您又来到了大堂。一名访客正眯着眼睛看打印卡片上的密码。一名员工的笔记本电脑在开会开到一半时掉线。管理大楼的人员无法说出谁在网络上。这种混合情况在酒店、办公室、诊所和购物中心屡见不鲜，这也是为什么企业 WiFi 在多年前就不再仅仅是一项附加礼遇的原因。
当少数笔记本电脑接入同一个办公室时，共享密码行之有效。但当访客、承包商、收银机、摄像头和门禁系统共享同一片无线信道时，它就会失效。访客期望能连上网络。员工期望通话不会中断。设施管理者期望楼宇设备保持运行。没有人能凭记忆来审计这种复杂的混合网络。
为什么 WiFi 成为核心业务服务
前台桌上的密码卡已成为历史。在2010年代初期，公共无线网络不再是什么新鲜事，而是变成了人们在日常前往的场所中经常使用的服务，例如车站、酒店、商店和市政厅。
英国的公共 WiFi 热点从 2013 年 6 月的 33,851 个增加到 2014 年 6 月的 41,798 个，一年内增加了 7,947 个地点，增幅约 23.5%，而 2013 年 6 月的公共 WiFi 流量达到了 1,514,630 GB。到 2015 年 9 月，免费 WiFi 已覆盖英国 22 个城市的 1,000 多栋建筑，九个城市的数百辆公交车和有轨电车提供了网络连接，超过 260 万名独立用户使用了该交通网络，同时还推进了超联通城市计划以及 2012 年伦敦奥运会期间的网络连接工作（英国公共 WiFi 增长）。
大楼所承担的功能
这种扩张覆盖了交通、住宿餐饮、零售和公共场所。酒店、车站和议会办公室突然开始运行一项被客户视为理所当然的服务。员工带来了笔记本电脑。云端工具默认网络连接会保持稳定。天花板上的接入点变成了共享基础设施，而不是可以在闲暇日子随意关闭的福利。
楼宇管理准则：如果客户、员工和访客都希望在您的场所内上网，那么无线网络就是楼宇基础设施的一部分。
对于管理场所而非布线的人员来说，这一转变非常实用。您不再需要决定是否提供 WiFi。您决定的是谁可以加入、他们可以访问什么，以及在下次改造、供应商变更或设备更换后，如何确认这种隔离仍然有效。
企业 IT 继承了同样的期望。移动办公、访客接入和数据赋能业务都在使用同一个无线环境。会议室中断线与访客卡在登录页面，即便故障出自设计的不同环节，都属于服务失效。请将网络服务视为需要严格治理的对象。单一的扁平化网络无法同时承载客户、员工和楼宇系统。
访客 WiFi 与员工 WiFi 承担不同职责
在繁忙的活动期间，访客接入大堂 WiFi，而员工则使用前台后面的系统。这两种连接穿过同一栋大楼，但它们不应打开相同的权限大门。访客与员工 WiFi 需要独立的访问规则，而摄像头和门禁控制器等设备也需要自己的限制。
核心概念：独立的区域就像建筑物中明确划分的不同空间。访客可以进入大堂，而员工和楼宇设备只能访问其工作所需的空间。
访客流量是临时性的。酒店住客、购物者、患者家属和活动参与者需要一种简便的连接方式，且访问权限应仅限于互联网。员工流量支持电子邮件、记录和支付工具等日常工作，因此访问权限应与获得授权的人员或受控设备绑定。物联网设备流量则大不相同。打印机、会议室面板、摄像头和门禁控制器通常没有人员直接操作，其维护工作可能属于供应商或设施团队。
将这三类群体全部置于同一个不受限制的网络中，就像给每位访客发一把后勤办公室的钥匙。一台受损的手机、一次意外的点击或一个旧的承包商账户，都可能使支付系统、员工记录或楼宇控制系统暴露在外。
核心概念：网络隔离是一项持续的运行规则，而不是一次性的设置。办公室搬迁、供应商变更、临时活动和设备更换都会逐渐降低原始边界的可靠性。
网络在刚安装时可能划分得很好，但随着建筑使用情况的变化可能会产生偏差。新的接入点可能会继承过于宽松的设置；供应商可能会在不更新访问规则的情况下添加设备；临时活动连接可能会在结束后依然保持活跃。风险不仅在于网络设计不佳，还在于其权限不再与使用各个空间或设备的人员相匹配。
一项实用的检查是测试每个区域可以访问的范围。访客 WiFi 上的手机能否连接到收银机、临床工作站或建筑控制器？不仅要在安装时检查，在装修、供应商变更或设备更换后也应重复检查。访客 WiFi 指南 解释了如何规划访客访问。
核心概念：只有当区域的访问规则与其用途相匹配，并在场地发生变化时持续核查，该区域才是有效的。
简短的区域检查
- 访客区：仅限互联网访问，无法路由至员工系统、支付设备或楼宇控制系统，且支持撤销登录流程。
- 员工区：专供授权用户或托管设备访问，并记录已连接的具体设备。
- 设备区：仅限已知设备访问，限制出站访问，并在设施或供应商合同中指定明确的负责人。
如果您无法在一页纸上画出这些区域及其允许的连接，说明网络边界可能已经发生偏移。大型场所即使最初的设计非常完善，也可能因日常变更而失去隔离性。
基于身份的访问：从密码到证书
共享密码就像是将一把钥匙复制到了卡片、白板和几十部手机上。当有人离职或卡片被拍照时，如果不为楼内所有人更换钥匙，你就无法收回这把钥匙。
802.1X 改变了流程顺序。在允许设备接入前，认证服务器会检查是谁或什么设备申请加入。接入点与设备随后仅为该会话协商加密密钥。不再有单一的通行密码，因此密码泄露不会导致整个楼层失守。这使得单独撤销权限成为可能，并能留下将身份与设备绑定的日志。
英国国家网络安全中心将加密设备证书视为决定设备是否可以加入网络的最高效控制手段之一，并推荐将 802.1X 与 WPA2-Enterprise 或 WPA3-Enterprise 用于无线访问（参考 NCSC 针对影子 IT 的指南）。连接互联网接入点同样属于 Cyber Essentials 基础设施要求的范畴，因此无线网络位于安全边界之内，而非安全边界之外。
检查如何运行
- 设备请求加入员工网络。
- 接入点本身不会直接信任该请求，而是将验证转交给认证服务器。
- 服务器针对该用户或设备验证证书或目录账户。
- 只有在验证通过后，会话才会接收其专属的加密密钥。撤销一台笔记本电脑的权限不会强制整个楼层的其他设备更新密码。
证书适用于受管理的笔记本电脑和手机。IT 部门发放设备持有的凭据，删除该凭据即可取消访问权限。目录登录（包括单点登录）适用于已有公司账号的员工。当该账号被禁用时，无线访问权限应在当天同步终止。受限设备路径适用于无法保存证书的设备。它不会加入员工网络，而是分配到一个狭窄的网络切片中，并拥有可以单独删除的凭据。
共享网络名称和共享密钥还会让身份冒充变得更加容易。恶意的接入点可以广播熟悉的网络名称，并收集人们已经知道的密码。在将屏幕上的名称视为处于自家网络上的凭据之前，帮助 识别恶魔双胞胎 WiFi 威胁 会很有用。
当有人离职时，您只需撤销该人员或设备的权限，而不需要重新打印大堂里的密码卡。
面向容量与韧性设计网络
无线 AP 是引道，宽带线路则是高速公路。如果高速公路堵塞，更宽的引道毫无用处；如果每台设备都在争夺同一段无线信道，高速线路也无济于事。
Ofcom 的 Connected Nations 2024 报告发现，截至 2024 年 7 月，英国 75% 的场所（家庭和企业总计）已使用至少 30 Mbit/s 的宽带，高于先前的 72%，而全光纤覆盖率已达到约 59% 的场所，在其可用区域的使用率为 35%（750 万个场所），约 7% 的场所（包括中小企业）通过固定无线接入获得了良好的宽带服务（Connected Nations 2024）。
拥有全光网的城市办公室与专线较窄的乡村酒店所拥有的余量截然不同。云端应用、语音、视频、身份核验和访客突发流量都会消耗这条专线。较弱的上行速率或拥堵的回传网络会破坏精心设计的无线布局，而老旧的商业建筑往往会隐匿这种瓶颈，直到大堂挤满人群。
额外频段，而非替代方案
英国机构可以使用 6 GHz 频段中的 5.925–6.425 GHz 部分用于 WiFi 6E 和 WiFi 7，获得约 500 MHz 的额外频谱，虽然英国的分配范围窄于某些其他国家开放的完整 1,200 MHz（关于 WPA3、WiFi 6E 和 eduroam 的 Jisc 笔记）。会议中心、医院、交通枢纽、购物中心和体育场馆通常在宽带耗尽之前就先耗尽了空口时间。当客户端支持该频段时，更宽的 80 MHz 或 160 MHz 信道可以提升容量。
6 GHz 并不能取代 5 GHz。它的传输距离较短，穿墙能力较弱，因此它是对更广泛覆盖范围的补充，而不是替代。规划人员获得的非重叠宽信道也少于普通宣传手册所暗示的数量，这意味着需要制定专属的信道规划，而不是直接复制其他国家/设计的方案。
衡量网络的好坏应看空气信道的繁忙程度，而不是印在接入点上的速率。
关键的检查指标包括信道利用率、重试率、漫游延迟和单客户端空口时间。即使病房边缘的手持设备一直在等待或重新连接，表面上的理论速率看起来依然可能非常好。在购买更多硬件之前，请先对建筑物进行勘测。在密度高或墙体厚导致盲目猜想成本昂贵的地方，结构化的 WiFi 场地勘测 极其重要。将 6 GHz 部署在最繁忙的区域和现代托管设备上，保留 5 GHz 以兼顾覆盖范围和较旧的客户端，并按照人员在楼层之间行走的方式测试漫游。
Passpoint、OpenRoaming 与 Captive Portal 对比
访客登录是一种产品选择，并没有唯一的标准页面。三种模式涵盖了大多数英国场所，它们在用户体验门槛、二次访客留存、厂商匹配度以及管理成本之间做出了不同的权衡。
Captive Portal（强制门户）是包含服务条款且通常带有简短表单的熟悉页面。由于人们需要停下来输入，因此摩擦力较高，返回的访客通常需要重复此过程。几乎任何接入点都可以呈现浏览器页面，因此兼容性非常广泛。管理工作量集中在页面维护、同意记录以及收集到的地址处理上。它非常适合需要明确接受条款的单次访客场景。
Passpoint（也称为 Hotspot 2.0）使用配置文件，让受信任的设备无需再次填写表单即可自动连接。首次设置需要更加细致，但在此之后，再次访问时即可静默连接，这对于酒店或人们整周都在使用的园区至关重要。您需要支持该配置文件接入点，因此这不再是“随便挂在天花板上的设备”，而是一个经过精心规划的设计。
OpenRoaming 是基于 Passpoint 构建的联盟框架。已经在参与环境中完成身份验证的访客无需再次通过 Captive Portal 页面即可加入另一个网络。您可以减少发放本地密码的时间，更多地依赖设备支持和联盟本身。
| 方案 | 登录阻力 | 回头客体验 | 跨厂商兼容 | 管理负担 |
|---|---|---|---|---|
| Captive Portal | 每次都需要页面认证 | 较弱 | 广泛 | 页面、表单、日志 |
| Passpoint | 安装配置文件后较低 | 在该网络上表现强劲 | 需要支持该功能的设备 | 配置文件与信任关系 |
| OpenRoaming | 跨合作伙伴网络均较低 | 在有合作伙伴的地方表现强劲 | 联盟机制结合本地设备 | 减少本地密码维护工作 |
Purple 是该领域的一个平台。它拥有 OpenRoaming 和 Passpoint 认证，允许访客通过电子邮件进行一次身份验证并在日后再次光临时自动重新连接，支持 Meraki、Aruba、Ruckus、Mist 和 UniFi，并支持用于旧设备的 iPSK 以及用于员工的 SSO。在其之外，基础 Captive Portal 或场所自筑的 Passpoint 方案依然是可行的选择。
小型酒吧可能只需要一个访客页面和隔离的网络。酒店集团能从自动再次光临中获得更多收益。医院不应将临床设备置于访客漫游配置文件中。请将模式与停留时间、隐私合规要求以及天花板上已有的硬件相匹配。
将第一方 WiFi 数据转化为可衡量的投资回报率
第一方 WiFi 数据是场所与访客建立的关系，前提是访客同意参与该过程。经过身份验证的会话可以显示访问、再次光临和停留时长。这不是从外部广告网络购买的猜测数据，也不是收集手机所能提供的所有隐私信息的理由。
分析工具、CRM 连接器和营销自动化可将获得授权的信号转化为团队可跟进的操作旅程。酒店可以看到谁在周中再次光临。购物中心可以看到哪些访问是在活动之后发生的。可选的调查问卷可以用访客自己的话补充原因，而额外的安全组件可确保该通道与网络的其余部分保持在同一个安全边界内。最实用的边界是授权。如果您无法解释为什么要保留某个字段，就不要保留它。
您可以自行统计的四项举措
- 建立基准。统计访问次数，并计算有多少人在连接前放弃登录页面。该数据仅属于您的场所，而非来自其他地方的基准。
- 衡量变化。在新的接入路径上线后，将完成率和重复访问量与您记录的基准进行比较。
- 仅归因可追踪的内容。将重复访问或调查答复与特定营销活动或站点变更挂钩。放弃任何无法连接到明确原因的数据。
- 计算运营时间。减少手动请求密码的次数、减少打给前台的“WiFi 断网”电话，以及减少重新发放共享密钥的时间，即使营销不是重点，这些也是收益。
酒店餐饮、零售、医疗保健、交通、活动和住宅场所所追求的成功指标各不相同。体育场关注的是能否在比赛日的高压下顺利完成登录；学生宿舍关注的是让住宿生保持连接，同时又不会把密码传遍整条走廊；诊所首先关心的是访客流量绝不能触及临床系统，而满意度反馈只是附带的好处。这份 WiFi 分析指南 将帮助您决定允许保留哪些分析信号。
如果您无法说出基准线，就无法证明该项目的投资回报。
迈出商业 WiFi 的下一步
从单个场所开始，而不是整个地产项目。以下顺序可以防止您在清楚了解谁在使用无线网络之前就盲目采购硬件。
本周列出所有网络名称。写下手机能看到的所有名称，并记录访客、员工和设备网络是否相互隔离。如果底层路径是共享的，仅在列表上有不同的名称是没有意义的。
清点低调的设备。打印机、联网电话、门禁系统和会议室预订面板通常挂在企业 WiFi 上，且往往属于后勤设施部门或供应商。英国政府于 2025 年发布的分析指出，常用的企业联网设备存在严重缺陷，包括未经身份验证的远程代码执行漏洞、过时的软件、不安全的配置，以及作为高权限 root 用户运行进程的设备（企业联网设备网络安全研究）。再强大的员工登录防护，也无法修复一台完全暴露的打印机。
测试互联网连接路径。确认宽带或固定无线链路能够承载高峰时段的流量。如果线路已经饱和，即使接入层再整洁，下午5点的大堂网络依然会瘫痪。
为每个群体匹配合适的登录模式。针对托管的员工设备使用证书或目录登录。针对访客使用 Captive Portal 页面、Passpoint 或联邦漫游。针对无法进行现代认证的设备，使用带有独立凭据的锁定网段。当供应商更换设备时，新设备只会继承该网段权限，而不会获得通往员工网络的快捷方式。
试点一栋建筑。选择人流量最大或风险最突出的区域，例如仍与访客共用无线环境的支付区域。运行足够长的时间，以包含一次搬迁、一次供应商访问和一次设备更换。然后检查访客隔离是否依然有效。
试点后需要复盘的内容
只需关注四个结果：访客流量无法访问任何内部内容；离职人员的访问权限在当天即被撤销；高密度区域在您指定的指标上保持可用；登录完成率相对于您自己的基线有所提升。如果这四个指标正常，即可将此模式复制到下一个场所。如果指标不理想，请在扩大规模前修复试点。您可以先在访客最多或最令您担忧的建筑上确定 SSID 列表，这项工作在本周结束前就能完成。
Purple 为访客、员工和多租户建筑提供基于身份的 WiFi，从而将共享的大堂密码替换为可细分和撤销的访问权限。如果您的场所需要基于相同的设施提供访客体验和员工登录，而不是将无线网络视为可有可无的配套，请从人流量最大或安全漏洞最突出的建筑开始。请访问 Purple，探讨旨在数周而非数月内上线的部署方案。
