一位病房经理在班次结束时叫住了您。同一条走廊上的三名家属无法进行视频通话，一位患者的平板电脑不断跳回登录页面，并且有人在白板上写下了“这里的 WiFi 太垃圾了”。AP 正常运行，门户已上线，仪表板上的各项指标看起来均无异常。
“已连接”与“可用”之间的差距，正是大多数医院访客 WiFi 项目停滞不前的原因。在有人统计上午 10 点门诊部有多少人之前，无线电规划就已经签署通过了。登录方式是由当时打开模板的人随意决定的。而访客所需的安全建议 - 无论他们是在进行网上银行操作还是参加视频预约 - 都停留在风险登记册上，从未呈现在登录页面上。
这三个决策密不可分。信号、身份识别和公开发布的预期是一个整体设计，而不是在网络构建好后再补上免责声明。以下是我建议的实施顺序（从无线电工勘到试点病房），以及在第一个 AP 上线前值得与临床管理小组提出的权衡方案。
国家基准已经制定。截至 2019 年 3 月底，NHS WiFi Programme 已在 98% 的 NHS trusts中引入了免费 NHS WiFi，并覆盖了 8,000 多个医疗护理中心，为超过 6300 万名来访患者提供了免费网络连接。访客网络接入不再是备用 VLAN 上的附带项目。它是整个基础架构的一部分。
在购买硬件之前规划容量和无线电目标
三个数字决定了医院访客 WiFi 能否在繁忙的病房中保持稳定：主信号、延迟和信道负载。门户网站品牌化是后续步骤，因为如果病房塞满人时关联断开，这一切都毫无意义。
NHS England 建议在各类 NHS 环境中将主 RSSI 保持在至少 -65 dBm，并将可接受的延迟描述为大约 20 到 250 ms，同时指出这两个数值均非绝对标准，应根据所使用的应用程序进行验证（NHS England 关于评估 WiFi 性能指标的指南）。请将其视为底线要求而非具体规格。床边的 -65 dBm 读数仅证明链路可以建立连接，但并不能说明同一病房内的 40 个人是否都能在晚上 8 点顺利进行视频通话。
勘测您实际拥有的建筑
在发出采购订单之前，请拿着工勘工具走遍每个楼层。注意遮挡信号的因素：衬铅成像室、查房期间移动的病床隔板、混凝土服务核心区，以及家属等待出租车的地库走廊。也要对室外入口区域进行工勘，因为那是人们出院时站在那里试图叫车的地方。
频段选择属于容量决策，而非个人偏好。NHS英格兰国家医疗服务体系（NHS England）将 2.4 GHz 确定为公共访客和旧设备的频段（这些设备对覆盖范围的需求高于吞吐量），并在客户端和接入点支持的情况下，将 5 GHz 用于提供容量。禁用 2.4 GHz 会影响旧款手机的使用；而在 2.4 GHz 上运行所有业务，则相当于把空口时间拱手让给无线电信号最强的设备。
按高峰期规划，而非平均值。周二上午 10 点测得的网络数据会让所有设计看起来都很完美。真正重要的读数是在探视日晚上 7 点测得的数据。
然后测量访客对网络造成的影响：每个接入点的并发客户端数量、信道利用率、丢包率、DHCP 和 DNS 响应，以及身份验证完成的速率。请使用视频和即时消息而非 Ping 命令来进行压力测试，并在每次病房搬迁或建筑物改造后重复此测试，因为新设备或重新布置的病床区都会改变覆盖图灵。
| 指标 | 目标 | 备注 |
|---|---|---|
| 主信号 (RSSI) | -65 dBm 或更强 | NHS 英格兰在面向患者区域的目标 |
| 延迟 | 约 20 到 250 ms | 针对视频通话和消息传递进行验证 |
| 面向公共和旧版设备的频段 | 2.4 GHz | 更广覆盖，更低容量 |
| 面向容量的频段 | 5 GHz | 在客户端和接入点支持的地方使用 |
| 高峰期并发客户端数 | 在实际探视时间统计每个接入点的数量，然后据此向上设计 | 您的实际访客数量，而非供应商给出的数字 |
| 信道利用率 | 排查探视时间段内获取的任何持续偏高的读数 | 空闲时段的读数会掩盖竞争问题 |
| 丢包率 | 在负载测试期间设置您自己的阈值 | 在高峰期重新测试，而不是在夜间 |
该表中的每个数值都需要重新测量，而不是一次性签字通过。如果您要从零开始制定测试计划，射频勘测和信道规划指南 更深入地涵盖了勘测机制。
为每个区域选择合适的登录方式
让团队措手不及的权衡取舍并不是加密或成本，而是究竟有多少访客根本没有完成登录。
将共享密码印在塑封告示牌上看似成本极低，但当您看到排队的家属用单手大拇指在破裂的屏幕上艰难输入时，其隐形成本便显现无遗。此类方式不具备单用户身份标识，亦无法提供基于单设备的加密保护，因此它仅适用于为期一天的临时活动，而非患者家属可能持续连接数小时的病房环境。
通过强制门户进行电子邮件注册是大多数医疗信托基金最终采用的模式。维多利亚女王医院 NHS 基金会信托于 2014 年 11 月在病房、门诊候诊区、咖啡馆和餐厅部署了免费 WiFi，用户可以通过注册电子邮件地址来换取密码，同时限制流媒体和音乐下载，以确保其他所有人的带宽容量（NHS英格兰关于将患者连接至数字服务的转型博客）。身份验证、条款同意和带宽控制融于单一流程中。虽然技术在不断演进，但这一模式始终如一。
| 方法 | 设置工作量 | 加密 | 访客身份 | 最适用场景 |
|---|---|---|---|---|
| 带条款页面的开放网络 | 低 | 无 | 除接受条款外无其他信息 | 数据需求极低的等待区 |
| 标识牌上的共享密码 | 低 | 仅共享密钥 | 无针对单用户的信息 | 短期活动，非病房环境 |
| 带电子邮件的强制门户 | 中 | 开放，除非应用了 WPA2/WPA3 | 经同意收集电子邮件 | 普通访客接入 |
| Passpoint (Hotspot 2.0) | 高 | WPA2/3-Enterprise | 账号或配置文件 | 常客及员工配发设备 |
| 品牌应用或账号 | 中 | 决定其依附网络的保护级别 | 账号 | 高频光顾的访客 |
门户在何处出现故障，以及由谁接管
某些设备完全无法完成强制门户验证。较旧的 Android 手机、受限的工作笔记本电脑和电子阅读器停留在登录页面上且无法加载成功，无论对门户进行多少微调，都无法修复拒绝打开的浏览器。这不仅是一个技术问题，也是一个人员配置问题。病房里需要有人能够通过某种途径注册设备，且失败提示信息中应当提供病房电话号码，而非通用的错误代码。
Passpoint 在有固定人员反复进入的场景中能发挥很大作用。完成一次性配置文件安装后，设备即可自动连接并享有企业级安全保护，非常适合复诊门诊患者和员工配发的平板电脑。它需要支持该功能的接入点和配置路径，且无法替代那些无法安装配置文件的高龄或特殊手机。
无论您选择哪种方法，请在访客能看到的地方公布限制条件。Nottinghamshire Healthcare 告知访客，NHS WiFi 可能无法在所有区域使用，且不适合用于电视视频流播放或语音和视频通话（Nottinghamshire Healthcare 免费 WiFi 页面）。这是坦诚的做法，比在登录页面上承诺影院级体验更为明智。
任何电子邮件或账户收集都需要在 UK GDPR 下提供明确的同意步骤，并且数据应仅用于在收集时所述的目的。与任何商业网络相比，大号字体、对屏幕阅读器友好的登录页面在这里更为重要。关于登录页面结构和同意流程的更多细节，请参阅这份 强制门户设计指南。
如何将访客流量与临床系统隔离开来
请将访客接入视为恰好位于您建筑物内的不可信互联网服务。NHS England 的配置指南要求制定关于内容过滤、合理使用、自带设备 (BYOD) 规则和容量监控的文件化本地策略，以及可接受使用策略并拦截非法或不当内容。网络控制措施应放在首位，因为策略文件无法阻止受到威胁的手机扫描放射科子网。
- 将访客置于其独立的 SSID、VLAN 和防火墙区域中。受到威胁的访客设备应当陷入死胡同，无法访问任何敏感区域。常见的失误是将访客 VLAN 与会议室或前台系统共享，仅仅是因为当时这样配置更快。
- 拒绝向临床、生物医学、管理和打印机子网进行横向访问。出于方便考虑，没有任何例外。墙上常见的裂缝是为了让员工可以用个人手机打印而开放打印机访问权限，这为通往管理范围内的打印服务器打开了通道。
- 仅允许访客所需的出站服务。这通常意味着 Web 流量加上 DNS，VPN 和现代应用程序需求应经过审慎处理，而不是盲目假定。全盘允许的出站规则会将您的访客 VLAN 变成别人的攻击平台。
- 过滤、限速、隔离和过期。DNS 和内容过滤、单客户端速率限制、客户端隔离（使访客之间无法互看），以及根据您自己的治理策略（而非借用其他信托机构的设置）设置会话过期时间。设置 NHS WiFi 的指南要求通过已认证和未认证的渗透测试证明隔离性，因此请将该证明内置于设计中，而不是在收到投诉后进行补救。
- 记录身份验证、DHCP、NAT 和安全事件，并在需要时出示书面的保留和访问策略。没有记录在案的保留规则的日志记录只是包装成证据的隐患。
- 在登录页面公开之前测试区域规则。任何从访客到临床响应的路由都应当天修复，而不是列入积压事项。
当有人告知真相时，访客能做出更好的决定。某些信任声明明确警告，访客流量有可能被另一个无线用户拦截，并且不包含任何隐私预期。共享密码正是让您避免写下这句话的罪魁祸首，而这句话恰恰是访客需要阅读的内容。
共享密钥可以加密流量，但无法提供基于每位用户的身份标识：所有掌握预共享密钥的人员在网络中均无从区分，这使得上述警告切合实际而非危言耸听。如果网络设计假设访客将结合已安装补丁的设备及其自身的终端防护来使用 HTTPS，请在访客接受的条款中予以说明，并将 Portal 页面完成率、支持联系频次、已拦截策略事件以及隔离测试结果作为关键的运营指标进行监测。对于更广泛的整体架构，这份 企业WiFi安全指南 深入探讨了网络分段与访问控制模式。
访客可在访客 WiFi 上安全进行的操作
以下是患者和护理人员会询问，但大多数医院页面都未予解答的问题：我能在该网络上使用网上银行、参加视频预约或打开工作文件吗？
免费并不意味着安全，各类信任通知恰恰证明了这一点。部分通知将 NHS WiFi 描述为共享公共网络，并建议对个人或敏感信息保持警惕；而其他通知则将网络接入简单描述为选择网络并接受条款（King's College Hospital WiFi 和娱乐页面）。这是针对同类服务所传递出的两种截然不同的信息，访客接收到的内容完全取决于具体机构发布的相关声明。请在网络设计阶段与 SSID 及登录方式同步制定您的通知条款，而非推迟至上线之后。
这关乎的比便利性更为广泛。缺乏可靠的 WiFi 是导致部分人群完全无法使用数字医疗服务的原因之一。如果访客网络仅能浏览网页，却无法用于 NHS 应用登录，那么最依赖它的患者将一无所获。
| 任务 | 访客 WiFi 评估结论 | 建议改用 |
|---|---|---|
| 通过 HTTPS 进行常规网页浏览、查看新闻和地图 | 合理 | 访客 WiFi |
| 通过 HTTPS 与家人收发消息 | 合理，避免发送敏感细节 | 访客 WiFi |
| 网上银行操作 | 避免 | 移动数据网络 |
| 登录包含个人健康数据的 NHS 应用程序 | 避免 | 移动数据网络 |
| 视频问诊 | 避免 | 移动数据网络 |
| 访问工作系统与文件 | 避免 | 员工专用支持通道 |
改变这一答案的关键在于加密，而网络名称无法向访客提供任何相关信息。HTTPS 虽能保护页面内容，但在开放网络或共享密钥网络上，连接元数据依然可见且可能遭到截获，这也是各类信任通知在措辞语气上差异巨大的原因所在。构建于单设备独立密钥之上的网络能够从根本上改变这一现状；然而，无论 Portal 页面看起来多么令人放心，开放式网络都无法做到这一点。因此，针对“在此网络上可以安全地进行哪些操作”这一问题的真实答案，早在首位访客连接之前就已由架构设计决定。如果您的网络架构仅支持安全的 HTTPS 浏览，请清晰明确地公布这一提示，并同时引导用户选择其他替代方案。
值得印在登录页面上的规则：如果信息出现在陌生人的屏幕上会伤害到您，就不要通过访客 WiFi 传输。
为人们提供替代方案。移动数据流量可以覆盖银行业务、健康应用登录和视频问诊。个人 VPN 在某些企业系统上有所帮助，但可能会导致其他系统崩溃，因此请说明其局限性，而不是一味推荐。安排一名能够在病房电脑前提供协助的工作人员，并为没有合适设备的人员提供电话号码，这可以为完全无法自助服务的访客弥补这一差距。
在访客 WiFi 出现故障时进行测试、监控和响应
上线前，请从两个起点运行隔离测试：已身份验证的访客会话和未身份验证的会话。尝试从每个起点访问临床、生物医学、管理和打印机子网。任何成功的访问都需要当天修复，因为您要测试的失败模式是一条已编写但从未应用的规则。
上线后，五个运维信号将告诉您设计是否奏效。技术支持联系最为重要，它们通常比监控系统更早发现故障，特别是在病房搬迁或建筑物改动后的两周内。将每个指标与触发器相匹配，以便告警包含指令而不是只有图表。
| 指标 | 重要性 | 审查触发条件 |
|---|---|---|
| 门户完成率 | 显示访客是否能实际连入网络 | 探视时间段内持续下降 |
| 会话时长 | 确认过期设置按设计正常运行 | 会话时长超出策略许可范围 |
| 策略拦截事件 | 显示过滤机制正在对真实流量起作用 | 单一区域内突然激增 |
| 隔离测试失败 | 确认访客无法访问临床子网 | 出现任何失败，限当天 |
| 技术支持联系次数 | 尽早发现隐藏故障 | 病房或建筑物变更后出现上升 |
在需要之前确定事件响应流程
明确记录谁有权撤销访客会话、谁可以隔离访客 SSID、如何处理受感染的访客设备，以及由谁根据数据保留策略记录事件。一页纸上写明四个负责人的名字，胜过晚上七点发生问题时的推诿争吵。建议与感染控制和地产设施团队共同演练一次该流程，因为在探视时间内发生的访客 WiFi 故障，不仅是网络问题，更是患者沟通问题 - 走廊里的家属和网络团队一样需要得到明确的信息通知。
变更控制往往是访客网络安全隐患的根源。更换交换机、设置新防火墙规则或重新对病房布线，都可能重新打开上线时已关闭的路径，且在再次运行隔离测试之前无人察觉。请将访客隔离添加到标准变更后检查列表中，而不是依赖年度审查。
当不断增加的技术支持呼叫被视为一起事件而非背景噪音时，监控才算发挥了应有的作用。
也要观察投诉的分布形式。一条走廊内持续出现零星投诉属于覆盖问题；全院范围内爆发登录投诉通常是认证或 DNS 问题；新设备送达后某个病区集中出现投诉则两者都不是，其解决方案属于物业设施部门，而非无线控制器。
在全面推出前运行试点
一个病房、一个探视周，以及对之前做出的每个决定给予书面通过或不通过判定。这就是我在大楼全面推广前设置的关卡，因为试点成本远低于失败的推广，且能提供指导小组可以采取行动的依据。
从无线射频测量开始。在实际探视时间内，实地测量病房、候诊区和户外通道的主信号，确认 -65 dBm 的目标信号强度是否达标，而不是直接假设前期的勘测具有代表性。然后用三种设备完整测试登录流程：一台最新的智能手机、一台可能无法完成门户加载的旧款手机，以及一台笔记本电脑。记录每台设备所需的时间以及测试者放弃操作的环节，因为这些放弃登录的情况就是您需要安排备用人工服务支持的场景。
接下来进行隔离测试，分别从已身份验证和未身份验证的会话开始，零失败率。在任何人进行身份验证之前，请确认登录页面上显示了通俗易懂的安全使用须知，并且合规使用政策、自带设备 (BYOD) 政策和数据保留政策已通过签署而不仅仅是处于草案阶段。根据您的监控表设置审查触发条件，并为每一个条件指定责任人。
如果员工和访客接入在同一园区内重叠，则应在此阶段入围供应商，而非等硬件到货之后。Purple 在单一云平台上运行访客 WiFi、员工 802.1X 安全和私有局域网，其访客连接方式涵盖强制门户、Passpoint 和应用，且员工身份验证支持与 Entra ID、Google 以及 Okta 对接。请将该方案与您现有的控制器和身份配置进行对比，然后在扩大部署前先在单个病房安排试点。
在信号、隔离、登录完成度和公开发布的预期方面均通过的试点，能为您提供商业论证中罕有的东西：决定背后整整一周的真实访客流量数据。只有在这四个方面全部通过时，才可以扩大到下一个病房。
Purple 为医院提供了一种方便访客完成的访客接入管理方式，将品牌化强制门户、Passpoint 支持以及单访客授权集成在同一个处理员工身份验证的平台中。因此，网络信号、身份认证和发布的告警信息可以在上线前统一规划，而非在事后拼凑。如果您正在规划病房试点，或准备替换已不再适用的共享密码，请访问 Purple，了解如何将访客网络和员工网络无缝对接至您现有的接入点设备。
