体育场馆访客 WiFi 平台：高密度入网与赞助商激活对比

大多数体育场和竞技场采用混合模式可以获得最佳效果。季票持有者通过俱乐部应用接收 Passpoint 配置文件，无需登录界面即可自动建立加密连接。临时访客则使用轻量级的强制门户。按峰值并发设备数量而非座位数配置 RADIUS 和 DHCP 的规模。通过事件驱动的 API，将获得授权的球迷数据传输至票务和赞助商 CRM 系统。

您应该选择哪种体育场馆访客 WiFi 平台方案？

任何体育场馆访客 WiFi 平台对比最终都归结为三种架构：

• 开放或加密开放网络上的强制门户。
• 通过俱乐部应用分发的 Passpoint 配置文件。
• 在相同接入点上同时运行两者的混合模式。

如果您拥有季票持有者群体和俱乐部应用，请选择混合模式。

首先明确一些定义。强制门户是设备在授权访问互联网之前显示的网页。在门户页面上，球迷可以登录、注册或接受条款。Passpoint 也称为 Hotspot 2.0，是基于 IEEE 802.11u 构建的 WiFi Alliance 认证。它允许设备使用存储在配置文件中的凭据自动发现并加入网络。Passpoint 使用基于端口的访问控制标准 IEEE 802.1X 进行身份验证。802.1X 根据 RADIUS 服务器（RFC 2865 中定义的远程身份验证拨号用户服务）对每台设备进行核验。

架构的选择会影响三个方面：

• 当中场休息时 20,000 台手机同时解锁，网络的表现情况。
• 您捕获的第一方数据量。
• 您可以售出的赞助商广告位数量。

每种架构在上述某一方面表现突出，这也正是混合模式通常脱颖而出的原因。

Purple 作为独立于硬件的云叠加层，可同时运行这三种模式。它支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 接入点。无需拆除和替换原有设备，正如我们在 为什么您的下一次 WiFi 升级不需要新硬件 一文中所解释的那样。Purple 在 90 个国家的 80,000 多个场所中，每年拥有 5 亿用户和登录量。

强制门户、Passpoint 和混合平台的真正区别

	强制门户	通过俱乐部应用使用 Passpoint	混合模式
连接对象	所有带浏览器的入场者	安装应用并接受配置文件的球迷	这两类群体，使用独立的 SSID
入网步骤	连接 SSID，门户打开，登录或接受条款	一次性安装配置文件后无需任何步骤	应用球迷无需任何步骤，其他人使用门户
空口加密	开放式 SSID 无加密，OWE 为每台设备加密	WPA2-Enterprise 或 WPA3-Enterprise	应用球迷使用企业级加密，门户使用开放式或 OWE
中场休息身份验证负载	门户页面加载加上每次登录一次 RADIUS 交互	每台设备进行多步骤 802.1X 交互，无页面加载	门户负载按使用 Passpoint 的球迷比例降低
登录时收集的第一方数据	姓名、电子邮件、同意选项、社交资料（若提供）	已从应用账户中获知的身份信息	会员使用应用资料，访客使用门户数据
赞助商展示界面	登录页面及登录后跳转页面	仅限应用内展示，无登录页面	访客使用登录页面，会员使用应用内展示
标准	RFC 8908 与 RFC 8910 强制门户 API，RFC 8110 OWE	IEEE 802.11u、IEEE 802.1X、EAP-TLS 或 EAP-TTLS	包含上述所有标准
适用对象	未推出俱乐部应用的演唱会和会议场馆	拥有活跃应用及会员专区的俱乐部	拥有季票粉丝基础和单次访客的俱乐部

入网引导体验

在强制门户上，每位球迷都会在连接的瞬间与您的品牌互动。这对于体育场馆的访客 WiFi 入网引导至关重要。手机的强制网络助手 (CNA) 是检测到门户时自动打开的微型浏览器 iOS 和 Android。在 Passpoint 网络上，甚至在球迷从口袋里拿出手机之前，设备就已经完成连接。

安全模型

开放的 SSID 会通过无线电传输未经加密的流量。OWE（Opportunistic Wireless Encryption，RFC 8110，被 WiFi 联盟认证为 Enhanced Open）填补了这一漏洞。它可以在无需密码的情况下对每台设备的流量进行加密。Passpoint 则更进一步：它使用 WPA2-Enterprise 或 WPA3-Enterprise，并通过 EAP 方法进行 802.1X 身份验证。EAP-TLS 使用证书进行身份验证。EAP-TTLS 则将用户名和密码封装在 TLS 隧道中。

数据与赞助商模型

这是大多数供应商容易忽略的权衡考量。Passpoint 移除了登录页面，因此也移除了您最瞩目的赞助商展示位置。仅使用门户的设计可以最大化赞助商曝光率，但会导致您最忠实的球迷在每个比赛日都需要重新登录。混合模式则能为各类受众提供恰到好处的体验。

体育馆 WiFi 平台如何应对半场休息时的身份验证高峰？

体育场网络很少因总容量不足而崩溃。它崩溃的原因往往是数千台设备在相同的 5 分钟内同时请求身份验证、分配 IP 地址和加载门户页面。因此，架构设计必须针对这种高并发场景进行优化。

实际演练场景：模拟 40,000 人容量体育馆的半场高峰

这是一个规划模型，并非实测报告数据。请根据您自身的登录数据调整假设条件。

场景。 一家足球俱乐部运营着一座可容纳 40,000 人的体育场。假设 60% 的观众尝试在某个时段连接，即 24,000 台设备。假设其中 30% 的设备在半场休息的前 5 分钟内首次加入。这意味着在 300 秒内会有 7,200 次新登录，即每秒 24 次。

问题所在。 假设会话超时时间设置为 60 分钟。在赛前入场时连接的球迷将在半场休息前后过期并重新进行身份验证。在最极端的情况下，所有 24,000 台设备都会在该时间段内请求平台：达到每秒 80 次身份验证。

优化措施：

• 将会话超时时间设置为长于整场赛事的时间（从检票口开放到观众散场），使已连接的球迷永远不会在比赛中途重新进行身份验证。
• 通过俱乐部应用程序将 35% 连接的球迷转移至 Passpoint。

结果。 中场休息时的峰值从每秒 80 次认证降至 24 次，降低了 70%。门户页面加载次数从 7,200 次降至 4,680 次，因为使用 Passpoint 的球迷完全跳过了该页面。Passpoint 球迷仍会发送 RADIUS 请求。这些请求不包含 Web 流量，且漫游密钥可防止其重复发送。

保持 RADIUS 快速并远离排队

RADIUS 在 UDP 上运行。当服务器响应缓慢时，接入点会重新传输，重传会增加导致延迟的负载。RFC 5080 记录了这种行为。四种设计选择可防止这种恶性循环：

• 让缓慢的系统远离认证路径。 切勿在登录期间同步调用 CRM 或票务系统。先接受连接，然后再异步写入下游系统。
• 使用快速漫游。 IEEE 802.11r 快速过渡和 PMK 缓存允许设备在接入点之间移动，而无需进行完整的 802.1X 交换。在球迷于中场休息时走向通道的场馆中，这可以减少数千次重复请求。
• 控制计费流量。 RADIUS 计费 (RFC 2866) 按固定间隔发送临时更新。在 24,000 个会话中，较短的间隔会在最不恰当的时机增加持续负载。
• 水平扩展 RADIUS 层。 Purple 的云端 RADIUS 运行在可用性达 99.999% 的基础设施上（Purple 自行提供的数据）。

在发生前阻止 DHCP 耗尽

DHCP（动态主机配置协议，RFC 2131）在设定的租约时间内为每台设备分配一个 IP 地址。手机在走出覆盖范围时极少释放其租约。因此，地址会保持锁定状态，直到租约到期。

计算演练案例：一天举办两场演出的体育馆

这是一个基于地址计算的规划模型，而非已报告的实际结果。

情况。 一个可容纳 15,000 人的体育馆举办日场和夜场两场观众不同的演出。假设每场演出有 70% 的观众连接，即每场 10,500 台设备。访客网络使用 /18 地址池，包含 16,382 个可用地址。

问题。 在 24 小时租约下，日场的地址会一直占用至夜场演出。当夜场观众到达 5,882 台设备时，地址池就会耗尽。晚到的观众将无法获取地址和连接。

采取的措施。 团队将租约时间缩短至小于两场演出之间的间隔。

结果。 地址池现在仅需在峰值时覆盖一场演出的观众。同一个 /18 地址池可服务 10,500 台设备，并拥有 5,882 个地址的余量。

双栈 IPv6 进一步缓解了 IPv4 的压力，因为设备可以通过 SLAAC (RFC 4862) 自行配置地址。在依赖 IPv6 之前，请确认您的门户和围墙花园（walled garden）支持 IPv6。

保持门户轻量化

高密度场馆的强制门户应在拥堵的无线电环境中快速加载。以下四个步骤有所帮助：

• 通过内容分发网络提供门户资源。
• 保持图像体积小巧。
• 仅将您实际提供的社交登录域名列入白名单。
• 通过强制门户 API（RFC 8910 和 RFC 8908）通告门户 URL。支持的设备无需 HTTP 拦截，即可直接定位门户。

何时选择高密度场所强制门户

当大多数受众仅到访一次时，请选择仅门户的设计。音乐会、会议和巡演活动符合这种模式。这些活动每晚都会迎来不同的观众，且大多数参加者绝不会安装俱乐部应用。

门户也是您最强大的赞助商资产。每一位连接网络的参加者都会看到 Landing 页面。您可以在登录后将他们重定向至合作伙伴的优惠页面。Purple 的 Guest WiFi 会通过自主选择知情同意（每个目的均设有单独的未勾选复选框），在此时捕获合规的一方数据。

同样的登录数据会同步至 WiFi Analytics。它能够测量大厅、酒吧和周边商品区域的停留时间，因此您可以凭借真实的存在数据向赞助商销售广告位。

在过度模式下，将门户运行于 OWE 上，并与开放式 SSID 并行。支持 OWE 的设备将通过加密连接，而旧设备仍可加入。这消除了门户与 Passpoint 安全性之间的大部分差距，且无需为球迷增加额外步骤。

门户的应用范围还可以延伸至场馆之外。如果您的体育场内部设有酒店，相同的身份信息可以延续至客房，如我们的 Hotels 页面所述。俱乐部旗舰店则遵循我们 Retail 页面上的模式，其中每位登录的购物者都会成为已知档案。

何时选择体育场 Passpoint WiFi

对于频繁到场且已拥有您账号的球迷，请选择体育场 Passpoint WiFi。季票持有者、会员和贵宾包厢嘉宾符合此画像。他们希望无需思考即可无缝连接，而您已经掌握了他们的身份信息。

俱乐部应用仅需安装一次配置文件。从那时起，设备将在每个比赛日自动连接。iOS 通过配置文件安装 Passpoint 凭据。Android 则通过其 Passpoint API 安装凭据。在关联之前，设备会使用 ANQP（接入网络查询协议，IEEE 802.11u 的一部分）来检查网络是否支持其凭据。

何时将 Passpoint 与强制门户相结合

当您的到场人员分为核心忠实粉丝和临时散客时，请将两者结合使用。足球俱乐部通常符合这种模式：季票持有者、客队球迷和单场观赛者共享同一个场馆。

会员通过 Passpoint 连接，并在应用内接收赞助商内容。其他所有人则使用门户。最多广播两个访客 SSID，因为每个额外的 SSID 都会通过其自身的信标占用空口时间。

您还可以将门户用作通往 Passpoint 的桥梁。在球迷首次登录门户后提供配置文件下载。每位安装配置文件的球迷在未来的比赛中都无需再使用门户。

OpenRoaming 的适用场景

OpenRoaming 是一个基于 Passpoint 构建的无线宽带联盟 (Wireless Broadband Alliance) 联合网络。持有参与身份提供方配置文件的设备可自动且安全地接入。这涵盖了未安装俱乐部 App 的到访球迷。OpenRoaming 不会向您提供您自己俱乐部的身份数据，因此请将其视为更广泛的覆盖补充，而非替代您自己的配置文件。

将工作人员保持在独立网络中

安全员、特许经营商和广播团队需要拥有自己的网络。Purple 的基于身份的网络针对 Microsoft Entra ID、Okta 或 Google Workspace 认证工作人员 WiFi，并在人员离职时自动撤销访问权限。

对于托管设备，我们关于 如何使用 Microsoft Intune 向设备推送 WiFi 证书 的指南涵盖了证书分发内容。对于承包商的自带设备，请参阅 BYOD WiFi 入网：管理酒店和零售业中的非托管设备。

将 POS 终端划分到它们自己的 VLAN（虚拟局域网，一种逻辑上独立的网络）中。PCI DSS 将网络隔离视为缩减持卡人数据环境范围的一种有效手段。

第一方球迷数据如何实时传输到票务和赞助商 CRM？

按事件而非按批次传输数据。当球迷登录时，平台会解析其身份并检查其同意选项。然后发出一个事件，供下游系统在数秒内消费。票务系统通过电子邮件或门票编号将登录信息与预订进行匹配。赞助商 CRM 仅接收同意接收该特定赞助商信息的球迷数据。

同意是关键控制点。UK GDPR 第 7(1) 条要求您证明每位球迷均已给出同意。ICO 的同意指南指出，您必须列出将依赖该同意的任何第三方数据控制器。根据 PECR 第 22 条的规定，赞助商的电子邮件营销需要获得此类具名同意。软性选择接收 (Soft opt-in) 仅适用于您自己的类似产品，不适用于合作伙伴的产品。

Purple 可与 CRM 和营销平台无缝集成。它会分别记录每次选择接收的文字表述和时间戳。Purple 通过了 ISO 27001 和 Cyber Essentials 认证，符合 GDPR 和 CCPA 标准，并且是认证的 B Corp。

操作示例：拥有命名权合作伙伴的市政场馆

这是一个带有既定假设的规划模型，而非报告结果。

背景。 地方当局拥有一个可容纳 8,000 人的多功能场馆。该场馆承办演唱会、会议和社区体育活动。活动主办方拥有演唱会票务数据。场馆的命名权合作伙伴希望从每场活动中获取经同意的潜在客户数据。

具体做法：

• 每个登录页面都包含一个独立的未勾选复选框，其中标明了该合作伙伴的名称。
• 获得同意的登录会触发一个事件发送至合作伙伴的 CRM。
• 未获得同意的登录仅发送至场馆自己的 CRM。
• 票务匹配仅在场馆拥有预订数据时运行。

结果。 假设有 5,000 名参与者登录活动，其中 20% 勾选了合作伙伴复选框。合作伙伴将在每次活动中获得 1,000 条经同意的记录。每条记录在登录后几秒内送达，并附带同意证据。这取代了按月导出电子表格的做法，后者会错过场馆现场的时机并削弱审计轨迹。

每种体育场 WiFi 方案的运行成本是多少？

许可费用只是成本的一部分。更大的成本在于构建工作量、日常运营和空中接口资源。

	强制门户	通过俱乐部应用使用 Passpoint	混合模式
构建成本驱动因素	门户设计、围墙花园、同意条款表述、CRM 字段映射	应用开发、RADIUS 领域设置、凭据或证书颁发	两种构建方式
运行成本驱动因素	平台许可、门户托管、互联网回传	平台许可、凭据生命周期、应用发布周期	两者皆有，共享一个 RADIUS 层
所需硬件	来自任何列出厂商的现有接入点	固件中启用 Hotspot 2.0 的接入点	支持 Hotspot 2.0 且广播两个 SSID 的接入点
每次活动的工作量	替换赞助商素材，审核同意条款表述	无需入场配置工作，仅需应用内内容	门户素材加上应用内容
空中接口成本	一个访客 SSID	一个访客 SSID	两个访客 SSID

混合模式的构建成本最高，但它降低了比赛日的风险。您转移到 Passpoint 的每一位球迷，都意味着半场结束时减少了一次页面加载。

如何为您的场馆做出决定

请将您的实际情况与下表对应。

您的情况	建议
没有俱乐部应用，属于音乐会和会议等一次性受众	过渡模式下 OWE 上的强制门户、赞助商启动页、自主选择同意
季票持有者正在积极使用俱乐部应用	混合模式：应用内使用 Passpoint，访客使用强制门户
会员区、包厢和贵宾席	会员使用 Passpoint 配置文件，其宾客使用门户访问
主办方拥有票务所有权的多用途体育馆	包含针对每次活动、每个合作伙伴同意条款表述的强制门户
许多没有俱乐部账户的客队球迷	强制门户加上用于自动安全访问的 OpenRoaming
服务员、特许经营摊位和销售点	使用 802.1X 上的独立员工 WiFi，集成了身份提供商与 VLAN 网络隔离
在您的首场实时活动之前，请做好三件事：

1. 在非比赛日对设计进行负载测试。
2. 根据真实的接入点日志重现半场模型。
3. 确认下游系统能够以您的峰值登录速率接收事件。

常见问题

Purple 能否与我们体育场中已安装的接入点协同工作？

是的，如果这些设备来自 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 或 Fortinet。 Purple 是一个与硬件无关的云端覆盖层，因此可以直接叠加在您现有的基础设施之上，无需拆除和替换。您的接入点继续处理无线电和漫游。Purple 则负责处理强制门户、云端 RADIUS、同意收集和数据路由。Passpoint 还要求在您的接入点固件中启用 Hotspot 2.0。

我们是否需要一个俱乐部应用来向球迷提供 Passpoint？

不需要，但应用是最顺畅的交付途径。iOS 通过下载配置文件来安装 Passpoint 凭据。Android 则通过其 Passpoint API 或 Web 下载进行安装。因此，您可以在球迷首次登录强制门户后提供该配置文件。应用在采用率方面更具优势，因为它将配置文件与球迷在每个比赛日已持有并使用的账户绑定在一起。

在 GDPR 规定下，我们可以将通过 WiFi 登录获取的球迷数据分享给我们的赞助商吗？

可以，但需要指明赞助商名称的独立且具体的同意。ICO 的同意指南指出，您必须指明依赖该同意的任何第三方数据控制者。第 7(1) 条要求您能够证明这一点。在 PECR 规定下，赞助商的电子邮件营销需要该同意，因为软选择性同意仅适用于您自己的类似产品。Purple 的意识选择性同意会记录每个选择及其对应的表述和时间戳。

强制门户能否应对中场休息时数万名球迷同时连接的情况？

可以，前提是您针对并发能力而非仅针对总容量进行设计。将会话超时设置得比活动持续时间更长，这样已连接的球迷就不会在比赛中途重新认证。将 CRM 和票务写入操作移出认证路径。针对峰值并发设备调整 DHCP 地址池大小，并将租约设置得短于各活动之间的间隔。从内容分发网络（CDN）分发门户资源。将会员迁移至 Passpoint 可以完全消除他们的页面加载。

我们如何从当前的体育场 WiFi 提供商迁移？

通过更改接入点发送认证和门户流量的位置来进行迁移，而不是通过更换硬件。首先在测试 SSID 上运行 Purple。在非比赛日验证门户、RADIUS 和 CRM 路由，然后再切换生产环境 SSID。导出您现有的选择性同意记录及其对应的表述和时间戳。在旧表述下收集的同意可能无法覆盖您接下来规划的用途。

OpenRoaming 会替代我们自己的 Passpoint 配置文件吗？

不会，它与您自己的配置文件互为补充。OpenRoaming 是基于 Passpoint 构建的无线宽带联盟（Wireless Broadband Alliance）联盟。持有参与身份提供商配置文件的设备可以自动且安全地加入，这覆盖了没有安装俱乐部客队球迷。它不会向您提供您俱乐部自己的身份数据。请在应用中为您季票持有者保留您自己的配置文件，并使用 OpenRoaming 来扩大安全覆盖范围。

门户网络应该保持开放还是使用 OWE？

在接入点支持的前提下，尽可能在开放 SSID 的过渡模式中使用 OWE。OWE 被 WiFi 联盟认证为 Enhanced Open，无需密码即可对每个设备的流量进行加密。在拥挤的大厅里，球迷无法相互读取会话数据。过渡模式允许旧款设备加入开放网络，同时支持加密功能的设备可以进行加密连接。请在比赛日之前确认每个接入点的固件支持情况。

体育场部署需要投入多少工作量？

大部分工作量集中在配置和集成上，而不是硬件方面。由于 Purple 是叠加在现有的接入点之上，因此相关工作涵盖门户设计、同意条款文本、SSID 和 RADIUS 配置，以及面向票务和 CRM 系统的字段映射。Passpoint 还需要进行俱乐部应用开发以及针对 iOS 和 Android 设备的一轮测试。请在首次现场活动前的非比赛日安排一次完整的负载测试。