。您需要一份涵蓋 WiFi 資料處理的隱私權聲明。您需要一份針對連線記錄的資料保留政策。而且您必須能夠回應當事人存取請求，這意味著您的 PPSK 管理平台需要能夠匯出與特定住戶金鑰相關聯的所有資料。 [short pause] Purple 的多租戶 WiFi 平台在建置時就考慮到了這一點。資料儲存在通過 ISO 27001 認證的基礎架構中。我們符合 GDPR 和 CCPA 規範。資料落地位置是可選擇的 - 英國、歐盟或美國 - 因此無論您的物業位於何處，您都能滿足法規義務。而且我們的平台提供了合規所需的稽核軌跡和資料匯出功能。 讓我來談談投資報酬率（ROI）的問題，因為這在每一次的 BTR 採購對話中都會被提起。 [short pause] 英國房地產聯合會（British Property Federation）的調查一致指出，在選擇「建設定租」（Build to Rent）租賃決策中，WiFi 品質是前五大必備便利設施之一。與未提供連線服務的同等物業相比，將託管 WiFi 作為便利設施提供的營運商報告指出，每戶每月可增加十五至三十英鎊的租金溢價。以一棟擁有 200 個單位的建築計算，每年可增加三萬六千至七萬二千英鎊的額外租金收入。相較於典型的 PPSK 部署成本（硬體折舊分五年分攤，加上軟體重疊授權），回收期通常在 18 個月以內。 [short pause] 營運上的成本節省同樣顯著。在擁有 200 個單位的建築中，使用共享密碼的網路會產生可預測的支援工單量：無法連線 Chromecast 的住戶、智慧喇叭無法配對的住戶、遊戲主機顯示 NAT 類型嚴格的住戶。解決這些工單需要花費時間與資金成本。而正確部署的 PPSK 網路可消除其中絕大多數的問題。我們合作的一家營運商報告指出，在從共享密碼遷移到 PPSK 部署後的前六個月內，與 WiFi 相關的支援聯絡減少了 30%。 [short pause] 空置期是另一個影響關鍵。在搬入當天 WiFi 已啟用且正常運作的建築，能減少新住戶的摩擦。相反地，如果新住戶必須等待寬頻工程師上門預約（在英國通常需要七到十四天），則會產生負面的第一印象，進而影響留存率。支援入住當天啟用的 PPSK 能完全消除這種摩擦。 [medium pause] 還有一個領域需要說明：共享工作空間與混合用途的應用。PPSK 不僅適用於住宅，對於希望在不增加 802.1X 開銷的情況下，為每個成員或每家公司進行隔離的共享工作空間而言，這也是最合適的模型。擁有 200 名成員的共享工作空間營運商可以為每位成員提供專屬的 PPSK 金鑰，將其對應至專用的 VLAN，並確保成員 A 的裝置對成員 B 而言是不可見的。當會員資格失效時，金鑰即被撤銷。當新成員加入時，則會產生新的金鑰。成員的使用體驗與家用網路完全相同。 [short pause] 對於共享工作空間，混合模型的效果特別出色。成員使用 PPSK。成員的訪客（例如前來參加會議的客戶）則使用帶有 captive portal 的獨立訪客 WiFi SSID。建築工作人員則透過營運商的身分識別提供者進行 802.1X 驗證。三種驗證模型，單一實體基礎架構，在所有三種使用者群組之間實現乾淨俐落的隔離。 [medium pause] 以上就是完整的全貌。PPSK WiFi 是一項成熟、支援完善的技術，解決了一個特定且重要的問題：在多租戶環境中實現每位使用者或每個住戶的隔離，且無需負擔 802.1X 的基礎設施開銷。它不受硬體限制，由 API 驅動，且目前即可部署在您現有的基地台。決策準則非常明確，部署模式也已獲得驗證。而在「新建待租」（Build to Rent）和專用學生公寓中，其商業效益更是有目共睹。