Skip to main content
简体中文

无缝连接的未来：Passpoint与OpenRoaming解析

本技术参考指南为IT领导者提供了从传统Captive Portal过渡到Passpoint和OpenRoaming的可行见解。它详细介绍了底层的IEEE 802.11u和WPA3标准、安全认证流程以及实际部署策略，以改善无缝连接、增强安全性并在企业场所中推动可衡量的投资回报率。

📖 5 min read📝 1,207 words🔧 2 worked examples❓ 3 practice questions📚 8 key definitions

Listen to this guide

View podcast transcript
欢迎收听Purple技术简报。我是主持人，今天我们将解析企业网络设计中的一个关键转变：从传统Captive Portal向Passpoint和OpenRoaming的过渡。如果您是IT经理、网络架构师或场所运营总监，这份十分钟的简报将为您提供评估和部署这些技术所需的可行情报。 让我们从背景开始。在过去的十五年里，访客WiFi一直依赖Captive Portal。用户走进场所，选择一个SSID，等待初始页面，输入电子邮件地址，接受条款，最后才能上网。这个摩擦点不仅让客人烦恼，也是场所的错失机会。我们看到高放弃率，意味着您失去了与该用户互动或收集分析数据的机会。此外，Captive Portal在登录前以未加密方式传输流量，形成了巨大的攻击面。 Passpoint，又称Hotspot 2.0，从根本上改变了这一模式。基于IEEE 802.11u标准，Passpoint实现了自动、安全的网络发现和认证。当设备进入支持Passpoint的场所时，它使用接入网络查询协议（ANQP）静默地询问网络。它检查网络是否支持其身份提供商。如果匹配，设备将使用企业级EAP-TLS或EAP-TTLS认证自动连接。用户无需进行任何操作。它就像蜂窝漫游一样，完全自动工作。 那么，OpenRoaming如何融入其中？OpenRoaming建立在Passpoint之上。虽然Passpoint提供了底层技术，但由无线宽带联盟管理的OpenRoaming创建了全球联盟。它将接入提供商（如酒店、体育场和零售店）与身份提供商（如Apple、Google、移动运营商和企业身份系统）连接起来。这意味着客人可以使用他们现有的可信身份在您的场所进行认证，而您无需管理复杂的RADIUS基础设施或逐个谈判漫游协议。 让我们深入技术架构。该生态系统有四个层级。首先是终端用户设备。其次是接入提供商——即您的场所硬件。第三是生态系统经纪人，即OpenRoaming RADIUS联盟。第四是身份提供商。当设备尝试连接时，认证请求通过联盟安全地代理到用户的身份提供商。关键的是，这种通信使用RadSec（即RADIUS over TLS）进行保护，确保认证流量不会被拦截。 从安全角度来看，优势深远。通过OpenRoaming，WPA3加密从第一个数据包就建立起来。存在相互认证；设备在连接前验证网络的证书，完全消除了邪恶孪生攻击的风险。并且因为它使用EAP认证，用户凭据实际上从未离开身份提供商。场所仅接收一个匿名令牌。 那么，如何在现实世界中实施呢？让我们看一个酒店场景。一家全球连锁酒店希望改善宾客连接，同时提高忠诚度应用的使用率。传统方法是将Captive Portal与其物业管理系统集成。现代方法是部署与OpenRoaming集成的Passpoint。 部署分阶段进行。首先，配置无线局域网控制器广播OpenRoaming的组织唯一标识符（OUI）。然后与作为WBA联盟一部分的云RADIUS提供商建立安全的RadSec隧道。一旦配置完成，设备上具有OpenRoaming配置文件的任何客人都将立即连接。 但这里正是投资回报显现之处。酒店可以直接通过其忠诚度应用配置Passpoint配置文件。当客人下载应用时，配置文件即被安装。从那一刻起，无论他们走进连锁酒店的任何一家物业，都会自动连接。这为场所提供了持久的、匿名的位置数据，实现了基于邻近度的互动。如果客人走近水疗中心，您可以通过应用触发定向优惠。 对于零售环境，好处同样引人注目。高摩擦的Captive Portal往往导致购物者放弃WiFi连接，意味着零售商失去了宝贵的客流量分析数据。通过OpenRoaming，连接是无缝的，大大提高了接入率。这提供了关于停留时间、回头客访问和店内顾客旅程的准确数据，可以与销售点数据相关联，以衡量商店布局和促销活动的真实影响。 部署期间需要避免哪些常见陷阱？我们最常见的问题是证书管理不善。由于OpenRoaming严重依赖EAP-TLS和相互认证，您的公钥基础设施必须稳健。确保使用来自可信证书颁发机构的证书，并且自动化续订流程正常运行。 另一个陷阱是忽视非联盟用户的准入体验。虽然OpenRoaming处理具有现有配置文件的用户，但您仍然需要一种无摩擦的方式来引导新用户。这就是在线注册（OSU）服务器发挥作用的地方，它允许用户在首次访问时安全地配置配置文件。 让我们进入基于从网络架构师那里收到的最常见问题的快速问答。 问题一：OpenRoaming会完全取代我的Captive Portal吗？ 回答：不会立即取代。大多数场所在过渡期间运行混合模式。您将广播传统的开放SSID和Captive Portal，同时广播支持Passpoint的SSID。随着时间的推移，随着越来越多的设备原生支持OpenRoaming，您可以逐步淘汰开放网络。 问题二：我需要什么硬件？ 回答：好消息是，过去五年内发布的大多数企业级接入点都支持Passpoint和802.11u。您可能不需要进行彻底的硬件更换升级。更改主要在于控制器配置和RADIUS后端。 问题三：位置数据是否符合GDPR？ 回答：是的，只要您正确处理。OpenRoaming使用匿名标识符。场所不会从身份提供商那里收到用户的个人电子邮件或电话号码，只收到一个持久令牌。与存储通过Captive Portal收集的个人数据相比，这实际上简化了合规性。 总而言之，Passpoint和OpenRoaming代表了企业WiFi的未来。它们消除了Captive Portal的摩擦，通过WPA3和相互认证显著提高了安全性，并通过更高的接入率和更好的分析释放了巨大的商业价值。 您的下一步应该是审核当前无线基础设施的Passpoint兼容性，评估支持WBA OpenRoaming联盟的云RADIUS提供商，并在受控环境中进行试点部署，例如单个零售分店或酒店的会议翼楼。 感谢您收听本次Purple技术简报。有关更详细的实施指南和架构图，请参阅本播客附带的全面书面指南。

header_image.png

执行摘要

过去十年，访客WiFi一直依赖Captive Portal——这种高摩擦模式让用户感到沮丧，降低品牌体验，并引入了重大的安全漏洞。跨越 酒店业 、 零售业 和公共部门的场所要求更高的接入率，以支持 WiFi Analytics 和基于位置的服务，行业正转向无缝、类似蜂窝网络的连接。

Passpoint（Hotspot 2.0）和OpenRoaming代表了企业无线接入的未来。基于IEEE 802.11u标准并由无线宽带联盟（WBA）管理，该生态系统实现了零接触、安全（WPA3）认证。通过将身份提供商（如Apple、Google和移动运营商）与接入网络联合，场所可以自动引导访客，无需手动选择SSID或初始页面。本指南为IT经理和网络架构师提供了一个实用、供应商中立的路线图，用于评估、设计和部署Passpoint与OpenRoaming，将访客WiFi从成本中心转变为安全、数据丰富的资产。

技术深度解析

Passpoint与OpenRoaming架构

要理解这一转变，我们必须区分底层技术和扩大其规模的联盟。

**Passpoint（Hotspot 2.0）**是Wi-Fi联盟基于IEEE 802.11u标准的认证。它定义了设备自动发现和认证网络的机制。核心协议是接入网络查询协议（ANQP），它允许客户端设备在关联之前查询接入点（AP）。设备根据其本地配置的配置文件检查AP通告的漫游联盟组织唯一标识符（OUI）。如果找到匹配项，设备将启动可扩展认证协议（EAP）连接（通常是EAP-TLS或EAP-TTLS）。

OpenRoaming是建立在Passpoint之上的全球联盟。虽然Passpoint处理本地设备到AP的交互，但OpenRoaming提供了RADIUS代理基础设施，将数百万AP连接到数千个身份提供商（IdP）。这消除了场所为外部访客协商单独漫游协议或管理复杂公钥基础设施（PKI）的需要。

architecture_overview.png

安全范式转变

传统的开放式网络与Captive Portal在用户完成登录过程之前以未加密方式传输数据。这使用户面临“邪恶孪生”攻击，恶意行为者伪造场所的SSID以窃取凭据。

Passpoint从根本上改变了这种风险状况。由于认证通过802.1X进行，连接从第一个数据包开始就用WPA2-Enterprise或WPA3-Enterprise加密保护。此外，EAP-TLS固有的相互认证意味着设备在发送任何凭证之前先验证网络证书，有效消除了邪恶孪生漏洞。正如我们在 网络访问控制设备态势评估指南 中所述，建立设备信任至关重要，而Passpoint在边缘强制执行这一点。

comparison_chart.png

实施指南

部署OpenRoaming需要协调无线局域网控制器（WLC）、RADIUS基础设施和WBA联盟。以下供应商中立的步骤概述了标准的企业部署。

第一阶段：基础设施就绪评估

在配置之前，请验证现有硬件是否支持所需标准。过去五年内发布的大多数企业AP（例如Cisco、Aruba、Ruckus）原生支持802.11u和Passpoint。确保WLC固件更新到支持WPA3和受保护的管理帧（PMF），这是Passpoint Release 3的强制性要求。

第二阶段：RADIUS与联盟集成

关键的集成点是连接本地网络到OpenRoaming联盟。这是通过建立安全的RADIUS代理连接来实现的。

  1. 选择云RADIUS提供商：选择通过认证的OpenRoaming生态系统经纪人（例如IronWiFi、Cisco Spaces）。
  2. 建立RadSec隧道：配置WLC使用RadSec（RADIUS over TLS）将认证请求转发到云RADIUS服务器。这确保了互联网上的认证流量安全。有关详细配置，请参阅 RadSec：使用TLS保护RADIUS认证流量 。
  3. 配置域路由：在RADIUS服务器上设置路由规则，将匹配OpenRoaming域（例如apple.openroaming.net）的请求转发到WBA联盟。

第三阶段：WLAN配置

在WLC上配置特定的SSID以广播必要的ANQP元素。

  1. 启用802.11u：为目标WLAN开启Hotspot 2.0/Passpoint功能。
  2. 定义漫游联盟OUI：将WBA提供的特定OUI（例如OpenRoaming-Settlement-Free的5A-03-BA）添加到AP的信标中。
  3. 配置安全性：将第2层安全设置为WPA2/WPA3-Enterprise，并使用802.1X认证。

第四阶段：用户准入策略

虽然联盟用户（例如具有Apple或Google配置文件的用户）将自动连接，但您必须为没有预先配置文件的用户制定计划。实施在线注册（OSU）服务器或将配置文件配置集成到场所的移动应用中。这允许用户在首次访问时下载Passpoint配置文件，确保后续所有访问的无缝连接。

最佳实践

  • 在过渡期间保持混合方式：不要立即禁用现有的Captive Portal。同时运行支持Passpoint的SSID和开放的 访客WiFi 网络，以容纳旧版设备和没有配置文件的用户。监控接入率，以确定何时可以安全停用开放网络。
  • 优先考虑RadSec：绝不以未加密方式通过互联网传输RADIUS流量。始终使用RadSec来保护WLC和云RADIUS提供商之间的通信。
  • 利用应用集成：对于酒店和零售场所，将Passpoint配置文件配置嵌入品牌的忠诚度应用中。这保证了用户安全认证，同时将网络存在直接与客户资料绑定。
  • 监控证书到期：Passpoint严重依赖PKI。对所有的RADIUS和Web服务器证书实施自动监控和警报，以防止突然的认证失败。

故障排除与风险缓解

部署Passpoint时，IT团队通常会遇到特定的故障模式。了解这些风险对于顺利推出至关重要。

  • ANQP超时问题：如果AP过载或控制器响应缓慢，ANQP响应可能超时，阻止设备发现网络。缓解措施：确保AP得到充分配置，并监控控制平面CPU利用率。对于高密度环境，请考虑优化信标间隔。
  • 证书信任失败：如果客户端设备不信任签署RADIUS服务器证书的根CA，EAP-TLS握手将静默失败。缓解措施：对于面向公众的RADIUS服务器，始终使用由广泛认可的公共证书颁发机构（例如DigiCert、Let's Encrypt）颁发的证书。避免为访客访问使用自签名证书。
  • RadSec连接断开：防火墙或中间路由问题可能切断RadSec所需的TCP连接。缓解措施：对RadSec隧道状态实施强大的监控，并为故障切换配置辅助RADIUS服务器。

投资回报与业务影响

过渡到Passpoint和OpenRoaming不仅仅是IT升级；它是一个战略业务推动者。通过消除Captive Portal的摩擦，场所的关键指标立即得到改善。

  • 提高接入率：场所通常观察到连接网络的设备数量增加40-60%。这直接扩大了 WiFi Analytics 和 传感器 的样本容量，提供更准确的客流量和停留时间数据。
  • 增强客户参与度：在零售和酒店业，无缝连接允许场所在客人踏入门的那一刻通过其应用触发基于位置的通知，推动即时参与。
  • 减少支持开销：消除Captive Portal大大减少了与登录失败、浏览器重定向和忘记密码相关的帮助台工单，释放了IT资源。
  • 数据货币化：通过与 导航 和忠诚度平台集成，场所可以将实际存在与购买行为相关联，提供可操作的见解，证明网络投资的合理性。

收听我们关于此主题的全面简报：

Key Definitions

Passpoint (Hotspot 2.0)

基于IEEE 802.11u标准的Wi-Fi联盟认证，使设备能够在无需用户干预的情况下自动发现并安全连接到Wi-Fi网络。

IT团队部署Passpoint以取代传统的Captive Portal，为企业WiFi和访客WiFi提供类似蜂窝网络的漫游体验。

OpenRoaming

由无线宽带联盟（WBA）管理的全球漫游联盟，使用Passpoint技术将身份提供商（IdP）与接入网络连接起来。

场所加入OpenRoaming，允许客人使用现有凭据（例如Apple ID、Google、运营商SIM卡）进行认证，而无需管理本地账户。

ANQP (Access Network Query Protocol)

802.11u中定义的第2层协议，允许客户端设备在关联网络之前从接入点请求信息（例如支持的漫游合作伙伴）。

ANQP是一种机制，允许智能手机在后台静默地“知道”它是否可以连接到Passpoint网络。

RadSec (RADIUS over TLS)

通过将其封装在TLS隧道中来保护RADIUS认证流量的协议，通常使用TCP端口2083。

对于OpenRoaming部署至关重要，以确保从场所发送到云RADIUS提供商的认证请求不会被拦截。

OUI (Organizationally Unique Identifier)

一个24位数字，唯一标识供应商、制造商或组织，在Passpoint中用于识别支持的漫游联盟。

网络管理员在其WLC上配置特定的OUI，以广播场所支持的身份提供商或联盟（如OpenRoaming）。

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)

一种高度安全的认证框架，要求客户端和服务器之间进行基于证书的相互认证。

Passpoint认证的黄金标准，确保用户的设备和场所的网络在连接前相互验证身份。

OSU (Online Sign-Up)

Passpoint Release 2及更高版本中的一种标准化机制，允许设备从配置服务器安全地获取网络凭据和配置文件。

用于引导尚未在其设备上安装Passpoint配置文件的新来宾。

Evil Twin Attack

一种无线攻击，恶意行为者设置一个伪装成合法网络的恶意接入点，广播相同的SSID，以拦截用户流量和凭据。

Passpoint通过要求网络在设备连接之前出示有效证书（相互认证）来消除这种风险。

Worked Examples

一家拥有200家物业的全球连锁酒店希望改善宾客连接，并提高其忠诚度应用的使用率。目前，宾客抱怨每天住宿期间都需要登录Captive Portal，而且接入率很低。

该酒店在所有物业部署Passpoint。他们没有使用Captive Portal，而是将Passpoint配置文件配置集成到忠诚度应用中。当客人下载应用并登录时，Passpoint配置文件会静默安装在其设备上。AP配置为广播酒店特定的漫游联盟OUI。WLC使用RadSec将认证请求转发至云RADIUS提供商。当客人到达全球任何物业时，其设备会检测到OUI，使用该配置文件通过EAP-TLS进行认证，并立即通过WPA3加密连接。

Examiner's Commentary: 这种方法同时解决了连接摩擦和业务目标。通过将网络访问与应用绑定，酒店在确保客人保持与品牌数字生态系统互动的同时，提供了高质量、安全的连接。使用特定OUI确保设备仅连接到酒店可信的网络，从而缓解了邪恶孪生风险。

一个大型会议中心需要为10,000名与会者提供安全的WiFi。通过Captive Portal管理为期3天的活动的临时凭据在操作上很繁重且不安全。

该场地实施OpenRoaming。他们配置WLC广播WBA OpenRoaming OUI，并与OpenRoaming生态系统经纪人建立RadSec连接。到达场地的已经拥有OpenRoaming配置文件（例如通过其移动运营商或之前的场所）的与会者会自动连接。对于没有配置文件的与会者，场地在广场周围提供二维码，引导用户访问在线注册（OSU）服务器下载临时活动配置文件。

Examiner's Commentary: 这大大减少了凭据管理的IT开销。通过利用OpenRoaming联盟，场地将认证负担转移给与会者现有的身份提供商。二维码/OSU后备方案确保没有与会者无法访问，从而保持无缝体验。

Practice Questions

Q1. 您是零售连锁店的IT总监。市场营销部门希望利用WiFi分析准确追踪回头客访问，但目前带有Captive Portal的开放访客网络只有15%的接入率。客户抱怨登录时间太长。您如何重新设计网络接入策略以满足市场营销目标，同时改善客户体验？

Hint: 考虑如何将网络认证与客户已经重视的资产绑定，完全消除Captive Portal的摩擦。

View model answer

实施Passpoint，并将配置文件配置集成到零售商现有的移动忠诚度应用中。当客户下载或更新应用时，Passpoint配置文件会静默安装。进入任何商店时，他们的设备通过EAP-TLS自动认证。这消除了Captive Portal的摩擦，大幅提高接入率（为市场营销提供准确的回头客访问数据），并用WPA3保护连接。

Q2. 在体育场进行OpenRoaming试点部署期间，网络团队注意到虽然认证请求到达了本地WLC，但未能到达云RADIUS提供商。防火墙团队确认标准RADIUS端口（UDP 1812/1813）已对外开放。最可能的故障原因是什么？

Hint: OpenRoaming生态系统经纪人要求通过互联网进行认证流量的安全通信。

View model answer

WLC可能试图发送标准的、未加密的RADIUS流量，但OpenRoaming部署需要使用RadSec（RADIUS over TLS）与云代理进行通信。防火墙团队需要确保TCP端口2083（RadSec的标准端口）已对外开放，并且WLC必须配置为使用正确的证书建立TLS隧道。

Q3. 一家医院希望部署Passpoint，为在主院区和卫星诊所之间移动的医生提供无缝漫游。然而，信息安全官（ISO）担心“邪恶孪生”攻击，恶意行为者可能在附近的咖啡馆伪造医院的SSID以窃取凭据。Passpoint如何解决这一特定问题？

Hint: 关注Passpoint中使用的特定EAP方法，以及客户端设备如何在传输数据前验证网络。

View model answer

Passpoint通过相互认证（通常使用EAP-TLS或EAP-TTLS）来缓解邪恶孪生风险。在医生的设备发送任何认证凭据之前，AP（通过RADIUS服务器）必须出示有效的数字证书。设备根据其受信任的根CA验证此证书。如果恶意行为者伪造了SSID，他们将不会拥有医院RADIUS服务器的有效私钥/证书，设备将在交换任何凭据之前静默中止连接。

无缝连接的未来：Passpoint与OpenRoaming解析 | Technical Guides | Purple