机场和交通枢纽访客 WiFi 平台：Passpoint 漫游与多语言门户对比

大多数机场应同时运行这两种模式。Passpoint（包括 OpenRoaming 和航空公司忠诚度计划配置文件）可通过加密连接自动连接再次光临的旅客。多语言强制门户则为其他所有人提供服务，并捕获经合规同意的第一方数据。有三大要素决定哪种方式为主导：您的旅客构成、您的数据目标以及您的接入点是否支持 Hotspot 2.0。

您应该选择哪种机场访客 WiFi 平台模式？

选择混合模式，然后确定以哪一种方式为主导。以 Passpoint 为主导的设计将自动加密连接放在首位。以门户为主导的设计则将获得同意的第一方数据和多语言信息传递放在首位。两者运行在相同的接入点上，因此这是一个运营决策，而非硬件决策。

进行任何机场访客 WiFi 平台比较时，都包含三个术语：

• Passpoint 是一项基于 IEEE 802.11u（也称为 Hotspot 2.0）的行业认证。保存有凭据的设备找到 Passpoint 网络后无需登录屏幕即可自动加入。
• OpenRoaming 是由无线宽带联盟 (WBA) 运营的联合体。它使用 Passpoint，因此来自手机制造商、运营商或应用程序的单一凭据可在每个参与场所通用。
• 强制门户 是旅客在开放网络上上网前看到的网页。

Passpoint 使用 IEEE 802.1X 进行身份验证，这是企业级 WiFi 背后的基于端口的访问控制标准。凭据在 EAP（可扩展身份验证协议）内部传输至 RADIUS 服务器。RADIUS 是用于检查凭据并返回会话规则（如时间和带宽限制）的协议。

Purple 将 访客 WiFi 作为云端叠加层交付于来自 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 的接入点上。同一个平台同时支持 OpenRoaming 和多语言强制门户。它运行在 90 多个国家的 80,000 多个实时场所中，每年处理 5 亿用户和登录。交通领域的客户包括 AGS Airports 和曼彻斯特机场集团。

Passpoint 漫游与多语言门户之间真正的区别在哪里？

这两种模式在航站楼关注的核心维度上有所不同：无摩擦体验、加密、数据、界面义务和硬件。下表将它们以及大多数航站楼最终运行的混合模式进行了对比。

维度	Passpoint 与 OpenRoaming	多语言强制门户	混合模式（两者兼具）
旅客连接方式	一次性安装配置文件后，无屏幕自动连接	加入开放 SSID 并完成登录页面	配置文件持有者自动加入；其他所有人使用门户
空中加密	通过 802.1X 实现 WPA2-Enterprise 或 WPA3-Enterprise	开放 SSID 无加密；使用增强型开放 (OWE) 实现按会话加密	Passpoint SSID 采用企业级加密；门户 SSID 采用 OWE
返回的第一方数据	仅身份提供者领域，无营销同意	电子邮件、语言偏好、明确选择的选择性同意	来自门户旅客的受许可数据；来自两者的会话数据
语言处理	无需，不显示界面	Accept-Language 检测加上手动切换器	门户处理语言；Passpoint 无需处理
无障碍暴露	无需审计的界面	完整的 WCAG 2.2 AA 审计和声明	仅门户审计
核心标准	IEEE 802.11u, Passpoint, 802.1X, EAP, RadSec (RFC 6614)	RFC 8910, RFC 8908, WCAG 2.2, GDPR, PECR	以上所有
接入点要求	AP 和控制器固件中的 Hotspot 2.0 支持	外部强制门户重定向	同一资产上的两种功能
分析标识符质量	会话期间稳定，绑定到已验证的凭据	会话期间稳定；访问之间随机化 MAC	联网设备的涵盖范围最广
适用人群	拥有大量频繁乘坐安装应用航空公司的枢纽	休闲、包机和首次国际交通	大多数机场和主要铁路枢纽

三大差异决定了大多数决策。

数据。 Passpoint 会告诉您哪个身份提供者对设备进行了身份验证，例如航空公司领域或 OpenRoaming 提供商。它不返回电子邮件地址，也不返回营销同意。如果您的商务团队需要获得受许可的第一方数据用于特许经营营销活动，则只有门户网站能够提供。

加密。 Passpoint 运行在 WPA2-Enterprise 或 WPA3-Enterprise 上，因此它从第一帧开始就对每个会话进行加密。除非您启用了增强型开放 - 也称为机会性无线加密（OWE, RFC 8110），否则开放门户 SSID 不包含空中加密。请使用 OWE 过渡模式，以便较旧的设备仍能连接。

义务。 Passpoint 连接不显示任何屏幕，因此您无需翻译或审计任何内容。而门户网站是一个面向公众的网页，需要完整承担这两项职责。

机场如何将 OpenRoaming、航空公司 Passpoint 配置文件和回退门户结合起来？

双 SSID 模式

一种常见的航站楼设计是广播两个旅客网络。第一个是用 WPA2-Enterprise 或 WPA3-Enterprise 加密的 Passpoint SSID。第二个是重定向到强制门户的开放或增强型开放 SSID。拥有匹配配置文件设备会自动加入第一个网络，而其他所有设备都会看到第二个网络。

Passpoint SSID 会同时播报多个标识符。漫游联盟组织标识符 (RCOI) 命名一个联盟，例如 OpenRoaming。网络接入标识符 (NAI) 领域命名单个身份提供者，例如航空公司的域名。设备在关联之前通过接入网络查询协议 (ANQP) 查询这些信息。仅当设备拥有匹配的凭据时，它才会加入。

领域路由的工作原理

当设备进行身份验证时，RADIUS 层读取其外部身份中的领域（realm）并路由该请求。OpenRoaming 请求通过基于 TLS 的 RADIUS（RFC 6614）即 RadSec 传送到联盟的身份提供者。根据双边协议，航空公司领域会路由至航空公司自己的身份验证服务器。您永远不会看到乘客的密码或证书。您只会收到接受或拒绝的响应，以及会话规则。

这就是航空公司忠诚度配置文件在实际中的工作方式。航空公司的应用通过 Apple 的 NEHotspotConfiguration 或 Android 的 PasspointConfiguration 接口安装 Passpoint 配置文件。该配置文件包含航空公司的领域和凭据，通常是用于 EAP-TLS 的证书。EAP-TLS 是双向证书身份验证，也是已广泛部署的最强 EAP 方法。在任何广播该领域的机场，手机无需任何提示即可直接连网。

将首次搭乘的乘客转化为 Passpoint 乘客

门户也是入口。在乘客完成门户登录后，向其提供可选的配置文件下载，以便下次访问时实现自动连接。用通俗易懂的语言解释此优惠。对于遇到困难的乘客，指导服务台员工查阅通用解释文档，例如 如何使用 WiFi：家庭、酒店和工作网络。

支持 RFC 8910 的设备可通过 DHCP 或路由器通告获取门户地址。然后，它们会查询 RFC 8908 中定义的强制门户 API。这用标准信号取代了脆弱的重定向技巧，因此请在您的无线接入点允许的情况下加以实施。

避免员工使用乘客网络

航空公司、零售和机场员工绝不应共享乘客 SSID。Purple 员工 WiFi 会针对 Microsoft Entra ID、Okta 或 Google Workspace 验证员工身份。它将员工置于独立的 VLAN（隔离流量的虚拟局域网）中。承包商和来访机组人员会携带未托管的设备，这在 BYOD WiFi 入网：管理酒店和零售场所中的未托管设备 中有详细说明。

什么时候采用 Passpoint 和 OpenRoaming 主导的设计才是正确的选择？

当自动连接的价值高于收集到的电子邮件地址时，请优先使用 Passpoint。以下四种情况适用该设计：

• 频繁飞行常客占比高。 很大一部分乘客乘坐一两家枢纽航空公司的航班，这些航空公司的应用可以安装配置文件。
• 转机时间短。 中转乘客和铁路换乘留给填写表格的时间很少。同样的逻辑也适用于车站和车载网络，具体内容详见我们的 火车 页面。
• 安全态势需求。 您的 IT 团队要求每个乘客会话都通过无线电空中接口进行加密，且不存在开放的 SSID 流量。
• 高峰期门户摩擦。 服务台在早间离港高峰期收到大量登录投诉。

机场酒店可以进一步扩大这一优势。宣传相同 OpenRoaming RCOI 的酒店可让客人在从登机口到客房的整个过程中保持连接，无需二次登录。我们的 酒店 页面和 酒店访客 WiFi 平台：PMS 对接、Passpoint 与分层带宽对比 指南对此进行了详细说明。

密切关注配置文件的采用率。OpenRoaming 的覆盖范围取决于哪些身份提供商在您旅客的手机上分发了凭据。每月测量通过 Passpoint 连接的会话比例。切勿基于凭空假设而停用门户网站。

何时基于多语言强制门户的设计是正确的选择？

当覆盖范围和第一方数据比零触控连接更重要时，应优先采用门户网站。以下四种情况适用：

• 休闲和包机客流。 许多首次出行和国际旅客没有匹配的配置文件。
• 商业目标。 特许经营、停车场和免税店团队希望通过自主选择的订阅获取获得授权的联系人。
• 运营信息推送。 您希望在连接瞬间以旅客的语言展示登机口信息、路线指引或协助预订。
• 硬件限制。 您的无线接入点不支持 Hotspot 2.0。门户网站可以立即投入使用，而 Passpoint 可以在硬件更新时后续跟进。

请针对航站楼而非咖啡馆来设计门户网站。将登录步骤保持为一步，并提供免费接入，无需强制要求营销授权。GDPR 第 7(4) 条规定，与服务绑定的同意通常不被视为自由给予。门户网站通常在受限的微型浏览器中打开，因此请保持页面轻量化，避免使用第三方脚本和弹窗。

哪些会话超时、语言检测和无障碍标准适用于航站楼旅客 WiFi？

目前没有单一标准规定机场 WiFi 会话时长。三大类规则塑造了其设计：用于会话控制的 RADIUS 属性、用于语言的网页标准，以及针对门户网站的无障碍法律。

会话超时

RFC 2865 定义了 RADIUS Session-Timeout 和 Idle-Timeout 属性。Session-Timeout 限制总会话时长。Idle-Timeout 在一段时间无活动后结束会话。请根据测得的停留时间设置这两项，而非凭习惯设置。如果禁区内停留时间为 90 分钟，而会话时长设为 30 分钟，则每位旅客都需要登录三次。

在 Passpoint SSID 上，重新认证是无感的，因此较短的会话不会增加任何使用门槛。利用它来刷新策略和带宽限制。在门户 SSID 上，可在指定时间窗口内识别再次连接的设备。安检后重新连接的旅客无需重复填写表单。在旅客连接之前，请在门户网站上明确说明任何时间或流量限制。

语言检测

每台浏览器都会发送 RFC 9110 中定义的 Accept-Language 请求头，列出设备的首选语言。请利用它来自动选择 Portal 门户语言。切勿从 IP 地址或 SIM 卡所属国家/地区推断语言：使用英国 SIM 卡漫游的西班牙语用户仍然需要西班牙语。务必提供明显的语言切换器，且每种语言均使用其原生文字命名。

W3C 国际化指南建议不要在切换器中使用国旗，因为国旗代表国家/地区，而非语言。按照 WCAG 成功标准 3.1.1 的要求，在 HTML 中声明页面语言。针对阿拉伯语和希伯来语提供从右到左布局的支持。根据您的航线网络和旅客数据选择语言，而非使用通用列表。

无障碍功能

基准是 W3C 于 2023 年 10 月发布的 WCAG 2.2 AA 级。2.2 版中新增的两项标准对 Portal 门户提出了严格要求。成功标准 3.3.8“可访问的身份验证（最低）”禁止在没有替代方案的情况下使用拼图 CAPTCHA 等认知测试。成功标准 2.5.8“目标尺寸（最低）”规定触控目标的下限为 24 x 24 CSS 像素。根据标准 1.4.3，正文文本的对比度需要至少达到 4.5:1。

在英国，2018 年《公共部门机构（网站和移动应用程序）（第 2 号）无障碍法规》适用于公共部门机构。国有运营商必须满足这些要求并发布无障碍声明。在欧盟，《欧洲无障碍法案》（指令 (EU) 2019/882）已于 2025 年 6 月 28 日起生效。它涵盖航空、客车、铁路和水上客运的网站及移动服务。请咨询您的法律顾问，确定您的 Portal 门户是否属于该适用范围，无论如何，请按照 WCAG 2.2 AA 标准进行设计。

区域级 WiFi 遥测数据如何为航站楼排队和特许经营区停留时间仪表盘提供支持？

从 AP 接入点到区域

每个 AP 接入点都能感知有哪些设备与其关联，许多 AP 还能感知附近正在探测的设备。将 AP 接入点划分为与业务区域相对应的区域：非隔离区值机处、安检入口、隔离区广场、各个廊桥和各个登机口群。供应商接口（如 Cisco Meraki Scanning API）会公开位置在线状态数据。WiFi Analytics 将其转化为区域计数、停留时间和区域间的移动数据。

排队时间代理指标

获取设备在安检前区域的最后一次出现与在隔离区的第一次出现之间的时间间隔。该时间间隔大致等于端到端安检处理时间。将这些时间间隔聚合为滚动中位数，仪表盘即可近乎实时地显示排队趋势。请将其视为趋势指标，而非针对单个通道的测量。头顶传感器可以更精确地测量单个通道。WiFi 无需安装新传感器即可提供全航站楼范围的情境信息，因为 AP 接入点原本就已经存在。

特许经营区停留时间

空侧停留时间是指旅客可用于消费的时间。区域遥测数据展示了设备在广场停留的时间与直接前往登机廊桥的时间。将该数据与按小时统计的特许经营销售额结合，可对比消费额与可用停留时间。Purple 在 零售业 中也采用了相同的方法，只是将映射区域改为了部门而非单店。

数据质量与隐私

自 iOS 14 和 Android 10 起，设备默认呈现随机 MAC 地址，且每个网络各不相同。因此，仅靠统计探针数据会导致部分设备重复计入，而其他设备被漏计。关联会话，尤其是 Passpoint 会话，可在整个访问期间提供更稳定的标识符。

GDPR 第 35 条规定，对公共可达区域进行大规模系统性监控时，必须完成数据保护影响评估 (DPIA)。请在上线前完成此评估。在仪表板中将数据聚合至区域层级，并对设备层级的记录设置较短的保留期。同时在门户网站和航站楼标识上明确说明数据收集目的。

实际案例分析：一家区域机场与一家空侧特许经营企业

这些示例使用的是说明性数据。在构建业务方案之前，请用您自己的基线数据替换它们。

案例 1：一家地方议会拥有的区域机场

现状。 一家由地方议会拥有的区域机场每天接待 8,000 名出港旅客。假设连接率为 60%，即每天有 4,800 台设备。该机场原本运行一个开放式 SSID，使用仅限英语的门户网站，且会话超时时间设为 30 分钟。空侧停留时间中位数为 90 分钟。作为公共部门机构，它必须发布无障碍声明。

团队采取的行动。 团队添加了一个广播 OpenRoaming 及其中最大驻场航空公司 realm 的 Passpoint SSID。团队根据航线网络挑选了六种语言重新构建了门户网站，具备 Accept-Language 自动检测和手动切换功能。外部审计机构根据 WCAG 2.2 AA 标准对该门户网站进行了测试。团队将 Session-Timeout 设置为三小时，并在当天剩余时间内识别再次返回的设备。

结果。 假设一年内有 25% 的连接设备转用 Passpoint。门户网站登录量从每天 4,800 次降至 3,600 次，每天有 1,200 台设备完全无需屏幕交互即可连接。较长的会话时长减少了每位旅客两次强制重新登录，这意味着每天减少 9,600 次登录屏幕的显示。机场还发布了经独立审计支持的无障碍声明。

案例 2：一家空侧特许经营运营商

现状。 一家特许经营运营商在空侧广场和两个登机廊桥经营着 14 家门店。它可以看到按小时统计的销售额，但无法了解旅客在登机前拥有的可用时间。

运营商采取的行动。 运营商将无线接入点 (AP) 映射为四个区域：安检出口、广场、廊桥 A 和廊桥 B。它将来自 WiFi Analytics 的每小时区域停留时间与每小时收银数据结合。它定义了一项指标：每小时每个区域每 100 台已连接设备的交易量。

结果。 在早高峰时段，1,200 台设备在一小时内通过了安全认证，广场中位数停留时间为 42 分钟。在晚高峰时段，900 台设备通过认证，中位数停留时间为 18 分钟。运营人员将两名员工从餐桌服务调配至晚高峰的即拿即走单元。如果每 100 台设备的晚间交易量从 9 笔增加到 12 笔，则在相同业务量下实现了 33% 的提升。同一个仪表板即可对此进行测量。

每种模型的运行成本是多少？

正如 为什么您的下一次 WiFi 升级不需要新硬件 中所解释的那样，在支持的硬件上，这两种模型都不需要新的接入点。运行成本体现在其他方面。

成本项目	Passpoint 和 OpenRoaming	多语言强制门户	一次性或经常性
接入点	确认每个型号和固件的 Hotspot 2.0 支持	现有 AP 上的外部门户重定向	一次性兼容性检查
身份验证	带有 RadSec 的云端 RADIUS，用于关联和航空公司域	用于会话控制的云端 RADIUS	经常性平台订阅
证书	WBA PKI 下的 OpenRoaming 证书	门户域名的 TLS 证书	每次到期时经常性产生
合作伙伴协议	与每家航空公司或身份提供商的条款	无	经常性法律审查
翻译	无，无界面	每种语言，每次内容变更	每次变更时经常性产生
无障碍功能	无需审计的界面	WCAG 2.2 AA 审计和已发布的声明	一次性审计，变更后重新测试
数据保护	涵盖分析的 DPIA	DPIA、同意记录、保留计划	经常性年度审查
服务台负载	配置文件安装咨询	高峰期的登录和语言咨询	持续的人工时间

门户网站承担着更多的经常性内容工作，主要是每次变更后的翻译和无障碍功能重新测试。Passpoint 承担着更多的合作伙伴和证书管理工作。混合模型两者兼有，但每种方式承担的负载都比单独使用时要少。

如何为您所管理的交通枢纽做出决策

将您的实际情况对应到主导模型，然后按照以下步骤操作。

您的实际情况	优先选择	原因
大多数乘客乘坐一两家拥有忠诚度 App 的枢纽航空公司	Passpoint，优先考虑航空公司域	App 已包含身份信息，因此连接是自动完成的
主要是休闲和首次出境的国际乘客	多语言门户，OpenRoaming 为辅	很少有人拥有配置文件；门户网站可以用他们的语言覆盖每个人
商务团队需要获得同意的营销联系人	门户	Passpoint 不返回同意信息
您是受 2018 年法规约束的公共部门机构	经过 WCAG 2.2 AA 审计的门户，外加 Passpoint	法律责任在于门户；Passpoint 可减轻其负载
停留时间短的铁路换乘站	带有单步门户的 OpenRoaming	停留时间太短，不适合填写长表单
接入点缺乏对 Hotspot 2.0 的支持	当前使用门户，硬件更新时使用 Passpoint	避免过早的硬件支出

1. 测量基准数据。 记录每日连接量、各区域停留时间以及服务台登录咨询。
2. 审计硬件。 确认每个 AP 型号和控制器固件版本均支持 Hotspot 2.0。
3. 选择身份提供商。 确定要接受哪些联盟和航空公司 Realm，并尽早启动合作伙伴协议。
4. 根据数据设置超时时间。 将 Session-Timeout（会话超时）和 Idle-Timeout（空闲超时）与测得的停留时间保持一致。
5. 同步推进合规工作。 在进行网络配置的同时委托开展无障碍审计和 DPIA，而不是在配置完成后才开始。
6. 每季度复核。 监控 Passpoint 的会话份额，并在其增长时重新平衡门户投资。

Purple 拥有 ISO 27001、Cyber Essentials 和 B Corp 认证，符合 GDPR 及 CCPA 标准，且提供 99.999% 的正常运行时间。

常见问题

Purple 能否与航站楼内已安装的 AP 配合使用？

可以，Purple 作为云端 Overlay 运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet AP 上。您可以保留现有硬件。对于 Passpoint 和 OpenRoaming，请与您的供应商确认 AP 型号和控制器固件是否支持 Hotspot 2.0。强制门户需要在这些平台上提供外部重定向支持。

提供 OpenRoaming 服务是否必须加入无线宽带联盟（WBA）？

不需要，场所可以通过平台提供商加入 OpenRoaming，而无需直接加入。提供商持有联盟协议以及在 WBA 公钥基础设施下颁发的证书，同时还通过 RadSec 路由身份验证。您仍可自行决定接受哪些身份提供商以及提供哪些 OpenRoaming 服务层级。请在上线前与您的法务团队共同审阅 WBA 的 OpenRoaming 策略。

如果乘客的手机没有 Passpoint 配置文件会怎样？

他们将连接开放或 Enhanced Open 网络，并看到强制门户（如果您提供了翻译，则显示为其设备语言）。门户可在首次登录后提供可选的配置文件下载，以便下次访问时自动连接。请保持免费连接可用且无需营销同意，因为 GDPR 要求同意必须出于自愿。

区域级乘客 WiFi 分析是否符合 GDPR 标准？

是的，前提是您在设计时就考虑到了合规性。请开展数据保护影响评估（DPIA），因为 GDPR 第 35 条明确提到了对公共可访问区域进行的大规模系统化监控。请将仪表板汇总为区域计数和停留时间中位数，并对设备级记录设置较短的保留期。在门户和航站楼标识上发布明确的通知。Purple 已通过 ISO 27001 认证并符合 GDPR 标准。

我们是否应该放弃强制门户，转而运行仅限 Passpoint 的网络？

不，在机场不行。仅限 Passpoint 的网络会排除所有没有兼容配置文件（无论属于哪家航空公司或国家/地区）的乘客。它还会剥夺您在连接时获取经同意的第一方数据以及发送特定语言消息的唯一途径。请将 Passpoint 作为快速通道，并保留门户作为通用备选方案。每年根据配置文件使用率的增长情况重新评估两者的平衡关系。

Purple 如何为交通枢纽进行许可授权？

Purple 通过三种方案提供许可授权：Connect、Capture 和 Engage。选择哪种方案取决于您是仅需要连接功能、经同意的第一方数据捕获，还是需要在乘客连接后与其互动。由于 Purple 独立于硬件，您无需在支持的 Cisco Meraki、HPE Aruba、Ruckus 或 Juniper Mist 设备上购买新的 AP 无线接入点。请向 Purple 获取针对您航站楼定制的报价。

航站楼部署工作量有多大？

比硬件项目要少，因为您无需更换任何设备。工作主要分为四个方面。您需要确认 Hotspot 2.0 支持并配置 Passpoint SSID，同时与航空公司合作伙伴商定 Realm 领域。您还需要构建并审核多语言门户，然后将 AP 无线接入点映射到区域以进行分析。合作伙伴协议和无障碍审核通常决定了项目进度，而不是网络配置。