醫院訪客 WiFi：病患體驗與網路隔離

醫院訪客 WiFi：患者體驗與網路隔離 Purple 技術簡報 — 約 10 分鐘 [前言 — 約 1 分鐘] 歡迎來到 Purple 技術簡報系列。我是您的主持人，今天我們要探討的是企業網路中運作最敏感的 WiFi 部署之一：醫院訪客 WiFi。 如果您是臨床 IT 經理、醫院資訊長（CIO）或醫療網路工程師，您已經知道這裡面臨的挑戰與其他任何場所都不同。這不是一家旅客無法串流播放 Netflix 的飯店。在這種環境中，設定錯誤的 VLAN 理論上可能會將臨床系統（EHR 平台、輸液幫浦、影像設備）與患者的智慧型手機放在同一個廣播網域中。這並非理論上的風險，它確實發生過。其後果從違反法規到患者安全事故不等。 因此，今天我們將探討三件事：如何建構臨床網路與訪客網路之間的完全隔離、如何為患者和訪客提供真正優質的 WiFi 體驗，以及如何衡量其成效。讓我們開始吧。 [技術深入探討 — 約 5 分鐘] 讓我們從架構開始。醫院 WiFi 設計的基本原則是，臨床流量與訪客流量絕不能共享 Layer 2 廣播網域。完全不能。根據英國國家醫療服務體系數位部門（NHS Digital）的數據安全與保護工具包，這是不可妥協的，且符合美國 HIPAA 的技術安全防護要求。 標準做法是 VLAN 切割。您將一個專用 VLAN（假設為 VLAN 10）分配給臨床系統：EHR 工作站、護理呼叫系統、醫療物聯網（IoT）設備、PACS 影像伺服器。第二個 VLAN（VLAN 20）則承載所有訪客和患者的 WiFi 流量。這些 VLAN 透過您的交換器架構進行 Trunk 串接，並終止於下一代防火牆，其中 VLAN 之間的路由若非被完全阻斷，就是受到明確允許規則的嚴格控制。 現在，這正是許多部署出錯的地方。團隊常假設交換器層的 VLAN 隔離就足夠了。其實不然。您需要在三個層級執行此隔離：存取層（access layer）、分發層（distribution layer）和防火牆。如果您的無線基地台是雙 SSID — 同時廣播臨床 SSID 和訪客 SSID — 這些 SSID 必須對應到獨立的 VLAN，且兩者之間不能有橋接。您的無線區域網路控制器必須設定為防止訪客 VLAN 上的用戶端對用戶端通訊，且您應該預設啟用 AP 隔離。這意味著七號病床的患者無法探測八號病床的裝置，即使他們使用的是同一個訪客 SSID。 身分驗證是下一個層級。在臨床網路上，您會需要搭配 EAP-TLS 或 PEAP-MSCHAPv2 的 IEEE 802.1X，並由 RADIUS 伺服器（Microsoft NPS、FreeRADIUS 或雲端 RADIUS 服務）支援。每台臨床設備都應具備憑證或網域認證。臨床網路上絕不可使用 PSK。永遠不要。預先共用金鑰（PSK）是單點故障源 —— 只要有一個憑證遭到破解，該 SSID 上的所有設備就會暴露在風險之中。 對於訪客網路，模式則有所不同。您面對的是可能年長、身體不適或不熟悉技術的患者。身分驗證體驗必須簡單明瞭。在此，搭配一鍵接受或簡單簡訊驗證的 Captive Portal 非常合適。您不會要求剛動完手術、正在康復的患者在個人設備上配置 802.1X。您可以做的是在訪客 SSID 上使用 WPA3-SAE，以確保無線傳輸加密，而無需每個用戶都提供憑證。WPA3 等級同時驗證（SAE）透過使用零知識證明交換，消除了預先共用金鑰的漏洞，因此即使有人擷取了交握（handshake），也無法離線暴力破解密碼。 現在我們來談談頻寬。這是許多醫院 IT 團隊低估需求的地方。如今，單一病床上的患者可能擁有一部智慧型手機、一台平板電腦以及一台智慧電視或床邊娛樂設備。他們會串流播放 Netflix 或 BBC iPlayer、與家人進行視訊通話，並可能使用醫院的患者入口網站。Netflix HD 需要每秒 5 Mbps。4K 串流則需要 25 Mbps。在 FaceTime 或 Teams 上進行視訊通話，雙向各需要 1 到 3 Mbps。因此，每張病床您應該規劃至少 25 Mbps 的可用吞吐量 —— 而這還沒把並行率因素算進去。 在一間擁有 200 張病床的醫院中，如果 60% 的患者在尖峰時間（例如晚上 7 點）主動使用 WiFi，您將面臨訪客網路上總計 3 Gbps 的總需求。您的上行鏈路容量和無線基地台（AP）密度需要相應地進行規劃。我使用的經驗法則是：每個病房分區（ward bay）設置一個無線基地台，而不是每個病房區（ward）設置一個。在一個有 6 張病床的病房分區中，您會希望在每張病床 10 公尺範圍內設置一個 AP，在 5 GHz 頻段上執行以服務對吞吐量敏感的用戶端，並以 2.4 GHz 頻段處理舊型 IoT 設備和較舊的手機。 通道規劃在醫院中至關重要。您面臨著密集的射頻（RF）環境 —— 厚重的混凝土牆、金屬床架，以及會產生干擾的醫療設備。請在部署前使用無線場勘工具，而不是在部署後。使用來自 UNII-1 和 UNII-3 頻段的非重疊通道，規劃您在 5 GHz 頻段上的通道重用模式。保守地設定傳輸功率 —— 您希望基地台（cell）重疊約 15% 到 20%，而不是 50%。功率過高的 AP 會導致同通道干擾，反而會降低吞吐量。 對於臨床網路而言，RF 設計考量更為關鍵，因為您需要支援即時應用程式。護理人員呼叫系統上的 VoIP、病人監視器的遙測串流，以及給藥時的條碼掃描，都需要低延遲和穩定的訊號。每個臨床端點的目標 RSSI 為負 65 dBm，且訊噪比需高於 25 分貝。 [實作建議與常見陷阱 — 約 2 分鐘] 讓我為您說明在醫院 WiFi 專案中常見的三大實作陷阱。 第一：在未經測試的情況下，就假設您的 VLAN 設定是正確的。我曾看過因 trunk 埠設定錯誤，導致訪客 VLAN 流量洩漏到臨床 VLAN 的部署案例。發現這個問題的方法是進行部署後的滲透測試 — 具體來說，就是嘗試從訪客用戶端連線到臨床子網路位址。如果您可以 ping 通臨床範圍內的任何裝置，就代表您的網路隔離失敗了。這應該是上線前必備的強制核可標準。 第二：忽略了 Captive Portal 體驗。醫院通常會把訪客 WiFi 的入口網站當作事後才需要考慮的事。然而，設計不良的入口網站 — 例如會逾時、無法在行動裝置上正常顯示，或需要太多步驟 — 會直接影響病患滿意度評分。在美國，HCAHPS 調查結果包含受 WiFi 品質影響的溝通與環境評分。在英國 NHS 的親友測試（Friends and Family Test）回覆中，也經常將 WiFi 列為影響因素。像 Purple 的 Guest WiFi 解決方案這樣的平台，能為您提供具備品牌特色且針對行動裝置優化的 Captive Portal，並內建分析功能，因此您不只是提供連線，還能收集使用模式的數據，為容量規劃提供依據。 第三：沒有制定頻寬管理策略。如果沒有在訪客網路上實施 QoS 和速率限制，單一病患使用 BitTorrent 用戶端就可能佔滿上行鏈路，降低其他所有人的體驗。請實施針對每個用戶端的速率限制 — 通常每台裝置的下載速度為 5 到 10 Mbps — 並使用 DSCP 標記來讓視訊通話流量優先於批次下載。在訪客 VLAN 的防火牆層級阻擋點對點（P2P）協定。 [快速問答 — 約 1 分鐘] 讓我快速解答一些我經常被問到的問題。 「我們可以在臨床和訪客網路中使用相同的實體無線基地台（AP）嗎？」是的，當然可以 — 雙 SSID AP 是標準做法。這種隔離是邏輯上的（在 VLAN 層級），而非實體上的。只需確保您的 AP 韌體支援 VLAN 標記，且您的 WLC 有確實執行隔離即可。 「訪客流量需要獨立的網際網路上行鏈路嗎？」不一定需要，但您應該使用流量整形，以確保臨床管理流量（例如軟體更新、遠端存取）絕不會因訪客使用而被排擠。如果預算允許，採用專用的訪客上行鏈路是一種雙重保險的做法。 「我們如何處理 WiFi 上的醫療 IoT 設備？」醫療 IoT（如輸液幫浦、遙測監視器）應放在專用的第三個 VLAN 上，與臨床工作站和訪客設備隔離。這樣可以在設備受到危害時限制波及範圍。 「那關於 GDPR 以及透過 Captive Portal 收集的數據呢？」在登入時收集的任何個人資料（例如電子郵件、電話號碼）都必須在合法基礎（通常是同意）下進行處理。請確保您的入口網站條款清晰明確、記錄了數據保留政策，並且與您的 WiFi 平台提供商簽署了數據處理協議。 [總結與後續步驟 — 大約 1 分鐘] 總結來說：醫院訪客 WiFi 不僅僅是一個網路連線專案。它是一項結合了病患體驗計畫、合規性要求和臨床安全考量的綜合性專案。其架構非常直接 —— VLAN 劃分、臨床網路採用 802.1X、訪客網路採用 WPA3、使用 Captive Portal 進行存取、利用 QoS 進行頻寬管理 —— 但在每個層級的執行上都需要嚴謹。 您的後續步驟：如果您在過去兩年內未曾進行過無線網路現地調查，請委託進行一次。審查您的 VLAN 設定並測試 VLAN 間的隔離。對照 HCAHPS 或 Friends and Family Test（親友測試）數據，基準評估您目前的病患 WiFi 滿意度。如果您正在評估訪客 WiFi 平台，請參考 Purple 的醫療保健解決方案 —— 它與他們的 HIPAA 合規指南相結合，能為您提供法規環境的完整輪廓。 感謝您的收聽。完整的技術文件、架構圖和實施檢核表皆可在 Purple 官方網站上的隨附指南中取得。