取代獨立的訪客 WiFi、RADIUS 與 DNS 過濾廠商：多據點資產的整併評估案例

當單一機構向三家廠商付費以維運單一連線時，就應該進行整合。訪客登入、員工 RADIUS 與 DNS 過濾在 VLAN 對應、身分識別和記錄檔上相互重疊，導致障礙問題經常跨越不同廠商的責任範疇。Purple 能在您現有的無線存取點上同時運作這三項功能：透過 Purple Access 處理訪客登入與雲端 RADIUS，並透過 Purple Shield 針對各網路及 VLAN 提供 DNS 過濾。

您是否應該將訪客 WiFi、RADIUS 與 DNS 過濾整合至單一平台？

對大多數擁有多個據點的機構來說，答案是肯定的。訪客登入、員工驗證與 DNS 過濾看似是三種產品，但在網路上，它們是依序處理同一個連線，並共用相同設定。

流程如下：訪客連線至 SSID，無線存取點會將他們重新導向至強制入口 - 也就是在存取網際網路前顯示的登入頁面。接著，控制器會詢問 RADIUS 伺服器是否允許連線。RFC 2865 中所定義的 RADIUS，正是無線存取點用來進行該決策的協定。員工裝置則透過以連接埠為基礎的存取控制標準 IEEE 802.1X，使用相同的通訊協定。一旦任一裝置上線，每次 DNS 查閱都會經過過濾服務。

三家廠商意味著針對單一事件需要三份合約、三個主控台、三個支援服務台以及三份記錄檔。WiFi 廠商整合的優勢在於消除這些重複作業。我們的建議如下：

• 完全整合：若單一團隊負責管理 10 個或更多據點的訪客與員工 WiFi，且合約能在 18 個月內協調一致，建議完全整合。
• 整合並保留單一專業廠商：若需求超出 WiFi 存取範圍，例如有線網路的合規性檢查或受管筆記型電腦上的 TLS 檢查，建議整合大部分功能並保留單一專業廠商。
• 保留現有架構直至續約：若解約違約金超過剩餘合約期間所能節省的營運成本，建議維持現狀直到合約到期。

Purple 能在您現有的無線存取點上運作所有這三項功能，無需淘汰現有設備並重新建置。

訪客 WiFi、RADIUS 與 DNS 過濾廠商在哪裡產生重疊？

這些重疊並非行銷話術，而是源自於存放在兩處的設定、存放在三處的身分識別資料，以及三者都會處理的個人資料。

單一機構擁有兩條 RADIUS 路徑

大多數訪客平台本身已具備 RADIUS 伺服器的功能。在許多控制器上，外部強制入口流程會以 RADIUS 授權結束，進而允許訪客連上網路。然而，您的員工網路又會運作第二套 RADIUS 服務，通常是總部的一對伺服器或獨立的雲端 RADIUS 合約。

您等於支付了兩次 RADIUS 費用、為每個據點維護兩組共用金鑰，並需為兩項服務安裝修補程式。透過 Purple，訪客 WiFi 與員工驗證皆採用相同的雲端 RADIUS，每個無線存取點只需指向單一服務。

VLAN 與原則對應重複保留兩份

VLAN 是虛擬區域網路（Virtual LAN），即共用硬體上的邏輯網路區段。RADIUS 可以使用 RFC 3580 中所述通道屬性，在每次接受訊息時一併傳回 VLAN 分配。接著，您的 DNS 過濾廠商會依據 VLAN、子網路或連外 IP 位址套用政策。

因此，「這是訪客網路」與「這是訪客政策」之間的關聯分別存在於兩個主控台中。當您在某個站點重新編號子網路或分割 VLAN 時，兩者必須在同一天變更。如果只有一處變更，員工可能會套用到訪客政策，或者訪客完全未受到任何過濾。

永不交會的三種身分紀錄

訪客平台知道是誰登入以及他們同意了什麼。RADIUS 服務知道哪位員工身分通過驗證。DNS 過濾器則知道哪個 IP 位址請求了哪個網域。

它們彼此之間沒有共用索引鍵。若要回答「當此網域被封鎖時，誰在哪個網路上」，就意味著需要進行三次匯出。接著，您必須統整三種時間戳記格式，並根據 IP 位址與時間進行比對。而在單一平台上，提供給 WiFi Analytics 的登入紀錄會直接與驗證及過濾政策並存。

處理相同個人資料的三家處理者

每家廠商都會處理個人資料：姓名、電子郵件地址、裝置 MAC 位址、IP 位址以及請求的網域。根據 UK GDPR 第 28 條規定，每家廠商都需要各自的處理者合約。根據第 30 條規定，每家廠商都必須列入您的處理活動紀錄中。一家訪客 WiFi 廠商加上 RADIUS 廠商與過濾廠商，意味著一項服務就需要三筆項目。

廠商之間的每次轉交成本為何？

轉交是指工單離開一家廠商的佇列並進入另一家廠商佇列的任何時間點。每次轉交都會增加等待、重新說明與收集證據的時間。以下五種轉交情況經常發生在採用三家廠商的環境中：

1. 訪客無法進入登入頁面。 DNS 過濾器封鎖了強制入口相依的網域，或是作業系統用來偵測強制入口的主機名稱。入口網站廠商回報頁面運作正常。過濾廠商回報政策設定正確。您的網路團隊則必須證明問題出在兩者之間。
2. 員工連入錯誤的 VLAN。 RADIUS 傳回非預期的 VLAN，且 DNS 過濾器對員工裝置套用了訪客政策。兩家廠商共同導致同一個問題徵狀。
3. 離職員工仍保有 WiFi 存取權限。 RADIUS 服務並未與您的身分識別提供者連結，因此停用的帳戶仍可通過驗證。責任歸屬落在人資、IT 與 RADIUS 廠商之間。
4. 訪客抱怨網站遭到封鎖。 回覆此問題需要登入紀錄、網路分配資料與 DNS 記錄。這代表需要從三家廠商進行三次匯出。
5. RADIUS 憑證更新導致員工 WiFi 發生中斷。 驗證舊伺服器憑證的裝置會拒絕接受新憑證。RADIUS 廠商、您的裝置管理團隊以及無線基地台設定全都處於此故障路徑中。

可用於您現有工單資料的實務推算模型

您不需要業界平均值，因為您的服務台已經掌握了這些數據。篩選 12 個月的 WiFi 工單，找出涉及多個供應商的任何工單。然後套用此模型。

以下輸入僅供說明，並非回報的實際結果。請替換為您自己的數據：

• 整個物業資產每月有 30 張涉及多個供應商的工單。
• 每張工單平均轉手兩次。
• 每次轉手需花費 40 分鐘的工程師時間，包括記錄、等待、重新說明以及加入通話。

計算結果為 30 × 2 × 40 = 2,400 分鐘，即每月 40 個工程師小時。一年下來就是 480 小時。在單一 WiFi 平台上，這些跨供應商的轉手程序便不復存在。故障仍然需要修復，但它只會在單一佇列中由單一記錄處理。

在事件發生期間，經過的時間比工程師投入的時間更重要。每次轉手都會將下一個供應商的回應時間累加到您的解決時間中。而您的訪客必須全程等待。

單一平台如何改變您的稽核佐證？

稽核員針對 WiFi 會提出兩類問題：服務是否受到控制？供應商是否受到控制？三家供應商會讓第二個問題的答案增加三倍，並使第一個問題的答案變得零碎分散。

ISO/IEC 27001:2022 附錄 A 控制措施 5.19 至 5.22 涵蓋供應商關係。其中包括供應商協議中的安全性、資通訊技術 (ICT) 供應鏈，以及供應商服務的監控與審查。每家 WiFi 供應商均屬於各項控制措施的範疇。

PCI DSS v4.0 要求 11.4.5 要求在您依賴區隔來縮減持卡人資料範疇時，必須測試區隔控制措施。對於零售商或飯店而言，該測試涵蓋 RADIUS VLAN 分配以及各個區隔上的篩選政策。

佐證項目	三家供應商	Purple 單一平台
供應商安全評估 (ISO 27001 A.5.19 至 A.5.21)	3	1
供應商服務審查 (ISO 27001 A.5.22)	3	1
GDPR 第 28 條處理者協議	3	1
WiFi 處理記錄中指名的處理者	3	1
存取權限審查中的管理員主控台	3	1
保存 VLAN 至政策對應關係的系統	2	1
單一事件需進行關聯分析的記錄檔來源	3	1
需收集的憑證與證明	3 家供應商各一套	Purple 的 ISO 27001 與 Cyber Essentials 憑證

Purple 自 2012 年起開始營運，在全球超過 90 個國家/地區的 80,000 多個上線場地運行。它通過了 ISO 27001 認證、Cyber Essentials 認證，符合 GDPR 與 CCPA 規範，並且是經過認證的 B Corp。單一供應商評估即可涵蓋登入、驗證與篩選。當您變更訪客 VLAN 上的篩選條件時，您的變更記錄只會指名一個系統，而非兩個。

三家供應商、單一平台或混合模式：各自適合的場景

獲益最多的物業資產都有一個共同特徵：同一團隊跨多個據點管理訪客與員工的 WiFi。這適用於 飯店、在每家門市都為顧客提供 WiFi 的 零售 連鎖店，以及在 火車 上為乘客營運 WiFi 的營運業者。

多租戶場域也同樣適用。購物中心 WiFi 中的設計問題，正好對應到劃分獨立的訪客、租戶及員工區段，且各區段皆有其專屬的篩選政策。

評估面向	三家供應商	Purple 單一平台	Purple 加一家保留的專業廠商
合約與續約日期	3 份，通常日期不同	1 份	2 份
WiFi 資料的 GDPR 第 28 條協議	3 份	1 份	2 份
登入故障的支援管道	3 家供應商加上您的網路團隊	Purple 加上您的網路團隊	Purple 加上您的網路團隊
管理控制台	3 個	1 個	2 個
VLAN 與政策對應的所在位置	分別位於 RADIUS 服務與 DNS 篩選器	Purple	WiFi 位於 Purple，專業廠商則負責其自身範疇
是否需要更換無線基地台	否	否	否
每個稽核週期的供應商審查次數	3 次	1 次	2 次
適用對象	解約費用高於剩餘營運成本的資產物業	在 10 個以上據點管理訪客及員工 WiFi 的單一團隊	對 WiFi 以外有篩選或存取控制需求的資產物業

每個選項的營運成本為何？

授權費用只是顯而易見的項目，大部分的營運成本其實隱藏在其他地方。請針對以下六個項目，為您目前的架構建立一份為期三年的評估：

• 授權。 三家供應商通常採用不同的計價單位：按據點、按無線基地台或按裝置。在比較之前，請將其標準化為每個據點的成本。
• 基礎架構。 地端 RADIUS 意味著伺服器、作業系統修補程式與憑證續期。Purple 的雲端 RADIUS 則省去了伺服器的建置與維護。
• 整合維護。 每家供應商都需要專屬的管理員登入機制、API 連線以及裝置管理設定檔。
• 供應商管理。 盡職調查、資料處理者協議審查與年度服務審查都需要進行三倍的工作量。請計算您的資安與採購團隊在各家廠商所耗費的工時成本。
• 事件處理時間。 運用上述的交接模型，並結合您內部的工單資料進行評估。
• 續約時程無法對齊。 三個續約日期代表有三場商務談判以及三個解約通知期需要密切關注。

接著，將 Purple 的報價與該總額、移轉工作量以及任何解約費用進行比對。硬體並不需要列入比較考量。Purple 具備與硬體無關的特性，可作為雲端重疊架構運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 及 Fortinet 之上。為什麼您的下一次 WiFi 升級不需要新硬體 會更深入介紹此模型。

整合的風險為何？又該如何控管？

集中度風險

現在改由單一供應商承擔訪客登入、員工驗證與內容篩選。一旦發生故障，這三者將同時受到影響。然而，採用三家供應商並不會消除這項風險。由於各項服務是依序運作的，因此只要其中任一項發生問題，訪客便無法順利連線上網。

您可以在盡職調查階段落實風險管理。Purple 具備 99.999% 的正常運作時間，每年處理 5 億名使用者與登入作業。請洽詢 RADIUS 與 DNS 解析的容錯移轉機制，並在您的試點據點測試該行為。

員工裝置上的憑證信任

PEAP（受保護的 EAP）將使用者名稱與密碼封裝在 TLS 通道內。EAP-TLS 則使用用戶端憑證而非密碼進行驗證。採用這兩種方法的裝置都會在傳送認證前先驗證 RADIUS 伺服器的憑證。當 RADIUS 伺服器變更時，裝置必須信任新憑證，否則將拒絕連線。

在每個站點切換之前，透過裝置管理推送更新後的 WiFi 設定檔。如何在 iOS 和 macOS 上使用 802.1X 設定企業級 WiFi 說明了適用於 Apple 設備的設定檔結構。此切換點也是在員工 SSID 上審查 WPA3 的好時機。WPA2 與 WPA3 詳細分析了兩者的權衡取捨。

過濾政策對等性

在遷移之前，先匯出每個網路的所有過濾類別、允許清單和封鎖清單。將每項內容對應至每個 VLAN 的 Shield 政策。在試點站點根據舊的封鎖清單測試結果。

與過濾需求的負責人議定簽核標準。負責人可能是維護安全主管、人資或營業場所許可證上指定的人員。

商業重疊期

交錯的續約期意味著您在遷移期間可能會同時支付兩項服務的費用。請整理出每份合約的期限、通知期和解約金。若違約罰款較高，請配合續約日期安排遷移順序。

退場風險

Purple 部署在您自有的硬體上，因此日後若要停用，只需變更控制器設定，而無需更換硬體。在簽約前，請在合約中議定資料匯出與保留條款。

任何 DNS 過濾器都無法消除的限制

DNS 過濾是在名稱解析階段進行。使用 DNS over HTTPS (RFC 8484) 或硬編碼解析器的裝置，可以繞過來自任何供應商的任何 DNS 過濾器。請在防火牆端封鎖流向未核准解析器的外發 DNS。若政策有規定，亦請封鎖已知的 DNS over HTTPS 端點。DNS 過濾是依據網域來做判斷，因此不會檢查網頁內容。

什麼時候該保留專業廠商？

將 WiFi 存取範圍以外的需求保留給專業廠商，並整合該範圍內的所有項目。以下四種情況適合保留既有供應商或延後遷移：

• 託管端點需要的不僅是 DNS 層級的控制。 如果企業筆記型電腦需要 TLS 檢查，或需要隨端點離開站點時仍維持過濾，請為這些端點保留該項服務。在您的 WiFi 網路上執行 Purple Shield。
• 有線連接埠需要以狀態為基礎的存取控制。 針對企業連接埠保留您的有線網路存取控制。訪客和員工的 WiFi 則採用 Purple Access。
• 臨床或營運裝置依賴專用的存取控制。 在 醫療保健 領域，請保留臨床裝置的控制措施。將病患、訪客和員工的 WiFi 整合至 Purple。
• 解約金高於節省的費用。 如果罰款超過合約剩餘期限內所能省下的營運成本，請維持現狀直到續約，屆時再行遷移。

指定的法定篩選標準是一項驗證步驟，而非維持現狀的理由。例如，英格蘭的學校遵循《Keeping Children Safe in Education》規範，該規範要求進行適當的篩選與監控。請在您的試點站點根據該要求驗證 Shield 的類別，然後進行整合。

實務上的整合效益呈現

這些是基於既定假設所建立的實際範例。它們展示了整合的效益運算，而非特定場域的回報結果。

旅宿業：採用 Cisco Meraki 的 60 家飯店集團

現況。 該集團使用一家訪客 WiFi 廠商提供登入服務，並使用兩台總部 RADIUS 伺服器提供員工 PEAP。第三家供應商則在訪客 VLAN 上篩選 DNS。合約在三個不同的季度續約。

方法。 Purple Access 取代既有 Meraki 存取點上的訪客登入與員工 RADIUS。Purple Shield 接管訪客與員工 VLAN 上的篩選工作。推廣部署分六個區域梯次進行，每梯次 10 家飯店。在每個梯次開始前，都會透過裝置管理重新發送員工 WiFi 設定檔。

可衡量的成效。 合約從三份減少至一份，第 28 條協議也從三份減少至一份。淘汰兩台總部 RADIUS 伺服器。以每月 30 張涉及多廠商的工單計算，上述的交接模式每年可省下 480 個工程師小時。

公共部門：擁有 25 間圖書館與休閒中心的市政委員會

現況。 提供給訪客的公共 WiFi 必須篩選成人與違法內容。員工 WiFi 透過獨立的 RADIUS 供應商，經由 802.1X 對 Microsoft Entra ID 進行驗證。第三家供應商則根據每個站點的出口 IP 篩選 DNS。年度稽核要求提供所有這三家供應商的佐證資料。

方法。 Purple Access 負責處理訪客登入與員工雲端 RADIUS。Purple 的身分導向網路（Identity-Based Networks）將員工存取權限與 Microsoft Entra ID 連結，因此新進、調職及離職員工都會依循該處所做的變更。Shield 對公共 VLAN 套用嚴格的政策，並對員工 VLAN 套用獨立的政策。

可衡量的成效。 WiFi 服務的供應商評估從三次減少至一次。篩選客訴的記錄檔來源從三個減少至一個。VLAN 與政策的對應設定，從原本跨兩個系統的 50 個項目減少至單一系統中的 25 個站點。

活動場地：保留一家專業廠商的體育場與會議中心

現況。 該場地向三家供應商分別購買球迷 WiFi、員工 RADIUS 和 DNS 篩選服務。集團 IT 同時也為受管筆記型電腦運作具備 TLS 檢查功能的安全 Web 閘道（SWG）。

方法。 Purple Access 涵蓋球迷與出席者的登入以及員工 RADIUS。Shield 負責篩選球迷與員工 WiFi VLAN。安全 Web 閘道則繼續保留，供場地內外的受管筆記型電腦使用。

可衡量的成效。 WiFi 合約從三份減少至一份。全場地與安全相關的合約從四份減少至兩份。

如何為您的物業環境做出決策

首先檢視您的合約分佈圖與工單資料，然後在下方找到對應的情況。

您的情況	建議
所有三份合約皆在 18 個月內到期	透過單一計劃整合至 Purple：先推行一個試點站點，隨後分區域梯次推動
合約在兩到三年內陸續到期	在各功能約滿時移轉至 Purple，訪客登入與訪客過濾優先處理
單一團隊負責管理 10 個以上站點的訪客及員工 WiFi	整合至 Purple；交接與稽核成本的節省效益會隨站點數量增加而擴大
受管筆記型電腦需要 TLS 檢查或站點外過濾	混合模式：筆記型電腦保留端點服務，並在 WiFi VLAN 上執行 Purple Shield
有線連接埠需要以安全態勢為基礎的存取控制	混合模式：保留有線存取控制，並採用 Purple Access 處理訪客與員工 WiFi
解約費用超過剩餘合約期的維運成本	維持現狀直至續約，屆時再整合至 Purple
過濾必須符合特定法定標準	在試點站點驗證 Shield 類別，隨後進行整合

無論適用哪種情況，請先以貴機構過去 12 個月的工單執行交接模型評估。該數據加上稽核佐證表，通常就能為單一合約整合 DNS 過濾與訪客 WiFi 確立商業論證。

常見問題

Purple 是否相容於我們現有的無線基地台？

是的。Purple 具備硬體無關性，可作為雲端疊加層運作於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 及 Fortinet 之上。您只需將 SSID 指向 Purple 即可處理訪客登入與 RADIUS，無需更換無線基地台。將三個供應商整合至 Purple 僅需在控制器或雲端儀表板上變更設定，並非硬體專案。

Purple 可以取代我們目前用於員工 WiFi 的 RADIUS 伺服器嗎？

可以。Purple Access 包含雲端 RADIUS，可在您現有的無線基地台上透過 IEEE 802.1X 進行員工驗證，因此地端的 RADIUS 伺服器即可淘汰。員工存取權限與 Microsoft Entra ID、Okta 或 Google Workspace 綁定，人員的到職、異動與離職皆會直接同步相應變更。在每個站點進行移轉前，請重新核發 WiFi 設定檔，以確保員工裝置信任新的 RADIUS 伺服器憑證。

DNS 過濾如何與訪客 WiFi 一併授權？

Purple Shield 是您 Purple 方案的安全附加功能，因此 DNS 過濾與訪客登入及 RADIUS 包含在同一份合約中。Shield 依據網路與 VLAN 套用過濾規則。因此，各站點的訪客、員工及公用網路皆可套用不同的原則。您只需管理單一續約日期並進行單一供應商審核，無需維護多份獨立合約。

我們可以逐一移轉供應商，而非一次移轉全部三個嗎？

可以，而且對大多數架構而言這也是最合適的作法。建議從最早續約的合約開始，或是從風險最低的訪客登入與訪客 VLAN 過濾著手。待裝置設定檔準備就緒後，再移轉員工 RADIUS。在展開各區域梯次推動前，先在試點站點執行每個階段。在舊供應商合約終止前，請將 VLAN 與原則的對應關係記錄在同一份文件以供查考。

將所有項目交由單一供應商是否會增加服務中斷的風險？

這會使依賴關係過於集中，因此請直接評估此情況。Purple 在超過 80,000 個實際營運場地中達到 99.999% 的正常運作時間，每年處理 5 億名使用者與登入次數。請在盡職調查期間索取 RADIUS 和 DNS 容錯移轉設計，並在您的試點場地進行測試。採用三家供應商則各自承擔風險：其中任何一家發生故障，都會導致訪客無法上網。

Purple 在訪客與員工資料方面是否符合 GDPR 規範？

是的。Purple 符合 GDPR 和 CCPA 規範，並通過 ISO 27001 和 Cyber Essentials 認證。訪客登入採用主動選擇加入 (opt-in) 機制，因此行銷同意均明確記錄。整合至 Purple 可將三份第 28 條處理者合約整合為一份。您的 WiFi 處理紀錄隨後只需列出一個處理者，即可涵蓋登入、驗證與篩選資料。

在什麼情況下保留現有的篩選供應商更為合理？

僅在超出 WiFi 存取範圍時保留專業廠商。如果受管筆記型電腦需要 TLS 檢測，或是離開現場後仍需隨行的篩選功能，請針對這些端點保留該服務。在您的 WiFi 網路上執行 Purple Shield。如果解約費用高於您所節省的營運成本，請於續約時再行轉換。針對每個網路與每個 VLAN 的訪客與員工 WiFi 篩選需求，Shield 完全能滿足標準。