Zum Hauptinhalt springen
Deutsch

Hotel Guest WiFi Architecture: PMS Integration, Captive Portals, and Bandwidth Control

Dieser Leitfaden bietet ein umfassendes Framework für die Architektur von Hotel-WiFi-Netzwerken der Enterprise-Klasse. Er beschreibt die technischen Anforderungen für VLAN-Segmentierung, PMS-Integration über FIAS, Captive Portal-Design und Bandbreitensteuerung pro Client, um Sicherheit, Compliance und optimale Leistung zu gewährleisten.

📖 6 Min. Lesezeit📝 1,401 Wörter🔧 2 ausgearbeitete Beispiele❓ 3 Übungsfragen📚 8 Schlüsseldefinitionen

Diesen Leitfaden anhören

Podcast-Transkript ansehen
Welcome to the Purple Technical Briefing. Today we are covering hotel guest WiFi architecture - specifically the three pillars that determine whether your deployment succeeds or fails: PMS integration, captive portal design, and bandwidth control. If you are an IT manager, a network architect, or a CTO responsible for a hotel or a portfolio of properties, this briefing is for you. We will get into the technical detail, but we will keep it practical. Every point connects to a decision you will need to make. Let us start with the architecture itself. A hotel WiFi network is not a standard office deployment. It has to serve at least three distinct populations simultaneously: guests, staff, and building systems. Each has completely different security, performance, and compliance requirements. The foundational mistake most deployments make is treating all three as one network. The correct approach is VLAN segmentation - Virtual Local Area Networks, defined in the IEEE 802.1Q standard. You create logically separate networks on the same physical infrastructure. Guest WiFi sits on VLAN 10, isolated from everything internal. Staff access sits on VLAN 20, authenticated via 802.1X against your RADIUS server. IoT devices - smart TVs, thermostats, door locks - sit on VLAN 30 with strict firewall rules limiting what they can reach. And if you have point-of-sale terminals anywhere on the property, they need their own VLAN entirely, because PCI DSS requires cardholder data environments to be isolated from all other network traffic. This is not optional. It is a baseline compliance requirement. And it is also your primary defence against lateral movement - the attack pattern where a compromised guest device probes your internal systems. Now, for the wireless layer. If you are deploying new infrastructure today, you should be specifying WiFi 6 - IEEE 802.11ax. In high-density environments like conference rooms or large event spaces, WiFi 6E adds the 6 gigahertz band, giving you significantly more spectrum to work with. The key performance improvement over the previous generation is OFDMA - Orthogonal Frequency Division Multiple Access - which allows a single access point to serve multiple clients simultaneously rather than sequentially. In practical terms, you are looking at roughly four times the throughput capacity per access point compared to WiFi 5, with much lower latency under load. Access point placement matters more than most people realise. The instinct is to put APs in corridors. That is wrong. In a hotel, you want in-room coverage. Best practice is one AP per room, or at minimum one per two rooms, mounted in the ceiling or behind the TV. This eliminates the corridor shadow problem where signal has to penetrate two walls to reach a guest. For public spaces - lobbies, restaurants, conference rooms - commission a proper RF site survey before finalising placement. Every access point should be wired. Cat 6A to each AP, terminated at a PoE switch on each floor. Mesh WiFi is fine for a home. In a hotel, you need deterministic, low-latency backhaul. Now let us talk about PMS integration - the property management system. This is where hotel WiFi architecture diverges most sharply from a standard enterprise deployment. The PMS is the system of record for every guest stay. It knows who checked in, which room they are in, when they check out, and what rate category they booked. Integrating your captive portal with the PMS allows guests to authenticate using their room number and surname - no password to remember, no voucher code to type. The captive portal sends a real-time API query to the PMS, validates the credentials against active reservations, and grants access within 200 to 500 milliseconds. The protocol that underpins most of these integrations is FIAS - the Fidelio Interface Application Specification. Originally developed for the Fidelio PMS, now Oracle Opera, FIAS has become the de facto standard for hotel system interfaces. Beyond authentication, PMS integration enables automatic session management. When a guest checks out, the PMS sends a checkout event to the WiFi platform, which revokes their access token immediately. No manual intervention required. The data value here is significant. Every authenticated WiFi session creates a verified guest record - name, email, room type, length of stay, device type. That data, captured with explicit GDPR consent at the splash page, becomes a first-party marketing asset. Purple's platform has processed 440 million logins in 2024 across 80,000 venues. Guest data captured through PMS-integrated captive portals consistently achieves validation rates of 70 to 80 percent, versus 30 to 40 percent for unvalidated form submissions. Let us move to captive portal design. A captive portal is the authentication gateway guests hit when they first connect. It intercepts HTTP traffic and redirects the browser to a hosted page before granting internet access. The technical mechanism works like this. The access point or controller assigns the guest device a restricted IP address. All HTTP requests are redirected to the portal URL via a DNS intercept. The guest authenticates. The controller receives an authorisation signal from the RADIUS server. The device MAC address is added to the allowed list. Normal internet access is granted. GDPR compliance at the captive portal is non-negotiable. Your splash page must present a clear privacy notice, explicit consent options for marketing, and a mechanism for guests to exercise their data rights. Critically, consent to use the WiFi is not the same as consent to receive marketing emails. These must be separate, unbundled consent options. Purple's platform handles this natively, with consent records tied to each user profile and audit trails available for regulatory review. For security, WPA3 is the current standard. WPA3-Personal uses Simultaneous Authentication of Equals - SAE - which eliminates the dictionary attack vulnerability present in WPA2-PSK. For guest networks, an open SSID behind a captive portal with Opportunistic Wireless Encryption provides encryption without requiring a pre-shared key. Client isolation must be enabled on all guest SSIDs to prevent peer-to-peer traffic between guest devices. Now, bandwidth control. This is the third pillar, and it is the one most often under-engineered. The rule of thumb for hotel bandwidth planning is this: plan for peak demand, not average demand. For a mid-scale property, budget 10 to 25 megabits per second per room. For a full-service hotel, 25 to 50 megabits per second per room. For a luxury or conference-focused property, 50 to 100 megabits per second per room. Per-client rate limiting prevents any single guest from saturating your uplink. On Cisco Meraki, you set this as a per-client bandwidth limit on the SSID. On HPE Aruba, it is a user role policy applied via the controller. On Juniper Mist, it is a WLAN rate limit policy. The mechanism differs by vendor, but the principle is the same: define a downstream and upstream cap per device, and enforce it at the controller level. Quality of Service - QoS - sits above rate limiting. WMM, WiFi Multimedia, is the 802.11e standard that defines four traffic queues: voice, video, best effort, and background. VoIP and video calls should be prioritised in the voice and video queues. Web browsing and downloads fall into best effort. Configuring WMM correctly means a guest on a video call does not get disrupted when the person in the next room starts a large download. Now let me give you the implementation recommendations and the pitfalls to avoid. Start with a site survey. Before you touch a single cable, walk the property with a spectrum analyser. Identify existing interference sources - neighbouring networks, microwave ovens in the kitchen, DECT phones at reception. This informs your channel plan and AP placement. Second, design your VLAN architecture before you configure anything. Map out: Guest WiFi VLAN, Staff VLAN, IoT and Building Systems VLAN, and Management VLAN. Get this documented and approved before deployment. Third, size your internet uplink correctly. For a 200-room hotel at 80 percent occupancy, planning for 25 megabits per room at peak gives you a minimum committed bandwidth of 4 gigabits per second. A leased line with burstable capacity is the right product here - not a standard broadband connection. The pitfalls. The most common one is under-provisioning the uplink and then blaming the wireless infrastructure when guests complain. Nine times out of ten, slow hotel WiFi is an internet bandwidth problem, not a radio frequency problem. The second pitfall is deploying a captive portal that collects data but has no downstream marketing workflow. You have built the data asset. Now use it. Pre-stay emails, post-stay surveys, loyalty programme enrolment, targeted offers during the stay. Quick-fire questions. Do I need WiFi 6 or will WiFi 5 do? If you are deploying new infrastructure today, always go WiFi 6. The cost difference is minimal and the performance headroom is significant. Should I charge guests for WiFi? No. In 2026, paid guest WiFi is a guest satisfaction liability. How do I handle a guest who complains about slow WiFi? First, check your internet uplink utilisation. Second, check the AP association count. Third, check for rogue APs or interference on your channel plan. To wrap up. Hotel guest WiFi architecture done properly is a strategic asset, not a utility cost. The three things to take away: One - segment your network from day one. Guest, staff, and IoT on separate VLANs, with a firewall between them. Two - integrate your captive portal with your PMS. Room number and surname authentication gives you verified guest data and seamless session management. Three - size your internet uplink for peak demand, not average demand, and implement per-client rate limiting to protect the experience for every guest on the network. Thanks for listening.

header_image.png

Executive Summary

Bei der Hotel-WiFi-Architektur geht es längst nicht mehr nur um die Abdeckung; es geht um sichere Segmentierung, nahtlose Authentifizierung und darum, Betriebskosten in ein strategisches Daten-Asset zu verwandeln. Für IT-Manager und Netzwerkarchitekten, die Infrastrukturen in Hotellerie -Betrieben bereitstellen, ist die Behandlung von Gäste-, Mitarbeiter- und Gebäudesystemen als ein einziges flaches Netzwerk ein kritischer Schwachpunkt. Dieser Leitfaden beschreibt die technischen Anforderungen für Hotel-WiFi der Enterprise-Klasse und konzentriert sich auf drei Hauptsäulen: die Integration des Captive Portals in Ihr Property Management System (PMS) über FIAS zur nahtlosen Gästeverifizierung, die Bereitstellung einer robusten VLAN-Segmentierung zur Erfüllung der PCI-DSS-Anforderungen und die Durchsetzung von Bandbreitensteuerungen pro Zimmer, um eine konsistente Leistung zu gewährleisten. Indem Sie Ihre Hardware-Strategie – ob Cisco Meraki, HPE Aruba, oder Juniper Mist – auf eine intelligente Guest WiFi -Authentifizierung abstimmen, sichern Sie Ihre Umgebung und erfassen gleichzeitig die hochwertigen First-Party-Daten, die zur Förderung von Kundenbindung und Umsatz erforderlich sind.

Hören Sie sich das Briefing an

Technischer Deep-Dive: Architektur und Segmentierung

Ein Hotelnetzwerk muss gleichzeitig Gäste, Mitarbeiter und Betriebstechnik bedienen, ohne die Sicherheit oder Leistung einer einzelnen Gruppe zu beeinträchtigen. Die grundlegende Anforderung ist die logische Trennung mithilfe von Virtual Local Area Networks (VLANs) nach dem Standard IEEE 802.1Q.

Sie müssen den Datenverkehr auf Switch-Ebene isolieren. Das Guest WiFi benötigt ein eigenes VLAN, das durch eine Firewall vollständig von internen Ressourcen getrennt ist. Der Mitarbeiterzugang sollte über ein separates VLAN erfolgen, das durch 802.1X-Authentifizierung gegenüber einem RADIUS-Server gesichert ist (mit Integration von Identitätsanbietern wie Microsoft Entra ID oder Okta). Ein drittes VLAN muss IoT-Geräte wie intelligente Thermostate, Türschlösser und Videoüberwachung (CCTV) isolieren. Schließlich müssen alle Point-of-Sale-Systeme in einem isolierten VLAN betrieben werden, um die PCI-DSS-Compliance zu wahren. Diese Segmentierung eliminiert den Angriffsvektor für laterale Bewegungen und stellt sicher, dass ein kompromittiertes Gästegerät Ihre Property Management Systeme nicht ausspähen kann.

Wireless-Ebene und Platzierung der Access Points

Für die Hochfrequenz-Ebene (RF) ist Wi-Fi 6 (IEEE 802.11ax) der Mindeststandard für neue Bereitstellungen. Es führt Orthogonal Frequency Division Multiple Access (OFDMA) ein, wodurch ein einzelner Access Point mehrere Clients gleichzeitig bedienen kann. Dies bietet etwa die vierfache Durchsatzkapazität von Wi-Fi 5 und reduziert die Latenz in Umgebungen mit hoher Dichte erheblich.

Die physische Platzierung der Access Points (APs) bestimmt die Leistung. Das traditionelle Modell der AP-Platzierung in Fluren zwingt Signale dazu, dicke Brandschutztüren und Badezimmerleitungen zu durchdringen, bevor sie den Gast erreichen. Sie müssen ein In-Room-AP-Modell implementieren – mindestens ein AP pro Zimmer oder ein AP für zwei Zimmer. Jeder AP benötigt eine kabelgebundene Cat-6A-Verbindung zurück zu einem PoE-Switch; ein Mesh-Backhaul ist für Hotelumgebungen der Enterprise-Klasse ungeeignet.

Property Management System (PMS) Integration

Das PMS ist die zentrale Datenquelle für den Hotelbetrieb. Die Integration Ihrer WiFi-Authentifizierungsebene in das PMS transformiert das Gästeerlebnis und verbessert die Datenqualität radikal.

Authentifizierung über FIAS

Wenn sich ein Gast mit dem Netzwerk verbindet, wird er zu einem Captive Portal weitergeleitet. Anstatt sich auf ein generisches Passwort oder ein unbestätigtes E-Mail-Formular zu verlassen, ermöglicht die PMS-Integration dem Gast, sich mit seinem Nachnamen und seiner Zimmernummer zu authentifizieren. Die Captive Portal-Plattform fragt das PMS in Echtzeit ab – in der Regel über das FIAS-Protokoll (Fidelio Interface Application Specification) –, um die Anmeldedaten mit aktiven Reservierungen abzugleichen. Diese API-Validierung erfolgt in weniger als 500 Millisekunden.

pms_integration_diagram.png

Sitzungsmanagement und Datenqualität

Diese Integration automatisiert den Lebenszyklus von Sitzungen. Wenn ein Gast auscheckt, löst das PMS ein Ereignis aus, das den WiFi-Zugang sofort widerruft. Wenn ein Gast seinen Aufenthalt verlängert, verlängert sich die Netzwerksitzung automatisch.

Noch wichtiger ist, dass die PMS-Integration das Problem der Datenqualität löst. Standardformulare zur E-Mail-Erfassung weisen häufig Fehlerquoten von 30 % auf. Durch den Abgleich mit dem PMS erfassen Sie einen verifizierten Gästedatensatz, der mit spezifischen Aufenthaltsdaten verknüpft ist. Purple hat im Jahr 2024 440 Millionen Logins verarbeitet, und unsere Daten zeigen, dass PMS-integrierte Captive Portals Validierungsraten von 70 % bis 80 % erreichen. Diese konsentierten First-Party-Daten fließen direkt in Ihr CRM und ermöglichen zielgerichtete WiFi Analytics und Marketing nach dem Aufenthalt.

Captive Portal-Design und Sicherheit

Das Captive Portal ist Ihr primärer Mechanismus zur Datenerfassung und Compliance-Einhaltung. Es funktioniert, indem es dem Gästegerät eine eingeschränkte IP-Adresse zuweist und einen DNS-Intercept verwendet, um den HTTP-Verkehr auf die Splash-Page umzuleiten. Sobald sich der Gast authentifiziert und die Bedingungen akzeptiert hat, autorisiert der RADIUS-Server die MAC-Adresse, und der vollständige Internetzugang wird freigegeben.

GDPR und entkoppelte Einwilligung

Ihr Captive Portal muss explizite, granulare Einwilligungsoptionen bieten. Die Einwilligung zur Nutzung des Netzwerks darf nicht mit der Einwilligung für Marketingkommunikation gekoppelt werden. Die Plattform von Purple unterstützt dies nativ und verknüpft überprüfbare Einwilligungsnachweise mit individuellen Benutzerprofilen.

Verschlüsselung und Client-Isolierung

Sie müssen die Client-Isolierung auf der Guest-SSID aktivieren. Dies verhindert pPeer-to-Peer-Kommunikation, die verhindert, dass ein Gastgerät ein anderes scannt oder darauf zugreift. Für die Verschlüsselung ist WPA3 der Standard. Während WPA3-Enterprise das Mitarbeiternetzwerk sichert, sollten Gastnetzwerke, sofern unterstützt, Opportunistic Wireless Encryption (OWE) nutzen, was eine individuelle Verschlüsselung für offene Netzwerke ohne ein gemeinsames Passwort ermöglicht. Weitere Details zum sicheren Zugriff finden Sie in unserem Leitfaden EAP Method WiFi: Ein Leitfaden für sicheren Netzwerkzugriff .

Bandbreitenkontrolle und QoS

Das Bandbreitenmanagement ist die letzte Säule einer stabilen Architektur. Die Hauptursache für Beschwerden von Gästen ist ein unterdimensionierter Internet-Uplink.

Sie müssen die Bandbreite basierend auf der maximalen gleichzeitigen Nachfrage bereitstellen, nicht auf dem durchschnittlichen Verbrauch. Die empfohlenen Zuweisungen sind:

  • Budget / Mid-Scale: 10–25 Mbit/s pro Zimmer
  • Full-Service: 25–50 Mbit/s pro Zimmer
  • Luxus / Konferenz: 50–100 Mbit/s pro Zimmer

Für ein Objekt mit 200 Zimmern bei einer Auslastung von 80 % erfordert die Zuweisung von 25 Mbit/s pro Zimmer einen garantierten Mindest-Uplink von 4 Gbit/s. Eine dedizierte Standleitung ist zwingend erforderlich.

Rate Limiting und QoS-Richtlinie

Um zu verhindern, dass ein einzelner Benutzer den Uplink auslastet, müssen Sie ein Rate Limiting pro Client auf Controller-Ebene erzwingen. Unabhängig davon, ob Sie Cisco Meraki, HPE Aruba oder Ubiquiti UniFi einsetzen, konfigurieren Sie eine feste Obergrenze für den Downstream- und Upstream-Traffic pro Gerät.

Über dem Rate Limiting steht Quality of Service (QoS). Unter Verwendung des WMM-Standards (WiFi Multimedia) müssen Sie den Datenverkehr in vier Warteschlangen priorisieren. VoIP- und Videoanrufe erfordern eine hohe Priorität, um sicherzustellen, dass der Microsoft Teams-Anruf eines Gasts nicht durch einen anderen Gast beeinträchtigt wird, der eine große Datei in der Best-Effort-Warteschlange herunterlädt.

bandwidth_control_chart.png

Implementierungsleitfaden

Befolgen Sie diese Reihenfolge für eine erfolgreiche Bereitstellung:

  1. Führen Sie eine RF-Standortvermessung (Site Survey) durch: Gehen Sie mit einem Spektrumanalysator durch das Gebäude, um Störquellen zu identifizieren, bevor Sie die Platzierung der APs planen.
  2. Entwerfen Sie die VLAN-Architektur: Dokumentieren Sie Ihre VLANs für Gäste, Mitarbeiter, IoT und POS. Konfigurieren Sie explizite Default-Deny-Firewall-Regeln zwischen ihnen.
  3. Dimensionieren Sie den Uplink: Berechnen Sie die Spitzenlast basierend auf dem Richtwert von 25 Mbit/s pro Zimmer und beschaffen Sie eine dedizierte Standleitung.
  4. Stellen Sie das Captive Portal bereit: Integrieren Sie das Portal in Ihr PMS. Testen Sie den Authentifizierungsfluss, die Einwilligungserfassung und den Sitzungswiderruf auf iOS-, Android- und Windows-Geräten.
  5. Überwachen und anpassen: Überwachen Sie nach der Bereitstellung die Anzahl der AP-Verbindungen und die Uplink-Auslastung, um Funklöcher oder Bandbreitenengpässe zu identifizieren.

Fehlerbehebung & Risikominderung

Die häufigsten Fehlerursachen bei WiFi-Bereitstellungen in Hotels resultieren eher aus mangelhafter Planung als aus Hardwareausfällen.

  • Die Beschwerde "Langsames WiFi": Dies ist selten ein RF-Problem. Überprüfen Sie zuerst die Auslastung Ihres Internet-Uplinks. Wenn die Leitung ausgelastet ist, hilft auch die beste AP-Optimierung nicht. Überprüfen Sie zweitens die Client-Verteilung auf die APs; wenn ein AP 40 Clients hat und ein benachbarter AP nur 5, muss Ihre Band-Steering-Konfiguration angepasst werden.
  • Die "Datensilo"-Falle: Die Bereitstellung eines Captive Portals ohne nachgelagerte Integration ist eine Fehlinvestition. Die bei der Anmeldung erfassten Daten müssen automatisch in Ihre Marketing-Automatisierungstools einfließen, um Treueprogramme für den Einzelhandel oder das Gastgewerbe zu unterstützen.
  • Das Risiko flacher Netzwerke: Eine fehlende Segmentierung des kabelgebundenen Netzwerks beeinträchtigt die drahtlose Sicherheit. Wenn ein Gast einen Laptop an einen frei zugänglichen Ethernet-Port in einem Konferenzraum anschließt und auf das Mitarbeiter-VLAN zugreift, ist Ihre Architektur gescheitert. Stellen Sie sicher, dass Switch-Ports in öffentlichen Bereichen dem Gast-VLAN zugewiesen oder vollständig deaktiviert sind.

ROI & geschäftliche Auswirkungen

Enterprise-WiFi erfordert erhebliche Investitionen, liefert aber bei korrekter Architektur messbare Erträge. Der ROI wird über drei Kanäle realisiert:

  1. Operative Effizienz: Die PMS-Integration erübrigt die manuelle Erstellung von Gutscheinen und die Fehlerbehebung an der Rezeption, wodurch die Mitarbeiter jede Woche stundenlang entlastet werden.
  2. Erfassung von First-Party-Daten: Ein authentifiziertes Captive Portal baut eine Datenbank mit verifizierten Gästeprofilen auf. Diese Daten ermöglichen Direktbuchungskampagnen und verringern die Abhängigkeit von Online-Reisebüros (OTAs) und den damit verbundenen Provisionsgebühren.
  3. Gästezufriedenheit: Zuverlässiges, schnelles WiFi ist ein Hauptfaktor für positive Bewertungen. Ein segmentiertes, ordnungsgemäß bereitgestelltes Netzwerk eliminiert Reibungspunkte, die zu negativem Feedback führen, was sich direkt auf den Ruf des Hauses und die durchschnittliche Tagesrate auswirkt.

Schlüsseldefinitionen

VLAN (Virtual Local Area Network)

A logical subnetwork that groups a collection of devices on the same physical infrastructure, isolating their broadcast traffic from other VLANs.

Essential for separating guest traffic from internal hotel systems and ensuring PCI DSS compliance.

Captive Portal

A web page that intercepts network traffic and requires users to authenticate or agree to terms before granting full internet access.

The primary touchpoint for guest authentication, GDPR consent, and first-party data capture.

FIAS (Fidelio Interface Application Specification)

A universal protocol used by property management systems (like Oracle Opera) to communicate in real-time with third-party systems.

Used by the captive portal to validate a guest's room number and surname against active PMS records.

WPA3-Enterprise

The highest level of WiFi security, requiring individual users or devices to authenticate using unique credentials via a RADIUS server (802.1X).

The mandatory standard for securing staff networks and corporate devices within the hotel.

Client Isolation

A wireless controller feature that prevents devices connected to the same SSID from communicating directly with each other.

Must be enabled on all guest networks to prevent peer-to-peer attacks and protect guest privacy.

Rate Limiting

The practice of restricting the maximum bandwidth (upload and download speed) available to an individual client device.

Crucial for preventing a single guest downloading large files from degrading the network experience for everyone else.

QoS (Quality of Service) / WMM

Network mechanisms that prioritise certain types of traffic (like voice or video) over less time-sensitive traffic (like file downloads).

Ensures that guest VoIP calls or staff communication tools function reliably even when the network is under heavy load.

OFDMA

Orthogonal Frequency Division Multiple Access; a Wi-Fi 6 feature that allows an access point to serve multiple clients simultaneously by dividing channels into smaller sub-channels.

Dramatically improves performance and reduces latency in high-density areas like hotel conference rooms and lobbies.

Ausgearbeitete Beispiele

A 150-room full-service hotel is experiencing frequent guest complaints about slow WiFi during the evening peak (19:00 - 22:00). The property currently has a 1 Gbps broadband connection and uses a single flat network with a shared WPA2 password.

  1. Upgrade the internet uplink to a dedicated leased line providing at least 3.75 Gbps (150 rooms * 25 Mbps). 2. Implement VLAN segmentation, moving guests to an isolated VLAN 10. 3. Deploy a captive portal integrated with the hotel's Oracle Opera PMS via FIAS, allowing guests to authenticate with room number and surname. 4. Enforce per-client rate limiting of 25 Mbps down / 10 Mbps up at the wireless controller to prevent individual devices from saturating the uplink.
Kommentar des Prüfers: This approach addresses the root cause (uplink saturation) while simultaneously resolving the security vulnerability of the flat network. The PMS integration removes the friction of the shared password while enabling valuable first-party data capture.

A luxury resort needs to deploy secure WiFi for staff tablets used for housekeeping and maintenance, while ensuring guest devices cannot access the property management systems.

Create a dedicated Staff VLAN (VLAN 20) separate from the Guest VLAN (VLAN 10). Configure the Staff SSID to use WPA3-Enterprise, authenticating the tablets against the corporate RADIUS server using 802.1X. Apply strict inter-VLAN routing rules at the firewall: default-deny all traffic between VLAN 10 and VLAN 20, and only permit VLAN 20 to reach the specific IP addresses and ports required for the housekeeping application.

Kommentar des Prüfers: Relying on WPA2-PSK for staff devices is a security risk if the passphrase is compromised. WPA3-Enterprise with 802.1X ensures device-level authentication, and the strict firewall policy physically prevents lateral movement from the guest network.

Übungsfragen

Q1. A hotel operations director wants to implement a single, open WiFi network for both guests and the new smart TVs in the guest rooms to 'keep things simple'. As the network architect, how do you respond?

Hinweis: Consider the implications of lateral movement and broadcast domain size.

Musterlösung anzeigen

Advise against this approach. Guest devices and IoT devices (smart TVs) must be segmented onto separate VLANs. Placing them on the same open network exposes the TVs to direct access from guest devices, creating a significant security vulnerability. Furthermore, it increases the broadcast domain, which can degrade overall network performance. The TVs should be on an isolated IoT VLAN (e.g., VLAN 30) with strict firewall rules.

Q2. During a site survey for a new 300-room property, the cabling contractor suggests saving costs by placing one access point in the corridor for every four rooms. Why is this problematic?

Hinweis: Think about RF attenuation and physical obstacles in a hotel environment.

Musterlösung anzeigen

Corridor placement is a flawed design for hotels. The RF signal must penetrate heavy fire doors, mirrored wardrobes, and tiled bathrooms to reach the guest device in the room, resulting in severe signal attenuation and poor performance. The correct design is an in-room AP model—one AP per room, or at minimum one per two rooms—to guarantee direct line-of-sight or minimal obstruction coverage.

Q3. The marketing team wants to automatically subscribe every guest who logs into the WiFi to the hotel's weekly promotional newsletter. How should the captive portal be configured to handle this?

Hinweis: Consider GDPR requirements regarding consent bundling.

Musterlösung anzeigen

The captive portal must be configured with explicit, unbundled consent options. Under GDPR, consent to access the WiFi network cannot be conditional upon consenting to marketing communications. The splash page must provide a separate, unchecked opt-in box for the newsletter. Purple's platform enforces this separation natively, ensuring compliance while capturing verifiable consent records.

Weiterlesen in dieser Reihe

Einrichtung eines Captive Portals auf Starlink: Ein Leitfaden für abgelegene und maritime Standorte

Dieser Leitfaden beschreibt detailliert, wie Sie die native Starlink-Hardware umgehen und ein Cloud-gesteuertes Captive Portal mithilfe von Enterprise-Routing-Geräten integrieren. Sie erfahren, wie Sie die CGNAT-Einschränkung überwinden, eine VLAN-Segmentierung erzwingen, Bandbreitenbeschränkungen von Satelliten verwalten und die Einhaltung gesetzlicher Vorschriften sicherstellen.

Leitfaden lesen →

Hotel Guest WiFi Management: Integrating PMS, Portals, and Brand Standards

Dieser technische Leitfaden beschreibt detailliert die Architektur von Hotel-WiFi-Netzwerken der Enterprise-Klasse, mit Schwerpunkt auf VLAN-Segmentierung, PMS-Integration für automatisiertes Sitzungsmanagement und Captive Portal-Optimierung für eine GDPR-konforme Datenerfassung.

Leitfaden lesen →

Captive Portal Best Practices: Designing for High Conversion and Compliance

Dieser technische Leitfaden bietet IT-Managern, Netzwerkarchitekten und Betriebsleitern von Veranstaltungsorten eine vollständige Blaupause für die Bereitstellung von Captive Portals, die Netzwerksicherheit mit hoher User-Conversion in Einklang bringen. Er deckt die gesamte Architektur ab – von der VLAN-Segmentierung und RADIUS-Authentifizierung bis hin zu GDPR-konformem Consent-Design und der Auswahl von Authentifizierungsmethoden. Basierend auf der operativen Erfahrung von Purple in über 80.000 Standorten und 440 Millionen Logins im Jahr 2024 basiert jede Empfehlung auf realen Bereitstellungsdaten.

Leitfaden lesen →