酒店访客 WiFi 架构：PMS 集成、Captive Portal 以及带宽控制

欢迎阅读 Purple 技术简报。今天我们将介绍酒店住客 WiFi 架构，特别是决定您的部署成功与否的三大支柱：PMS 集成、captive portal 设计和带宽控制。 如果您是负责酒店或物业组合的 IT 经理、网络架构师或 CTO，本简报正适合您。我们将深入探讨技术细节，但会保持其实用性。每个要点都与您需要做出的决策息息相关。 让我们从架构本身开始。酒店 WiFi 网络不是标准的办公室部署。它必须同时为至少三个不同的群体提供服务：住客、员工和建筑系统。每个群体都有完全不同的安全、性能和合规性要求。大多数部署犯的根本性错误就是将这三者视为同一个网络。 正确的方法是 VLAN 隔离 - 即 IEEE 802.1Q 标准中定义的虚拟局域网。您在相同的物理基础设施上创建逻辑上独立的网络。住客 WiFi 位于 VLAN 10，与所有内部系统隔离。员工接入位于 VLAN 20，通过 802.1X 对您的 RADIUS 服务器进行身份验证。IoT 设备 - 智能电视、恒温器、门锁 - 位于 VLAN 30，并设有严格的防火墙规则来限制它们可以访问的内容。如果您的物业中任何地方设有销售终端（POS），它们完全需要拥有自己的 VLAN，因为 PCI-DSS 要求持卡人数据环境必须与所有其他网络流量隔离。 这不是可选的。这是基线合规性要求。这也是您防御横向移动（即受损的住客设备探测您内部系统的攻击模式）的首要防线。 现在，关于无线层。如果您今天部署新的基础设施，您应该指定 WiFi 6 - 即 IEEE 802.11ax。在会议室或大型活动场所等高密度环境中，WiFi 6E 增加了 6 GHz 频段，为您提供明显更多的频谱空间。相比上一代，关键的性能改进是 OFDMA（正交频分多址），它允许单个接入点同时而不是顺序地为多个客户端提供服务。在实际应用中，与 WiFi 5 相比，每个接入点的吞吐量容量大约是其四倍，且在负载下的延迟要低得多。 接入点（AP）的放置位置比大多数人意识到的更重要。直觉通常是将 AP 放在走廊里。这是错误的。在酒店中，您需要客房内的信号覆盖。最佳实践是每间客房一个 AP，或者最少每两间客房一个 AP，安装在天花板上或电视机后面。这消除了走廊阴影问题，即信号必须穿透两面墙才能到达住客。对于公共空间 - 大堂、餐厅、会议室 - 在确定最终位置之前，请进行专业的 RF 站点勘测。 每个接入点都应该采用有线连接。每台接入点应使用 Cat 6A 线缆连接，并终接在每层的 PoE 交换机上。Mesh WiFi 适用于家庭环境。但在酒店中，您需要确定性的、低延迟的传输回程。 现在让我们来谈谈 PMS 集成 - 即物业管理系统。这是酒店 WiFi 架构与标准企业部署差异最显著的地方。PMS 是每个宾客入住的记录系统。它记录了谁办理了入住、他们在哪间客房、何时退房以及他们预订的房价类别。将您的 Captive Portal 与 PMS 集成后，宾客可以使用他们的客房号和姓氏进行身份验证 - 无需记住密码，也不用输入凭证码。Captive Portal 向 PMS 发送实时 API 查询，根据处于激活状态的预订信息验证凭据，并在 200 到 500 毫秒内授予访问权限。 支持大多数此类集成的协议是 FIAS - 即 Fidelio 接口应用规范。FIAS 最初是为 Fidelio PMS（现为 Oracle Opera）开发的，现已成为酒店系统接口的事实标准。除了身份验证之外，PMS 集成还支持自动会话管理。当宾客退房时，PMS 会向 WiFi 平台发送退房事件，平台会立即撤销其访问令牌。无需手动干预。 这里的数据价值非常显著。每个通过身份验证的 WiFi 会话都会创建一条经核实的宾客记录 - 包括姓名、电子邮件、房型、入住时长、设备类型。这些在展示页面上获得 GDPR 明确同意后捕获的数据，将成为第一方营销资产。Purple 的平台在 2024 年已为 80,000 个场所处理了 4.4 亿次登录。通过与 PMS 集成的 Captive Portal 捕获的宾客数据，其验证率始终保持在 70% 至 80% 之间，而未经验证的表单提交验证率仅为 30% 至 40%。 让我们转到 Captive Portal 设计。Captive Portal 是宾客首次连接时遇到的身份验证网关。它会拦截 HTTP 流量，并在授予互联网访问权限之前将浏览器重定向到托管页面。 其技术机制如下。接入点或控制器为宾客设备分配一个受限制的 IP 地址。所有 HTTP 请求都通过 DNS 拦截重定向到门户网站的 URL。宾客进行身份验证。控制器接收来自 RADIUS 服务器的授权信号。设备的 MAC 地址被添加到允许列表中。授予正常的互联网访问权限。 在 Captive Portal 遵守 GDPR 规定是不可逾越的红线。您的展示页面必须提供清晰的隐私声明、明确的营销同意选项，以及方便宾客行使其数据权利的机制。至关重要的是，同意使用 WiFi 并不等同于同意接收营销邮件。这些必须是独立的、非捆绑式的同意选项。Purple 的平台原生支持此功能，同意记录与每个用户配置文件相关联，并可提供审计轨迹以备监管审查。 为了安全起见，WPA3 是当前的标准。WPA3-Personal 使用对等实体同时验证 - SAE - 从而消除了 WPA2-PSK 中存在的字典攻击漏洞。对于访客网络，在 Captive Portal 后方使用机会性无线加密的开放 SSID 可以在无需预共享密钥的情况下提供加密。必须在所有访客 SSID 上启用客户端隔离，以防止访客设备之间的点对点流量。 现在，我们来谈谈带宽控制。这是第三大支柱，也是最常被低估的一项。酒店带宽规划的黄金法则是：针对峰值需求进行规划，而非平均需求。对于中档酒店，每间客房的预算为 10 至 25 Mbps。对于全方位服务酒店，每间客房为 25 至 50 Mbps。对于豪华或以会议为重点的酒店，每间客房为 50 至 100 Mbps。 针对每个客户端的速率限制可以防止任何单个访客占满您的上行链路。在 Cisco Meraki 上，您可以在 SSID 上将其设置为单客户端带宽限制。在 HPE Aruba 上，这是通过控制器应用的访客角色策略。在 Juniper Mist 上，这是一项 WLAN 速率限制策略。虽然不同厂商的机制有所不同，但原理是一样的：定义每台设备的主下行和上行限制，并在控制器级别进行强制执行。 服务质量 - QoS - 位于速率限制之上。WMM，即 WiFi 多媒体，是定义了四个流量队列的 802.11e 标准：语音、视频、尽力而为和背景。VoIP 和视频通话应在语音和视频队列中进行优先处理。网页浏览和下载则属于尽力而为。正确配置 WMM 意味着，当隔壁房间的人开始进行大型下载时，正在进行视频通话的访客不会受到干扰。 现在，让我为您提供实施建议以及需要避免的陷阱。首先进行现场勘测。在触碰任何一根线缆之前，请使用频谱分析仪巡检整个场所。识别现有的干扰源 - 邻近网络、厨房里的微波炉、前台的 DECT 电话。这将为您的信道规划和 AP 部署提供依据。 其次，在配置任何内容之前设计好您的 VLAN 架构。规划出：访客 WiFi VLAN、员工 VLAN、物联网和建筑系统 VLAN，以及管理 VLAN。在部署前完成此方案的文档记录并获得批准。 第三，正确估算您的互联网上行链路大小。对于一间拥有 200 间客房、入住率为 80% 的酒店，按峰值每房 25 Mbps 规划，可为您提供 4 Gbps 的最小保证带宽。具有可爆发容量的专线是此处合适的产品 - 而不是标准的宽带连接。 陷阱。最常见的一个是上行链路配置不足，然后在访客投诉时归咎于无线基础设施。十有八九，缓慢的酒店 WiFi 是互联网带宽问题，而不是射频问题。 第二个误区是部署了收集数据但没有下游营销工作流的 Captive Portal。您已经构建了数据资产，现在就应该利用它。例如：入住前电子邮件、入住后调查、忠诚度计划注册以及入住期间的定向优惠。 快速问答。我需要 WiFi 6 还是 WiFi 5 就够了？如果您今天正在部署新的基础设施，请务必选择 WiFi 6。两者的成本差异极小，而性能提升空间却非常显著。我应该向宾客收取 WiFi 费用吗？不应该。在 2026 年，收费的宾客 WiFi 会成为降低宾客满意度的隐患。如何处理投诉 WiFi 速度慢的宾客？首先，检查您的互联网上行链路利用率。其次，检查 AP 关联数。第三，检查信道规划中是否存在流氓 AP 或干扰。 总结一下。合理构建的酒店宾客 WiFi 架构是一项战略资产，而不是一项公用事业成本。需要记住的三点：第一 - 从第一天起就对网络进行细分。将宾客、员工和 IoT 划分在不同的 VLAN 上，并在它们之间设置防火墙。第二 - 将您的 Captive Portal 与您的 PMS 集成。通过房间号和姓氏身份验证为您提供经核实的宾客数据和无缝的会话管理。第三 - 根据峰值需求而非平均需求来确定您的互联网上行链路大小，并实施单客户端限速，以保护网络上每位宾客的体验。感谢收听。