大宗互联网协议与托管 WiFi：哪种模式适合您的建筑

欢迎阅读 Purple 关于大宗互联网协议与托管 WiFi 的技术简报。如果您拥有或运营一栋大楼，网络连接已不再只是公用事业表上的一个项目。它会影响入住准备工作、支持需求、大楼门禁、安全边界以及您日后更换提供商的能力。 第一点很简单。提供住宅或场馆网络连接有三种常见方式。您可以让每位住户购买自己的零售宽带。您可以向一家 ISP 购买整栋大楼的连接，在美国通常被称为大宗互联网（bulk internet）。或者，您可以将托管 WiFi 作为一项大楼服务来运行，由大楼或其指定的运营商来管理接入网络和住户体验。 这些并不是可以互换的采购标签。它们分配责任的方式不同。在住户自付费的零售宽带模式下，每位住户都成为独立的买家。他们自己选择、订购、安装、支付和取消自己的服务。在有多个提供商可以覆盖该物业的情况下，这可以保留个人选择权。但这也意味着您的入住团队将继承一种不同的故障模式。一名在周五到达且没有开通服务的住户，将会拨打零售提供商的电话，而不是您网络团队的电话。您可能对楼内设备几乎一无所知，也几乎无法标准化覆盖范围或隔离故障。 大宗互联网协议改变了商业模式。大楼所有者或运营商与单一 ISP 签约，为该物业提供服务。该成本通常通过租金、服务费或单独的住户费收回。在美国的多租户环境中，FCC 表示大宗计费（bulk billing）本身目前并未被禁止。它还表示，服务提供商不得使用赋予其访问和提供大楼服务独占权的大宗计费协议。这一区别至关重要。整栋大楼的合同可以是合法的，而阻止所有竞争提供商接入的合同则可能会带来问题。 在英国，您更有可能听到整栋大楼宽带、房东提供的互联网或大楼宽带协议等说法。采购原则是相同的。您需要将上行连接与大楼内部网络分开。政府要求英格兰的新建住宅必须具备支持千兆比特的基础设施，并在规定的成本上限内提供支持千兆比特的连接（如果可用）。对于现有大楼，《电信基础设施租赁物业法》为运营商在房东屡次不予回应时寻求接入提供了途径。这两点都没有告诉您应该购买哪种商业模式。两者都将接入、管道、竖井和终接点纳为了决策的一部分。 托管 WiFi 具有不同的定位。它将楼内连接视为一种运营服务，而不是与每个公寓挂钩的零售产品。您来决定谁持有上行链路电路合同、谁拥有或租赁接入点（AP）和交换机、谁提供监控，以及身份如何获得访问权限。只要设计和合同允许，托管服务就可以在您已有的设备上运行。Purple 独立于硬件，可与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 集成。这为您提供了一条将网络资产与 ISP 关系分离开来的途径。 现在，我们从这些标签转向核心的运营问题。首先，谁拥有资产？在居民付费宽带中，零售提供商通常控制着服务终点，并可能在每个单元内提供一个路由器。您的物业仍需负责公共通道、访问权限以及任何业主所有的布线。在整栋宽带（Bulk Internet）中，ISP 可能拥有电路和部分活动设备。您必须明确在合同结束时这些设备将如何处理。在托管 WiFi 中，大楼可以拥有接入层，也可以根据服务协议进行租赁。更好的模式并不是那些宣传连接价格最低的模式，而是那些将所有权、更换和交接流程明确化的模式。 其次，入住时会发生什么？在零售宽带下，居民下单并等待提供商激活服务。在整栋宽带下，连接可能已经存在，但居民仍需要供应商的入驻和支持流程。而在托管 WiFi 中，设计可以实现从第一天起就提供可用连接，然后对居民应用身份策略。根据您的设计，该策略可能会使用 WiFi 密码、iPSK 或私有网络泡（Private Network Bubble）。在未测试交接流程之前，切勿盲目购买该服务。 第三，当居民搬离时会发生什么？零售宽带会根据居民的账户终止或转移。在整栋宽带中，计费和访问权限的取消取决于服务协议。而在托管 WiFi 中，您的入职、异动、离职（JML）流程应该在入住结束时立即取消访问权限，并仅保留您的数据策略所要求的记录。这正是集中管理的基于身份的网络（Identity-Based Networks）发挥作用的地方。它们将网络访问与角色或身份进行绑定，而不是留下一个静态的共享凭据。下一个问题是成本。宽带批发比托管 WiFi 便宜吗？在电路层面上，它通常看起来更便宜，因为一个覆盖整栋大楼的协议可以替代许多零售资费。但这种对比是不完整的。您必须将接入层、勘测、安装、电力、监控、支持、更换周期、住户沟通、服务抵扣、数据处理以及退出成本全部纳入考虑。请对比合同期内的总运营成本，而非首月价格。如果您的团队随后需要处理每一次覆盖故障、公寓搬迁和设备更换，那么低廉的批发价格并不等同于低成本服务。 一份实用的招标书要求投标方对相同的范围进行报价。它应该涵盖上行电路、楼内布线、接入点、交换机、身份验证、管理、故障处理、住户支持、数据保护以及合同期满交接。要求列出一次性成本、循环费用、实施里程碑、响应时间、服务抵扣以及每个组件的所有权。无法明确界定分界点的投标方其报价与您要求的服务并不相符。 然后测试安全性。住户的便利性不能成为创建扁平网络的理由。IEEE 802.1X 是基于端口的网络访问控制标准。它使用一个受控端口进行安全的访问控制通信，并使用一个非受控端口进行身份验证和密钥管理。对于员工设备、支付系统、大楼运营和住户访问，请使用反映风险等级的网络分段。PCI 安全标准委员会针对现代架构的范围界定和分段发布了单独的指南。这适用于任何拥有持卡人数据系统的酒店、零售商、体育场或会议场地。将住户和访客流量隔离在支付环境之外，定义允许的路径，并在发生变更后测试边界。 对于员工网络，企业级身份验证比单一的共享密码能提供更清晰的解决方案。请结合适当的可扩展身份验证协议和 RADIUS 服务使用 IEEE 802.1X。对于支持的设备，在安全设计中评估 WPA3-Enterprise。在强制执行前定义设备兼容性。对于住户，私有网络泡或个人预共享密钥可以在不把入住流程变成 IT 项目的前提下，保持户与户之间的隔离。重要的控制手段不在于其标签，而在于能够在不影响其他所有住户的情况下分发、更改和撤销访问权限。 不要将 Captive Portal 与整个安全设计混淆。Captive Portal 是在授予互联网连接之前显示的登录页面。它管理登录并可以展示条款或选择性同意（opt-in）选项。当您想减少摩擦时，Purple 推荐使用开放的 WiFi 网络来提供 WiFi 服务。设备操作系统通常使用 Captive Network Assistant 来识别互联网接入需要登录。控制器管理与登录页面服务的交互，然后将一次性登录传递给 RADIUS 以完成接入。该流程可以支持入住体验。但它并不能取代网络分段、身份管理或已归档的支持模型。 隐私也需要在需求中占有一席之地。如果 WiFi 体验收集了识别居民、访客或来宾的信息，那么您的目的、收集字段、保留期限和责任就至关重要。英国信息专员办公室（ICO）指出，UK GDPR 原则包括目的限制、数据最小化、存储限制、完整性与保密性以及问责制。写明是建筑方、运营商还是双方共同决定处理的目的和方式。使用有意识选择的加入（opt-in）选项。不要仅仅因为登录流程可以索取，就默认收集人口统计或营销信息。 以下是两个真实的简短案例。在零售业，Harrods 使用 Purple 宾客 WiFi 和 Captive Portal 来支持其 Harrods Rewards 计划。Purple 报告称，在 12 个月内有 581,317 名独立用户登录，38% 的人选择接受营销信息，4,453 人在登录过程中表示出兴趣后注册了 Harrods Rewards。采购要点并不是说每栋建筑都应该复制零售业的登录流程，而是说接入层、身份识别流程、同意授权和业务流程必须进行协同设计。 在 F1 墨西哥城大奖赛上，Purple 及其合作伙伴 Telmex 在大型体育赛事中使用了品牌化 WiFi 流程。Purple 报告称，共有 38,200 次粉丝体验，认证率达到 86%，获得了 6,700 个新销售线索，并有 18,000 次重定向至 Telmex 网站。同样，这与长租公寓（BTR）建筑的运营环境不同。可借鉴的经验是通过明确的接入流程进行容量规划。选择在何处进行身份验证可以增加价值，在何处会造成延迟。 对于您的物业，当您希望在服务交付方面建立单一的商业关系，并乐于让提供商运营大部分技术栈时，请选择统一宽带。当选择权和独立的消费者合同比标准化的入住体验更重要时，请选择居民自付宽带。当您需要对接入、分段、生命周期运营和资产进行建筑级别的控制时，请选择托管 WiFi。在实际应用中，混合设计非常常见。您可能会购买一条覆盖整栋建筑的电路，拥有综合布线系统，并指定一家托管服务商来运行 WiFi，同时保留更改 ISP 的权利。 在最终批准之前，进行最后一次研讨会。将物业、IT、法务、安全、财务和运营部门召集在一起。在同一张图纸上标明光纤交接点、弱电竖井、交换机、接入点（access points）、云服务、支持服务台、数据角色以及计费所有者。然后模拟周五入住、设备丢失、ISP故障、住户搬离、接入点故障以及合同到期等场景。如果每个场景中的所有者和应对措施都很明确，那么该模式很可能是可行的。如果不明确，请先不要签字。 快速问答。您能否从住户自付的宽带转为托管 WiFi？可以，但需要调查物理网络、确认访问权限、确定设备所有权、设计住户沟通方案并进行分阶段切换。大带宽互联网（bulk internet）总是更便宜吗？并非如此。请对比完整的运营范围和退出风险。谁拥有网络所有权？只有合同能告诉您。请在合同中予以明确。什么是优秀的托管 WiFi 设计？独立的身份体系、隔离的流量、有档可查的生命周期控制、受监控的基础设施以及经过测试的交付计划。 这个决定不在于选择哪一个标签。这个决定不在于选择哪一个标签，而在于将所有权、运营、安全和住户体验分配给能够做好每个环节的主体。在签字之前，请让这些权责关系保持透明。感谢您的收听。