养老院 WiFi 服务商评估清单：住户、访客、员工与保护性过滤

养老院 WiFi 服务提供商应提供四项功能：为每位住户的设备提供专用私有网络、在前台提供简单的访客签到、为护理人员和临床设备提供基于身份的网络，以及按网络设置的内容过滤，既能保护弱势群体，又不会阻断与家人的视频通话。Purple 可在您现有的接入点上同时运行这四项功能。

养老院 WiFi 服务提供商究竟需要提供什么？

养老院集三种场所于一身：它是住户的生活居所、护理人员的工作场所，也是拥有专属设备的临床环境。一个共享密码无法安全地服务于这三者。优秀的养老院 WiFi 服务提供商会将它们分隔开来，并为每一方提供适当的访问权限、安全性和内容过滤。

衡量标准很简单：周日晚上 8 点，住户的平板电脑应能通过 WhatsApp 顺畅联系到女儿；访客在接待处应能在一分钟内联网；夜班护士无需输入密码即可打开数字化护理记录。而且，这些群体中的任何一方都无法看到其他群体的设备或网络流量。

4 种网络及其适用对象

网络	适用对象	连接方式	过滤策略	隔离机制
住户网络	住户以及家属带来的设备：平板电脑、智能手机、智能音箱、智能电视	每位住户拥有独立密钥 (iPSK)，无需强制门户	轻度：拦截非法内容、恶意软件和钓鱼网站；允许通话和流媒体播放	每位住户的设备均位于其专属私有网络中
访客网络	家属、朋友、来访专业人士、承包商	在接待处通过二维码进行强制门户登录	公共场所策略：拦截成人内容、非法内容和恶意软件	独立 VLAN，无法访问住户或员工设备
员工网络	正式及兼职护理人员、管理人员、行政团队	使用工作身份进行 IEEE 802.1X 登录	由您的护理机构设定的工作场所策略	独立 VLAN，员工离职后即取消访问权限
临床与楼宇设备	数字化护理记录平板电脑、呼叫铃装置、声音监测器、跌倒传感器	在不支持 802.1X 时使用设备专用密钥 (iPSK)	白名单：仅允许各设备所需的特定服务	专属 VLAN，与所有其他网络完全隔离

VLAN（虚拟局域网）可将一个物理网络划分为多个独立的逻辑网络。若没有明确规则允许，一个网络上的流量无法到达另一个网络。

Purple 通过基于身份的网络（Identity-Based Networks）来实现这一目标。每次连接都归属于指定的个人或设备，而非共用密码。Multi-Tenant WiFi 覆盖住户，Guest WiFi 覆盖访客，Staff WiFi 覆盖您的团队，而 Shield 则按网络应用内容过滤。若需了解更广泛的应用背景，请查看 Purple 如何赋能 医疗保健 环境。

开始前需要准备什么？

在与任何服务商沟通之前，请先准备好以下六项内容。它们对实施周期的决定性影响远超任何功能清单。

1. 每家疗养院的接入点清单。 记录每个站点的品牌和型号。Purple 作为与硬件无关的云端覆盖层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。大多数护理集团都可以保留现有的硬件。在批准更换预算之前，请阅读 为什么您的下一次 WiFi 升级不需要新硬件。
2. 住户房间的覆盖现状。 防火门、厚重内墙和长走廊会削弱卧室内的信号。许多疗养院曾使用插电式扩展器进行临时修补，但这会给现代认证带来问题。请阅读 WiFi 扩展器与接入点：您需要哪一种？ 来对比各项选择。
3. 您的员工身份提供商。 员工 WiFi 会通过 Microsoft Entra ID、Okta 或 Google Workspace 进行身份验证。请确认由谁管理账户，以及中介机构外派员工如何获取账户。
4. 按网络划分的设备清单。 列出家属带来的住户设备，以及所有临床设备和楼宇设备。标明哪些临床设备支持 802.1X，哪些设备仅支持密码认证。
5. 您的数据保护文件。 访客签到会收集个人数据，而住户通常属于弱势成年群体。请根据 UK GDPR 第 35 条完成数据保护影响评估 (DPIA)。如果您需要提交 NHS 数据安全与保护工具包 (DSPT)，请列出您需要服务商提供的证明材料。
6. 指定的过滤策略负责人。 您的安全保障主管与疗养院经理应共同批准每项过滤策略。该决策应由了解您住户的人员做出，而不是 IT 供应商。

如何设置住户、访客和员工网络？

以下顺序适用于大多数护理集团。住户排在首位，因为他们的设备最难迁移，且发生故障时影响最为显著。

步骤 1：为每位住户提供不使用共享密码的专用网络

使用 iPSK（身份预共享密钥的缩写）。某些供应商将其称为 PPSK（私有预共享密钥）。每位住户都会收到专属的 WiFi 密钥，使用该密钥的每台设备都将加入该住户自己的专用网络。Purple 将其称为个人区域网络（即 PAN） - 围绕单人设备构建的专属网络气泡。

iPSK 适用于疗养院的原因有三点：

• 适用于无法使用强制门户的设备。 智能音箱、智能电视和简易平板电脑无法在网页登录页面上完成操作。它们均接受标准的 WiFi 密码。
• 住户绝不共用密码。 一位住户的密钥无法连接到另一位住户的设备。邻居的平板电脑看不到该住户的智能音箱。
• 入住和离开只需一次操作。 在住户入住时颁发密钥。当他们搬离或离世时直接注销密钥，无需更改其他任何人的设备配置。

将每位住户的密钥打印在卡片上提供给其家属。当女儿带来新平板电脑时，只需输入一次相同的密钥，即可加入其母亲的专用网络。

第 2 步：让访客在正门通过简单的登录流程联网

强制门户是访客在联网前看到的网页。在接待处以及休息室或咖啡厅放置二维码。扫描该二维码可直接打开登录页面，访客无需费力寻找网络名称。

尽量简化表单内容：姓名、电子邮件以及接受条款即可。对于简报或活动动态，应使用自主选择的加入机制（默认不勾选），以符合 UK GDPR 的同意规则。将会话时长设置为与探视时间一致，这样每天下午来访的家属就无需在探访中途重新登录。

Purple 的 Guest WiFi 可以处理此类登录，其机制与处理 Hotels 访客完全相同。限制每个访客会话的带宽，确保周日的高峰期绝不会拖慢住户的视频通话速度。

第 3 步：将护理人员和临床设备部署在安全网络上

IEEE 802.1X 是一项要求每台设备在接入前验证自身身份的标准。RADIUS 服务器会根据您的身份提供商核对这些凭据。Purple 提供云端 RADIUS，因此您无需在每家养老院运行本地服务器。

员工只需使用来自 Microsoft Entra ID、Okta 或 Google Workspace 的工作身份登录一次即可。这解决了入职、异动和离职 (JML) 管理问题。新员工在创建帐户后即可获得访问权限，离职人员在其帐户被停用后即会失去权限。再也无需有人去更改员工休息室墙上贴的密码。

机构派遣人员也应享受相同待遇。在您的身份提供商中为派遣人员创建具有时效性的帐户。其访问权限将随帐户停用而终止，而不是依赖有人记得去修改密码。

临床设备通常无法使用 802.1X。请为每种设备类型在其专属 VLAN 上分配其专属的 iPSK 密钥。这样，即使住户网络中遭到入侵的智能电视也无法访问护士呼叫单元。

第 4 步：按网络设置安全保障过滤规则

针对弱势成年人的过滤与针对儿童的过滤不同。《2005年心理行为能力法》（Mental Capacity Act 2005）首先推定成年人具备相应行为能力，并要求采取限制最少的方案。对住户网络实施一刀切式的全面屏蔽可能会违反这些原则，并切断住户与家人的联系。

Shield 会针对各个网络应用不同的策略。请以此矩阵作为起点，然后由您的安全保护主管进行调整。

内容类别	住户网络	访客网络	员工网络	临床设备
违法内容	屏蔽	屏蔽	屏蔽	屏蔽
恶意软件和钓鱼网站	屏蔽	屏蔽	屏蔽	屏蔽
成人内容	允许（住户自己的房间）	屏蔽	屏蔽	屏蔽
赌博	允许	屏蔽	屏蔽	屏蔽
视频通话（WhatsApp、FaceTime、Zoom、Microsoft Teams）	允许	允许	允许	屏蔽
流媒体播放（BBC iPlayer、YouTube）	允许	允许	允许	屏蔽
护理记录与呼叫护士服务	不适用	不适用	允许	仅限允许名单

如果某位住户需要额外保护（例如有已记录的经济虐待风险），请在其护理方案中记录最佳利益决定。在征得家属同意后，对该住户自己的设备实施限制。不应因个人的风险而采用全网规则影响到其他每一位住户。

询问任何供应商其过滤功能是否会拦截互联网观察基金会 (Internet Watch Foundation) 的儿童性虐待 URL 名单。并在您的招标文件中要求书面答复。

实际案例

以下两个案例均为规划示例。这些成果源于设计本身，因此您可以在自己的养老机构中衡量出相同的结果。

实际案例 1：市政运营的养护生活项目

现状。 某地方政府运营着一个拥有 24 套公寓和一间共享休息室的养护生活项目。住户、员工和访客共用一个密码。当一名支持人员离职时，该项目更改了密码。导致每位住户的平板电脑和智能音箱全部掉线，当晚有三位住户错过了与家人的通话。

应对措施。 该项目将住户迁移至 Multi-Tenant WiFi，每套公寓分配一个 iPSK 密钥。员工迁移至基于 Microsoft Entra ID 认证的 802.1X。访客则转为使用入口处的二维码强制门户。Shield 应用了上述住户、访客和员工策略。

可衡量的成效。 众人皆知的共享密码从一个减少到零。下一位离职员工在账户被禁用的瞬间即失去访问权限。无需对任何住户的设备重新配置密钥。该项目的养护生活 WiFi 现为每位住户提供了在其独立公寓中理应享有的隔离保障。

实际案例 2：设有家庭咖啡厅并举办夏日游园会的疗养院

现状。 一家拥有 70 张床位的疗养院经营着一家向家属开放的咖啡厅，并举办约 150 人参加的夏日游园会。接待处此前一直向访客提供员工密码。在游园会当天，网络速度变慢，护理人员难以更新数字化护理记录。

应对措施。 该疗养院将访客分流至 Guest WiFi，在接待处、咖啡厅和游园会标识上提供二维码。限制了每个访客会话的带宽，并应用了 Shield 的公共空间策略。员工和临床设备迁移到各自的 VLAN 中，并配备 802.1X 和设备专用密钥。

可衡量的成效。 员工密码不再在访客中流传。游园会流量保留在访客网络上，与临床设备完全隔离。疗养院经理现在可以通过 WiFi Analytics 查看每月的访客登录情况，并以此来规划探访高峰期的人员配置。

如何检查其是否有效？

在任何人签字验收之前，先在试点养老院进行验收测试。请在傍晚进行，因为此时住户与家人的通话最为频繁。

• 住户连接。 使用某位住户的密钥在其房间内连接一台平板电脑和一个智能音箱。携带平板电脑走到休息室再走回房间。整个过程中设备应始终保持在同一个专用网络上。
• 住户隔离。 使用第二位住户的密钥，尝试发现第一位住户的智能音箱。该设备不应显示。
• 访客签到。 使用 iPhone 和 Android 手机扫描前台二维码并进行计时。访客应在一分钟内连网。
• 员工入职与离职。 创建一个测试账户，连接后将其禁用。设备应立即失去访问权限，无需人工干预接入点。
• 临床网络隔离。 分别从访客网络和住户网络尝试访问呼叫护士单元。两次尝试均应失败。
• 内容过滤。 在每个网络上测试一个阻止类别和一个允许类别。从住户网络发起 WhatsApp 视频通话和 FaceTime 通话。
• 覆盖范围。 在防火门关闭的情况下，测量距离接入点最远的五个房间内的信号。

常见故障及解决方法

硬件更换后住户设备掉线

当网络迁移到 WPA3 或仅使用 5 GHz 频段时，较旧的设备有时会出现故障。请将住户网络保留在这些设备支持的设置上。优先为员工和临床网络规划 WPA3。

智能音箱卡在登录页面

住户设备被误连接到了访客强制门户。请将其转移到住户的 iPSK 密钥网络。强制门户适用于配备浏览器的用户，而非音箱或电视。

过滤器拦截家庭视频通话

规则范围过宽的类别（例如“社交网络”）拦截了通话应用。在住户和访客网络上明确允许特定的通话服务。每次更改过滤设置后均需重新测试。

插头式扩展器导致卧室网络掉线

扩展器会重新广播信号，且通常对每设备密钥和 802.1X 的处理能力较差。请将其替换为合理布局的接入点。如果您打算更新硬件，WiFi 6 (802.11ax) 详解 介绍了繁忙休息室中的容量提升表现。

家属在住户房间内自行安装路由器

第二台路由器会造成信号干扰和安全隐患。向家属说明住户的专用网络已为其提供了安全的专属连接，随后与他们协商拆除。

中介机构员工在首个班次无法登录

其账户未及时创建。将中介机构账户创建流程纳入您的预约体系中，并在每个养老院指定专门负责人。

合同中应对支持服务时间和分网点部署作何规定？

护理服务全天候运行，您的合同也必须如此。请将此表用作您的条款核对清单。

条款	要求内容	为什么这对养老院至关重要
支持服务时间	针对住户、员工或临床网络服务中断提供 24/7 全天候支持	住户在傍晚与家人通话；夜班员工需要在凌晨 3 点查阅护理记录
严重程度级别	针对每个严重程度级别明确以小时为单位的书面响应和解决目标	将“我们会处理”转化为具有约束力的承诺
平台可用性	计划中声明的正常运行时间百分比；Purple 为 99.999%	停机的每一小时都意味着漏接的电话或延误的护理记录
推广计划	一个试点养老院，随后按每个场所指定的上线日期分批推进	让你在推广至所有养老院之前验证设计方案
支持的硬件	每个场所支持的无线接入点型号的明确列表	避免在推广中途收到意料之外的硬件账单
数据保护	符合 UK GDPR 第 28 条的数据处理协议和明确的数据存储位置	当服务提供商代你处理访客和住户数据时属于强制要求
认证资质	有效期内的 ISO 27001 和 Cyber Essentials 证书	为你的 DPIA 和 DSPT 提交提供凭证
过滤策略变更	主导安全保障的策略变更具有确定的处理周期	安全保障决策不应在通用工单队列中排队等待
退出机制	以标准格式导出配置和访客数据	确保你日后可以自由更换服务提供商

按场所逐个推广。从一位合作意愿高且具有典型建筑结构的养老院经理开始。根据试点经验进行修复调整，然后以三到四家养老院为一组分批推进。如果你要更换现有的养老院 WiFi 提供商，请参考 更换访客 WiFi 提供商：多场所迁移清单。

成本如何？能带来什么回报？

驱动成本的因素有四个：养老院的数量、订阅方案、附加功能以及任何硬件缺口。Purple 提供三种方案：Connect、Capture 和 Engage。Shield 是用于过滤功能的附加组件。由于 Purple 叠加在你现有的接入点之上，大部分工作是配置而非安装。

你的硬件勘测将决定其余部分。具有良好接入点覆盖的养老院无需资本支出。依赖扩展器的养老院则需要在信号最弱的房间安装接入点。

投资回报体现在三个方面：

• 员工时间。 无需再更改共享密码。设想一家拥有 40 台住户设备且每当员工离职后都要更改密码的养老院。为每台设备重新输入密钥会消耗护理人员数小时的时间，而 iPSK 和 802.1X 彻底消除了这一困扰。
• 安全保障凭证。 你可以向检查员出示每个网络书面的过滤策略，并由你的安全保障负责人签署。你还可以出示谁在何时访问了员工网络。
• 住户与家属的福祉。 稳定可靠的养老院 WiFi 能让住户与家人保持联系。WiFi Analytics 中的访客登录数据可以显示家属最常在何时访问哪些养老院。

根据 Purple 的自有数据，Purple 在 90 多个国家的 80,000 多个活跃场所运行，每年处理 5 亿用户及登录。该平台已通过 ISO 27001、GDPR、CCPA、Cyber Essentials 和 B Corp 认证。

常见问题

Purple 能否在我们养老院现有的接入点上运行？

是的，Purple 作为云端覆盖层运行在您现有的接入点上。支持的供应商包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。您可以保留现有硬件，并在其上添加住户、访客及员工网络。现场勘测可能仍会显示某些卧室内信号覆盖较弱。在这种情况下，您只需向这些房间增设接入点，而无需更换整个网络。

住户如何在不共享密码的情况下保持其设备联网？

每位住户都会通过 iPSK 获取专属的 WiFi 密钥，该密钥会将他们的所有设备归入一个专用私有网络中。家属只需在平板电脑、智能音箱或电视上输入一次该密钥。任何住户都不会与他人共享密码，邻居也无法看到其设备。当住户搬离时，您只需撤回该专属密钥。其他所有住户的设备都将保持连接，不受任何影响。

安全防护过滤会阻止住户与家人的视频通话吗？

不会，只要按网络进行过滤设置就不会。Shield 会对住户网络应用轻量级策略。它在阻止非法内容、恶意软件和网络钓鱼的同时，允许使用 WhatsApp、FaceTime、Zoom 和 Microsoft Teams。访客和员工网络则执行更严格的策略。如果某位住户需要额外保护，可根据《2005年精神行为能力法》（Mental Capacity Act 2005）记录最佳利益决策，随后在其专属设备上应用限制规则。

在 UK GDPR 规范下，访客和住户的数据如何处理？

Purple 符合 GDPR 标准，并持有 ISO 27001 及 Cyber Essentials 认证。访客通过默认未勾选的自主选择勾选框表达同意。您的合同应包含符合 UK GDPR 第 28 条的数据处理协议。此外，由于住户属于弱势成年群体，您还应完成 DPIA（数据保护影响评估）。如果您提交了 NHS DSPT，可向 Purple 索取所需的认证证明文件。

中介机构员工可以在不使用共享密码的情况下使用员工网络吗？

可以，中介机构员工可使用来自 Microsoft Entra ID、Okta 或 Google Workspace 的有时限的个人账户登录。员工 WiFi 会通过 IEEE 802.1X 以及 Purple 的云端 RADIUS 对其进行身份验证。其访问权限会在账户过期或停用时终止。无需任何人更改密码或重新连接其他设备。将账户创建流程整合到中介机构预约流程中，即可确保权限在首个班次开始前准备就绪。

在整个护理集团内全面推广需要多长时间？

推广周期主要取决于配置和硬件勘测情况，而非设备安装。Purple 能够直接叠加在现有接入点上，因此覆盖良好的疗养院无需添置新设备。建议先从一家试点疗养院开始，运行完整的验收测试（包括晚间视频通话），然后以三到四家疗养院为一批分批推广。在合同中为每个站点明确具体的上线日期。

我们如何从当前的护理院 WiFi 提供商切换过来？

您可以逐个站点进行切换，在每次割接期间并行运行新旧网络。首先清点每个居所的接入点、网络名称及住户设备。在割接前发放住户密钥，以便家属只需造访一次即可重新连接设备。将员工迁移至 802.1X，然后停用共享密码。Purple 的多站点迁移清单按序详细列出了各个阶段。