如何优化 Captive Portals 以实现最大化网络安全与用户转化

執行摘要

Captive Portal 是公共 WiFi 上的登入頁面。這也是您最重要的網路安全決策；如果您正在執行行銷專案，這更是您最寶貴的資料收集管道。安全與轉換這兩個目標並不衝突，只是需要不同的設定決策，本指南將同時涵蓋這兩者。

其核心架構是在驗證完成之前，將每個訪客裝置置於隔離 VLAN 中。RADIUS 伺服器負責管理工作階段，並透過授權變更 (CoA) 訊息將裝置釋放至生產 VLAN。網路分段可確保訪客流量絕不會接觸到企業基礎設施或 POS 系統。在付款終端機與訪客 WiFi 共用實體基礎設施的任何環境中，這是 PCI DSS 的硬性要求。

在轉換方面，每增加一個表單欄位，訂閱率就會降低 8% 到 12%。正確的驗證方式取決於您的場域類型和資料目標。電子郵件收集可帶來 65% 至 80% 的轉換率，並能取得直接擁有的資料。透過 OAuth 2.0 進行社群登入可減少摩擦，但會帶來第三方依賴風險。簡訊 OTP 提供了最高的資料品質，但轉換率最低。對於沒有行銷目標的公共部門環境，一鍵登入是正確的選擇。

Purple 在 80,000 多個場域中運行 Guest WiFi 基礎設施。本文件中的指引反映了 2024 年處理的 4.4 億次登入（Purple 內部數據，2024 年）。

技術深度解析

Captive Portal 的實際運作原理

在裝置與 SSID 關聯後，Captive Portal 會攔截 HTTP 和 HTTPS 請求。存取點會將裝置置於隔離 VLAN 中，此時防火牆僅允許 DNS 查詢和一組少數預先核准的目的地（即圍牆花園，Walled Garden）。裝置的作業系統會透過探測已知 URL（例如 iOS 上的 captive.apple.com 或 Android 上的 connectivitycheck.gstatic.com）來偵測此受限狀態。當探測返回異常回應時，作業系統會自動啟動該入口網站。

使用者進行驗證。入口網站透過 CoA 訊息將結果傳送至網路的 RADIUS 伺服器。存取控制器會解除隔離限制，將裝置移至生產 VLAN，並記錄包含時間戳記、MAC 位址、身分識別和套用原則的工作階段。根據驗證方式的不同，此端到端流程需要一到十秒的時間。

網路分段

隔離 VLAN 是不可或缺的。若沒有它，開放式 SSID 上未經身分驗證的裝置就能探測內部網路、存取管理介面，或接觸銷售點（POS）系統。在 PCI DSS 範圍的環境中（即刷卡終端機與顧客 WiFi 共用實體基礎架構的任何場所），支付卡產業資料安全標準 v4.0 要求持卡人資料環境與顧客網路之間必須進行完全的網路隔離。

網路分割是在存取控制器（access controller）層級實作的。在 Cisco Meraki 上，這是透過群組原則（Group Policies）進行設定；在 HPE Aruba 上，透過使用者角色（User Roles）；在 Ruckus 上，透過區域（Zone）設定；在 Juniper Mist 上，則透過 WLAN 原則。這四種平台的原理完全相同：未經身分驗證的裝置會套用受限原則；已驗證的裝置則套用生產原則。RADIUS 伺服器負責強制執行此轉換。

針對有多種使用者類型（顧客、員工、承包商）的場所，請部署獨立的 SSID，並將每個 SSID 對應到具有專屬防火牆規則與頻寬原則的獨立 VLAN。請勿嘗試透過單一 Captive Portal 從單一 SSID 服務所有使用者類型。原則管理的複雜度將遠超出任何想像中的便利性。

保護無線網路邊緣的安全

Captive Portal 運作於第 7 層（Layer 7），它不會加密無線連結。在開放式 SSID 上，裝置與存取點（access point）之間的流量是未經加密的，且對無線電波範圍內的任何裝置皆為可見。

有三種方法可以解決此問題：

搭配 Captive Portal 的 WPA3。 WPA3-Personal 提供對等實體同時驗證（SAE），可消除針對 WPA2-PSK 的離線字典攻擊。Captive Portal 仍會觸發以進行身分驗證，但無線連結已加密。這是 2026 年新部署專案的最低可接受標準。

搭配 802.1X 的 Passpoint (Hotspot 2.0)。 Passpoint 使用 EAP-TLS 或 PEAP 提供基於憑證或憑證資訊的身分驗證。Captive Portal 負責處理初始的引導上網（onboarding）與同意書簽署。在第二次造訪時，Passpoint 會使用已配置的設定檔在背景自動驗證裝置，完全繞過 Portal。這是電信級漫遊標準 OpenRoaming 所使用的架構。如需 EAP 方法的更多詳細資訊，請參閱我們的指南： EAP Method WiFi: A Guide to Secure Network Access 。

iPSK (Identity Pre-Shared Key)。 iPSK 透過 Portal 為每個使用者或裝置分配唯一的 WPA2 或 WPA3 密碼。該密碼儲存在 RADIUS 伺服器中，並對應到特定的 VLAN 與原則。這在共用 SSID 上提供了個人化的加密與歸責性，且無需部署完整 802.1X 的基礎架構開銷。這是專門建造供出租（build-to-rent）與學生宿舍環境中 Multi-Tenant WiFi 的標準架構。

如需基於憑證的身分驗證詳細資訊，請參閱 WiFi Certificate Authentication: Secure Network Access 。

實作指南

步驟 1：定義 Walled Garden (圍牆花園)

在設定 portal 之前，請先對應驗證所需的所有外部相依性。如果您提供 Google 社群登入，請將 accounts.google.com 和相關的 Google 驗證網域加入白名單。如果您使用 Stripe 進行付費存取，請將 Stripe 的 API 端點加入白名單。如果您使用 Apple 登入，請將 appleid.apple.com 加入白名單。

未能維護精確的 walled garden 是導致生產環境中 Captive Portal 轉譯失敗的主要原因。請使用 walled garden 驗證工具為您的特定控制器產生複製貼上的規則。Purple 提供免費的 Walled Garden Domain Validator，可為 Cisco Meraki、Ubiquiti UniFi、HPE Aruba 和 Catalyst 控制器輸出即用型規則。

步驟 2：設定 RADIUS 整合

將您的存取控制器與雲端 RADIUS 供應商整合。設定控制器將未經驗證的流量重新導向至 portal URL，並指定用於驗證和計費的 RADIUS 伺服器。確保 RADIUS 共用金鑰至少為 22 個字元，包含大小寫混合與特殊字元，且每 90 天輪替一次。

對於 Cisco Meraki 部署，請在「Wireless > Access Control」下設定 RADIUS 伺服器。對於 HPE Aruba，請在「Security > Authentication Servers」下進行設定。對於 Ruckus，請在「Services > Authentication」下進行設定。對於 Juniper Mist，請在「Network > WLAN」下進行設定。

步驟 3：選擇驗證方法

下表對應了場域類型與建議的驗證方法及預期轉換率範圍。

來源：Purple 網路數據，4.4 億次登入，2024 年。

步驟 4：設計同意流程

將網路存取所需的條款與行銷傳播所需的同意區分開來。在英國 GDPR（保留在英國法律中的條例 (EU) 2016/679）下，這是兩個不同的合法依據。

網路存取可以根據第 6(1)(f) 條的合法利益授予，涵蓋網路管理與安全。行銷傳播則需要根據第 6(1)(a) 條取得明確同意。該同意必須是自由給予、具體、知情且明確的。預先勾選的核取方塊不符合此標準。

在入口網頁上實作兩個獨立的核取方塊。第一個為必填，涵蓋服務條款與網路存取。第二個為選填且預設為未勾選，涵蓋行銷訂閱。記錄每次工作階段的時間戳記、IP 位址、MAC 位址和同意狀態。此稽核軌跡即為您在面對監管機構查詢時合規的證據。

步驟 5：透過 RADIUS VSA 套用頻寬原則

設定 RADIUS 伺服器，使其在驗證成功後傳回廠商特定屬性 (VSA)。VSA 會指示存取點根據使用者設定檔套用特定的頻寬限制、內容過濾器和工作階段逾時。

在 HPE Aruba 上，Aruba-User-Role VSA 會將使用者分配到具有預定義原則的具名角色。在 Cisco Meraki 上，群組原則 ID 是透過 Filter-Id 屬性傳回。在 Ruckus 上，Ruckus-User-Groups 屬性會將使用者對應到已設定的群組。此機制可實現動態原則強制執行，而不需要為不同的使用者層級設定個別的 SSID。

最佳實務

轉換率最佳化

漸進式剖析的效果優於單一工作階段的資料收集。在首次造訪時詢問電子郵件地址。在第二次造訪時，要求提供出生日期或郵遞區號。在第三次造訪時，詢問行銷偏好。這種方法可以維持高轉換率，同時隨著時間建立更豐富的設定檔。

超過 85% 的 Captive Portal 互動發生在行動裝置上（Purple 內部數據，2024 年）。請針對小螢幕進行設計。按鈕必須足夠大，以便在不縮放的情況下進行點擊。文字在預設字型大小下必須清晰易讀。登入流程必須在三次點擊內完成。

對於 零售 部署，請將入口網頁與您的 CRM 或會員平台整合。Pizza Express 使用品牌專屬的 Captive Portal，在兩年內為其 CRM 增加了 370 萬名顧客，將每次 WiFi 連線轉化為經驗證的行銷訂閱（Purple 客戶數據，Pizza Express）。該入口網頁成為會員註冊和促銷重新互動的主要管道。

行為分析整合

Captive Portal 工作階段是實體場域分析與數位行銷系統之間的關聯鍵。每個通過驗證的工作階段都會產生一個包含時間戳記、停留時間和重複造訪狀態的客流量事件。與 WiFi Analytics 整合後，此數據可推動客流量歸因、人口統計區隔和活動投資報酬率 (ROI) 衡量。

如需深入了解來自 WiFi 網路的行為數據如何為場域營運提供資訊，請參閱 Behavioral Analytics: Insights for WiFi Networks 。

安全性強化

僅透過 HTTPS 提供入口網頁，並使用來自受信任憑證授權單位 (CA) 的有效 TLS 憑證。HTTP 入口網頁會使使用者憑證面臨被攔截的風險，並會觸發降低轉換率的瀏覽器安全性警告。實作 HTTP 嚴格傳輸安全 (HSTS)，其最小 max-age 為 31536000 秒。 在驗證端點實施速率限制。若無速率限制，該入口網站將容易受到針對憑證填充以及針對憑證代碼的暴力破解攻擊。將每個 IP 位址每分鐘的驗證嘗試次數限制為五次。

每年至少對入口網站應用程式進行一次滲透測試。Purple 擁有 ISO 27001 認證和 Cyber Essentials 認證，並定期接受第三方滲透測試。對於 Healthcare 和 Transport 部署，每季測試是合適的標準。

疑難排解與風險緩解

入口網站未顯示

這是最常見的故障模式。裝置的作業系統會向已知 URL 發送 Captive 探測。如果防火牆封鎖了該網域，作業系統就無法偵測到 Captive 狀態，入口網站也永遠不會自動啟動。使用者必須手動導覽至非 HTTPS URL 才能觸發重新導向。

請先檢查 Walled Garden 設定。確保在驗證前可存取以下網域：captive.apple.com、www.apple.com、connectivitycheck.gstatic.com、clients3.google.com 和 msftconnecttest.com。這些分別是 iOS、Android 和 Windows 所使用的探測 URL。

MAC 位址隨機化

iOS 14 和 Android 10 預設引入了針對每個網路的 MAC 位址隨機化。再次連線的裝置在每次連線時都會呈現新的 MAC 位址，從而破壞了工作階段的持續性。入口網站會重新要求使用者進行驗證，他們必須重新登入。

透過在首次登入時佈署 Passpoint 設定檔來緩解此問題。該設定檔包含裝置用於後續連線的憑證，從而完全繞過基於 MAC 的識別。或者，使用基於應用程式的驗證流程，該流程依賴於儲存在應用程式中的身分識別權杖，而不是裝置的 MAC 位址。

大規模環境下的 DHCP 和 DNS 耗盡

在大型場館（體育場、會議中心、交通樞紐），數千台裝置會在活動或會議開始時同時連線。如果 DHCP 位址池過小，裝置將無法取得 IP 位址。如果 DNS 伺服器無法處理查詢量，Captive 探測就會失敗，入口網站也不會顯示。

請根據尖峰同時連線數（而非平均值）來規劃您的 DHCP 位址池大小。對於擁有 60,000 個座位的體育場，假設有 40,000 台同時連線的裝置。分配一個至少包含 50,000 個位址的 DHCP 位址池，並設定較短的租約時間（15 到 30 分鐘）以快速回收位址。為訪客網路部署專用的 DNS 解析器，與企業 DNS 基礎架構分開。

OAuth 提供者 API 變更

社群登入提供者會在不另行通知的情況下變更其 API 條款。Facebook 已逐步限制透過其 Graph API 可取得的資料。如果社群登入是您唯一的驗證方式，且提供者變更了其條款，您的入口網站將對所有使用者失效。

請務必在社群登入之外，至少部署一種非 OAuth 的驗證方式。收集電子郵件是標準的備用方案。請針對 OAuth 驗證端點設定監控，以便在錯誤率升高時發出警報，這通常是 API 變更的前兆或伴隨現象。

投資報酬率（ROI）與商業影響

如果單從基礎設施支出來衡量，Captive Portal 是一項成本中心；但如果從其收集的數據價值以及所促成的行銷計畫來衡量，它就是一項營收資產。

一個擁有 500 家分店的零售連鎖品牌，若每家分店每月處理 10,000 次登入，且訂閱同意率（opt-in rate）為 65%，每年就能產生 3,900 萬個經驗證的 CRM 聯絡人。以保守的電子郵件行銷營收歸因（每位聯絡人每年 £0.10 估算），單一數據收集管道就能帶來 £390 萬的歸因營收。

對於 餐旅業 營運商而言，入口網站是顧客旅程的第一個接觸點。Premier Inn 和 Whitbread 利用顧客 WiFi 數據來規劃忠誠度計畫，並衡量 WiFi 互動率與重複訂房率之間的相關性（Purple 客戶數據，Whitbread）。

對於交通運輸營運商而言，入口網站提供了旅客流量數據，可為零售版位規劃、人力配置決策以及特許經營表現提供參考。曼徹斯特機場集團（MAG）利用 WiFi 分析來衡量旅客在各航廈區域的停留時間，並將 WiFi 連線階段數據與每位旅客的零售消費額進行關聯分析（Purple 客戶數據，MAG）。

衡量入口網站成效的三大指標：訂閱同意率（電子郵件收集目標為 60% 以上）、數據品質率（通過驗證的電子郵件地址百分比，目標為 80% 以上），以及重複造訪率（無需重新輸入憑證即可完成驗證的重複使用者百分比，目標為 70% 以上）。

Purple 的 WiFi Analytics 平台可即時提供所有場域的這些指標，並支援按地點、時間段和使用者群組進行細分。