WiFi per concessionari e tenant nei centri commerciali: un'architettura xPSK con una chiave e una VLAN per tenant

Gestisci un unico SSID xPSK per ogni concessione e unità di tenant. Ogni tenant riceve la propria chiave, che assegna cassa, tablet e dispositivi di back-office alla propria VLAN dedicata. I clienti rimangono sulla rete Captive Portal aperta, mentre i sistemi del centro commerciale utilizzano una rete sicura 802.1X: tre SSID in totale, con chiavi revocate il giorno stesso in cui scade il contratto di locazione.

Che cosa fa in concreto una rete con chiave e VLAN dedicate per tenant?

Un centro commerciale possiede gli Access Point, ma decine di attività commerciali distinte dipendono da essi. Ogni concessione, kiosk e unità tenant gestisce casse, tablet per la gestione delle scorte, PC di back-office e spesso sistemi di digital signage. Tali dispositivi non devono comunicare tra loro, con i clienti o con i sistemi dell'edificio del centro commerciale.

xPSK è il termine ombrello per indicare le reti in cui ogni tenant o dispositivo possiede la propria chiave precondivisa su un singolo SSID. Ogni fornitore lo denomina in modo diverso:

• Cisco Meraki: Identity PSK (iPSK).
• HPE Aruba: MPSK.
• Ruckus: DPSK.
• Juniper Mist: Multi PSK.
• Ubiquiti UniFi: Private Pre-Shared Keys (PPSK).

Quando un dispositivo si connette, la chiave fornita identifica il tenant. Successivamente, il server RADIUS restituisce la VLAN corrispondente a quel tenant. RADIUS è il protocollo utilizzato dagli Access Point per verificare con un server di autenticazione chi si sta connettendo. Una VLAN (LAN virtuale, definita nello standard IEEE 802.1Q) è una rete di livello 2 separata che opera sugli stessi switch e sui medesimi cablaggi.

Il risultato è un unico nome di rete trasmesso via radio e molteplici reti isolate via cavo. È l'identità a definire la VLAN, non l'SSID.

Perché un SSID per tenant non è una soluzione scalabile

Ogni SSID trasmette i propri frame di beacon su ciascuna radio. L'intervallo predefinito dei beacon secondo lo standard IEEE 802.11 è di 100 unità di tempo, pari a 102,4 ms, il che significa che ogni SSID invia un beacon quasi 10 volte al secondo. I beacon vengono trasmessi alla velocità dati base più bassa, risultando molto onerosi in termini di tempo d'antenna.

Ogni SSID aggiuntivo sottrae quindi tempo d'antenna che potrebbe essere utilizzato dal traffico dei tenant e dei clienti. Con 20 SSID tenant, ogni Access Point nell'area invia 20 serie di beacon. Inoltre, i produttori limitano il numero di SSID che una singola radio può trasmettere. Un centro commerciale con 60 unità raggiunge questo limite ben prima di stipulare l'ultimo contratto di locazione.

Anche i costi operativi aumentano. Ogni SSID possiede una propria passphrase da ruotare e ogni modifica disconnette contemporaneamente tutti i dispositivi di quel tenant.

Di quanti SSID ha bisogno un centro commerciale?

Tre è il numero ottimale per la maggior parte dei centri commerciali:

1. Rete guest aperta per i clienti. Questa rete utilizza un Captive Portal: la pagina di accesso visualizzata dal dispositivo prima di accedere a Internet. Consulta la guida sui Captive Portal per le opzioni di configurazione. Il marketing per i clienti su questa rete fa parte del piano Purple Engage, mentre il filtraggio DNS è gestito da Purple Shield.
2. Rete xPSK per gli affittuari. Ogni concessione, kiosk e unità in affitto si connette qui. Anche i dispositivi headless proprietari del centro, come TVCC, controller per la gestione dell'edificio e lettori di digital signage, si collegano a questa rete, ciascuno con la propria chiave e VLAN.
3. Rete sicura per lo staff del centro. Questa rete utilizza l'802.1X, lo standard IEEE per l'autenticazione di rete basata su porte. Può essere abbinata a EAP-TLS, che autentica ogni dispositivo con un certificato. Le identità provengono da Microsoft Entra ID, Okta o Google Workspace. EAP TLS vs PEAP: Security, Certs and Fit e Okta WiFi Authentication: Setup Steps, Options and Fixes trattano dettagliatamente questo aspetto.

Approccio	SSID per 60 affittuari	Isolamento degli affittuari	Rimozione di un singolo affittuario	Overhead del beacon	A chi si adatta
SSID per affittuario	60 SSID di affittuari, oltre i limiti per radio	Una VLAN per SSID	Eliminare l'SSID e riconfigurare le radio	Aumenta con ogni SSID	Centri con meno di cinque affittuari
Una chiave condivisa per tutti gli affittuari	1	Nessuno: una chiave, una VLAN	Modificare la chiave per tutti gli affittuari	Un SSID	Nessun centro in cui gli affittuari utilizzano casse
xPSK: una chiave e una VLAN per affittuario	1	Una VLAN per chiave	Revocare una chiave; le altre rimangono invariate	Un SSID	Concessioni, kiosk e unità con dispositivi headless
802.1X per dispositivo	1	Una VLAN per identità	Revocare il certificato o l'account	Un SSID	Affittuari con dispositivi gestiti che eseguono un supplicant 802.1X

L'802.1X è il modello più solido laddove i dispositivi dell'affittuario lo supportino. La maggior parte dei complessi commerciali combina casse, terminali per carte di credito, tablet e lettori di digital signage. Molti di questi non possono eseguire un supplicant 802.1X, quindi xPSK è la soluzione ideale per gestirli.

Cosa serve prima di iniziare?

Access point e una console che supportino PSK a chiavi multiple

Non è necessario alcun nuovo hardware. Purple è un overlay cloud indipendente dall'hardware con RADIUS cloud, che si sovrappone agli access point già in tuo possesso. Prima di iniziare, verifica che il tuo modello e il firmware supportino la PSK a chiavi multiple con una VLAN assegnata tramite RADIUS.

Fornitore	Nome della funzionalità	Console
Cisco Meraki	Identity PSK (iPSK) con RADIUS	Dashboard Meraki
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone o RUCKUS One
Juniper Mist	Multi PSK	Dashboard cloud Juniper Mist
Ubiquiti UniFi	Private Pre-Shared Keys	Applicazione UniFi Network

Controlla un altro punto nella documentazione del tuo fornitore: il supporto WPA3. Molte implementazioni xPSK funzionano su WPA2-PSK con AES. Il supporto WPA3-SAE per chiavi multiple su un singolo SSID varia a seconda del fornitore e del firmware. Per i dettagli di configurazione di Meraki e Mist, consulta PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist.

Una VLAN e un piano IP

L'IEEE 802.1Q utilizza un ID VLAN a 12 bit, mettendo a disposizione 4.094 VLAN utilizzabili. Un numero sufficiente per coprire comodamente qualsiasi centro. Pianifica quanto segue prima che la prima chiave venga distribuita:

• Un blocco VLAN riservato per i tenant. Mantenuto separato dalla gestione del centro, dalla TVCC e dalle VLAN guest.
• Una subnet e uno scope DHCP per ciascuna VLAN tenant. Dimensiona ciascuna in base ai dispositivi dichiarati dal tenant, più un margine per eventuali aggiunte stagionali.
• Trunk verso ogni porta switch degli access point. Ogni VLAN tenant deve raggiungere ciascuna porta a cui potrebbe collegarsi un dispositivo tenant. In pratica, ciò significa ogni porta del centro.
• Regole firewall sul gateway. Nega il traffico da tenant a tenant, nega il traffico da tenant a centro e consenti l'accesso a Internet. Consenti il gestore dei pagamenti del tenant e la VPN della sede centrale laddove necessari.

Una decisione su chi detiene le chiavi

L'IT del centro dovrebbe rilasciare ogni chiave e ciascun tenant dovrebbe indicare un unico referente per riceverla. Registra quel referente insieme alla chiave. Senza questa registrazione, non potrai sapere chi era a conoscenza di una chiave quando un tenant segnala che è stata compromessa.

Successivamente, scegli tra una chiave per tenant e una chiave per dispositivo. Una chiave per tenant è più rapida da amministrare. Una chiave per dispositivo per casse e terminali di pagamento garantisce maggiore sicurezza. Se un tablet per l'inventario smarrisce la connessione, puoi revocare la sua chiave e le casse rimangono online.

Il requisito 2.3.2 di PCI-DSS v4.0 prevede che le chiavi wireless collegate all'ambiente dei dati dei titolari di carta vengano modificate quando una persona a conoscenza della chiave lascia l'azienda. Le chiavi per tenant e per dispositivo riducono tale modifica al gruppo più piccolo possibile.

Come si configurano una chiave e una VLAN per tenant?

Configura l'SSID xPSK una sola volta

Crea l'SSID tenant nella console del tuo vendor con l'autenticazione RADIUS puntata su Purple. Utilizza WPA2-PSK con AES come base di partenza e WPA3 laddove il tuo vendor supporti il PSK con chiavi multiple. Trasmetti l'SSID in broadcast: nascondere il nome di una rete non aggiunge alcuna sicurezza e fa sì che i dispositivi lo cerchino continuamente ovunque.

La documentazione di configurazione di Purple per il tuo vendor fornisce le impostazioni esatte. Segui quelle indicazioni anziché copiare i valori da un altro sito.

Mappa ciascuna chiave tenant sulla relativa VLAN

In Purple, ciascun record tenant contiene una o più chiavi e un ID VLAN. Quando un dispositivo si autentica, Purple restituisce la VLAN utilizzando gli attributi di tunnel RADIUS standard descritti in RFC 3580. Questi sono Tunnel-Type, Tunnel-Medium-Type e Tunnel-Private-Group-ID. L'access point inserisce quindi il dispositivo su tale VLAN.

Imposta i limiti di banda per tenant

Purple assegna la VLAN. Il limite di banda si applica alla policy che la tua console assegna a quella VLAN, gruppo o ruolo. Le group policy di Cisco Meraki e i ruoli utente di HPE Aruba includono entrambi limiti di velocità e gli altri vendor offrono equivalenti analoghi.

Definisci un set ridotto di livelli, come chiosco, unità standard e anchor store. Assegna ciascun tenant a un livello al momento dell'onboarding. I livelli impediscono che un singolo negozio che trasmette video promozionali lasci a secco di banda le casse del negozio accanto. Ti offrono anche una leva d'azione se il contratto di locazione include termini di connettività.

Onboarding di una nuova unità

Integra l'onboarding nella checklist per l'allestimento, non nella settimana di apertura:

1. Crea il record dell'inquilino al momento della firma del contratto di locazione. Includi il numero dell'unità, il contatto designato, le date di inizio e fine locazione e il livello di larghezza di banda.
2. Assegna una VLAN dal blocco inquilini e conferma il relativo ambito DHCP.
3. Applica le regole del firewall per quella VLAN, inclusi eventuali elaboratori di pagamento o endpoint VPN dichiarati dall'inquilino.
4. Genera la chiave o le chiavi in Purple e mappale sulla VLAN.
5. Invia la chiave al contatto designato tramite un canale crittografato. Non stamparla mai nel pacchetto di locazione.
6. Esegui un test dall'unità. Connetti un dispositivo e conferma che ottenga la subnet corretta e raggiunga Internet.
7. Registra il rilascio con data, mittente, destinatario e VLAN.

Revoca l'accesso quando un inquilino se ne va

Revoca la chiave dell'inquilino alla data di fine locazione e programmala come parte della checklist di uscita. La revoca interrompe immediatamente le nuove connessioni.

I dispositivi già connessi potrebbero rimanere associati fino alla riconnessione, a seconda della piattaforma utilizzata. Se la piattaforma supporta RADIUS Change of Authorisation (CoA, definito in RFC 5176), utilizzalo per disconnetterli. In caso contrario, disconnetti i client dalla console del produttore.

Lascia inutilizzata la VLAN liberata per un periodo di quarantena prima di riassegnarla. In questo modo si evita che un dispositivo dimenticato compaia sulla rete dell'inquilino successivo. La stessa disciplina di gestione di nuovi ingressi, spostamenti e uscite che il team HR applica agli account del personale si applica ora agli inquilini.

Come verificare che la segmentazione funzioni?

Testa ogni nuovo inquilino al momento dell'onboarding e campiona l'intero complesso ogni trimestre:

• VLAN corretta: un dispositivo che utilizza la chiave dell'inquilino riceve un indirizzo nella subnet di quell'inquilino.
• Nessun accesso laterale: da un dispositivo dell'inquilino, il gateway della VLAN di un inquilino adiacente non risponde.
• Nessun accesso ai sistemi del centro: le subnet di videosorveglianza, gestione dell'edificio e personale del centro non sono raggiungibili.
• Internet funziona: l'inquilino raggiunge Internet e tutti gli endpoint di pagamento o VPN consentiti.
• La revoca funziona: una chiave revocata non riesce ad autenticarsi.

Se le casse degli inquilini gestiscono i dati delle carte di credito, il requisito 11.4.5 dello standard PCI-DSS v4.0 prevede penetration test dei controlli di segmentazione almeno una volta ogni 12 mesi. I risultati trimestrali e il test annuale costituiscono una prova per tale requisito. Ciascun inquilino rimane responsabile della propria valutazione PCI-DSS in qualità di esercente.

Cosa registrare nei log

Registra dati sufficienti per rispondere a tre domande: chi ha avuto l'accesso, quando e su quale VLAN.

• Chiave rilasciata: inquilino, ID chiave, VLAN, emittente, destinatario e data.
• Chiave revocata: inquilino, ID chiave, motivo, autore della revoca e data.
• Eventi di autenticazione: ID chiave, indirizzo MAC del dispositivo, access point, VLAN assegnata, timestamp e risultato.
• Modifiche alle regole del firewall per VLAN dell'inquilino.

Gli indirizzi MAC dei dispositivi possono essere considerati dati personali ai sensi del GDPR quando possono essere collegati a un individuo. Imposta un periodo di conservazione, documentalo ed eliminalo come programmato. Purple possiede la certificazione ISO 27001 ed è certificato per GDPR e CCPA, fornendoti prove concrete per le valutazioni dei tuoi fornitori. Per il set completo di controlli, consulta WiFi security e Guest network security: A practical Guide for 2026.

Scenari pratici

Questi due scenari rappresentano architetture di esempio, non installazioni reali. I risultati derivano direttamente dalla struttura del progetto.

Un centro commerciale con 70 unità che sostituisce gli SSID dei tenant

Situazione. Il centro trasmetteva 14 SSID: guest, personale del centro e 12 SSID creati per i primi grandi tenant. Le restanti 58 unità condividevano un'unica password tenant su una singola VLAN. La chiusura dell'attività di un tenant comportava la modifica di quella password per tutti gli altri tenant del centro.

Intervento effettuato. L'IT ha ridotto tutto a tre SSID: guest, personale del centro su 802.1X con EAP-TLS e un unico SSID tenant xPSK. Tutte le 70 unità hanno ottenuto la propria chiave e la propria VLAN, con chiavi per singolo dispositivo per i registratori di cassa. L'IT ha migrato i 12 tenant con SSID dedicato uno alla volta, rimuovendo ogni vecchio SSID una volta trasferiti i relativi dispositivi. La videosorveglianza e i sistemi di gestione dell'edificio sono stati spostati sulle proprie chiavi e VLAN all'interno dello stesso SSID tenant.

Risultato. Ciascuna radio è passata da 14 SSID a tre. I frame beacon per radio sono scesi da circa 137 al secondo a circa 29. L'uscita di un tenant non richiede più la modifica delle chiavi a 58 attività, ma soltanto la revoca di una chiave. Il traffico da tenant a tenant, in precedenza aperto sulla VLAN condivisa, è ora bloccato sul gateway e verificato con cadenza trimestrale.

Un mercato coperto comunale con commercianti del fine settimana

Situazione. Un mercato coperto gestito dal comune ospita 40 banchi permanenti e fino a 25 commercianti nel fine settimana. Tutti i commercianti utilizzavano un'unica password condivisa che non veniva modificata da anni. Gli ex commercianti potevano ancora connettersi dal parcheggio.

Intervento effettuato. Ogni banco permanente ha ottenuto la propria chiave e la propria VLAN. I commercianti del fine settimana hanno ricevuto chiavi individuali associate a una VLAN condivisa con isolamento dei client, in modo che i loro dispositivi non possano comunicare tra loro. Il responsabile di turno revoca tutte le chiavi del fine settimana nell'ambito della checklist di chiusura della domenica, e le nuove chiavi vengono distribuite con le assegnazioni dei posteggi del sabato.

Risultato. Il comune è passato da una password condivisa a lunga durata a 40 chiavi permanenti più un massimo di 25 chiavi settimanali. Nessuna chiave rimane attiva oltre la presenza del commerciante che la possiede. Il comune ha inoltre ottenuto un registro di ogni chiave rilasciata e revocata, di cui prima era sprovvisto.

Cosa può andare storto e come rimediare?

Sintomo	Causa probabile	Soluzione
Il dispositivo si connette ma finisce sulla VLAN predefinita	La risposta RADIUS non contiene gli attributi VLAN, oppure l'SSID ignora l'override della VLAN RADIUS	Conferma la mappatura tra chiave e VLAN in Purple, quindi abilita l'assegnazione della VLAN RADIUS sull'SSID
Il dispositivo si connette ma non ottiene alcun indirizzo IP	La VLAN del tenant non è configurata in trunk sulla porta dello switch di quel punto di accesso, oppure manca lo scope DHCP	Aggiungi la VLAN al trunk e verifica lo scope DHCP
Cassa o terminale datato non si connette	SSID impostato solo su WPA3 o Protected Management Frames richiesti	Usa WPA2-PSK con AES o la modalità di transizione WPA2/WPA3 per tale SSID
Tenant revocato ancora online	La sessione esistente rimane attiva finché il dispositivo non si riconnette	Invia un CoA disconnect o rimuovi il client dalla console del vendor
Un tenant può raggiungere un altro	Routing inter-VLAN consentito sullo switch core o gateway	Aggiungi regole di diniego (deny) tra le VLAN dei tenant e riprova
Dispositivi sconosciuti su una VLAN tenant	Il tenant ha condiviso la sua chiave con un vicino o un fornitore	Revoca quella chiave, emettine una nuova e informa il contatto designato

Quanto costa e quali sono i vantaggi?

I costi. Non sono necessari nuovi access point, controller o switch. Paghi l'abbonamento a Purple Access, oltre al tempo dei tecnici per il piano VLAN, il trunking e le regole del firewall. Successivamente, ogni tenant richiede un record, una VLAN e una chiave durante il processo di onboarding e una sola revoca al momento dell'uscita.

I vantaggi.

• Airtime. Un unico SSID per i tenant sostituisce la struttura a un SSID per ciascun tenant, interrompendo la crescita dell'overhead dei beacon ad ogni nuovo contratto di locazione.
• Contenimento. La compromissione o l'abbandono di una chiave impatta un singolo tenant, non l'intero centro.
• Conformità e prove. I log di emissione e revoca supportano il requisito PCI-DSS 2.3.2. I test di segmentazione supportano il requisito 11.4.5.
• Scalabilità. Purple è attivo in oltre 80.000 sedi e ha gestito 440 milioni di accessi nel 2024 (dati interni Purple). Un centro con 70 unità non comporta alcuno sforzo aggiuntivo.

Se lo staff del centro condivide ancora un'unica password, la migrazione deve essere il passaggio successivo. La guida Migrating staff WiFi from a shared password to 802.1X across a multi-site estate descrive la sequenza corretta. Ulteriori architetture di accesso sono disponibili in Access guides.

Domande frequenti

Funziona con gli access point già presenti nel nostro centro?

Sì, Purple funziona come un overlay cloud sugli access point già esistenti, senza necessità di sostituire l'hardware. Purple è indipendente dall'hardware e supporta Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks e Fortinet. Per una rete tenant xPSK, verificare che il modello e il firmware supportino il PSK multi-chiave con VLAN assegnata via RADIUS. Meraki definisce questa funzione iPSK, Aruba la chiama MPSK e Ruckus la denomina DPSK.

I tenant possono condividere gli access point senza condividere le reti?

Sì, questo è esattamente lo scopo di assegnare una chiave e una VLAN per ciascun tenant. Tutti i tenant si connettono allo stesso SSID tramite gli stessi access point. Ogni chiave inserisce i dispositivi di quel tenant nella propria VLAN dedicata. Le regole del firewall sul gateway bloccano quindi il traffico tra le VLAN dei tenant e i sistemi interni del centro. Le unità adiacenti condividono le frequenze radio e l'airtime, ma mai una rete a livello 2.

Di quanti SSID ha bisogno un centro commerciale?

Three copre la maggior parte dei centri. È necessaria una rete guest aperta con un Captive Portal per gli acquirenti e una rete xPSK per ogni tenant e per i dispositivi headless del centro. Aggiungi una rete 802.1X sicura per lo staff del centro, autenticata tramite Microsoft Entra ID, Okta o Google Workspace. Ogni SSID aggiuntivo aumenta l'overhead di beacon su ciascuna radio, quindi evita di crearne uno per ogni tenant.

Come possiamo rimuovere l'accesso WiFi di un tenant quando se ne va?

È sufficiente revocare la chiave del tenant in Purple e le nuove connessioni si interromperanno immediatamente. Inserisci la revoca nella checklist di fine locazione, con data corrispondente al termine del contratto. I dispositivi già connessi potrebbero rimanere online fino alla riconnessione successiva. Scollegali tramite RADIUS Change of Authorisation se la tua piattaforma lo supporta, oppure dalla console del vendor. Successivamente, metti in quarantena la VLAN prima di riassegnarla.

Questo renderà i registratori di cassa dei nostri tenant conformi allo standard PCI-DSS?

No, la sola progettazione della rete non può rendere conforme un esercente. Ogni tenant rimane responsabile della propria valutazione PCI-DSS. Tuttavia, una chiave e una VLAN per tenant forniscono prove per requisiti specifici. Il Requisito 2.3.2 riguarda la modifica delle chiavi wireless quando le persone che le conoscono lasciano l'azienda. Il Requisito 11.4.5 riguarda i penetration test annuali sui controlli di segmentazione. Condividi i risultati dei test di segmentazione con i tenant su richiesta.

Possiamo limitare la banda di ciascun tenant?

Sì, puoi impostare il limite nella console del vendor in base al gruppo, ruolo o VLAN a cui è associata la chiave di ciascun tenant. Le policy di gruppo di Cisco Meraki e i ruoli utente di HPE Aruba supportano entrambi i limiti di velocità, e gli altri vendor offrono funzionalità equivalenti. Definisci alcuni livelli, come chiosco, unità standard e anchor store. Assegna ciascun tenant a un livello durante l'onboarding, in modo che una singola unità non saturi la banda dei registratori di cassa vicini.

Come si migra da un SSID per tenant senza tempi di inattività?

La migrazione avviene tenant per tenant, mantenendo attive affiancate la vecchia e la nuova rete. Crea prima l'SSID xPSK, quindi sposta i dispositivi di un tenant sulla nuova chiave e VLAN. Rimuovi il vecchio SSID del tenant dopo che tutti i dispositivi sono stati trasferiti. Inizia con una piccola concessione commerciale per verificare il trunking VLAN e le regole del firewall. Quindi programma le unità più grandi al di fuori degli orari di apertura.