Passpoint and OpenRoaming: 完整指南
本技术参考指南对企业 WiFi 网络中的 Passpoint (Hotspot 2.0) 和 WBA OpenRoaming 框架进行了全面分析。它详细介绍了建立安全、无摩擦访客连接所需的底层身份验证协议、架构组件和部署策略。网络架构师和 IT 负责人将学习如何设计、实施这些标准并对其进行故障排除，从而在保持企业级安全性的同时消除手动登录障碍。
📚 核心系列的一部分：多租户 WiFi →
执行摘要
企业连接的需求已经从手动的、基于 Captive Portal 的访客访问，转变为自动化、安全且无摩擦的接入。Passpoint（由 Wi-Fi 联盟定义为 Hotspot 2.0）和 OpenRoaming（由无线宽带联盟协调）代表了这一转变的标准化。通过利用 IEEE 802.11u 协议和 WPA3-Enterprise 安全性，这些技术允许移动设备在没有用户干预的情况下，自动发现、验证并连接到安全的 WiFi 网络。
本指南旨在为计划在大型场馆、零售环境和企业园区部署这些技术的网络架构师和 IT 总监提供权威参考。我们将深入探讨底层的加密握手、联盟架构以及将这些标准整合到现有无线基础设施中所需的实际配置步骤。通过采用这些框架，组织可以消除传统访客门户的摩擦，同时显著增强其无线安全态势。
技术深度剖析
要理解 Passpoint 和 OpenRoaming，首先必须剖析管理其运行的底层协议。Passpoint 的核心是 IEEE 802.11u，这是对 802.11 标准的修正案，使无线设备能够在建立关联之前发现网络服务。
过去，客户端设备必须先与接入点（AP）关联并获取 IP 地址，然后才能查询网络功能。通过 802.11u，这种发现发生在关联前状态，使用的是接入网络查询协议（ANQP）查询。
802.11u 发现过程
当启用 Passpoint 的设备扫描无线电波时，它会检测到一个包含互通元件（Interworking element）的信标。该元件表明 AP 支持 802.11u，并公布其网络类型（例如：私有、免费公共、收费公共）。然后，客户端设备发送 ANQP 查询以请求特定参数，例如：
- 漫游联盟组织标识符 (OIs): 由 IEEE 分配的全球唯一标识符，代表特定的漫游合作伙伴或联盟。
- 场馆名称和场馆组: 描述物理位置的元数据（例如 "2号航站楼" 或 "体育场"）。
- 可用 IP 地址类型: 关于 IPv4 或 IPv6 是否可用以及是否应用 NAT 的信息。
如果客户端设备拥有包含匹配漫游联盟 OI 的配置文件，它将在不提示用户的情况下启动身份验证过程。
OpenRoaming 联盟架构
OpenRoaming 作为 Passpoint 之上的全球联盟层运行。它建立了一个由无线宽带联盟 (WBA) 管理的安全公钥基础设施 (PKI)。该联盟允许身份提供商 (IDP) - 例如移动网络运营商、设备制造商（Apple、Google）和企业身份系统 - 与网络提供商进行安全对等互联。 身份验证使用 WPA3-Enterprise（或用于向后兼容的 WPA2-Enterprise），配合受保护的可扩展身份验证协议 (PEAP) 或可扩展身份验证协议 - 传输层安全 (EAP-TLS) 执行。AP 充当身份验证器，将 EAP 数据包封装到 RADIUS（远程用户拨号认证服务）或 RadSec（基于 TLS 的 RADIUS）数据包中，并将其转发给身份提供商。
在 OpenRoaming 中，RadSec 是强制性的，用于保护本地网络 RADIUS 代理与全球 IDP 之间通过公共互联网进行的通信。RadSec 使用 TCP 端口 2083 和 TLS 加密，确保用户凭据和身份验证属性在通过中间传输提供商传输期间保持机密。
实施指南
部署 Passpoint 和 OpenRoaming 需要在无线控制器 (WLC)、RADIUS 基础设施以及 DNS/防火墙配置之间采用系统的方法。
第 1 步：网络基础设施审计
确保您的 AP 和 WLC 支持 802.11u 以及 Passpoint 版本 2 或 3。验证您的 RADIUS 服务器支持 RadSec (RFC 6614)。如果您的传统 RADIUS 服务器不支持 RadSec，您必须在 DMZ 中部署 RadSec 代理（例如 FreeRADIUS 或专用网关）。
第 2 步：防火墙配置
向 OpenRoaming RadSec 代理服务器开放出站 TCP 端口 2083。确保您的 RADIUS 服务器上正确配置了 DNS 解析，因为 RadSec 依赖于动态委派发现系统 (DDDS) 和 NAPTR 记录来定位合适的 IDP。
第 3 步：证书获取
从授权的证书颁发机构 (CA) 获取 WBA 批准的 RadSec 证书。此证书对于您的本地 RadSec 代理与 OpenRoaming 联盟代理之间的双向 TLS (mTLS) 身份验证至关重要。
第 4 步：无线控制器配置
- 创建安全 SSID： 配置新的 SSID 或修改现有 SSID 以使用 WPA3-Enterprise（或 WPA2/WPA3 过渡模式）。
- 启用 802.11u (Interworking)： 在 SSID 上启用 Interworking 功能。
- 配置 HESSID： 设置同构 ESSID（通常是其中一个 AP 射频的 MAC 地址），以唯一标识该网络组。
- 添加漫游联盟 OI： 添加 OpenRoaming 漫游联盟 OI。标准 OI 为：
5A-03-BE-00-00（免结算，身份由 Google、Apple 或移动运营商验证）5A-03-BE-00-01（已结算，用于商业漫游协议）
- 配置 ANQP 参数： 定义场馆名称、场馆组和网络类型。
第 5 步：RADIUS/RadSec 代理设置
将您的本地 RADIUS 服务器配置为充当 RadSec 代理。定义路由规则，将包含 OpenRoaming OI 或特定领域模式的身份验证请求转发到 OpenRoaming RadSec 网关。
最佳实践
为确保部署稳定且高性能，请遵循以下行业标准建议：
- SSID 整合： 请勿为 Passpoint 或 OpenRoaming 创建专用 SSID。相反，应将其合并到单个安全的 enterprise SSID 中。这样可以最大程度地减少信标开销并节省宝贵的空口时间。
- 证书管理： 为您的 RadSec 证书实施自动证书更新流程。证书过期将立即终止所有 OpenRoaming 认证。
- 信道规划： 由于 Passpoint 依赖于关联前的 ANQP 交互，客户端设备会花费更多时间进行扫描和查询。请优化您的 5 GHz 和 6 GHz 信道规划，以减少冲突并确保快速的探测响应。
- 领域过滤： 在您的 RadSec 代理上实施严格的领域过滤，以防止不必要的认证流量淹没联盟网络。仅转发符合有效 OpenRoaming 模式的请求。
- 用户体验一致性： 确保您的实体场所指示牌和数字营销材料告知用户他们可以通过 OpenRoaming 自动连接，从而减少对未加密开放 SSID 的依赖。
故障排除与风险缓解
常见故障模式及解决方法
问题：客户端设备无法自动连接
- 根本原因： WLC 上缺失或配置了错误的漫游联盟 OI（Roaming Consortium OIs），或者客户端设备未安装正确的配置文件。
- 缓解措施： 使用数据包分析仪捕获信标和探测响应帧。验证 802.11u 互通（Interworking）元素是否包含正确的 OI。确保通过 MDM 或配置门户正确配置了客户端配置文件。
问题：RadSec 连接失败
- 根本原因： 防火墙阻止了 TCP 端口 2083，或者 RadSec 证书无效/已过期。
- 缓解措施： 在 RADIUS 代理的 WAN 接口上进行数据包捕获。验证 TLS 握手是否成功完成。检查证书吊销列表 (CRL) 状态。
问题：认证过程中延迟高
- 根本原因： 地理位置偏远的 IDP 或 NAPTR 记录的 DNS 解析缓慢。
- 缓解措施： 实施 DNS 记录的本地缓存，并确保您的 RADIUS 代理到区域 OpenRoaming Hubs 具有低延迟路径。
投资回报率 (ROI) 与业务影响
过渡到 Passpoint 和 OpenRoaming 可在三个主要维度上提供可衡量的业务价值：运营效率、安全状况和数据智能。
运营效率
通过自动连接过程，场所内与访客 WiFi 相关的支持工单显著减少。前台员工和 IT 服务台在解决 Captive Portal 故障和密码问题上花费的时间更少。
安全状况
传统的开放式访客网络使用户容易受到窃听和中间人攻击。Passpoint 强制执行企业级加密（WPA2/WPA3-Enterprise），从而保障所有空中传输流量的安全。这可以保护用户和场所免受与数据泄露相关的责任风险。
数据智能
当与 Purple 等平台集成时，Passpoint 允许场所无缝识别回头客。由于设备自动连接，场所可以捕获准确的停留时间和访问频率指标，而无需用户反复打开浏览器并登录。这种持续的数据流可以实现高度针对性的实时互动策略。
关键定义
Passpoint
一项 Wi-Fi Alliance 认证计划（基于 Hotspot 2.0），使移动设备能够自动发现并连接到具有企业级安全性的 WiFi 网络。
它构成了无缝访客接入的技术基础。
OpenRoaming
由无线宽带联盟（WBA）创建的全球漫游联盟，允许用户使用受信任的身份安全、自动地连接到 WiFi 网络。
它作为 Passpoint 之上的策略和身份层。
ANQP
接入网络查询协议。一种查询响应协议，移动设备在与 AP 关联之前使用该协议来发现网络功能。
对于 802.11u 中的预关联发现至关重要。
802.11u
IEEE 802.11 标准的修正案，增加了与外部网络互通的功能，从而实现预关联发现。
使 Passpoint 成为可能的物理层和 MAC 层标准。
RadSec
基于 TLS 的 RADIUS（RFC 6614）。一种通过将 RADIUS 数据包封装在基于 TCP 的 TLS 隧道内来确保其安全的协议。
OpenRoaming 强制要求使用，以保护公共互联网上的认证流量安全。
Roaming Consortium OI
漫游联盟组织标识符。由 IEEE 分配的唯一十六进制标识符，用于标识特定的漫游联盟或合作伙伴。
AP 用于广播其接受哪些漫游凭据。
HESSID
同质 ESSID。在 AP 上配置的 48 位 MAC 地址，用于标识属于同一网络或场所的一组 AP。
帮助客户端设备理解多个 AP 属于同一个管理域。
EAP-TLS
可扩展身份验证协议 - 传输层安全。一种使用数字证书进行双向认证的认证协议。
Passpoint 支持的最安全的认证方法。
应用实例
一个大型体育场部署需要配置 Cisco Catalyst 9800 无线控制器，以支持 OpenRoaming (免结算) 以及现有的企业 SSID。网络架构师必须确保客户端设备能够使用正确的漫游联盟 OI 自动发现并连接到网络。
要在 Cisco Catalyst 9800 WLC 上实施此配置，请按照以下步骤操作：
- 定义 ANQP 服务器配置文件：
wireless profile anqp openroaming-anqp-profile
venue-name english "Stadium Main Bowl"
venue-group assembly venue-type arena
network-auth-type redirect-url "https://portal.purple.ai"
ip-type ipv4-nat ipv6-no-address
- 创建漫游联盟配置文件并添加 OpenRoaming 免结算 OI (5A-03-BE-00-00)：
wireless profile roaming openroaming-roaming-profile
roaming-consortium-oi 5A03BE0000
- 配置 Hotspot 2.0 (Passpoint) 配置文件：
wireless profile hotspot openroaming-hotspot-profile
anqp-server-profile openroaming-anqp-profile
roaming-consortium-profile openroaming-roaming-profile
hessid 00:11:22:33:44:55
- 将 Hotspot 配置文件应用到目标 WLAN 配置文件：
wlan openroaming-wlan 1 openroaming-ssid
security wpa wpa3
security wpa akm eap
hotspot-profile openroaming-hotspot-profile
no shutdown
- 使用 CLI 验证配置：
show wireless profile hotspot detailed openroaming-hotspot-profile
一家多站点零售连锁店希望从传统的 Captive Portal 迁移到混合模式。他们希望使用 OpenRoaming 实现无缝连接，同时利用 Purple 的分析平台来跟踪访客行为并根据停留时间开展针对性营销活动。
该解决方案需要配置 RadSec 代理以将身份验证请求路由到 OpenRoaming 联盟，同时将计费数据发送到 Purple 云平台。
- 配置本地 RadSec 代理（例如 FreeRADIUS）以与 OpenRoaming 网关建立 TLS 连接：
home_server openroaming_radsec {
type = auth+acct
ipaddr = radsec.openroaming.org
port = 2083
proto = tcp
tls {
private_key_file = /etc/raddb/certs/radsec.key
certificate_file = /etc/raddb/certs/radsec.pem
ca_file = /etc/raddb/certs/wba_ca.pem
}
}
- 配置计费服务器以复制计费数据包并将其转发到 Purple 的 RADIUS 计费端点：
home_server purple_accounting {
type = acct
ipaddr = acct.purpleportal.net
port = 1813
secret = PurpleSharedSecret
}
realm openroaming {
auth_pool = openroaming_radsec
acct_pool = purple_accounting
}
- 在 WLC 上，确保已启用 RADIUS 计费，并配置为每 300 秒发送一次临时更新。这可以确保即使客户没有主动打开浏览器，Purple 也能持续收到停留时间数据。
练习题
Q1. 网络工程师发现 Android 设备正在自动连接到 OpenRoaming SSID，但 iOS 设备却提示用户手动选择网络。这种现象最可能的原因是什么？
提示：考虑如何在不同的移动操作系统上配置和信任配置文件。
查看标准答案
最可能的原因是 iOS 设备未安装所需的 OpenRoaming 配置文件，或者配置文件的证书载荷不被 iOS 信任。Android 设备通常预装了来自设备制造商或运营商配置的 OpenRoaming 配置文件。而 iOS 则需要通过 MDM、配置应用或像 Purple 这样的门户网站显式安装配置文件，以信任根 CA 并将 Roaming Consortium OI 与 SSID 相关联。
Q2. 在 RadSec 代理的 WAN 接口上进行数据包捕获期间，您观察到发送到端口 2083 的 TCP SYN 数据包，但未收到 SYN-ACK。您应该采取哪些排错步骤？
提示：重点关注网络路径和防火墙配置。
查看标准答案
- 验证出站防火墙策略是否允许从 RadSec 代理 IP 到目标 OpenRoaming 网关的 TCP 端口 2083 流量。
- 检查是否有中间安全设备（如 IPS 或深度包检测防火墙）阻止或丢弃了该流量。
- 确认通过 DNS NAPTR 记录解析的目标 IP 地址是否正确且可达。
- 进行 traceroute（路由跟踪）以确定在传输路径中何处发生了丢包。
Q3. 为什么在部署 Passpoint 和 OpenRoaming 时，整合 SSID 被视为最佳实践？忽略此建议的技术影响是什么？
提示：思考空口效率和信标开销。
查看标准答案
SSID 整合至关重要，因为 AP 上配置的每个 SSID 都必须广播自己的信标帧，通常是以支持的最低强制数据速率进行。为 Passpoint/OpenRoaming 创建专用 SSID 会增加信标开销，消耗宝贵的空口时间并降低整体网络容量。通过将 Passpoint 整合到现有的安全企业 SSID 中，AP 可以在现有的信标帧中广播 802.11u 参数，从而节省空口时间并保持最佳的信道效率。
继续阅读本系列
为访客和员工 WiFi 网络配置 RADIUS 认证
本技术参考指南概述了企业访客和员工 WiFi 网络的 RADIUS 认证架构、配置和部署。它为网络架构师和 IT 经理提供了构建安全、可扩展的无线访问控制系统所需的准确协议、安全标准和故障排除方法。
如何面向高等教育机构实施 SCEP 以实现安全的 BYOD 和网络注册
本技术指南为网络架构师和 IT 经理提供了一个与厂商无关的蓝图，用于部署基于 SCEP 的证书注册，以保障高等教育校园网络的安全。它详细介绍了如何从基于密码的 PEAP 迁移到 802.1X EAP-TLS、自动执行 BYOD 引导以及实施强大的 VLAN 细分。
Server RADIUS：面向企业的全面指南
本指南为 IT 经理、网络架构师和 CTO 提供关于企业 WiFi 的 server RADIUS 身份验证的权威技术参考。它涵盖了 AAA 框架、802.1X 架构、EAP 方法选择、云端与本地部署的权衡以及动态 VLAN 分配。酒店、零售、活动和公共部门的场所运营商将获得可行的实施指导、真实案例研究以及从不安全的预共享密钥迁移到安全的、身份驱动的网络访问控制架构所需的决策框架。