Hotspot 2.0、Passpoint 與 NGH 詳解：企業級 WiFi 指南

公共 WiFi 的入網流程在過去一直面臨安全性與便利性之間的根本權衡。傳統的訪客網路依賴開放、未加密的 SSID，並搭配網頁式 captive portals 。雖然網頁登入畫面可以收集行銷同意書，但手動瀏覽器登入會造成使用者體驗摩擦、增加連線中斷率，並使未經身分驗證的無線訊框容易受到封包監聽與中間人攻擊。

Hotspot 2.0、WiFi CERTIFIED Passpoint 和下一代熱點 (NGH) 架構解決了此衝突。透過將關聯前的網路發現和基於憑證的 802.1X 驗證標準化，這些標準提供了電信商級的漫遊體驗，使裝置在進入訊號範圍的瞬間就能安全且自動地連接。

什麼是 Hotspot 2.0、Passpoint 和 Next Generation Hotspot？

雖然 Hotspot 2.0、Passpoint 和 NGH 經常被混用，但它們分別代表技術生態系統中不同的層級：

• Hotspot 2.0 (IEEE 802.11u): 由 IEEE 發布的基準無線協定修正案。它定義了基地台如何廣播網路中介資料，以及用戶端裝置在建立射頻關聯之前如何查詢上游網路功能。
• Passpoint (WiFi CERTIFIED Passpoint): 由 WiFi Alliance 管理的互通性測試與認證計劃。Passpoint 將裝置製造商（Apple iOS、Google Android、Windows）與企業級基地台廠商（Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist）之間的設定檔佈署、SIM 卡驗證及憑證驗證進行了標準化。
• Next Generation Hotspot (NGH): 由無線寬頻聯盟 (WBA) 開發的產業倡議，定義了商業漫遊協議、營運商計費框架及聯合身分交換，作為全球 OpenRoaming 架構的基礎。

IEEE 802.11u 與 ANQP 連線流程的運作方式

在傳統的 WiFi 網路中，裝置在關聯並請求 DHCP 租約之前，無法確定網路是否提供網際網路存取或支援其憑證。Hotspot 2.0 在預先關聯期間使用存取網路查詢協定 (ANQP) 解決了這一低效問題：

1. 指標與探測回應：存取點傳送包含互連元件 (IE) 的 802.11 指標訊框，表示 Hotspot 2.0 功能、場地群組分類和網路存取類型。
2. ANQP 查詢交換：在關聯之前，用戶端會傳送通用廣告服務 (GAS) 請求訊框，向存取點查詢漫遊聯盟組織識別碼 (OI)、網路存取識別碼 (NAI) 領域清單和 3GPP 行動電信商代碼。
3. 設定檔比對：裝置會將存取點功能與已安裝的 Passpoint 設定檔（透過行動應用程式、企業 MDM 或 SIM 卡設定檔安裝）進行比對。
4. 802.1X 驗證：如果找到相符項，裝置會進行關聯並執行 EAP 驗證交握（使用用戶端憑證的 EAP-TLS、使用 MSCHAPv2 的 EAP-TTLS，或使用行動 SIM 認證的 EAP-SIM/AKA）。
5. 加密通道：RADIUS 伺服器驗證認證，並透過 WPA2 或 WPA3-Enterprise 建立個別的動態加密金鑰 (CCMP/GCMP)，確保端到端資料隱私。

比較：Hotspot 2.0 / Passpoint 對比 Captive Portal 對比 OpenRoaming

安全性架構：為什麼 Passpoint 可以消除 MITM 中間人攻擊

標準的開放式公共 WiFi 網路以明文傳輸資料訊框，容易受到被動封包擷取的竊聽。攻擊者還可以部署具有相同 SSID 的「邪惡雙生 (Evil Twin)」存取點，以攔截登入憑證和金融交易。

Passpoint 透過三種安全性機制消除了這些安全漏洞：

• 伺服器憑證驗證：用戶端會對照受信任的根憑證授權單位 (CA) 驗證伺服器身分憑證，防止惡意 AP 冒充。
• 雙向身分驗證：Enterprise EAP 協定可確保網路與用戶端在建立網路存取權之前，皆已驗證彼此的身分。
• 個人單獨加密：成對暫時金鑰 (PTK) 會加密用戶端與存取點之間的每個訊框，防止場域內其他已連線的裝置攔截網路流量。

電信業者流量分流與高密度場域經濟效益

國際機場（例如曼徹斯特機場集團和 AGS Airports）、體育場館及交通轉運站等高密度場域面臨著嚴重的行動網路擁塞問題。室內行動巨集訊號難以穿透現代建築材料，而 5G 毫米波覆蓋範圍仍侷限於特定區域。

Passpoint 讓行動運營商能夠將行動數據無縫分流至現有的企業 WiFi 基礎架構。當運營商訂戶進入場域時，其智慧型手機會透過 ANQP 識別運營商的聯盟 OI，並使用裝置的 SIM 卡自動進行驗證。這既能減輕行動基地台的擁塞，又能為旅客提供可靠的高速數據。

混合場域策略：將 Passpoint 與 Purple Captive Portals 結合

雖然 Passpoint 提供了無縫的連線體驗，但場域行銷與營運團隊仍需要第一手客戶洞察、行銷訂閱同意以及訪客人口統計數據。現代企業採用了混合架構：

1. 首次造訪者：透過品牌專屬的 Purple Captive Portal 進行連線，完成註冊、選擇通訊偏好並接受 GDPR/CCPA 條款。
2. Passpoint 佈署：完成 Captive Portal 流程後，Purple 平台會產生安全 Passpoint 設定檔並安裝至訪客裝置。
3. 後續造訪：在品牌網路中的任何場域再次造訪時，裝置皆會透過加密的 Passpoint 自動連線，無需再次顯示歡迎頁面。
4. 遙測與分析：場域透過 Purple WiFi Analytics 收集完整的停留時間、頻率及區域移動數據，同時提供無縫的訪客體驗。

企業級存取點廠商設定

可以在支援 IEEE 802.11u 的主要企業級無線硬體平台上啟用 Passpoint 和 Hotspot 2.0：

• Cisco Meraki & Catalyst: 在 Dashboard 或 Catalyst WLC 中設定 Hotspot 2.0 設定檔，指派 NAI 領域、3GPP 行動網路及 RADIUS 計費端點。
• HPE Aruba Networking: 透過 Aruba Central 或 AirWave 部署 Passpoint 設定，指定漫遊聯盟識別碼 (RCOI) 與場域名稱 ANQP 元素。
• Ruckus Wireless: 在 SmartZone 或 ZoneDirector 控制器中啟用 Hotspot 2.0，並搭配自動化線上簽入 (OSU) 伺服器對應。
• Juniper Mist: 設定具備雲端 RADIUS 驗證與零接觸設定檔管理功能、由 AI 驅動的 Passpoint WLAN 設定檔。

常見問題