Hotspot 2.0 指南：Passpoint 漫游详解
Published
大家都熟悉这样的时刻：宾客抵达机场、入住酒店或在体育场就座，WiFi 体验又要重新开始。寻找 SSID、打开 Captive Portal、输入电子邮箱或房间号、等待登录页面消失，然后在下一个场所把这一切重来一遍。
Hotspot 2.0 的存在就是为了用更接近蜂窝漫游的方式取代那种重复的繁琐流程。设备应该能够识别可信网络，在后台进行身份验证并建立连接，而无需用户亲自化身为半个网络管理员。如果您想要一个大家都熟悉的关于此痛点的消费者示例，St Christopher's Inns 旅游博客推荐 中的旅行建议和联网技巧就展现了相同的日常烦恼：不稳定的访客 WiFi 和频繁的重复登录。
目录
- Hotspot 2.0 旨在解决的日常体验痛点
- Hotspot 2.0 的底层实际工作原理
- Hotspot 2.0、Passpoint 及其依赖的技术标准
- Passpoint Release 1、Release 2 与 Release 3 对比
- 部署优势与 Hotspot 2.0 的核心应用场景
- 网络入网修复与 IT 服务台的实际情况
- 互操作性限制与 OpenRoaming 架构层
- 在不影响现有正常业务的前提下推广 Hotspot 2.0
Hotspot 2.0 旨在解决的日常网络连接痛点
良好的 WiFi 体验应该是无感的。然而，用户在每个新地方依然会遇到相同的流程 - 全新的 SSID、Captive Portal、表单，以及下次可能还要重复的登录。
这种摩擦在单栋建筑内部很容易被忽略，但在整天的出行行程中会变得令人不适。一台已经知道如何在蜂窝网络上漫游的手机，不应该在每次连接到新接入点时都像一个迷路的访客一样。Hotspot 2.0 正是围绕这一预期设计的，因此网络可以在用户开始手动点击操作之前识别设备并决定其是否具备接入权限。
用户的心理预期在登录页面打破
问题不仅仅在于便捷性。每个 Captive Portal 都会增加延迟，每次重新输入都要求用户用时间换取接入权限，即使该设备已经被身份提供商或受管配置文件识别也是如此。在人们频繁在不同建筑、航站楼或连锁门店之间移动的场所，这一额外的步骤就会演变成日常的技术支持负担。
这就是为什么 Hotspot 2.0 在希望将 WiFi 融入环境而非变成一项任务的场景中最具价值。它的目标是提供人们对移动网络覆盖所期待的相同体验：走进来、连接上、继续前行。酒店住客、通勤者以及使用托管设备的员工都能从中受益，即使每次连接背后的后端工作流程可能大不相同。
实用规则：如果连接过程需要用户记住密码、打开 Captive Portal 或在每次访问时重新输入详细信息，则该网络的作用仍然像访客登记册，而不是真正的准入系统。
Hotspot 2.0 底层实际工作原理
Hotspot 2.0 从发现机制开始，这改变了连接的整体形态。传统的 WiFi 网络通常会等待设备加入后，才披露更多信息。Hotspot 2.0 则允许客户端先询问，然后再判断该网络是否与设备上已存储的配置文件匹配。
设备在加入网络之前会先读取网络信息
802.11u 为客户端提供了一种在关联前查询接入点的方法。这是第一个重要的转变。设备无需先加入然后再解决访问权限问题，而是可以询问这是哪种网络、是否支持正确的身份识别方法，以及设备上的配置文件是否适合该环境。访问网络查询协议（即 ANQP）负责传输这些交互数据，包括运算符身份、漫游联盟信息、场所类型以及支持的认证服务，如 Microsoft 的 Passpoint 文档中所述。
该流程的工作原理就像酒店前台在任何人进入之前就张贴好了房间列表。设备会检查张贴的信息，将其与自身的凭据进行比对，然后才继续操作。如果配置文件不匹配，客户端可以干净利落地停止，而不是误入通用的访客流程并在后续阶段失败。
身份验证发生在网络发现之后，而不是在 Portal 页面之后
一旦设备查找到兼容的网络，就会通过可扩展身份验证协议（EAP）方法使用 802.1X。配置文件可能会要求使用 EAP-TLS、EAP-TTLS 或基于 SIM 卡的 EAP 方法，具体取决于设备的配置方式。最终建立的链路使用 WPA2-Enterprise 或 WPA3-Enterprise，从而实现自动加密连接，如 Microsoft 的 Passpoint 文档中所述。
这就将工作焦点从登录页面转移到了身份管理上。网络现在关注的是证书健康状况、策略匹配以及凭据是否仍然有效。如果证书已过期、身份已被撤销或配置文件错误，访问就应该明确提示失败。
托管部署通常会将该后端与 Cloud RADIUS 服务 结合使用，以便集中处理身份验证。无线接入点广播其支持的功能，客户端选择存储的配置文件，认证栈决定该设备是否属于该网络。用户无需每次都手动进行匹配步骤。
实用的思维模型其实很简单：首先，设备了解网络是谁；然后，检查该网络是否符合其配置文件；接着，展示自己的身份并等待准入决策。
Hotspot 2.0 Passpoint 及其所依赖的标准
手机在 Hotspot 2.0 下加入网络的方式与在 Captive Portal 上不同。设备首先会发现接入点是否广播了正确的属性，接着将该网络与已保存的配置文件进行匹配，然后才开始认证。Wi-Fi CERTIFIED Passpoint 是基于该行为构建的认证层，而 802.11u 提供了关联前发现功能，允许客户端在连接前检查网络。这一认证至关重要，因为它为多个厂商提供了共同的标准，而不是将该功能局限在单一硬件家族内部。该计划的早期规模在 2017 年 4 月的无线宽带联盟参考文档中有详细说明。
Hotspot 2.0 是技术机制，Passpoint 是认证标志
在阅读产品说明书时，这种区分非常有用。如果供应商声明“支持 Passpoint”，通常意味着该设备已通过互操作性计划。如果声明支持 Hotspot 2.0，通常是在描述其底层的发现和身份验证行为。如果提到 802.11u，则是在指关联前公开网络信息的部分。
安全栈位于品牌层下方。802.1X 处理访问控制，WPA2-Enterprise 或 WPA3-Enterprise 负责传输加密会话。客户端仍需要有效的身份证明，无论该身份是证书、基于 SIM 卡的凭据还是其他经过批准的 EAP 方法。这就是 Passpoint 非常适合托管设备和 MDM 驱动的配置文件原因所在。
一个恰当的比喻是每扇门上都装有读卡器的办公大楼。工牌格式很重要，读卡器必须能够识别，且后端策略系统必须在开门前信任该工牌。Passpoint 也遵循相同的逻辑，只不过“工牌”换成了设备配置文件和证书链。
基于证书的设备能够完美契合该模型
对于企业设备集，EAP-TLS 通常是最整洁的选择，因为设备会提供证书，而服务器会根据策略对其进行检查。这使得交换过程具有机器可读性，这正是漫游标准所需要的。它还为网络团队提供了清晰的撤销路径。如果笔记本电脑丢失或手机失窃，可以撤销信任，而无需强迫所有人使用共享密码。
这就是该模型的价值所在。Passpoint 是针对载有身份信息的设备而设计的互操作性框架，将发现、配置文件选择和加密认证紧密结合在一起。
运维思维：如果网络无法区分已配网设备和未知设备，那么它的行为方式仍然与通用的开放 WiFi 系统无异。
Passpoint Release 1、Release 2 与 Release 3 对比
如果您将各个版本视为部署成熟度的不同阶段，而不是功能清单，就会更容易理解。Release 1 建立了自动发现和选择模型。Release 2 增加了在线签约（OSU），以便设备可以通过无线方式获取配置文件。Release 3 增加了对 WPA3-Enterprise 的支持以及可同时承载正常服务和 OSU 配置的单 SSID 模型，如关于 Release 3 的技术和厂商文档所述。
版本对比表比市场宣传总结更具实用价值
| 版本 | 核心功能 | 安全基线 | OSU 支持 | 实际注意事项 |
|---|---|---|---|---|
| Release 1 | 自动发现与选择 | WPA2-Enterprise | 否 | 仅在已存在兼容的配置文件时有效 |
| Release 2 | 新增无线配置文件配置 (Over-the-air) | WPA2-Enterprise | 是 | 适用于首次使用的用户，但部署支持不够统一 |
| Release 3 | 新增 WPA3-Enterprise 和单 SSID 配置 | WPA3-Enterprise | 是 | 完全发挥效益取决于端到端客户端和基础设施的支持 |
关键的运维要点在于 Release 3 并不是一个万能开关。全面推广仍需协调好客户端操作系统、接入点、控制器和认证服务器。如果其中某一层落后，用户体验就会降级到最旧组件所能支持的水平。
OSU 解决了首次连接的问题，但并非能解决所有问题
OSU 之所以重要，是因为没有配置文件的设备就无法进入自动化流程。这对于访客和未经预注册的设备尤为重要。但 OSU 并不能消除对管理的需要，因为配置文件仍然需要被正确颁发、安装和维护。
此外，还需要承认存在兼容性方面的现实情况。某项部署在技术上可能非常优雅，但在不同设备上的表现可能仍不均匀。这就是为什么团队应该根据受支持的路径，而不是宣传口号来思考。问题不在于是否存在 Passpoint，而在于哪些客户端可以顺畅地使用哪个版本。
对于网络团队而言，版本的选择应该遵循身份模型，而不是相反。如果配置文件生命周期已经成熟，Release 3 可以减少摩擦。如果环境仍然依赖手动入网，Release 2 式的配置和备用访问路径就依然至关重要。
部署优势以及 Hotspot 2.0 发挥作用的场景
如果每次访问都从同一个 portal 页面开始，即使酒店大堂、机场休息室或园区楼层看起来很繁忙，对 WiFi 用户来说体验依然很差。当运营商希望访问权限跟随身份和配置文件状态，而不是强制每次连接都通过共享登录页面时，Hotspot 2.0 就发挥了作用。这种转变非常重要，因为它允许网络根据设备分配策略、干净利落地撤销访问权限，并使回头客摆脱 Captive Portal 的循环。
该生态系统足够庞大，足以支持这种模式。Wi-Fi Alliance 目前的技术概览指出，全球已有 2,800 多款独特设备 获得了 Wi-Fi CERTIFIED Passpoint 认证，这表明设备端不再是限制因素 Wi-Fi Alliance 技术概览。同一概览还指出，会员运营商在全球范围内总共服务了 超过 20 亿订户，并运营着 超过 3,000 万个热点，这有助于解释为什么随着公共接入的不断扩张，基于身份的 WiFi 变得愈发重要。
运维价值体现在何处
- 减少 Portal 阻碍：设备无需在每次访问时重复相同的登录步骤即可重新连接网络。
- 更清晰的身份控制：证书或其他托管凭据可将设备精准绑定至相应的策略。
- 更出色的漫游表现：参与合作的网络可以在不同场所识别已注册的设备。
- 降低共享密码泛滥风险：吊销操作仅针对特定设备或配置文件，不会影响其他知晓密码的人员。
这些优势改变了运维支持的工作量。酒店集团可以为托管设备提供可预测的接入路径，同时保持访客引导流程独立。机场运营商也可以为漫游用户做到这一点。企业园区可以为尚未拥有配置文件的设备保留手动登录，同时允许已注册的设备平滑通过身份验证而不会产生额外的摩擦。
增长背景也有助于解释为什么 Web 门户开始变得不堪重负。WBA 对该时期的预测显示，公共 WiFi 热点将从 2015 年的 6,420 万个增加到 2020 年的 4.325 亿个，正是这种扩张使得 Web 门户模式难以在大规模环境下维持。当接入层不断扩大时，手动登录流程体验会迅速恶化。
如果合规性与便利性同等重要，架构选择就会变得更加清晰。与共享密码设置相比，基于身份的 WiFi 能更自然地符合网络分段和访问治理要求，这就是为什么许多团队将其与更强大的策略边界配对使用。有关该运维方法的具体探讨，请参阅 Purple Access 关于 WiFi 的 PCI 合规性指南。
入网引导恢复与 IT 服务台的现实情况
在干净的测试设备上，Passpoint 的体验非常流畅。但当这条顺畅的路径中断时，支持问题便随之而来。没有配置文件的用户、已更换的手机、过期的证书或已被撤销的身份，最终都会变成真实的工单；如果这些情况不够明确，即使标准本身运行正常，部署体验也会显得不可靠。
网络必须明确回答四个问题
如果设备尚未存在配置文件，它将如何获取？当托管的手机被更换时会发生什么？如何在证书意外过期前识别并更新它们？不支持的设备改用什么路径？
这些都是具体的运维问题，而不是抽象的概念。Android 支持 Release 2 在线签约，为用户提供了获取配置文件的标准方式，而对于受管设备而言，通过 MDM 推送配置文件往往是更好的选择。当设备停用时，接入团队仍需监控证书健康状况并删除过期身份。Microsoft 的 Passpoint 指南涵盖了其底层模型
实用规则：将证书生命周期管理视为 WiFi 运维的一部分，而不是寄希望于其他人会记住的后台 PKI 任务。
技术支持队列是检验设计成果的地方。如果设备无法顺畅注册，网络需要一条可预测的恢复路径，就像大门堵塞时建筑物需要一个侧门一样。
精心设计回退路径
良好的 Passpoint 部署会保留访客访问功能。它将已注册低摩擦路径与针对其他所有人的恢复路径区分开来。在实践中，这通常意味着为初次访问者、老旧设备和不支持的操作系统保留 Captive Portal 或其他受控的入网途径。
在多场地环境中，身份服务和 RADIUS 策略使这种隔离变得易于管理。它们让团队能够将已知设备安排在正确的网络上，在需要时撤销访问权限，并对连接人员和原因保持审计可见性。例如，Purple Access 将 Passpoint 与 Cloud RADIUS 以及基于目录的身份验证相结合，以实现这种受控访问设计，但更重要的一点在于运维：当预先规划好后备路径时，渐进式访问的效果最佳。
支持团队的核心问题应该始终一致：当自动化失败时，用户会看到什么？如果答案是什么都没有，网络团队将不得不通过工单和临时变通方案来承担这种失败。如果答案是具有可视化诊断功能的清晰回退机制，那么部署就能保持可维护性。
互操作性限制与 OpenRoaming 层
最常见的错误是假设一旦启用 Passpoint，它就能在所有地方正常工作。事实并非如此。设备支持参差不齐，且联盟层同时取决于客户端能力和配置文件的可用性。技术来源指出 Android 12 及更高版本支持 Passpoint Release 3，而 iPhone 仍停留在 Release 1，这意味着同一场所可能会在其用户群中看到不同的行为，详情请参阅 Purple 的 Passpoint 互操作性指南。
设备支持和配置文件支持并非一回事
这种区别非常重要。手机可以支持该标准，但如果没有有效的配置文件，仍然无法连接。另一部手机可能拥有漫游配置文件，但如果其平台支持有限，仍可能会降级连接到备用 SSID。这些是不同的故障，需要不同的解决方案。
OpenRoaming 扩展了联盟层，这意味着它有助于参与身份和参与场馆更轻松地找到彼此。它并不能消除对设备支持、配置文件配置或不支持客户端的访客路径的需求。对于实际的部署规划，这是正确的思考模型：联盟扩大了覆盖范围，但不会消除不兼容性。
如果您正在权衡访客连接的替代方案，Simsima 的旅行 WiFi 计划 中关于更广泛的旅行和访客 WiFi 规划讨论提醒我们，漫游的便利性只能解决部分问题。其余问题仍然归结为谁可以身份验证、谁不能，以及场馆保留了哪些备用方案。
在实际网络中经得起考验的独特观点是：Passpoint 是一种渐进式访问层，而不是完全取代访客入网。当已注册的设备自动无缝通过，而其他所有人落在安全、受控的替代方案上时，它的效果最好。这种分层方法在理论上可能不够完美，但它更符合设备和身份功能的实际情况。
在不影响现有正常业务的前提下推出 Hotspot 2.0
合理的部署应该从目标受众开始，而不是从固件开始。受管设备应通过 MDM 获取配置文件。首次访问的访客应在支持的情况下获得标准化的入网路径（例如 OSU）。其他所有人仍应拥有受控的备用 SSID，因为仅适用于已登记设备的网络并不是一个完整的访客接入策略。
接入点（AP）端需要具备常见的先决条件：802.11u 支持、RADIUS 或 AAA 集成以及正确的 ANQP 广播。然后，运维端需要能够反映真实情况的指标：配置文件安装成功率、EAP 失败代码、漫游身份验证延迟以及按操作系统统计的备用降级率。缺乏这些指标，您就只能盲目指望网络状况有所改善。
Purple Access 的三 SSID 规划模型 是构建该架构的一种方式，但即便没有产品名称，决策规则也很简单：对已登记且具备身份的用户使用 Passpoint，为其他所有人保留一个受控的备用 SSID，并对两者都进行测量。
如果您正在规划部署，Purple Access 可以帮助您围绕支持的设备构建身份、配置文件和备用降级层。探索 Purple Access，了解 Passpoint、Cloud RADIUS 和受控访客入网如何融入分阶段部署，且不会干扰既有正常运行的业务。
