Open roaming WiFi 详解：无需 Portal 页面即可登录
Published
如果您的 WiFi 接入点支持 OpenRoaming，为什么访客仍可能无法连接？因为自动登录不仅取决于无线硬件。设备需要可用的配置文件，身份提供商必须对其进行身份验证，且场馆必须接受该提供商的凭据。
对于 IT 团队和场馆管理者而言，理解 OpenRoaming WiFi 的最佳方式是将其视为一种建立信任的新途径，而非保证每位访客都能自动连接。它可以免除重复的登录页面，但并不能免除您在接入策略、后备连接或隐私方面的责任。
目录
- OpenRoaming 取代了什么以及为何 Portal 正在消失
- 访客接入方式横向对比
- 设备如何在无需提示的情况下登录
- 上线前如何验证 OpenRoaming 部署
- 自动接入背后的隐私权衡
- 在取代访客 Portal 前确认您的试点计划
OpenRoaming替代的内容以及传送门即将退场的原因
旅客到达机场，选择访客网络并打开浏览器。他们等待强制门户弹出，输入电子邮件地址或选择社交账号登录，然后接受条款。在航站楼外的咖啡馆，他们重复这一过程。
第二次注册完全无法帮助设备记住其所有者在其他地方已拥有受信任的身份。每个场馆都会将访客视为一个新的引导入网任务。
OpenRoaming（基于 WiFi CERTIFIED Passpoint 构建）改变了这种关系。网络无需要求用户填写另一个浏览器表单，而是可以接受设备已持有的凭据。
试想一下，在参与合作的酒店中均可使用的酒店忠诚度房卡，而不是您必须在每个接待前台填写的注册表单。每家酒店仍可决定该卡可以打开哪些房门。
设备自带身份凭证
该机制包含不同的参与方：
- 设备保存有配置文件。 该文件告知设备可以使用哪些参与网络以及应出示哪个凭据。
- 身份提供商为用户提供担保。 该组织负责对凭据进行身份验证，无需每个场馆都维护单独的访客账户。
- 场馆授权接入。 场馆接受受信任的身份验证结果，并决定设备可以访问哪些网络资源。
配置文件建立后，设备就会自动完成日常连接工作。访客每次进入合作场所时，无需再次点击登录按钮。
这种对比最直观地体现为访客体验流程的变化。
减少交互，并不意味着减少责任
取消表单并不意味着赋予每个经过身份验证的访客无限制的访问权限。场馆仍然控制着 VLAN 分配、接入策略和日志记录。已识别的访客身份应当获得访客权限，而不是获取员工应用或楼宇管理系统的访问权限。
自动入网并不能消除解释可接受使用策略和数据处理规则的必要性。这些通知应当在注册及后续的服务通信中找到合适的展示位置，而不是完全依赖门户拦截界面。
OpenRoaming 因此是一个联合漫游身份框架，而非某一家厂商的 WiFi 产品。它的实用价值在于将认证访客的主体与运营网络的主体进行分离，同时允许场馆保持控制权。
访客接入方式横向对比
| 接入方式 | 访客操作 | 显示门户 | 持有凭据 | 最佳适用场景 |
|---|---|---|---|---|
| 强制门户访客登录 | 打开浏览器页面，选择登录方式并接受条款 | 是 | 无，或社交媒体/短信登录 | 无档案的首次访客 |
| Passpoint 或 OpenRoaming 配置文件 | 一次性安装配置文件；设备自动连接 | 否 | 包含身份证书或凭据的配置文件 | 常客和频繁出差的人员 |
| EAP-TLS 安全网络 | 设备通过移动设备管理（MDM）注册 | 否 | 设备证书 | 员工管理的设备 |
| 每设备预共享密钥（PPSK） | 设备使用其专属密钥连接 | 否 | 基于设备、用户或租户的专属密钥 | 住户、收银机和 IoT 设备群 |
只有当设备支持且场馆接受其身份提供商时，配置文件才能发挥作用。请为不符合这些条件的访客保留基于 Portal 门户的接入途径。
将接入方式与人员或设备进行匹配
强制门户对于尚未与您的机构建立既定信任关系的访客而言仍然十分有用。根据服务的不同，登录可能使用 SSO、Google、Apple、Facebook 或 SMS 一次性验证码，并对接受条款和知情同意进行适当记录。
Passpoint 或 OpenRoaming 配置文件适用于经常光临或在参与场所之间往返的人员。Passpoint 负责处理基于配置文件的网络发现和身份验证；OpenRoaming 则增加了联盟机制，使独立运营的网络和身份提供商能够相互信任。它们相互关联，但并非在每种部署中都可以互换使用。
EAP-TLS 适用于托管的员工设备，因为管理员可以通过移动设备管理 (MDM) 配备设备证书。它并不是一种与之竞争的漫游联盟。它是一种认证方法，也可以应用于基于配置文件（Profile）的接入方式之下。
单设备预共享密钥 (PPSK) 适用于需要实用且可单独撤销凭据的设备。收银机或恒温器无需使用浏览器，且停用一台设备也不应需要在整个资产范围内更改密码。
规划共存方案
场馆可以并行提供这些方法。请将身份映射到相应的 VLAN 并在其间实施防火墙规则，而不是假设仅凭不同的网络名称就能实现隔离。访客应当能够访问互联网，但无法获取通往支付系统或员工服务的路由。
评估 访客WiFi解决方案 时，应评估针对每类受众的入网流程，而不是为所有人选择同一种登录方式。
配置文件本身需要注册途径。场馆或参与的身份提供商可以提供安装，但资格取决于该提供商与接入网络的关系。请测试访客所携带的设备系列，包括其操作系统版本和配置文件安装限制。
决策规则：首先列出您的访客和设备群体。为每个群体分配一种主要接入方式、凭据的所有者以及可用的备用方案。
这项工作通常会表明，其目标并不是废除 Portal 认证页面，而是停止要求本已具备资格的用户重复填写这些页面。
设备如何在无需提示的情况下登录
- 发现与匹配。 设备读取 802.11u 和 ANQP 网络广播，然后将漫游联盟组织标识符 (RCOI) 与存储的配置文件进行匹配。访客无需手动选择 SSID。
- 开始身份验证。 设备使用可扩展身份验证协议（通常缩写为 EAP）方法发起 802.1X 交互。
- 转发请求。 无线接入点或其控制器将身份验证交互传递至接入提供商的 RADIUS 基础设施。
- 查找身份提供商。 身份验证基础设施使用用户身份中的 Realm 将请求路由至相应的提供商。
- 校验凭据。 身份提供商验证证书、基于 SIM 卡的凭据或账户信息，并返回身份验证结果。
- 应用本地权限。 场馆的基础设施在允许正常用户流量通过之前，应用已授权的 VLAN 和接入策略。
无线宽带联盟（Wireless Broadband Alliance）的 OpenRoaming 概述 描述了支持此交换的 Passpoint、联合身份与策略的组合，包括提供商之间基于域名的路由和由证书支持的信任机制。
顺序至关重要。强制门户通常会要求浏览器在设备加入网络后完成接入步骤。而在这种情况下，设备在开始常规数据访问之前就已完成企业级认证。浏览器并非认证接口。
此图表从设备的角度展示了相同的旅程。
设备提供哪种凭据？
配置文件并不一定就是证书。它包含告知设备如何发现符合条件的网络并对其进行身份验证的配置，底层凭据则遵循所选的 EAP 方法。
| EAP 方法 | 设备持有的凭据 | 典型网络 |
|---|---|---|
| EAP-TLS | 客户端证书及关联私钥 | 企业及移动设备管理（MDM）托管设备 |
| EAP-SIM | SIM 卡密钥 | 移动运营商签约用户 |
| EAP-AKA | 用于身份验证与密钥协商的 USIM 密钥 | 运营商签约用户网络 |
| EAP-AKA′ | 具备更强密钥衍生能力的 USIM 密钥 | 较新 AKA 部署中的运营商签约用户 |
| EAP-TTLS | TLS 隧道内的用户名和密码 | 通过证书验证服务器进行身份验证的员工或访客账户 |
使用 EAP-TLS 时，设备会证明其拥有与其证书关联的私钥。使用基于 SIM 卡的方法时，运营商的身份验证基础架构会验证订阅者凭据。使用 EAP-TTLS 时，客户端必须先验证身份验证服务器的证书，然后再发送内部凭据。
这一区别在采购过程中至关重要。支持 Passpoint 的接入点并不意味着目标访客群体中的每种凭据类型都能通过完整的身份验证路径。
服务提供商之间也存在信任关系
RadSec 通过 TLS 在参与调度的基础设施之间传输 RADIUS 信令。双向 TLS 允许对等体使用证书互相验证，因此证书颁发、受信任的根证书、更新和过期都需要进行运维管理。
基于 DNS 的 RADIUS 对等体发现有助于接入提供商为身份域名定位适当的身份验证对等体。它避免了将每个新提供商都当作重新配置单个接入点的理由，尽管路由和联合策略仍必须允许该关联关系。
在进行现场测试之前，工程师应作为一个完整链条来确认已安装的配置文件、广播的 RCOI、域名路由以及支持的 EAP 方法。请同时采集客户端和身份验证日志：完全未选择网络的设备，与在成功发现网络后凭据被拒绝的设备，两者故障类型有所不同。
如何在正式上线前验证 OpenRoaming 部署
根据 CDG 对 WBA 调查的报道，在 2025 年 WBA 对 170 名行业高管的调查中，81% 的受访者计划部署 OpenRoaming，而 25% 的受访者已经在进行部署。这些是规划和上线推广的衡量指标，并不代表特定访客一定能在您的场所成功连接。
使用准备就绪检查表，将兼容的基础设施声明转化为经过充分测试的用户旅程。
测试完整的身份验证链
- 确认联盟参与情况。 明确谁负责颁发凭据，以及场馆如何信任该提供商。记录双方的支撑责任人。
- 测试真实客户端配置文件。 使用场馆所服务的设备系列，包括未托管的访客设备，而不仅仅是工程师准备好的笔记本电脑。
- 验证 RCOI 和 Realm 匹配。 将广播信息和路由与提供商的配置进行比较，避免将发现不匹配误判为密码错误。
- 检查证书链和有效期。 分别检查面向客户端的身份验证信任和 RadSec 对等信任。
- 验证对等节点发现。 确认基于 DNS 的发现能够到达预期的身份验证基础设施。
- 故意破坏首选路径。 测试不可用的提供商和不支持的配置文件，然后验证访客是否能够找到并使用替代的 Portal 门户。
- 检查策略和测量。 确认跨运营商的 VLAN 部署、隔离和计费（包括访客分析系统可观测的内容）。
- 演练凭据吊销。 禁用丢失设备的凭据，并测试后续的身份验证以及对现有会话的处理。
一种实用的测试准则是 在通过测试的结果之外评估测试的相关性，正如 99tests 所讨论的那样。使用预先配置好的测试手机成功连接，并不代表您目标访客的入网流程能够正常工作。
设置明确的发布关口
将身份验证依赖项纳入您的 WiFi网络设计 中，而不是在完成无线电覆盖后再事后补救。全面追踪客户端、接入点、RADIUS和身份提供商之间的故障。
纽卡斯尔在 Purple 上运行着全球首个全市范围的 OpenRoaming 网络，我们也是经过认证的 WBA 身份经纪商。不过，这些资质并不能替代场馆级别的验收测试。
继续或终止决策：在考虑为指定目标人群移除门户之前，必须要求发现、信任、身份验证和回退检查在不同的设备系列上均通过测试。
自动接入背后的隐私权衡
安全身份验证并不等同于匿名使用。设备无需在门户中输入姓名即可连接，但仍会生成将其与其他设备区分开并与其位置关联的记录。
Westermo 的 OpenRoaming 认证公告 为身份提供商介导的认证和持久标识符提供了背景信息。对场所而言，实际问题不在于访问是否已加密，而在于谁能出于什么目的以及在多长时间内查看哪些标识符。
对访客而言，自动连接过程可能看起来十分平淡，即使背后有多个组织在协同参与。
身份验证与匿名性解决的是不同的问题
身份提供商可以在不向场所提供用户密码的情况下对其进行身份验证。然而，场所仍可以接收授权访问、分配策略、记录会话或调查滥用行为所需的信息。
取决于提供商、网络、协议和适用法律，记录可能包括身份验证事件、计费记录、设备标识符、位置信息或匿名化标识符。假名并不自动等同于匿名：机构可能能够关联多次会话或将该标识符连接至某个账户。
以体育场馆的访客为例，其访问权限仅限于特定活动。运营商应明确活动结束后保留哪些连接记录以及保留的原因。请勿将有效的活动访问凭证视为构建无期限出勤历史记录的授权。
员工的受管设备属于另一种情况。其凭据可能在整个任职期间保持有效，但这并不意味着有理由在同一时期内保留每一次与位置关联的会话。凭据有效期、安全日志保留期限和互动数据保留期限需要分别作出决策。
该视频提供了一种向利益相关者解释自动连接功能的补充方式。
确保数据流透明可审查
请在您的 访客网络安全 审查中包含以下问题：
- 身份提供商披露。 列出涉及的组织，并解释各方接收的数据（包括任何跨境数据处理）。
- 证书校验。 记录信任设置的拥有者以及变更审核方式。
- 假名标识符。 确定标识符是否持久存在、谁可以进行解析以及是否可以关联独立的数据集。
- 计费与审计记录。 明确所收集的字段以及谁有权访问或导出这些记录。
- 保留期限。 为每个记录类别（包括备份）指定用途和删除规则。
- 用户通知与同意。 确定数据控制方角色、相关处理依据，以及如何向未成年人、员工、住户和访客进行告知。
- 凭据即时吊销。 为用户提供明确的设备丢失报告途径，并为运营商提供经过验证的处置流程。
同意并不是确定适当法律依据的通用替代方案，隐藏的政策页面也不是有效的通知。请让隐私和法律负责人审查实际的流程，而不是安全 WiFi 的通用描述。
最小化数据接入是一种设计选择。仅靠自动登录本身并不能实现这一点。
在替换访客 Portal 门户之前确认您的试点计划
受控环境中的技术验收检查通过后，先进行有范围限制的试点。选择一个既能观察到回头客、也能观察到没有任何现有配置文件新访客的场地。
为试点项目提供可量化的决策依据
- 选择代表性站点。 让前台或场馆工作人员参与试点，以便他们能够反馈晦涩难懂的注册与回退说明。
- 保留现有访客途径。 确保试点范围外的访客可以轻松找到其网络名称和说明。
- 注册特定群体。 从托管的员工设备以及可验证配置文件资格的常客开始。
- 测量接入体验。 记录首次连接成功率、身份验证失败情况以及符合条件的用户仍需使用 Portal 的频率。将网络发现失败与凭据被拒区分开来。
- 归档数据流。 在扩大注册群体之前，审批数据保留、通知、访问权限和设备遗失处理流程。
- 根据验收标准进行推广。 在评估结果前就成功标准达成一致，并指定负责回退的主责人。
不要仅仅将没有 Portal 门户作为衡量成功的唯一标准。如果设备连接到了错误的 VLAN，或者导致访客无法找到备用接入方式，则不算通过测试。
按照相同测试标准评估服务
如果您正在评估我们的服务，Purple Access 可支持 Passpoint 以及 OpenRoaming，且我们的 免费 Connect 许可证包含访客门户和免费的 OpenRoaming。再次光临的访客在返回时会使用 Secure 网络上的配置文件，而无需通过门户，且该配置文件适用于运行它的每一个场所。请根据您的设备组合测试这些行为，并在将其纳入全面上线之前确认任何附加功能的许可和定价。
推进项目的最有力理由是特定目标人群体验的显著提升，而不是提供了新的接入点设置。请让试点项目专注于那些您能够显著改善其连接体验的人群。
目前哪类访客群体在 Portal 门户上耗时最多？配置文件能否解决该群体的问题？
Purple Access 在提供 Passpoint 和 OpenRoaming 的同时，还提供访客门户，因此您可以在不移除其他访客所需途径的情况下测试自动访问。请访问 Purple Access 以了解 Connect 许可证，并探讨涵盖配置文件注册、基于身份的策略以及您现有接入点回退机制的试点项目。
