什么是 OpenRoaming

> [!NOTE] > **核心要点：WBA OpenRoaming 一览** > - **零阻碍连接**：WBA OpenRoaming 允许移动用户自动连接到参与计划的企业 WiFi 网络，无需展示页面或手动输入密码。 > - **企业级安全**：基于 Passpoint (Hotspot 2.0) 和 IEEE 802.1X WPA3-Enterprise 协议构建，对所有无线流量进行端到端加密。 > - **运营商分流与分析**：使场馆能够分流蜂窝网络流量、减轻网络拥堵，并在超过 80,000 个实时活跃场馆中获取经过验证的人流量分析。 > - **硬件无关性**：直接与来自 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 和 Ubiquiti UniFi 的现有企业级接入点集成。 OpenRoaming 是由无线宽带联盟 (WBA) 管理的全球无线漫游标准。它允许移动设备自动发现、验证并连接到企业 WiFi 网络，无需用户输入密码或填写 Captive Portal 网页表单。 通过将 Passpoint (Hotspot 2.0) 技术与 RadSec 联合认证相结合，OpenRoaming 将公共和商业 WiFi 转化为类似于蜂窝漫游的无缝公用服务。 ## WBA OpenRoaming 对比 Passpoint 对比传统 Captive Portal 了解不同访客 WiFi 连接方式之间的区别，有助于 IT 和场馆管理者选择合适的入网策略。 | 功能特性 | WBA OpenRoaming | Passpoint (Hotspot 2.0) | 传统 Captive Portal | | :--- | :--- | :--- | :--- | | **认证协议** | 联合 WPA3-Enterprise (802.1X) | IEEE 802.11u / 802.1X | 网页表单 / 未加密 PSK | | **用户入网阻碍** | 即时（零点击） | 一次性配置文件安装 | 每次访问均需手动输入表单 | | **无线加密** | 端到端 WPA2/3-Enterprise | 端到端 WPA2/3-Enterprise | 通常为开放式 / 未加密 HTTP | | **跨场馆漫游** | 跨场馆的全球联合 | 特定场馆或特定域名 | 不支持漫游 | | **身份验证** | 加密验证的 IdP | 证书 / SIM 凭证 | 自主声明的电子邮件或表单 | | **防范邪恶双胞胎攻击** | 内置身份验证 | 内置身份验证 | 无（易受欺骗攻击） | ## OpenRoaming 工作原理：技术工作流 OpenRoaming 通过联合 RADIUS 架构在 WiFi 接入点和身份提供商 (IdP) 之间建立安全桥梁。 1. **信标发现**：接入点广播包含 WBA 网络接入标识符 (NAI) 领域信息的 802.11u / Passpoint 功能帧。 2. **凭证匹配**：当智能手机或笔记本电脑进入覆盖范围时，其操作系统会检查存储的凭证（例如 SIM 卡、云身份配置文件或 Google/Microsoft ID）。 3. **RadSec 认证**：接入点将 EAP-TLS 或 EAP-TTLS 认证请求通过 TLS 加密的 RADIUS (RadSec) 路由至匹配的身份提供商。 4. **加密会话密钥交换**：在身份确认成功后，接入点会发布唯一的成对主密钥 (PMK)，以加密客户端与接入点之间的所有空中数据帧。 ## 部署 OpenRoaming 为企业场所带来的优势 对于购物中心、交通枢纽、体育场馆和大学校园等高客流量场所，OpenRoaming 解决了关键的运营和营销挑战。 ### 1. 消除访客入网流失 当访客遇到缓慢的表单加载或必填字段时，传统的 Captive Portal 会出现流失率。OpenRoaming 在符合条件的访客进入大楼的那一刻自动为其建立连接。 ### 2. 高保真位置分析和人流量跟踪 OpenRoaming 使场所能够跟踪停留时间、重复访问率和跨场所移动模式，而无需依赖未经证实的表单输入。通过在 Purple 网络中处理超过 290 亿个数据点，场所可以获得准确的运营情报。 ### 3. 密集人群的蜂窝数据分流 在体育场馆或机场航站楼等大型场所，蜂窝基站会遭遇严重的网络拥堵。OpenRoaming 允许移动运营商将数据流量分流到本地高容量企业 WiFi 网络上，而不会中断用户会话。 > [!TIP] > **在您现有的 WiFi 基础设施上部署 OpenRoaming** > Purple 使企业场所能够在 Cisco Meraki、HPE Aruba、Ruckus 和 Juniper Mist 硬件上启动 WBA OpenRoaming 和 Passpoint 配置文件，而无需进行物理升级。 > [与 WiFi 安全专家联系](https://www.purple.ai/speak-to-an-expert) 或浏览我们的 [访客 WiFi 指南](/guest-wifi-guide)。 ## 部署 WBA OpenRoaming 的技术要求 在企业场所部署 OpenRoaming 需要四个核心组件： * **兼容 Passpoint 的接入点**：支持 IEEE 802.11u 和 Passpoint 版本 2 或 3 的企业级硬件。 * **RadSec RADIUS 网关**：能够将身份验证请求代理到 WBA RadSec 集线器的云 RADIUS 服务。Purple 提供具有 99.999% 可靠运行时间的云托管 RADIUS-as-a-Service 。 * **身份提供商联合**：与公认的身份提供商、运营商 SIM 数据库或自定义场所配置文件分发商进行集成。 * **网络切片**：隔离的 VLAN 路由，确保访客流量与内部企业网络完全隔离。 ## Passpoint 和 OpenRoaming：它们如何协同工作 虽然 Passpoint 和 OpenRoaming 等术语经常互换使用，但它们代表了连接堆栈的不同层级： * **Passpoint (Hotspot 2.0)** 是由 WiFi 联盟开发的技术标准，可实现设备级别的自动发现和 802.1X 加密。 * **OpenRoaming** 是由 WBA 创建的全球策略和身份验证联合，允许支持 Passpoint 的设备在不同的场所网络中进行身份验证。要了解更多关于实施无密码身份认证的信息，请阅读我们详细的 [ Enterprise WiFi Security Guide](/enterprise-wifi-security-guide) 和 [WiFi Marketing Guide](/wifi-marketing-guide)。 ## 关于 OpenRoaming 的常见问题 ### 什么是 WBA OpenRoaming？ WBA OpenRoaming 是由无线宽带联盟（Wireless Broadband Alliance）建立的全球无线漫游联盟。它允许用户在无需密码或登录页面的情况下，自动且安全地连接到全球参与场馆的 WiFi 网络。 ### OpenRoaming 在公共 WiFi 网络上安全吗？ 是的。OpenRoaming 使用 WPA3-Enterprise 和 WPA2-Enterprise 802.1X 加密。每次连接都会通过身份提供商进行身份验证，并进行空中加密，从而保护客户端设备免受窃听和邪恶双胞胎接入点的侵害。 ### OpenRoaming 和 Captive Portal 有什么区别？ Captive Portal 要求用户手动选择 SSID，打开浏览器窗口，并提交详细信息或接受条款。而 OpenRoaming 则使用加密证书或 SIM 凭据在后台自动对设备进行身份验证。 ### 场馆需要升级硬件以支持 OpenRoaming 吗？ 大多数来自 Cisco Meraki、HPE Aruba、Ruckus 和 Juniper Mist 等厂商的现代企业级接入点都支持通过固件配置来实现 Passpoint 和 OpenRoaming，无需购买新硬件。 --- ### 准备好升级您的访客 WiFi 体验了吗？ Purple 能够帮助企业级场馆轻松部署 OpenRoaming、Passpoint 和安全的访客分析。[立即联系我们的团队预约演示](https://www.purple.ai/book-a-demo) 或阅读我们的 [ Captive Portal Guide ](/captive-portal-guide)。