零售中心内的专柜与租户 WiFi：每租户配备专属密钥与 VLAN 的 xPSK 架构

为每个特许经营店和租户单位运行一个 xPSK SSID。每个租户都会获得自己的密钥，该密钥会将他们的收银机、平板电脑和后台设备分配到各自独立的 VLAN 中。购物者保留在开放的 Captive Portal 网络上，而购物中心系统则保留在安全的 802.1X 网络上：总共仅需三个 SSID，且密钥会在租约结束当天自动注销。

针对每个租户独立密钥与 VLAN 的网络究竟能实现什么功能？

零售中心拥有无线接入点，但数十个独立的商家依赖这些设施。每个特许经营店、售货亭和租户单位都在运行收银机、库存平板电脑、后台 PC 以及数字标识。这些设备绝不能相互通信，也不能与购物者或购物中心自身的建筑系统互通。

xPSK 是指在单个 SSID 上为每个租户或设备分配独立预共享密钥的网络架构统称。不同的供应商对其命名有所差异：

• Cisco Meraki: Identity PSK (iPSK).
• HPE Aruba: MPSK.
• Ruckus: DPSK.
• Juniper Mist: Multi PSK.
• Ubiquiti UniFi: Private Pre-Shared Keys (PPSK).

当设备接入时，其提供的密钥会识别租户身份。随后 RADIUS 会返回该租户的 VLAN。RADIUS 是接入点用于向认证服务器查询接入者身份的协议。VLAN（虚拟局域网，在 IEEE 802.1Q 中定义）是在相同交换机和缆线架构上运行的独立第 2 层网络。

其结果是无线空中接口上只有一个网络名称，而在有线侧则存在多个隔离的网络。由身份认证决定 VLAN，而不是靠 SSID。

为什么为每个租户设置一个 SSID 无法扩展

每个 SSID 都会在每个射频频段上广播自己的信标帧 (Beacon Frames)。IEEE 802.11 默认的信标间隔为 100 个时间单位（即 102.4 ms），因此每个 SSID 每秒几乎会发送 10 次信标。信标以最低的基本数据速率发送，这会消耗大量的空中空口时间。

因此，每增加一个 SSID，都会占用租户和购物者原本可以使用的空口时间。如果存在 20 个租户 SSID，覆盖范围内的每个接入点都会发送 20 套信标。硬件供应商还会对单个射频能够广播的 SSID 数量设定上限。拥有 60 个单元的购物中心在签完最后一份租约之前，很久就会触及这一上限。

运维成本也会随之增加。每个 SSID 都需要定期更换密码，而每次更换都会导致该租户的所有设备同时断开连接。

零售中心需要多少个 SSID？

对于大多数购物中心来说，三个是最佳数量：

1. 面向购物者的开放式访客网络。 该网络使用 Captive Portal：即设备连接到互联网之前看到的登录页面。有关设计选项，请参阅 Captive portals。该网络上的访客营销功能属于 Purple Engage 方案，而 DNS 过滤功能则属于 Shield。
2. 面向租户的 xPSK 网络。 每一个特许经营店、摊位和租户单元均连接至此。购物中心自有的无头设备（如 CCTV、楼宇管理控制器和指示牌播放器）也加入该网络，每个设备都拥有独立的密钥和 VLAN。
3. 面向购物中心员工的安全网络。 该网络采用 802.1X（基于端口的网络认证 IEEE 标准）。将其与 EAP-TLS 结合使用，后者通过证书对每台设备进行身份验证。身份信息来自 Microsoft Entra ID、Okta 或 Google Workspace。EAP TLS 与 PEAP：安全性、证书与适用性 以及 Okta WiFi 认证：设置步骤、选项与修复 涵盖了这方面的详细内容。

方案	60 个租户所需的 SSID 数量	租户隔离	移除单个租户	信标开销	适用对象
每个租户一个 SSID	60 个租户 SSID，超出单射频上限	每个 SSID 一个 VLAN	删除该 SSID 并重新配置射频	随每个 SSID 增加而上升	租户少于 5 个的购物中心
所有租户共享一个密钥	1	无：一个密钥，一个 VLAN	为所有租户更改密钥	一个 SSID	不适用于租户运行收银机的购物中心
xPSK：每个租户独立密钥和 VLAN	1	每个密钥一个 VLAN	撤销单个密钥；其他租户不受影响	一个 SSID	特许经营店、摊位以及拥有无头设备的单元
每台设备 802.1X	1	每个身份一个 VLAN	撤销证书或账号	一个 SSID	拥有运行 802.1X Supplicant 的受管设备的租户

在租户设备支持的情况下，802.1X 是更强大的模式。大多数特许经营店混合使用了收银机、刷卡机、平板电脑和指示牌播放器。其中许多设备无法运行 802.1X Supplicant，因此由 xPSK 承载这些设备。

开始之前需要准备什么？

支持多密钥 PSK 的无线接入点和控制台

您无需采购新硬件。Purple 是一个硬件无关的云端叠加层，具备云 RADIUS 功能，可以直接运行在您现有的无线接入点之上。在开始之前，请确认您的设备型号和固件支持带 RADIUS 分配 VLAN 的多密钥 PSK。

厂商	功能名称	控制台
Cisco Meraki	带 RADIUS 的 Identity PSK (iPSK)	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone 或 RUCKUS One
Juniper Mist	Multi PSK	Juniper Mist 云控制台
Ubiquiti UniFi	Private Pre-Shared Keys	UniFi Network 应用

请再核对厂商文档中的一点：WPA3 支持情况。许多 xPSK 实现均运行在带 AES 的 WPA2-PSK 上。单一 SSID 上多密钥的 WPA3-SAE 支持情况因厂商和固件而异。有关 Meraki 和 Mist 的具体构建细节，请参阅 零售门店设备的 PPSK：Cisco Meraki 和 Juniper Mist 上收银机、扫描枪和 CCTV 的部署清单。

VLAN 和 IP 地址规划

IEEE 802.1Q 使用 12 位的 VLAN ID，可提供 4,094 个可用 VLAN。这足以轻松覆盖任何购物中心。在分发第一个密钥之前，请先规划好以下内容：

• 租户专用保留 VLAN 块。 将其与购物中心的管理、CCTV 及访客 VLAN 隔离开来。
• 每个租户 VLAN 均有独立的子网和 DHCP 作用域。 根据租户申报的设备数量并留出季节性扩容空间来规划每个作用域的大小。
• 通往每个 AP 交换机端口的 Trunk 链路。 每个租户 VLAN 都必须延伸至可能连接租户设备的每个端口。在实际操作中，这意味着购物中心内的每个端口。
• 网关处的防火墙规则。 拒绝租户间流量，拒绝租户到购物中心的流量，并允许互联网访问。在租户有需要时，放行其支付处理服务和总部的 VPN。

关于秘钥管理权归属的决策

购物中心 IT 部门应分发每把秘钥，且每家租户应指定单一联系人接收秘钥。记录该联系人与秘钥的对应关系。如果没有此记录，当租户报告秘钥泄露时，您将无法确定谁掌握过该秘钥。

接下来，在“每租户一密”和“每设备一密”之间做出选择。“每租户一密”的管理效率更高。而针对收银机和刷卡设备使用“每设备一密”则安全性更强。如果某台库存平板电脑丢失，您只需撤销其秘钥，收银机即可保持在线。

PCI DSS v4.0 的要求 2.3.2 规定，当掌握秘钥的人员离职时，连接至持卡人数据环境的无线秘钥必须进行变更。使用每租户或每设备秘钥可以将该变更影响控制在最小可能范围内。

如何为每个租户配置秘钥和 VLAN？

一次性构建 xPSK SSID

在您的厂商控制台中创建租户 SSID，将 RADIUS 认证指向 Purple。使用基于 AES 的 WPA2-PSK 作为基线，并在厂商支持多秘钥 PSK 的情况下采用 WPA3。广播该 SSID：隐藏网络名称不会增加任何安全性，反而会导致设备在各处盲目探测该网络。

Purple 针对您所用厂商的配置文档提供了准确的设置参数。请严格按照文档操作，而不是从其他站点复制参数值。

将每个租户秘钥映射到其 VLAN

在 Purple 中，每个租户记录包含一个或多个秘钥以及一个 VLAN ID。当设备进行身份验证时，Purple 会使用 RFC 3580 中描述的标准 RADIUS 隧道属性返回 VLAN。这些属性包括 Tunnel-Type、Tunnel-Medium-Type 和 Tunnel-Private-Group-ID。随后 AP 会将设备划分至该 VLAN。

按租户设置带宽限制

Purple 负责分配 VLAN。带宽限制则附加到您的控制台应用于该 VLAN、组或角色的策略上。Cisco Meraki 组策略和 HPE Aruba 用户角色都支持速率限制，其他厂商也提供同等功能。

定义一小组层级，例如自助终端、标准店铺和主力店。在租户入驻时将其分配至特定层级。层级划分可以防止某家正在播放宣传视频的店铺抢占隔壁收银机的网络带宽。如果租赁协议中包含网络连接条款，层级划分还能为您提供管理杠杆。

新店铺入驻流程

将入驻流程纳入装修清单，而不是等到开业周才进行：

1. 在签署租赁协议时创建租户记录。包含单元号、指定的联系人、租赁起始和结束日期以及带宽层级。
2. 从租户块中分配一个 VLAN 并确认其 DHCP 范围。
3. 为此 VLAN 应用防火墙规则，包括租户声明的任何支付处理程序或 VPN 端点。
4. 在 Purple 中生成密钥并将其映射到该 VLAN。
5. 通过加密渠道将密钥发送给指定的联系人。切勿将其打印在租赁数据包中。
6. 在单元内进行测试。连接一台设备，确认其获取了正确的子网并能访问互联网。
7. 记录发放信息，包括日期、发放人、接收人和 VLAN。

在租户离开时撤销访问权限

在租赁结束日期撤销租户的密钥，并将其列入离场清单计划中。撤销操作会立即阻止新的连接。

根据您的平台，已连接的设备可能会保持关联状态，直到它们重新连接。如果您的平台支持 RADIUS 授权变更（CoA，在 RFC 5176 中定义），请使用它来断开设备连接。否则，请从厂商控制台断开客户端连接。

在重新分配释放的 VLAN 之前，请将其保持未使用状态一段时间作为隔离期。这可以防止被遗忘的设备出现在下一个租户的网络上。您的人力资源团队应用于员工账户的相同入职、异动和离职管理规程，现在也适用于租户。

如何检查网络隔离是否有效？

在入职时测试每个新租户，并每季度对整个物业进行抽样：

• **正确的 VLAN：**使用租户密钥的设备会在该租户的子网中接收到地址。
• **无横向访问：**从租户设备发起请求时，相邻租户 VLAN 的网关不会做出响应。
• **无法访问中心系统：**监控系统 (CCTV)、楼宇管理和中心员工子网均无法访问。
• **互联网正常工作：**租户可以访问互联网以及任何允许的支付或 VPN 端点。
• **撤销生效：**已撤销的密钥无法通过身份验证。

如果租户收银机处理银行卡数据，PCI-DSS v4.0 的 11.4.5 要求每 12 个月至少对隔离控制措施进行一次渗透测试。您的季度结果和年度测试是满足该要求的证据。每个租户作为商户，仍需对其自身的 PCI-DSS 评估负责。

需要记录哪些日志

记录足够的日志以回答三个问题：谁拥有访问权限、在何时拥有以及在哪个 VLAN 上。

• 密钥已发放：租户、密钥 ID、VLAN、发放人、接收人和日期。
• 密钥已撤销：租户、密钥 ID、原因、撤销人和日期。
• 身份验证事件：密钥 ID、设备 MAC 地址、接入点、分配的 VLAN、时间戳和结果。
• 每个租户 VLAN 的防火墙规则变更。

当设备 MAC 地址可以与特定个人关联时，在 GDPR 规定下属于个人数据。请设置数据保留期限并予以记录，并按计划进行删除。Purple 拥有 ISO 27001 认证，并通过了 GDPR 和 CCPA 认证，这可为您的供应商评估提供充分依据。如需了解更广泛的安全控制集，请参阅 WiFi 安全 和 访客网络安全：2026年实用指南。

实际应用场景

以下两个场景均为示意性设计，并非具体署名案例。实际成效源自设计方案本身。

拥有 70 个单元且正在替换租户 SSID 的购物中心

现状。 该购物中心广播 14 个 SSID：包含访客、中心员工以及为早期大型租户创建的 12 个租户 SSID。其余 58 个单元在单个 VLAN 上共享同一个租户密码。一旦有租户搬离，就意味着需要为购物中心内的其他每个租户更改该密码。

应对措施。 IT 部门将所有内容整合为三个 SSID：访客、采用 802.1X 和 EAP-TLS 的中心员工，以及一个 xPSK 租户 SSID。所有 70 个单元都获得了各自专属的密钥和 VLAN，收银机也分配了专属的单设备密钥。IT 部门逐一迁移了这 12 个基于特定 SSID 的租户，每当设备完成迁移便移除对应的旧 SSID。监控系统和建筑管理系统也迁移到了同一租户 SSID 下的专属密钥和 VLAN 中。

结果。 每个射频频段的 SSID 从 14 个减少到 3 个。每个射频频段每秒的信标帧从约 137 个降至约 29 个。租户搬离的处理方式从为 58 家商家重新设置密钥，转变为仅撤销单个密钥。此前在共享 VLAN 上完全开放的租户间流量，现在已在网关处被阻断，并每季度进行一次测试。

拥有周末摊贩的市政集市集大厅

现状。 一处公共部门集市大厅容纳有 40 个固定摊位和多达 25 个周末摊贩。每个摊贩都使用同一个共享密码，且该密码多年未曾更换。已离场的旧摊贩仍能在停车场连入网络。

应对措施。 每个固定摊位都分配了专属密钥和 VLAN。周末摊贩获得了映射到共享且隔离客户端的摊贩 VLAN 的独立密钥，因此他们的设备无法相互访问。值班经理将撤销所有周末密钥纳入周日收摊检查清单，而新密钥则随周六摊位分配一同发放。

结果。 该市政集市从使用一个长期有效的共享密码，转变为拥有 40 个长期密钥以及多达 25 个每周更新的密钥。密钥的有效期绝不会超过持有它的摊贩使用期。市政集市还获得了每张密钥发放和撤销的完整日志记录，这是此前所不具备的。

常见故障及解决办法

故障现象	常见原因	解决办法
设备已连接但落入默认 VLAN	RADIUS 响应缺少 VLAN 属性，或者 SSID 忽略了 RADIUS VLAN 覆盖	在 Purple 中确认密钥到 VLAN 的映射，然后在 SSID 上启用 RADIUS VLAN 分配
设备已连接但无法获取 IP 地址	租户 VLAN 未中继到该无线接入点的交换机端口，或者没有 DHCP 地址池	将 VLAN 添加到中继（trunk）中并确认 DHCP 地址池
较旧的收银机或终端无法连接	SSID 设置为仅 WPA3 或需要受保护的管理帧	对该 SSID 使用带有 AES 的 WPA2-PSK 或 WPA2/WPA3 过渡模式
已注销的租户仍然在线	现有会话持续存在，直到设备重新连接	发送 CoA 断开连接或在厂商控制台中移除客户端
一个租户可以访问另一个租户	核心交换机或网关上允许跨 VLAN 路由	在租户 VLAN 之间添加拒绝规则并重新测试
租户 VLAN 上出现未知设备	租户与邻居或承包商共享了其密钥	撤销该密钥，颁发新密钥并告知指定的联系人

成本是多少，又能带来什么收益？

成本。 您不需要购买新的接入点、控制器或交换机。您只需支付 Purple Access 订阅费用，以及用于 VLAN 规划、Trunking 和防火墙规则的工程时间。在此之后，每个租户在入驻时只需要一条记录、一个 VLAN 和一把密钥，在离场时进行一次撤销即可。

收益。

• 空口时间。 单个租户 SSID 取代了“每个租户一个 SSID”，因此信标开销不会再随每笔租约增长。
• 风险控制。 泄露或离职导致的密钥失效仅影响单个租户，而不会影响整个商业中心。
• 合规凭证。 颁发和撤销日志支持 PCI-DSS 要求的 2.3.2。隔离测试支持要求的 11.4.5。
• 可扩展性。 Purple 运行在 80,000 多个活跃场所，并在 2024 年处理了 4.4 亿次登录（Purple 自有数据）。拥有 70 个单元的商业中心不会增加任何压力。

如果您的商业中心员工仍在共享同一个密码，请接下来对其进行迁移。在多场所园区中将员工 WiFi 从共享密码迁移到 802.1X 中指出了详细步骤。更多接入设计请参阅 Access 指南。

常见问题

这是否适用于我们商业中心现有的接入点？

是的，Purple 作为云端叠加层运行在您现有的接入点上，无需拆除和替换。Purple 独立于硬件，支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme Networks 和 Fortinet。对于租户 xPSK 网络，请确认您的型号和固件支持带有 RADIUS 分配 VLAN 的多密钥 PSK。Meraki 称之为 iPSK，Aruba 称之为 MPSK，Ruckus 称之为 DPSK。

租户能否共享接入点但不共享网络？

是的，这正是为每个租户分配独立密钥和 VLAN 的意义所在。每个租户都通过相同的接入点连接到相同的 SSID。每个密钥都会将该租户的设备放置在独立的 VLAN 上。网关处的防火墙规则随后会阻止租户 VLAN 与商业中心自身系统之间的流量。相邻的商户共享无线电和空口时间，但绝不共享二层网络。

购物中心需要多少个 SSID？

这三个方面涵盖了大多数购物中心的需求。您需要一个带 Captive Portal 的开放式访客网络供购物者使用，以及一个适用于所有租户和中心无界面设备（headless devices）的 xPSK 网络。此外，还需为中心员工添加一个安全的 802.1X 网络，并通过 Microsoft Entra ID、Okta 或 Google Workspace 进行身份验证。每个额外的 SSID 都会在每个射频上增加信标开销，因此请避免为每个租户单独创建一个 SSID。

租户离开时，我们如何注销其 WiFi 访问权限？

您只需在 Purple 中撤销该租户的密钥，新连接就会立即停止。请将密钥撤销列入租赁退租核对清单，并将日期设定为租赁结束日。已经连接的设备可能会保持在线，直到它们重新连接。在您的平台支持的情况下，可以通过 RADIUS 授权变更（Change of Authorisation）或从厂商控制台中断开这些设备的连接。然后，在重新分配 VLAN 之前对其进行隔离。

这会让租户的收银机符合 PCI DSS 标准吗？

不能，仅靠网络设计无法让商家实现合规。每个租户仍需自行负责其 PCI DSS 评估。不过，为每个租户提供专属密钥和 VLAN 可以为您满足特定要求提供依据。要求 2.3.2 涵盖了在掌握无线密钥的人员离职时更改密钥。要求 11.4.5 涵盖了对隔离控制措施进行年度渗透测试。根据要求，可向租户共享您的隔离测试结果。

我们能否限制每个租户的带宽？

可以，您可以在厂商控制台中根据每个租户密钥映射到的组、角色或 VLAN 来设置限制。Cisco Meraki 组策略和 HPE Aruba 用户角色都包含速率限制，其他厂商也提供等效功能。您可以定义几个层级，例如临时展位、标准店铺和主力店。在入驻时将每个租户分配到一个层级，这样单个店铺就不会抢占邻近店铺收银机的网速。

如何在不停机的情况下从“一租户一 SSID”模式进行迁移？

您可以按租户逐个迁移，新旧网络并行运行。首先构建 xPSK SSID，然后将一个租户的设备迁移到其新密钥和 VLAN。在所有设备迁移完毕后，移除该租户旧的 SSID。建议先从小型专柜开始，以验证 VLAN Trunking 和防火墙规则。然后在非营业时间安排大型店铺的迁移。