訪客 WiFi 階段作業逾時：平衡使用者體驗與安全性

[片頭音樂 - 專業且輕快的企業電子風格] 主持人：歡迎收聽 Purple 技術簡報。我是你們的主持人，今天我們要探討一個處於網路工程與客戶體驗交界的熱門話題：訪客 WiFi 工作階段逾時（Session Timeouts）。如果您是 IT 經理、網路架構師或場域營運總監，您一定深知這個難題。行銷團隊希望訪客只需連線一次，就再也不會看到登入畫面；而安全性與基礎設施團隊卻看著 DHCP 租約池（DHCP pool）不斷枯竭，並擔心著那些過期且未經身分驗證的工作階段。今天，我們將消除這兩者之間的隔閡。我們將討論如何設定既能讓使用者保持連線，又不會影響安全性狀況或 IP 可用性的逾時設定。 [過渡音效] 主持人：讓我們深入探討技術運作機制。當我們談論「工作階段逾時」時，實際上是指在您的網路控制器上執行的兩種不同計時器：閒置逾時（Idle Timeout）與絕對逾時（Absolute Timeout）。 您可以將閒置逾時視為您的活動監測器。它會持續監控是否有主動的資料傳輸。如果用戶端裝置在指定的持續時間內完全沒有傳送或接收任何資料，控制器就會終止該工作階段。這裡的主要目的是資源回收。它能釋出 DHCP 租約以及分配給那些已實際離開場域但未正式斷開連線裝置的 Access Point 記憶體。 然而，這其中有一個陷阱。現代智慧型手機為了省電，其休眠機制非常激進。當手機休眠時，它們會停止傳輸。如果您將閒置逾時設定得太激進 - 例如 5 分鐘 - 您將會中斷休眠裝置的連線。當使用者從口袋裡拿出手機查看電子郵件時，他們將被迫重新返回 Captive Portal。這是一個糟糕的使用者體驗。對於一般的環境而言，將閒置逾時設定在 30 到 60 分鐘之間是最合適的黃金比例。 現在，讓我們來看看絕對逾時。這是強制執行的計時器。不論裝置是否正在主動傳輸資料，它都決定了工作階段的最大總持續時間。一旦此計時器歸零，工作階段就會被強制結束，使用者必須重新進行身分驗證。 我們為什麼需要這個？它能強制執行每日使用限制，確保使用者定期重新接受您的條款與條件，並強制進行安全性重新驗證。挑戰在於這具有中斷性，它會中斷正在進行的工作階段 - 甚至是 VoIP 通話。因此，您的絕對逾時設定必須與您場域的典型停留時間保持一致。 [過渡音效] 主持人：讓我們來看看一些實際應用建議。這裡沒有萬用的標準答案。 以高流動率的零售店為例。顧客移動迅速。您的目標是獲取精確的客流量分析並可能傳遞精準行銷，同時防止逗留。在這種情況下，15 到 30 分鐘的閒置逾時是最完美的。如果裝置在半小時內無任何活動，代表他們已離開商店。您的絕對逾時應設在 2 到 4 小時左右，以涵蓋最長的典型購物行程。而且您會希望使用 MAC 驗證旁路（即 MAB）來進行 7 到 14 天的無感重新驗證，以追蹤回頭客。 現在，將其與企業級款待業環境（例如飯店）進行比較。旅客期待如同家一般的體驗。如果您強迫他們每四個小時登入一次，您的前台將會收到排山倒海的投訴。在這裡，您的閒置逾時需要長得多 - 4 到 8 小時。旅客去游泳池時會把裝置留在房間裡，這些裝置不應該斷線。絕對逾時應為 24 小時，或者在理想情況下，透過與物業管理系統的整合，直接與退房日期綁定。 最後，考慮像機場或體育場這樣的大型交通樞紐。停留時間變異極大，且 IP 位址耗盡是一個關鍵且迫在眉睫的風險。您擁有成千上萬個瞬態裝置。在這種環境中，資源保存重於無縫的使用者體驗。您需要一個積極的閒置逾時 - 15 分鐘 - 以快速回收 IP。您的絕對逾時可能是 4 小時，且您通常需要手動重新驗證以管理頻寬占用者。 [過場音效] 主持人：在我們進入問答環節之前，我想強調幾個要避免的關鍵陷阱。 第一：不匹配的 DHCP 租約。這是我們最常看到的設定錯誤。不要設定 2 小時的作業階段逾時，卻設定 8 小時的 DHCP 租約。如果作業階段已結束，IP 應該要釋放出來。您的 DHCP 租約時間應該要緊密貼合或僅稍微超出您的絕對作業階段逾時。 第二：忽視 MAC 隨機化。iOS 和 Android 現在預設使用私有 MAC 位址。如果您的網路高度依賴基於 MAC 的重新驗證來提供無縫的回訪體驗，您需要教育使用者。利用您的登入頁面引導他們，如果想要多天的無縫連線，請針對您的特定 SSID 停用 MAC 隨機化。 第三：在黑暗中摸索。善用您的 WiFi 分析。查看您的作業階段長度。如果 90% 的使用者自然會在 45 分鐘內離開，設定 12 小時的絕對逾時只是帶來不必要的風險。請根據實際的停留時間數據來設定您的計時器。 [過場音效] 主持人：讓我們根據常見的客戶問題來進行一次快速的問答。 問題 1：「使用者抱怨每次吃完午餐回來都必須重新登入。我們該如何解決這個問題？」 回答：增加您的閒置逾時。如果午餐時間是一小時，30 分鐘的閒置逾時會讓他們斷線。將其延至 90 分鐘。 問題 2：「我們每天下午 IP 位址都會不夠用，但我們的場地並沒有客滿。為什麼？」 答案：幽靈工作階段。您的閒置逾時（idle timeout）可能已被停用或設定得太長，這意味著數小時前就已離開的裝置仍佔用著 IP 租期。請將閒置逾時縮短至 30 分鐘，並縮短您的 DHCP 租期。 問題 3：「機會性無線加密（OWE）會如何影響逾時？」 答案：OWE 為不需密碼的開放式網路提供個別加密。它不會直接改變逾時的運作方式，但能顯著提高工作階段期間的安全強度，從被動竊聽的角度來看，這讓較長的絕對逾時（absolute timeout）風險稍微降低。 [過渡音效] 主持人：總結來說：工作階段逾時是使用者體驗與網路安全之間的平衡點。利用您的閒置逾時來管理裝置行為與網路資源。利用您的絕對逾時來管理使用者行為與合規性。根據您的特定產業量身打造這些設定 — 飯店業需要長計時器，零售業需要中等計時器，而高密度運輸則需要積極的計時器。 協調您的 DHCP 租期，將 MAC 隨機化納入考量，並讓您的分析數據引導您的設定。只要做好這點，您就能減少技術支援工單、保障網路安全，並提供顧客所期待的無縫連線。 感謝收聽本次的 Purple 技術簡報。我們下次見，祝您維持網路安全，並讓您的顧客隨時保持連線。 [片尾音樂 - 漸弱]