Passpoint and OpenRoaming: 完整指南

執行摘要

企業連線需求已從手動、基於 Captive Portal 的訪客存取，轉變為自動化、安全且無摩擦的登入流程。Passpoint（由 Wi-Fi Alliance 定義為 Hotspot 2.0）與 OpenRoaming（由 Wireless Broadband Alliance 協調）代表了這一轉變的標準化。透過利用 IEEE 802.11u 協定與 WPA3 企業級安全性，這些技術允許行動裝置自動發現、驗證並連線到安全的 WiFi 網路，無需使用者手動干預。

本指南為計畫在大型場館、零售環境和企業園區部署這些技術的網路架構師和 IT 總監提供權威參考。我們將探討底層的密碼學握手、同盟架構，以及將這些標準整合到現有無線基礎架構中所需的實際設定步驟。藉由採用這些框架，企業可以消除傳統訪客入口網站的摩擦，同時顯著增強其無線安全防護能力。

技術深度剖析

要了解 Passpoint 和 OpenRoaming，必須先剖析管理其運作的底層協定。Passpoint 的核心是 IEEE 802.11u，這是 802.11 標準的修正案，使無線裝置能夠在建立關聯之前發現網路服務。

在過去，用戶端裝置必須與存取點（AP）關聯並取得 IP 位址，才能查詢網路功能。透過 802.11u，這種發現發生在預先關聯狀態下，使用存取網路查詢協定（ANQP）進行查詢。

802.11u 發現流程

當啟用 Passpoint 的裝置掃描無線電波時，它會偵測到包含 Interworking 元素的信標。此元素表示該 AP 支援 802.11u 並播送其網路類型（例如：私有、免費公開、收費公開）。用戶端裝置隨後發送 ANQP 查詢以請求特定參數，例如：

• 漫遊聯盟組織識別碼（OIs）： 由 IEEE 分配的全球唯一識別碼，代表特定的漫遊合作夥伴或同盟。
• 場館名稱與場館群組： 描述物理位置的中介資料（例如：「第二航廈」或「體育場」）。
• IP 位址類型可用性： 關於 IPv4 或 IPv6 是否可用，以及是否套用 NAT 的資訊。

如果用戶端裝置擁有包含相符漫遊聯盟 OI 的設定檔，它就會啟動驗證流程，而不會提示使用者。

OpenRoaming 同盟架構

OpenRoaming 作為 Passpoint 之上的全球同盟層運作。它建立了由 Wireless Broadband Alliance (WBA) 管理的安全公開金鑰基礎建設（PKI）。此同盟允許身分識別提供者（IDP） - 例如行動網路業者、裝置製造商（Apple、Google）和企業身分識別系統 - 與網路提供者安全地進行對等互連。

驗證是使用 WPA3-Enterprise（或用於相容舊版系統的 WPA2-Enterprise）搭配 Protected Extensible Authentication Protocol (PEAP) 或 Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) 來執行。AP 作為驗證器，將 EAP 封包封裝至 RADIUS（遠端使用者撥入驗證服務）或 RadSec (RADIUS over TLS) 封包中，並將其轉發給身分識別提供者。

RadSec 在 OpenRoaming 中是強制要求的，用以確保本機網路的 RADIUS 代理與全球 IDP 之間透過公開網際網路進行的通訊安全。RadSec 使用 TCP 連接埠 2083 與 TLS 加密，確保使用者憑證和驗證屬性在跨越中間傳輸提供者傳輸期間保持機密。

實作指南

部署 Passpoint 和 OpenRoaming 需要在無線控制器 (WLC)、RADIUS 基礎架構以及 DNS/防火牆設定中採取系統化的方法。

步驟 1：網路基礎架構稽核

確保您的 AP 和 WLC 支援 802.11u 和 Passpoint 版本 2 或 3。驗證您的 RADIUS 伺服器支援 RadSec (RFC 6614)。如果您舊有的 RADIUS 伺服器不支援 RadSec，您必須在 DMZ 中部署 RadSec 代理（例如 FreeRADIUS 或專用閘道）。

步驟 2：防火牆設定

向 OpenRoaming RadSec 代理伺服器開放輸出 TCP 連接埠 2083。確保您的 RADIUS 伺服器上正確設定了 DNS 解析，因為 RadSec 依賴動態委派發現系統 (DDDS) 和 NAPTR 記錄來尋找適當的 IDP。

步驟 3：憑證取得

從授權的憑證授權單位 (CA) 取得經 WBA 批准的 RadSec 憑證。此憑證對於本機 RadSec 代理與 OpenRoaming 聯盟代理商之間的雙向 TLS (mTLS) 驗證至關重要。

步驟 4：無線控制器設定

1. 建立安全的 SSID： 設定新的 SSID 或修改現有的 SSID 以使用 WPA3-Enterprise（或 WPA2/WPA3 過渡模式）。
2. 啟用 802.11u (Interworking)： 在 SSID 上啟用 Interworking 功能。
3. 設定 HESSID： 設定同質 ESSID（通常是其中一個 AP 無線電的 MAC 位址），以唯一識別該網路群組。
4. 新增漫遊聯盟 OI： 新增 OpenRoaming 漫遊聯盟 OI。標準的 OI 為：
   • 5A-03-BE-00-00（免結算，身分由 Google、Apple 或行動電信業者驗證）
   • 5A-03-BE-00-01（已結算，用於商業漫遊協議）
5. 設定 ANQP 參數： 定義場地名稱、場地群組和網路類型。

步驟 5：RADIUS/RadSec 代理設定

將您的本機 RADIUS 伺服器設定為 RadSec 代理。定義路由規則，將包含 OpenRoaming OI 或特定領域網域模式的驗證請求轉發至 OpenRoaming RadSec 閘道。

最佳實務

為確保部署穩定且高效能，請遵循以下產業標準建議：

• **SSID 整合：**請勿為 Passpoint 或 OpenRoaming 建立專用的 SSID。相反地，應將它們合併到單一且安全的企業級 SSID 中。這能最大程度地減少信標（beacon）開銷並節省寶貴的空口時間（airtime）。
• **憑證管理：**為您的 RadSec 憑證實施自動化憑證更新流程。逾期的憑證會立即停止所有 OpenRoaming 認證。
• **通道規劃：**由於 Passpoint 依賴於關聯前的 ANQP 交換，用戶端裝置會花費更多時間進行掃描和查詢。請最佳化您的 5 GHz 和 6 GHz 通道規劃，以減少衝突並確保快速的探測回應（probe response）。
• **領域過濾（Realm Filtering）：**在您的 RadSec 代理伺服器上實施嚴格的領域過濾，以防止不必要的認證流量淹沒聯盟網路。僅轉發符合有效 OpenRoaming 模式的請求。
• **使用者體驗一致性：**確保您的實體場域指標和數位行銷素材告知使用者，他們可以透過 OpenRoaming 自動連線，進而減少對未加密開放式 SSID 的依賴。

疑難排解與風險緩釋

常見故障模式與解決方案

問題：用戶端裝置無法自動連線

• **根本原因：**WLC 上遺失或設定錯誤的漫遊聯盟組織識別碼（Roaming Consortium OIs），或者用戶端裝置未安裝正確的設定檔。
• **緩釋措施：**使用封包分析器擷取信標與探測回應訊框。驗證 802.11u 互連（Interworking）元素是否包含正確的 OI。確保透過 MDM 或佈署入口網站正確佈署用戶端設定檔。

問題：RadSec 連線失敗

• **根本原因：**防火牆阻擋了 TCP 連接埠 2083，或者 RadSec 憑證無效或已逾期。
• **緩釋措施：**在 RADIUS 代理伺服器的 WAN 介面上進行封包擷取。驗證 TLS 握手（handshake）是否成功完成。檢查憑證撤銷清單（CRL）狀態。

問題：認證過程中發生高延遲

• **根本原因：**地理位置遙遠的 IDP，或 NAPTR 記錄的 DNS 解析速度過慢。
• **緩釋措施：**實施 DNS 記錄的本機快取，並確保您的 RADIUS 代理伺服器到區域 OpenRoaming 中樞擁有低延遲的路徑。

投資報酬率（ROI）與業務影響

過渡到 Passpoint 與 OpenRoaming 可在三個主要維度上提供可衡量的業務價值：營運效率、安全性態與數據智慧。

營運效率

透過自動化連線流程，場域因訪客 WiFi 相關支援需求而產生的工單數量顯著減少。櫃檯接待人員與 IT 服務台花費在排查 Captive Portal 失敗和密碼問題的時間更少。

安全性態

傳統的開放式訪客網路會讓使用者暴露於竊聽和中間人攻擊的風險中。Passpoint 強制使用企業級加密（WPA2/WPA3 Enterprise），保護所有空中傳輸流量。這能保護使用者與場域，免受與資料外洩相關的法律責任。### 數據智慧

當與 Purple 等平台整合時，Passpoint 可讓場域流暢地識別回訪訪客。由於裝置會自動連線，場域無需要求使用者重複開啟瀏覽器並登入，即可擷取精確的停留時間與造訪頻率指標。這種持續的數據流可實現高度精準的即時互動策略。