医疗保健访客 WiFi 平台：患者入网、内容过滤与 VLAN 隔离对比

最强大的医疗访客 WiFi 平台可将患者、访客和承包商划分到由 RADIUS 分配的独立 VLAN 中，并使临床物联网完全远离访客网络。这些平台应用了阻断 IWF 和 CTIRU 列表的 DNS 过滤。它们能在床旁为长期住院患者办理一次性入网，提供贯穿整个住院期间的个人密钥。

您应该选择哪种医疗访客 WiFi 平台方案？

医院 WiFi 服务于具有不同风险特征的四类人群：患者、访客、承包商和临床设备。如果某个平台将他们混为同一个“访客”群体，就会带来三个问题：护佑合规风险增加、临床系统暴露于外部网络，以及病房护士站沦为 WiFi 服务台。

对于大多数医疗机构而言，正确的做法是结合多种接入模型，而不是仅选择一种：

• 住院患者获得基于身份的接入：床旁一次性发放的个人密钥，可在整个住院期间自动重连其所有设备。
• 访客和门诊患者使用已注册的强制门户（设备在连接互联网前显示的网页），并通过电子邮件或短信进行验证。
• 承包商获得经赞助的限时接入权限，该权限将在合同结束日期到期。
• 临床物联网绝不接触访客平台。它运行在独立的临床网络上，通过 IEEE 802.1X 或 iPSK 进行身份验证，并隔离在防火墙之后。

Purple 作为云端叠加层，可在您现有的接入点上提供前三种接入方式。该叠加层可与 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 协同工作。Purple 自 2012 年起便开始运营访客网络，已在 90 个国家的 80,000 多个场所上线。该平台每年处理 5 亿用户和登录次数。它拥有 ISO 27001、Cyber Essentials 和 B Corp 认证，并符合 GDPR 与 CCPA 合规要求。

如果您想先解决硬件问题，请阅读 为什么您的下一次 WiFi 升级不需要新硬件。

医院患者 WiFi 平台真正的差异在哪里？

每个平台都声称提供安全、经过过滤的访客接入。真正的差异体现在三个维度上。第一是患者在第 5 天如何重新连接。第二是流量如何隔离。第三是过滤事件绑定到什么身份。

接入模型	患者或访客如何连接	7 天住院期间的重新连接	流量隔离	过滤事件归因于	最适合
开放式 SSID、一键式强制门户	在引导页面上接受条款	每次会话过期时再次提示	带有客户端隔离的单个共享访客 VLAN	仅设备 MAC 地址	门诊候诊区、短期探访
已注册的强制门户（电子邮件或短信验证）	验证一次联系方式	会话或 MAC 记录到期时提示	共享访客 VLAN，带客户端隔离	已验证的电子邮件或手机号码	访客、日间病例、急诊科等待区
基于身份（iPSK 或私有网络泡泡）	扫描床边二维码并接收个人密钥	如果密钥有效期与入院时间一致，则无需提示	由 RADIUS 分配的基于身份的 VLAN 或私有泡泡	按患者或床位指定的密钥	住院患者、产科、长期住院和康复病房
Passpoint 或 OpenRoaming	使用已配置的配置文件自动连接	配置文件有效期间无需提示	身份提供商领域应用的策略	身份提供商账户	已拥有配置文件的员工和访客

这里需要定义几个概念。iPSK（身份预共享密钥）为每个人或设备在共享的 SSID 上提供自己的 WiFi 密码。RADIUS 是身份验证协议，用于检查凭据并将策略返回给接入点。Passpoint (Hotspot 2.0) 允许设备使用存储的凭据自动加入。OpenRoaming 是建立在 Passpoint 之上的无线宽带联盟 Federation。

医院访客 WiFi 平台如何隔离患者、访客、承包商和临床物联网流量？

隔离发生在三个层级：SSID、VLAN 和防火墙。VLAN（虚拟局域网，在 IEEE 802.1Q 中定义）将一个物理网络分割成相互隔离的逻辑网络。

动态 VLAN 分配。 您不需要为每个群体设置一个 SSID。每个额外的 SSID 都会增加信标空口时间，Cisco 和 HPE Aruba 等供应商建议保持较低数量。相反，RADIUS 可以在登录时使用 RFC 3580 中标准化的隧道属性返回 VLAN。患者密钥落地于患者 VLAN，承包商凭据落地于承包商 VLAN。两者均通过同一个 SSID 接入。

客户端隔离。 在每个访客 VLAN 上启用端到端阻断。这可以防止一名患者的笔记本电脑连接到另一名患者的手机。Purple 的私有网络泡泡更进一步。每位患者的设备可以互相可见，因此平板电脑可以投屏到手机，但泡泡之外的任何设备都无法连接。

防火墙策略。 访客 VLAN 应当只能访问互联网，不能访问其他任何内容。对访客 VLAN 拒绝所有 RFC 1918 私有地址范围，然后仅允许您需要的内容回连，例如患者娱乐服务。记录拒绝规则。这是审计员在您的 NHS 数据安全与保护工具包 (DSPT) 提交中会要求提供的凭据。

加密。 开放的 SSID 在空中以明文形式传输流量。WPA3 Enhanced Open 基于机会无线加密 (RFC 8110)，无需密码即可对每个会话进行加密。较旧的患者设备不支持它，因此在硬件允许的情况下请在过渡模式下运行它。

受众群体	网络	身份验证	VLAN 和防火墙策略	凭据有效期
住院患者	访客 SSID	iPSK 或私有网络气泡，在床边分发	患者 VLAN，仅限互联网，客户端隔离	入院时长，出院时撤销
探视者或门诊患者	访客 SSID	已注册的强制门户	访客 VLAN，仅限互联网，客户端隔离	一个探视日
承包商	访客 SSID	经资产或 IT 部门批准的赞助申请	承包商 VLAN，互联网加指定的供应商端点	合同结束日期
临床物联网	临床 SSID，绝非访客	搭配 EAP-TLS 的 IEEE 802.1X，或适用于无头设备的 iPSK	防火墙后的临床 VLAN，默认无互联网访问权限	资产寿命，退役时撤销
员工	员工 SSID	通过 Microsoft Entra ID、Okta 或 Google Workspace 的 IEEE 802.1X	按角色的员工 VLAN	雇佣期，离职时撤销

IEEE 802.1X 是用于企业 WiFi 的基于端口的访问控制标准。EAP-TLS 是其中基于证书的方法，适用于能够保存证书的设备。许多输液泵、监护仪和呼叫护理铃单元则无法做到。iPSK 为这些无头设备提供唯一的密钥，因此您可以撤销单个设备，而无需重新配置整个病房的密钥。

Purple 员工 WiFi 对员工访问权限应用入职、调动和离职模型。在 Microsoft Entra ID、Okta 或 Google Workspace 中被禁用的离职人员将同步失去 WiFi 访问权限。这可以防止共享的员工密码泄露到院区的访客端。

NHS 和私立医疗保健机构访客网络需要哪些 DNS 过滤和安全防护策略？

没有任何单一法规列出 NHS 访客网络必须拦截的内容。在实践中，医疗信托根据五个来源构建其过滤策略。

1. 英国互联网观察基金会 (IWF) URL 列表（儿童性虐待图像）。在每个访客 VLAN 上予以拦截，绝不例外。
2. 内政部 CTIRU 列表（非法恐怖主义内容）。英国安全互联网中心的适当过滤定义参考了该列表。
3. 预防 (Prevent) 职责。 NHS 医疗信托和基金会信托是《2015 年反恐与安全法案》指定的机构。您的访客 WiFi 策略应展示其如何支持该职责。
4. Friendly WiFi。 该英国认证计划旨在认证公共 WiFi 是否过滤色情和虐待儿童内容。许多公共部门采购方都要求具备此认证。
5. 您的安全防护策略。 儿科病房、精神健康单元和青少年服务部门需要比成年门诊大厅更严格的配置。

DNS 过滤会在建立连接之前对照分类列表检查每个域名查询并拦截请求。由于它不需要在患者设备上安装代理，因此是用于访客网络的实用方案。合理的基线是在每个访客 VLAN 上拦截非法内容、成人内容、恶意软件和网络钓鱼。然后在儿科和精神健康 VLAN 上增加赌博、自残和宣扬饮食失调的分类拦截。

策略能否生效取决于两个技术要点：

• 强制 DNS。 重定向或拦截未发送至过滤解析器的端口 53 出站 DNS。
• 处理加密的 DNS。 基于 HTTPS 的 DNS（DoH，RFC 8484）可以完全绕过过滤器。阻止已知的公共 DoH 解析器以及端口 853 上的基于 TLS 的 DNS。使用浏览器在默认启用 DoH 之前检查的金丝雀域名。

根据 UK GDPR 的规定，过滤日志一旦与患者或访客关联，即属于个人数据。请设置较短的保留期限，将其记录在您的数据保护影响评估（DPIA）中，并限制可以查询该日志的人员。基于身份的访问控制在此有一个明显的优势。保护负责人可以将拦截请求警报与床位或密钥关联，而不是与随机 MAC 地址关联。

Purple 的安全附加组件（SecurePass、Verify 和 Shield）与 访客 WiFi 平台并行运行。请在招标文件中明确您所需的过滤类别、列表来源和日志保留期。然后要求每个竞标方演示这些功能的实际运行，而不仅仅是在选项框打勾。

床旁接入流程如何减少长期住院患者病房服务台的支持工单？

长期住院病房的服务台 WiFi 工单通常由三个原因引起。

• 会话过期。 24 小时的点击通关会话会迫使住院 10 天的患者在每台设备上通过强制门户多达 10 次。
• MAC 随机化。 iOS 和 Android 默认在每个网络中使用私有 MAC 地址，某些版本还会定期轮换该地址。通过 MAC 地址识别返回设备的平台会因此遗忘这些设备。
• 强制门户故障。 某些应用和较旧的设备从不显示 Portal 页面，导致患者看到“已连接，无 Internet”并向护士求助。

床旁接入消除了这三种情况。患者只需扫描床旁卡片或欢迎折页上的二维码。他们确认一次可接受的使用条款，即可获得一个可供每台设备加入的个人密钥或专属网络。密钥的有效期限与入院时间一致，并在出院时注销。之后不会再出现 Portal 页面，因此随机 MAC 和无法识别 Portal 的应用都不再是问题。

进一步减少工单的设计细节：

• 在数据保护官更倾向的情况下，按床位分配而非按姓名分配。在出院时通过床位管理工作流重新发放密钥。
• 允许使用家庭设备。 看护人员经常需要设置父母的平板电脑。覆盖四到五台设备的密钥可以避免产生第二个工单。
• 为病房编写提示卡。 使用通俗易懂的语言、主要患者语言的译文，以及符合 WCAG 2.2 AA 标准的对比度。
• 添加自助服务帮助页面，该页面可在未经身份验证的情况下在访客 VLAN 上加载，以便患者无需联系服务台即可解决常见问题。

各种接入模式适用于医院设施的哪些区域？

以下两个演练场景使用了设定的假设。每个场景都展示了计算过程，以便您根据自己的床位数和住院时长重新计算。

演练场景 1：一家 NHS 急诊信托基金替换点击通关网络

**现状：**一家拥有 600 张床位的急诊医疗信托机构运营着一个开放的访客 SSID，采用 24 小时点击跳转会话模式。患者、访客、承包商以及一些旧式病房设备共用同一个扁平化访客 VLAN。病房管理者反映，WiFi 问题经常导致护士站的工作中断。

**应对措施：**该信托机构将网络环境划分为四个 VLAN：患者、访客、承包商和临床。临床设备被迁移到具有 iPSK 且无互联网路由的独立临床 SSID。住院患者现在可以在床边使用有效期涵盖整个住院期间的密钥进行入网。访客则使用已注册的强制门户获取为期一天的访问权限。DNS 过滤在每个访客 VLAN 上拦截 IWF 和 CTIRU 列表，并在儿科和精神科病房实施更严格的策略设定。

**可衡量的成果：**以一个拥有 28 张床位、平均住院时间为 6 天、每位患者拥有两台设备的病房为例。旧的 24 小时会话模式在每张床位每次住院期间最多会产生 12 次门户提示。在每个病房的单次住院周期内，这大约相当于 336 次提示。而在床边入网模式下，这一数字减少到两次（即每台设备在入院时提示一次）。该信托机构通过逐季比较标记为“患者 WiFi”的服务台工单来评估这一变化。此外，机构还获得了显示访客与临床设备之间零流量的防火墙日志，为 DSPT 凭证提供了有力支持。

实际案例 2：按酒店业标准运营的私立医院

**现状：**一家拥有 120 张床位的私立医院将其住宿定位为酒店式服务，提供客房服务、娱乐流媒体和礼宾服务台。患者期望 WiFi 能达到四星级酒店客房的使用体验。许多患者在康复期间使用笔记本电脑、手机和平板电脑进行远程办公。

**应对措施：**该医院采用了 Purple 的私有网络气泡技术，使每位患者的设备只能相互通信，而无法与其他人的设备通信。患者可以投屏到房间屏幕上，而不会暴露给隔壁房间。注册时仅收集姓名和电子邮件，并由患者自主选择是否接收医院通信信息。医院绝不收集健康信息，UK GDPR 将此类信息视为特殊类别数据。WiFi Analytics 按病房而非个人报告联网设备数量和停留时间。

**可衡量的成果：**假设一位患者入住四晚，使用三台设备，并处于 24 小时会话模式下。该患者将面临 12 次重新连接提示。而使用覆盖整个住院周期的密钥后，提示次数降至三次。医院追踪两项指标：每间已占用床位每晚的礼宾 WiFi 请求数，以及患者对网络连接的满意度评分。医院还将电子同意书的订阅率与先前的纸质同意书进行了对比。

同样的酒店业逻辑也体现在 Purple 与 Hotels 的合作中。现在许多医院的中庭都设有咖啡馆和商店。这些大厅的运作方式类似于 Retail：购物者需要快速、经过过滤的接入，而已注册的强制门户正好满足这一需求。

选项的运行成本如何？

许可证价格只是成本的一部分。更昂贵的成本在于病房服务台的时间投入、IT 变更工作量以及数据保护开销。

接入模型	硬件变更	病房服务台工作量	IT 工作量	数据保护开销
开放点选式强制门户	支持的接入点无需变更	高：每次会话重复提示	低：一个 VLAN，一条策略	留存数据少，但安全保障归因能力弱
注册式强制门户	支持的接入点无需变更	中：到期及 MAC 地址轮换后提示	低：一个或两个 VLAN	留存联系方式：DPIA、留存计划表、隐私声明
基于身份（iPSK 或私有网络泡泡）	接入点支持 iPSK 或 RADIUS VLAN 分配的无需变更	低：每次入院设置一次	中：按人群区分 VLAN 和 RADIUS 策略	密钥绑定至病床或患者：DPIA 涵盖过滤日志
Passpoint 或 OpenRoaming	接入点必须支持 Hotspot 2.0	安装配置文件后较低	中至高：证书、域、配置文件分发	身份由提供商留存：需审查数据共享条款

有三个成本驱动因素很容易被忽视：

• 控制器依赖。 如果您的强制门户和策略位于本地无线局域网控制器上，则每次变更都需要等待维护窗口。云重叠层可以将该策略从控制器中移出。参见 什么是 WLC（无线局域网控制器）以及您是否仍需要它？。
• 外包商凭据漂移。 共享的外包商密码很少更改。具备时间限制的赞助接入消除了在发生事件后查找和撤销这些密码的成本。
• 重新连接工单。 每张工单都会浪费护士离开患者的几分钟时间。将您的模型提示次数乘以工单率，即可算出具体数值。

Purple 承诺其平台的正常运行时间达 99.999%（Purple 自有数据）。向每家竞标商询问其正常运行时间数据及所涵盖的时间段，因为病房的停机时间会转化为另一张工单。

您如何为您的医疗机构做出决策？

从您的人群和限制条件出发，而不是从功能列表出发。

您的现状	建议的方法
急诊信托机构，短期和长期住院混杂，目前为扁平访客网络	住院患者使用床边 iPSK，访客使用注册式强制门户，临床使用独立的 SSID
现场设有精神健康、儿科或青少年服务	按病房设置 VLAN，附带更严格的 DNS 过滤配置文件以及与病床密钥绑定的安全保障警报
提供酒店级住宿服务的私立医院	每个患者独立私有网络泡泡，知情同意选择性加入，注册时不收集健康数据
门诊部或社区医院，就诊时间少于四小时	注册式强制门户，提供为期一天的会话和基础过滤
房地产项目期间有大量外包商人群	赞助的、有时间限制的外包商 VLAN，在合同到期日失效
无法运行 802.1X 的老旧医疗设备	临床 VLAN 上单台设备独立的 iPSK，无互联网路由

然后在确定候选名单之前执行五项检查：

1. 硬件。 确认您的无线接入点支持 RADIUS VLAN 分配和 iPSK。Purple 支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。
2. 过滤。 要求提供涵盖 IWF 和 CTIRU 列表、DoH 处理以及按 VLAN 配置文件的书面确认。
3. 数据保护。 要求提供 ISO 27001 和 Cyber Essentials 认证、数据驻留证明以及数据处理协议草案。
4. 入网流程。 在签署合同之前，先在采用随机 MAC 地址的手机以及较旧的 Android 平板电脑上观看床旁入网流程。
5. 报告。 检查分析报告是否能在病房级别提供，同时不暴露单个患者的隐私。

访客 WiFi RFP 需求：入网、安全性和分析的规范要点 指南将这些检查项转化为了具体的招标条款。如需了解行业背景信息，请参阅 Purple 的 医疗保健 页面。

常见问题解答

Purple 是否兼容我们医院现有的无线接入点？

是的。Purple 作为云端叠加层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 硬件上。您可以保留现有的无线接入点、交换机和线缆。您只需检查具体型号的功能支持情况，主要是 RADIUS VLAN 分配和 iPSK，因为这些功能决定了基于身份的床旁入网能否在每个病房顺利工作。Purple 团队会在方案制定阶段根据您的资产清单进行确认。

长期住院患者能否在整个住院期间保持连接，而无需再次登录？

是的，当您使用基于身份的入网流程时即可实现。患者只需扫描一次床旁二维码即可获取个人密钥。在此后的整个住院期间，所有设备都会自动重新连接。您可以设置与住院时长相匹配的密钥有效期，并在出院时予以撤销。随机 MAC 地址和短会话定时器将不再导致频繁弹出强制门户提示，而这正是病房服务台 WiFi 工单的主要来源。

Purple 是否符合英国针对 NHS 信托基金的数据保护要求？

是的。Purple 符合 GDPR 标准，并拥有 ISO 27001 和 Cyber Essentials 认证，可为您的供应商质量保证提供支持。您的信托基金仍然是数据控制者，因此您仍需完成数据保护影响评估，并设置注册日志和过滤日志的保留期限。切勿在 WiFi 注册时收集健康信息。UK GDPR 将其视为特殊类别数据，且网络接入并不需要这些信息。

临床医疗设备应该连接到医院的访客 WiFi 吗？

不应该。临床物联网设备应放置在独立的临床 SSID 和 VLAN 上，位于默认没有互联网路由的防火墙之后。对于能够持有证书的设备，请使用 IEEE 802.1X 和 EAP-TLS。对于无法持有证书的无头设备，请使用 iPSK，以便您可以撤销单个设备而无需对整个病房重新配置密钥。访客 VLAN 应阻止前往内部私有地址范围的所有流量。

NHS 访客 WiFi 网络需要哪些内容过滤？

最起码要在每个访客 VLAN 上拦截 Internet Watch Foundation 列表和内政部 CTIRU 列表。将成人内容、恶意软件和钓鱼网站作为基线拦截项。在儿科和精神健康病房应用更严格的过滤配置文件。强制通过您的过滤解析器传输 DNS 并拦截基于 HTTPS 的公共 DNS 解析器，否则患者可能会绕过过滤器。许多公共部门采购方还会要求 Friendly WiFi 认证。

如何为医院资产获取 Purple 许可？

Purple 通过三种方案提供许可：Connect、Capture 和 Engage。SecurePass、Verify 和 Shield 可作为安全附加组件提供。大多数国民医疗服务信托基金（Trust）首先采用涵盖患者和访客接入的方案，然后添加符合其安全保障和身份要求的安全功能。请联系 Purple 获取基于您的站点、病房和人群规模的报价。请提供您的接入点清单，以便准确确定范围。

从点击即连网络迁移需要付出多少精力？

大部分精力集中在网络设计而非安装上。在支持的硬件上无需新增接入点。您的团队负责定义 VLAN、编写它们之间的防火墙规则，并为每类人群设置 RADIUS 策略。您还需要制作床边卡片并对病房员工进行培训。先在一个病房进行试点运行，可以让您在全信托基金推广前衡量服务单数量的减少情况。

我们能否将访客 WiFi 注册用于患者沟通？

可以，但必须基于明确的选择性同意，不得包含其他内容。将同意请求与可接受使用条款分开询问，记录带有时间戳的同意信息，并确保撤回同意与给予同意一样简单。仅收集联系方式，绝不收集临床信息。通过这种方式捕获的第一方数据可以提供给经批准的医院沟通渠道（如预约提醒）。您的隐私声明和 DPIA 必须涵盖该用途。