PPSK per i dispositivi dei punti vendita al dettaglio: una checklist di configurazione per casse, scanner e CCTV su Cisco Meraki e Juniper Mist

Le chiavi pre-condivise private (PPSK) forniscono a ogni cassa, scanner, stampante e schermo la propria chiave WiFi su un unico SSID. Ogni chiave si associa a una VLAN (LAN virtuale), a una politica e a un limite di banda, in modo che le casse rimangano separate dalla cartellonistica e dalle telecamere CCTV. Associa le chiavi agli indirizzi MAC e revoca la chiave di un singolo dispositivo smarrito. Cisco Meraki la chiama Identity PSK; Juniper Mist la chiama Multi PSK.

Che cosa fa concretamente la tecnologia PPSK per i dispositivi nei punti vendita?

La maggior parte della rete WiFi aziendale nei negozi viene creata per puro caso. Gli scanner si collegano all'SSID del personale. I lettori per la cartellonistica si collegano a qualsiasi rete visibile all'installatore. Una telecamera wireless finisce sulla rete ospiti. Tutti i dispositivi condividono un'unica password che non è mai stata modificata dall'apertura del negozio.

La tecnologia PPSK risolve questo problema senza richiedere alcuna modifica al dispositivo. Il dispositivo continua a visualizzare un unico SSID e a inserire una sola passphrase WPA2-Personal. Il cambiamento avviene lato rete. Ogni dispositivo riceve una passphrase differente. Il punto di accesso associa ciascuna passphrase a un'identità, in locale oppure interrogando un server RADIUS. Successivamente applica la VLAN, le regole del firewall e il limite di banda associati a quell'identità. RADIUS è il protocollo utilizzato da un punto di accesso per chiedere a un server centrale l'identità di un dispositivo e le risorse a cui può accedere.

Questo approccio comporta tre vantaggi fondamentali per un punto vendita:

• Separazione per identità. Una cassa e un lettore per la cartellonistica associati allo stesso SSID terminano su VLAN differenti, con regole del firewall distinte.
• Isolamento e contenimento. In base allo standard IEEE 802.11i, ogni dispositivo ricava le proprie chiavi di sessione dalla propria passphrase. Chiunque possieda una passphrase condivisa e intercetti un handshake può derivare le chiavi di sessione di un altro dispositivo. Con la tecnologia PPSK, la compromissione della chiave della cartellonistica non consente di decifrare il traffico delle casse.
• Revoca centralizzata. Eliminando una singola chiave, un solo dispositivo perde l'accesso. Nessun altro elemento nel punto vendita subirà modifiche.

Come si colloca la tecnologia PPSK tra le tre reti

Purple Access gestisce tre reti su un'unica piattaforma, e l'identità definisce la VLAN su ciascuna di esse. La rete aperta serve i clienti tramite un Captive Portal, illustrato nella nostra guida ai Captive Portal. La rete sicura serve il personale mediante IEEE 802.1X ed EAP-TLS. 802.1X è lo standard per autenticare ciascun dispositivo prima dell'accesso. EAP-TLS è il metodo che utilizza un certificato installato sul dispositivo. Il personale può anche accedere tramite Microsoft Entra ID, Okta o Google Workspace, come mostrato nella guida Autenticazione WiFi Okta: Passaggi di configurazione, opzioni e risoluzione dei problemi.

I certificati rimangono la scelta predefinita per le persone. La rete xPSK copre tutto ciò che non può gestirne uno: casse, scanner portatili, stampanti di ricevute, schermi per digital signage e telecamere CCTV wireless. Utilizziamo lo stesso modello per i residenti negli edifici residenziali, come spiegato in Multifamily WiFi: how isolation, xPSK and billing work. Per il modello di sicurezza completo, consulta la nostra guida WiFi security.

PPSK a confronto con le alternative

Metodo	Cosa conserva il dispositivo	Revoca di un singolo dispositivo	VLAN e policy per dispositivo	Infrastruttura aggiuntiva	Adatto a
PSK condivisa	Un'unica passphrase condivisa da tutti i dispositivi	Modifica della chiave su ogni dispositivo nell'SSID	No, una sola VLAN per SSID	Nessuna	Niente che gestisca i pagamenti
PPSK (Meraki Identity PSK, Mist Multi PSK)	La propria passphrase, opzionalmente associata al proprio MAC	Eliminazione di una singola chiave	Sì, per singola chiave	Meraki: RADIUS per associazione MAC. Mist: nessuna con Cloud PSK	Casse, scanner, stampanti, digital signage, CCTV
IEEE 802.1X con EAP-TLS	Un certificato client	Revoca di un singolo certificato	Sì, per identità	Server RADIUS e infrastruttura a chiave pubblica (PKI)	Laptop e telefoni del personale gestiti da MDM
MAC authentication bypass	Niente: l'indirizzo MAC è l'identità	Rimozione di un singolo indirizzo MAC	Sì, per indirizzo MAC	Server RADIUS	Dispositivi cablati che non supportano altro

MDM indica la gestione dei dispositivi mobili, il sistema che invia le configurazioni ai telefoni, agli scanner e ai laptop aziendali.

Di cosa hai bisogno prima di distribuire la PPSK nei tuoi punti vendita?

La maggior parte del lavoro si svolge prima di creare una singola chiave. Assicurati di avere pronti questi elementi:

• Un inventario dei dispositivi per punto vendita. Registra la classe del dispositivo, la marca, il modello, l'indirizzo MAC, se il MAC è statico, le modalità di sicurezza supportate e le bande radio.
• Un piano di segmentazione. Concorda una VLAN per classe di dispositivo con i responsabili dei contratti per pagamenti, CCTV e digital signage.
• VLAN trunking su ogni access point. Ogni porta di uplink dell'AP deve trasportare la VLAN di ciascun segmento, altrimenti i dispositivi si associano ma non ottengono un indirizzo IP.
• Regole del firewall per segmento. Definisci cosa può raggiungere ciascun segmento prima di configurare qualsiasi cosa.
• Accesso alla console. Sono necessari diritti di amministratore a livello di organizzazione nella Dashboard Meraki o nel portale Juniper Mist.
• Una decisione su dove risiedono le chiavi. Le chiavi possono risiedere sull'SSID stesso, su un server RADIUS o in un servizio di chiavi in cloud. La tabella seguente associa la tua infrastruttura alla scelta migliore.
• Controllo MDM degli scanner Android. Sarà necessario per impostare l'indirizzo MAC statico per rete e inviare le chiavi da remoto.
• Un responsabile per il registro delle chiavi. Anche i dispositivi hanno cicli di vita con aggiunte, spostamenti e dismissioni esattamente come il personale. Qualcuno deve registrare ogni chiave emessa e ogni chiave revocata.

La tua infrastruttura	Dove dovrebbero risiedere le chiavi	Associazione MAC	Perché
Solo Cisco Meraki, una chiave per classe di dispositivo	Identity PSK senza RADIUS, chiavi memorizzate sull'SSID	Non disponibile	Avvio più rapido, ma una chiave compromessa funziona su qualsiasi dispositivo
Cisco Meraki, una chiave per dispositivo	Identity PSK con RADIUS, con puntamento a un servizio RADIUS cloud	Sì, ricerca tramite indirizzo MAC	Ogni chiave funziona solo per il dispositivo a cui è stata assegnata
Solo Juniper Mist	Mist Cloud PSK	Sì, con chiavi monouso	Nativo del cloud Mist, con VLAN, ruolo e scadenza per ciascuna chiave
Parco dispositivi misto: Meraki più HPE Aruba, Ruckus, Mist o Ubiquiti UniFi	Purple Access xPSK come RADIUS cloud	Sì	Una sola chiave registrata su tutti i vendor, senza dover sostituire l'infrastruttura esistente

Come configurare il PPSK su Cisco Meraki e Juniper Mist?

Passaggio 1: progettare la mappatura da chiavi a segmenti

Progetta i segmenti prima di toccare qualsiasi console. Questa mappatura mantiene la sicurezza del WiFi dei terminali di pagamento separata da tutto ciò che non deve accedere ai pagamenti.

Classe di dispositivi	Segmento	Può raggiungere	Policy di larghezza di banda	Ambito della chiave
Terminali di pagamento e casse	Pagamenti	Solo gestore dei pagamenti e server di cassa	Illimitata, massima priorità	Una per dispositivo, vincolata al MAC
Scanner portatili	Operazioni punto vendita	Sistemi di inventario, ordinativo e gestione dei dispositivi portatili	Limite per dispositivo	Una per dispositivo, vincolata al MAC
Stampanti di ricevute ed etichette	Operazioni punto vendita	Server di cassa e di stampa	Limite basso per dispositivo	Una per dispositivo, vincolata al MAC
Lettori per digital signage	Signage	Sistema di gestione dei contenuti e server di aggiornamento	Limite per dispositivo	Una per dispositivo, vincolata al MAC
Telecamere CCTV wireless	CCTV	Solo registratore video di rete	Margine riservato alla velocità di trasmissione della telecamera	Una per dispositivo, vincolata al MAC

Mantieni ridotto il numero di segmenti. Cinque segmenti per punto vendita sono sufficienti per la maggior parte delle strutture, e ogni VLAN aggiuntiva deve essere configurata in trunking su ogni AP.

Passaggio 2: Cisco Meraki e Identity PSK

Meraki applica le policy per singola chiave tramite le group policy, quindi crea prima quelle. Nel Dashboard Meraki, crea una group policy per ciascun segmento. Ogni policy definisce il tag VLAN, il limite di larghezza di banda e le regole firewall Layer 3 e Layer 7 per quel segmento.

Successivamente, apri le impostazioni di controllo degli accessi per l'SSID del tuo dispositivo. Meraki offre due modalità Identity PSK:

• Identity PSK senza RADIUS. Inserisci le chiavi direttamente sull'SSID e mappi ogni chiave a una group policy. Non è disponibile alcun vincolo al MAC, quindi qualsiasi dispositivo che conosce una chiave ottiene la policy di quella chiave.
• Identity PSK con RADIUS. L'access point invia l'indirizzo MAC del dispositivo al tuo server RADIUS. Il server restituisce la passphrase e la group policy per quell'indirizzo MAC. Una chiave funziona esclusivamente per il dispositivo a cui è stata assegnata.

Per le casse e qualsiasi dispositivo nel segmento dei pagamenti, utilizza la modalità RADIUS. Le pagine di documentazione Cisco "IPSK senza RADIUS" e "Autenticazione IPSK con RADIUS" forniscono i passaggi esatti per ciascuna modalità.

Passaggio 3: Juniper Mist e Multi PSK

Nel portale Juniper Mist, imposta la WLAN del tuo dispositivo in modo da utilizzare passphrase multiple. Mist ti offre tre origini per le chiavi: chiavi memorizzate localmente sulla WLAN, Cloud PSK gestite a livello di organizzazione o chiavi restituite da un server RADIUS.

Per un parco punti vendita, Cloud PSK è la scelta nativa. Ogni Cloud PSK include la propria VLAN, ruolo e data di scadenza. Imposta i dispositivi del punto vendita su monouso, vincolando la chiave al primo indirizzo MAC che si connette con essa. Utilizza quindi il ruolo di ciascuna chiave nelle tue policy WxLAN per controllare gli accessi di quel segmento. Applica limiti di larghezza di banda per contenere il traffico del digital signage e degli scanner. La documentazione Multi PSK di Juniper copre integralmente le impostazioni WLAN e i campi Cloud PSK.

Passaggio 4: Purple Access come registro chiavi unico per più vendor

La maggior parte della rete retail gestisce hardware di più vendor a seguito di acquisizioni e ristrutturazioni. Purple Access esegue la rete xPSK come RADIUS basato su cloud, in modo che un unico registro chiavi serva ogni punto vendita. Gli SSID Meraki indirizzano l'Identity PSK con RADIUS verso Purple. Le WLAN Mist utilizzano RADIUS come sorgente delle chiavi. Purple restituisce la chiave per singolo dispositivo, la VLAN e la policy per ciascun indirizzo MAC.

Lo stesso modello funziona su Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet. Mantieni i tuoi access point e switch esistenti. L'articolo di supporto di Purple per il tuo vendor elenca le impostazioni RADIUS esatte.

La checklist per il rollout nei punti vendita

1. Scegli un punto vendita pilota che contenga ogni classe di dispositivo utilizzata.
2. Esporta l'inventario dei dispositivi di quel punto vendita, con un indirizzo MAC verificato per ciascun dispositivo.
3. Effettua il trunking della VLAN di ciascun segmento su ogni porta di uplink degli AP prima del giorno del passaggio.
4. Crea le policy di segmento: group policy su Meraki, ruoli e policy WxLAN su Mist.
5. Crea una chiave per dispositivo e registrala nel registro chiavi.
6. Invia un'impostazione con MAC fisso per l'SSID dei dispositivi agli scanner Android tramite MDM.
7. Trasmetti l'SSID dei dispositivi affiancandolo all'SSID del personale esistente.
8. Sposta i dispositivi classe per classe: prima il digital signage, poi stampanti e scanner, infine i registratori di cassa al di fuori degli orari di apertura.
9. Esegui ogni test descritto nella sezione successiva prima di passare alla classe seguente.
10. Modifica per l'ultima volta la vecchia password condivisa del personale, in modo che nessun dispositivo possa riutilizzarla come backup.
11. Redigi la guida di revoca: dispositivo smarrito, chiave revocata, sostituto rilasciato con una nuova chiave.
12. Effettua il rollout a blocchi di punti vendita, riutilizzando le policy pilota e conservando i risultati dei test come documentazione.

Come verificare il corretto funzionamento di PPSK in ciascun punto vendita?

Testa ogni classe di dispositivo, non un singolo dispositivo. Un test superato su uno scanner non garantisce il funzionamento di una stampante su una VLAN diversa.

• Segmento corretto. Controlla l'elenco dei client nella Dashboard Meraki o nelle client insights di Mist. Ogni dispositivo deve mostrare la VLAN prevista e un indirizzo IP appartenente alla subnet di quel segmento.
• Isolamento. Da un dispositivo di test sul segmento digital signage, prova a raggiungere il server delle casse e il registratore video. Entrambi i tentativi devono fallire.
• Associazione MAC. Inserisci la chiave di uno scanner su un telefono di test. Il telefono deve essere rifiutato.
• Revoca. Revoca una chiave di test e conferma che il dispositivo non possa riconnettersi. Se la sessione esistente persiste, disconnetti il client dalla console. Tutti gli altri dispositivi nel punto vendita devono rimanere connessi.
• Banda passante. Esegui un test di throughput da un lettore di digital signage e verifica che il limite regga. La nostra guida a Misurazione dell'utilizzo della banda passante: metodi, KPI e configurazione copre il metodo.
• Roaming. Cammina con uno scanner dal magazzino al punto più lontano del negozio. L'app di scansione deve rimanere connessa.

Conserva i report. Il registro delle chiavi, le policy di segmento, i log di revoca e i risultati dei test di isolamento forniscono la prova per PCI-DSS v4.0. Il Requisito 1 copre i controlli di sicurezza della rete tra i segmenti. Il Requisito 2.3 copre gli ambienti wireless, inclusa la modifica delle chiavi predefinite. I controlli sugli access point non autorizzati previsti dal requisito 11.2.1 rimangono un'attività separata.

Cosa va storto con la PPSK e come si risolve?

Sintomo	Causa probabile	Soluzione
Il dispositivo si associa ma non ottiene alcun indirizzo IP	VLAN di segmento non configurata in trunk sulla porta dello switch dell'AP	Tagga ogni VLAN di segmento su ogni porta di uplink dell'AP
Scanner rifiutato dopo un aggiornamento del sistema operativo	Randomizzazione del MAC attiva; Android 10 e successive versioni la attivano di default per rete	Imposta il profilo SSID del dispositivo tramite MDM per utilizzare il MAC reale del dispositivo
Una chiave funziona su due dispositivi	Chiave non associata a un indirizzo MAC (Meraki senza RADIUS, Mist multiuso)	Passa a iPSK con RADIUS o a chiavi monouso Mist
Stampante più datata non riesce a connettersi	Il dispositivo supporta solo 2.4 GHz e WPA2-Personal	Mantieni abilitati 2.4 GHz e WPA2-Personal sull'SSID del dispositivo
Lo scanner perde la connessione tra le corsie	Roaming rapido 802.11r incompatibile con un client legacy	Effettua un test disabilitando il fast transition sull'SSID del dispositivo
Casse lente durante l'invio di contenuti al digital signage	La policy del signage non prevede un limite di banda passante	Applica un limite per singolo dispositivo al segmento signage
Dispositivo smarrito ancora online dopo l'eliminazione della chiave	La sessione esistente persiste fino alla riautenticazione	Disconnetti il client dalla console dopo la revoca

Due problemi meritano più di una riga in una tabella.

Il primo riguarda la chiave che diventa una seconda password condivisa. Un tecnico scrive la chiave di uno scanner su un adesivo e sei dispositivi finiscono per usarla. L'associazione al MAC blocca questo problema. Senza associazione, una chiave per singolo dispositivo rimane tale solo per convenzione.

Il secondo riguarda WPA3. Molte implementazioni di chiavi per singolo dispositivo si basano su WPA2-Personal, e molte casse e stampanti non supportano nulla di più recente. Consulta la documentazione di Cisco Meraki e Juniper Mist per il supporto WPA3 sul tuo firmware prima di progettare l'architettura.

Due scenari pratici: una catena di moda e uno stadio

Retail: una catena di moda da 150 negozi su Cisco Meraki

Situazione. Si consideri una catena da 150 negozi con sei casse, otto scanner, due stampanti e quattro lettori di digital signage per punto vendita. Tutti i 20 dispositivi condividono l'SSID del personale e un'unica password. Questo significa 3.000 dispositivi connessi con un'unica chiave in tutta l'azienda. Il requisito 2.3.2 di PCI-DSS richiede di modificare le chiavi wireless quando una persona che le conosce lascia l'azienda. Ogni store manager conosce questa password, quindi l'uscita di ogni manager dovrebbe comportare l'aggiornamento di 3.000 dispositivi. Nella pratica, questo non avviene mai.

Cosa è stato fatto. La catena aggiunge un SSID per i dispositivi utilizzando Identity PSK con RADIUS, con Purple Access che gestisce il registro delle chiavi. Quattro criteri di gruppo separano i pagamenti, le operazioni del punto vendita, la segnaletica digitale e le stampanti. L'MDM invia le chiavi ai lettori di codici a barre, così il personale del negozio non vede mai la chiave di un dispositivo.

Risultato. Un lettore rubato ora comporta la revoca di una sola chiave e zero impatto sugli altri dispositivi, invece di 20 in quel punto vendita. L'uscita di un manager non richiede più una rotazione delle chiavi, poiché i manager non possiedono mai le chiavi dei dispositivi. Il segmento dei pagamenti si riduce da 20 dispositivi per negozio su una rete flat a soli sei registratori di cassa. Le linee guida PCI SSC indicano che la segmentazione può ridurre i sistemi nel campo di applicazione, con riserva di convalida da parte del valutatore.

Eventi: uno stadio su Juniper Mist

Situazione. Consideriamo uno stadio con 40 cassa fisse per le concessioni e 120 schermi per la segnaletica. Una società d'appalto per la biglietteria porta 25 lettori portatili a ogni evento. All'appaltatore è sempre stata fornita la password del personale, che non è mai stata modificata.

Cosa è stato fatto. Lo stadio passa a Mist Cloud PSK. Le casse ricevono chiavi monouso sulla VLAN dei pagamenti. Le chiavi della segnaletica hanno un ruolo con un limite di frequenza. Ad ogni evento, i 25 lettori dell'appaltatore ricevono chiavi monouso sulla propria VLAN, con scadenza impostata alla fine della giornata dell'evento.

Risultato. Tutte le 25 chiavi dell'appaltatore scadono automaticamente dopo ogni evento, senza dover revocare nulla manualmente. I dispositivi dell'appaltatore non possiedono mai una chiave che permetta di raggiungere il segmento delle casse. I limiti sulla segnaletica garantiscono che l'invio di contenuti non possa rallentare i pagamenti delle concessioni durante l'intervallo.

Quanto costa la PPSK e quali sono i vantaggi?

La PPSK non richiede nuovo hardware. I costi si concentrano su quattro aspetti:

• Tempo di progettazione. Creazione dell'inventario, definizione dei segmenti e scrittura delle regole del firewall.
• Modifiche agli switch. Configurazione dei trunk per le VLAN di segmento su ogni AP, operazione che di solito avviene tramite invio di template.
• Visite in negozio per i dispositivi non gestiti. Stampanti e telecamere prive di MDM richiedono una modifica locale.
• Un servizio chiavi per il MAC binding. Su Meraki, ciò significa un servizio RADIUS come Purple Access. Verificate i livelli di licenza Meraki e Mist con il vostro rivenditore.

Il ritorno sull'investimento è facilmente calcolabile. Nella catena di moda sopra citata, ruotare una chiave condivisa significa intervenire su 3.000 dispositivi. Ipotizzando cinque minuti per dispositivo, una singola rotazione richiede 250 ore di lavoro tra personale di negozio e IT. Con la PPSK, lo stesso evento richiede la modifica di una sola chiave. Il vantaggio principale è il contenimento dei rischi: uno scanner smarrito espone il segmento di un singolo dispositivo, non l'intera rete dei pagamenti.

Purple opera in oltre 80.000 sedi attive e ha gestito 440 milioni di accessi nel 2024 (dati interni Purple). Purple è certificata ISO 27001. Il marketing per gli ospiti sulla rete aperta è gestito in Engage. Il filtraggio DNS per qualsiasi segmento è affidato a Shield, un componente aggiuntivo separato. Per le reti aperte e sicure, consultate le nostre guide ad Access.

Domande frequenti

Abbiamo bisogno di nuovi access point per utilizzare la PPSK nei nostri negozi?

No. PPSK funziona sugli access point già in tuo possesso. Gli access point Cisco Meraki MR lo supportano come Identity PSK, mentre gli access point Juniper Mist lo supportano come Multi PSK. Purple Access è indipendente dall'hardware e si sovrappone a Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme e Fortinet come overlay cloud. Si modificano le impostazioni SSID, i trunk VLAN e le policy, non l'hardware.

PPSK soddisferà il nostro valutatore PCI-DSS?

PPSK fornisce le prove per la conformità PCI-DSS, ma non garantisce il superamento automatico. Le chiavi per singolo dispositivo supportano il requisito 2.3.2, che richiede di modificare le chiavi wireless quando una persona che le conosce lascia l'azienda o quando una chiave viene compromessa. Lo spostamento dei registratori di cassa sulla propria VLAN supporta il requisito 1 e può ridurre l'ambito dei sistemi soggetti a verifica. Il Qualified Security Assessor stabilisce cosa è valido, quindi è opportuno esportare il registro delle chiavi, le policy e i risultati dei test da sottoporgli.

I dispositivi del punto vendita dovrebbero utilizzare PPSK o certificati 802.1X?

Utilizza i certificati ovunque un dispositivo sia in grado di registrarne e rinnovarne uno, e PPSK per tutto il resto. L'IEEE 802.1X con EAP-TLS rimane lo standard predefinito per i laptop e i telefoni del personale gestiti tramite MDM. La maggior parte dei registratori di cassa, delle stampanti, dei lettori di digital signage e delle telecamere non può registrare certificati su larga scala e molti supportano solo WPA2-Personal. PPSK offre a tali dispositivi un'identità per singolo dispositivo, VLAN e revoca senza dover modificare il dispositivo stesso.

È possibile rimuovere i dispositivi da una password aziendale condivisa senza visitare ogni singolo punto vendita?

Sì, per i dispositivi gestiti tramite MDM. È sufficiente distribuire il nuovo SSID del dispositivo, la sua chiave per singolo dispositivo e un'impostazione MAC fisso come un unico profilo. Successivamente, occorre verificare che ciascun dispositivo si colleghi alla VLAN corretta. I dispositivi senza MDM, come molte stampanti e telecamere, richiedono una modifica locale o l'uso dello strumento di configurazione del fornitore. È consigliabile pianificare tali interventi durante le visite già previste nei punti vendita e mantenere attivo il vecchio SSID fino al trasferimento dell'ultimo dispositivo.

Cosa succede se uno scanner casualizza il proprio indirizzo MAC?

Una chiave associata al MAC lo rifiuterà, pertanto è necessario disattivare la casualizzazione per l'SSID del dispositivo. Android 10 e versioni successive utilizzano per impostazione predefinita un MAC casuale per ciascuna rete, e la maggior parte degli scanner rugged esegue Android. Imposta il profilo WiFi affinché utilizzi il MAC del dispositivo tramite l'MDM. La casualizzazione protegge la privacy delle persone sulle reti pubbliche, ma non offre alcun vantaggio per un registratore di cassa o uno scanner gestito che si connette alla propria rete aziendale.

Purple Access copre anche il WiFi per i clienti e il filtraggio dei contenuti?

Sì, su reti separate gestite da un'unica piattaforma. I clienti accedono alla rete aperta tramite un captive portal, con le opzioni di opt-in di marketing e scelta consapevole gestite in Engage. Il personale accede alla rete sicura tramite certificati o autenticazione con Microsoft Entra ID, Okta o Google Workspace. Il filtraggio DNS è gestito da Shield, un modulo aggiuntivo separato. I dispositivi rimangono su xPSK, garantendo che un registratore di cassa non condivida mai la rete con il telefono di un cliente.

Quanto impegno richiede l'implementazione di PPSK su una rete di punti vendita?

La maggior parte del lavoro si concentra prima della creazione della prima chiave. La mappatura dell'inventario dei dispositivi tramite indirizzi MAC richiede più tempo rispetto alle configurazioni sulla console. Lo stesso vale per la definizione dei segmenti con i responsabili dei pagamenti e dei sistemi CCTV, oltre al trunking delle VLAN verso ogni punto di accesso. Una volta superati tutti i test nel negozio pilota, i punti vendita successivi riutilizzeranno le medesime politiche e il medesimo modello di chiavi. I dispositivi gestiti tramite MDM vengono aggiornati da remoto, mentre le stampanti e le telecamere non gestite determineranno il ritmo di ciascuna fase di rilascio.