您又回到了大廳。一位訪客正瞇著眼看列印卡片上的密碼。員工的筆記型電腦在會議進行到一半時斷線。管理建築物的人員無法說明目前有誰連接在網路上。這種混亂情況在飯店、辦公室、診所和購物中心屢見不鮮，這也是為什麼企業 WiFi 在多年前就已不再只是一項附帶禮遇的原因。
當只有幾台筆記型電腦加入單一辦公室時，共用密碼運作良好。但當訪客、承包商、收銀機、攝影機和門禁系統全部擠在同一個無線空間時，它就會宣告失效。訪客期望順利上網，員工期望通話不中斷，設施管理人員期望大樓設備持續運作。沒有人能憑記憶審計這種混雜的網路環境。
為何 WiFi 會成為核心業務服務
接待櫃檯上的卡片已是過時做法。在 2010 年代初期，公共無線網絡不再是稀罕物，而是成為人們在已造訪場所（如車站、飯店、商店和市政廳）中普遍使用的服務。
英國的公共 WiFi 熱點數量從 2013 年 6 月的 33,851 個增加到 2014 年 6 月的 41,798 個，一年內增加了 7,947 個地點，成長約 23.5%，而 2013 年 6 月的公共 WiFi 流量達到 1,514,630 GB。到了 2015 年 9 月，英國 22 個城市的 1,000 多棟建築已安裝免費 WiFi，九個城市的數百輛公車和路面電車提供了連線服務，超過 260 萬名不重複使用者使用了該交通運輸連線方案，這些成果均與超極速連線城市計畫（Super-Connected Cities programme）及 2012 年倫敦奧運會期間的連線基礎建設並行（英國公共 WiFi 成長報告）。
建築物採用的配置
這種擴展遍及交通、旅宿、零售和公共場館。飯店、車站和市府辦公室突然間營運起一項被顧客視為理所當然的服務。員工帶了筆記型電腦來，雲端工具則預設連線永遠穩定。天花板上的基地台成了共用的基礎設施，不再是能在清閒的日子隨手關閉的福利。
建築管理準則：如果顧客、員工和訪客都期望在您的建築物內連線上網，那麼無線網絡就是建築物運作機制的一部分。
對於管理場地而非鋪設纜線的人來說，這種轉變非常實用。您不再需要決定是否提供 WiFi。您要決定的是誰可以加入、他們可以存取哪些內容，以及在下次整修、更換供應商或替換裝置後，要如何確認這種網路劃分依然有效。
企業 IT 也繼承了相同的期待。行動辦公、訪客存取以及支援數據傳輸的營運流程，全部都在相同的無線環境中運行。會議室中的斷線與卡在登入頁面的訪客都是服務失效，即使問題出自設計的不同環節。請將此服務視為需要治理的項目。單一扁平化網路無法同時承載顧客、員工與建築系統。
訪客與員工 WiFi 承擔不同的工作
在熱鬧活動期間，訪客連接了大廳 WiFi，而員工則在使用櫃檯後方的系統。這兩種連線雖然傳輸於同一棟建築物中，但不應擁有相同的存取權限。訪客與員工 WiFi 需要獨立的存取規則，而攝影機和門禁控制器等設備也需要獨立的權限限制。
核心觀念：獨立的區域運作方式就像建築物中的不同區域。訪客可以進入大廳，而員工和建築設備則僅能存取其工作所需的空間。
訪客流量是暫時性的。飯店住客、顧客、病患家屬和活動參與者需要簡單的連線方式，且存取權限僅限於網際網路。員工流量用於支援電子郵件、業務紀錄和支付工具等工作，因此存取權限應與授權人員或受控設備綁定。設備流量則完全不同。印表機、會議室控制面板、攝影機和門禁控制器通常沒有人員即時操作，其維護工作可能屬於供應商或物業管理團隊。
將這三個群組放在同一個未受限制的網絡中，就像給每位訪客一把後勤辦公室的鑰匙。一部受感染的手機、一次意外的點擊或一個舊的外包商帳號，都可能暴露支付系統、員工記錄或建築控制系統。
核心觀念：隔離是一項持續執行的營運規則，而非一次性的設定。辦公室搬遷、供應商變更、臨時活動以及設備更換，都可能逐漸降低原始邊界的可靠性。
網路在首次安裝時可能劃分良好，但隨著建築物的變化而逐漸偏離。新的無線基地台可能會繼承寬鬆的設定；供應商可能會新增設備卻未更新存取規則；臨時活動的連線可能會在活動結束後繼續保持啟用。風險並非網路當初設計不佳，而是其權限不再符合使用每個空間或裝置的人員。
實用的檢查方式是測試每個區域可以存取哪些資源。訪客 WiFi 上的手機是否能連接到收銀機、臨床工作站或建築物控制器？不只在安裝時，在裝修、更換供應商或替換設備後，都應再次執行此檢查。訪客 WiFi 指南 說明了如何規劃訪客存取。
核心觀念：只有當區域的存取規則符合其用途，並隨著場地的變更進行檢查時，該區域才有價值。
簡短的區域檢查
- 訪客區域：僅限網際網路存取，無法路由至員工系統、支付設備或建築控制系統，且簽署登入程序可被撤銷。
- 員工區域：供授權使用者或受控裝置存取，並留存加入紀錄。
- 裝置區域：僅限已知設備，限制對外存取，且在設施管理或供應商合約中指定明確負責人。
如果您無法在一張紙上畫出這些區域及其允許的連線，表示邊界可能已經偏移。大型場地即使最初的設計很完善，也可能因日常變更而失去隔離性。
以身分識別為基礎的存取：從密碼到憑證
共享密碼就像是把同一把鑰匙複製到卡片、白板和十幾部手機上。當有人離職或該卡片被拍照時，若不為仍在建築物內的每個人更換密碼，就無法收回該鑰匙。
802.1X 改變了連線的處理順序。在允許裝置連線之前，驗證伺服器會先確認是誰或什麼裝置申請加入。隨後基地台與裝置會針對該次連線協商專屬的金鑰。由於沒有單一的通用密碼，密碼外洩不會導致整個樓層暴露於風險中。這讓個別撤銷權限變得可行，同時能留存連結身份與裝置的完整紀錄。
英國國家網路安全中心（NCSC）將加密裝置憑證列為決定裝置能否加入網路的最有效控制措施之一，並建議在無線存取中使用結合 WPA2-Enterprise 或 WPA3-Enterprise 的 802.1X（詳見 NCSC 影子 IT 指南）。連線至網際網路的基地台也屬於 Cyber Essentials 的基礎設施合規要求，因此無線網路是位於安全防禦邊界之上，而非獨立於防禦邊界之外。
檢查如何運行
- 裝置請求加入員工網路。
- 無線基地台本身並不信任該請求。它會將驗證轉交給驗證伺服器。
- 伺服器會針對該使用者或裝置驗證憑證或目錄帳戶。
- 只有在驗證通過後，該連線階段才會收到專屬的加密金鑰。撤銷一台筆記型電腦的存取權限，不會強制要求整層樓的其他裝置更換密碼。
憑證適用於受控管的筆記型電腦與手機。IT 部門發放裝置專用的憑證，一旦移除該憑證即可撤銷存取權限。目錄登入（包含單一登入 SSO）適用於已有公司帳號的員工。當該帳號被停用時，無線網路存取權限應在當天一併中止。受限的裝置存取路徑則適用於無法儲存憑證的設備。這些設備不會加入員工網路，而是被劃分至狹窄的獨立網段，並給予可單獨刪除的存取憑證。
共用的名稱和共用金鑰也會讓冒充網路變得更加容易。邪惡雙胞胎基地台可以廣播熟悉的網路名稱，並收集人們早已知道的密碼。在將螢幕上顯示的名稱視為已連上自家網路的證明之前，建議先了解如何 識別邪惡雙胞胎 WiFi 威脅。
當有人離職時，您只需撤銷該人員或裝置的權限，而不需要重新印製大廳的卡片。
設計兼具容量與彈性的網路
基地台就像是交流道的匝道，寬頻線路則是高速公路。如果高速公路塞車，再寬的匝道也無濟於事；如果每台裝置都在爭奪同一段無線頻寬，再快的線路也幫不上忙。
Ofcom 的 Connected Nations 2024 報告發現，截至 2024 年 7 月，英國有 75% 的場所（包含住宅與企業）採用了至少 30 Mbit/s 的寬頻，高於原先的 72%；同時全光纖涵蓋率已達到約 59% 的場所，在有提供服務的區域中，申辦使用率為 35%（750 萬個場所），且約有 7% 的場所（包括中小企業）透過固定無線存取使用了品質良好的寬頻（Connected Nations 2024）。
擁有高速專線的光纖市區辦公室，與線路較頻寬較有限的郊區飯店，兩者所擁有的預留頻寬完全不同。雲端應用程式、語音、視訊、身分驗證以及突如其來的訪客流量，都會消耗該線路資源。上傳頻寬不足或中繼傳輸擁塞，將會破壞精心規劃的無線布局，而較舊的商業大樓往往要等到大廳擠滿人時，才會暴露這個瓶頸。
額外頻譜，而非替代品
英國機構可將 6 GHz 頻段中的 5.925–6.425 GHz 部分用於 WiFi 6E 和 WiFi 7，增加約 500 MHz 的額外頻寬，儘管英國分配的頻寬窄於其他某些國家開放的完整 1,200 MHz（Jisc 關於 WPA3、WiFi 6E 與 eduroam 的說明）。會議中心、醫院、交通樞紐、購物中心和體育場等場所，空口時間（airtime）往往在寬頻耗盡前就已用罄。當用戶端支援該頻段時，更寬的 80 MHz 或 160 MHz 通道能大幅提升容量。
6 GHz 並不能取代 5 GHz。它的傳輸距離較短，且較難穿透牆壁，因此它是用來補充更廣泛的覆蓋範圍，而不是淘汰舊有的頻段。網路規劃者獲得的不重疊寬頻道數量，也比一般宣傳冊所暗示的要少，這意味著需要一套符合在地規範的頻道規劃，而非直接照搬其他國家的設計。
評估網路的標準應在於無線空間的繁忙程度，而非基地台包裝上標示的連線速度。
至關重要的檢查項目包括頻道利用率、重試率、漫遊延遲以及每用戶空中時間（per-client airtime）。當病房邊緣的手持設備花費大量時間等待或重新連線時，表面上的連線速率看起來可能依然相當優異。在購買更多硬體之前，請先對建築物進行勘測。在高密度或厚實建材導致盲目猜測成本昂貴的地方，結構化的 WiFi 場勘 就能發揮極大價值。請將 6 GHz 部署在最繁忙的區域與現代化受控設備上，保留 5 GHz 用於覆蓋範圍與較舊的用戶端裝置，並以使用者在樓層間走動的真實方式測試漫遊能力。
Passpoint、OpenRoaming 與 Captive Portal 之比較
訪客登入是一種產品選擇，而非單一的標準頁面。三種主要模式涵蓋了大多數英國場館，它們在使用阻力、回訪率、廠商契合度以及管理成本之間各有不同的權衡。
Captive Portal 是大家熟悉的頁面，包含條款以及通常會有的簡短表單。由於使用者需要停下來輸入，因此摩擦力較高。再次造訪的訪客通常需要重複此步驟。幾乎任何無線基地台都可以呈現瀏覽器頁面，因此互通性相當廣泛。管理負擔主要落在頁面本身、同意紀錄以及後續對收集到的位址所做的處理。這適合需要明確接受條款時刻的單次造訪。
Passpoint（也稱為 Hotspot 2.0）使用設定檔，讓受信任的裝置無需填寫新表單即可連線。首次設定需要較多心力。完成後，再次造訪時的連線過程完全無感，這對於飯店或人們整週使用的園區來說非常重要。您需要支援該設定檔的無線基地台，因此這並非「天花板上的任何機器都能做到」，而更像是一種經過規劃的設計。
OpenRoaming 是建立在 Passpoint 之上的聯盟架構。已經在參與該聯盟的環境中完成驗證的訪客，無需透過新的 Captive Portal 即可加入另一個網路。您可以減少發放本地密碼的時間，更多地依賴裝置支援與聯盟本身的機制。
| 方案 | 登入阻力 | 再次造訪者 | 跨廠商相容性 | 管理負擔 |
|---|---|---|---|---|
| Captive Portal | 每次都要載入頁面 | 弱 | 廣泛 | 頁面、表單、紀錄 |
| Passpoint | 安裝設定檔後極低 | 在該網路上表現強大 | 需要相容設備 | 設定檔與信任機制 |
| OpenRoaming | 跨合作夥伴網路阻力極低 | 在有合作夥伴處表現強大 | 聯盟加上本地設備 | 減少本地密碼管理工作 |
Purple 是這套解決方案中的其中一個平台。它擁有 OpenRoaming 和 Passpoint 認證，讓訪客只需透過電子郵件驗證一次，即可在日後造訪時自動重新連接，並支援與 Meraki、Aruba、Ruckus、Mist 和 UniFi 搭配使用，同時支援舊型設備的 iPSK 以及員工的 SSO。在其之外，傳統的 Captive Portal 或場館自建的 Passpoint 仍然是可行的選擇。
小型酒吧可能只需要一個訪客頁面和隔離的網路。酒店集團則能從自動再次造訪中獲得更多效益。醫院不應將臨床設備放置在訪客漫遊設定檔中。請根據停留時間、隱私責任以及天花板上已有的硬體來選擇最合適的模式。
將第一方 WiFi 資料轉化為可衡量的投資報酬率
第一方 WiFi 數據是訪客在同意該存取流程後，場域所擁有的顧客關係。驗證通過的會話可以顯示造訪、再次造訪以及停留時間。這不是從外部廣告網路購買的猜測數據，也不該成為收集手機上所有資訊的藉口。
分析工具、CRM 連接器與行銷自動化能將獲得同意的訊號轉化為團隊可執行的顧客旅程。飯店能掌握誰在週中再次光臨；購物中心能了解哪些造訪是在活動後發生。選填的問卷調查能加入顧客的親口反饋，而額外加購的安全功能則能確保該通道與網路其餘部分處於相同的安全邊界內。實用的上限在於同意。如果您無法解釋為何要保留某個欄位，就不要保留。
四個您可以自行計算的指標
- 建立基準。計算造訪次數，並統計有多少人在連線前放棄登入頁面。這組數據屬於您的場域，而不是其他地方的基準指標。
- 衡量變化。在新的存取路徑上線後，將完成率與重複造訪次數與您記錄的基準進行比較。
- 僅歸因您可以追蹤的事項。將重複造訪或問卷回答與特定行銷活動或場域變更關聯起來。捨棄任何無法連繫到原因的數據。
- 計算營運時間成本。減少手動索取密碼的要求、減少櫃檯接到「WiFi 斷線」的客服電話、以及減少重新發行共用金鑰的時間，即使行銷不是主要目的，這些都是實質的效益。
餐飲旅宿、零售、醫療照護、交通運輸、活動展演及多戶住宅等場域，各自重視的成功指標並不相同。體育場在乎的是能否在賽事當天的龐大流量壓力下順利完成登入；學生宿舍在乎的是住戶能否穩定連線，且不會在走廊上隨意傳播密碼；診所最在乎的則是訪客流量絕不能觸及醫療系統，顧客回饋反而是次要效益。這份 WiFi 分析指南 將協助您決定可以保留哪些重要數據訊號。
如果您無法指出基準線，就無法證明該專案帶來了回報。
邁出商業 WiFi 的下一步
請從單一場地開始，而非整個園區。以下順序可以確保您在了解誰在使用無線網絡之前，不會盲目購買硬體。
本週列出網絡名稱。寫下手機可以看到的每一個名稱，並記錄訪客、員工和裝置是否已互相隔離。如果底層的傳輸路徑是共享的，列表上的名稱再多也沒有意義。
盤點未被關注的設備。印表機、連網電話、門禁系統和會議室預訂螢幕通常會連上企業 WiFi，且大多屬於物業管理或供應商。英國政府於 2025 年發布的研究指出，常用企業連網設備存在嚴重漏洞，包括未經身份驗證的遠端程式碼執行缺陷、過時的軟體、不安全的設定，以及以高權限 root 使用者身份執行程序（企業連網設備安全性研究）。強度更高的員工登入憑證無法修復一台完全敞開的印表機。
測試網際網路傳輸路徑。確認寬頻或固定無線連線能夠承載尖峰時段的流量。如果線路處於飽和狀態，即使存取層整潔有序，下午 5 點的大廳網絡依然會癱瘓。
為每個群組配對合適的登入模型。受控的員工裝置使用憑證或目錄登入。訪客使用 Captive Portal 頁面、Passpoint 或聯邦漫遊。無法進行現代驗證的任何設備，則使用帶有獨立憑證的嚴格管制區段。當供應商更換設備時，新設備會繼承該區段，而不是獲得通往員工網路的捷徑。
先在一棟建築物進行試點。 選擇人流量最高或需求最迫切的地方，例如仍與訪客共享無線網路空間的付款區域。運作足夠長的時間，以經歷一次變動、供應商造訪和裝置更換。然後檢查訪客隔離是否依然有效。
概念驗證後需審視的事項
請僅專注於以下四個結果：訪客流量無法存取任何內部資源；離職人員在當天即失去存取權限；高密度區域在您選定的指標上保持可用性；登入完成率相較於您的基準有所提升。如果這四項指標表現良好，即可將此模式複製到下一個場域。如果未達預期，請先優化試點場域再進行擴充。在本週結束前，您可以先在訪客最多或最擔憂安全隱患的建築物上，完成 SSID 清單的調整行動。
Purple 為訪客、員工及多租戶大樓提供基於身份驗證的 WiFi，將共用的大廳密碼替換為可精細分段與隨時撤銷的存取權限。如果您的場域需要在同一套基礎設施上同時支援訪客體驗與員工登入，且不希望將無線網路僅視為備用附屬設施，建議從人流量最大或安全漏洞最嚴重的建築物開始著手。歡迎造訪 Purple，與我們討論能在數週而非數月內上線的導入方案。
