Aruba Central 客户 WiFi 与专用强制门户平台对比：CRM、Passpoint 与报告对比

Aruba Central 包含托管的 Portal 页面，支持点击式、社交媒体和赞助商登录，这足以满足基础的访客接入需求。但它没有原生 CRM 连接器或营销同意工作流。ClearPass Guest 增加了策略深度，但需要服务器和专业技能。像 Purple 这样的专用平台可以通过外部 RADIUS 在现有的 Aruba 硬件上添加 CRM 同步、Passpoint 和访客分析功能。

您应该选择哪种 Aruba 访客 WiFi 方案？

HPE Aruba 网络环境为您提供了三种切合实际的访客接入架构。这三种架构均可在您现有的接入点上运行。区别在于由谁运营、运行成本以及数据如何处理。

首先解释两个术语。强制门户是设备获准上网前看到的网页。RADIUS（远程身份验证拨号用户服务）是接入点用来询问服务器是否允许设备接入以及按何种条款接入的协议。

• Central 原生访客接入。 托管在 HPE Aruba Networking Central 内部的 Cloud Guest Portal 页面。它负责处理点击确认条款、管理员创建的访客账户、赞助商批准的访客以及社交登录。
• ClearPass Guest。 HPE Aruba Networking ClearPass Policy Manager 的访客模块，运行在您自己的虚拟机或硬件设备上。它适用于将访客接入作为更广泛的网络准入控制项目一部分的团队。
• 专用云访客平台。 外部强制门户和云 RADIUS 服务（例如与 Central 通过标准重定向和 RADIUS 设置连接的 Purple Guest WiFi）。它适用于以营销、CRM 和访客报告为网络存在核心目的的环境。

您可以参考这个简易原则。如果由网络团队负责访客 WiFi 且下游无人需要这些数据，Central 的原生访客接入就足够了。如果您已经为员工运行了 ClearPass 以实现 IEEE 802.1X（企业级 WiFi 背后的基于端口的身份验证标准）和设备安全基线检查，请将其扩展至访客。如果营销或运营团队需要在无本地 IT 支撑的多站点环境下，将获得合规授权的第一方数据接入 CRM，那么云平台运行起来会更简单。

Aruba Central 访客 WiFi 与专用平台真正的区别所在

这项 Aruba Central 访客 WiFi 对比归结为四个方面：登录、CRM 与合规授权、回头客识别以及报表分析。

Portal 页面与登录

Central 的 Cloud Guest 允许您设置徽标、颜色、背景和使用条款。登录选项涵盖匿名点击接入、管理员创建的访客账户、赞助商批准的接入以及社交登录。对于前台或会议室来说，这已能满足需求。

当 Portal 页面需要承担除授予访问权限之外的更多任务时，Aruba Central 强制门户的局限性就会显现。Cloud Guest 旨在允许设备接入，而非运行数据采集程序。它不会直接将登录数据写入营销平台，也不会为每位访客保留营销团队可据以采取行动的同意记录。

CRM 与同意管理

在 Aruba 访客 WiFi CRM 集成方面，这三种方案的差异最为明显。Central 中的访客数据会保留在 Central 内部，除非您通过 Central 的 REST API 将其提取出来。这就需要有人编写、托管和维护该集成程序。

ClearPass 可以通过其 REST API 和 Context Server Actions（其出站 HTTP 集成功能）调用外部系统。这种方式虽然灵活，但每个连接器都是一个需要由您的团队负责的微型软件项目。

同意管理是更为严格的要求。GDPR 第 7 条要求您证明每位用户均已表达同意，而第 32 条叙述性说明明确指出预先打勾的复选框不适用。Portal 页面上的使用条款复选框并不等同于营销同意书。Purple 采用自主选择式选择性同意（Opt-in），将营销同意书与网络条款区分开来。Purple 可与 CRM 及营销平台集成，持有 ISO 27001 认证，并符合 GDPR 和 CCPA 合规要求。

Passpoint 与常客

通过 MAC 地址识别常客的方式已不再可靠。Apple 在 iOS 14 中引入了针对每个网络的私有地址功能，而 Android 10 默认会随机化 MAC 地址。因此，再次光临的设备可能会显示为新设备，从而导致用户不得不重复登录，并虚增访客统计数据。

Passpoint（也称为 Hotspot 2.0）解决了这一问题。它允许设备使用一次性安装的配置文件自动且安全地加入网络。它基于 IEEE 802.11u 进行网络发现，并结合使用带有 EAP（可扩展身份验证协议）的 802.1X 进行加密身份验证。OpenRoaming 是基于 Passpoint 构建的 Wireless Broadband Alliance 联盟，允许拥有来自某个身份提供者配置文件设备接入任何参与该联盟的场所。

Aruba Instant 和 AOS-10 接入点可以广播在 Central 中配置的 Passpoint 网络。然而广播只是完成了一半的工作，因为配置文件和身份验证仍需要后台身份服务支持。ClearPass Onboard 可以配置这些配置文件。Purple 则可通过运行强制门户的同一平台提供对 Passpoint 和 OpenRoaming 的支持。有关酒店特定的详细信息，请参阅 酒店访客 WiFi 平台对比：PMS 集成、Passpoint 与分级带宽对比。

报表功能

Central 可以提供网络工程师所需的报表数据：客户端数量、接入点利用率、访客会话数和连接健康状况。ClearPass Insight 可以生成身份验证结果和审计追踪报表。但这两者都不是为了解答营销或运营层面的问题（例如本月有多少回头客）而设计的。 Purple WiFi Analytics 可以按场馆报告访问量、重复访问量、停留时间和选择性订阅的增长情况。其背后的数据集非常庞大：Purple 每年处理 5 亿用户和登录次数。

功能	Aruba Central 原生访客	ClearPass Guest	专用云平台 (Purple)
运行位置	托管在 HPE Aruba Networking Central 中	您的虚拟机或硬件设备	Purple 云，覆盖在您的 Aruba 接入点上
登录方式	点击通过、操作员账户、赞助登录、社交媒体登录	自助注册、赞助登录、操作员账户、社交媒体登录	品牌表单、社交媒体登录、自主选择订阅
CRM 和营销连接器	无内置；仅限 REST API	通过 REST API 和 Context Server Actions 自定义构建	与 CRM 和营销平台集成
营销同意记录	仅接受使用条款	您设计和维护的自定义字段	每个配置文件单独存储选择性订阅
Passpoint	在 Central 中配置接入点广告	通过 ClearPass Onboard 进行配置文件配置	Passpoint 配置文件加 OpenRoaming
报告重点	网络健康状况和会话数量	Insight 中的身份验证和审计报告	访问量、重复访问量、停留时间和选择性订阅
日常运行所需技能	Aruba 网络管理员	ClearPass 专家	营销或运营团队，IT 负责设置
最适合	办公室、理事会、仅有访问需求的小型场馆	运行 ClearPass 以进行员工 NAC 和姿态评估的园区	酒店集团、零售连锁店、体育场馆和多场所场馆

外部 RADIUS 和 CoA 如何与 Aruba Instant 及 AOS-10 协同工作？

外部平台通过两种标准机制连接到 Aruba。强制门户重定向会将访客发送到外部登录页面。RADIUS 会将决策传递回网络。

外部强制门户流程

1. 访客设备加入开放的访客 SSID 并获取认证前角色。
2. 该角色仅允许访问受限花园（设备在登录前可以访问的目的地列表）。
3. 接入点会拦截第一个 Web 请求，并将浏览器重定向到外部强制门户。重定向带有客户端 MAC 地址、接入点和 SSID 等参数。
4. 访客登录。平台的云 RADIUS 服务向 Aruba 设备返回 Access-Accept。
5. Access-Accept 可以带有 Aruba-User-Role 厂商特定属性 (VSA)，这是由 HPE Aruba 定义的 RADIUS 字段。它会将设备移动到具有自身防火墙策略和带宽合同的认证后角色中。

Central 支持外部强制门户作为 WLAN 上的标准 Splash 页面选项。您只需在 Central 组级别配置一次，该组中的每个设备都会继承该配置。

Aruba Instant：虚拟控制器和动态 RADIUS 代理

在 Aruba Instant 集群中，每个接入点都可以发送自己的 RADIUS 请求。此时，云端 RADIUS 服务必须信任每个地点的每个接入点地址。

动态 RADIUS 代理改变了这一点。启用后，Instant 虚拟控制器会为集群代理 RADIUS 流量，因此 RADIUS 服务器在每个地点只会看到一个来源。这使得大型设施中的防火墙规则和共享密钥管理变得更加轻松。

AOS-10：接入点负责认证，网关负责执行

AOS-10 将 WLAN 客户端认证转移到了接入点，包括隧道 SSID 的认证。网关处理隧道流量的数据通路和角色执行。在上线之前，请在 HPE Aruba Networking AOS-10 文档中确认您的设计中哪个设备会发起 RADIUS 请求。您的 RADIUS 服务必须信任该地址，并且您的 CoA 消息必须能够送达该地址。

用于会话、层级和撤销的授权变更

授权变更 (CoA) 在 RFC 5176 中定义，允许 RADIUS 服务器在访客无需重新连接的情况下更改或结束活动会话。在访客 WiFi 中有三个重要应用场景：

• 结束会话：当限时凭证或活动通行证过期时。
• 升级层级：当酒店访客购买高级带宽套餐后。
• 撤销访问权限：对于违反合理使用政策的设备。

大多数失败的 CoA 测试都可以归结为三个原因：防火墙阻止了通往 Aruba 设备的入站动态授权流量；共享密钥不匹配；或者 RADIUS 返回的角色名称在接入点或网关上不存在。Purple 支持中心内的 Purple 与 HPE Aruba 集成文章逐步讲解了每个设置步骤。

何时使用 Aruba Central 原生访客访问是正确选择？

当访问权限是唯一的诉求时，Central 的原生访客访问就是正确的选择。以下情况下请选择它：

• 访客只需要使用条款、时间限制，无需其他操作。
• 邮件形式的发起人批准可以涵盖您的访客流程。
• 市场营销或运营部门中没有人需要登录数据。
• 您的地点数量屈指可数，且网络团队乐于负责 Splash 页面。

县议会接待区就是一个典型的适用场景。访客接受条款，获得会话时限，然后离开。由于没有 CRM 需要提供数据，也没有同意书需要记录，因此外部平台只会增加成本而无法带来附加价值。

何时使用 ClearPass Guest 是正确选择？

当访客访问是更广泛的访问控制计划的一部分时，ClearPass Guest 才能体现其运营成本价值。以下情况下请选择它：

• 您已经运行 ClearPass 来进行员工 802.1X、有线端口控制或通过 OnGuard 进行设备姿态检查。
• 您的安全团队需要针对企业设备、访客设备和物联网设备建立统一的策略引擎。
• 策略要求认证服务器位于您自己的数据中心内部。
• 您雇佣或签约了具备 ClearPass 专业知识的工程师。HPE Aruba 为此专门设立了 ClearPass 认证方向。

已使用 ClearPass 对临床设备进行分析的医院信托基金就是一个很好的例子。将同一个集群扩展到患者和访客 WiFi，可为 医疗保健 资产保留单一审计追踪。其边际投入低于引入第二个平台。

什么时候云端访客平台比 ClearPass Guest 更简单？

对于酒店和零售团队来说，出于结构性原因，云平台更为简单。这些团队很少配有本地 IT 人员。营销部门主导访客体验。此外，业务网络通过收购不断扩大，且往往建立在混合硬件之上。

云端 ClearPass Guest 替代方案消除了酒店和零售团队认为 ClearPass 中最难处理的部分。无需在您的侧安装补丁程序服务器、无需调整集群规模，也无需更新证书。Purple 与硬件无关。它适用于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。因此，一个访客平台可以同时覆盖 Aruba 现有资产和收购的 Meraki 资产。

Purple 在 90 多个国家的 80,000 多个实时场所运行（Purple 主演练集，截取于 2026 年），正常运行时间达 99.999%（Purple 自有数据）。包括 Premier Inn、Whitbread 和 Pizza Express 在内的酒店品牌均在 Purple 上运行访客 WiFi。

实践示例：基于 Aruba Instant 的 40 家连锁酒店集团

现状。 某集团运营 40 家 酒店，平均每家 120 间客房，采用在 Central 中管理的 Aruba Instant 接入点。两名网络工程师从总部覆盖整个业务网络。访客 WiFi 使用 Central 点击式 Splash 页面。营销部门希望在 CRM 中获取经同意的访客电子邮件，并了解重复入住情况。而 ClearPass Guest 方案要求设立一个中央集群，每家酒店都必须通过 WAN 访问该集群。

他们的做法。 工程师将 Central 组中的访客 WLAN 指向 Purple 的外部强制门户和云端 RADIUS。他们启用了动态 RADIUS 代理，以便每家酒店都呈现一个源地址。他们添加了围墙花园条目，然后在首次登录时提供 Passpoint 配置文件，以便再次光顾的访客自动连接。

衡量结果。 在 IT 方面，集团层面的一次配置更改即可覆盖所有 40 家酒店，无需添加任何服务器。在营销方面，数据计算如下。这些数值是根据设定的假设进行建模的，而非实际报告的结果。

• 40 家酒店 × 120 间客房 = 4,800 间客房。
• 按 75% 的入住率计算，每晚有 3,600 间客房有人入住，即每年 1,314,000 间客房夜数。
• 按平均入住两晚且每次入住登录一次计算，即为 657,000 次入住。
• 按 30% 的营销订阅同意率计算，每年约产生 197,000 个经同意的访客档案。

随后，该集团对照这些基线衡量实际的订阅同意率、重复入住率和 CRM 匹配率。

实践示例：基于 AOS-10 的 150 家门店服装零售商

现状。 某拥有 150 家门店的 零售 连锁企业运行着在 Central 中管理的 AOS-10 接入点，并在每家门店本地桥接。门店团队不承担 IT 职责。总部希望将注册信息与忠诚度 CRM 关联，并获取每家门店的重复光顾率。

应对措施。 网络团队在 Central 组中部署一个外部强制门户配置，而门店级别的品牌定制则在 Purple 中处理。Purple 将获得许可的顾客档案同步至 CRM。重复光顾通过登录身份而非仅凭设备地址归因，从而降低了 MAC 随机化的影响。

可衡量的结果。 同样，以下数据为模型预测。如果每家门店每周有 3,000 名顾客光顾，且有 5% 的人连接网络，则该连锁企业每周记录 22,500 次连接，即每年 1,170,000 次。总部可以对比各门店的重复光顾率以及各区域的许可订阅率。营销团队可以直接在 Purple 中更改 Splash 页面活动，无需提交网络变更工单。

如果门店还向员工发放平板电脑或允许使用个人设备，请参阅 BYOD WiFi 入网：管理酒店和零售行业中的未管理设备。

各种 Aruba 访客 WiFi 方案的运维成本如何？

许可证价格只是比较中占比最小的部分。运维成本来自于基础设施、升级以及维护该平台的团队。这三种方案都不需要更换新的接入点，这与 为什么您的下一次 WiFi 升级不需要新硬件 中所阐述的观点一致。

成本组成部分	Aruba Central 原生访客	ClearPass Guest	专用云平台 (Purple)
许可证	包含在 Central 接入点订阅中	在 Central 之上的每个终端许可证	Connect、Capture 或 Engage 计划的订阅费用
服务器	无	虚拟机或硬件设备，通常需要两个或更多节点以实现容错	无
证书	由 HPE Aruba 托管	HTTPS 和 RADIUS 服务器证书由您的团队定期更新	由 Purple 托管
软件升级	由 HPE Aruba 在 Central 中提供	由您的团队按集群计划并实施升级	由 Purple 提供
CRM 集成	基于 Central 的 REST API 进行定制开发	使用 REST API 和 Context Server Actions 进行定制开发	与 CRM 和营销工具的平台原生集成
日常负责人	网络管理员	ClearPass 专家	营销或运营团队

Central 原生方案的隐性成本在于您未采集的数据。ClearPass Guest 的隐性成本则是专家花费在维护本可由营销团队自行运营的访客功能上的时间。在比较许可证报价之前，请评估每种方案在三年内的总成本（包含人员工时）。

如何针对您的 Aruba 资产做出决策？

请从实际情况出发，而不是从功能列表出发。此决策矩阵将最常见的 Aruba 资产现状映射为推荐方案。

您的现状	推荐方案	判定依据
一到五个场所，仅限访问的访客 WiFi，无 CRM	Central 原生访客服务	已包含；无需运行其他组件
ClearPass 已运行员工 802.1X 和姿态评估，访客数据留在 IT 部门	扩展 ClearPass Guest	一个策略引擎和一个审计跟踪
多场所酒店或零售集团，市场团队需要获得同意的数据	专用云平台	无需服务器即可实现 CRM 同步和同意管理
收购后拥有包含 Aruba 和其他厂商的混合资产	专用云平台	与硬件无关；跨厂商的统一访客平台
再次光顾的访客必须无需重新登录即可连接	云平台或搭配 Passpoint 的 ClearPass Onboard	Central 宣传 Passpoint，但需要身份识别服务
员工使用 ClearPass，市场团队需要访客数据	员工使用 ClearPass，访客使用云平台	各工具尽其所长

然后与您的网络和市场负责人同在一个房间内回答五个问题：

1. 谁将日常负责 Splash 页面，他们是否具备 ClearPass 技能？
2. 访客数据必须存入哪个系统，谁来维护该连接？
3. 您将如何记录符合 GDPR 第 7 条要求的标准市场营销同意书？
4. 未来 24 个月内您将增加多少个场所，使用何种硬件？
5. 再次光顾的访客是否需要通过 Passpoint 或 OpenRoaming 进行自动加密连接？

如果答案指向市场团队负责、CRM 目标端和不断扩大的资产规模，那么选择云平台比 Central 更省力。如果答案指向 IT 部门负责以及为每个设备提供统一的策略引擎，则 ClearPass 是更适合的选择。

常见问题解答

Aruba Central 是否包含强制门户，还是需要外部强制门户？

是的，Aruba Central 包含一个名为 Cloud Guest 的托管强制门户。它支持点击同意条款、管理员创建的访客账户、赞助商批准的访问和社交登录，并带有您的徽标和颜色。当登录数据必须发送到 CRM、需要市场营销同意记录或需要网络统计数据之外的访客报告时，您需要一个外部强制门户。Central 在 WLAN 设置中将外部强制门户作为标准选项提供支持。

Purple 能否在现有的 HPE Aruba 无线 AP 上运行？

是的，Purple 可以在 Aruba Central 中管理的现有 HPE Aruba 无线 AP 上运行，同时支持 Aruba Instant 和 AOS-10。Purple 是一个云端叠加层。只需将访客 WLAN 指向 Purple 的强制门户和云端 RADIUS 服务，即可保留现有硬件。Purple 与硬件无关，因此同一平台也适用于您日后收购的 Cisco Meraki、Ruckus 和 Juniper Mist 资产。

将 Aruba 访客 WiFi 连接到 CRM 是否需要 ClearPass Guest？

不，Aruba 访客 WiFi CRM 集成并不一定需要 ClearPass Guest。ClearPass 可以通过其 REST API 和 Context Server Actions 调用外部系统，但您的团队必须构建和维护每个连接器。专用的云平台通过标准的外部强制门户和 RADIUS 设置连接到 Aruba 接入点。然后，它会将获得同意的访客数据同步到 CRM 和营销平台，无需本地服务器。

Aruba 是否支持针对访客 WiFi 的 Passpoint？

是的，Aruba Instant 和 AOS-10 接入点可以广播在 Aruba Central 中配置的 Passpoint (Hotspot 2.0) 网络。广播网络只是完成了一半的工作。访客设备还需要一个 Passpoint 配置文件以及一个通过 802.1X 对它们进行身份验证的身份服务。ClearPass Onboard 或诸如 Purple 之类的云平台提供了这一方面的功能。Purple 还支持 OpenRoaming，因此已配置文件的设备会自动加入参与活动的场馆。

外部强制门户如何处理 Aruba 网络上的 GDPR 同意？

由外部平台记录同意情况，而非接入点记录。GDPR 第 7 条要求您证明每个人都已同意，且第 32 条鉴词排除了预先打勾的复选框。Purple 使用意识明确的自主选择同意方式，将营销同意与接受使用条款区分开来。它会将同意记录与每个配置文件一起存储。Purple 拥有 ISO 27001 认证，并符合 GDPR 和 CCPA 的规定。

从 ClearPass Guest 迁移到云平台涉及哪些内容？

从 ClearPass Guest 迁移是一项 WLAN 和 RADIUS 变更，而不是硬件项目。您只需将访客 SSID 的强制门户和身份验证服务器指向云平台，并更新围墙花园 (Walled Garden) 即可。您还需要确认 RADIUS 响应中返回的角色名称存在于您的 Aruba 设备上。大多数团队会先试点一个站点，对比会话数据，然后再通过 Central 组进行全面推广。ClearPass 可以继续保留员工 802.1X。

与 ClearPass Guest 相比，云访客平台是如何计费授权的？

云访客平台采用订阅制授权，无需购买或托管服务器。ClearPass 需要每个终端的许可证以及虚拟机或硬件设备，通常需要两个或更多节点来实现弹性容灾。它还需要花费员工时间来进行升级和证书更新。Purple 按三种方案出售：Connect、Capture 和 Engage。Central 的原生访客接入已包含在您现有的接入点订阅中。