夜总会及深夜场所 WiFi 服务商：内容过滤、峰值容量与员工访问

夜店 WiFi 服务商必须能够应对登录峰值激增，同时保障员工设备安全并过滤内容。像 Purple 这样的平台利用 IEEE 802.1X 和 iPSK 分段技术实现这一目标，与 Microsoft Entra ID 集成进行员工身份验证，并在 90 个国家/地区的 80,000 多个场所通过现有硬件每年支持 5 亿用户和登录。

深夜场所对 WiFi 服务商有哪些要求？

深夜场所的网络负载与酒店大堂或商场卖场截然不同。网络需求在开门营业时如潮水般涌来，午夜前达到顶峰，并一直保持高密度直至打烊。同一个无线空间还承载着维持正常营业和合规运营的设备：门禁扫描仪、刷卡终端、收银机以及安防设备。

在考量夜店 WiFi 服务商入围名单时，请务必关注以下五项要求：

1. 首小时登录容量。 强制门户是宾客上网前看到的网页。它必须能够承受瞬时并发登录，避免舞池中形成排队等待。
2. 持牌人可控的内容过滤。 场所牌照持有者决定访客网络可以访问的内容。服务商在每个访客会话中执行该策略。
3. 员工与设备的物理隔离。 门禁扫描仪、收银机和安防设备部署在独立网络中，完全隔离于访客流量。
4. 可直接交付的合规报告。 当发牌机构或警方询问网络使用情况时，您可以提供会话记录、时间戳以及生效的内容过滤策略。
5. 符合授权同意原则的活动营销名单。 仅当宾客主动选择加入时，登录信息才会转化为营销联系人。

Purple 通过三款产品覆盖这些需求。Purple Access 隔离访客、员工和设备网络。Purple Shield 过滤访客网络上的内容。Purple Engage 将活动当晚已获授权的登录信息转化为可用于营销的名录。

Purple 作为云端叠加层，运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 接入点上。满足这些要求通常无需更换新硬件。为什么您下一次 WiFi 升级无需新硬件 详细阐述了叠加模式的工作原理。

夜店 WiFi 服务商的真正差异所在

大多数服务商都能为访客网络设置展示页面。真正的差异会在客满的周六 23:00 显现，或者在有人质询网络用途时体现出来。

场所在首小时需要多大的登录容量？

容量规划应针对开门后最繁忙的 15 分钟，而不是整夜的平均水平。请根据您场所的实际进出数据进行规划，而不仅仅参考准许客容量。

以下是针对容纳 1,000 人俱乐部的规划测算。假设您的门禁系统在第一个小时内记录了 600 次入场。假设其中 40% 的人员是在最繁忙的 15 分钟内到达。这意味着 15 分钟内有 240 人到达，即每分钟 16 人。如果每位到达的宾客都尝试连接，则门户必须在每分钟完成 16 次登录。在此期间，它还需要继续为场内所有人提供服务。此外，还需留出应对访客输错信息或在移动数据与 WiFi 之间切换时进行重试的冗余空间。

容量包含两个层级，服务提供商必须同时满足这两者的要求。

射频容量。 您的接入点必须能够同时承载所有已连接的设备。人员密集的房间会吸收无线电信号，因此在 18:00 正常工作的方案可能会在午夜失效。请将接入点安装在头顶上方人体无法阻挡的位置。请参考硬件供应商针对每台射频客户端数量的高密度设计指南。WiFi 6 (IEEE 802.11ax) 引入了 OFDMA 技术，允许单个接入点在单次传输中为多台设备提供服务。WiFi 6 802.11ax 详解 介绍了其在高密度空间中的优势。切勿使用中继器填补覆盖盲区。WiFi 扩展器与接入点：您需要哪一个？ 解释了为何扩展器会使可用空口时间减半。

平台容量。 登录服务绝不能成为瓶颈。Purple 每年在 90 个国家/地区的 80,000 多个活跃场所处理 5 亿用户及登录，并保持 99.999% 的正常运行时间（Purple 自有数据）。您可以要求任何提供商提供其同等数据，并了解其门户在突发负载下的表现。

从源头上减少登录次数。 再次光顾的宾客无需在门户重新排队。Passpoint（也称 Hotspot 2.0）是用于自动化、加密 WiFi 登录的行业标准。OpenRoaming 是一个无线宽带联盟（Wireless Broadband Alliance）联盟组织，利用 Passpoint 将设备自动连接到加入该计划的网络。Purple 支持 OpenRoaming，从而使回头客完全脱离登录高峰。

最后，防止少数设备占用所有人所需的空口时间。会话时长和带宽限制可防止正在流式传输 DJ 表演的宾客拖慢整个房间的网速。如何在访客 WiFi 上实施时间和带宽限制 详细介绍了相关设置。

深夜访客网络应该阻止哪些内容，以及如何阻止？

在英格兰和威尔士，《2003年许可法案》设定了四项许可目标。这些目标是预防犯罪和扰乱秩序、公共安全、防止公共妨害以及保护儿童免受伤害。场所执照持有者必须在其经营的场所内贯彻这些目标。访客网络属于该场所的一部分，因此制定书面的过滤策略是一项明智的管控措施。

将该策略分为两个层级构建。

每个场所都应阻止的底线内容：

• 儿童性虐待内容。请向提供商询问其过滤器是否采用了互联网观察基金会 (IWF) 的 URL 列表。
• 已知的恶意软件和钓鱼网站域名，这有助于保护访客的手机以及您自身的声誉。
• 匿名代理和规避过滤的服务，否则任何访客都可以借此绕过安全策略。

持牌人可制定的策略选项：

• 成人内容、赌博及其他类别，具体取决于您的客户群体、活动和许可条件。
• 对等网络 (P2P) 文件共享和大型下载，这些会占用您在客流高峰期所需的网络容量。

大多数访客过滤都在 DNS 级别进行。DNS 负责将网站名称解析为 IP 地址。DNS 过滤器会拦截对受限站点的查询，并返回阻止页面作为替代。它无需在手机上安装软件即可在所有手机上生效。某些浏览器会通过加密 DNS (DNS over HTTPS) 发送查询，这可能会绕过网络过滤器。建议向供应商了解他们如何处理这种情况。

Purple Shield 仅对访客网络应用内容过滤。员工和设备网络按各自独立的策略运行，因此访客规则绝不会阻止收银机更新。

如何防止门禁扫描仪、收银机和安防设备接入访客网络？

网络隔离首先从为每个组分配独立的网络名称 (SSID) 开始。每个 SSID 都会映射到专属的 VLAN（虚拟局域网），在相同的交换机上作为独立的逻辑网络运行。随后，防火墙规则会阻止从访客 VLAN 发往设备 VLAN 的任何流量。访客网络上的客户端隔离功能还可以防止访客互相访问彼此的手机。

接下来，确定每个群体如何验证其身份。

员工手机和笔记本电脑应使用 IEEE 802.1X。该标准要求每个人都使用自己的凭据登录，并由负责批准或拒绝每次连接的 RADIUS 服务器进行验证。Purple 的云端 RADIUS 可连接到 Microsoft Entra ID、Okta 或 Google Workspace。当酒吧经理离职时，您只需停用其账户，其 WiFi 访问权限便会随之撤销。如果您雇用了临时工或中介外包员工，共享的员工密码可能会在知晓该密码的员工离职后依然被滥用。

门禁扫描仪、刷卡机、收银机和安防设备通常无法运行 802.1X。此时可以使用 iPSK（独立预共享密钥），有时也称为 PPSK。每个设备或设备组在同一个 SSID 上拥有自己的密钥，并映射到其专属的 VLAN。这样您就可以撤销某台丢失扫描仪的密钥，而无需重新配置每台收银机。只要设备支持，请尽量使用 WPA3 加密。

刷卡机和收银机还涉及额外的合规要求。PCI DSS 规定，任何能够连接到持卡人数据环境的系统都属于评估范围。将支付设备与访客 WiFi 进行分段隔离，可确保访客网络不被纳入该范围。

网络隔离还需要足够的上行链路容量。如果访客和设备共用一条互联网线路，请在网关处为设备 VLAN 预留带宽。这样即使访客网络因人群拥挤而饱和，也不会影响门禁通行。Purple Access 可通过单一仪表板交付这些彼此隔离的访客、员工和设备网络。

如果场地被问及网络使用情况，哪些报告会有所帮助？

问询通常来自许可审查、警方调查或宾客投诉。请确保您的供应商能够提供：

• 会话记录： 设备标识符、连接开始与结束时间，以及接入点或区域。
• 登录记录： 每位宾客的认证时间及其所提供的同意信息。
• 过滤记录： 特定当晚生效的策略，以及其最近一次更改的时间。
• 员工访问记录： 谁在何时连接到了员工网络（来自 802.1X 日志）。

记录的保存时间切勿超出实际需要。UK GDPR 的存储限制原则对此有明确要求，且您的隐私声明中应注明保留期限。当警方索取数据时，应由您的数据保护负责人决定披露的内容。《2018年数据保护法》（Data Protection Act 2018）附表 2 允许为预防或侦查犯罪而披露数据。

报告功能还可为您的自身规划提供支持。WiFi Analytics 可以按小时显示连接情况，让您获知真正的客流高峰何时到来，并据此配备门禁安保人员。Purple 已通过 ISO 27001 认证、Cyber Essentials 认证，并符合 GDPR 标准。

如何将活动当晚的登录名单转化为下一次活动的营销列表？

根据 UK GDPR 第 7 条，同意必须基于自愿给出。您不得将其作为上网的前提条件。《隐私与电子通信条例》（PECR）第 22 条规定，在向个人发送营销电子邮件或短信之前必须征得其同意。在实际操作中，请在门户上设置未默认勾选的营销选择加入（opt-in）项，并与接受条款分开。

Purple 的自主选择加入机制正遵循了这一模式。Purple Engage 可将征得同意的活动当晚登录数据转化为归您所有的第一方数据。Purple 可与 CRM 和营销平台无缝集成，从而使该名单直接导入推广人员现有的工具中。记录每位宾客登录的具体日期后，您便可以邀请参加过特定活动的人士出席下一期活动。承办私人活动的场所同样采用此模式。高尔夫俱乐部 WiFi 平台：在单一网络上连接会员、访客和会所活动 展示了该模式在会所活动中的实际应用。

三类供应商的对比

需求	宽带捆绑路由器	接入点厂商自带的引导页面	Purple 云端宾客 WiFi 平台
首小时登录	共享密码，无登录记录	厂商云端的简易引导页面	云端强制门户，每年处理 5 亿用户及登录，提供针对重复访问的 OpenRoaming
内容过滤	路由器级过滤（若 ISP 提供）	厂商或第三方过滤器，需单独配置	宾客网络上的 Purple Shield
员工与设备隔离	一个宾客网络加一个共享员工密码	仅限该厂商硬件上的 SSID 和 VLAN	Purple Access：通过 Entra ID、Okta 或 Google Workspace 实现 802.1X，另有针对设备的 iPSK
针对合规许可的报表	无单次会话记录	供应商管理平台中的会话日志	在一个平台上集中提供会话、登录、知情同意和分析
活动之夜营销名单	无	仅抓取电子邮件，无 CRM 集成	Purple Engage 提供自主选择同意及 CRM 集成
硬件	ISP 提供的路由器	绑定单一供应商	跨 8 家指定供应商，与硬件无关

各方案的适用场景

以下实际场景基于设定假设。您可以代入自己的入场人数和同意率来评估您的场地规模。

实际案例：容纳 1,200 人的市中心俱乐部

现状。 该俱乐部仅运行一个访客网络，并与入口处扫描仪及刷卡机共用。在门票售罄的夜晚，随着场内人数增加，扫描仪发生断连，导致门前排队队伍一直延伸到街上。经营许可中包含身份扫描条款，因此扫描仪中断不仅导致排队，还引发了合规问题。

应对措施。 俱乐部保留了现有接入点，并添加了 Purple 作为云端覆盖层。Purple Access 将网络一分为三。访客使用带有会话和带宽限制的强制门户。入口扫描仪和收银机通过各自的 VLAN 使用 iPSK，并享有预留的上行带宽。门卫管理人员和酒吧员工通过 Microsoft Entra ID 使用 802.1X。Purple Shield 仅对访客应用持证人的过滤策略。

可衡量的成效。 访客流量不再能访问扫描仪的 VLAN，也不会挤占其带宽，因此入口运作不再受场内人群影响。俱乐部每周通过 22:00 至 01:00 之间的扫描仪断连次数来衡量这一成效。营销方面，假设每晚有 700 次门户登录且同意率为 25%。那么四个周六便可收集到 700 个已同意接收信息的联系人，并分别标记其参加活动的当晚信息。

实际案例：营业至 02:00 的酒店顶楼酒吧

现状。 一家拥有 200 间客房的酒店在周末运营着设有 DJ 之夜的顶楼酒吧。外来客人与酒店住客共用该酒吧。总经理希望将本地酒吧客人的名单与酒店住客分开。持证人则希望实施一项覆盖酒吧但不触及酒店后台网络的过滤策略。

应对措施。 酒店增加了一个针对酒吧的专属访客网络，并配备专属强制门户及同意文案。Purple Shield 对酒吧的访客网络进行过滤。酒吧收银机迁移到了受 iPSK 保护的独立 VLAN，从而移出了访客网络的 PCI DSS 范围。Purple Engage 将每次酒吧登录与其所在的活动之夜进行关联标记。我们的 酒店 页面介绍了更广泛的酒店部署方案。

可衡量的成效。 酒吧现在可以生成自己的独立名单，而无需与酒店住客数据合并。假设在 8 个 DJ 之夜中，每晚有 150 次登录且同意率为 30%。这将为下一季度的活动带来 360 个已获同意的本地联系人。酒店还可以向许可监管机构展示任何特定夜晚应用于该酒吧的具体策略。

简单方案的局限所在

宽带捆绑路由器适用于家庭办公室，而不适用于持牌营业场所。它无法提供单会话记录、员工身份识别以及经同意的营销名单。接入点厂商自带的引导页面（splash page）只能在该厂商的硬件上运行。这会导致内容过滤、用户许可和 CRM 集成变成一个个孤立的项目。没有门禁扫描仪的单间酒吧可以先从 Purple Connect 开始，待开始举办活动时再升级至 Capture 或 Engage。

各选项的运营成本

请对比总运营成本，而不仅仅是许可证费用。由以下五项成本决定：

硬件。 更换运行正常的接入点是最大的可避免成本。与硬件无关的覆盖方案可让您现有的 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 或 Fortinet 设备继续服役。仅在高密度勘测显示存在覆盖盲区的地方追加接入点预算。

许可证。 Purple 提供三种方案：Connect、Capture 和 Engage。SecurePass、Verify 和 Shield 为附加组件。大多数夜间营业场所都需要 Shield 进行内容过滤，以及 Engage 用于活动名单管理。要求任何供应商对每个组件单独报价，以便进行同类比较。

员工时间。 共享密码在每次有员工离职时都会耗费时间。通过将 802.1X 与 Microsoft Entra ID、Okta 或 Google Workspace 绑定，一次账户变更即可撤回其 WiFi 访问权限。使用 iPSK 时，扫描仪丢失只需撤回单个密钥，无需对每台设备重新配置密钥。

门口停机时间。 23:00 出现扫描仪或收银机故障会损失入场费和酒吧销售额，并可能违反营业执照条件。将设备网络进行隔离，可消除访客流量拥堵这一诱因。

客户名单。 没有经同意登录名单的场所，需要再次通过付费推广来触达同一批人群。来自您自有访客 WiFi 的第一方数据则是账面上的回报收益。

如何针对您的资产进行决策

将您的实际情况与所产生的需求相匹配，然后对照要求考察每家供应商。

您的实际情况	必备要求	Purple 组件
执照中明确要求门禁扫描仪或身份证件扫描	具备 iPSK 和预留上行链路容量的设备 VLAN	Purple Access
使用 WiFi 的刷卡机终端或收银机	支付设备隔离在访客网络 PCI DSS 范围之外	Purple Access
轮班的临时工或中介员工	与 Microsoft Entra ID、Okta 或 Google Workspace 绑定的 802.1X 登录	带有云端 RADIUS 的 Purple Access
执照持有者希望管控访客访问内容	仅针对访客的过滤，具备 IWF 名单和防代理阻止功能	Purple Shield
第一小时内入场人数达 500+	经突发流量测试的强制门户、高密度射频设计、OpenRoaming	Purple 访客 WiFi
主办方主导的活动之夜	标记至对应活动之夜的主动选择加入（opt-in）、CRM 集成	Purple Engage
跨多种硬件的多个场所	跨厂商的统一平台	硬件无关的云覆盖方案

在签约之前，请向入围名单中的每家供应商提出五个问题：

1. 您的门户每分钟支持的登录速率是多少？有什么证据可以支持？
2. 我的场地中有哪些设备需要 iPSK，以及我该如何撤销单个密钥？
3. 您的过滤器是否使用 IWF 列表？它如何处理加密 DNS？
4. 我可以导出哪些会话、同意和过滤记录以供许可审核使用？
5. 您目前支持我现有的哪些接入点？

我们的 访客 WiFi 页面详细阐述了 Purple 如何应对上述各项需求。

常见问题解答

Purple 是否适用于我们现有的接入点？

是的，Purple 可在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 接入点上运行。Purple 兼容各类硬件，并以云覆盖方式进行部署，因此您可以保留现有的网络设备。如果高密度勘测显示舞池区域存在信号盲区，您可能仍需要增设接入点。这一决策取决于您的无线射频规划，而非您所选择的访客 WiFi 平台。

单个俱乐部或连锁场馆采用 Purple 如何计费？

Purple 按方案定价，提供 Connect、Capture 和 Engage 三种层级，并包含 SecurePass、Verify 和 Shield 等附加组件。举办晚间活动的夜间娱乐场所通常需要 Engage 来获取经同意的营销名单，并需要 Shield 来实现访客内容过滤。您的报价取决于场馆数量以及所选择的方案和附加组件。您可以要求对各个组件分别报价，以便在同等条件下对比不同服务商。

我们能否在不暂停营业的情况下更换现有的访客 WiFi 服务商？

可以。由于 Purple 以云覆盖方式运行，切换操作仅涉及现有接入点的配置更改，无需全部推倒重建。建议将切换安排在非营业日或清晨客流较少的时间段。然后在营业前对访客门户、员工登录以及所有检票机和收银机进行全面测试。请务必先从现有服务商处导出所有经同意的联系人信息，并确保保留相关的同意记录。

在登录时收集访客信息是否符合 GDPR 的规定？

符合，前提是营销同意选项是独立且默认未勾选的，并且上网权限不以此为前提。UK GDPR 第 7 条规定同意必须基于自愿，PECR 也要求在发送营销电子邮件或短信之前必须征得同意。Purple 采用自主选择的自愿加入机制，符合 GDPR 规定，并已通过 ISO 27001 认证。请务必在强制门户上显示的隐私声明中公布您的数据保留期限。

为什么不直接使用宽带自带的免费 WiFi？

因为宽带附带的路由器会将访客、员工和设备置于同一网络中，既无身份识别，也无单独的会话记录，更无法形成经同意的营销名单。一旦客流激增，检票机和收银机就可能断开连接。此外，如果监管机构就网络使用情况进行问询，您也将拿不出任何凭证。专业的访客 WiFi 平台能够将这些网络进行隔离，并对应登录信息详细记录每次会话。

检票机是否需要 802.1X 支持才能安全连接？

不需要，无法运行 802.1X 的设备可通过 iPSK 连接，这会为每个设备或设备组分配独立的密钥。每个密钥都映射到其专属的 VLAN，从而使扫描设备与访客网络相互隔离。如果扫描设备丢失，您只需撤销其密钥，而无需为其他任何设备重新配置密钥。只要扫描设备支持，请尽量使用 WPA3 加密。

单个场馆的部署工作量有多大？

对于配备受支持接入点的场馆，部署属于配置项目，而非硬件项目。主要工作包括定义 SSID 和 VLAN、设置访客门户及选择加入（opt-in）文案，以及与许可证持有者商定过滤策略。此外，还包括向设备分发 iPSK 密钥，并将员工登录连接至 Microsoft Entra ID、Okta 或 Google Workspace。请在首个活动之夜前的非营业日完成所有测试。