零售中心的特許專櫃與租戶 WiFi：為每個租戶提供金鑰和 VLAN 的 xPSK 架構

為每個專櫃與租戶單位運行單一 xPSK SSID。每個租戶都有自己的金鑰，該金鑰會將他們的收銀機、平板電腦與後勤裝置分配到專屬的 VLAN 上。顧客則留在開放的 Captive Portal 網絡中，而購物中心系統則位於安全的 802.1X 網絡上：總共只有三個 SSID，且在租約結束當天即可撤銷金鑰。

為何租戶需要獨立金鑰與 VLAN 網絡？

零售購物中心擁有存取點（AP），但有數十家獨立企業依賴這些設施。每個專櫃、攤位與租戶單位都運行著收銀機、庫存平板電腦、後勤 PC，通常還有數位看板。這些裝置絕不能與其他租戶、顧客或購物中心本身的建築系統相互存取。

xPSK 是一個通用術語，指在單一 SSID 上每個租戶或裝置都擁有獨立預共享金鑰的網絡。各大廠商的命名方式各有不同：

• Cisco Meraki：Identity PSK (iPSK)。
• HPE Aruba：MPSK。
• Ruckus：DPSK。
• Juniper Mist：Multi PSK。
• Ubiquiti UniFi：Private Pre-Shared Keys (PPSK)。

當裝置連線時，它所提供的金鑰會識別該租戶。然後 RADIUS 會傳回該租戶對應的 VLAN。RADIUS 是您的存取點用來向驗證伺服器查詢連線者身分的協定。VLAN（虛擬區域網絡，定義於 IEEE 802.1Q）是在相同交換器與線路上運行的獨立第 2 層網絡。

最終結果是在空中傳輸的只有一個網絡名稱，而在有線網絡端則實現了多個隔離網絡。是由身分識別來決定 VLAN，而不是 SSID。

為何為每個租戶設定一個 SSID 無法擴充

每個 SSID 都會在每個無線電頻段上發送自己的信標訊框（beacon frames）。IEEE 802.11 預設的信標間隔為 100 個時間單位（即 102.4 ms），因此每個 SSID 每秒會發送近 10 次信標。信標會以最低的基本資料速率發送，這會佔用大量的空中傳輸時間。

因此，每增加一個 SSID，就會佔用租戶與顧客流量本可使用的空中傳輸時間。若有 20 個租戶 SSID，覆蓋範圍內的每個存取點就會發送 20 套信標。硬體廠商也會限制單一無線電頻段可以廣播的 SSID 數量。擁有 60 個單位的購物中心，早在簽完最後一份租約之前就會達到這個上限。

營運成本也會隨之增加。每個 SSID 都有自己的密碼需要定期更換，且每次更換都會同時斷開該租戶的所有裝置。

零售購物中心需要多少個 SSID？

對大多數購物中心來說，三個是最合適的數量：

1. 供顧客使用的開放式訪客網絡。 此網絡使用 Captive Portal：裝置在存取網際網絡前看到的登入頁面。請參閱 Captive portals 瞭解設計選項。此網絡上的訪客行銷屬於 Purple Engage 方案，而 DNS 過濾則是 Shield。
2. 專供租戶使用的 xPSK 網路。 每個專櫃、攤位與租戶單元皆由此連線。購物中心本身的無頭裝置 (Headless devices)，例如監視器 (CCTV)、建築管理控制器與數位看板播放器，也使用此網路，且各自擁有專屬金鑰與 VLAN。
3. 專供購物中心員工使用的安全網路。 此網路使用 802.1X（基於連接埠之網路驗證的 IEEE 標準）。搭配 EAP-TLS 使用憑證驗證每台裝置，身分驗證來源則來自 Microsoft Entra ID、Okta 或 Google Workspace。EAP TLS vs PEAP: Security, Certs and Fit 與 Okta WiFi Authentication: Setup Steps, Options and Fixes 探討了這方面的詳細內容。

作法	60 個租戶所需的 SSID	租戶隔離	移除單一租戶	信標 (Beacon) 負擔	適用對象
每個租戶一個 SSID	60 個租戶 SSID，超出單一無線電天線上限	每個 SSID 個別使用一個 VLAN	刪除該 SSID 並重新設定無線電天線	隨每個 SSID 增加而上升	租戶少於 5 個的購物中心
所有租戶共用一組金鑰	1	無：單一金鑰，單一 VLAN	變更所有租戶的金鑰	1 個 SSID	不適用於租戶有營運收銀機的購物中心
xPSK：每個租戶專屬金鑰與 VLAN	1	每個金鑰個別使用一個 VLAN	撤銷單一金鑰；其他金鑰不受影響	1 個 SSID	擁有無頭裝置的專櫃、攤位與租戶單元
每台裝置使用 802.1X	1	每個身分個別使用一個 VLAN	撤銷憑證或帳戶	1 個 SSID	裝置受控且可執行 802.1X Supplicant 的租戶

在租戶裝置支援的前提下，802.1X 是更強大的防護模型。大多數專櫃門市混合使用收銀機、刷卡機、平板電腦與數位看板播放器。其中許多裝置無法執行 802.1X Supplicant，因此可透過 xPSK 承載連線需求。

開始之前需要準備什麼？

支援多金鑰 PSK 的基地台與管理主控台

您不需要購買新的硬體。Purple 是具備雲端 RADIUS 的硬體無關型雲端覆蓋層 (Hardware-agnostic cloud overlay)，能直接運作於您現有的基地台之上。在開始之前，請確認您的機型與韌體支援搭配 RADIUS 指派 VLAN 的多金鑰 PSK。

廠商	功能名稱	管理主控台
Cisco Meraki	搭配 RADIUS 的 Identity PSK (iPSK)	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone 或 RUCKUS One
Juniper Mist	Multi PSK	Juniper Mist 雲端管理主控台
Ubiquiti UniFi	Private Pre-Shared Keys	UniFi Network 應用程式

請在廠商的文件中額外確認一點：WPA3 支援度。許多 xPSK 實作皆運作於採用 AES 的 WPA2-PSK 之上。針對單一 SSID 上的多金鑰 WPA3-SAE 支援度會因廠商與韌體而異。如需 Meraki 與 Mist 的建置細節，請參閱 PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist。

VLAN 與 IP 規劃

IEEE 802.1Q 使用 12 位元的 VLAN ID，提供 4,094 個可用 VLAN。這足以輕鬆涵蓋任何購物中心。在發出第一組金鑰之前，請先規劃以下項目：

• 租戶專用的保留 VLAN 區段。 請將其與購物中心的管理、CCTV 及訪客 VLAN 完全隔離。
• 每個租戶 VLAN 的子網路與 DHCP 範圍。 請依據租戶申報的設備數量加上季節性擴充的彈性空間來規劃容量。
• 通往每個 AP 交換器埠的 Trunk。 每個租戶 VLAN 都必須延伸至租戶設備可能連接的每個連接埠。在實務上，這代表購物中心內的每一個連接埠。
• 閘道器的防火牆規則。 阻擋租戶對租戶的流量，阻擋租戶對購物中心的流量，並允許存取網際網路。在有需要時，請允許租戶連接其付款處理器與總部 VPN。

決定由誰管理密鑰

購物中心 IT 部門應發放每把密鑰，且每個租戶應指定一名單一聯絡人負責接收。請記錄該聯絡人與密鑰的對應關係。若沒有這項記錄，當租戶回報密鑰洩漏時，您將無法確認有哪些人知道該密鑰。

接下來，請在「每戶一金鑰」與「每台設備一金鑰」之間做出選擇。每戶一金鑰的管理效率較高。而針對收銀機與刷卡設備採用每台設備一金鑰，則安全性更嚴密。如果一台盤點用的平板電腦遺失，您只需要撤銷該平板的密鑰，收銀機依然能維持連線。

PCI DSS v4.0 規範 2.3.2 要求，當知悉無線密鑰的人員離職時，連接至持卡人資料環境的密鑰必須進行變更。採用每戶或每設備密鑰，能將變更密鑰的影響範圍縮減至最小群組。

如何為每個租戶設定密鑰與 VLAN？

建置一次 xPSK SSID

在您的設備廠商主控台中建立租戶 SSID，並將 RADIUS 驗證指向 Purple。使用 WPA2-PSK 搭配 AES 作為基準；若您的廠商支援多密鑰 PSK，請在支援之處使用 WPA3。請廣播此 SSID：隱藏網路名稱並不會增加安全性，反而會導致設備在各處發出探測訊號。

Purple 針對您設備廠商提供的設定文件載明了精確的設定值。請按照文件操作，切勿直接從其他網站複製數值。

將每個租戶密鑰對應至其 VLAN

在 Purple 中，每個租戶記錄都包含一把或多把密鑰以及一個 VLAN ID。當設備進行驗證時，Purple 會使用 RFC 3580 中描述的標準 RADIUS 隧道屬性（Tunnel-Type、Tunnel-Medium-Type 與 Tunnel-Private-Group-ID）傳回 VLAN。AP 隨即會將該設備指派至該 VLAN。

設定每個租戶的頻寬限制

Purple 負責指派 VLAN。而頻寬限制則附加於主控台套用至該 VLAN、群組或角色的策略上。Cisco Meraki 的群組策略與 HPE Aruba 的使用者角色皆支援速率限制，其他廠商亦提供同等功能。

請定義一套簡短的分級標準，例如小型攤位、標準專櫃與主力專櫃。在租戶進駐時將其指派至相應等級。分級機制可防止單一專櫃因串流播放宣傳影片而占用過多頻寬，導致隔壁的收銀機無法正常運作。如果租約包含網路連線條款，這也能為您提供管理工具。

新增專櫃進駐流程

請將網路進駐設定納入裝修查核清單中，而非等到開幕當週才處理：

1. 簽署租約時建立租戶記錄。請包含單元號碼、指定的聯絡人、租約開始與結束日期以及頻寬層級。
2. 從租戶區塊分配 VLAN 並確認其 DHCP 範圍。
3. 針對該 VLAN 套用防火牆規則，包括租戶聲明的任何支付處理器或 VPN 端點。
4. 在 Purple 中產生金鑰並將其對應至 VLAN。
5. 透過加密管道將金鑰傳送給指定的聯絡人。切勿將其列印在租約資料包中。
6. 從單元進行測試。連接一台裝置並確認其取得正確的子網路並連接至網際網路。
7. 記錄核發資訊，包含日期、核發者、接收者與 VLAN。

在租戶離開時撤銷存取權限

請在租約結束日期撤銷租戶的金鑰，並將其排定為離場檢核表的一環。撤銷操作會立即停止新的連線。

已連接的裝置可能會保持關聯狀態直到重新連線，這取決於您的平台。若您的平台支援 RADIUS 授權變更（CoA，定義於 RFC 5176），請使用它來中斷這些裝置的連線。否則，請從供應商主控台中斷用戶端的連線。

在重新分配釋放出的 VLAN 之前，請將其保持未使用狀態一段隔離期。這可以防止被遺忘的裝置出現在下一個租戶的網路中。HR 團隊套用至員工帳號的新進、調動與離職紀律，現在同樣適用於租戶。

如何檢查區隔是否正常運作？

在入駐時測試每個新租戶，並在每季度對整個場域進行抽樣：

• 正確的 VLAN： 使用租戶金鑰的裝置會收到該租戶子網路中的位址。
• 無橫向存取： 從租戶裝置出發，鄰近租戶 VLAN 的閘道不會回應。
• 無法存取中心系統： CCTV、建築物管理與中心員工子網路皆無法存取。
• 網際網路正常運作： 租戶可連至網際網路以及任何允許的支付或 VPN 端點。
• 撤銷正常運作： 已撤銷的金鑰無法通過驗證。

如果租戶收銀機處理刷卡資料，PCI DSS v4.0 規定 11.4.5 要求至少每 12 個月對區隔控制措施進行一次滲透測試。您的季度結果與年度測試即為該規定的佐證。每個租戶作為商家，仍須為其自身的 PCI DSS 評估負責。

應記錄的內容

記錄足夠的資訊以回答三個問題：誰擁有存取權限、何時擁有，以及在哪些 VLAN 上。

• 金鑰核發：租戶、金鑰 ID、VLAN、核發者、接收者與日期。
• 金鑰撤銷：租戶、金鑰 ID、原因、撤銷者與日期。
• 身分驗證事件：金鑰 ID、裝置 MAC 位址、基地台、分配的 VLAN、時間戳記與結果。
• 每個租戶 VLAN 的防火牆規則變更。

當裝置 MAC 位址可與特定個人關聯時，在 GDPR 規範下即屬於個人資料。請設定資料保留期限、建立說明文件，並依時程進行刪除。Purple 擁有 ISO 27001 認證，並通過 GDPR 與 CCPA 認證，能為您的供應商評估提供有力證明。如需更廣泛的控制措施設定，請參閱 WiFi security 與 Guest network security: A practical Guide for 2026。

實際案例情境

以下兩個情境為示範性質的架構設計，非特定客戶的實際部署。產生的成果皆源自架構設計本身。

擁有 70 個單位的購物中心替換租戶 SSID

現況。 該購物中心廣播了 14 個 SSID：包含訪客、中心員工，以及早期為大型租戶建立的 12 個租戶 SSID。其餘 58 個單位則在單一 VLAN 上共用同一個租戶密碼。只要有一家租戶離場，就代表中心內的其他所有租戶都必須變更該密碼。

處置方式。 IT 部門將所有網路整合為三個 SSID：訪客、採用 802.1X 搭配 EAP-TLS 的中心員工，以及一個 xPSK 租戶 SSID。所有 70 個單位都獲得了專屬的金鑰與 VLAN，收銀機等裝置則使用獨立裝置金鑰。IT 部門逐一遷移原本使用獨立 SSID 的 12 家租戶，並在裝置完成遷移後移除舊有 SSID。監視器（CCTV）與樓宇管理系統也遷移至同一租戶 SSID 下的專屬金鑰與 VLAN。

成果。 每個天線廣播的 SSID 從 14 個減少到 3 個。每台無線基地台每秒發送的信標訊框（Beacon frame）從約 137 個降至約 29 個。租戶離場的處理程序從需要重設 58 家店家的金鑰，簡化為僅需撤銷單一金鑰。過去在共用 VLAN 上完全開放的租戶間流量，現在已在閘道端進行阻擋，並每季進行測試。

市鎮地方政府營運、包含週末攤商的集市廣場

現況。 一處公營集市廣場擁有 40 個固定攤位以及多達 25 個週末攤商。每位攤商都使用同一個多年未曾變更的共用密碼。已經離場的前攤商依然可以在停車場連線。

處置方式。 每個固定攤位都獲得了專屬金鑰與 VLAN。週末攤商則獲得對應至共用且具備客戶端隔離（Client isolation）之攤商 VLAN 的個人金鑰，因此他們的裝置無法互相連線。值班經理將撤銷所有週末金鑰納入週日打烊檢查清單的一環，並於週六分配攤位時發放新金鑰。

成果。 市鎮地方政府從使用一個長期共用的密碼，轉變為擁有 40 組固定金鑰以及最多 25 組每週金鑰。金鑰的使用期限不會超過持有該金鑰的攤商租期。此外，地方政府也獲得了所有金鑰發放與撤銷的完整記錄，這是以前所缺乏的。

常見問題與排除方法

異常現象	可能原因	解決方案
裝置已連線但分配至預設 VLAN	RADIUS 回應缺少 VLAN 屬性，或 SSID 忽略了 RADIUS VLAN 覆寫設定	請確認 Purple 中的金鑰與 VLAN 對應設定，並在 SSID 上啟用 RADIUS VLAN 分配功能
裝置已連線但未取得 IP 位址	租戶 VLAN 未 Trunk 至該無線基地台（AP）的交換器連接埠，或缺乏 DHCP 範圍	請將該 VLAN 新增至 Trunk，並確認 DHCP 範圍設定設定正確
較舊型的收銀機或終端機無法連線	SSID 設定為僅限 WPA3，或強制要求保護管理訊框 (Protected Management Frames)	針對該 SSID 使用帶有 AES 的 WPA2-PSK，或使用 WPA2/WPA3 過渡模式
已撤銷權限的租戶仍然在線	現有會話（session）會持續存在，直到裝置重新連線	發送 CoA 中斷連線命令，或在設備廠商的主控台中移除該用戶端
某一租戶可存取另一租戶的網路	核心交換器或閘道器上允許跨 VLAN 路由	在租戶 VLAN 之間新增拒絕（deny）規則並重新測試
租戶 VLAN 上出現未知裝置	租戶將其金鑰分享給鄰居或承包商	撤銷該金鑰並發行新金鑰，同時告知指定的聯絡人

成本是多少？您能獲得什麼回報？

成本。 您不需要購買新的無線存取點、控制器或交換器。您只需支付 Purple Access 的訂閱費用，加上規劃 VLAN、Trunking 與防火牆規則的工程時間。此後，每個租戶在入駐時只需一筆紀錄、一個 VLAN 與一組金鑰，並在離場時進行一次撤銷作業。

您獲得的回報。

• 空口時間（Airtime）。 使用單一租戶 SSID 取代每個租戶獨立的 SSID，因此信標（beacon）開銷不會再隨著每次租約增加而成長。
• 控制與隔離（Containment）。 外洩或離職所影響的金鑰只會影響單一租戶，而非整個商場。
• 合規證據。 金鑰的發行與撤銷日誌支援 PCI DSS 需求 2.3.2。網路區隔測試支援需求 11.4.5。
• 規模化擴充。 Purple 在超過 80,000 個真實場域運行，並在 2024 年處理了 4.4 億次登入（根據 Purple 內部數據）。即使是擁有 70 個單位的商場也不會帶來額外負擔。

如果您的商場員工仍在使用共享密碼，請下一步將他們進行轉移。跨多據點將員工 WiFi 從共享密碼轉移至 802.1X 中說明了具體步驟。更多存取設計請參閱 Access 指南。

常見問題

這是否適用於我們商場現有的無線存取點？

是的，Purple 以雲端重疊（cloud overlay）的方式運行在您現有的無線存取點上，無需淘汰重鋪。Purple 支援跨廠商硬體，包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 以及 Fortinet。對於租戶 xPSK 網路，請確認您的機型與韌體支援搭配 RADIUS 指派 VLAN 的多金鑰 PSK。Meraki 稱此功能為 iPSK，Aruba 稱之為 MPSK，Ruckus 則稱之為 DPSK。

租戶可以共用無線存取點但不共用網路嗎？

是的，這正是為每個租戶提供獨立金鑰與 VLAN 的核心意義。所有租戶都透過相同的無線存取點連線至相同的 SSID。每組金鑰會將該租戶的裝置指派至其專屬的 VLAN。閘道器上的防火牆規則接著會阻擋租戶 VLAN 之間以及與商場自身系統之間的流量。相鄰單位共用無線電頻道與空口時間，但絕不共用 Layer 2 網路。

購物中心需要多少個 SSID？

這三個面向涵蓋了大多數的購物中心。您需要一個帶有 Captive Portal 的開放式訪客網路供顧客使用，以及一個供每個租戶和購物中心無螢幕設備使用的 xPSK 網路。此外，請為購物中心員工新增一個安全的 802.1X 網路，並透過 Microsoft Entra ID、Okta 或 Google Workspace 進行身份驗證。由於每個額外新增的 SSID 都會增加每個射頻的 Beacon 負擔，因此請避免為每個租戶單獨建立一個 SSID。

當租戶搬離時，我們該如何移除其 WiFi 存取權限？

您只需在 Purple 中撤銷該租戶的金鑰，新連線就會立即停止。請將金鑰撤銷列入租約到期的檢核清單中，並將日期設定為租約結束日。已經連線的設備可能會保持連線狀態，直到它們重新連線為止。如果您的平台支援，您可以透過 RADIUS Change of Authorisation 將其斷線，或是直接從設備廠商的主控台進行操作。接著在重新分配 VLAN 之前先將其隔離。

這是否能讓租戶的收銀機符合 PCI DSS 合規要求？

不行，單靠網路設計無法讓商家達到合規。每個租戶仍需為自己的 PCI DSS 評估負責。不過，為每個租戶提供獨立的金鑰和 VLAN 確實能為特定要求提供佐證。例如，要求 2.3.2 涵蓋了當知情人員離職時更換無線金鑰的規定；要求 11.4.5 則涵蓋了每年對區隔控制措施進行滲透測試的規定。您可以在租戶提出要求時，向他們分享您的網路區隔測試結果。

我們可以限制每個租戶的頻寬嗎？

可以，您可以在廠商的主控台中，針對每個租戶金鑰對應的群組、角色或 VLAN 來設定上限。Cisco Meraki 群組策略和 HPE Aruba 使用者角色都支援速率限制，其他廠商也提供相應的功能。您可以定義幾個等級，例如 Kiosk 攤位、標準店面和主力店家。在入駐時將每個租戶分配至相應等級，這樣單一店家就不會佔用過多頻寬而影響鄰居的收銀機。

我們如何在不停機的情況下，從「一租戶一 SSID」的架構進行轉移？

您可以採取逐一租戶轉移的方式，讓新舊網路平行運行。首先建立 xPSK SSID，然後將該租戶的設備轉移至新的金鑰和 VLAN。當所有設備完成轉移後，再移除該租戶舊有的 SSID。建議先從小型專櫃開始，以驗證 VLAN Trunking 和防火牆規則。之後再安排於營業時間之外處理較大的店家。