如何設定訪客 WiFi：企業安全設定指南

如何設定顧客 WiFi：安全企業組態指南 Purple 技術簡報 [引言與背景 - 約 1 分鐘] 歡迎來到 Purple 的技術簡報系列。我是您的主持人，今天我們要討論一個正好位於網路安全、合規性與客戶體驗交會點的主題：如何在企業環境中安全地設定顧客 WiFi。 如果您是 IT 經理、網路架構師，或者是負責飯店集團、零售物業、體育場或會議中心的 CTO，這場簡報就是專門為您準備的。我們將快速進行並著重於實務，不談空泛的理論。只專注於您需要做出的決策、需要達到的標準以及需要避免的陷阱。 讓我先界定一下問題。顧客 WiFi 已不再是可有可無的福利，而是基本的預期。顧客、購物者、球迷和旅客一抵達就期望獲得即時、可靠的連線。但大多數企業部署它的方式 - 在第二個 SSID 上使用共享密碼，可能再加上一個首頁導頁 - 並不是安全的企業級設計。這只是將家用解決方案套用在商業問題上。當您在大規模營運時，這種差距會產生真正的責任風險：GDPR 下的監管風險、如果您的顧客網路觸及支付基礎架構時的 PCI-DSS 風險，以及一旦密碼外洩後您就完全無法控制的網路。 所以，讓我們來解決這個問題。以下是具體做法。 [技術深潛 - 約 5 分鐘] 任何安全顧客 WiFi 部署的基礎都是網路區隔。在您考慮 Captive Portal、驗證方法或分析之前，您需要將顧客流量與其他所有流量進行硬體隔離。這意味著一個對應到專屬 VLAN（虛擬區域網路）的專用 SSID，並配備預設拒絕存取內部子網路的防火牆規則。 您可以這樣想：您的顧客網路是一個受控的外部區域。您不會給訪客大樓的鑰匙並寄望他們待在正確的房間裡。您是給他們一個獨立的入口、獨立的走廊，並且只允許存取網際網路。其他一概不行。 技術基準如下。建立一個顧客 SSID。套用 WPA2 或 WPA3 加密 - 我們稍後會專門談到 WPA3。啟用用戶端隔離，讓顧客裝置在網路上無法互相看見。阻斷對主要 LAN 的存取。使用專用的 DHCP 範圍。最關鍵的一點 - 在您宣佈完成之前，先用真正的用戶端裝置進行測試。如果顧客裝置可以搜尋到您的印表機、連入管理員介面或投影到會議室螢幕，那麼這個網路設定就還沒完成。 現在來談談 WPA3。如果您在 2026 年部署或更新硬體，WPA3 應該是您的預設選項。自 2020 年 7 月起，Wi-Fi 聯盟已要求所有新裝置進行 WPA3 認證，而來自 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 和 Ubiquiti UniFi 的大多數企業級存取點自 2019 或 2020 年起就已透過韌體支援此功能。您可能不需要新硬體 - 只需要進行韌體審計即可。 WPA3 實際上為您帶來了什麼？有三點在運作上至關重要。第一，等值同時認證 - SAE - 取代了 WPA2 Pre-Shared Key 握手。在 WPA2 之下，如果攻擊者擷取了用戶端與存取點之間的四向握手，他們就可以對其無限期地進行離線字典攻擊。SAE 消除了解決這個問題。即使有人擷取了您認證交換的每個封包，他們也無法推導出工作階段金鑰。 第二，前向安全性。在 WPA2 之下，如果攻擊者在今天記錄了加密流量，並在日後獲取了您的網路密碼 - 無論是透過心懷不滿的員工、網路釣魚攻擊還是資料外洩 - 他們都可以追溯解密他們記錄的所有內容。透過 WPA3 的 SAE，每個工作階段都會產生一個唯一的暫時性金鑰。即使明天密碼遭到破解，昨天的流量仍然保持加密狀態。對於處理房客付款資料的飯店環境，或處理會員卡交易的零售網路而言，這是非常有意義的風險降低。 第三，機會性無線加密 - OWE。這是公共 WiFi 的顛覆者。在傳統的開放網路上，訪客流量是以純文字傳輸。在同一個網路上的任何人都可使用封包監聽程式讀取它。OWE 會自動在每個用戶端和存取點之間協商加密連線，不需要密碼，且不會改變使用者體驗。訪客點擊連線，其工作階段即被加密。這直接解決了 GDPR 關於保護傳輸中個人資料的義務。 現在我們來談談認證層 - 具體來說，訪客實際上是如何進入網路的。Captive Portal 仍然是最常見的機制，而且它仍然很有用，但前提是您要清楚它能做什麼和不能做什麼。Captive Portal 是一個引導和原則工具，它不是您的主要安全性控制措施。安全性來自於 VLAN 區段以及其底下的 WPA3 加密。 Captive Portal 提供給您的是身分與同意。當訪客輸入其電子郵件地址並勾選行銷訂閱核取方塊時，您就已經透過明確的 GDPR 同意擷取了第一方數據。這非常有價值。Purple 的平台每年在 80,000 個場所處理 4.4 億次登入 - 透過訪客 WiFi 入口網站合規擷取的這些數據，正是將成本中心網路轉化為商業智慧資產的關鍵。 對於訪客定期返回的環境 - 飯店連鎖、交通運輸網路、多據點零售 - 您應該著眼於 Captive Portal 之外的身分識別導向引導。Passpoint 和 OpenRoaming 允許裝置在隨後的造訪中自動且安全地進行認證，無需與入口網站進行任何互動。裝置攜帶憑證，網路識別該憑證，接著便會在背景靜默地授權存取。這就是業界所稱的無縫安全引導，也是企業級訪客 WiFi 的發展方向。 針對位於相同實體基礎架構上的員工和企業設備，IEEE 802.1X 是業界標準。在授予網路存取權限之前，它需要每部設備個別向 RADIUS 伺服器 (Remote Authentication Dial-In User Service) 進行驗證。RADIUS 伺服器會比對您的目錄 (Microsoft Entra ID、Okta 或 Google Workspace) 來檢查憑證，並傳回接受或拒絕。如果接受，存取點會動態將設備分配到正確的 VLAN。員工分配到員工 VLAN，承包商分配到受限的 VLAN，訪客則分配到訪客 VLAN。這一切都源自單一的實體基礎架構，且全部自動執行。 這就是 Purple 所謂的「身分導向網路」(Identity-Based Networks)。相同的硬體可為多種使用者類型提供服務，每種使用者都擁有適當的存取權限，並在驗證層而非透過獨立的實體基礎架構來執行控管。 [導入建議與常見陷阱 - 約需 2 分鐘] 讓我先為您說明導入順序，接著介紹我最常看到的的三個陷阱。 導入順序為：架構第一，接著是驗證，然後是入口網頁層，最後才是分析。請勿從入口網頁開始。請從 VLAN 開始，設定正確的防火牆規則，確認隔離功能正常運作，然後在安全的基礎上建立引導上網體驗。 在硬體方面，Purple 以與硬體無關的雲端重疊網路 (cloud overlay) 方式運作。您可以將其部署在現有的 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 或 Fortinet 基礎架構之上。您不需要進行設備汰換。雲端重疊網路負責處理 Captive Portal、同意流程、分析和身分層，而您現有的硬體則負責處理無線電和 VLAN 的強制執行。 接下來是陷阱。 第一個陷阱：混淆了「個別密碼」與「實際網路隔離」。一個使用不同密碼的新 SSID，若與您的員工網路位於同一個廣播網域中，這並非安全邊界，只是表面功夫而已。VLAN 分割才是真正的邊界。如果您尚未確認訪客流量無法到達內部子網路，那麼您的設定工作就還沒有完成。 第二個陷阱：未開啟客戶端隔離 (client isolation)。此設定可防止訪客設備在網路上互相通訊。在某些控制器上，此功能預設是關閉的。請務必將其開啟。能夠接觸到其他訪客設備的訪客設備可能會被用來發動攻擊，這在訪客共用同一個 SSID 的飯店環境中尤其重要。 第三個陷阱：未測試故障開啟 (fail-open) 行為。如果您的 Captive Portal 或驗證服務變得無法使用，會發生什麼事？網路會阻擋所有訪客存取，還是會故障開啟並讓所有人在未經驗證的情況下通過？請深思熟慮後做出決定。對大多數場所而言，故障開啟是正確的選擇 - 訪客不應因為入口網站伺服器暫時無法連線而失去連線。但沒有任何原則控管的故障開啟是一種風險。請明確設定您的備援狀態。 [快速問答 - 約 1 分鐘] 讓我們針對我最常聽到的問題進行快速問答。 「我需要更換我的存取點才能獲得 WPA3 嗎？」可能不需要。請先稽核您的韌體版本。大多數主要廠商的企業級 AP 都支援透過韌體更新來支援 WPA3。 「什麼是安全訪客 WiFi 的最低可行設定？」專用 SSID、專用 VLAN、WPA2 或 WPA3、啟用用戶端隔離、以及防火牆阻擋內部子網路。這是最基本的底線。其他所有功能 - 包括 Portals、分析、身分識別 - 都是在此基礎上構建的。 「如何處理不支援 WPA3 的 IoT 裝置？」將它們放在執行 WPA2 的專用 SSID 上，並隔離在它們自己的 VLAN 中。這是標準的分段做法。請勿將 IoT 裝置與訪客流量混在一起。 「Captive Portal 足以符合 GDPR 合規性嗎？」這只是解答的一部分。您需要明確且知情的同意 - 一個清楚的勾選同意框、指向您隱私權政策的連結，以及何時給予同意的記錄。Purple 的平台可處理所有這些並儲存同意記錄。但單憑 Portal 本身並不代表合規。其背後的數據處理實踐同樣重要。 [總結與後續步驟 - 約 1 分鐘] 總結來說。安全的訪客 WiFi 始於架構，而非美觀。正確設定 VLAN 分段。在您的硬體支援的情況下應用 WPA3 - 且您的硬體可能已經支援。將 Captive Portal 用於身分識別和同意，而非作為您的主要安全性控制。對於回訪訪客和多站點資產，請轉向使用 Passpoint 或 OpenRoaming 進行基於身分識別的引導。並在之上分層部署您的分析平台，將網路從成本中心轉變為第一方商業智慧的來源。 做得很好的組織 - Premier Inn、Harrods、Manchester Airports Group、Pizza Express - 並非運行奇特的基礎設施。他們運行的是標準企業硬體，並搭配處理身分識別、同意和分析層的雲端疊加層。其結果是一個 IT 可以信賴、行銷可以使用，且訪客真正想要連線的網路。 如果您想更深入了解，Purple 在 purple.ai 上提供了一份完整的技術指南，內容涵蓋 RADIUS 設定、WPA3 部署和 Captive Portal 架構。該指南詳細涵蓋了我們今天討論的所有內容，並附有工作範例和設定檢核表。 感謝您的收聽。這是一次 Purple 技術簡報。