零售门店设备的 PPSK：针对 Cisco Meraki 与 Juniper Mist 上收银机、扫描仪和 CCTV 的部署清单

私有预共享密钥（PPSK）让单个 SSID 上的每台收银机、扫描枪、打印机和显示屏都拥有专属于自己的 WiFi 密钥。每个密钥都映射到一个 VLAN（虚拟局域网）、策略和带宽上限，从而实现收银机与电子标牌及监控摄像头的隔离。将密钥与 MAC 地址绑定，丢失某台设备时只需撤销其对应密钥即可。Cisco Meraki 将此技术称为 Identity PSK，Juniper Mist 则称之为 Multi PSK。

PPSK 究竟能为零售门店设备带来什么？

大多数零售门店的设备 WiFi 网络都是无意间搭建起来的。扫描枪连接了员工 SSID；数字标牌播放器连接了安装人员当时能看到的任何网络；无线摄像头最终连上了访客网络。所有设备共享同一个自门店开业以来就从未更改过的密码。

PPSK 无需设备做出任何改变即可解决这一问题。设备端看到的依然是同一个 SSID，输入的也依然是 WPA2-Personal 密码。真正的改变发生在网络侧。每台设备都会分配到一个不同的密码。无线接入点（AP）会在本地或通过查询 RADIUS 服务器，将每个密码与特定身份进行匹配。随后，AP 会应用附加在该身份上的 VLAN、防火墙规则和带宽限制。RADIUS 是无线接入点用于向中央服务器查询设备身份及其访问权限的协议。

这在门店管理中会带来三个关键成效：

• 基于身份的隔离。 连接到同一个 SSID 的收银机和数字标牌播放器会被划分到不同的 VLAN，并应用不同的防火墙规则。
• 风险控制。 在 IEEE 802.11i 标准下，每台设备都会根据自身的密码生成会话密钥。如果使用共享密码，任何持有该密码并捕获握手包的人都可以推导出其他设备的会话密钥。而在 PPSK 机制下，泄露的数字标牌密钥无法解密收银机的网络流量。
• 单点撤销。 删除一个密钥，仅有一台设备失去接入权限，门店内的其他任何设备均不受影响。

PPSK 在三大网络中的定位

Purple Access 在同一个平台上运行三大网络，并通过身份识别来设定各自的 VLAN。开放网络通过 Captive Portal 为顾客提供服务，具体请参阅我们的 Captive Portal 指南。安全网络则通过 IEEE 802.1X 和 EAP-TLS 为员工提供服务。802.1X 是设备接入前进行身份验证的标准。EAP-TLS 是在设备上使用证书的验证方法。员工也可以使用 Microsoft Entra ID、Okta 或 Google Workspace 进行登录，详见 Okta WiFi 身份验证：配置步骤、选项与修复。

证书仍然是人们的默认选择。xPSK 网络覆盖了无法存放证书的所有设备：收银机、手持扫描仪、收据打印机、标识播放器和无线 CCTV。我们对公寓楼的居民使用相同的模式，具体说明请参阅 Multifamily WiFi: how isolation, xPSK and billing work。有关完整的安全模型，请参阅我们的 WiFi security 指南。

PPSK 与替代方案的比较

方法	设备持有的内容	吊销单个设备	按设备划分 VLAN 和策略	额外基础设施	适用场景
共享 PSK	所有设备共享同一个密码	重新配置 SSID 上的每个设备	否，每个 SSID 一个 VLAN	无	不涉及支付的任何设备
PPSK (Meraki Identity PSK, Mist Multi PSK)	其专属密码，可选绑定到其 MAC	删除单个密钥	是，按密钥划分	Meraki: 用于 MAC 绑定的 RADIUS。Mist: 使用 Cloud PSK 时无需额外设施	收银机、扫描仪、打印机、标识、CCTV
包含 EAP-TLS 的 802.1X	客户端证书	吊销单个证书	是，按身份划分	RADIUS 服务器和公钥基础设施 (PKI)	MDM 管理下的员工笔记本电脑和手机
MAC 认证绕过	无：MAC 地址即为身份	删除单个 MAC 地址	是，按 MAC 地址划分	RADIUS 服务器	不支持其他任何方式的有线设备

MDM 指移动设备管理，即向公司拥有的手机、扫描仪和笔记本电脑推送设置的系统。

在门店部署 PPSK 之前需要准备什么？

大部分工作发生在创建单个密钥之前。请先落实以下事项：

• 每家门店的设备清单。 记录设备类型、品牌、型号、MAC 地址、MAC 是否固定、支持的安全模式和无线频段。
• 分段计划。 与负责支付、CCTV 和标识合同的任何人就每个设备类型分配一个 VLAN 达成一致。
• 到每个接入点的 VLAN Trunking。 每个 AP 上行端口必须传输每个分段 VLAN，否则设备关联后将无法获取 IP 地址。
• 每个分段的防火墙规则。 在配置任何内容之前，写明每个分段可以访问的内容。
• 控制台访问权限。 您需要 Meraki Dashboard 或 Juniper Mist 门户中的组织级管理员权限。
• 关于密钥存放位置的决策。 密钥可以存放在 SSID 本身、RADIUS 服务器或云密钥服务中。下表将您的资产映射到一个选择。
• Android 扫描仪的 MDM 控制。 您将需要它来按网络固定 MAC 地址并远程推送密钥。
• 密钥登记册的负责人。 设备也和员工一样有入职、调动和离职。必须有人记录发出的每个密钥和吊销的每个密钥。

您的资产	密钥应存放的位置	MAC 绑定	原因
仅限 Cisco Meraki，每个设备类型一个密钥	不带 RADIUS 的 Identity PSK，密钥存储在 SSID 上	不可用	启动最快，但泄露的密钥适用于任何设备
Cisco Meraki，每个设备一个密钥	带有 RADIUS 的 Identity PSK，指向云 RADIUS 服务	是，通过 MAC 地址查找	每个密钥仅适用于颁发给的特定设备
仅限 Juniper Mist	Mist Cloud PSK	是，使用一次性密钥	原生支持 Mist 云，支持按密钥分配 VLAN、角色和到期时间
混合环境：Meraki 加上 HPE Aruba、Ruckus、Mist 或 Ubiquiti UniFi	Purple Access xPSK 作为云 RADIUS	是	一个密钥可注册到所有厂商，无需拆除替换设备

如何在 Cisco Meraki 和 Juniper Mist 上配置 PPSK？

第 1 步：设计密钥到网段的映射表

在操作任何控制台之前先设计好网段。该映射表可将支付终端的 WiFi 安全性与无需访问支付系统的其他设备隔离开来。

设备类别	网段	可访问范围	带宽策略	密钥作用域
支付终端和收银机	支付区	仅限支付处理方和收银服务器	不限速，最高优先级	每个设备一个，绑定 MAC
手持扫描枪	门店运营区	库存、订货和手持设备管理系统	单设备限速	每个设备一个，绑定 MAC
小票与标签打印机	门店运营区	收银和打印服务器	较低的单设备上限	每个设备一个，绑定 MAC
电子标牌播放器	电子标牌区	内容管理系统和更新服务器	单设备限速	每个设备一个，绑定 MAC
无线监控摄像头	监控区	仅限网络视频录像机	按摄像头码率保留预留带宽	每个设备一个，绑定 MAC

保持网段数量精简。对大多数门店资产来说，每家门店五个网段就足够了，而且每个额外的 VLAN 都必须 Trunk 汇聚转发到每个 AP。

第 2 步：Cisco Meraki 和 Identity PSK

Meraki 通过组策略应用按密钥划分的策略，因此请先创建组策略。在 Meraki Dashboard 中，为每个网段创建一个组策略。每个策略设置该网段的 VLAN 标签、带宽限制以及第 3 层和第 7 层防火墙规则。

接下来，打开设备 SSID 的访问控制设置。Meraki 提供两种 Identity PSK 模式：

• 无 RADIUS 的 Identity PSK。 您直接在 SSID 上输入密钥，并将每个密钥映射到组策略。由于无法使用 MAC 绑定，因此获取密钥的任何设备都会获得该密钥对应的策略。
• 带有 RADIUS 的 Identity PSK。 接入点会将设备 MAC 地址发送到您的 RADIUS 服务器。服务器将返回该 MAC 地址对应的密码和组策略。密钥仅适用于为其颁发的特定设备。

对于收银机和支付网段上的任何设备，请使用 RADIUS 模式。Cisco 的文档页面 "IPSK without RADIUS" 和 "IPSK with RADIUS Authentication" 提供了每种模式的准确步骤。

第 3 步：Juniper Mist 和 Multi PSK

在 Juniper Mist 门户中，将您的设备 WLAN 设置为使用多个密码。Mist 为您提供三种密钥来源：本地存储在 WLAN 上的密钥、组织级别保留的 Cloud PSK，或由 RADIUS 服务器返回的密钥。

对于门店资产，Cloud PSK 是原生选择。每个 Cloud PSK 都带有自己的 VLAN、角色和到期日期。将门店设备设置为单次使用，即可将密钥与第一个加入的 MAC 地址绑定。然后利用 WxLAN 策略中每个密钥的角色来控制该网络切片可以访问的内容。应用速率限制以封顶数字标识和扫描枪的带宽。Juniper 的 Multi PSK 文档对 WLAN 设置和 Cloud PSK 字段进行了全面说明。

第 4 步：将 Purple Access 作为跨厂商的统一密钥登记库

大多数零售资产在经过收购和改造后，都会运行多个硬件厂商的设备。Purple Access 将 xPSK 网络作为云端 RADIUS 运行，因此一个密钥登记库即可服务于每家门店。Meraki SSID 将带有 RADIUS 的 Identity PSK 指向 Purple。Mist WLAN 使用 RADIUS 作为密钥源。Purple 会为每个 MAC 地址返回单设备密钥、VLAN 和策略。

相同的模式可以运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。您可以保留现有的 AP 和交换机。适合您厂商的 Purple 支持文章中列出了确切的 RADIUS 设置。

门店部署清单

1. 选择一个包含您运行的每个设备类别的试点门店。
2. 导出该门店的设备资产清单，并包含每个设备经过验证的 MAC 地址。
3. 在切换日之前，将每个切片 VLAN 中继到每个 AP 上行链路端口。
4. 创建切片策略：Meraki 上的组策略，Mist 上的角色和 WxLAN 策略。
5. 为每个设备创建一个密钥并记录在密钥登记库中。
6. 通过 MDM 将设备 SSID 的固定 MAC 设置推送至 Android 扫描枪。
7. 在广播现有员工 SSID 的同时广播设备 SSID。
8. 按设备类别分批迁移：先迁移数字标识，然后是打印机和扫描枪，非营业时间再迁移收银机。
9. 在迁移下一个类别之前，运行下一节中的每一项测试。
10. 最后一次更改旧的共享员工密码，确保没有设备可以退回到该密码。
11. 编写吊销操作指南：设备丢失、密钥吊销、使用新密钥发放替代设备。
12. 复用试点策略分批推广到各门店，并保留测试结果作为凭证。

如何检查每个门店中的 PPSK 是否正常工作？

测试每个设备类别，而不仅仅是一个设备。扫描枪测试通过并不代表不同 VLAN 上的打印机也没有问题。

• 正确的切片。 检查 Meraki Dashboard 或 Mist 客户端洞察中的客户端列表。每个设备都应显示预期的 VLAN 以及来自该切片子网的 IP 地址。
• 隔离。 从数字标识切片上的测试设备尝试访问收银机服务器和视频录像机。两次尝试都应该失败。
• MAC 绑定。 在测试手机上输入扫描枪的密钥。手机应该被拒绝。
• 吊销。 吊销测试密钥并确认设备无法重新加入。如果现有会话仍然存在，请从控制台断开该客户端。门店中的所有其他设备应保持连接。
• 带宽。 从标牌播放器运行吞吐量测试，确认上限保持生效。我们的 带宽使用量测量：方法、KPI 与设置 指南涵盖了该方法。
• 漫游。 携带扫描仪从库房走到卖场的远端。扫描应用应保持连接状态。

保留这些输出。您的密钥登记表、分段策略、吊销日志和隔离测试结果可为 PCI-DSS v4.0 提供证据。要求 1 涵盖网段之间的网络安全控制。要求 2.3 涵盖无线环境，包括更改默认密钥。要求 11.2.1 下的伪造 AP 检查仍是一项独立任务。

PPSK 常见故障及解决方法

症状	可能的原因	解决方法
设备关联但未获取到 IP 地址	网段 VLAN 未干道（trunk）传输到 AP 的交换机端口	在每个 AP 上行链路端口上标记每个网段 VLAN
OS 更新后扫描仪被拒绝	开启了 MAC 随机化；Android 10 及更高版本默认按网络随机化	通过 MDM 将设备 SSID 配置文件设置为使用设备实际 MAC
一个密钥可在两台设备上使用	密钥未绑定到 MAC 地址（不带 RADIUS 的 Meraki、Mist 多用密钥）	迁移至带 RADIUS 的 Identity PSK 或 Mist 单用密钥
较旧的打印机无法加入	设备仅支持 2.4 GHz 和 WPA2-Personal	在设备 SSID 上保持启用 2.4 GHz 和 WPA2-Personal
扫描仪在货架通道间掉线	802.11r 快速漫游与旧版客户端不兼容	在禁用快速过渡的情况下对设备 SSID 进行测试
标牌内容推送期间收银机变慢	标牌策略没有带宽上限	对标牌网段应用单设备上限
密钥删除后遗失的设备仍在线	现有会话持续到重新认证为止	吊销后在控制台中断开客户端连接
存在两个值得深入探讨的问题。

第一个是密钥变成了第二个共享密码。技术人员将扫描仪密钥写在贴纸上，结果六台设备都在使用它。MAC 绑定可以阻止这种情况。如果没有绑定，按设备分配的密钥在形式上只是按设备分配而已。

第二个是 WPA3。许多按设备分配密钥的实现都依赖于 WPA2-Personal，而许多收银机和打印机并不支持更新的协议。在围绕其进行设计之前，请查看 Cisco Meraki 和 Juniper Mist 文档，确认您的固件对 WPA3 的支持情况。

两个实际场景示例：时装连锁店和体育场

零售业：使用 Cisco Meraki 的 150 家门店时装连锁店

现状。 假设有一家包含 150 家门店的连锁店，每家门店有六台收银机、八台扫描仪、两台打印机和四台标牌播放器。所有 20 台设备共享员工 SSID 和一个密码。这意味着整个连锁企业中有 3,000 台设备使用同一个密钥。PCI-DSS 要求 2.3.2 规定，当知情人员离职时，必须更改无线密钥。每位门店经理都知道这个密码，因此每位经理离职都应该触发 3,000 台设备的密钥重置。但在实践中，这从未发生过。

具体实施。 该连锁店使用带 RADIUS 的 Identity PSK 添加了设备 SSID，由 Purple Access 统一管理密钥注册。四项组策略分别隔离了支付、门店运营、标牌和打印机。MDM 会将密钥推送至扫描仪，因此门店员工完全接触不到设备密钥。

效果。 扫描仪一旦失窃，只需撤销这一个密钥，无需像过去那样影响该门店的其他 20 台设备。经理离职不再引发密钥轮换，因为经理本身从不掌握设备密钥。支付网段从每家门店扁平网络上的 20 台设备缩减至 6 台收银机。PCI SSC 指南指出，网络隔离可以减少合规审查范围内的系统数量，具体取决于您的评估人员验证结果。

案例分析：采用 Juniper Mist 的体育场馆

现状。 假设某个体育场馆拥有 40 台固定售货收银机和 120 块标牌屏幕。某票务承包商每次活动都会携带 25 台手持扫描仪。以往，该承包商一直使用员工 WiFi 密码，且该密码从未更改过。

具体实施。 该体育场馆迁移至 Mist Cloud PSK。收银机在支付 VLAN 上获取一次性密钥。标牌密钥分配了带有速率限制的角色。每次活动，承包商的 25 台扫描仪都会在专属 VLAN 上获取一次性密钥，过期时间设置为活动当天结束时。

效果。 每次活动结束后，所有 25 个承包商密钥都会自动失效，无需人工撤销。承包商设备持有的密钥绝不可能访问收银网段。标牌限速保障了中场休息时内容推送不会拖慢售货支付速度。

PPSK 的成本如何？能带来什么收益？

PPSK 不需要购买新硬件。您的成本主要集中在四个方面：

• 设计时间。 梳理资产清单、确定隔离网段并编写防火墙规则。
• 交换机变更。 将网段 VLAN Trunk 到每个 AP，这通常通过模板推送即可完成。
• 非托管设备的到店调整。 没有 MDM 的打印机和摄像头需要进行现场设置调整。
• 用于 MAC 绑定的密钥服务。 在 Meraki 上，这意味着需要 RADIUS 服务（如 Purple Access）。请向您的经销商核对 Meraki 和 Mist 许可证级别。

收益很容易通过计算得出。在上述时尚连锁店的案例中，轮换共享密钥意味着需要调整 3,000 台设备。假设每台设备耗时 5 分钟，一次轮换就会消耗 250 个小时的门店和 IT 时间。使用 PPSK 后，同样的变更只需要修改一个密钥。最大的收益在于风险控制：丢失一台扫描仪只会暴露单个设备所在的网段，而不会危及支付网络。

Purple 部署在 80,000 多个实时场地，并在 2024 年处理了 4.4 亿次登录（数据来自 Purple 内部统计）。Purple 拥有 ISO 27001 认证。开放网络上的访客营销归属于 Engage。针对任何网段的 DNS 过滤则是 Shield（独立附加组件）。如需了解开放与安全网络，请浏览我们的 Access 指南。

常见问题解答

在门店运行 PPSK 是否需要更换新的无线接入点？

不需要。PPSK 运行在您现有的接入点上。Cisco Meraki MR 接入点将其作为 Identity PSK 支持，Juniper Mist 接入点将其作为 Multi PSK 支持。Purple Access 独立于硬件，可以作为云端覆盖层叠加在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。您只需要更改 SSID 设置、VLAN 干道和策略，而无需更换硬件。

PPSK 是否符合我们 PCI DSS 评估员的要求？

PPSK 为您提供 PCI DSS 的合规凭据，但它本身并不等同于自动通过评估。单设备密钥符合要求 2.3.2，该要求规定，当掌握密钥的人员离职或密钥泄露时，必须更换无线密钥。将收银机迁移到专属 VLAN 符合要求 1，并可以缩小评估范围。您的合格安全性评估员 (QSA) 将决定具体的合规判定标准，因此请为其导出您的密钥登记簿、策略和测试结果。

门店设备应该使用 PPSK 还是 802.1X 证书？

对于所有能够注册和更新证书的设备，建议使用证书；对于其他所有设备，请使用 PPSK。在 MDM 管理下的员工笔记本电脑和手机，基于 EAP-TLS 的 IEEE 802.1X 仍然是默认选择。大多数收银机、打印机、电子标牌播放器和摄像头都无法实现大规模证书注册，且许多设备仅支持 WPA2-Personal。PPSK 可在不更改设备本身的情况下，为这些设备提供基于单个设备的身份识别、VLAN 分隔离与撤销功能。

我们能否在不巡检每家门店的情况下，将设备从共享的员工密码中迁移出来？

可以，前提是这些设备通过 MDM 进行管理。您可以将新的设备 SSID、其专属密钥和固定 MAC 地址设置作为一个配置文件统一推送。然后确认每台设备都连接到了正确的 VLAN。对于没有 MDM 的设备（例如许多打印机和摄像头），则需要进行本地更改或使用厂商的配置工具。您可以将这些调整计划在现有的门店巡检日程中，并保留旧的 SSID 直至最后一台设备完成迁移。

如果扫描枪随机化其 MAC 地址会怎样？

绑定 MAC 的密钥将拒绝其连接，因此需要为该设备 SSID 禁用随机化。Android 10 及更高版本默认对每个网络使用随机 MAC，而大多数加固型扫描枪都运行 Android 系统。请通过您的 MDM 将 WiFi 配置文件设置为使用设备真实 MAC 地址。随机化旨在保护用户在公共网络上的隐私，但对于接入您自家网络的托管收银机或扫描枪来说没有任何价值。

Purple Access 是否也包含顾客 WiFi 和内容过滤功能？

是的，这些功能可以在同一个平台上管理的独立网络中运行。顾客通过 Captive Portal 接入开放网络，营销和自主选择的订阅同意事项由 Engage 处理。员工则使用证书或者 Microsoft Entra ID、Okta 或 Google Workspace 登录信息接入安全网络。DNS 过滤属于 Shield，是一个独立的附加组件。设备始终保持在 xPSK 网络上，因此收银机绝不会与顾客的手机处于同一个网络中。

在整个门店资产中推广 PPSK 需要投入多少精力？

大部分工作量都集中在生成第一个密钥之前。建立包含 MAC 地址的设备清单比控制台操作更耗费时间。与支付团队和 CCTV 负责人协商网络划分，以及将 VLAN 主干线路（trunking）连接到每个无线接入点同样需要时间。一旦试点门店通过了所有测试，后续门店就可以复用相同的策略和密钥模板。受 MDM 管理的设备可以实现远程迁移，而未受管理的打印机和摄像头则决定了每批次部署的推进节奏。