如何在不购买新接入点的情况下提高 WiFi 速度

如何无需购买新接入点即可提高 WiFi 速度 Purple 技术简报 — 大约 10 分钟 --- 导言与背景 (大约 1 分钟) --- 欢迎来到 Purple 技术简报系列。我是您的主持人，今天我们将探讨我在企业场馆与 IT 总监及 CTO 沟通时最常遇到的一个问题 - WiFi 容量问题。 您的场馆可能是一家酒店、一家零售商铺、一个会议中心或一座体育场。您的访客和员工正在抱怨 WiFi 速度慢。您的第一直觉 - 坦白说，也是您的基础设施供应商所期望的直觉 - 就是购买更多的接入点。新的硬件、更大的部署规模、更巨额的账单。 但事实是这样的。在我评估过的大多数案例中，问题根本不在于接入点本身。问题在于通过这些接入点传输的内容。这是一个软件问题，这意味着它需要一个软件解决方案。 今天，我将向您详细介绍如何通过 DNS 过滤和软件层优化来回收百分之三十或更多的现有带宽 - 而无需动用任何一件硬件。我们将涵盖技术架构、实际部署场景以及您可以提交给 CFO 的商业案例。 让我们开始吧。 --- 技术深度剖析 (大约 5 分钟) --- 首先，让我们确立核心问题。当您查看在典型的企业访客 WiFi 网络上实际消耗带宽的内容时，其细分结果会让大多数人大吃一惊。 广告网络和第三方追踪器 - 即每个设备上的每个应用程序都在不断发送的后台遥测数据 - 在典型访客网络的 DNS 查询量中占到了百分之二十五到四十。这些并不是您的访客有意发起的请求。它们是自动进行的。每当有人在手机上打开新闻应用、社交媒体平台或零售应用时，该应用就会向广告服务器、分析平台和追踪像素发送数十个 DNS 查询。这些流量中没有一个是能为您的访客带来价值的。但所有这些都在消耗您的上行链路容量。 最重要的是，您还面临着恶意软件和僵尸网络流量。受感染的设备 - 在大型访客网络中，您肯定会遇到受感染的设备 - 正在不断尝试向命令和控制服务器发送心跳信号。这种流量不仅浪费带宽，还带来了合规性和安全性风险。 因此，在合法的流量（如视频通话、网页、支付交易）到达您的上行链路之前，您就已经在无用数据上消耗了三分之一到二分之一的可用容量。现在，DNS过滤在解析层运行。每个互联网请求都始于一个DNS查询 - 一种将域名转换为IP地址的查找。DNS过滤在查询到达您的上行链路之前将其拦截。如果该域名解析为广告网络、已知的恶意软件主机或受政策限制的类别，则该查询将在DNS层被拦截。设备将收到空响应。不传输任何数据。不消耗任何带宽。 这与防火墙或代理有着本质的区别。防火墙在数据包到达后对其进行检查。代理则在传输中途拦截流量。DNS过滤在请求开始之前就将其阻止 - 这就是为什么带宽回收如此显著的原因。您不是在清理已经到达的流量；而是在一开始就阻止其被请求。 从架构的角度来看，部署非常简单。您只需配置DHCP服务器，将客户端设备指向您的DNS过滤解析器，而不是ISP的默认DNS。这通常只需在您的DHCP配置中修改两行。过滤规则在中央进行维护 - 无论是部署在云端还是本地，具体取决于您的合规性要求 - 并在所有连接的设备上统一应用，而无需考虑它们与哪个接入点相关联。 这对于多场所运营商来说是一个关键点。一个拥有两百家门店的零售连锁店，或一个拥有五十家物业的酒店集团，可以从单一管理控制台在整个区域内部署一致的DNS过滤政策。无需现场工程师访问。无需逐个站点配置。政策变更在几分钟内即可传播完毕。 现在，这里有一个重要的技术注意事项，我想为在座的架构师们标记一下。DNS over HTTPS（DoH）的出现给传统DNS过滤带来了挑战。当设备使用DoH时，它会加密其DNS查询并将其直接发送到特定的解析器 - 通常由浏览器厂商运营 - 从而完全绕过您的网络级DNS。这意味着您的过滤规则会被规避。 解决方案是在网络级强制执行DoH拦截。这涉及识别DoH流量（该流量在指向已知解析器IP范围的443端口上运行），并将其阻止或重定向到您自己支持DoH的过滤解析器。这是一种更高级的配置，但对于在Chrome、Firefox和iOS日益默认使用加密DNS的现代网络上保持过滤效能至关重要。Purple已经发布了一份关于DNS over HTTPS对公共WiFi过滤影响的详细指南，我建议在阅读本简报的同时阅读该指南。 除了DNS过滤之外，还有几种互补的软件层优化值得并行实施。 双频合一（Band steering）是影响最深远的技术之一。大多数现代接入点都支持 2.4 GHz 和 5 GHz 频段。5 GHz 频段提供明显更高的吞吐量，但覆盖范围较短。在没有启用双频合一的情况下，设备通常会默认关联到 2.4 GHz 频段 - 尤其是较旧的设备和物联网硬件 - 从而在已经拥挤了传统流量的频段上造成拥堵。在无线控制器中启用双频合一可以引导具备能力的设备连接到 5 GHz，从而为真正需要它的设备释放 2.4 GHz 频段。 SSID 整合是另一个快速见效的方法。您广播的每个 SSID 都会通过信标帧消耗空口时间 - 这是覆盖范围内的每个设备都必须处理的管理流量。一个为不同部门、承包商和访客级别运行八个或十个 SSID 的场所在管理开销上消耗了可观比例的空口时间。将 SSID 整合为三到四个 - 访客（guest）、员工、物联网（IoT）和管理 - 并使用 VLAN 标记进行隔离，而不是使用独立的 SSID，可以立即收回这部分空口时间。 QoS - 服务质量 - 策略执行是第三个杠杆。如果没有 QoS，单个播放 4K 视频的访客就可能使无线电小区饱和，从而降低该接入点上所有其他设备的体验。实施单客户端速率限制和流量优先级排序 - 将 VoIP 和 POS 交易流量的优先级提高到大流量视频流之上 - 可以确保即使在峰值负载下，业务关键型流量也能得到保护。 最后，信道规划和发射功率优化。这些通常在初始部署期间一劳永逸地设置，之后再也不会重新评估。随着射频（RF）环境的变化 - 新建筑、新干扰源以及设备密度的变化 - 您的信道分配可能会产生同频干扰，从而显著降低吞吐量。进行被动射频勘测并重新优化信道分配是一项零成本的干预措施，可以带来实质性的吞吐量提升。 --- 实施建议与陷阱（约 2 分钟） --- 让我为您提供一个中型场所的实际部署顺序 - 例如，一个拥有两百间客房的酒店或一个区域性零售分销中心。 从基准测量开始。在更改任何内容之前，请配置您的网络以按类别捕获 DNS 查询量、单客户端带宽消耗以及按一天中不同时间的上行链路利用率。这为您计算投资回报率（ROI）提供了前置状态。大多数企业级 WiFi 分析平台都会原生呈现这些数据 - 例如，Purple 的分析平台提供设备级的可见性，使这项基准测试工作变得非常简单。 第二步：在监控模式下部署 DNS 过滤。大多数企业级 DNS 过滤解决方案都支持被动模式，即对查询进行记录和分类，但不进行拦截。在执行任何策略之前，请先运行 48 至 72 小时，以了解您的流量构成。这可以防止误报在第一天就干扰合法的流量。 第三步：分阶段启用拦截。从置信度最高的类别开始 - 诸如已知的恶意软件域名、僵尸网络命令与控制以及广告网络。这些都是具有高带宽影响的低风险拦截。在第一周内每天查看日志，以捕获任何意外的拦截。 第四步：分层引入 QoS 和频段引导。一旦 DNS 过滤稳定运行，请实施单客户端速率限制和频段引导。在非高峰时段测试这些更改，并验证 POS 终端、VoIP 话机和其他业务关键型设备是否运行正常。 第五步：记录和评估。30 天后，提取您的带宽利用率指标并与您的基线进行对比。在大多数部署中，您会看到上行链路利用率减少了 20% 到 40%。这就是您的投资回报率（ROI）数据。 现在来看看陷阱。我最常见的一个陷阱是过度拦截。如果您在未先查看日志的情况下就启用了激进的内容过滤类别，您将会拦截合法的服务。云存储、企业级 SaaS 应用程序甚至某些支付处理域名都可能会出现在宽泛的拦截类别中。请务必先从保守策略开始，然后逐步扩展。 第二个陷阱是忽视了 DoH 绕过。如果您在部署 DNS 过滤时没有解决 DoH 问题，随着越来越多设备默认使用加密 DNS，您会发现过滤效果随着时间的推移而下降。请从第一天起就从网络策略层面解决此问题。 第三个陷阱是未能对 IoT 流量进行隔离。IoT 设备 - 智能电视、楼宇管理系统、数字标牌 - 经常会向制造商的遥测服务器产生大量的 DNS 流量。如果您没有将 IoT 隔离到具有其自身过滤策略的独立 VLAN 中，那么当您收紧过滤规则时，可能会在无意中阻碍设备功能的正常运行。 --- 快速问答（约 1 分钟）--- 让我解答一下我最常遇到的问题。 “DNS 过滤会影响宾客体验吗？”在实际应用中，宾客根本不会注意到。被拦截的域名都是后台遥测数据，而不是他们主动请求的内容。如果有任何变化的话，他们的体验反而会变好，因为有更多的带宽可用于他们真正想要做的事情。 “这需要对我们的接入点进行更改吗？”不需要。DNS 过滤是在 DHCP 和 DNS 解析器层进行配置的。您的接入点不会受到任何影响。“这符合 GDPR 规范吗？” DNS 过滤仅记录域名查询，不记录具体内容。您并没有进行深度包检测。只要您有合适的数据保留政策，并且您的隐私声明中涵盖了网络监控（无论如何都应该涵盖），DNS 过滤就完全符合 GDPR。对于公共部门和医疗行业的部署，这通常是合规性要求，而不是可选方案。 “那么 PCI-DSS 呢？” DNS 过滤实际上通过阻止持卡人数据环境与已知的恶意域名进行通信，增强了您的 PCI-DSS 合规表现。这是一种积极的控制措施，而不是一种风险。 - 总结与后续步骤（约 1 分钟） - 归纳一下：大多数企业 WiFi 性能问题并非硬件问题。它们是软件问题 - 具体来说，是 DNS 层缺少智能流量管理。 通过部署 DNS 过滤，您可以回收百分之三十或更多的现有带宽，将现有接入点基础设施的使用寿命延长二至四年，并同时提升您的安全与合规表现。部署时间以小时计，而非以月计。资本支出仅为硬件更新换代的一小部分。 实际的后续步骤非常简单。本周在您的网络上运行一次 DNS 流量审计 - 大多数企业平台都无需任何额外工具即可为您提供这些数据。找出占用带宽最多的前几大域名类别。然后针对这些类别评估 DNS 过滤解决方案。 如果您正在大规模运营访客 WiFi 网络（如酒店、零售、活动、公共部门），Purple 的平台可在单一部署中将 DNS 过滤与访客 WiFi 管理和分析整合在一起。这意味着您可以通过一个平台，而不是三个平台，来实现带宽回收、合规性控制和访客数据洞察。 感谢收听 Purple 技术简报。随附的书面指南中提供了完整的实施指南、架构图和实际案例。我们下期再见。