取代独立的访客 WiFi、RADIUS 和 DNS 过滤供应商：多场所资产的整合理由

当同一处资产需要向三家供应商付费来运行单次连接时，就应当进行整合。访客登录、员工 RADIUS 和 DNS 过滤在 VLAN 映射、身份和日志方面存在重叠，因此故障往往会跨越供应商边界。Purple 可在您现有的接入点上同时运行这三项功能：通过 Purple Access 实现访客登录与云端 RADIUS，通过 Purple Shield 按网络和 VLAN 实现 DNS 过滤。

是否应该将访客 WiFi、RADIUS 和 DNS 过滤整合到单一平台上？

对于大多数多分支机构资产而言，答案是肯定的。访客登录、员工身份验证和 DNS 过滤看似是三款独立产品。但在网络中，它们按顺序针对单次连接生效，并使用共享配置。

具体流程如下：访客接入某个 SSID，接入点会将其重定向至强制门户 - 即接入互联网前显示的登录页面。然后，控制器会向 RADIUS 服务器询问是否允许其接入。RADIUS（在 RFC 2865 中定义）是接入点用于做出该决策的协议。员工设备则通过基于端口的访问控制标准 IEEE 802.1X 使用相同的协议。一旦任一设备上线，每次 DNS 查询都会经过过滤服务。

三家供应商意味着针对单次事件需要面对三份合同、三个控制台、三个支持团队以及三套日志。WiFi 供应商整合的核心价值就在于消除这些冗余。我们的建议：

• 全面整合：适用于单个团队跨 10 个或更多分支机构管理访客和员工 WiFi，且合同可在 18 个月内协调一致的场景。
• 整合并保留一家专业供应商：适用于存在超出 WiFi 接入范围的需求（例如受管笔记本电脑的有线网络状态检查或 TLS 检查）的场景。
• 保持现有技术栈直至续约：适用于提前终止违约金超过剩余租期内可节省的运行成本的场景。

Purple 可以在您现有的接入点上运行所有这三项功能，无需推倒重来。

访客 WiFi、RADIUS 和 DNS 过滤供应商在哪些方面存在重叠？

这些重叠并非营销层面的说辞。它们源于在两处维护的配置、在三处维护的身份信息，以及三者皆会处理的个人数据。

单处资产存在两条 RADIUS 路径

大多数访客平台本身即可充当 RADIUS 服务器。在许多控制器上，外部强制门户流程最终会通过 RADIUS 授权来允许访客接入网络。随后，您的员工网络会运行第二套 RADIUS 服务，这通常是总部的一对服务器或单独采购的云端 RADIUS 合同。

这意味着您需要为 RADIUS 支付两次费用，为每个分支机构维护两套共享密钥，并为两套服务打补丁。借助 Purple，访客 WiFi 和员工身份验证使用相同的云端 RADIUS。每个接入点只需指向单一服务。

重复维护 VLAN 和策略映射

VLAN 即虚拟局域网（virtual LAN），是共享硬件上的逻辑网络分段。RADIUS 可以利用 RFC 3580 中所述的隧道属性，在每条接受消息中返回 VLAN 分配。随后，您的 DNS 过滤供应商会按 VLAN、子网或出口 IP 地址应用策略。

因此，“这是访客网络”与“这是访客策略”之间的关联存在于两个控制台中。当您在一个站点重新划分子网或拆分 VLAN 时，两者必须在同一天更改。如果只更改了其中一个，员工可能会套用访客策略，或者访客完全不受任何过滤限制。

互不相通的三套身份记录

访客平台知晓登录人员身份及其同意的内容。RADIUS 服务知晓通过身份验证的员工身份。DNS 过滤器知晓哪个 IP 地址请求了哪个域名。

它们彼此之间均不共享主键。要回答“拦截此域名时谁在哪个网络上”这个问题，需要导出三次数据。然后，您必须统一三种时间戳格式，并根据 IP 地址和时间进行匹配。而在统一平台上，为 WiFi Analytics 提供支持的登录记录与身份验证及过滤策略集中位于同一处。

同一份个人数据的三个处理者

每家供应商都会处理个人数据：姓名、电子邮件地址、设备 MAC 地址、IP 地址以及请求的域名。根据 UK GDPR 第 28 条规定，每家供应商都需要单独的数据处理协议。根据第 30 条规定，每家都必须记录在您的处理活动记录中。一家访客 WiFi 和 RADIUS 供应商加上一家过滤供应商，意味着单项服务就包含三项记录。

供应商之间的每次转接会产生什么成本？

转接是指工单离开一家供应商的队列并进入另一家供应商队列的任何节点。每次转接都会增加等待时间、重复解释和证据收集的工作量。在采用三家供应商的环境中，以下五种转接情况屡见不鲜：

1. 访客无法访问登录页面。 DNS 过滤器拦截了强制门户所依赖的域名，或操作系统的强制门户检测主机名。门户供应商报告页面正常运行。过滤供应商报告策略正确无误。您的网络团队则需要在两者之间排查并证明故障原因。
2. 员工接入了错误的 VLAN。 RADIUS 返回了非预期的 VLAN，导致 DNS 过滤器对员工设备应用了访客策略。两家供应商共同导致了同一症状。
3. 离职人员仍保留 WiFi 访问权限。 RADIUS 服务未与您的身份提供商绑定，因此已被禁用的账户仍能通过身份验证。故障责任横跨人力资源部门、IT 部门与 RADIUS 供应商。
4. 访客投诉网站被拦截。 排查问题需要登录记录、网络分配信息以及 DNS 日志。这意味着需要从三家供应商处导出三次数据。
5. RADIUS 证书续期导致员工 WiFi 中断。 验证旧服务器证书的设备会拒绝新证书。RADIUS 供应商、您的设备管理团队以及接入点配置均处于该故障路径中。

适用于您自身工单数据的现成分析模型

您不需要参考行业平均水平，因为您的服务台已经掌握了这些数据。筛选 12 个月的 WiFi 工单，找出涉及多个供应商的工单。然后套用以下模型。

以下输入数据仅作说明，并非实际报告结果。请替换为您自己的数据：

• 整个网络资产中每月发生 30 起涉及多个供应商的工单。
• 平均每起工单流转交接 2 次。
• 每次交接耗费 40 分钟工程师时间，包括记录、等待、重新解释和接入电话会议。

计算结果为 30 × 2 × 40 = 2,400 分钟，即每月 40 个工程师小时。一年累计达 480 个小时。在单一 WiFi 平台上，这些跨供应商的交接将不复存在。故障仍然需要修复，但它只存在于一个队列中，并具有唯一的记录。

在突发事件期间，耗时往往比工程师投入的时间更关键。每次交接都会将下一个供应商的响应时间计入您的解决时间 (time-to-resolve)。而您的宾客只能全程等待。

单一平台如何改变您的审计证据？

审计人员通常会针对 WiFi 提出两类问题：服务是否受到受控？供应商是否受到管控？三个供应商意味着第二个问题的答案要增加两倍，同时导致第一个问题的答案变得支离破碎。

ISO/IEC 27001:2022 附录 A 控制措施 5.19 至 5.22 涵盖供应商关系。其中包括供应商协议中的安全性、ICT 供应链以及对供应商服务的监控与审查。每个 WiFi 供应商都在各项控制措施的审查范围内。

PCI DSS v4.0 规范 11.4.5 要求在依赖网络隔离来缩减持卡人数据范围时，必须对隔离控制进行测试。对于零售商或酒店而言，该测试涵盖 RADIUS VLAN 分配以及每个细分网段上的过滤策略。

证据项	三个供应商	Purple 单一平台
供应商安全评估 (ISO 27001 A.5.19 至 A.5.21)	3	1
供应商服务审查 (ISO 27001 A.5.22)	3	1
GDPR 第 28 条数据处理协议	3	1
WiFi 处理记录中注明的处理者	3	1
访问权限审查中的管理控制台	3	1
存储 VLAN 与策略映射关系的系统	2	1
单次事件需要关联分析的日志源	3	1
需收集的证书和认证证明	3 个供应商各一套	Purple 的 ISO 27001 和 Cyber Essentials 证书

Purple 自 2012 年起持续运营，已在 90 多个国家/地区的 80,000 多个活跃场所部署。它已通过 ISO 27001 认证和 Cyber Essentials 认证，符合 GDPR 与 CCPA 标准，且为认证 B Corp。单次供应商评估即可涵盖登录、认证和过滤。当您修改访客 VLAN 的过滤规则时，变更记录仅需涉及一个系统，而不是两个。

三个供应商、单一平台还是混合模式：各自的适用场景

获益最多的网络资产都有一个共同特征：同一团队跨多个场所集中管理访客与员工 WiFi。这适用于 酒店、在每家门店为顾客提供 WiFi 的 零售 连锁店，以及在 列车 上运营乘客 WiFi 的运营商。

多租户场所同样适用。购物中心 WiFi 中的设计要点与独立的访客、租户和员工网段紧密对应，每个网段都拥有独立的过滤策略。

维度	三家供应商	Purple 单一平台	Purple 外加一家保留的专业厂商
合同与续约日期	3 份，通常日期不同	1 份	2 份
针对 WiFi 数据的 GDPR 第 28 条协议	3 份	1 份	2 份
登录故障支持渠道	3 家供应商外加您的网络团队	Purple 外加您的网络团队	Purple 外加您的网络团队
管理控制台	3 个	1 个	2 个
VLAN 与策略映射的位置	分别位于 RADIUS 服务和 DNS 过滤器中	Purple	WiFi 由 Purple 管理，专业厂商管理其自身范围
是否需要更换接入点	否	否	否
每个审计周期的供应商审查	3 次	1 次	2 次
适用场景	退出费用高于剩余运营成本的资产场所	在 10 个以上站点管理访客和员工 WiFi 的单一团队	拥有超出 WiFi 范围的过滤或访问控制需求的资产场所

每种方案的运营成本是多少？

许可费用是显性开支。大部分运营成本隐藏在其他方面。根据以下六个维度建立当前技术栈的三年期概览：

• 许可费用。 三家供应商通常采用不同的计费单位：按站点、按接入点或按设备。在比较前，请先统一折算为每个站点的成本。
• 基础设施。 本地部署的 RADIUS 意味着服务器、操作系统补丁和证书续期。Purple 的云端 RADIUS 则省去了服务器。
• 集成维护。 每家供应商都需要单独的管理员登录凭据、API 连接和设备管理配置文件。
• 供应商管理。 尽职调查、数据处理协议审查和年度服务审查需要重复三倍。计算您的安全和采购团队在每项工作上花费的工时成本。
• 事件处理时间。 结合上述交接模型和您自己的工单数据进行评估。
• 续约周期不一致。 三个续约日期意味着需要跟进三次谈判和三个通知期。

然后将 Purple 的报价与该总额进行对比，并加上迁移工作量以及任何退出费用。硬件无需纳入比较。Purple 与硬件无关，能够以云端覆盖的形式运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。为何您的下一次 WiFi 升级不需要新硬件 对该模式进行了更深入的探讨。

整合有哪些风险，您应如何应对？

集中风险

现在由一家供应商承担访客登录、员工身份验证和过滤功能。如果该供应商出现故障，三项功能将同时失效。但三家供应商并不能消除这种风险。这些服务按顺序运行，因此任何一个环节发生故障，访客都无法上网。

请在尽职调查中评估这一点。Purple 的正常运行时间达 99.999%，每年处理 5 亿用户和登录请求。询问 RADIUS 和 DNS 解析如何进行故障转移，并在您的试点站点测试该机制。

员工设备上的证书信任

PEAP（受保护的 EAP）将用户名和密码封装在 TLS 隧道内。EAP-TLS 使用客户端证书而非密码进行身份验证。采用任一方法的设备在发送凭据前，都会验证 RADIUS 服务器的证书。当 RADIUS 服务器发生变更时，设备必须信任新证书，否则将拒绝连接。

在每个站点切换之前，请通过设备管理推送更新后的 WiFi 配置文件。如何在 iOS 和 macOS 上通过 802.1X 设置企业级 WiFi 涵盖了 Apple 设备的配置文件结构。切换过渡期也是在员工 SSID 上审查 WPA3 的好时机。WPA2 与 WPA3 对比 阐明了相关利弊权衡。

过滤策略对等性

迁移前导出每个网络的每个过滤类别、允许列表和阻止列表。针对每个 VLAN 将各项映射到相应的 Shield 策略。在试点站点对照旧阻止列表测试结果。

与过滤要求的负责人就签收标准达成一致。该负责人可能是安全防范主管、人力资源部或场所执照上指定的责任人。

商业重叠

交错的续约时间意味着您在迁移期间可能需要为两项服务付费。梳理每份合同的期限、通知期和退出费用。如果违约罚金较高，请按续约日期规划迁移顺序。

退出风险

Purple 部署在您自主拥有的硬件上，因此日后退出只需更改控制器配置，无需更换硬件。在签署合同前，请先就数据导出和留存条款达成一致。

任何 DNS 过滤器都无法消除的局限性

DNS 过滤在域名解析层面生效。使用 DNS over HTTPS (RFC 8484) 或硬编码解析器的设备可以绕过任何供应商的 DNS 过滤器。请在防火墙处阻止流向未经批准解析器的出站 DNS 请求。如果您的策略有相关要求，请阻止已知的 DNS over HTTPS 端点。DNS 过滤根据域名作出判断，因此不会检查页面内容。

何时应保留专业供应商？

在 WiFi 访问范围之外的领域保留专业供应商，并整合该范围内的所有内容。以下四种情况支持保留现有供应商或推迟迁移：

• 受管端点需要超越 DNS 层级的控制能力。 如果企业笔记本电脑需要 TLS 检测，或需要离开现场后依然生效的过滤功能，请针对这些端点保留该服务。在您的 WiFi 网络上运行 Purple Shield。
• 有线端口需要基于安全状况的访问控制。 为企业有线端口保留原有的网络访问控制。针对访客和员工 WiFi 运行 Purple Access。
• 临床或运营设备基于专用访问控制运行。 在 医疗保健 领域，保留临床设备原有的控制措施。将患者、访客和员工 WiFi 整合至 Purple。
• 退出费用高于节省金额。 如果违约罚金超过了剩余期限内可消除的运营成本，请维持现状直至续约，然后再执行迁移。

指定的法定内容过滤标准只是一项验证环节，而不是固步自封的理由。例如，英格兰的学校遵循《在教育中保护儿童安全》（Keeping Children Safe in Education）指南，该指南要求进行适当的过滤和监控。在您的试点地点对照该要求验证 Shield 的类别，然后进行整合。

整合在实践中的具体表现

这些是基于既定假设构建的实际案例。它们展示了整合的量化逻辑，而非特定场所报告的实际结果。

酒店业：采用 Cisco Meraki 的 60 家酒店集团

**现状。**该集团采用一家访客 WiFi 供应商负责登录，并配备两台总公司 RADIUS 服务器负责员工 PEAP。第三家供应商负责在访客 VLAN 上过滤 DNS。这三份合同分别在三个不同的季度续约。

**应对方案。**Purple Access 在现有 Meraki 接入点上取代访客登录和员工 RADIUS。Purple Shield 接管访客和员工 VLAN 的过滤工作。分批推广以 6 个区域批次进行，每批涵盖 10 家酒店。在每批推广之前，员工 WiFi 配置文件都会通过设备管理重新下发。

**可衡量的成效。**合同数量从三份减至一份，第 28 条数据处理协议（Article 28 agreement）从三份减至一份。两台总公司 RADIUS 服务器退役。按每月 30 张涉及多家供应商的工单计算，上述交接模式每年可节省 480 个工程师工时。

公共部门：管辖 25 个图书馆和休闲中心的市议会

**现状。**供访客使用的公共 WiFi 必须过滤成人和非法内容。员工 WiFi 通过另一家 RADIUS 供应商在 802.1X 上对照 Microsoft Entra ID 进行身份验证。第三家供应商按每个站点的出口 IP 过滤 DNS。年度审计需要这三家供应商全部提供合规证明。

**应对方案。**Purple Access 负责访客登录和员工云端 RADIUS。Purple 的基于身份的网络（Identity-Based Networks）将员工访问权限与 Microsoft Entra ID 关联，因此入职、调岗和离职人员的权限会自动同步其中的变更。Shield 在公共 VLAN 上实施严格策略，并在员工 VLAN 上实施单独策略。

**可衡量的成效。**针对 WiFi 服务的供应商评估从三次减至一次。过滤投诉的日志来源从三个减至一个。VLAN 与策略的映射从跨两个系统的 50 个条目缩减为单一系统中的 25 个站点。

大型活动：保留一家专业供应商的体育场和会议场馆

**现状。**该场馆从三家供应商处分别采购球迷 WiFi、员工 RADIUS 和 DNS 过滤服务。集团 IT 部门还针对托管笔记本电脑运行带有 TLS 检测的安全 Web 网关。

**应对方案。**Purple Access 覆盖球迷与与会者登录以及员工 RADIUS。Shield 过滤球迷和员工 WiFi VLAN。安全 Web 网关依然保留，用于场馆内外托管笔记本电脑的防护。

**可衡量的成效。**WiFi 合同从三份减至一份。整个场馆的安全相关合同从四份减至两份。

如何针对您的资产规模做出决策

首先梳理您的合同清单和工单数据，然后在下表中找到符合您情况的一行。

您的现状	建议
所有三份合同均在 18 个月内到期	通过单一项目整合到 Purple：先在一个试点站点实施，然后分区域逐步推进
合同在两到三年内分批到期	在各项功能续约时分别迁移至 Purple，优先迁移访客登录和访客过滤
一个团队在 10 多个站点管理访客和员工 WiFi	整合到 Purple；交接与审计层面的成本节约随站点数量增加而扩大
受管笔记本电脑需要 TLS 检查或离线过滤	采用混合模式：保留笔记本电脑的端点服务，在 WiFi VLAN 上运行 Purple Shield
有线端口需要基于安全状态的访问控制	采用混合模式：保留有线访问控制，运行 Purple Access 进行访客和员工 WiFi 管理
提前终止费用高于剩余期限的运行成本	维持现状直至续约，随后整合到 Purple
过滤必须符合指定的法定标准	在试点站点验证 Shield 类别，随后进行整合

无论适用哪种方案，请先针对您自己 12 个月的工单运行交接模型。该数据加上审计证据表，通常即可充分论证将 DNS 过滤和访客 WiFi 统一合并为单一合同的业务可行性。

常见问题解答

Purple 是否兼容我们现有的接入点？

是的。Purple 与硬件无关，能够以云端叠加层的形式在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上运行。您只需将 SSID 指向 Purple 即可实现访客登录和 RADIUS，无需更换接入点。将三家供应商整合到 Purple 只需在控制器或云端仪表盘上更改配置，并非硬件工程。

Purple 能否替换我们当前用于员工 WiFi 的 RADIUS 服务器？

可以。Purple Access 包含云端 RADIUS，可跨您现有的接入点通过 IEEE 802.1X 执行员工身份验证，从而让本地 RADIUS 服务器正式退役。员工访问权限与 Microsoft Entra ID、Okta 或 Google Workspace 关联，因此入职、调岗和离职人员权限会同步那里的更改。在每个站点迁移之前，请重新下发 WiFi 配置文件，以便员工设备信任新的 RADIUS 服务器证书。

DNS 过滤如何与访客 WiFi 一起授权许可？

Purple Shield 是您 Purple 方案的安全附加组件，因此 DNS 过滤与访客登录和 RADIUS 属于同一合同。Shield 按网络和按 VLAN 应用过滤。因此，您的访客、员工和公共网络可以在每个站点执行不同的策略。您只需管理一个续约日期和一次供应商审查，无需维护多份独立协议。

我们能否逐个迁移供应商，而不是同时迁移全部三家？

可以，而且大多数园区资产都应采用这种方式。建议先从最先续约的合同开始，或从风险最低的访客登录和访客 VLAN 过滤入手。待设备配置文件准备就绪后，再迁移员工 RADIUS。在区域分批推进之前，先在试点站点完成每个阶段。在旧供应商正式退出前，请将 VLAN 与策略的映射关系集中记录在一处。

将所有内容交由单一供应商处理是否会增加停机风险？

这会使依赖高度集中，因此需要直接对其进行评估。Purple 在 80,000 多个实际运营场所实现 99.999% 的正常运行时间，每年处理 5 亿用户及登录请求。请在尽职调查期间索取 RADIUS 和 DNS 故障转移设计方案，并在您的试点现场进行测试。使用三家供应商各有其风险：其中任何一家出现故障，都会导致访客无法上网。

Purple 是否符合针对访客和员工数据的 GDPR 规定？

是的。Purple 符合 GDPR 和 CCPA 规定，并已通过 ISO 27001 和 Cyber Essentials 认证。访客登录采用自主选择的选择加入机制，因此营销许可均经过明确授权并记录在案。整合至 Purple 可将三份第 28 条数据处理协议缩减为一份。这样，您的 WiFi 处理记录只需列出一个负责登录、身份验证和过滤数据的数据处理方。

在什么情况下保留现有的过滤服务商更为合理？

仅针对 WiFi 访问权限之外的业务范围保留专业服务商。如果受管笔记本电脑需要 TLS 检测，或者需要离开现场后依然有效的过滤服务，请针对这些终端保留该服务。在您的 WiFi 网络上运行 Purple Shield。如果提前解约费用超过了您能够省去的运营成本，建议在续约时再进行迁移。对于按网络和按 VLAN 实施的访客及员工 WiFi 过滤，Shield 能够全面满足需求。