网络最佳实践始于一个基本现实：根据 英国政府 2025 年网络安全漏洞调查，在 2025 年，43% 的英国企业报告在过去 12 个月中遭受过网络安全破坏或攻击。对于场馆或企业而言，问题不再是是否要保障网络安全，而是访问权限、变更和离职流程的管理是否足够完善，从而最大程度减少安全隐患。
访客网络应当便捷，但在设计上应保持默认不信任。员工、访客、租户和运营设备需要不同类型的访问权限，当人员离职、设备变得不安全或基础设施升级时，这些权限也必须相应调整。
核心网络最佳实践一览
43% 的泄露或攻击比例表明网络安全是风险管理的基础组成部分，而非可选升级。从六项控制措施开始，降低未经授权访问的几率，并使故障更容易得到遏制。
| 做法 | 防止的风险 | 最重要的适用场景 | 首先检查 |
|---|---|---|---|
| 按受众和用途进行隔离 | 单台设备受损后的横向移动 | 访客和员工共享网络场所 | 访客和员工流量是否位于独立的 VLAN 上？ |
| 认证每个用户和设备 | 共享密码被盗和未管理的设备 | 员工网络和共享密钥场所 | 是否有任何员工访问是通过共享密码授予的？ |
| 将管理流量与用户流量隔离 | 攻击者访问控制器和管理控制台 | 所有多分支机构场所 | 访客设备能否访问控制器地址？ |
| 通过测试和回滚控制变更 | 配置变更引发的自我造成网络中断 | 多分支机构和 24/7 运营场所 | 每次变更是否有责任人和回滚步骤？ |
| 监控认证与访问 | 静默故障和撤销延迟 | 医疗保健、酒店和零售业 | 每周是否对登录失败和撤销情况进行审查？ |
| 自动撤销访问权限 | 离职员工和到期承包商保留访问权限 | 员工、承包商和租户网络 | 从目录变更到网络权限删除需要多长时间？ |
良好的网络实践绝非一次性应用厂商默认设置后就一劳永逸。它是一套针对真实威胁相匹配的控制措施，根据人员和设备实际使用网络的方式进行核对，并在需求变化时持续维护。
针对三种不同的受众进行设计
访客需要简单直接的网络连接，但绝不能让他们访问内部系统。员工需要根据其角色访问指定的应用程序，并具备可靠的权限撤销机制。运维设备（如收银机、传感器和建筑控制设备）通常只需要与少数服务通信，且可能不支持现代登录方式。
单一的共享网络会让这三类群体同时面临风险。共享密码使得难以识别连接的人员或设备，而广泛的访问权限可能让一台受到威胁的设备接触到它本无权访问的系统。即使是加密良好的 WiFi 连接也无法解决这种访问权限问题。
使用该表格进行差距检查。如果对任何首次检查问题的真实回答是“否”，请将该行作为优先修复的候选项。本指南的其余部分将介绍如何设计区域、选择身份验证、在变更期间维持服务，以及在人员或设备不再需要时收回访问权限。
如何为场所与企业设计网络区域
场所网络就像一栋建筑：每个房间都需要独立的锁。酒店的客房、后勤办公室、厨房收银机和机房不应共享一把钥匙。应根据使用者和用途对设备进行分组，而不仅是按楼层或交换机划分。
| 网络区域 | 典型用户和设备 | 允许访问的权限 | 核心控制措施 |
|---|---|---|---|
| 访客（Guest） | 访客的手机和笔记本电脑 | 仅限互联网，无法访问内部地址 | 独立 VLAN、客户端隔离和会话限制 |
| 员工（Staff） | 受管理笔记本电脑和手持设备上的员工 | 对应其角色的特定内部应用 | 证书或目录登录以及基于角色的策略 |
| 运营与 IoT | 收银机、传感器、楼宇控制和打印机 | 仅限供应商服务或控制器 | 独立 VLAN 和默认拒绝规则 |
| 租户或居民 | 每位居民的手机、游戏机和电视 | 仅限其自身的私有网络 | 每个租户拥有唯一密钥且租户之间相互隔离 |
| 管理（Management） | 无线接入点、交换机和控制器 | 来自受管理设备的指定管理员 | 独立管理平面以及管理员登录 MFA 认证 |
根据实际依赖关系构建安全区域
首先，列出每个设备类别及其所有者。包括隐蔽性较高的设备，例如打印机、楼宇控制系统、支付终端和接入点。如果资产清单中没有指定的所有者，当设备被更换或其用途发生变更时，将很难保持数据的准确性。
其次，梳理哪些区域需要通信以及它们需要哪些服务。不要只写“收银机需要网络访问”；而应明确其需要连接的支付服务或控制器。第三，默认拒绝区域之间的通信，然后仅允许梳理出的流量。酒吧的刷卡机可能需要连接其支付提供商，但完全没有理由访问员工的文件共享。
这种方法确实比将所有设备放在同一个网络上需要更多的规划。当出现真正的业务需求变更时，它也会带来额外的维护工作，因为必须有人更新并测试相关规则。但这是值得的权衡 - 明确且严谨的策略比没人记得何时添加的一堆宽泛例外规则更容易审查。
根据 英国政府《2025年网络安全漏洞调查技术报告》，在2025年，3% 的英国企业报告在过去 12 个月中遭受过勒索软件入侵或攻击。网络分段有助于在设备受到威胁时控制后果。一台受感染的收银机不应拥有访问办公系统的路径。
访客流量可以放在独立的 VLAN 上。对其进行配置，使访客的笔记本电脑可以访问互联网，但看不到内部地址；请在访客设备上验证这种隔离效果，而不是仅依赖网络拓扑图。VLAN 提供了有用的网络边界，但它并不能证明网络内部的每次请求都是安全的。访问规则仍需决定哪些服务和系统可以相互通信。
为访客和员工选择身份验证方式
根据身份和设备能力选择身份验证，而不是根据 SSID。即使访客已经完成身份验证，访客网络仍应被视为不可信。员工访问权限需要其专属的身份检查，以及当人员或设备不再符合条件时撤销访问权限的流程。
| 方法 | 每个用户或设备对应唯一身份 | 撤销单个用户而不影响其他用户 | 最佳适用场景 |
|---|---|---|---|
| 共享预共享密钥 | 否 | 否，每个设备都需要更新密钥 | 旧版设备和小型私有场所 |
| 带有电子邮件或社交登录的 Captive Portal | 每个访客账户对应唯一身份 | 是，通过 Portal 页面操作 | 场所内的临时访客 |
| Passpoint 或 OpenRoaming | 每个设备和账户对应唯一身份 | 是，通过服务提供商操作 | 需要自动连接的常客 |
| Identity PSK (xPSK) | 每台设备或个人对应一个密钥 | 是，撤销该密钥即可 | IoT 设备以及无法运行证书的设备 |
| 带证书的 802.1X | 每台设备对应一张证书 | 是，撤销或停止续订该证书即可 | 受管理的员工笔记本电脑和手持设备 |
| 带目录登录的 802.1X | 每个用户对应唯一身份，并关联至目录 | 是，禁用该账户即可 | 使用企业账户登录的员工 |
使验证方式与访问模式相匹配
对于临时访客，Captive Portal 可以将访客与场所可随时撤销的账户绑定。Portal 仅控制准入，不控制已准入设备可访问的内容。请保持访客流量隔离，并在登录后限制访问权限。身份验证不能替代网络策略。
对于常客，Passpoint 或 OpenRoaming 可以在配置文件配置完成后实现自动连接，从而减少重复登录。请将这些流量与员工和业务服务保持隔离。便利性改变的是访客的连接方式，而不是他们应该获得的访问权限级别。
员工设备需要绑定到个人或托管设备的凭据。带证书的 802.1X 为每台托管设备提供独立的凭据。基于目录的登录将访问权限与企业账户关联，因此禁用该账户即可撤销用户的访问权限。选择适合组织现有身份和设备管理流程的选项，并在部署前指定负责撤销权限的负责人。如果没有明确负责人，离职人员的访问权限可能会在其账户或设备本应被移除后继续存在。
xPSK（即身份预共享密钥）适用于传感器、旧款收银机以及其他无法使用证书的设备。为每个设备或个人分配独立的密钥，使管理员可以撤销单个身份，而无需更换整个网络中的凭据。共享预共享密钥则没有个人身份的概念：删除一个用户可能意味着需要向每台设备分发新密钥，而漏掉的设备可能会保留访问权限。
Purple 的员工 WiFi 连接方式包括 Passpoint、xPSK、Certificate WiFi 以及通过 MDM 进行的 WiFi 连接。员工 WiFi 可以运行在企业现有的 AP（无线接入点）上，无需构建任何 PKI。对于需要企业级身份验证的员工，WPA-Enterprise 使用 802.1X 而非共享密码。这里的运维权衡非常明确：更强大的个人凭据可以提高控制力，但需要清晰的配置、更新和撤销流程。
英国信息专员办公室（ICO）警告称，未加密的 WiFi 可能会泄露私密文件和信息。其 WiFi 安全指南 建议启用加密并关闭对未知网络的自动连接。应用这些保护措施后，请将访客接入视为不可信网络：在适当情况下对用户或设备进行身份验证、隔离网络流量并记录访问决策。
NCSC 的零信任架构原则 侧重于识别用户、设备和服务，评估上下文，并根据策略对每个请求进行授权。在实际操作中，这意味着身份验证只是决策的一部分。请保持访客和员工访问权限的分离，在设备支持的情况下使凭据能够单独撤销，并明确在身份或设备状态发生变化时由谁采取行动。
无共享风险的多租户网络
公寓楼共享管道和水表，但每套公寓都锁着自己的门。共享的 WiFi 安装也可以以同样的方式工作。共享接入点并不意味着共享访问权限 - 关键问题在于每个租户是否拥有独立的身份和私有网络，以及架构设计是否能够阻止一个租户访问另一个租户的网络。
使每位住户的访问权限保持独立
为每位居民、租户或设备分配唯一的密钥，并将每个租户的流量与其他人相互隔离。借助 xPSK，可以注销单个身份的密钥，而无需更改整栋大楼的凭据。与每次有居民搬走就必须重新分发的单个共享密码相比，这更适合租户搬入和搬出的管理。
无浏览器设备需要特别注意。电视或游戏机可能无法打开 Captive Portal 并完成基于 Web 的登录。它需要在连接前配置身份，以便它可以加入居民的私有网络，而不会被允许进入邻居或大楼管理层使用的网络。
Purple 的 多租户 WiFi 指南 描述了为每位住户的所有设备（包括游戏机和电视）提供专用私有网络。其多租户 WiFi 可以将每位住户的网络与其他访客隔离，其 xPSK 方法提供带有租户隔离功能的唯一预共享密钥。这使得物业团队能够使用共享的基础设施，同时为每个家庭提供独立的访问边界。
将搬离视为一次访问权限变更
当退租时，撤销该租户的密钥并移除关联的访问权限。不要更换整个大楼共享的密码并要求每个居民重新连接。这在实际应用中的好处兼顾了安全性与服务质量：一个人的离开不应给其他所有租户带来支持方面的麻烦。
多租户设计可以使用建筑内已安装的无线接入点，包括 Meraki, Aruba, Ruckus 和 UniFi。这样可以避免仅为了引入独立身份识别而更换正常工作的硬件，但仍然需要对身份层进行配置和运营。在批准设计方案前，请测试租户设备之间的隔离性，测量新住户获取密钥的速度，并指定在退租时负责撤销权限的人员或团队。
签收测试：将一台测试设备提供给一个租户，然后尝试访问另一个租户的设备以及楼宇管理网络。两次尝试均应失败。
防止宕机的监控与变更控制
配置变更可能会对客户造成严重影响。Ofcom 的 Connected Nations 报告发现，从客户损失时长来看，网络变更活动引发了最严重的案例，而硬件故障占总损失时长的比例不足三分之一。Ofcom Connected Nations UK report 将变更控制视为核心的可靠性实践，而非仅用于重大升级的纸面上工作。
确保每项变更均可逆
对防火墙规则、SSID 变更、控制器更新和认证策略修改使用相同的简短流程：
- 首先在实验网络或单个站点上测试变更。
- 安排一个适合依赖该服务的人员的变更窗口。
- 记录能够批准和监督工作的指定负责人。
- 在开始前写好回滚步骤，并确认以前的配置可用。
如果设备或依赖关系有所不同，在实验室中可行的变更仍可能在繁忙的站点失败。分阶段实施，在每个阶段后检查身份验证和访问权限，如果观察到的行为与预期结果不符，请立即停止。如果没有人知道如何执行回滚计划，那么该计划就毫无用处。
| 信号 | 它反映的信息 | 预警信号 |
|---|---|---|
| 身份验证失败率 | 错误凭据、过期证书或失效的策略 | 变更或续订日期后突然上升 |
| RADIUS 响应时间 | 身份验证服务器能否在高峰期跟上需求 | 签到或繁忙时段登录缓慢 |
| 目录变更至撤销时间 | 离职人员保留网络访问权限的时长 | 长于约定的目标时间（例如一个工作小时） |
| 到达内部网段的访客流量 | 访客隔离是否有效 | 任何大于零的计数 |
| 无工单记录的配置变更 | 谁在何时更改了什么 | 任何没有负责人或记录的变更 |
| 每个区域的客户端数量 | 容量与异常使用情况 | 非高峰时段持续出现峰值 |
仅对变更和有意义的趋势发出警报，而不是针对每次失败的登录。如果员工收到大量低价值的警报，他们就会逐渐忽略这些警报。定期审查身份验证失败率和撤销时间，并调查与变更、证书更新或业务高峰期相关的突增情况。
按照固定的固件更新计划维护无线接入点、交换机、控制器和 VPN 设备。记录每个场所运行的版本，以便团队能够识别哪些位置需要升级，以及某项更改是否引入了新问题。分析工具有助展示网络速度和场所覆盖范围；Purple Connect 包含监测这两项指标的网络分析功能。如果平台报告使用情况或用户人口统计数据，请先明确收集目的和合法依据，然后将收集范围限制在场所所需的最低限度。Purple 的门户网站还会发送每周 WiFi 使用情况 KPI（包含用户人口统计数据），因此在使用该报告功能之前，请先确定您的组织需要审查哪些内容。
人员离职时如何撤销访问权限
共享密钥可能会让前员工的设备在其离职后继续保持连接。要防止这种情况，可以将网络访问与明确的身份和设备生命周期绑定，并配备可重复的权限撤销流程。NCSC 2025 年的网络安全指南强调了最小权限原则、了解身份和网络架构，以及持续关注设备的健康状况和行为。指南还指出，VPN 软件和设备在其整个生命周期内都需要进行维护。
每次都使用相同的撤销顺序
- 禁用目录账户或移除授予网络访问权限的员工组。 这为团队终止访问权限提供了一个集中控制点。
- 撤销或停止更新设备证书。 检查分配给该人员的每台托管设备，因为在账户变更后，设备凭据可能仍处于可用状态。
- 撤销该人员的身份密钥。 如果他们使用的是个人 xPSK，请移除该密钥，而不是更改其他用户的凭据。
- 测试设备无法重新进行身份验证。 使用测试账户或已移除的设备，确认新的连接尝试失败。
- 审查撤销后会话的身份验证日志。 访问权限变更后的成功登录需要进行调查。
- 回收或擦除托管硬件，然后记录经过的时间。 测量从目录变更开始，直到确认设备无法加入网络的时间。
为承包商设置到期自动失效的访问截止日期。租户退租时，按相同流程撤销其专用密钥。如果设备丢失，应立即撤销其证书或身份密钥，而不是等待定期审查。
在权限撤销期间，身份路径必须保持可用。单个本地认证服务器出现故障可能会延迟访问权限的移除，而过时的 VPN 或设备软件可能会带来额外的风险。Purple 的 员工 WiFi 生命周期方案 采用云 RADIUS，提供 99.9% 正常运行时间 SLA。无论使用何种系统，请为访问权限移除指定负责人，并在发生紧急离职前测试该流程。
跟踪从目录变更到网络权限移除的时间，并每月根据约定的限额进行审查。如果访问权限保留时间长于目标，请找出延迟点：目录同步、证书处理、手动任务或资产清单中遗漏的设备。清晰的记录有助于更轻松地解决重复出现的漏洞。
上线前的部署检查清单
从设备清单开始，而不是从策略界面开始。记录每个接入点、交换机和控制器及其固件版本和所有者。xPSK 和 Multi-Tenant WiFi 支持 Meraki、Aruba、Ruckus 和 UniFi 接入点，因此在规划身份管理工作之前，请对照支持列表检查每个星期的硬件。
按顺序执行这些检查。通过条件应当是可以测试和记录的事项，而不是口头保证。
- 清点设备资产。当每个 AP、交换机和控制器都有记录的固件版本和指定的责任人时，即为通过。
- 保护管理员访问安全。当默认管理员密码已更改且未使用的管理接口已被禁用时，即为通过。
- 隔离管理流量。当管理系统位于独立于访客和员工 VLAN 的网络上时，即为通过。
- 测试访客隔离。当访客设备无法收到来自内部地址（包括控制器地址）的任何响应时，即为通过。
- 检查员工权限。当员工设备可以访问为其角色允许的应用程序、但无法访问其他内部服务时，即为通过。
- 检查证书。当记录了到期日期且续订警报已启用时，即为通过。
- 测试 RADIUS 弹性。当备用认证路径可用且已记录的降级方案正常工作时，即为通过。
- 验证日志记录。当认证事件进入日志存储库并可被调取审查时，即为通过。
- 运行撤销演练。当目录变更删除了访问权限且记录了所用时长时，即为通过。
- 保存备份和回滚计划。当备份了当前配置且变更责任人可以获取书面回滚步骤时，即为通过。
对于涉及在线服务的检查，请在受控的时间窗口内进行测试，并让变更负责人准备好恢复先前的配置。访客设备对控制器地址无响应，是比显示独立 VLAN 的架构图更有说服力的测试结果。
上线后放在项目文件夹里的检查表无法确保网络安全。请定期运行该检查表，并在站点、设备类型或访问策略发生变更时再次运行。
决定首先改进哪项实践
从风险暴露最大的漏洞开始入手，而不是从项目进展汇报中最容易描述的漏洞开始。如果共享的员工密码可以访问场所的各个区域，请首先替换它：一个泄露的密钥就可能给未经授权的人员提供广泛的访问权限。接下来，优化离职流程，确保访问权限不会在离职后继续有效。然后将访客流量与内部系统隔离开来。
将工作推进纳入 90 天规划路线
- 第 1 到 2 周：建立站点和设备清单、指定负责人，并规划区域和所需的通信路径。
- 第 3 到 6 周：隔离访客和员工流量，然后将员工迁移到基于证书或目录登录的方式。
- 第 7 到 10 周：投入运行监控和变更控制，包括指定的负责人和经过测试的回滚步骤。
- 第 11 到 12 周：运行完整的权限撤销演练，测量网络移除所需的时间，并修复任何延迟问题。
尽早决定是在本地运行身份堆栈还是使用托管平台。您自己的 RADIUS 服务器和证书颁发机构可以为您提供控制权，但您的团队必须维护它们、支持更新并规划故障应对。托管平台可以减少团队需要操作的身份管理工作，但在签约前请审查其正常运行时间承诺和数据处理方式。
Purple 的 Staff WiFi 和 xPSK 解决方案提供定制化定价，具体基于物业组合规模、AP（无线接入点）数量以及身份提供商的需求。针对访客 WiFi，Purple 针对其 Capture 和 Engage 计划提供 30 天免费试用；试用结束后，客户可以继续使用所选套餐，也可以转为免费的 Connect 计划。服务提供商的选择不会改变首要的操作任务：根据每个星期的硬件库存完成部署检查，然后根据发现的情况确定身份验证工作的规模。
Purple 提供了访客 WiFi、员工身份验证和多租户网络功能，旨在支持的现成硬件上用基于身份的访问取代共享密码。请访问 Purple，探索适合您场所的方案，开始规划一个合规用户访问便捷、按角色受限且易于撤销权限的网络。
