酒店访客 WiFi 平台：PMS 集成、Passpoint 和分级带宽对比

酒店访客 WiFi 平台在三项功能上有所不同。PMS 集成会在允许访问之前，对比 Opera、Mews 或 Cloudbeds 核对房间号和姓氏。Passpoint 只需安装一次凭据，以便再次光临的忠诚度会员可以在任何门店自动重新连接，无需通过 Splash 页面。分级带宽通过 RADIUS 应用针对每位访客的速率限制。多门店集团需要将所有这三项功能叠加在现有的接入点上。

您应该选择哪种酒店访客 WiFi 配置：PMS 登录、Passpoint 还是两者兼有？

请根据您需要服务的访客进行选择。通过 PMS 验证的登录适用于必须确认每位访客均已入住才能授予访问权限的酒店。Passpoint 适用于其忠诚度会员经常光顾旗下多家门店的集团。分级带宽位于这两者之下，决定了每位经过验证的访客所获得的网络资源。

这些并不是相互竞争的产品。它们是同一个 访客 WiFi 设计的三个层级：

• 身份。 这位访客是谁，他们今晚入住吗？您的酒店管理系统 (PMS) 拥有答案。
• 连接。 设备如何加入网络？强制门户（即设备连接到互联网之前看到的网页）负责处理首次访问。Passpoint 负责处理在此之后的每一次访问。
• 策略。 该访客获得什么速度、会话时长和网络切片？RADIUS（RFC 2865 中定义的认证协议）将这些指令传输至您的接入点。

如果酒店访客 WiFi 平台对比仅对 Splash 页面进行评分，就会遗漏这三个层级中的两个。请对所有这三个层级以及它们的协同工作效果进行综合评估。

PMS 登录、Passpoint 和分级带宽究竟有何不同？

	经过 PMS 验证的强制门户	Passpoint 和 OpenRoaming	分级带宽与投屏隔离
功能	在允许访问前核对 PMS 中的房间号和姓氏	自动连接持有已安装配置文件的设备，无 Splash 页面	应用速率限制、会话限制和按房间划分的网络切片
验证内容	在店状态和入住日期	凭据身份，例如忠诚度会员资格	本身不验证任何内容；它只执行身份和 PMS 数据决定的策略
访客操作	每次入住每台设备填写一份表格	一次配置文件安装，随后在任何合作门店均无需操作	访客无感知
空口加密	开放式 SSID 上无加密，除非添加 OWE (RFC 8110)	采用 IEEE 802.1X 的 WPA2 或 WPA3-Enterprise	继承自其运行的 SSID
标准	HTTP 重定向、RADIUS (RFC 2865)	IEEE 802.11u、Hotspot 2.0、结合 EAP 的 802.1X	RADIUS 属性 (RFC 2865, RFC 2868)、CoA (RFC 5176)、mDNS (RFC 6762)
所需硬件	现有的企业级接入点	固件中启用 Hotspot 2.0 的现有接入点	现有的接入点和控制器，以及客房内的投屏设备
数据依赖	实时 PMS 连接	RADIUS 身份存储，PMS 可选用于在住检查	用于分级的 PMS 或忠诚度数据、用于隔离的房间映射
最佳适用对象	独立酒店、付费升级、仅限在住宾客访问	跨门店重复入住的忠诚度导向型集团	拥有混合客群类型或房内流媒体需求的每处物业

最显著的区别在于每个层级验证的内容。PMS 查询验证的是入住状态：此宾客在周四前租住 412 房。Passpoint 凭据验证的是身份：此设备属于一名金卡会员。两者互不证明。在休息日到您餐厅用餐的忠诚度会员拥有有效档案，但没有预订信息。

您可以在 RADIUS 服务器端解决此问题。当 Passpoint 设备进行身份验证时，平台会在 PMS 中检查该会员档案下是否有在住记录。在住会员可获得忠诚度级别体验。无入住记录的会员则获得标准访客级别体验。一个凭据产生两种结果，并在设备完成连接前做出决定。

安全性也有所不同。传统的强制门户运行在开放式 SSID 上，因此设备与接入点之间的流量未经加密。机会性无线加密 (OWE) 弥补了部分缺陷。Passpoint 运行在带有 IEEE 802.1X（基于端口的访问控制标准）的 WPA2 或 WPA3-Enterprise 上。在任何数据传输之前，每个会话都会获取自己的加密密钥。

何时使用 PMS 验证登录是正确的选择？

针对 Opera、Mews 和 Cloudbeds 的验证工作原理

无论您运行哪种 PMS，面向宾客的流程都是相同的。宾客接入访客 SSID，强制门户提示输入房间号和姓氏，或预订参考号。平台查询 PMS。匹配成功后返回入住记录，包括退房日期和宾客档案。随后，平台允许该设备接入，并为其分配一个在退房时结束的会话。

不同之处在于背后的连接方式：

• Oracle OPERA。 本地部署的 OPERA PMS 物业传统上通过现场接口服务器，使用 FIAS（Fidelio Interface Application Specification）进行连接。OPERA Cloud 物业则通过 Oracle Hospitality Integration Platform (OHIP) 上的 REST API 进行连接。
• Mews。 一款原生云 PMS，为其合作伙伴集成发布 Connector API，因此您无需现场接口服务器。
• Cloudbeds。 为合作伙伴发布 REST API，并在其应用市场中列出经批准的集成。

向您候选名单中的每个平台询问其对您资产中每种 PMS 所采用的连接路径。加盟和收购的物业通常运行与核心品牌不同的 PMS。仅支持一种 PMS 的平台会留下漏洞。

读取忠诚度状态，而不仅是房间状态

房间验证解决了一个问题。忠诚度状态则解答了下一个问题：该客人应该获得什么？OPERA 客人档案可以存储会员类型和级别，平台在同一次查询中即可读取这些信息。不过，许多酒店集团将忠诚度数据保存在独立的 CRM 或忠诚度引擎中。此时，平台需要根据 PMS 返回的档案 ID 或电子邮件地址进行第二次查询。

无论您使用哪种数据源，请为整个集团定义一套从会员级别到 WiFi 层级的映射规则。只需编写一次，即可应用于每个门店，与具体 PMS 无关。

适用场景

在以下情况下，基于 PMS 验证的登录是最佳的首选方法：

• 出于带宽、许可或安全原因，您必须将网络访问权限限制为住店客人；
• 您销售高级层级网络服务，并希望将费用记入客人账单（前提是您的 PMS 接口支持记账功能）；
• 您的绝大多数客人是无忠诚度档案的一次性休闲或商务旅客；
• 您希望网络访问权限在退房时自动终止，无需前台手动操作。

针对边缘情况做好预案。姓氏常会导致查询失败：带重音符号的字符、双姓以及使用同事姓名预订房间。提供预订参考号备用方案和前台覆盖代码，确保信息不匹配时客人不会卡在登录页面。如需团队可分享的通俗易懂解释，请参阅 如何连接到 WiFi：家庭、酒店和工作网络。

实操场景：拥有 200 间客房的城市酒店的分层访问

本实操示例基于既定假设计算具体结果。

**现状。**一家拥有 200 间客房的商务酒店使用 1 Gbps 专线，运行一个无速率限制的开放式强制门户。在晚间高峰期，少数下载大型更新设备就会挤爆整条专线，影响其他所有客人。

**应对措施。**该酒店改用包含两个层级的 PMS 验证登录。标准层级为每位住店客人的每台设备提供 5 Mbps，符合 Netflix 发布的 Full HD 视频流推荐带宽。高级层级对忠诚度会员免费，对其他客人记入账单销售，为每台设备提供 15 Mbps。这符合 Netflix 对 4K 视频流的推荐标准。

**可衡量的结果。**在 85% 的入住率下，有 170 间客房有人入住。假设高峰期有 120 台活跃的流媒体设备：100 台使用标准层级，20 台使用高级层级。最坏情况下的负载为 500 Mbps 加 300 Mbps，总计 800 Mbps。高峰负载变得有界且可预测，现有专线仍保留 200 Mbps 的余量。

何时适合为再次光临的忠诚度客人使用 Passpoint？

Passpoint 如何实现无展示页面的客人无缝重连

Passpoint 是基于 IEEE 802.11u 修正案构建的 Hotspot 2.0 认证计划。无线接入点（AP）会在其信标（Beacon）中广播 Hotspot 2.0 支持信息。保存有 Passpoint 配置文件的设备会使用接入网络查询协议（ANQP）对接入点进行查询，询问网络接受哪些漫游联盟标识符（RCOI）和 Realm 域。

如果网络广播与已安装配置文件匹配的标识符，设备就会自动加入。设备会通过 802.1X 和可扩展身份验证协议 (EAP) 方法进行身份验证。EAP-TLS 使用证书；EAP-TTLS 则在加密隧道内部传输用户名和密码。RADIUS 服务器负责验证该凭据。访客无需面对 Splash 页面、无需输入密码，也无需选择 SSID，在到达前台之前就已经上线。

跨门店重新连接基于这些标识符实现。只要在集团旗下的每家酒店广播相同的 RCOI 或领域（realm），一个配置文件即可通用。几个月后，在曼彻斯特安装了该配置文件的一位访客，即可在爱丁堡自动重新连接。

分发和撤销配置文件

访客仅需安装一次配置文件。三种常见途径为：

1. 在首次强制门户登录结束时提供“下次自动连接”的选项；
2. 在酒店集团的 App 内下载，与已登录的常客会员账号绑定；
3. 预到店电子邮件中的链接。

配置文件由访客保管，因此您无法像 IT 部门向受控笔记本电脑推送证书那样进行推送。员工设备属于另一类问题，具体见 如何使用 Microsoft Intune 向设备推送 WiFi 证书。

撤销操作在 RADIUS 服务器端完成。当会员资格到期或访客报告手机丢失时，只需禁用该凭据。下一次连接尝试就会失败，且无需对设备上的任何内容进行更改。

OpenRoaming 的适用场景

OpenRoaming 由无线宽带联盟 (WBA) 运营，是基于 Passpoint 构建的联盟。参与该联盟的网络接受来自联盟身份提供商的凭据。带有 OpenRoaming 配置文件的设备可以加入任何参与网络，包括首次访问您的酒店。Purple 支持将 OpenRoaming 作为其基于身份的网络的一部分。

何时是正确的选择

在以下情况下，Passpoint 是正确的选择：

• 您运营常客计划，且有相当比例的重复入住率；
• 您的门店跨越不同城市或国家，无缝的跨门店访问是品牌承诺的一部分；
• 您希望默认对访客空中流量进行加密；
• 您拥有用于分发配置文件 App 或预到店电子邮件。

对于重复入住访客较少的单体独立酒店而言，它不是合适的首选方法。在这种情况下，安装配置文件给访客带来的负担超过了一次性门户登录。

在承诺实施前请检查支持情况。当前的 iOS 和 Android 版本支持 Passpoint 配置文件，但安装流程因平台而异。您的接入点还需要在当前固件中启用 Hotspot 2.0。

实践场景：消除 12 家门店集团的重复登录

本实践示例根据既定假设计算结果。

现状。 某 12 家门店的酒店集团平均每家酒店 150 间客房，入住率为 80%。每次入住时，所有设备在所有门店均从强制门户开始。实施方案。 该集团在首次登录后及其应用中提供 Passpoint 配置文件，在所有 12 家酒店中推广单一 RCOI。身份验证时，平台会检查 PMS 并为店内会员分配忠诚度级别。

可衡量的结果。 12 家酒店，乘以 150 间客房、80% 的入住率和 365 个晚上，每年可提供 525,600 个房晚。按平均入住两晚计算，即 262,800 次入住。如果 40% 是忠诚度入住且每位客人拥有两台设备，一旦会员持有了该配置文件，Passpoint 每年可减少约 210,000 次 Portal 页面登录。

如何跨物业强制执行按级别划分的带宽以及客房内投屏隔离？

通过 RADIUS 强制执行级别

平台一旦决定了客人的级别，就会通过 RADIUS Access-Accept 消息中的属性告知接入点。三个属性起到了关键作用：

• Session-Timeout (RFC 2865) 在退房时或设定时间段后结束会话。
• Tunnel-Private-Group-ID (RFC 2868，在 RFC 3580 中应用于 VLAN) 将设备放置在特定的 VLAN 上。VLAN 是指在共享硬件上逻辑隔离流量的虚拟局域网。
• Filter-Id (RFC 2865) 命名控制器上定义的策略或角色，例如限速配置文件。

速率限制本身取决于供应商。某些控制器接受直接携带速率的供应商特定属性 (VSA)。其他控制器则应用 Filter-Id 中返回的命名角色或组策略。命名策略在整个网络物业中最易于传递。在每个控制器上定义具有相同限制的“Standard”（标准）和“Premium”（高级），平台就会在所有地方返回相同的名称。

在客人住宿期间升级级别

晚上 9 点购买 Premium（高级）服务的客人无需重新连接。RADIUS 授权变更 (CoA, RFC 5176) 允许平台将新策略推送至活动会话。接入点会立即应用更高的上限，流媒体播放得以继续。在销售店内核销升级之前，请先确认您物业中的每个控制器是否均支持 CoA。

隔离客房内投屏

客户端隔离可防止客人设备互相看到，这是共享网络上的正确默认设置。但它也会打断投屏。Chromecast 和 AirPlay 通过多播 DNS (mDNS, RFC 6762) 发现设备，而隔离会阻止该发现过程。

解决方法是为每间客房建立一个私有网段。以下两种模式可行：

• 每房单独密钥。 身份 PSK (iPSK)，也称为私有 PSK (PPSK)，在共享的 SSID 上为每间客房提供独立的 WiFi 密码。使用该密钥的设备（包括客房的电视电视棒）会落入同一个网段，并且只能看到彼此。自带设备 (BYOD) WiFi 入网：管理酒店和零售业中的非托管设备 深入涵盖了基于密钥的入网流程。
• 每位客人私有网络。 Purple 的私有局域网 (PAN) 可以在每位客人的设备和客房投屏设备周围构建一个私有网络泡泡。

房间之间的隔离保持生效。412 房的客人无法看到 414 房的电视，414 房的客人也无法看到 412 房的笔记本电脑。

在混合硬件设施中保持策略一致

拥有多家物业的酒店集团很少只使用一家接入点供应商。收购和加盟协议使得某个城市使用 Cisco Meraki，而另一个城市使用 HPE Aruba 或 Ruckus。独立于硬件的平台可对策略进行集中管理，并将其转换为各个控制器所适用的格式。Purple 可以作为云端叠加层运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。层级名称、PMS 映射和 RCOI 在整个酒店设施中保持一致。

每种方案的运行成本是多少？

平台定价取决于您的设施规模，因此请比较成本驱动因素而非目录价格。下表展示了资金和精力的投入方向。

成本项目	经过 PMS 验证的门户	Passpoint 和 OpenRoaming	分层带宽和投屏隔离
接入点	现有企业级接入点	带有 Hotspot 2.0 固件的现有接入点	现有接入点和控制器
PMS 供应商条款	每个物业基于 Oracle、Mews 或 Cloudbeds 合作伙伴条款的接口或 API 访问权限	仅限在身份验证时检查店内状态的情况	仅限层级从 PMS 读取忠诚度等级的情况
证书	由带有强制门户的平台托管	EAP 的服务器证书，到期前需更新	无
房内硬件	无	无	电视缺乏内置投屏功能的每个房间需配备一台投屏设备
持续运营	前台协助处理姓氏查找失败问题	配置文件分发和凭据撤销	每个控制器上拥有相同的策略名称
带宽影响	本身无影响	本身无影响	限制峰值负载并延迟专线升级

硬件通常是最小的一项开支。如果您的接入点支持上述标准，则这些层级均不需要新硬件。为什么您的下一次 WiFi 升级不需要新硬件 一文详细阐述了这一观点。

PMS 访问权限是买家最常忽略的开支。Oracle、Mews 和 Cloudbeds 各自制定了合作伙伴连接条款。本地部署的 OPERA 可能还需要接口许可证。在签署合同之前，请书面确认每个物业的这些条款。

带宽是分层管理发挥价值的地方。在拥有 200 间客房的情景中，带宽限制可将 1 Gbps 专线上的晚间峰值控制在 800 Mbps。如果不设限制，峰值将取决于需求最旺盛的设备，而通常的应对方法是购买更昂贵的线路。记入账单的高级层级服务为平台成本增加了一项收入来源。您可以通过 WiFi Analytics 按物业衡量采用率。

运营成本随着摩擦的增加而增加。每次姓氏查找失败都是一次前台交互，而每个已安装的 Passpoint 配置文件都会减少未来的登录操作。在为总成本建模时，请将这两者都计算在内。

如何决定酒店设施的客用 WiFi 设置？

您的现状	推荐设置	原因
单体独立酒店，回头客较少	包含两个带宽层级的 PMS 验证门户	确认住客身份；安装配置文件所消耗的精力多于其节省的精力
拥有忠诚度计划的酒店集团	会员使用 Passpoint，PMS 验证门户作为备用，按会员级别划分层级	消除跨门店的重复登录；门户用于捕获首次入住的宾客
收购后包含混合 PMS 的资产	连接到 OPERA、Mews 和 Cloudbeds 的统一平台，配合统一层级映射	无论使用何种 PMS，均保持策略一致
带有客房电视的度假村或长住型物业	每房 iPSK 或私有区域网络，外加带宽层级	恢复投屏功能，同时避免设备暴露在不同客房之间
会议流量较大的酒店	住客使用 PMS 验证层级，单独的活动 SSID 拥有独立上限	防止与会代表的流量消耗住客带宽
带有零售单元的混合用途场所	统一平台，住客和购物者使用独立的 SSID 和策略	隔离酒店住客数据与购物者流量

然后按照以下五个步骤操作：

1. 逐个门店列出您资产中的所有 PMS 和接入点厂商。
2. 编写您的层级映射：会员级别对应网速、会话时长和设备数量。
3. 决定忠诚度数据的存储位置，是在 PMS 档案中还是独立的忠诚度引擎中。
4. 在使用不同 PMS 平台的两家门店进行试点，并为会员启用 Passpoint。
5. 推广统一的策略模板，然后按门店测量层级采用率和登录量。

同样的层级逻辑也适用于购物中心和商业街地产，我们已在 零售 页面中进行阐述。有关酒店业的具体细节，请参阅 酒店。

Purple 在 90 个国家的 80,000 多个场所运行宾客 WiFi，每年支持 5 亿用户和登录次数。该平台已通过 ISO 27001 认证、符合 GDPR 标准并获得 B Corp 认证，提供 99.999% 的正常运行时间。

常见问题解答

我们是否需要新的接入点来添加 PMS 集成、Passpoint 或分层带宽？

不需要。Purple 作为云端叠加层运行在您现有的接入点上：Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。PMS 集成和分层无需更换硬件。Passpoint 需要在控制器固件中启用 Hotspot 2.0，因此在计划推广前，请确认您当前版本是否提供支持。

强制门户和 Passpoint 可以同时运行吗？

可以，而且大多数酒店集团应该同时运行两者。Passpoint 为拥有配置文件的宾客提供服务。强制门户为首次入住的宾客以及拒绝使用配置文件的任何人提供服务。一种常见的模式是在首次门户登录结束时提供 Passpoint 配置文件，使门户成为注册入口。这两种途径都可以读取相同的 PMS 数据并分配相同的层级。

酒店宾客 WiFi 平台可以对哪些 PMS 平台进行验证？

任何具有已归档接口或 API 的 PMS。Oracle OPERA 在本地通过 FIAS 连接，或在云端通过 Oracle Hospitality Integration Platform API 连接。Mews 发布了其 Connector API，而 Cloudbeds 为合作伙伴发布了 REST API。请向备选名单中的每家供应商询问其针对您运行的每个 PMS 所使用的路径，并索取该 PMS 上的参考物业信息。

经 PMS 验证的客人 WiFi 登录是否符合 GDPR？

是的，前提是您的设计符合数据最小化要求。查询只需房间号和姓氏或预订参考号即可确认入住。营销数据需要在登录时单独进行有意识的选择性同意，绝不能使用预先打勾的复选框。Purple 符合 GDPR 标准并已获得 ISO 27001 认证。您仍应在处理记录中记录每个数据字段的合法依据。

我们如何在不停机的情况下从现有的客人 WiFi 供应商进行迁移？

按物业逐个迁移，而不是一次性切换。Purple 覆盖在您现有的接入点之上，因此无需彻底替换。在旧配置旁建立新的强制门户配置，并针对实际入住情况测试 PMS 查询。然后，在业务低峰期切换客人 SSID，同时保留旧配置以备回滚。

客户端隔离是否会阻止客人投屏到客房电视？

是的。客户端隔离会阻止 Chromecast 和 AirPlay 所依赖的多播 DNS 发现，因此电视永远不会出现在客人的手机上。关闭隔离可以恢复投屏，但会将每台设备暴露给其他所有客人。请改为通过每间客房的 iPSK 密钥或 Purple 的 Private Area Network 为每间客房使用专用的私有网段。这样客人就只能看到自己的电视，看不到其他任何设备。

酒店客人 WiFi 平台的运行成本由什么决定？

由四项支出决定：平台订阅费用、PMS 合作伙伴条款、带宽和前台工作量。Purple 提供三种方案：Connect、Capture 和 Engage。PMS 供应商按物业设定各自的合作伙伴条款，因此请尽早取得书面确认。分层带宽限制可以顶住高峰负载，并推迟线路升级。Passpoint 消除重复登录，随着时间的推移，可以减少整个物业范围内的前台支持工作。