Passpoint (Hotspot 2.0) 如何顛覆顧客 Wi-Fi 體驗

Passpoint 如何顛覆顧客 Wi-Fi 體驗 Purple 技術簡報 — 長度約 10 分鐘 --- 引言與背景 — 約 1 分鐘 歡迎收聽 Purple 技術簡報系列。在接下來的十分鐘裡，我將帶您了解一項坦白說多年前就該取代 Captive Portal 的技術 — Passpoint，也就是大家熟知的 Hotspot 2.0。 如果您正在管理飯店集團、零售物業、體育場館或任何顧客會重複連線的場域之 Wi-Fi 基礎架構，您幾乎肯定遇到過同樣的瓶頸：顧客抱怨每次都必須重新登入、您的 IT 服務台不斷接到關於 Wi-Fi「以前能用，現在不行」的報修電話，以及您逐漸意識到 iOS 14 和 Android 10 的 MAC 位址隨機化已經悄悄破壞了您的重新驗證邏輯。 Passpoint 就是解決所有這些問題的答案。但它不是一個魔法開關 — 它是一個經過精心設計的協定，需要深思熟慮的部署。那麼，讓我們開始深入探討。 --- 技術深挖 — 約 5 分鐘 讓我們從 Passpoint 解決的核心問題開始，工程師稱之為「網路選擇問題」。 在傳統 Wi-Fi 中，您的裝置會掃描已知的 SSID（網路名稱），如果識別出其中一個，就會進行連線。這很簡單，但也很脆弱。它需要先前的連線記錄，無法告訴您該網路的安全狀況，也不支援場域之間的漫遊。每次顧客走進您的飯店，他們的裝置都必須手動指向您的網路，然後被 Captive Portal 攔截，再透過網頁表單進行驗證。這就是摩擦。而在 2026 年，摩擦就是一種競爭劣勢。 Passpoint 完全改變了這種模式。裝置不再尋找網路名稱，而是尋找支援其憑證的網路。在嘗試連線之前，裝置就會詢問無線基地台：「你支援我的身分識別提供者嗎？」如果答案是肯定的，驗證就會自動進行。沒有登入頁面。沒有密碼提示。無需手動選擇。這就是應用於 Wi-Fi 的行動漫遊模式。 實現這一點的機制稱為一般廣告服務（Generic Advertisement Service，簡稱 GAS），並結合了存取網路查詢協定（Access Network Query Protocol，簡稱 ANQP）。當啟用 Passpoint 的無線基地台廣播其 Beacon 時，它會包含一個稱為互連元素（Interworking Element）的資訊 — 基本上是一個宣告「我支援 802.11u」的標記，而 802.11u 正是支撐這一切的 IEEE 修正案。您的裝置看到該標記後，會發送 GAS 請求，並在該請求中透過 ANQP 查詢詢問：「你支援哪些 Roaming Consortium 組織識別碼？」無線基地台隨即做出回應。如果與裝置上已有的設定檔相符，就會啟動完整的 WPA2 或 WPA3 Enterprise 驗證握手。 該驗證使用 IEEE 802.1X（企業有線網路中使用的基於連接埠的存取控制標準），並結合 EAP 方法。最常見的是使用憑證的 EAP-TLS、安全傳輸使用者名稱和密碼的 EAP-TTLS，以及用於行動電信商 SIM 卡驗證的 EAP-SIM 或 EAP-AKA。 其結果是獲得一個經過雙向驗證且完全加密的工作階段。裝置向網路證明其身分，網路也向裝置證明其身分。這種雙向驗證可以防止困擾開放式 Wi-Fi 環境的邪惡雙生仔攻擊（Evil Twin Attacks）和中間人攻擊。 現在，您會與 Passpoint 一起聽到的一個詞是 OpenRoaming — 這是無線寬頻聯盟（Wireless Broadband Alliance）的聯盟框架。這裡有一個關鍵的區別：Passpoint 是車輛，OpenRoaming 是高速公路系統。 Passpoint 定義了裝置如何探索網路並向其進行驗證。OpenRoaming 則定義了信任生態系統，允許身分識別提供者（例如 Google、Samsung 或行動電信商）與存取提供者（您的飯店、體育場、零售物業）相互信任彼此的憑證，而無需在每對夥伴之間簽署雙邊協議。OpenRoaming 使用帶有 RadSec 通道（即基於 TLS 的 RADIUS）的星狀拓撲 PKI 模型，在聯盟中代理驗證請求。免結算 OpenRoaming 的關鍵 Roaming Consortium OI 是 5A-03-BA。您可能還需要廣播舊版的 Cisco OI (00-40-96)，以相容於較舊的裝置和 Samsung OneUI 設定檔。 從安全合規的角度來看，Passpoint 是一次重大升級。WPA3-Enterprise 使用 192 位元安全模式並強制執行轉向保密（Forward Secrecy）— 每個工作階段都使用唯一的加密金鑰，因此即使一個工作階段遭到破解，也不會洩露歷史流量。對於受 PCI DSS 約束的組織（特別是處理刷卡交易的零售環境）或受 GDPR 個人資料保護義務約束的組織，Passpoint 基於憑證的驗證意味著您無需透過網頁表單收集認證資訊，這大大減少了您的資料處理暴露面。 接著是 MAC 位址隨機化。現代 iOS 和 Android 裝置預設會隨機化其 MAC 位址。這破壞了傳統 Captive Portal 的重新驗證流程 — 裝置在每次存取時看起來都像新的一樣。Passpoint 對此免疫。驗證是基於憑證而非基於 MAC 的。不論顧客裝置當天的 MAC 位址是什麼，回頭客每次造訪都能無縫連線。這對您的 Wi-Fi 分析也有重大影響 — 如果您使用的是 Purple 的分析平台，憑證式驗證將恢復您回頭客數據的準確性。 --- 部署建議與常見陷阱 — 約 2 分鐘 讓我為您說明實際的部署情況。 基礎架構要求雖然比 Captive Portal 更複雜，但對於任何運行企業級硬體的組織來說都是完全可以實現的。您需要通過 Passpoint 認證的無線基地台 — 目前來自 Cisco、Aruba、Ruckus 和 Ubiquiti 的大多數企業級 AP 都支援此功能。您需要一個支援 EAP 的 RADIUS 伺服器、用於憑證管理的 AAA 基礎架構，以及理想情況下用於自助式設定檔配置的 OSU（線上簽約）伺服器。 設定工作主要圍繞四個要素：您的 ANQP 設定（定義 AP 在關聯前廣告的內容）、您的 Roaming Consortium OI、您的 NAI Realm 定義（告知裝置您支援哪些 EAP 方法），以及您的場域資訊（裝置用來顯示網路相關內容）。 對於大多數場域，我最強烈的建議是採用雙 SSID 策略。為回頭客和已註冊使用者運行一個 Passpoint SSID，並為首次造訪者保留一個 Captive Portal SSID。將 Captive Portal 作為引導註冊的管道 — 在首次造訪驗證流程結束時，提供安裝 Passpoint 設定檔的選項。這種漸進式註冊模式讓您兩全其美：首次存取簡單，後續返回無縫。 現在來談談陷阱。我見過最常見的部署失敗是將 Passpoint 直接作為 Captive Portal 的替代品，卻沒有建立引導註冊流程。如果顧客不知道如何安裝設定檔，或者 OSU 流程太過繁瑣，採用率就會停滯不前。請務必投資於配置體驗。 第二個陷阱是憑證管理。如果您使用帶有裝置憑證的 EAP-TLS，您需要一個健全的 PKI 生命週期管理。過期的憑證會悄無聲息地中斷受影響裝置的驗證 — 而您的服務台往往是最後一個知道的。請自動化憑證更新並主動監控過期情況。 第三：不要忽視對舊型裝置的支援。Passpoint 需要 iOS 7 或更高版本、Android 6 或更高版本，以及 Windows 10 或更高版本。這涵蓋了絕大多數現代裝置，但 IoT 裝置和一些較舊的企業配發硬體將需要替代的存取路徑。 --- 快速問答 — 約 1 分鐘 Passpoint 是否適用於現有的無線基地台？如果是過去五年內的企業級硬體，幾乎肯定可以 — 請檢查規格表中的 Wi-Fi Alliance Passpoint 認證。 我還能透過 Passpoint 收集顧客資料嗎？可以，但機制有所轉變。資料收集發生在設定檔配置時（在 OSU 流程或 App 註冊中），而不是在每次登入時。這實際上更符合 GDPR 規範，因為同意是一次性且明確擷取的。 需要品牌形象宣傳頁面的場域該怎麼辦？Passpoint 連線在設計上是隱形的，因此不適用傳統的宣傳頁面。但是，如果您整合了會員 App，您可以在連線後觸發 App 內通知或推播訊息。一些營運商使用混合模式，在註冊 Passpoint 之前，首次造訪仍需通過品牌入口網站。 加入 OpenRoaming 是免費的嗎？透過無線寬頻聯盟，可以免費使用使用 5A-03-BA OI 的免結算層級 OpenRoaming。包含分析和營利功能的商業層級可透過 WBA 成員獲得。 --- 總結與後續步驟 — 約 1 分鐘 總結來說：Passpoint 不是未來的技術 — 它是一個成熟、基於標準的協定，已在全球主要機場、連鎖飯店和體育場館部署。對於您的組織而言，問題不在於是否採用，而是在於何時以及如何採用。 如果您管理的是飯店集團、零售連鎖店或有回頭客的大型場域，投資報酬率非常明確：減輕服務台負擔、提高顧客滿意度、降低合規風險，以及獲得不會因 MAC 隨機化而失真的準確分析數據。 您的後續步驟非常簡單。首先，稽核您現有的 AP 設備是否通過 Passpoint 認證。其次，評估您的 RADIUS 基礎架構，並確定是否需要 OSU 伺服器進行自助式配置。第三，設計您的雙 SSID 策略和引導註冊流程。第四，如果您正在考慮 OpenRoaming 聯盟，請與無線寬頻聯盟或像 Purple 這樣能為您處理聯盟對接的平台供應商聯絡。 以上是 Purple 關於 Passpoint 和 Hotspot 2.0 的技術簡報。如需完整的書面指南、架構圖和實際部署範例，請造訪 purple.ai。感謝您的收聽。