Juniper Mist 访客 WiFi 门户对比外部强制门户覆盖方案：多场地比较

当站点仅需点击一键登录、密码、短信或社交账号登录时，使用原生 Juniper Mist 访客门户即可。当您需要 PMS 查询、会员同步或获得授权的甲方数据时，请选择外部强制门户叠加层。叠加层还可在 Mist 和旧版控制器之间为您提供统一的访客视图，并通过 RADIUS 计费将会话数据传回。

您应该使用原生 Juniper Mist 门户还是外部强制门户？

强制门户是访客在网络授予互联网访问权限之前必须通过的网页。Juniper Mist 在每个 WLAN 中都内置了一个强制门户，可以通过与无线电相同的控制面板进行配置。它支持点击同意条款、密码、电子邮件、短信、社交账号和赞助商登录。如果站点仅需要完成条款接受步骤，原生门户即可满足需求。

具体选择取决于访客连接后需要做什么：

• 营销团队可能希望在 CRM 中获取获得授权的电子邮件地址。
• 前台可能希望针对物业管理系统 (PMS) 进行房号查询。
• 会员团队可能希望在会员到达时对其进行识别。

原生门户用于授权访问。它并非专为这些集成而设计。

外部强制门户叠加层运行于 Mist 之上并接管登录页面。Mist 仍负责运行无线电、WLAN 以及接入点处的策略执行。叠加层则掌控身份、授权记录和数据流。Purple 通过这种方式在 90 个国家/地区的 80,000 多个实时场所中将 Guest WiFi 作为云端叠加层运行（数据来源于 Purple 内部数据）。

多站点资产构成了第三个考量因素。很少有集团能一次性将所有场所迁移至 Mist，因此 Mist 会在数月内与旧版控制器共存。只有与硬件无关的叠加层才能在这两者之间保持统一的访客记录。

原生 Mist 门户与外部叠加层究竟有何区别？

这两种选项都会在访客面前呈现一个带有品牌标识的页面。真正的区别在于硬件覆盖范围、集成能力以及后续的数据处理能力。

功能	原生 Juniper Mist 门户	外部强制门户叠加层 (Purple)
登录方式	点击一键登录、密码、电子邮件、短信、社交账号、赞助商登录	点击一键登录、电子邮件、短信、社交账号、自定义数据收集表单、PMS 房间查询
硬件覆盖	仅限 Juniper Mist 接入点	Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme、Fortinet
PMS 查询	未包含；需针对 Mist API 进行自定义开发	登录时针对 PMS 核对房号和姓氏
CRM 和会员同步	通过 Mist API 或 Webhook 导出；由您构建和维护连接器	与 CRM 和营销平台集成
授权记录	登录时接受条款	按用途记录明确选择的同意选项
访客分析	以网络为中心：客户端体验、连接成功率、客户端数量	以访客为中心：停留时间、重复访问次数、每个场所的同意率
多场所控制	组织、场所组或场所层级的 WLAN 模板	跨每个场所和厂商的统一门户与报告层
会话数据源	Mist 仪表板和 API	每条会话的 RADIUS 记账 (RFC 2866)
额外许可	除 Mist 接入点订阅外无需其他许可	每个场所的 Purple 订阅：Connect、Capture 或 Engage

知情同意与第一方数据

GDPR 第 7 条要求您能证明每个人均已给予同意。该条款还要求同意必须与其他事项区分开来，因此仅接受条款并不能作为营销同意的证据。在英国，《隐私与电子通信法规》(PECR) 针对电子邮件营销增加了额外规则。Mist 的原生门户会记录访客已接受条款并获得授权。Purple 则按用途记录自主选择的同意情况，以便您能够证明哪些访客同意了哪些内容。

PMS 查询与会员同步

酒店通常需要通过房间号和姓氏核对来解锁高级带宽。这需要在登录时进行实时 PMS 查询。Mist 的原生门户没有 PMS 连接器，因此您需要基于 Mist API 自行构建一个。Purple 在门户内部运行查询并应用匹配的访问层级。同样的模式可以将登录与会员或 CRM 档案相匹配。指南 酒店访客 WiFi 平台：PMS 集成、Passpoint 和分级带宽对比 深入涵盖了 PMS 方面的内容。

跨厂商报告

Mist 分析回答了一个问题：WiFi 是否正常工作？访客分析则解答不同的问题。访客停留多长时间、他们多久返回一次，以及哪些场所成功将登录转化为同意营销？此外，Mist 数据仅限于 Mist 设施的边缘。在 WiFi 分析 中，无论采用何种硬件，叠加层都能为每个场所报告相同的指标。

何时选择原生 Juniper Mist 门户才是明智之举？

当满足以下所有条件时，请选择原生门户：

• 范围内的每个场所都运行 Juniper Mist，或在您需要联合报告之前将会运行。
  - 需求仅为一个接受步骤，例如可接受使用策略。
  - 没有人计划通过登录数据向访客开展营销。
  - 路线图中没有 PMS、会员或 CRM 集成计划。
  - 赞助或口令访问已能覆盖承包商和来访员工。

在这种情况下，叠加层只会增加许可费用和依赖关系，而无法带来回报。请保留原生门户并将预算用于扩大覆盖范围。

实例场景：拥有 30 个分馆的图书馆服务系统

某个县级图书馆服务系统在 30 个分馆中将停产的控制器替换为 Juniper Mist。其对访客的唯一要求是访客接受可接受使用策略，并在防火墙处进行内容过滤。团队在组织级 WLAN 模板中构建了一个原生门户，并将其分配给每个分馆。

最终结果是仅需一套门户配置（而非 30 套），且无需购买额外许可证。各分店的门户与接入点更换在同一个变更窗口内同步上线。后来服务团队需要了解每家分店的访客数量时，Mist 的客户端计数直接提供了答案。

何时选择外置强制门户叠加方案才是明智之举？

满足以下任一条件时，请选择叠加方案：

• 您需要将获得同意的第一方数据同步至 CRM 或营销平台。
• 前台需要查询 PMS，或需要在登录时识别忠诚度会员。
• 您的网络资产包含 Mist 与其他厂商设备的混合部署（无论当下还是迁移期间）。
• 您需要向营销部门、运营部门或加盟委员会报告跨场所的访客行为。
• 您希望回头客无需通过门户即可通过 OpenRoaming 重新连接。

OpenRoaming 是基于 Passpoint (Hotspot 2.0) 构建的无线宽带联盟 (Wireless Broadband Alliance) 联合体。Passpoint 允许设备使用已存储的凭据自动加入网络。Purple 在支持强制门户的同时也支持 OpenRoaming。

叠加模式非常适合需要基于 PMS 提供分级接入的 酒店 以及拥有忠诚度计划的 零售 连锁企业。它同样适用于面向患者和访客的 医疗 机构。列车 运营商也符合条件，因为车站网络与车载网络很少使用同一个厂商的设备。

实际场景案例：处于迁移阶段的 40 家酒店集团

一家拥有 40 家酒店的集团计划在 18 个月内从传统控制器迁移至 Juniper Mist。该集团希望通过 PMS 查询来提供高阶带宽分级，并统一查看回头客数据。集团首先在其传统网络资产上部署了 Purple，每家酒店对应一个门户。随着每家酒店完成切换，其 Mist WLAN 模板会将访客重定向至同一个门户。

最终结果是在 40 家酒店中仅应用了一套门户配置，而不是开展两次平行的建设。访客档案在每次切换中都得到了无缝延续。在整个迁移过程中，营销部门通过一个仪表板即可获取整个集团的重复入住报告。

实际场景案例：拥有 120 家门店的服装连锁企业

一家服装连锁企业在其 120 家门店中运行带社交登录功能的 Mist 原生门户。营销部门希望将登录数据与忠诚度档案进行匹配，并获取符合 GDPR 规范的可举证许可。网络团队修改了一个组织级别的 WLAN 模板，将购物者重定向至 Purple，并添加了围墙花园 (walled garden) 条目。

最终结果是仅需编辑一次模板，即可替代 120 个站点的逐一变更。每一个新增的许可都与其购物者选择的目的共同存储。门店团队未察觉到 SSID 或无线射频发生任何变化。

如何针对外置强制门户配置 Mist WLAN？

网络端的变更非常小。大部分精力集中在门户设计和集成测试上。请从 Purple 支持中心的 Purple 与 Juniper Mist 集成文章中获取准确的字段值、服务器地址和共享密钥。请将这些信息与 Juniper 的 Mist 文档进行交叉核对，切勿直接从其他部署中复制参数值。

从 WLAN 重定向访客

在 WLAN 的访客门户设置中，用转发至外部门户的选项替换原生门户。输入来自 Purple 集成文章的门户 URL。Mist 会在重定向中附加标识符，包括客户端和接入点的 MAC 地址。这些标识符负责告知门户连接的访客是谁以及连接位置。Mist 的外部门户设置还定义了门户如何告知接入点放行访客。请使用 Purple 文章中指定的方法。

构建围墙花园 (Walled Garden)

围墙花园是访客在通过身份验证前可以访问的目的地列表。Mist 在 WLAN 上将其保存为允许的主机名和子网。它必须包含门户域名本身，否则登录页面将永远无法加载。请添加社交登录背后的每个身份提供者，以及页面使用的任何支付网关或内容分发网络。Purple 在其集成文章中发布了所需的所有域名。遗漏条目通常会导致登录页面显示空白或陷入死循环。

将 RADIUS 身份验证和计费指向覆盖网络

RADIUS 在 RFC 2865 中定义，是接入点用来询问服务器是否准入设备的协议。其计费扩展协议 RFC 2866 会在每个会话开始、更新和停止时报告。请将 Purple 的身份验证和计费服务器精确按照文章中的列表添加到 WLAN 中。按照 Purple 推荐的时间间隔启用过渡计费更新。

计费记录在 Calling-Station-Id 属性中包含会话时长、数据流量和客户端 MAC 地址。该数据流可为驻留时间和重复访问报告提供支持。在 RADIUS 跨越公网的地方，使用 TLS 上的 RADIUS (RadSec, RFC 6614) 对交互进行加密。

按模板推行，而非按站点推行

Mist 可在组织、站点组或站点级别应用 WLAN 模板。只需构建一次外部门户 WLAN，将其分配给试点站点，然后再扩大分配范围。按区域或品牌划分站点组可让您分步推进上线，并能一步完成回滚。请保持 SSID 名称不变，以便再次访问的设备仍能识别该网络。

在每个操作系统上进行测试

iOS、Android、Windows 和 macOS 均以各自的方式检测强制主页 (Captive Portal)。大多数系统都会在受限的微型浏览器中打开登录页面。请在试点站点上测试每个平台，包括社交登录和任何 PMS 查询。然后在扩大模板应用范围前，确认计费开始和停止数据已成功发送至 Purple。

Mist Access Assurance 在访客入网中扮演什么角色？

Juniper Mist Access Assurance 是 Mist 的云网络访问控制服务。它使用基于端口的访问控制标准 IEEE 802.1X 来验证设备。不支持 802.1X 的设备则使用 MAC 身份验证旁路 (MAB)。身份信息来自 Microsoft Entra ID、Okta 或 Google Workspace。这非常适合员工、受管笔记本电脑和物联网 (IoT) 设备。访客入网是一项完全不同的工作。访客使用的是不受管理的设备，且不具备企业身份。Access Assurance 并非旨在用于收集营销数据或获取同意，因此许多场所会同时运行这两者。Access Assurance 负责保护员工 SSID，而覆盖式门户则负责运行访客 SSID。BYOD WiFi 入网：在酒店和零售场所管理不受管理的设备 涵盖了不受管理设备方面的相关内容。长期居住的访客和居民需要私有设备组。针对此类人群，Purple 提供了 SecurePass 和 iPSK（身份预共享密钥），为每位用户分配独有的 WiFi 密码。

在迁移至 Juniper Mist 期间，如何保持访客分析数据的统一？

分阶段迁移的风险在于记录出现割裂。旧版站点将访客记录在一个门户中，而 Mist 站点记录在另一个门户中，导致访问过这两类站点的访客被重复计算了两次。同意记录最终分散在两个措辞不同的系统中。每次切换时，重复访问的数据都会重置。

遵循以下四条规则可防止该问题发生：

1. 在部署第一个 Mist 站点之前部署覆盖式门户。 Purple 支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。如果您现有的旧版硬件在该列表中，单一个平台即可覆盖这两类网络环境。
2. 跨两类网络环境使用统一的门户和统一的 SSID 名称。 这样每个 Mist 站点都会指向访客已熟悉的门户。
3. 将档案与身份关联，而非设备 MAC 地址。 Apple 在 iOS 14 中引入了私有地址，且 Android 10 默认对 MAC 地址进行随机化。与登录身份绑定的档案可以在此机制下保留；而与 MAC 地址绑定的档案则无法保留。
4. 在报告中按硬件为每个场所打上标签。 在切换前对登录量、知情同意率和停留时间建立基线，并在切换后进行对比。某个站点的指标下降通常指向围墙花园或模板错误。

这种方法使硬件不再成为获取访客数据关键路径上的瓶颈。为什么您的下一次 WiFi 升级不需要新硬件 探讨了相同的原理。

跨多个站点运行每种选项的成本是多少？

许可成本是显性开支。集成开发和单站点管理费用则是隐性开支。

成本项目	原生 Juniper Mist 门户	外部强制门户覆盖 (Purple)
门户许可	包含在您的 Mist 接入点订阅中	每个场所的 Purple 订阅：Connect、Capture 或 Engage
短信登录	通过您自己的短信服务商提供商账户（例如 Twilio）计费	在 Purple 平台内配置
部署所需的网络变更	在 WLAN 模板内构建门户	编辑一次 WLAN 模板，并添加围墙花园与 RADIUS 条目
PMS 或忠诚度计划集成	针对 Mist API 进行定制开发，由内部自行维护	在平台内配置
营销同意	独立的同意工具或手动流程	按用途记录自主选择的知情同意
混合厂商设备环境	迁移结束前在旧版硬件上运行第二个门户	涵盖所有八家受支持厂商的统一门户
添加场馆	分配模板	分配模板并在 Purple 中添加场馆

原生门户看起来免费是因为许可证免费。但当营销团队索取 CRM 数据时，成本就会显现。需要有人构建 PMS 连接器，并在每次 API 变更时进行维护。在混合设备环境中，在最后一个站点完成迁移之前，您还需要运行并对齐第二个门户。

Purple 的平台运行正常率达 99.999%，每年处理 5 亿用户和登录量（来自 Purple 自有数据）。Purple 已获得 ISO 27001、GDPR、CCPA、Cyber Essentials 和 B Corp 认证。请将这些与内部构建和确保相同集成安全性的成本进行权衡。

您如何为自己的设备环境做出决策？

将您的具体情况与建议相匹配：

您的具体情况	建议	原因
全 Mist 设备环境，仅需确认步骤，无需营销使用	原生 Mist 门户	无需增加许可证费用即可满足需求
全 Mist 设备环境，营销团队需要已获得同意的电子邮件	外部叠加层	按目的保存同意证据和 CRM 同步
需要房间号查询或分级带宽的酒店	外部叠加层	PMS 查询在门户内部运行
从旧版控制器逐步迁移到 Mist	在第一个 Mist 站点之前部署叠加层	跨两个设备环境共享统一的访客记录
混合厂商且无迁移计划	外部叠加层	涵盖所有受支持硬件的统一门户
员工和受管设备	结合 802.1X 的 Mist Access Assurance	身份识别来自 Microsoft Entra ID、Okta 或 Google Workspace
频繁有回头客的场馆	结合 OpenRoaming 的叠加层	再次访问的设备会自动重新连接

本季度只需三个行动即可确定方案。首先，按厂商和计划迁移日期列出每个场馆。其次，询问营销和运营团队他们在 12 个月内对访客数据有何需求。第三，在单个 Mist 站点试点叠加层，并将登录率和同意率与基线进行比较。

常见问题

Purple 是否适用于 Juniper Mist 无线接入点？

是的，Purple 作为云叠加层运行在 Juniper Mist 上，无需新增硬件。您只需将访客 WLAN 切换为转发至 Purple 的强制门户，并将 Purple 的域名添加到围墙花园中。然后将 RADIUS 认证和计费指向 Purple。Mist 继续运行射频和 WLAN。Purple 还支持 Cisco Meraki、HPE Aruba、Ruckus、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet，因此混合设备环境可以共享统一门户。

使用外部强制门户是否需要 Mist Access Assurance？

不，外部强制门户是通过 WLAN 的访客门户和 RADIUS 设置工作的，无需 Access Assurance。Access Assurance 是 Mist 的云网络访问控制服务，适用于 802.1X 和 MAB 身份验证。它旨在服务员工、托管设备和物联网。许多企业在员工 SSID 上运行 Access Assurance，并在访客 SSID 上运行覆盖门户。购买它适用于员工身份识别，而非访客数据捕获。

我们能否在某些场所保留原生 Mist 门户，而在其他场所使用 Purple？

可以，因为 Mist 会按场所或场所组分配 WLAN 模板。您可以在后台场所保留原生门户，并将面向访客的场所转发至 Purple。权衡之处在于报表呈现。原生门户场所上的访客不会出现在 Purple 的访客分析或同意记录中。如果您希望统一查看常客数据，请将所有面向访客的场所放在同一个门户上。

将 Mist 网络迁移到外部门户需要多长时间？

网络变更包括一个 WLAN 模板编辑，加上围墙花园（walled garden）和 RADIUS 条目。大部分工作集中在门户设计、PMS 或 CRM 集成，以及在 iOS、Android、Windows 和 macOS 上的测试。在一个场所进行试点，确认计费记录正常到达，然后按场所组扩大模板应用。由于模板跨场所适用，因此 10 个场所和 200 个场所所需的网络变更量相同。

外部强制门户如何处理 GDPR 同意？

Purple 会在登录时按用途记录自主选择的同意，因此您可以按照 GDPR 第 7 条的要求展示合规证明。营销同意与使用条款的接受保持独立。访客数据仍属于第一方数据，您可以决定由哪个 CRM 或营销平台接收该数据。Purple 已通过 ISO 27001、GDPR、CCPA、Cyber Essentials 和 B Corp 认证，可为您的合规性审查提供支持。

当场所从旧版控制器迁移到 Mist 时，我们会丢失访客历史记录吗？

不会，前提是在第一个场所切换之前就已经部署了覆盖门户。将旧版和 Mist WLAN 指向同一个 Purple 门户，并保持 SSID 名称不变。基于登录身份建立的档案可以识别出任一网络中的常客。在报表中按硬件对场所进行标记，以便您找出切换后登录率下降的场所。

MAC 地址随机化会破坏 Mist 上的访客分析吗？

它会破坏仅以 MAC 地址为键值的分析，但不会破坏以登录身份为键值的档案。iOS 14 引入了专用地址，而 Android 10 默认对 MAC 地址进行随机化。结果，一台设备可能会显示为多个设备。覆盖门户会将每个会话与访客提供的电子邮件或登录信息绑定。然后，RADIUS 计费会将会话时长和数据流量附加到该档案中。