為 MDU 設計多租戶 WiFi 架構

為 MDU 設計多租戶 WiFi 架構 - Purple 技術簡報。 歡迎觀看 Purple 技術簡報系列。今天我們將深入探討支援企業環境中一些最複雜 WiFi 部署的底層架構 - 適用於多住戶和多用途建築的多租戶 WiFi。 無論您是負責管理擁有 300 間客房（賓客、員工和建築管理系統皆共享同一個實體基礎設施）的酒店、綜合用途零售與辦公大樓，還是擁有數百名獨立租戶的學生宿舍，面臨的挑戰本質上都是相同的：如何透過單一共享的實體網路，為多個獨立方提供可靠、安全且隔離的連線？ 這並非理論性的練習。您在架構階段所做的決定，將直接決定您的安全狀況、您在 GDPR 和 PCI-DSS 規範下的合規風險，坦白說，也決定了您的支援服務台在系統上線六個月後是否會收到大量投訴。 所以，讓我們開始深入探討吧。 任何多租戶 WiFi 架構的基礎都是網路分段 - 而實現該分段的主要機制是 IEEE 802.1Q 下定義的 VLAN 標記。這個概念非常簡單：您將每個租戶或每個流量類別分配給一個獨立的虛擬區域網路。除非您透過路由或防火牆原則明確允許，否則 VLAN 10 上的流量無法存取 VLAN 20 上的流量。這種邏輯隔離是您的第一道防線。 但這正是架構師經常犯第一個錯誤的地方：他們將 VLAN 分段與安全性混為一談。VLAN 僅提供隔離，不提供安全性。您仍然需要在 VLAN 之間設定防火牆原則，仍然需要存取控制清單，並且仍然需要仔細考慮您允許哪些跨 VLAN 路由。配置錯誤的 Trunk 埠可能會在幾秒鐘內瓦解您的整個分段模型。 現在，讓我們來談談實體層。在 MDU 環境中，您通常會擁有一個為多個租戶提供服務的共享實體基礎設施 - 佈線、交換器架構和存取點。AP 本身會廣播多個 SSID，每個 SSID 都對應到不同的 VLAN。因此，租戶 A 連線到其 SSID，其流量在 AP 處被標記為 VLAN 10，透過 Trunk 埠穿過共享的交換器架構，到達分發層，然後被路由到租戶 A 的隔離子網路中。租戶 B 的流量遵循相同的實體路徑，但在第 2 層完全隔離。 這就是您選擇存取點平台顯得尤為重要的地方。您需要支援多個 SSID 到 VLAN 對應的 AP、能夠處理可能極其密集之數十台裝置之間的無線電頻率管理，並且能夠與集中式控制器或雲端管理平台整合。控制器至關重要 - 它能讓您無需接觸個別 AP 即可推播原則變更、監控每個租戶的吞吐量並對事件做出回應。 在驗證方面，企業級多租戶部署的目前標準是採用 RADIUS 驗證的 IEEE 802.1X。每個租戶針對自己的 RADIUS 伺服器進行驗證，或針對具有每租戶原則執行功能的共用 RADIUS 基礎架構進行驗證。WPA3-Enterprise 是目前推薦的加密標準 - 它為高敏感度環境提供 192 位元安全模式，並消除了與 WPA2 四向握手相關的安全漏洞。 對於客用 WiFi 區段 - 在多住戶單元（MDU）情境中，您幾乎總是至少需要一個 - 通常會採用 Captive Portal 模式。訪客連線到開放式或 WPA2-Personal SSID，被重導向至歡迎頁面（splash page）進行驗證或接受條款，然後在隔離的 VLAN 上被授予僅限網際網路的存取權限。關鍵在於，該訪客 VLAN 絕對不能有任何路由通往任何租戶 VLAN。完全不行。無論是從安全性還是 GDPR 的角度來看，這都是不可妥協的。 讓我們談談射頻（RF）環境，因為這正是 MDU 部署變得極其複雜的地方。當您在相鄰單元中有多個租戶時 - 想像一下兩側都是房間的飯店走廊，或店面共用牆壁的購物中心 - 您就面臨著高密度的 RF 環境。同頻道干擾是您的敵人。您在部署前需要進行適當的 RF 規劃：透過現場勘測繪製訊號傳播圖、識別干擾源，並為您的頻道分配策略提供依據。 在大多數監管區域中，2.4 GHz 頻段提供三個不重疊的頻道 - 頻道 1、6 和 11。5 GHz 頻段提供的頻道明顯更多，這就是為什麼現代部署會盡可能將用戶端引導至 5 GHz。Wi-Fi 6 和 Wi-Fi 6E 將此進一步擴展到 6 GHz 頻段，為您提供了一個基本上免受舊型裝置干擾的乾淨頻譜。對於 2025 年及以後的新型 MDU 部署，指定支援 Wi-Fi 6E 的 AP 是正確的選擇 - 額外的頻譜空間在密集環境中會帶來豐厚的回報。 在大型 MDU 部署中，一種獲得極大關注的架構模式是使用軟體定義網路（SDN）重疊層 - 特別是 SD-WAN 或 SD-LAN 方法，其中租戶原則集中定義並推送到邊緣。這將原則層與實體基礎架構解耦，這意味著您可以上線新租戶、修改其頻寬分配或撤銷其存取權限，而無需動用任何交換器命令列。對於管理數十或數百個租戶的場域營運商而言，這種營運效率是具有變革性的。 IoT 是另一個您不容忽視的維度。在現代的 MDU（無論是飯店、零售綜合體還是住宅大樓）中，您擁有建築管理系統、HVAC 控制器、智慧照明、門禁控制、CCTV 以及越來越多其他聯網設備。這些設備必須位於其專屬的隔離 VLAN 上，與租戶流量和訪客流量完全隔離。眾所周知，IoT 設備極難進行修補，且代表了龐大的攻擊面。對其進行細分、監控，並套用嚴格的出口過濾，以便它們只能與指定的管理平台進行通訊。 好，讓我們進入實務。以下是我在處理全新的 MDU 部署時會採取的方法。 在碰任何一個硬體之前，先從您的邏輯設計開始。規劃您的租戶數量、流量類別（管理、企業、訪客、IoT、支付），並相應地分配 VLAN。記錄您的 IP 位址配置方案。定義您的跨 VLAN 路由策略：什麼可以與什麼進行通訊，以及什麼是絕對禁止的。 接著進行您的 RF 規劃。委託進行適當的現場勘測。不要依賴廠商的覆蓋圖 - 這些地圖充其量只是樂觀的估計。您需要實體空間中的實際訊號測量值，並將牆壁材質、地板結構以及鄰近建築物的 RF 環境納入考量。 在指定硬體時，請優先選擇支援集中式雲端管理的平台。在沒有控制器的情況下，管理分散式 AP 資產的營運開銷在規模擴大時是無法承受的。尋找能為您提供單一 SSID 頻寬原則、單一租戶報告以及與您的 RADIUS 基礎架構整合的平台。 關於常見的陷阱：我看到最常見的失敗模式是中繼埠（trunk port）設定不足。架構師設計了完美的 VLAN 方案，然後忘記在路徑中的每個中繼連結上明確允許相關的 VLAN。流量默默丟失，租戶抱怨，而支援團隊則花費數天時間追查問題。細緻地記錄您的中繼設定，並在試運作期間進行驗證。 第二個陷阱是 SSID 激增。您廣播的每個 SSID 都會消耗信標訊框（beacon frames）的空中時間。在密集環境中，每個 AP 廣播 8 到 10 個 SSID 會降低所有人的效能。將您的 SSID 數量保持在必要的最低限度 - 通常每個射頻不超過 4 個。使用透過 RADIUS 屬性的動態 VLAN 分配，而不是使用個別的 SSID，以便從單一 SSID 為多個租戶提供服務。 第三個陷阱是忽略了管理層面。您的管理 VLAN（即您的 AP、交換器和控制器進行通訊的網段）必須與所有租戶和訪客 VLAN 完全隔離。如果租戶可以觸及您的管理層面，您就面臨了關鍵的安全漏洞。儘可能使用頻外（out-of-band）管理，並對管理流量套用嚴格的 ACL。 現在，讓我來說明一下在這些部署中經常出現的幾個問題。 單一 AP 可以支援多少租戶？實際而言，大多數企業級 AP 在效能下降前，每個射頻（radio）可處理 20 到 30 個並行活動用戶端。在密集的 MDU（多住戶單元）中，請規劃每 15 到 20 個活動裝置配置一個 AP，而不是按物理戶數計算。 我需要為每個租戶配備獨立的 AP 嗎？不需要 - 這正是基於 VLAN 的多租戶技術的核心優勢。多個租戶共享同一個 AP，並在網路層強制執行流量隔離。 每個租戶合適的頻寬分配是多少？這沒有標準答案，但常見的起點是保證 10 到 25 Mbps，並具備可達可用上行鏈路容量的突發傳輸能力。使用 QoS 策略來強制執行此設定，防止單一租戶飽和共享的上行鏈路。 如何處理需要獨立防火牆的租戶？為其提供專用的 VLAN 和路由遞交點（handoff point）。他們將自己的 CPE 或防火牆連接到該遞交點，其後的所有設備與設定皆由其自行負責。 總結來說：為 MDU 設計完善的多租戶 WiFi 架構建基於四大支柱。第一，嚴格的 VLAN 區段劃分，並在區段之間強制執行防火牆策略。第二，集中式控制器管理，為您提供大規模的營運可見度與策略控制。第三，考量物理環境與部署密度的合適 RF 規劃。第四，從第一天起就解決身分驗證、加密、IoT 隔離和合規性要求的安全模型。 落實這些措施的企業組織能獲得顯著的成果：減少支援日常開銷、縮短租戶上線時間、提供可證明的審計合規態勢，並能將網路連線轉化為付費服務來變現，而不是僅將其視為成本中心。 如果您正在規劃 MDU 部署，並希望了解 Purple 的平台如何能在您的網路基礎架構之上提供分析、訪客 WiFi 管理和租戶級別的報告層，本指南中連結的資源會是一個很好的起點。 感謝您的收聽。我們下次見。