服務式辦公室與共享辦公室的託管 WiFi：租戶隔離與計費

服務式辦公室與共享工作空間營運商透過為每個會員企業提供獨立的網路身分來隔離租戶。該身分是共用網路上的專用 WiFi 金鑰或 802.1X 登入資訊，並對應到其專屬的 VLAN。訪客、一日券和會議室則使用獨立的 Captive Portal。頻寬分級會綁定至每個身分，並透過您的工作空間管理系統進行計費。

您的服務式辦公室應該選擇哪種租戶隔離模式？

對大多數營運商而言，正確的解答是包含三個部分的分層設計：

• 為每個會員企業在共用的會員網路上提供專用金鑰。
• 將使用託管筆記型電腦的企業級租戶轉移至 802.1X。
• 將所有訪客、一日券和會議室預約放在獨立的 Captive Portal 網路上。

這種設計解決了服務式辦公室 WiFi 的核心問題。數十家公司共用相同的基地台，但每家公司都期望網路運作起來像自己的辦公室一樣。會員希望看到自己的印表機和檔案伺服器，而不是其他人的。您希望管理單一維運環境，而不是每個租戶一個網路。

為何每家公司使用一個 SSID 會失效

SSID (服務設定識別碼) 是裝置看到的網路名稱。最直覺的解決方案是每家公司使用一個 SSID，但這在規模擴大時會失敗。每個 SSID 都會廣播自己的 Beacon 封包，根據 IEEE 802.11 標準，預設每 102.4 毫秒廣播一次。Beacon 封包以最低的基本資料速率傳送，因此會消耗大量空中傳輸時間 (Airtime)。十個租戶意味著每個射頻上有十組 Beacon 封包。這些空中傳輸時間佔用的正是您會員付費購買的網路容量。

使用共用密碼搭配用戶端隔離 (Client Isolation) 是另一種常見捷徑。用戶端隔離會阻止裝置互相通訊，包含同一家公司的筆記型電腦與其印表機。當一個會員離開時，您必須更改密碼，而其他所有公司都必須重新設定每一台裝置。

可擴充的模式：共用網路上的身分識別

可擴充的架構將網路名稱與網路身分分開。每個會員企業都加入相同的 SSID。它所提供的憑證決定了它落在哪個網路區段。

有兩種方法可以攜帶該身分：

• 身分預先共用金鑰 (iPSK)。 每家公司或每台裝置在同一個 SSID 上獲得專屬密碼。各廠商使用不同的名稱。Cisco Meraki 稱之為 iPSK，HPE Aruba 稱之為 MPSK，而 Ruckus 則稱之為 DPSK。通用術語是 PPSK (Private Pre-shared Key)。
• IEEE 802.1X。 每個人或每台裝置單獨進行驗證。PEAP (受保護的擴充驗證協定) 使用使用者名稱和密碼。EAP-TLS (擴充驗證協定 - 傳輸層安全性) 則使用數位憑證。

這兩種方法都會轉交給 RADIUS (Remote Authentication Dial-In User Service) 伺服器處理。RADIUS 會驗證憑證並告知存取點要使用哪個 VLAN。VLAN (虛擬區域網路) 是一個邏輯上獨立的網路區段。RFC 3580 定義了該 VLAN 指派的標準 RADIUS 屬性。在沒有通過防火牆的情況下，某一間公司的 VLAN 流量無法存取另一間公司的網路。

Purple Multi-Tenant WiFi 在您現有的存取點上以雲端覆蓋層 (Cloud Overlay) 的形式執行此模型。每個成員公司都會獲得一個 Private Area Network，即共用基礎架構上的專屬私有網路環境。Purple 的 Cloud RADIUS 會驗證身分並傳回 VLAN，因此您無需在現場託管 RADIUS 伺服器。

每家公司的 PSK、802.1X 與 Captive Portal 存取方式真正的差異之處

下表針對營運商在決定多租戶部署時考量的軸線，比較了四種模型。

	共用密碼	每家公司 iPSK	802.1X (PEAP 或 EAP-TLS)	Captive Portal
裝置連結方式	所有租戶使用同一組密碼	每家公司或每台裝置使用一組密碼	個人登入帳密或裝置證書	連線後透過網頁登入頁面
如何隔離租戶	僅限用戶端隔離	RADIUS 按公司指派 VLAN	RADIUS 按公司或角色指派 VLAN	訪客 VLAN 上的用戶端隔離
印表機、螢幕與 IoT	支援	支援	在無介面裝置 (Headless Devices) 上受限	不適用
入駐新公司	分享現有密碼	建立一組金鑰	在目錄中建立帳號或簽發證書	無需設定，訪客自行操作
當公司離場時	重新設定整棟大樓的金鑰	刪除一組金鑰	在目錄中停用帳號	工作階段依計時器過期
安全性標準	WPA2 或 WPA3-Personal	WPA2-Personal，及設備商支援的 WPA3-Personal	WPA2 或 WPA3-Enterprise	Open 或 OWE，外加 Portal
最佳適用情境	不建議用於多租戶情境	中小型成員公司	擁有受控裝置的企業級租戶	訪客、一日通行證、會議室、活動

OWE (Opportunistic Wireless Encryption, RFC 8110) 可在無需密碼的情況下加密開放網路。它能保護訪客 SSID 上的訪客免受被動監聽。

存取點背後的 VLAN 設計需求

Purple 負責控制身分與 VLAN 指派。您的交換器和防火牆仍需執行強制隔離，因此有線網路設計與無線網路設計同等重要。

• 每個成員公司一個 VLAN，各自擁有獨立的 IP 位址 DHCP (Dynamic Host Configuration Protocol) 範圍。
• 在防火牆設定 VLAN 之間預設拒絕 (Default-deny)。允許網際網路存取，以及您選擇開放的任何共用服務 (例如大樓印表機)。
• 對應有線連接埠。 公司私人辦公室內的連接埠落入與其 WiFi 相同的 VLAN。如此一來，桌上型擴充埠與筆記型電腦將看到相同的網路。
• 訪客 VLAN 上的用戶端隔離，使訪客無法互相存取彼此的裝置。

規劃隨機化裝置位址

iOS 14 以上的 Apple 裝置與 Android 10 以上的 Android 裝置，預設會對每個網路使用隨機 MAC 位址。任何透過硬體位址來辨識會員的架構設計都會出錯，無論是用於單日通行證還是計費。請將存取權限與計費綁定至金鑰或登入資訊，絕不要綁定至 MAC 位址。

何時適合採用按公司劃分的 iPSK

iPSK 適合大多數的共享辦公空間會員。它適用於任何支援 WPA2-Personal 的裝置，包括印表機、智慧電視和會議室影音設備。會員不需要 IT 部門協助，除了輸入密碼外也不需要任何設定。您只需要管理每家公司的一筆記錄即可。

請提早決定要採用「按公司」還是「按裝置」發放金鑰。按公司劃金鑰較容易發放；按裝置或按個人發放金鑰，則讓您能在不安裝或變更所有人密碼的情況下，直接撤銷單一遺失的手機。許多營運商會混合使用這兩種方式：將公司金鑰用於共用硬體，個人金鑰用於員工。

購買前請確認一個細節：WPA3-Personal 以 SAE (Simultaneous Authentication of Equals) 取代了 PSK 握手協定。請確認您的存取點 (AP) 是否支援在 WPA3-Personal 下每個 SSID 綁定多組金鑰，而非僅支援 WPA2-Personal。

以下情境為實際運作的架構設計案例，其成果均已在網路環境中經過驗證。

實作情境：設有商務辦公室樓層的飯店

狀況： 一間擁有 180 間客房的城市飯店將其二樓改建為 12 間商務辦公室。所有 12 家租戶共用同一組密碼，與訪客網路分開。當有租戶搬離時，飯店變更了密碼，導致其他 11 家公司必須重新設定每一台裝置。此外，某家租戶的網路印表機竟然對整個樓層公開可見。

處置方式： 飯店建立了一個會員專用的 SSID，並搭配 12 組 iPSK，各自對應至獨立的 VLAN。每個辦公室內的有線網路埠也轉移到對應的 VLAN 上。飯店則為客房與大廳的訪客保留了獨立的 Guest WiFi Captive Portal SSID。

結果： 受租戶離職或搬離影響的公司數量從 12 家減少到一家。飯店僅需運作兩個 SSID，而非「每戶一個網路」架構所需的 13 個 SSID。每台印表機僅在其所屬公司的 VLAN 內可見。這個模式同樣適用於任何準備新增工作空間服務的 Hotels。

何時適合採用結合會員身分驗證的 802.1X

當租戶擁有自己的 IT 團隊與受控管理筆電時，請將其轉移至 802.1X。當租戶的安全政策要求採用憑證存取時 (這在金融與醫療保健領域的會員中很常見)，也請採取相同做法。

EAP-TLS 完全擺脫了共用密碼的需求。每台受控筆電都持有一張憑證，只要撤銷該憑證即可停用該裝置的存取權限。PEAP 則是使用租戶的目錄憑證，這雖然更容易推廣部署，但也會面臨密碼過期以及隨之而來的技術支援需求。

Purple Identity-Based Networks 將網路存取權限與身分綁定，而非共享金鑰。Purple 可連接至 Microsoft Entra ID、Okta 及 Google Workspace。如此一來，新進、異動與離職人員就能直接在身分層級進行管理。當離職員工在租戶的目錄中被停用時，下次驗證時就會失去 WiFi 連線能力，無需您的團隊進行任何操作。

個人與企業安全性無法共用同一個 SSID，因為兩者使用不同的驗證方式。因此，企業租戶需要第二個會員 SSID。請維持單一 SSID，由每個 802.1X 租戶共用，並依公司指派 VLAN。

對於擁有數個中心的營運商，可考慮使用 Passpoint (Hotspot 2.0)。它能讓裝置使用儲存的設定檔自動且安全地加入網路。OpenRoaming 是建構在 Passpoint 之上的 Wireless Broadband Alliance 聯盟，而 Purple 支援此功能。無論使用哪一種，會員都能在您的不同據點之間移動，無需再次登入。

實際案例情境：市議會企業中心

情況。 一個由市議會營運的企業中心收容了 40 家初創企業，以及一個 25 人的市議會經濟發展團隊。市議會 IT 部門要求其管理的筆記型電腦必須使用 802.1X。市議會團隊原本在該中心的無線基地台旁安裝了自己的基地台，導致兩個樓層的硬體數量倍增。

處理方式。 該中心將無線基地台整合為單一硬體架構，並配置三個 SSID。第一個是會員 SSID，包含 40 個映射至 40 個 VLAN 的 iPSK。第二個是 802.1X SSID，針對市議會的目錄使用 EAP-TLS，並映射至市議會 VLAN。第三個則是帶有 Captive Portal 的訪客 SSID。

結果。 兩個樓層的第二套無線基地台設備已被拆除。該中心僅運作三個 SSID，而非每個租戶一個共 41 個 SSID。當 IT 部門在目錄中停用市議會離職人員時，他們就會失去 WiFi，中心工作人員無需進行任何變更。

訪客、一日通行證和會議室預訂該如何搭配？

訪客絕不會接觸到會員網路。Captive Portal 是裝置在取得網際網路存取權限前看到的網頁。它位於獨立的訪客 SSID 與 VLAN 上，並啟用客戶端隔離 (client isolation)。

三種訪客類型需要不同的規則：

• 會員訪客。 為會員公司到訪的客戶和面試者可從櫃檯或入口網站取得限時訪客存取權限。他們不會取得該公司的金鑰。
• 一日通行證持有者。 在報到時發放於閉館時間到期的憑證。轉為熱點辦公桌 (hot-desk) 會員的一日通行證持有者，將改用會員 SSID 上的個人金鑰。
• 會議室預訂者。 外部預訂者可取得在預訂時段內有效的驗證碼。預訂會議室的會員已擁有自己的網路，無需任何額外設定。

根據 GDPR，訪客登入資料屬於個人資料，因此僅收集您所需的資料。請透過主動勾選的同意選項來取得行銷同意，而非使用預先勾選的方塊。在上線前請先設定登入記錄和網路日誌的保留期限。共享 WiFi 營運商的 GDPR 資料保留：您可以保留訪客登入資料與網路日誌多久 一文中涵蓋了相關限制。

一日券與會議室訪客就是您未來的會員。同意提供資料的訪客資料，能為您的銷售團隊提供第一方資料，掌握誰來造訪、造訪頻率以及預訂了哪些空間。WiFi Analytics 顯示跨休息室與會議室的造訪頻率與停留時間，為定價和空間佈局提供依據。

實際情境：工作空間內的活動空間

狀況。 一家設有可容納 300 人活動廳的彈性工作空間，每週都會舉辦晚間活動。由於訪客網路沒有活動模式，櫃檯人員直接將會員密碼提供給與會者。

處置方式。 每個活動都在訪客 SSID 上獲得專屬的存取碼，有效時間為 17:00 至 23:00。每台裝置限制 10 Mbps，以保護共享上行鏈路上的會員流量。入口網站為與會者提供自主選擇同意選項，以便主辦單位後續跟進。

結果。 從那時起，沒有任何與會者會收到會員密碼。存取權限會在 23:00 自動終止，無需任何人工變更。每個同意提供的資料都成為活動團隊可用於下一次預訂的第一方資料。

各種模式的運作成本以及計費運作方式

按模式區分的運作成本

撇開授權費用不談，每種模式的真正成本是員工時間與支援基礎設施。

• iPSK 每戶管理成本最低：一家公司一把金鑰，員工離職時刪除一次。Cloud RADIUS 讓您不再需要自行託管和套用修補程式的伺服器。
• 採用 PEAP 的 802.1X 依賴租戶的目錄。當密碼過期且裝置斷開網路連線時，請預期會有技術支援通話。
• 採用 EAP-TLS 的 802.1X 需要 PKI (公開金鑰基礎設施) 來頒發憑證，再加上裝置管理來安裝憑證。建置成本最高，但持續面臨的安全風險最低。
• Captive Portal 幾乎不需要針對每個訪客進行管理。您的主要成本是在保留與同意方面的 GDPR 合規工作。

硬體很少是成本驅動因素。如 為什麼您的下一次 WiFi 升級不需要新硬體 所述，雲端重疊網路可以直接在您現有的基地台上運作。

網路可以強制的計費模式

只有當網路能夠強制執行發票上的內容時，計費才是合理的。以下每種模式都將費用映射到一項控制措施以及證明該費用的資料。

計費模式	您如何收費	什麼機制在強制執行	您需要的資料
組合套裝	WiFi 已包含在會員費中	公司金鑰或登入資訊在會員資格生效期間保持作用	每家公司的啟用或撤銷狀態
頻寬分級	每月加購項目，例如 100 Mbps、500 Mbps 或 1 Gbps	附加至公司身分識別的速率限制	每個公司 VLAN 的吞吐量
專屬上行鏈路	轉嫁專線費用加上利潤	策略路由將公司 VLAN 發送到其專屬的上行鏈路	每月的上行鏈路使用率
一日券	每天計算，在櫃檯或線上購買	在關門時間過期的憑證	每個憑證的簽發與過期記錄
會議室	折抵至會議室預約價格中	代碼於預約時段內有效	每個代碼皆連結至預約參考號碼

頻寬速率限制可透過 RADIUS 廠商特定屬性（VSA）套用至每個身分，或是透過基地台上的每組策略來設定。由於各廠商的機制有所不同，請在制定價格前，先於您自己的硬體上測試每個層級。

透過您的工作空間管理系統進行入職管理

您的工作空間管理平台已包含會員記錄。目標是讓每個會員異動事件都能觸發相應的網路事件：

1. 簽署合約即建立該公司的金鑰或企業 VLAN。
2. 層級升級會變更該身分的速率限制。
3. 搬遷日期會在合約到期時撤銷金鑰。

透過這種架構設定，離職者會在合約結束當天失去存取權限，而不是等到有人想起來才處理。在簽約前，請要求包含 Purple 在內的任何廠商，針對您的平台展示此流程。如需更多關於營運企業級網路的背景資訊，請參閱 WiFi 在企業中的應用。

如何為您的工作空間做出決策：設計與買家檢查清單

決策矩陣

您的狀況	建議
多達 50 家擁有混合裝置的小型會員公司	一個 iPSK 會員 SSID 加一個訪客 Captive Portal SSID
擁有自家 IT 與受控筆電的企業租戶	新增一個帶有 EAP-TLS 的 802.1X SSID，並為每個租戶提供獨立 VLAN
擁有多個中心且會員會在不同據點漫遊	在每個據點設定相同的 SSID，並搭配 Passpoint 或 OpenRoaming
頻繁舉辦活動與會議室出租業務	在訪客 SSID 上使用限時代碼，並設定每台裝置的上限
接受刷卡交易的租戶	專用 VLAN 與完善記錄的防火牆規則，以縮減 PCI DSS 評估範圍

PCI DSS 指南承認網路隔離是縮減評估範圍的一種方法。請記錄隔離處理支付交易租戶 VLAN 的防火牆規則，因為評估人員會索取這些資料。

設計檢查清單

1. 將網路環境限制為三個 SSID：會員 iPSK、會員 802.1X 以及訪客。
2. 為每家會員公司建立一個 VLAN 與 DHCP 範圍。
3. 在 VLAN 之間設定預設拒絕（default-deny），並針對共享服務設定明確的允許規則。
4. 將獨立辦公室的實線連接埠對映至各公司的 VLAN。
5. 在訪客 SSID 上啟用客戶端隔離（Client Isolation）與 OWE。
6. 定義頻寬層級，並在您的基地台上測試每個速率限制。
7. 將一日通行證與計費連結至憑證，絕非 MAC 地址。
8. 在上線前設定訪客資料與網路日誌的保存期限。

買家檢查清單

1. 硬體支援。 該平台是否支援 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet？Purple 在這八家品牌上皆獨立於硬體，全數支援。
2. 單一平台適用各種模式。 能否從單一管理介面（Single pane of glass）管理 iPSK、802.1X 及 Captive Portal 存取？
3. 動態 VLAN。 其 RADIUS 是否能使用標準 RFC 3580 屬性，回傳每個身分對應的 VLAN？
4. 基於單一身分的速率限制。 頻寬層級能否綁定至公司而非 SSID？
5. 生命週期自動化。 會員身分變更事件是否能自動建立、變更與撤銷網路存取權，無需人工操作？
6. 合規性。 尋找具備 ISO 27001、GDPR、CCPA 與 Cyber Essentials 認證的方案。Purple 同時擁有這四項認證，且為獲認證的 B 型企業（B Corp）。
7. 可用性。 廠商承諾的正常運行時間為何？Purple 平台的正常運行時間高達 99.999%。
8. 多據點管控。 您能否在套用在地品牌的同時，跨所有中心套用統一的策略？請參閱 加盟體系的多據點訪客 WiFi：具備在地品牌的中央管控。

評估廠商的營運成熟度時，規模至關重要。Purple 成立於 2012 年，服務覆蓋全球 90 多個國家/地區、超過 80,000 個實體場域。我們自己的資料顯示，2024 年的登入次數高達 4.4 億次。

常見問題

Purple Multi-Tenant WiFi 是否可以在我們現有的 AP 存取點上運行？

可以。Purple 不受硬體限制，可作為雲端疊加層（cloud overlay）運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 上。您能繼續保留現有的 AP 存取點、交換器與防火牆。Purple 會在頂層增加 Cloud RADIUS、單一公司身分驗證與 VLAN 指派，完全無需拆除重裝。在規劃部署 iPSK 之前，請先確認您的設備型號支援在單一 SSID 上使用多個預先共享金鑰。

會員是否能安全地攜帶自己的設備（BYOD）？

可以，前提是每家公司的設備都能劃分至各自的 VLAN 中。使用 iPSK 時，會員的手機、筆記型電腦與印表機可使用公司金鑰加入，且只能看到該公司的網路。使用 802.1X 時，每個人則以個人憑證或證書登入。無論採取哪種方式，同一存取點上的其他租戶在未通過您防火牆的情況下，都無法存取這些設備。

共享辦公空間的 WiFi 是如何計費的？

大多數營運商會將標準 WiFi 包含在會員費中，並將頻寬分級或專屬上行鏈路作為加購項目銷售。一日通行證按天計費，而會議室 WiFi 則包含在預訂價格中。只有在網路落實執行計費規則時，計費機制才能正常發揮作用，因此每個速率限制都必須與公司的身分相連結。接著，每家公司 VLAN 的傳輸量即可作為發票的依據。

我們是否需要為每家會員公司設定獨立的 SSID？

不需要。只需一個會員 SSID 並為每家公司提供專屬金鑰，即可擴充至數十個租戶，且不會增加信標（beacon）過載負擔。僅需為 802.1X 企業租戶新增第二個 SSID，因為個人與企業安全性無法共用同一個網路名稱。另外再為訪客新增一個訪客 SSID。無論您接待多少家公司，三個 SSID 就能涵蓋大多數的商務中心。

我們該如何在不打擾會員的情況下，從單一共享密碼過渡轉換？

將新的會員 SSID 與舊的 SSID 並行運行，然後以公司為單位逐一進行遷移。向每家公司發放其專屬金鑰，將其辦公室連接埠移動至對應的 VLAN，並在開始轉移下一家公司前確認其設備可正常運作。當最後一家公司完成轉移後，即可廢除該共享密碼。請先列出每個辦公室的印表機與影音設備清單，因為無頭設備（headless devices）最容易造成中斷與困擾。

共享工作空間訪客網路上的訪客登入資料是否符合 GDPR 規範？

是的，前提是您基於合法依據收集該資料，且僅在需要期間內保留。Purple 符合 GDPR 規範並通過 ISO 27001 認證，其 Captive Portal 使用自願選擇的同意機制來取得行銷授權。作為營運商，您仍需設定登入資料與網路記錄的保留期限。請在上線前確認這些期限，並發布於您的隱私權聲明中。

我們應該為會員企業選擇 iPSK 還是 802.1X？

針對大多數會員企業請選擇 iPSK，對於使用託管裝置的企業租戶則選擇 802.1X。iPSK 適用於所有 WPA2-Personal 裝置（包含印表機和螢幕），且每家公司只需一把金鑰。採用 EAP-TLS 的 802.1X 能為每台裝置提供獨立的憑證，並將存取權限與租戶的目錄連結，但代價是需要進行憑證管理。許多商務中心都會在相同的基地台（AP）上同時執行這兩種機制。