Ruckus SmartZone 和 RUCKUS One 访客 WiFi 对比外部强制门户平台

Ruckus SmartZone 和 RUCKUS One 均内置原生访客门户，支持一键式和访客通行证接入。这适用于只需基本、接受条款即可接入的单一场所。诸如 Purple 之类的外部平台可通过 Ruckus WISPr 热点模型和 Northbound Interface 进行连接。它们可以添加经同意的第一方数据、可审计的 GDPR 同意记录、Passpoint 入网培训和全园区分析，且无需新增任何接入点。

您应该使用 Ruckus 原生访客WiFi还是外部强制门户？

如果访客WiFi仅仅是一项便利设施，请选择原生 Ruckus 门户。如果访客登录必须产生实用价值（例如营销受众、可向监管机构展示的同意记录或跨多个场所的访问数据），请选择外部强制门户。

这两种方案均运行在相同的接入点上。决策的关键在于访客连接后会发生什么，而不是无线电性能。

请参考以下实用规则：

• 单一场所、仅需接入、无营销需求。 原生 SmartZone 或 RUCKUS One 访客接入即已足够。
• 场所众多，或对访客数据有任何营销用途。 外部平台物有所值，因为同意和数据需要一个统一的记录系统。
• 收购或更新后存在多厂商混合设备。 外部平台是在 Ruckus 和其他硬件上运行统一门户的唯一方法。
• 同一建筑内兼有住户和访客。 对住户使用 DPSK，对访客使用品牌访客门户，并部署在独立的 SSID 和 VLAN 上。

Purple 在 90 多个国家/地区的 80,000 多个活跃场所运行此外部模型。它每年处理 5 亿用户和登录。以下章节列出了不同选项的区别、各自的运行成本以及如何为您所在的园区做出决策。

Ruckus 原生访客WiFi与外部门户的真正区别

Ruckus 原生提供的功能

SmartZone 控制器（物理或虚拟）和 RUCKUS One 云端均在 WLAN 配置中包含访客接入功能。原生工作流包括一键式条款接受和员工发放的访客通行证。RUCKUS One 还增加了自助注册和主机批准功能。存在这些工作流是为了控制网络接入。它们仅捕获接纳访客所需的最少信息。

WISPr Northbound Interface 认证在 Ruckus 上是如何工作的？

WISPr（无线互联网服务提供商漫游）是大多数外部强制门户背后的重定向与认证模型。强制门户是设备连接到互联网之前看到的网页。在 SmartZone 上，您可以构建 Hotspot (WISPr) WLAN。在 RUCKUS One 上，您可以选择第三方强制门户 (WISPr) 网络类型。

其流程分为五个步骤：

1. 关联。 访客连接到 SSID。接入点将设备保持在未授权状态。
2. 围墙花园。 仅可访问经批准的受控目标。其中包括 DNS、入口网站域名以及您允许的任何社交登录域名。
3. 重定向。 首个 Web 请求将转至外部入口网站 URL。Ruckus 会附加用于标识客户端 MAC 地址、接入点和 SSID 的参数。在 SmartZone 上，这些参数还会携带控制器的 Northbound Interface（北向接口）地址。
4. 入口网站登录。 访客完成品牌化流程：表单或社交登录、条款以及营销选项同意。
5. 授权。 入口网站通过调用控制器的 Northbound Interface（一个经过身份验证的 JSON API）来登录客户端。随后控制器向已配置的服务器发送一个 RADIUS Access-Request。收到 Access-Accept 后，Ruckus 将放行客户端，并应用返回的属性（如会话超时）。

RADIUS 是 IETF RFC 2865 中定义的认证、授权和计费协议。接入点使用它向服务器询问是否准入某台设备。然后 RADIUS 计费功能将报告会话开始、停止和数据传输量。Purple 既充当入口网站，又充当云端 RADIUS 服务器，因此您无需托管任何一方。

RUCKUS One 遵循相同的模式，其重定向参数和 RADIUS 服务器在云控制台中设置。参数名称和 API 行为会随版本的不同而变化。请参考当前 Ruckus Northbound Interface 文档以及 Purple 支持中心内的 Purple Ruckus 设置文章。请勿直接复制较旧的第三方指南中的数值。

有三项安全习惯适用于任何 WISPr 构建：通过 HTTPS 调用 Northbound Interface。将密码保存在入口网站服务器上，切勿写在浏览器代码中。将围墙花园仅限制在入口网站所需的域名范围内。

外部入口网站在 Ruckus 接入点之上增加了哪些功能？

访客数据捕获。 原生工作流记录的数据仅足以准入访客。而外部平台可将每次登录转化为第一方档案：姓名、电子邮箱、选择同意状态、各个场馆的访问次数和停留时间。Purple WiFi Analytics 可以通过单一仪表板报告所有场馆的重复访问和停留情况。

同意审计。 GDPR 第 7(1) 条要求您能够证明个人已给予同意。您需要记录同意人、同意时间、具体条款内容以及同意渠道。Purple 采用明确选择的 opt-in（选择性同意）机制，将营销同意与接受条款分开。该设计符合 GDPR 第 4(11) 条关于同意的定义以及英国 PECR 第 22 条关于电子邮件营销的规定。每条记录都带有时间戳且可导出。这为 GDPR 第 12(3) 条规定的一个月期限内的主体数据访问请求提供支持。

Passpoint 和 OpenRoaming。 Passpoint（也称为 Hotspot 2.0）基于 IEEE 802.11u 构建。拥有已保存档案的设备会自动发现并加入网络。它使用基于端口的访问控制标准 IEEE 802.1X，通过 WPA2 或 WPA3-Enterprise 进行身份验证。由无线宽带联盟 (WBA) 运行的 OpenRoaming 可联合 Passpoint 身份提供商，使单个档案能够跨多个网络使用。 Ruckus 在 SmartZone 和 RUCKUS One 上支持 Hotspot 2.0，但需要其背后有身份提供商的支持。该角色由外部平台担当。访客通过 Portal 门户登录一次后，便可在以后的访问中自动并加密重新连接。

部署 Passpoint 的理由每年都在增加。根据 Apple 和 Google 平台的文档，当前的 iOS 和 Android 版本默认按网络使用私有随机 MAC 地址。这使得基于 MAC 的返回设备识别变得不可靠。相反，Passpoint 配置文件可以提供稳定的身份信息。

多厂商覆盖。 Purple 独立于硬件。相同的 Portal 门户和同意策略可在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上运行。

并排比较

功能	Ruckus SmartZone 原生	RUCKUS One 原生	Ruckus 上的 Purple（外部 Portal）
运行位置	您的 SmartZone 控制器（物理或虚拟）	Ruckus 云	SmartZone 或 RUCKUS One 上的 Purple 云覆盖
访客接入方式	一键式和员工发放的访客通行证	一键式、访客通行证、自主注册和主机批准	品牌化表单、社交登录和自主选择授权
集成方式	内置	内置	Hotspot (WISPr) WLAN、北向接口和 RADIUS
采集的数据	允许访客接入所需的详细信息	允许访客接入所需的详细信息	第一方配置文件、授权状态、每个场所的访问和停留时间
同意审计	条款接受	条款接受	带时间戳的授权记录，以证明符合 GDPR 第 7 条
Passpoint	支持 Hotspot 2.0，身份提供商单独提供	支持 Hotspot 2.0，身份提供商单独提供	首次登录 Portal 门户后提供配置文件
硬件覆盖	仅限 Ruckus	仅限 Ruckus	八家厂商，包括 Ruckus
报告面向的受众	网络团队：AP 和客户端健康状况	网络团队：场所和 AP 健康状况	营销和运营：访客行为
最适合	单个场所、仅限接入的访客 WiFi	云管理 Ruckus 场所，仅限接入	使用访客数据的多场所地产

何时适合选择 Ruckus 原生访客接入

当网络团队管理访客 WiFi 且下游无需使用这些数据时，原生访客接入是理想选择。示例包括议会办公室接待处、仓库访客网络或诊所候诊室。在 医疗保健 领域，访客和患者通常只需要互联网接入，别无其他要求。

原生方案在三个方面胜出：

• 无需额外订阅。 您现有的 SmartZone AP 许可证或 RUCKUS One 设备订阅已包含访客接入功能。
• 单一控制台。 您的团队可以在同一个 Ruckus 界面中，将访客 WLAN 与员工和 IoT WLAN 放在一起进行配置。
• 更少的依赖项。 无需维护外部 RADIUS 服务器，也无需维护第三方围墙花园。 在提交前请接受其局限性。它没有营销同意账簿，也几乎无法提供营销团队可用的报告。每一个新增的场所或每一个其他供应商都需要独立的门户。如果在您的合同期内其中任何一项成为硬性需求，请现在就规划外部门户。重新配置两次的成本远高于配置一次。

Ruckus Cloudpath 的适用场景

Cloudpath Enrollment System 是 Ruckus 用于证书和 DPSK 的入网产品。如果您已经为员工运行了该产品，其赞助访客工作流也可以接纳访客。这能将入网管理集中在一个 Ruckus 产品中。但它仍然是一个访问工具，而非访客数据和同意平台，因此在此比较中请将其视为原生选项。

何时选择外部强制门户平台才是明智之举

当访客登录拥有除 IT 部门之外的业务所有者时，选择外部门户才是明智之举。例如，酒店 希望构建直接预订受众，或 零售 连锁店希望构建第一方购物者名单。体育场馆需要它来进行赞助商激活。列车 上的铁路运营商需要乘客连接数据来进行分析报告。

请关注以下信号：

• 您运营着不止一个场所，或计划扩展更多场所。
• 营销团队会向访客发送电子邮件，因此您需要 GDPR 第 7 条的合规证据。
• 您目前运行着混合硬件，或预计在收购后会遇到这种情况。
• 再次光临的访客应通过 Passpoint 自动重新连接。
• 运营部门需要访问频率和停留时间数据来规划人员配备和空间。

这一切都不需要更换新的无线接入点。Purple 作为云端叠加层，直接覆盖在现有的 Ruckus 控制器和 AP 之上。为什么您的下一次 WiFi 升级不需要新硬件 一文中详细阐述了这一观点。如需了解特定行业深度信息，请参阅 酒店访客 WiFi 平台：PMS 集成、Passpoint 与分级带宽对比 以及 体育场与竞技场访客 WiFi 平台：高密度入网与赞助商激活对比。

MDU 与酒店运营商如何将 DPSK 与品牌访客门户相结合？

DPSK（动态预共享密钥）是 Ruckus 的一项功能，可在单个 SSID 上为每位用户或设备提供唯一的密钥。其他供应商将这一概念称为 iPSK 或 PPSK（私有预共享密钥）。控制器将每个密钥映射到一个 VLAN（即 IEEE 802.1Q 虚拟局域网）。这样，每位住户的设备都可以位于共享基础架构上的独立网段中。

在长租公寓、学生公寓和酒店中行之有效的模式包含三个部分：

1. 基于 DPSK 的住户 SSID。 每位住户都会获得一个映射到独立户型 VLAN 的唯一 passphrase。DPSK3 将该模式扩展到了 WPA3。智能电视、音响和游戏机无需通过门户或 802.1X 客户端即可联网。
2. 带有品牌门户的访客 SSID。 访客和公共设施空间通过 WISPr 使用外部门户。请开启客户端隔离，并将访客 VLAN 与住户及建筑物系统区分开。
3. 生命周期控制。 将密钥与入职、转岗和离职人员挂钩。当居民搬出时，在当天注销其密钥。

Purple 访客 WiFi 在此设计中运行访客 Portal。对于居民，您可以保留 Ruckus DPSK 或 Cloudpath。此外，结合 SecurePass 的 Purple 多租户 WiFi 是 Cloudpath 的替代方案。在 Purple 基于身份的网络模型下，它为每个居民提供一个私有网络隔离环境，与访客 WiFi 共同管理。

酒店增加了第三类人群。员工使用 802.1X 针对 Microsoft Entra ID、Okta 或 Google Workspace 进行身份验证。长住或服务式公寓客人使用 DPSK。短住客人和会议代表使用品牌 Portal。

Ruckus 资产上的实操案例分析

以下场景仅供说明，基于常见的部署模式。结果是每种架构产生的可统计变化，而非特定场所的实际报告结果。

拥有 220 间客房的使用 SmartZone 的酒店将访客登录迁移至外部 Portal

现状。 酒店运行原生 SmartZone 访客通行证。前台在每次办理入住时都会打印一个代码，且代码在非住客之间流传。市场部门没有获得许可的电子邮件列表。数据保护官无法证明哪些客人同意了联系。

应对措施。 IT 部门创建了一个指向 Purple Portal 和 Purple 云端 RADIUS 的 Hotspot (WISPr) WLAN。员工 802.1X 和后勤部门 WLAN 保持不变。Portal 将市场营销同意选项设为独立的未勾选状态。首次登录后，客人可获得一个 Passpoint 配置文件。

结果。

• 前台发放的代码从每次入住一个降至零。
• 替换的无线接入点：无。
• 每一个选择同意的客人都会生成一条带有时间戳的同意记录，可导出用于 GDPR 第 15 条的访问请求。
• 拥有 Passpoint 配置文件的客人在以后的住宿中无需通过 Portal 即可重新连接，并由 802.1X 进行加密。

拥有 400 个单元的使用 RUCKUS One 的长租公寓（BTR）大楼分隔居民和访客

现状。 每个楼层共享一个预共享密钥。离职或搬迁人员保留有效的密钥，直到下一次全楼层密钥变更。居民将密钥提供给访客，休息室和健身房的 WiFi 处于同一个网络中。

应对措施。 运营方为每位居民发放了一个 DPSK，并映射到每个单元的 VLAN。独立的访客 SSID 通过品牌 Portal 为访客和公共设施空间提供服务。租赁流程中的退房操作会触发密钥注销。

结果。

• 流通中的共享密钥从每层一个降至零。
• 搬迁人员的密钥注销时间从下一次全楼层密钥变更提前至退房当天。
• 居民 VLAN 上的访客设备：按设计为零。
• 运营部门获得了每个公共设施区域的驻留数据，以规划清洁和开放时间。

拥有 60 家门店的零售连锁店在 Ruckus 和 Cisco Meraki 上运行统一的 Portal

背景情况： 一次收购使得 40 家门店运行在 Ruckus 上，20 家运行在 Cisco Meraki 上。该连锁品牌之前运行两个 Portal 页面，包含两套条款和两份同意书文本。PCI DSS 要求 1 还要求在访客流量和持卡人数据环境之间建立网络安全控制措施。

应对举措： 该连锁品牌跨两个供应商部署了一个 Purple Portal 页面，在 Ruckus 上使用 WISPr，并结合 Meraki 登录页面集成。每家门店的访客 VLAN 与 POS 网络均保持隔离。

成果：

• Portal 页面从两个减少到一个。
• 同意书文本从两份减少到一份。
• 顾客访问报告在一个仪表板中即可覆盖全部 60 家门店。

在 Ruckus 网络环境中运行各项方案的成本分析

成本分为四类：许可证、硬件、配置工作量和合规开销。许可证费用是显性成本。而合规成本则是旦出现问题就会造成重大损失的隐形成本。

成本要素	Ruckus 原生（SmartZone 或 RUCKUS One）	在 Ruckus 上使用 Purple（外部 Portal）
许可证	包含在现有的 SmartZone AP 许可证或 RUCKUS One 设备订阅中	额外订阅 Purple，可选择 Connect、Capture 或 Engage 方案
新硬件	无	无：在现有 Ruckus AP 和控制器上进行云端叠加部署
初始配置	在 Ruckus 控制台中按区域或场所配置访客 WLAN	每个控制器或场所配置 WISPr WLAN、围墙花园和 RADIUS 条目，外加 Portal 页面设计
日常运维管理	IT 部门管理通行码、条款和 Portal 页面变更	市场部门编辑 Portal 页面和营销活动，IT 部门负责 WLAN
同意与访问请求	网络之外维护的手动流程	可导出的同意记录和个人资料记录
多供应商混合场景	每个供应商使用独立的 Portal 页面	跨八家供应商统一使用一个 Portal 页面
控制器迁移	新控制台中需要重建访客设置	Portal 页面和数据保留在 Purple 中，仅需重新指向 WLAN

报价单中很少出现两项成本。一是员工用于分发和重置访客验证码的时间成本。二是合规监管风险。UK GDPR 罚金最高可达 1,750 万英镑或全球年营业额的 4%（以较高者为准）。

平台安全性方面，Purple 已通过 ISO 27001、Cyber Essentials 和 B Corp 认证，并符合 GDPR 和 CCPA 标准。其运行可用性达到 99.999%（Purple 数据）。

如何针对您的 Ruckus 网络环境做出决策？

请将您的实际情况与建议进行匹配：

您的实际情况	建议方案
单个场所，仅提供访客 WiFi 作为基础服务，无营销需求	使用 Ruckus 原生访客接入
已为员工部署 Cloudpath，访客仅需赞助接入	使用 Cloudpath 赞助式访客工作流
拥有多个 Ruckus 场所，市场部门需要向访客发送邮件	通过 WISPr 和 Northbound Interface 使用 Purple 访客 WiFi
Ruckus 混合其他供应商设备	在所有供应商设备上统一部署 Purple
长租公寓、学生公寓或包含住户与访客的 MDU 园区	住户使用 DPSK，访客使用 Purple Portal 页面
包含长住客房和会议代表的酒店	员工使用 802.1X，长住者使用 DPSK，访客和代表使用 Purple 门户
再次光临的访客应自动连接	Purple 门户加上 Ruckus Hotspot 2.0 上的 Passpoint

然后向您的团队提出五个问题：

1. 谁拥有访客数据？ 如果是市场营销部门或运营部门，您需要一个外部平台。
2. 未来三年内您将运营多少个场所和供应商？ 业务增长或收购更倾向于使用一个独立于硬件的门户。
3. 您今天能否证明已获得同意？ 如果不能，GDPR 第 7 条规定已经构成了合规差距。
4. 住户或长住客人是否需要私有网络？ 如果需要，请在访客门户之外规划 DPSK 或 SecurePass。
5. 您是否正在从 SmartZone 迁移到 RUCKUS One？ 外部门户随您移动，因此您只需重新指向一个 WLAN，而无需重建访客接入。

常见问题解答

Purple 能否配合我现有的 Ruckus 接入点和控制器工作？

是的，Purple 可以运行在您现有的 Ruckus 设备上，无需添加新硬件。它通过 Hotspot (WISPr) WLAN、北向接口和 RADIUS 连接到 SmartZone。在 RUCKUS One 上，它使用第三方强制门户 (WISPr) 网络类型。同一个门户也可以运行在 Cisco Meraki、HPE Aruba、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。Purple 支持中心内的 Purple 的 Ruckus 设置文章列出了当前的配置步骤。

我是否需要从 SmartZone 迁移到 RUCKUS One 才能使用外部强制门户？

不需要，这两个平台都通过 WISPr 支持外部强制门户。您今天就可以将 Purple 连接到 SmartZone，并在迁移时保留它。在迁移到 RUCKUS One 的过程中，门户、同意记录和访客数据都会保留在 Purple 中。您只需在 RUCKUS One 控制台中重新创建一个 WISPr 网络，并将其指向相同的门户和 RADIUS 服务器。

Ruckus 上的外部强制门户符合 GDPR 标准吗？

是的，前提是门户能够正确记录同意信息。GDPR 第 7(1) 条要求您证明每位用户均已同意。Purple 会存储带有时间戳的记录，说明谁在什么时间同意了哪些条款。明确选择的 Opt-in 机制可将营销同意与接受条款分开。Purple 已通过 ISO 27001 认证，并符合 GDPR 和 CCPA 标准。作为数据控制者，您自己的隐私声明和合法依据仍由您自行承担责任。

我能否为住户保留 Ruckus DPSK 或 Cloudpath，同时将 Purple 用于访客？

是的，这在长租公寓、学生公寓和酒店中很常见。住户在其专属的 SSID 和每户 VLAN 上使用 DPSK 或 Cloudpath。访客和公共设施空间则使用单独的 SSID，并通过 WISPr 配合 Purple 品牌门户。如果您希望日后使用统一平台，具备 SecurePass 的 Purple 多租户 WiFi 可替代 Cloudpath 用于住户接入。

从原生 Ruckus 访客接入迁移到 Purple 的工作量有多大？

迁移属于配置变更，并非硬件工程。您只需创建一个 WISPr WLAN，添加放行列表（walled garden）条目，并在每个控制器或 RUCKUS One 场所注册 Purple 的 RADIUS 服务器。然后设计门户和同意书文本。员工、物联网和后台 WLAN 保持原状。Purple 的 Ruckus 支持文章涵盖了针对您控制器版本的具体步骤。

与原生 Ruckus 访客接入相比，外部门户如何获得许可？

原生 Ruckus 访客接入包含在您现有的 SmartZone AP 许可或 RUCKUS One 设备订阅中。外部门户则在此基础上增加了 Connect、Capture 或 Engage 计划下的 Purple 订阅。无论哪种方式，您都无需为新硬件付费。该订阅购买了同意记录、第一方访客数据、跨厂商报告以及原生访客工作流程所不具备的 Passpoint 入网功能。

Passpoint 会取代 Ruckus 上的强制门户吗？

不会，Passpoint 是对强制门户的补充，而非取代它。访客只需通过门户登录一次并接受条款及任何营销选项。Purple 随后会提供 Passpoint 配置文件。在随后的访问中，设备将通过 WPA2 或带有 802.1X 的 WPA3-Enterprise 自动连接，无需经过门户。Ruckus 在 SmartZone 和 RUCKUS One 上均支持 Hotspot 2.0，且 Purple 提供身份提供商角色。