零售門市設備的 PPSK：Cisco Meraki 與 Juniper Mist 上收銀機、掃描器和 CCTV 的部署檢核表

私有預共用金鑰（PPSK）讓單一 SSID 上的每台收銀機、掃描器、印表機和螢幕都能擁有專屬的 WiFi 金鑰。每組金鑰都會對映至特定的 VLAN（虛擬區域網路）、策略與頻寬上限，確保收銀機與數位看板及監視器隔離。您可將金鑰綁定至 MAC 位址，並在單一裝置遺失時撤銷其金鑰。Cisco Meraki 稱此功能為 Identity PSK；Juniper Mist 則稱之為 Multi PSK。

PPSK 對零售門市裝置究竟有何作用？

大多數門市的裝置 WiFi 架構都是無意間形成的。掃描器連上了員工 SSID。數位看板播放器連上了安裝人員當時看到的任何網路。無線攝影機最後連上了訪客網路。所有裝置共用一組自門市開幕以來就從未變更過的密碼。

PPSK 可以在不要求裝置進行任何新操作的情況下解決這個問題。裝置依然只會看到一個 SSID，並輸入一組 WPA2-Personal 金鑰。變更完全發生在網路端。每台裝置都會取得不同的金鑰。無線基地台會在本機或透過查詢 RADIUS 伺服器，將每組金鑰對映至對應的身份，接著套用該身份附帶的 VLAN、防火牆規則與頻寬限制。RADIUS 是無線基地台用來向中央伺服器確認裝置身份及可存取範圍的協定。

對門市而言，這帶來了三個關鍵影響：

• 依身份隔離。 在同一個 SSID 上的收銀機和數位看板播放器會劃分至不同的 VLAN，並套用不同的防火牆規則。
• 控制安全範圍。 在 IEEE 802.11i 標準下，每台裝置會透過自身的金鑰衍生出會話金鑰。任何持有共用金鑰並擷取到握手封包的人，都能衍生出其他裝置的會話金鑰。使用 PPSK 後，即使數位看板的金鑰外洩，也無法解密收銀機的流量。
• 單點撤銷權限。 只要刪除一組金鑰，該台裝置就會失去存取權限，門市內的其他任何設定都不受影響。

PPSK 在三大網路中的定位

Purple Access 在單一平台上運行三大網路，並透過身份來設定各自的 VLAN。開放網路透過 Captive Portal 為顧客提供服務，詳情請參閱我們的 Captive Portal 指南。安全網路透過 IEEE 802.1X 與 EAP-TLS 為員工提供服務。802.1X 是裝置加入網路前進行驗證的標準；EAP-TLS 則是使用裝置上憑證的驗證方法。員工也可以透過 Microsoft Entra ID、Okta 或 Google Workspace 登入，如 Okta WiFi Authentication: Setup Steps, Options and Fixes 所述。

證書仍是多數人的預設選擇。xPSK 網路則涵蓋了無法載入證書的所有設備：收銀機、手持掃描機、收據印表機、數位看板播放器和無線閉路電視（CCTV）。我們對公寓住宅居民採用相同的模式，詳情請參閱 多戶住宅 WiFi：隔離、xPSK 和計費運作方式。如需完整的安全性模型，請參閱我們的 WiFi 安全 指南。

PPSK 與其他替代方案比較

方法	設備載入的內容	撤銷單一設備	每台設備的 VLAN 和策略	額外基礎設施	適用對象
共用 PSK	所有設備共用的一組密碼	重新設定該 SSID 上的所有設備密碼	否，每個 SSID 一個 VLAN	無	任何涉及支付的設備均不適用
PPSK（Meraki Identity PSK、Mist Multi PSK）	設備專屬密碼，可選擇性綁定其 MAC	刪除單一金鑰	是，按金鑰劃分	Meraki：用於 MAC 綁定的 RADIUS。Mist：使用 Cloud PSK 則無需額外設備	收銀機、掃描機、印表機、看板、CCTV
採用 EAP-TLS 的 IEEE 802.1X	用戶端證書	撤銷單一證書	是，按身分劃分	RADIUS 伺服器與公鑰基礎設施（PKI）	受 MDM 管理的員工筆電和手機
MAC 驗證旁路	無：MAC 地址即為身分	移除單一 MAC 地址	是，按 MAC 地址劃分	RADIUS 伺服器	不支援其他任何方式的有線設備

MDM 代表行動設備管理，即向公司擁有的手機、掃描機和筆電推送設定的系統。

在門市部署 PPSK 之前需要準備什麼？

大部分工作會在您建立第一把金鑰之前完成。請先確認以下事項已準備就緒：

• 每家門市的設備清冊。 記錄設備類別、廠牌、型號、MAC 地址、MAC 是否固定、支援的安全模式和無線電波段。
• 分段計畫。 與負責支付、CCTV 和數位看板合約的人員確認每個設備類別對應的 VLAN。
• 連接至每個基地台的 VLAN Trunking。 每個 AP 的上行埠必須承載所有分段 VLAN，否則設備雖然能關聯，卻無法取得 IP 地址。
• 每個分段的防火牆規則。 在進行任何設定之前，先記錄每個分段允許存取的範圍。
• 控制台存取權限。 您需要 Meraki Dashboard 或 Juniper Mist 入口網站的組織級管理員權限。
• 決定金鑰儲存位置。 金鑰可以儲存在 SSID 本身、RADIUS 伺服器或雲端金鑰服務中。下表根據您的資產規模提供選擇建議。
• 對 Android 掃描機進行 MDM 控制。 您需要透過它來固定每個網路的 MAC 地址並遠端推送金鑰。
• 指定金鑰登記冊的負責人。 設備就像員工一樣有新增、異動和廢棄。必須有人記錄所發放與撤銷的每一把金鑰。

您的資產規模	金鑰應儲存的位置	MAC 綁定	原因
僅限 Cisco Meraki，每個設備類別一把金鑰	不含 RADIUS 的 Identity PSK，金鑰儲存在 SSID 上	不支援	上手速度最快，但洩漏的金鑰可用於任何設備
Cisco Meraki，每個裝置一個金鑰	帶 RADIUS 的 Identity PSK，指向雲端 RADIUS 服務	是，透過 MAC 位址尋找	每個金鑰僅適用於獲核發的裝置
僅限 Juniper Mist	Mist Cloud PSK	是，使用單次使用金鑰	Mist 雲端原生，具備單一金鑰 VLAN、角色與到期日
混合設備：Meraki 加上 HPE Aruba、Ruckus、Mist 或 Ubiquiti UniFi	Purple Access xPSK 作為雲端 RADIUS	是	一個金鑰註冊即可跨所有廠商使用，無需拆除重裝

如何在 Cisco Meraki 與 Juniper Mist 上設定 PPSK？

第 1 步：設計金鑰對應區段圖

在操作任何控制台之前，請先設計好區段。這張地圖可將刷卡機 WiFi 安全性與不需要存取支付系統的所有其他設備隔離開來。

裝置類別	區段	可存取範圍	頻寬策略	金鑰範圍
刷卡機與收銀機	支付	僅限支付處理器與收銀機伺服器	不限速，最高優先順序	每個裝置一個，繫結 MAC
手持掃描器	門市營運	庫存、訂貨與手持管理系統	單一裝置上限	每個裝置一個，繫結 MAC
發票與標籤印表機	門市營運	收銀機與列印伺服器	低單一裝置上限	每個裝置一個，繫結 MAC
數位看板播放器	看板	內容管理系統與更新伺服器	單一裝置上限	每個裝置一個，繫結 MAC
無線 CCTV 監視器	CCTV	僅限網路視訊錄影機	依攝影機位元率預留頻寬	每個裝置一個，繫結 MAC

請保持區段數量精簡。對大多數門市而言，每家門市五個區段就足夠了，而且每個額外的 VLAN 都必須連接至每個 AP。

第 2 步：Cisco Meraki 與 Identity PSK

Meraki 透過群組策略套用個別金鑰策略，因此請先建立群組策略。在 Meraki Dashboard 中，為每個區段建立一個群組策略。每個策略都會設定該區段的 VLAN 標籤、頻寬限制以及第 3 層與第 7 層防火牆規則。

接下來，開啟裝置 SSID 的存取控制設定。Meraki 提供兩種 Identity PSK 模式：

• 無 RADIUS 的 Identity PSK。 您直接在 SSID 上輸入金鑰，並將每個金鑰對應至群組策略。由於無法進行 MAC 繫結，因此任何取得金鑰的裝置都會獲得該金鑰的策略。
• 帶 RADIUS 的 Identity PSK。 基地台會將裝置 MAC 位址傳送至您的 RADIUS 伺服器。伺服器會傳回該 MAC 位址的通行密碼與群組策略。金鑰僅適用於獲核發的裝置。

對於收銀機與支付區段上的任何裝置，請使用 RADIUS 模式。Cisco 的說明文件頁面 "IPSK without RADIUS" 與 "IPSK with RADIUS Authentication" 提供每種模式的詳細步驟。

第 3 步：Juniper Mist 與 Multi PSK

在 Juniper Mist 入口網站中，將您的裝置 WLAN 設定為使用多組通行密碼。Mist 提供三種金鑰來源：本機儲存在 WLAN 上的金鑰、組織層級持有的 Cloud PSK，或由 RADIUS 伺服器傳回的金鑰。

對於門市據點而言，Cloud PSK 是原生首選。每個 Cloud PSK 都包含自身的 VLAN、角色與到期日。將門市裝置設定為單一使用，這會將金鑰綁定至第一個連線的 MAC 地址。接著在您的 WxLAN 策略中使用每個金鑰的角色，以控制該區段可存取的範圍。套用速率限制以限制數位看板與掃描器的頻寬。Juniper 的 Multi PSK 文件完整涵蓋了 WLAN 設定與 Cloud PSK 欄位。

步驟 4：Purple Access 作為跨廠商的單一金鑰登記處

大多數零售據點在併購與改造後，都會運行多個硬體廠商的設備。Purple Access 將 xPSK 網路作為雲端 RADIUS 運行，因此單一金鑰登記處即可服務每一間門市。Meraki SSID 將包含 RADIUS 的 Identity PSK 指向 Purple。Mist WLAN 則使用 RADIUS 作為金鑰來源。Purple 會針對每個 MAC 地址傳回個別裝置的金鑰、VLAN 與策略。

相同的模式也可運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。您可以保留原有的基地台與交換器。針對您所使用的廠商，Purple 的支援文章中列出了確切的 RADIUS 設定。

門市部署檢查清單

1. 選擇一間包含您所運行的所有裝置類型的試點門市。
2. 匯出該門市的裝置清單，並確認每台裝置的 MAC 地址。
3. 在切換日之前，將每個區段 VLAN Trunk 至每個 AP 的 Uplink 連接埠。
4. 建立區段策略：在 Meraki 上建立群組策略，在 Mist 上建立角色與 WxLAN 策略。
5. 為每台裝置建立一個金鑰，並記錄在金鑰登記處中。
6. 透過 MDM 將裝置 SSID 的固定 MAC 設定推播至 Android 掃描器。
7. 在現有員工 SSID 旁廣播裝置 SSID。
8. 按裝置類型分批遷移：先從數位看板開始，接著是印表機與掃描器，最後在非營業時間遷移收銀機。
9. 在遷移下一個類型之前，執行下一節中的每一項測試。
10. 最後一次變更舊有的共享員工密碼，確保沒有裝置可以 fallback 降級使用該密碼。
11. 撰寫撤銷操作手冊：裝置遺失、金鑰撤銷，並使用新金鑰核發替代裝置。
12. 分批在各門市部署，重複使用試點策略，並保留測試結果作為憑證。

您如何確認 PPSK 在每間門市正常運作？

請測試每種裝置類型，而非僅測試單一裝置。在掃描器上通過測試，並不代表位於不同 VLAN 的印表機也能正常運作。

• 正確的區段。 檢查 Meraki Dashboard 或 Mist 用戶端分析中的用戶端清單。每台裝置都應顯示預期的 VLAN 以及來自該區段子網路的 IP 地址。
• 隔離。 從數位看板區段上的測試裝置，嘗試連線至收銀機伺服器與錄影機。兩次嘗試都應該失敗。
• MAC 綁定。 在測試手機上輸入掃描器的金鑰。手機應該會被拒絕連線。
• 撤銷。 撤銷測試金鑰並確認裝置無法重新加入。如果現有連線會話仍持續，請從控制台斷開該用戶端的連線。門市中的所有其他裝置應保持連線狀態。
• 頻寬。 從看板播放器執行吞吐量測試，並確認已套用上限設定。我們的 頻寬使用量測量：方法、KPI 與設定 指南涵蓋了相關方法。
• 漫遊。 拿著掃描器從後照備貨室走到賣場的最遠端。掃描應用程式應保持連線狀態。

請保留輸出結果。您的金鑰登記表、區段策略、撤銷記錄與隔離測試結果，可為 PCI DSS v4.0 提供符合性證明。要求 1 涵蓋區段之間的網路安全控制措施。要求 2.3 涵蓋無線環境，包含變更預設金鑰。要求 11.2.1 下的流氓無線存取點檢查仍屬於獨立的工作。

PPSK 常見問題與解決方法為何？

症狀	可能原因	解決方法
裝置已關聯但未取得 IP 位址	區段 VLAN 未 Trunk 至 AP 的交換器連接埠	在每個 AP 上行連接埠上標記（Tag）每個區段 VLAN
OS 更新後掃描器遭拒絕	啟用 MAC 隨機化；Android 10 及更新版本預設按網路隨機化	透過 MDM 設定裝置 SSID 設定檔以使用裝置真實 MAC
一組金鑰可用於兩台裝置	金鑰未綁定至 MAC 位址（無 RADIUS 的 Meraki、Mist 多次使用）	移至搭配 RADIUS 的 Identity PSK 或 Mist 單次使用金鑰
舊款印表機無法加入	裝置僅支援 2.4 GHz 與 WPA2-Personal	在裝置 SSID 上保持啟用 2.4 GHz 與 WPA2-Personal
掃描器在走道之間斷線	802.11r 快速漫遊與舊版用戶端不相容	在裝置 SSID 上停用快速轉移進行測試
推送看板內容時收銀機變慢	看板策略未設定頻寬上限	對看板區段套用單一裝置頻寬上限
刪除金鑰後遺失的裝置仍線上	現有會話持續存在直到重新驗證	撤銷金鑰後，在管理主控台中中斷用戶端連線

有兩個問題值得進一步說明。

第一個是金鑰演變成第二組共用密碼。技術人員將掃描器金鑰寫在貼紙上，結果有六台裝置使用該金鑰。MAC 綁定可以防止這種情況。若沒有綁定，所謂的「單一裝置金鑰」充其量只是習慣上的稱呼。

第二個是 WPA3。許多單一裝置金鑰的實作皆依賴 WPA2-Personal，而許多收銀機與印表機僅支援此舊格式。在根據此架構進行設計之前，請先檢查 Cisco Meraki 和 Juniper Mist 官方文件，確認您使用的韌體版本是否支援 WPA3。

兩個實際應用情境：服飾連鎖店與體育場

零售業：使用 Cisco Meraki 的 150 家門市服飾連鎖店

情境。 以一家擁有 150 家門市的連鎖店為例，每家門市設有六台收銀機、八台掃描器、兩台印表機與四台看板播放器。所有 20 台裝置共用員工 SSID 與一組密碼。這代表整個企業體中有 3,000 台裝置使用同一組金鑰。PCI DSS 要求 2.3.2 規定，當知悉無線金鑰的人員離職時，必須變更金鑰。每位店長都知道這組密碼，因此每位店長離職時都應觸發 3,000 台裝置的金鑰重設。但實際上，這根本不可能發生。

進行的調整。 該連鎖店使用 Identity PSK 搭配 RADIUS 新增了裝置 SSID，並由 Purple Access 負責管理金鑰註冊表。四個群組策略分別隔離了支付、門市營運、數位看板與印表機。MDM 會將金鑰推送至掃描器，因此門市員工永遠不會看到裝置金鑰。

結果。 現在掃描器遭竊，只需撤銷一支金鑰，完全不會影響其他裝置，而以往在該門市中需要調整 20 台裝置。主管離職不再需要更換金鑰，因為主管手中從未持有裝置金鑰。支付區段從每家門市單一扁平網路上的 20 台裝置，縮減為 6 台收銀機。PCI SSC 指南指出，網路分割可以減少評估範圍內的系統數量，惟仍須經由您的評估人員驗證。

大型活動案例：採用 Juniper Mist 的體育場

情況。 以一座擁有 40 台固定特許經營收銀機和 120 個看板螢幕的體育場為例。票務承包商在每次活動中都會攜帶 25 台手持掃描器。承包商過去一直都是取得員工密碼，而且該密碼從未更換過。

進行的調整。 該體育場轉用 Mist Cloud PSK。收銀機在支付 VLAN 上取得一次性金鑰。看板金鑰則帶有具備速率限制的角色。每次活動時，承包商的 25 台掃描器都會在其專屬 VLAN 上收到一次性金鑰，過期時間設定為活動當天結束。

結果。 所有 25 個承包商金鑰在每次活動後都會自動失效，無需手動撤銷。承包商裝置永遠不會持有可存取收銀機區段的金鑰。看板的頻寬上限意味著內容推送不會在半場休息時拖慢特許經營店的支付速度。

PPSK 的成本為何？又能帶來什麼回報？

PPSK 不需要全新的硬體。您的成本主要集中在四個方面：

• 設計時間。 建立資產清單、確認網路區段並撰寫防火牆規則。
• 交換器變更。 將區段 VLAN 中繼 (Trunking) 至每個 AP，這通常只需要推送範本即可完成。
• 非受管裝置的門市存取。 沒有 MDM 的印表機與攝影機需要進行本機變更。
• 用於 MAC 綁定的金鑰服務。 在 Meraki 上，這意味著需要像 Purple Access 這樣的 RADIUS 服務。請與您的經銷商確認您的 Meraki 和 Mist 授權層級。

其回報最容易從算術中看出。在上述時尚連鎖店的案例中，更換共享金鑰意味著要調整 3,000 台裝置。假設每台裝置需要 5 分鐘，一次金鑰更換就會耗費 250 個小時的門市與 IT 時間。採用 PPSK 後，相同的事件只需變更一次金鑰。更大的回報在于風險控管：遺失掃描器只會暴露單一裝置的區段，而非整個支付網路。

Purple 營運於 80,000 多個實體場域，並在 2024 年處理了 4.4 億次登入（Purple 內部數據）。Purple 擁有 ISO 27001 認證。開放式網路上的訪客行銷功能包含在 Engage 中。適用於任何區段的 DNS 過濾功能則是 Shield，這是一個獨立的加購功能。如需了解開放式與安全性網路的詳細資訊，請瀏覽我們的 Access 指南。

常見問題

我們需要在門市中安裝新的存取點才能執行 PPSK 嗎？

不需要。PPSK 可以在您現有的基地台（AP）上運作。Cisco Meraki MR 基地台支援此功能並稱為 Identity PSK，Juniper Mist 基地台則稱為 Multi PSK。Purple Access 採用獨立於硬體的架構，可以作為雲端覆蓋層（Cloud overlay）直接層疊在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 之上。您只需變更 SSID 設定、VLAN 中繼（Trunks）與原則，無需更換硬體。

PPSK 能否滿足我們的 PCI-DSS 評估員要求？

PPSK 能為您提供 PCI-DSS 的合規證據，但本身並不等於直接通過。個別裝置金鑰符合需求 2.3.2 的要求（當知悉金鑰的人員離職或金鑰遭外洩時，必須變更無線金鑰）。將收銀機（Till）移至獨立的 VLAN 符合需求 1 的標準，並可縮減合規評估範圍。您的合格安全性評估員（QSA）擁有最終決定權，因此請匯出您的金鑰登記冊、原則與測試結果供其審查。

門市裝置應該使用 PPSK 還是 802.1X 憑證？

只要裝置能夠註冊與更新憑證，就請使用憑證；其餘所有裝置則使用 PPSK。在 MDM 管理下的員工筆電與手機，採用 EAP-TLS 的 IEEE 802.1X 仍是預設選擇。大多數收銀機、印表機、數位看板播放器與攝影機無法進行大規模憑證註冊，且許多僅支援 WPA2-Personal。PPSK 能在無需變更裝置本身的情況下，為這些裝置提供個別裝置的身分識別、VLAN 與撤銷功能。

我們可以在不巡視每家門市的情況下，將裝置從共用的員工密碼轉移出來嗎？

可以，前提是這些裝置是透過 MDM 進行管理。只需將新的裝置 SSID、其個別裝置金鑰以及固定 MAC 設定作為單一設定檔推送即可。接著確認每台裝置皆已登入正確的 VLAN。沒有 MDM 的裝置（例如許多印表機與攝影機）則需要進行本機變更或使用原廠的設定工具。請將這些變更規劃至現有的門市巡視行程中，並保持舊的 SSID 正常運作，直到最後一台裝置轉移完畢。

如果掃瞄器使用了隨機 MAC 位址會怎樣？

綁定 MAC 的金鑰會拒絕該裝置連線，因此請為該裝置 SSID 停用隨機化功能。Android 10 及更新版本預設會針對每個網路使用隨機 MAC 位址，而大多數強固型掃瞄器皆執行 Android 系統。請透過您的 MDM 將 WiFi 設定檔設定為使用裝置真實 MAC。隨機化功能旨在保護使用者在公開網路上的隱私，對於加入您自家網路的受控收銀機或掃瞄器來說，並無法帶來額外效益。

Purple Access 是否也包含顧客 WiFi 與內容過濾功能？

是的，這些功能可以在單一平台上管理的不同網路上運作。顧客透過 Captive Portal 加入開放網路，並在 Engage 中處理行銷與自主選擇的同意事項。員工則透過憑證或 Microsoft Entra ID、Okta 或 Google Workspace 登入資訊加入安全網路。DNS 過濾功能屬於 Shield，這是一個獨立的加購功能。裝置會保持在 xPSK 上，因此收銀機絕對不會與顧客的手機共用同一個網路。

在整個門市據點推廣 PPSK 需要投入多少心力？

預計大部分的工作都會集中在建立第一組金鑰之前。建立包含 MAC 位址的裝置清冊，所需時間往往比控制台的設定工作更長。與支付及監視器負責人確認網路切片，以及將 VLAN 中繼至每個無線基地台也是如此。一旦試點門市通過所有測試，後續門市即可複用相同的策略與金鑰範本。受 MDM 管理的裝置可進行遠端轉移，而未受管理的印表機與攝影機則會決定每一波部署的進度。