Konzessions- und Mieter-WiFi in Einkaufszentren: Eine xPSK-Architektur mit einem Schlüssel und VLAN pro Mieter

Betreiben Sie eine xPSK SSID für jede Konzession und Mietereinheit. Jeder Mieter erhält seinen eigenen Schlüssel, und dieser Schlüssel weist seinen Kassen, Tablets und Backoffice-Geräten ein eigenes VLAN zu. Käufer verbleiben im offenen Captive Portal Netzwerk und die Systeme des Einkaufszentrums in einem sicheren 802.1X Netzwerk: Insgesamt drei SSIDs, deren Schlüssel am Tag des Mietendes widerrufen werden.

Was leistet ein Netzwerk mit einem Schlüssel und VLAN pro Mieter genau?

Ein Einkaufszentrum besitzt die Access Points, aber Dutzende separater Unternehmen sind auf sie angewiesen. Jede Konzession, jeder Kiosk und jede Mietereinheit betreibt Kassen, Inventar-Tablets, Backoffice-PCs und häufig digitale Beschilderungen. Diese Geräte dürfen sich weder untereinander noch die Käufer oder die eigenen Gebäudesysteme des Zentrums sehen.

xPSK ist der Oberbegriff für Netzwerke, bei denen jeder Mieter oder jedes Gerät einen eigenen Pre-Shared Key auf einer einzigen SSID hat. Jeder Anbieter nennt dies anders:

• Cisco Meraki: Identity PSK (iPSK).
• HPE Aruba: MPSK.
• Ruckus: DPSK.
• Juniper Mist: Multi PSK.
• Ubiquiti UniFi: Private Pre-Shared Keys (PPSK).

Wenn sich ein Gerät verbindet, identifiziert der vorgelegte Schlüssel den Mieter. RADIUS gibt daraufhin das VLAN dieses Mieters zurück. RADIUS ist das Protokoll, mit dem Ihre Access Points einen Authentifizierungsserver fragen, wer sich verbindet. Ein VLAN (virtuelles LAN, definiert in IEEE 802.1Q) ist ein separates Layer 2 Netzwerk, das über dieselben Switches und Verkabelungen läuft.

Das Ergebnis ist ein einziger Netzwerkname über die Luft und viele isolierte Netzwerke über das Kabel. Die Identität bestimmt das VLAN, nicht die SSID.

Warum eine SSID pro Mieter nicht skalierbar ist

Jede SSID überträgt ihre eigenen Beacon-Frames auf jedem Funkkanal. Das Standard-Beacon-Intervall nach IEEE 802.11 beträgt 100 Zeiteinheiten bzw. 102,4 ms, sodass jede SSID fast 10 Mal pro Sekunde ein Signal sendet. Beacons werden mit der niedrigsten Basisdatenrate übertragen, was sie sehr zeitintensiv im Luftraum macht.

Jede zusätzliche SSID verbraucht daher Sendezeit, die der Mieter- und Käufer-Traffic nutzen könnte. Bei 20 Mieter-SSIDs sendet jeder Access Point in Reichweite 20 Beacon-Sätze. Die Hersteller begrenzen zudem die Anzahl der SSIDs, die ein einzelnes Funkmodul ausstrahlen kann. Ein Zentrum mit 60 Einheiten erreicht diese Grenze lange bevor der letzte Mietvertrag unterzeichnet ist.

Auch der betriebliche Aufwand steigt. Jede SSID verfügt über eine eigene Passphrase zur Erneuerung, und jede Erneuerung trennt alle Geräte dieses Mieters gleichzeitig.

Wie viele SSIDs benötigt ein Einkaufszentrum?

Drei ist die richtige Anzahl für die meisten Einkaufszentren:

1. Offenes Gäste-Netzwerk für Käufer. Dieses Netzwerk nutzt ein Captive Portal: die Anmeldeseite, die ein Gerät sieht, bevor es das Internet erreicht. Siehe Captive portals für Designoptionen. Gäste-Marketing in diesem Netzwerk gehört zum Purple Engage Tarif, und DNS-Filtering läuft über Shield.
2. xPSK-Netzwerk für Mieter. Jede Konzession, jeder Kiosk und jede Mietereinheit verbindet sich hierüber. Auch die eigenen headless Geräte des Zentrums wie CCTV, Gebäudeleittechnik-Controller und Signage-Player treten diesem Netzwerk bei, jedes mit einem eigenen Schlüssel und VLAN.
3. Sicheres Netzwerk für Zentrumsmitarbeiter. Dieses Netzwerk nutzt 802.1X, den IEEE-Standard für portbasierte Netzwerkauthentifizierung. Verbinden Sie ihn mit EAP-TLS, das jedes Gerät mit einem Zertifikat authentifiziert. Identitäten stammen aus Microsoft Entra ID, Okta oder Google Workspace. EAP TLS vs PEAP: Security, Certs and Fit und Okta WiFi Authentication: Setup Steps, Options and Fixes decken diesen Bereich ab.

Ansatz	SSIDs für 60 Mieter	Mieterisolierung	Entfernen eines Mieters	Beacon-Overhead	Für wen geeignet
SSID pro Mieter	60 Mieter-SSIDs, über den Limits pro Radio	Ein VLAN pro SSID	Diese SSID löschen und die Radios neu konfigurieren	Steigt mit jeder SSID	Zentren mit weniger als fünf Mietern
Ein gemeinsamer Schlüssel für alle Mieter	1	Keine: ein Schlüssel, ein VLAN	Schlüssel für jeden Mieter ändern	Eine SSID	Keine Zentren, in denen Mieter Kassen betreiben
xPSK: ein Schlüssel und VLAN pro Mieter	1	Ein VLAN pro Schlüssel	Einen Schlüssel widerrufen; andere bleiben unberührt	Eine SSID	Konzessionen, Kioske und Einheiten mit headless Geräten
802.1X pro Gerät	1	Ein VLAN pro Identität	Zertifikat oder Konto widerrufen	Eine SSID	Mieter mit verwalteten Geräten, die einen 802.1X-Supplicant ausführen

802.1X ist das stärkere Modell, sofern die Geräte eines Mieters es unterstützen. Die meisten Konzessionsflächen nutzen einen Mix aus Kassen, Kartenterminals, Tablets und Signage-Playern. Viele davon können keinen 802.1X-Supplicant ausführen, weshalb xPSK diese übernimmt.

Was benötigen Sie, bevor Sie beginnen?

Access Points und eine Konsole, die Multi-Key-PSK unterstützen

Sie benötigen keine neue Hardware. Purple ist ein hardwareunabhängiges Cloud-Overlay mit Cloud-RADIUS, das auf den Access Points aufsetzt, die Sie bereits besitzen. Bestätigen Sie vor dem Start, dass Ihr Modell und Ihre Firmware Multi-Key-PSK mit einem RADIUS-zugewiesenen VLAN unterstützen.

Anbieter	Funktionsname	Konsole
Cisco Meraki	Identity PSK (iPSK) mit RADIUS	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone oder RUCKUS One
Juniper Mist	Multi PSK	Juniper Mist Cloud-Dashboard
Ubiquiti UniFi	Private Pre-Shared Keys	UniFi Network Anwendung

Prüfen Sie einen weiteren Punkt in der Dokumentation Ihres Anbieters: WPA3-Unterstützung. Viele xPSK-Implementierungen laufen auf WPA2-PSK mit AES. Die WPA3-SAE-Unterstützung für mehrere Schlüssel auf einer SSID variiert je nach Anbieter und Firmware. Details zum Aufbau für Meraki und Mist finden Sie unter PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist.

Ein VLAN- und IP-Plan

IEEE 802.1Q verwendet eine 12-Bit-VLAN-ID, was 4.094 nutzbare VLANs ergibt. Das deckt jedes Zentrum problemlos ab. Planen Sie Folgendes, bevor der erste Schlüssel herausgegeben wird:

• Ein reservierter VLAN-Block für Mieter. Halten Sie diesen getrennt von den Verwaltungs-, CCTV- und Gäste-VLANs des Centers.
• Ein Subnetz und DHCP-Bereich pro Mieter-VLAN. Dimensionieren Sie jedes Subnetz entsprechend den angegebenen Geräten des Mieters zuzüglich Puffer für saisonale Aufstockungen.
• Trunks zu jedem Access-Point-Switch-Port. Jedes Mieter-VLAN muss jeden Port erreichen, an dem sich ein Mieter-Gerät verbinden könnte. In der Praxis bedeutet das jeden Port im Center.
• Firewall-Regeln am Gateway. Verweigern Sie den Verkehr von Mieter zu Mieter, verweigern Sie den Verkehr vom Mieter zum Center und erlauben Sie den Internetzugang. Gewähren Sie Zugriff auf den Zahlungsabwickler des Mieters und das Hauptsitz-VPN, sofern erforderlich.

Eine Entscheidung darüber, wer die Schlüssel verwaltet

Die IT-Abteilung des Centers sollte jeden Schlüssel ausgeben, und jeder Mieter sollte eine einzelne Kontaktperson benennen, die ihn erhält. Erfassen Sie diesen Kontakt zusammen mit dem Schlüssel. Ohne diese Erfassung können Sie nicht feststellen, wer einen Schlüssel kannte, wenn ein Mieter meldet, dass dieser kompromittiert wurde.

Entscheiden Sie als Nächstes zwischen einem Schlüssel pro Mieter und einem Schlüssel pro Gerät. Ein Schlüssel pro Mieter ist schneller zu verwalten. Ein Schlüssel pro Gerät für Kassen und Kartenzahlungsgeräte ist sicherer. Wenn ein Inventar-Tablet verloren geht, widerrufen Sie dessen Schlüssel, und die Kassen bleiben online.

Die PCI-DSS v4.0 Anforderung 2.3.2 verlangt, dass WLAN-Schlüssel, die mit der Karteninhaber-Datenumgebung verbunden sind, geändert werden, wenn jemand mit Kenntnis des Schlüssels das Unternehmen verlässt. Schlüssel pro Mieter und pro Gerät beschränken diese Änderung auf die kleinstmögliche Gruppe.

Wie richten Sie einen Schlüssel und ein VLAN pro Mieter ein?

Bauen Sie die xPSK SSID einmalig auf

Erstellen Sie die Mieter-SSID in Ihrer Anbieterkonsole mit RADIUS-Authentifizierung, die auf Purple verweist. Verwenden Sie WPA2-PSK mit AES als Basis und WPA3, sofern Ihr Anbieter dies für Multi-Key-PSK unterstützt. Strahlen Sie die SSID aus: Das Verbergen eines Netzwerknamens bringt keine Sicherheit und führt dazu, dass Geräte überall danach suchen.

Die Einrichtungsdokumentation von Purple für Ihren Anbieter enthält die genauen Einstellungen. Befolgen Sie diese, anstatt Werte von einer anderen Seite zu kopieren.

Weisen Sie jeden Mieterschlüssel seinem VLAN zu

In Purple enthält jeder Mieterdatensatz einen oder mehrere Schlüssel sowie eine VLAN-ID. Wenn sich ein Gerät authentifiziert, gibt Purple das VLAN mithilfe der in RFC 3580 beschriebenen Standard-RADIUS-Tunnelattribute zurück. Dies sind Tunnel-Type, Tunnel-Medium-Type und Tunnel-Private-Group-ID. Der Access Point weist das Gerät dann diesem VLAN zu.

Festlegen von Bandbreitenlimits pro Mieter

Purple weist das VLAN zu. Das Bandbreitenlimit ist an die Richtlinie gebunden, die Ihre Konsole auf dieses VLAN, diese Gruppe oder diese Rolle anwendet. Gruppenrichtlinien von Cisco Meraki und Benutzerrollen von HPE Aruba enthalten beide Ratenbegrenzungen, und die anderen Anbieter bieten entsprechende Funktionen.

Definieren Sie eine kleine Auswahl an Stufen, z. B. Kiosk, Standardeinheit und Ankerzentrum. Weisen Sie jedem Mieter bei der Erfassung einer Stufe zu. Stufen verhindern, dass eine einzelne Einheit, die Werbevideos streamt, den Kassen nebenan die Bandbreite entzieht. Sie geben Ihnen auch ein Druckmittel an die Hand, wenn ein Mietvertrag Konnektivitätsbedingungen enthält.

Onboarding einer neuen Einheit

Integrieren Sie das Onboarding in die Ausbau-Checkliste, nicht in die Eröffnungswoche:

1. Erstellen Sie den Mieterdatensatz, wenn der Mietvertrag unterzeichnet wird. Geben Sie die Einheitsnummer, den benannten Ansprechpartner, das Start- und Enddatum des Mietvertrags sowie die Bandbreitenstufe an.
2. Weisen Sie ein VLAN aus dem Mieterblock zu und bestätigen Sie dessen DHCP-Bereich.
3. Wenden Sie Firewall-Regeln für dieses VLAN an, einschließlich aller Zahlungsabwickler oder VPN-Endpunkte, die der Mieter angibt.
4. Generieren Sie den Schluessel oder die Schluessel in Purple und ordnen Sie sie dem VLAN zu.
5. Senden Sie den Schluessel an den benannten Ansprechpartner über einen verschlüsselten Kanal. Drucken Sie ihn niemals im Mietvertragspaket aus.
6. Testen Sie direkt aus der Einheit. Verbinden Sie ein Gerät und bestätigen Sie, dass es das richtige Subnetz erhält und das Internet erreicht.
7. Dokumentieren Sie die Ausgabe mit Datum, Aussteller, Empfänger und VLAN.

Zugang widerrufen, wenn ein Mieter auszieht

Widerrufen Sie den Schlüssel des Mieters am Enddatum des Mietvertrags und planen Sie dies als Teil der Exit-Checkliste ein. Der Widerruf stoppt neue Verbindungen sofort.

Bereits verbundene Geräte bleiben möglicherweise verknüpft, bis sie sich erneut verbinden, abhängig von Ihrer Plattform. Wenn Ihre Plattform RADIUS Change of Authorisation (CoA, definiert in RFC 5176) unterstützt, nutzen Sie dies, um die Verbindung zu trennen. Trennen Sie die Clients andernfalls über die Konsole des Anbieters.

Lassen Sie das freigewordene VLAN für eine Quarantänezeit ungenutzt, bevor Sie es neu zuweisen. Dies verhindert, dass ein vergessenes Gerät im Netzwerk des nächsten Mieters auftaucht. Die gleiche Disziplin für Ein- und Austritte, die Ihr HR-Team auf Mitarbeiter-Accounts anwendet, gilt nun auch für Mieter.

Wie überprüfen Sie, ob die Segmentierung funktioniert?

Testen Sie jeden neuen Mieter beim Onboarding und führen Sie jedes Quartal Stichproben im gesamten Bestand durch:

• Richtiges VLAN: Ein Gerät, das den Mieterschlüssel verwendet, erhält eine Adresse im Subnetz dieses Mieters.
• Kein seitlicher Zugriff: Von einem Mietergerät aus antwortet das Gateway des VLANs eines benachbarten Mieters nicht.
• Kein Zugriff auf Zentralsysteme: Subnetze für Videoüberwachung, Gebäudemanagement und Centermitarbeiter sind nicht erreichbar.
• Internet funktioniert: Der Mieter erreicht das Internet und alle zugelassenen Zahlungs- oder VPN-Endpunkte.
• Widerruf funktioniert: Ein widerrufener Schlüssel schlägt bei der Authentifizierung fehl.

Wenn Mieterkassen Kartendaten verarbeiten, verlangt PCI-DSS v4.0 Anforderung 11.4.5 Penetrationstests der Segmentierungssteuerungen mindestens einmal alle 12 Monate. Ihre quartalsweisen Ergebnisse und der jährliche Test dienen als Nachweis für diese Anforderung. Jeder Mieter bleibt als Händler selbst für seine eigene PCI-DSS-Bewertung verantwortlich.

Was protokolliert werden muss

Protokollieren Sie ausreichend, um drei Fragen zu beantworten: Wer hatte Zugang, wann und auf welchem VLAN.

• Ausgestellter Schlüssel: Mieter, Schlüssel-ID, VLAN, Aussteller, Empfänger und Datum.
• Widerrufener Schlüssel: Mieter, Schlüssel-ID, Grund, Widerrufender und Datum.
• Authentifizierungsereignisse: Schlüssel-ID, Geräte-MAC-Adresse, Access Point, zugewiesenes VLAN, Zeitstempel und Ergebnis.
• Änderung von Firewall-Regeln pro Mieter-VLAN.

Geräte-MAC-Adressen können personenbezogene Daten gemäß GDPR sein, wenn sie einer Person zugeordnet werden können. Legen Sie eine Aufbewahrungsfrist fest, dokumentieren Sie diese und löschen Sie die Daten planmäßig. Purple besitzt eine ISO 27001-Zertifizierung und ist für GDPR sowie CCPA zertifiziert, was Ihnen Nachweise für Ihre eigenen Lieferantenbewertungen liefert. Informationen zu weiteren Sicherheitsmaßnahmen finden Sie unter WiFi security und Guest network security: A practical Guide for 2026.

Praxisbeispiele

Diese zwei Szenarien sind illustrative Modelle, keine namentlich genannten Bereitstellungen. Die Ergebnisse ergeben sich direkt aus der Architektur.

Ein Einkaufszentrum mit 70 Einheiten ersetzt Mieter-SSIDs

Ausgangslage. Das Zentrum strahlte 14 SSIDs aus: Gäste, Zentrumsmitarbeiter und 12 Mieter-SSIDs, die für die ersten großen Mieter eingerichtet wurden. Die restlichen 58 Einheiten teilten sich ein einziges Mieter-Passwort in einem einzigen VLAN. Wenn ein Mieter auszog, musste dieses Passwort für alle anderen Mieter im Zentrum geändert werden.

Umsetzung. Die IT konsolidierte alles auf drei SSIDs: Gäste, Zentrumsmitarbeiter über 802.1X mit EAP-TLS und eine xPSK-Mieter-SSID. Alle 70 Einheiten erhielten ihren eigenen Schlüssel und ihr eigenes VLAN mit individuellen Schlüsseln pro Gerät für Kassen. Die IT migrierte die 12 SSID-basierten Mieter einzeln und entfernte jede alte SSID, sobald deren Geräte umgezogen waren. Videoüberwachung und Gebäudetechnik wurden auf eigene Schlüssel und VLANs innerhalb derselben Mieter-SSID umgestellt.

Ergebnis. Jedes Funkmodul wechselte von 14 SSIDs auf drei. Die Beacon-Frames pro Funkmodul sanken von etwa 137 pro Sekunde auf etwa 29. Bei einem Mieterwechsel muss nun nicht mehr das Passwort für 58 Unternehmen geändert werden, sondern es wird lediglich ein einziger Schlüssel widerrufen. Der Datenverkehr von Mieter zu Mieter, der zuvor im gemeinsamen VLAN offen war, wird nun am Gateway blockiert und vierteljährlich getestet.

Eine städtische Markthalle mit Händlern am Wochenende

Ausgangslage. Eine Markthalle der öffentlichen Hand beherbergt 40 feste Stände und bis zu 25 Wochenendhändler. Jeder Händler nutzte ein gemeinsames Passwort, das seit Jahren nicht geändert worden war. Ehemalige Händler konnten sich weiterhin vom Parkplatz aus verbinden.

Umsetzung. Jeder feste Stand erhielt einen eigenen Schlüssel und ein eigenes VLAN. Wochenendhändler erhielten individuelle Schlüssel, die einem gemeinsamen, isolierten Händler-VLAN zugewiesen wurden, sodass ihre Geräte einander nicht erreichen können. Der Schichtleiter widerruft alle Wochenendschlüssel im Rahmen der Schließ-Checkliste am Sonntag, und neue Schlüssel werden mit den Standzuweisungen am Samstag ausgegeben.

Ergebnis. Die Stadtverwaltung wandelte ein einziges, langlebiges gemeinsames Passwort in 40 dauerhafte Schlüssel und bis zu 25 wöchentliche Schlüssel um. Kein Schlüssel überdauert den Händler, der ihn besitzt. Die Stadtverwaltung erhielt zudem ein Protokoll über jeden ausgestellten und widerrufenen Schlüssel, das ihr zuvor fehlte.

Welche Fehler treten auf und wie beheben Sie diese?

Symptom	Wahrscheinliche Ursache	Lösung
Gerät verbindet sich, landet aber im Standard-VLAN	Der RADIUS-Reply enthält keine VLAN-Attribute oder die SSID ignoriert das RADIUS-VLAN-Override	Bestätigen Sie die Schlüssel-zu-VLAN-Zuordnung in Purple und aktivieren Sie dann die RADIUS-VLAN-Zuweisung auf der SSID
Gerät verbindet sich, erhält aber keine IP-Adresse	Das Mieter-VLAN ist nicht an den Switch-Port dieses Access Points getrunkt oder es gibt keinen DHCP-Bereich	Fügen Sie das VLAN zum Trunk hinzu und prüfen Sie den DHCP-Bereich
Ältere Kasse oder Terminal verbindet sich nicht	SSID auf Nur-WPA3 oder Protected Management Frames erforderlich eingestellt	WPA2-PSK mit AES oder WPA2/WPA3-Übergangsmodus für diese SSID verwenden
Widerrufener Mandant weiterhin online	Bestehende Sitzung bleibt bestehen, bis sich das Gerät erneut verbindet	CoA-Disconnect senden oder den Client in der Herstellerkonsole entfernen
Ein Mandant kann einen anderen erreichen	Inter-VLAN-Routing auf dem Core-Switch oder Gateway erlaubt	Deny-Regeln zwischen Mandanten-VLANs hinzufügen und erneut testen
Unbekannte Geräte in einem Mandanten-VLAN	Mandant hat seinen Schlüssel mit einem Nachbarn oder Dienstleister geteilt	Diesen Schlüssel widerrufen, einen neuen ausstellen und den benannten Ansprechpartner einweisen

Was kostet es und was erhalten Sie zurück?

Die Kosten. Sie benötigen keine neuen Access Points, Controller oder Switches. Sie zahlen das Purple Access-Abonnement plus Ingenieurzeit für den VLAN-Plan, das Trunking und die Firewall-Regeln. Danach benötigt jeder Mandant einen Datensatz, ein VLAN und einen Schlüssel beim Onboarding sowie einen Widerruf beim Exit.

Ihr Nutzen.

• Sendezeit. Eine Mandanten-SSID ersetzt eine SSID pro Mandant, sodass der Beacon-Overhead nicht mehr mit jedem Mietvertrag wächst.
• Eindämmung. Ein kompromittierter oder ausgetretener Schlüssel betrifft nur einen Mandanten, nicht das gesamte Zentrum.
• Nachweisbarkeit. Ausstellungs- und Widerrufsprotokolle unterstützen die PCI-DSS-Anforderung 2.3.2. Segmentierungstests unterstützen die Anforderung 11.4.5.
• Skalierung. Purple läuft an über 80.000 Live-Standorten und verarbeitete 440 Millionen Anmeldungen im Jahr 2024 (eigene Daten von Purple). Ein Zentrum mit 70 Einheiten stellt keine Mehrbelastung dar.

Falls Ihr Zentrumspersonal noch ein gemeinsames Passwort nutzt, migrieren Sie dieses als Nächstes. Migrating staff WiFi from a shared password to 802.1X across a multi-site estate beschreibt den Ablauf. Weitere Zugangsarchitekturen finden Sie in den Access guides.

Häufig gestellte Fragen

Funktioniert dies mit den Access Points, die unser Zentrum bereits besitzt?

Ja, Purple läuft als Cloud-Overlay auf den Access Points, die Sie bereits besitzen - ganz ohne Austausch der Hardware. Purple ist hardwareunabhängig über Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet hinweg. Stellen Sie für ein Mandanten-xPSK-Netzwerk sicher, dass Ihr Modell und Ihre Firmware Multi-Key-PSK mit einem RADIUS-zugewiesenen VLAN unterstützen. Meraki nennt dies iPSK, Aruba nennt es MPSK und Ruckus nennt es DPSK.

Können sich Mandanten Access Points teilen, aber keine Netzwerke?

Ja, das ist der Zweck eines Schlüssels und VLANs pro Mandant. Jeder Mandant verbindet sich mit derselben SSID über dieselben Access Points. Jeder Schlüssel platziert die Geräte dieses Mandanten in sein eigenes VLAN. Firewall-Regeln am Gateway blockieren dann den Datenverkehr zwischen den Mandanten-VLANs und den eigenen Systemen des Zentrums. Benachbarte Einheiten teilen sich Funkzellen und Sendezeit, aber niemals ein Layer-2-Netzwerk.

Wie viele SSIDs benötigt ein Einkaufszentrum?

Drei deckt die meisten Einkaufszentren ab. Sie benötigen ein offenes Gäste-Netzwerk mit einem Captive Portal für Shopper und ein xPSK-Netzwerk für jeden Mieter sowie die Headless-Geräte des Zentrums. Fügen Sie ein sicheres 802.1X-Netzwerk für das Personal des Zentrums hinzu, das über Microsoft Entra ID, Okta oder Google Workspace authentifiziert wird. Jede zusätzliche SSID erhöht den Beacon-Overhead auf jedem Funkkanal - vermeiden Sie es daher, eine pro Mieter zu erstellen.

Wie entfernen wir den WiFi-Zugang eines Mieters, wenn dieser auszieht?

Sie widerrufen den Schlüssel dieses Mieters in Purple, woraufhin neue Verbindungen sofort gestoppt werden. Machen Sie den Widerruf zum Bestandteil der Übergabeliste beim Mietende, datiert auf das Mietende. Bereits verbundene Geräte bleiben möglicherweise online, bis sie sich neu verbinden. Trennen Sie diese über RADIUS Change of Authorisation, sofern Ihre Plattform dies unterstützt, oder über die Konsole des Anbieters. Quarantänisieren Sie das VLAN anschließend, bevor Sie es neu zuweisen.

Werden die Kassen unserer Mieter dadurch PCI-DSS-konform?

Nein, das Netzwerkdesign allein kann einen Händler nicht konform machen. Jeder Mieter bleibt für seine eigene PCI-DSS-Bewertung verantwortlich. Ein Schlüssel und ein VLAN pro Mieter liefern Ihnen jedoch Nachweise für spezifische Anforderungen. Anforderung 2.3.2 behandelt das Ändern von WLAN-Schlüsseln, wenn Personen mit Kenntnis dieser Schlüssel das Unternehmen verlassen. Anforderung 11.4.5 behandelt jährliche Penetrationstests von Segmentierungssteuerungen. Teilen Sie Ihre Segmentierungstestergebnisse auf Anfrage mit den Mietern.

Können wir die Bandbreite jedes Mieters begrenzen?

Ja, Sie legen das Limit in Ihrer Anbieterkonsole für die Gruppe, Rolle oder das VLAN fest, dem der Schlüssel des jeweiligen Mieters zugewiesen ist. Gruppenrichtlinien von Cisco Meraki und Benutzerrollen von HPE Aruba enthalten jeweils Ratenbegrenzungen, und auch die anderen Anbieter bieten entsprechende Funktionen. Definieren Sie einige Stufen, z. B. Kiosk, Standard-Einheit und Ankerzentrum. Weisen Sie jeden Mieter beim Onboarding einer dieser Stufen zu, damit eine einzelne Einheit nicht die Kassen ihrer Nachbarn blockiert.

Wie migrieren wir ohne Ausfallzeiten von einer SSID pro Mieter?

Sie migrieren Mieter für Mieter, wobei die alten und neuen Netzwerke nebeneinander laufen. Erstellen Sie zuerst die xPSK-SSID und übertragen Sie dann die Geräte eines Mieters auf deren neuen Schlüssel und sein VLAN. Entfernen Sie die alte SSID dieses Mieters, sobald jedes Gerät umgezogen ist. Beginnen Sie mit einer kleinen Verkaufsfläche, um das VLAN-Trunking und die Firewall-Regeln zu testen. Planen Sie größere Einheiten anschließend außerhalb der Öffnungszeiten.