精准识别网络用户的员工 WiFi

员工 WiFi 是专供员工使用的无线网络，采用单用户身份验证，并与访客和支付网络隔离。访客 WiFi 侧重于简化注册流程，而员工 WiFi 则侧重于身份验证 - 每位员工通过 802.1X 向 RADIUS 服务器验证其专属凭据（证书、密码或 iPSK）。当员工离职时，可以立即撤销其访问权限，而不会影响网络上的其他任何人。

采用 802.1X 的 WPA2-Enterprise 或 WPA3-Enterprise。标准选项包括 EAP-TLS（基于证书，托管笔记本电脑的黄金标准）、PEAP（适用于旧版设备的用户名 + 密码）和 iPSK（适用于 BYOD 和物联网设备的单设备预共享密钥）。身份验证对接您的身份提供商 - Microsoft Entra ID、Okta、Google Workspace 或任何 SAML 2.0 IdP。

不需要。Purple 将 RADIUS 服务器作为云服务（RADIUS-as-a-Service）运行，提供多区域容灾备份和 99.999% 的在线率 SLA。您的接入点指向 Purple，Purple 会根据您的身份提供商验证凭据，您的团队中无需任何人来运维 RADIUS 基础设施。如果您已经运行了 FreeRADIUS、NPS 或 Cisco ISE，迁移工作只需一个周末即可完成。

直接通过 SAML 和 SCIM 集成。当身份提供商（IdP）中添加新员工时，系统会自动为其配置 WiFi 访问权限；当员工离职时，其 WiFi 访问权限会与电子邮件同步被撤销。IdP 中的群组身份决定了 VLAN 策略 - 市场、工程和承包商可以分别接入各自的网络段，无需手动配置。

是的。对于托管设备，BYOD 准入通过 MDM（Intune、Jamf、Kandji、Hexnode）进行证书注册；对于非托管的手机和平板电脑，则通过自助服务门户进行。IoT 设备（如打印机、门禁控制器、智能照明）通常在专用 SSID 上使用 iPSK (Identity PSK)，这样每个设备都拥有唯一的密钥，您可以在不影响其他设备的情况下撤销该密钥。

是的，即时生效。因为员工 WiFi 是基于每个用户的，在您的身份提供商中禁用该员工，就会在下一次身份验证尝试时撤销其 WiFi 访问权限。相比之下，如果使用共享的 WiFi 密码，一旦有员工离职，就不得不更改全公司的密码。这是从 WPA-Personal 迁移到 WPA-Enterprise 的最大运维理由。

是的。Purple 支持任何支持 RADIUS 的企业级接入点，包括 Cisco Meraki、Cisco Catalyst、Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme、Fortinet FortiAP 等。您无需更换硬件，只需重新配置 SSID 以通过 Purple 进行身份验证。

Purple 遵循来自 Entra ID 的条件访问策略 - 未通过合规性检查的设备将无法接入网络。为了实现更广泛的零信任架构，Purple 会通过 webhook 或 syslog 将每个身份验证事件发送到 SIEM（Microsoft Sentinel、Splunk、Elastic、Datadog），使网络访问成为您更广泛的安全分析中的一个信号。

是的 - 多场所资产正是 Purple 的最佳适用场景。由于云 RADIUS 服务和身份提供商集成是集中式的，您可以通过单个控制面板在每个市政大楼、酒店、商店、园区或分支机构部署相同的无密码 802.1X 策略，而无需为每个场所运送或维护 RADIUS 硬件。它非常适合在多个地点运行员工、访客和难以管理的 IoT 设备的组织：例如英国地方议会和公共部门、酒店和零售连锁店，以及多学院信托基金和学校。

基于身份的网络将每次连接与经过验证的身份绑定（通过企业目录帐户验证的人员，或通过证书或唯一密钥验证的设备），而不是使用共享密码。Purple 通过云 RADIUS、EAP-TLS 证书、iPSK 以及针对 Microsoft Entra ID、Okta 或 Google Workspace 的 SCIM 预配来实现这一功能，从而实现访问权限随用户而变：在加入时授予、根据其角色限定范围，并在离职时自动撤销。这是无密码员工 WiFi 背后的模式，也是零信任网络访问的基础。