成为 OpenRoaming 接入网络提供方：部署指南

只需八个步骤，即可在您现有的接入点上成为 OpenRoaming 接入网络提供商。您只需添加一个通过 IEEE 802.1X 保护的 Passpoint (Hotspot 2.0) SSID，将其指向 Purple 的云端 RADIUS，并广播 OpenRoaming 联盟标识符。作为经过认证的 WBA 身份代理，Purple 可以将您的场馆连接到该联盟，只需凭 Connect 许可证即可免费使用。

{"slot":"hero","alt":"在酒店大堂中，网络管理员正在笔记本电脑上查看无线仪表板，而前景中的手机显示其已自动加入 WiFi","caption":"OpenRoaming 场馆：拥有配置文件的访客无需登录页面即可加入加密的 WiFi。","prompt":"Photographic, natural light, modern hotel lobby. A network manager at a desk with a laptop showing an abstract wireless dashboard, no readable text or logos. In the foreground a phone shows a connected WiFi icon. Calm palette with soft purple accent lighting, nobody looking at the camera, no brand marks."}

完成配置后，您的 OpenRoaming 场馆会是什么样？

每个站点都将广播一个启用了 Passpoint 的额外 SSID。Passpoint（也称为 Hotspot 2.0）构建于 IEEE 802.11u 之上。它允许手机自动发现并加入网络，无需用户手动从列表中选择。

该 SSID 会广播 OpenRoaming 漫游联盟组织标识符 (RCOI)，即该联盟共享的标签。任何持有来自 OpenRoaming 身份提供商匹配配置文件的手机都会自动加入。

登录采用 IEEE 802.1X，即 WPA2-Enterprise 和 WPA3-Enterprise 背后的基于端口的身份验证标准。数据传输从第一个数据包开始即被加密。完全无需 Captive Portal（即在提供网络访问前要求输入电子邮件或代金券的网页）。

身份验证通过 Purple 的云端 RADIUS 运行。RADIUS（远程用户拨号认证服务）是您的接入点用于询问两个问题的协议：该设备是否允许接入？以及分配到哪个 VLAN？

完成后，您将拥有：

• 每个站点一个 Passpoint SSID，基于模板构建并指向 Purple 云端 RADIUS。
• 一个隔离的访客 VLAN，与员工、POS 机和楼宇系统保持隔离。
• 您现有的访客 SSID 和 Captive Portal 保持不变，以便没有配置文件的访客使用。
• 每笔 OpenRoaming 登录记录都会记录在 Purple 中对应的场馆下。
• 您的场馆将列入全球 500 万以上的 OpenRoaming 热点名录中。

加入 OpenRoaming 前您需要准备什么？

在预约变更窗口之前，请确认以下每一项。固件往往是拖延部署精度的主要因素。

{"caption":"OpenRoaming 场馆的先决条件","asOf":"2026-06-10","columns":[{"key":"item","label":"先决条件"},{"key":"why","label":"重要原因"},{"key":"check","label":"如何确认"}],"rows":[["Purple Connect 许可证","OpenRoaming 免费包含在 Connect 中","在 Purple 账户中检查每个场馆的套餐"],["支持 Passpoint 的 AP","AP 必须广播互通元素并响应 ANQP 查询","查阅每个型号的厂商数据手册"],["Hotspot 2.0 固件","相关支持通常来自固件升级而非硬件更新","对照厂商的发布说明核对运行版本"],["WPA2- 或 WPA3-Enterprise","OpenRoaming 使用 IEEE 802.1X 进行身份验证","Enterprise 选项出现在 SSID 安全选项中"],["仪表板或控制器管理员权限","您需要添加 RADIUS 服务器和 SSID","使用您自己的账户打开 SSID 设置"],["至 Purple 的出站 RADIUS","AP 或控制器必须能够访问 Purple 云端 RADIUS","对照 Purple 提供的值审查防火墙"],["专用访客 VLAN","将访客与员工网络及支付网络隔离","交换机 Trunk 上的 VLAN 及具有空闲配额的 DHCP 地址池"],["配有配置文件的测试手机","验证端到端接入流程","手机的 WiFi 设置中列出了该配置文件"]],"footnote":"Hotspot 2.0 支持情况因型号和固件版本而异。请在计划施工前对照厂商文档进行确认。","download":{"filename":"openroaming-anp-prerequisites.csv"}}

您需要输入的数值

Purple 会在入职接入期间提供所有联盟参数值。请勿从论坛帖子中复制 RCOI 或 Realm 值。哪怕只是一个数字错误，也会导致所有安装了配置文件的手机无法匹配您的网络。

参数值	来源	填入位置
RADIUS 服务器主机与端口	您的 Purple 入职资料包	控制器或仪表板 RADIUS 设置
RADIUS 共享密钥	您的 Purple 入职资料包	相同的 RADIUS 设置
RCOI 值	Purple，匹配 WBA OpenRoaming 规范	SSID 的 Hotspot 2.0 设置
NAI realm	您的 Purple 入职资料包	SSID 的 Hotspot 2.0 设置
场馆名称、分组和类型	您自己	Hotspot 2.0 场馆信息
访客 VLAN ID	您的网络团队	SSID VLAN 设置或 RADIUS 策略

OpenRoaming 接入网络提供商是如何工作的？

OpenRoaming 是由无线宽带联盟（WBA）运营的联合体系。它包含两个角色。接入网络提供商（ANP）负责运行无线射频设备，也就是您。身份提供商（IDP）负责颁发和核对访客的凭据。典型的身份提供商包括移动运营商、设备制造商和应用发布商。

一次登录包含以下六个阶段：

1. 您的 AP 会广播包含 OpenRoaming RCOI 的互通元素。
2. 配有匹配配置文件的手机会发送接入网络查询协议（ANQP）查询。它会在关联前读取您的场馆、Realm 及财团详细信息。
3. 手机与网络建立关联并启动 802.1X。其 EAP (可扩展身份验证协议) 方法取决于身份提供商。
4. 您的接入点将请求发送至 Purple 云端 RADIUS。
5. Purple 通过 RadSec 跨联盟转发该请求，RadSec 是传输于 TLS 内部的 RADIUS (RFC 6614)。OpenRoaming 通过基于 DNS 的动态对等节点发现 (RFC 7585) 来查找正确的身份提供商。
6. 身份提供商接受该凭据。Purple 会应用您的场所策略（包括 VLAN），接入点则会安装加密密钥。

Purple 负责处理联盟环节。WBA 证书、RadSec 会话和 Realm 路由均保存在 Purple 的云端 RADIUS 中，而非您的控制器上。访客的凭据由其身份提供商在 EAP 交互内部进行核对，因此您的场所永远不会存储该凭据。身份提供商指南 解释了信任关系是如何建立的。

{"kind":"flow","direction":"lr","caption":"OpenRoaming 登录如何跨越您的网络","alt":"流程：从访客设备通过您的接入点和 Purple 云端 RADIUS，到达 OpenRoaming 联盟及访客的身份提供商，最终设备在访客 VLAN 上上线。","nodes":[{"id":"a","label":"访客设备","sub":"包含 OpenRoaming 配置文件","tone":"neutral"},{"id":"b","label":"您的接入点","sub":"广播 RCOI 并响应 ANQP","tone":"brand"},{"id":"c","label":"Purple 云端 RADIUS","sub":"接收 802.1X 并应用场所策略","tone":"brand"},{"id":"d","label":"OpenRoaming 联盟","sub":"使用 WBA 证书进行基于 TLS 的 RadSec 传输","tone":"neutral"},{"id":"e","label":"身份提供商","sub":"核对访客凭据","tone":"neutral"},{"id":"f","label":"在访客 VLAN 上上线","sub":"已加密，无需 Captive Portal","tone":"success"}],"edges":[{"from":"a","to":"b","label":"ANQP 查询","style":"solid"},{"from":"b","to":"c","label":"通过 RADIUS 进行 802.1X 认证","style":"solid"},{"from":"c","to":"d","label":"Realm 查找","style":"solid"},{"from":"d","to":"e","label":"RadSec","style":"solid"},{"from":"e","to":"c","label":"Access-Accept","style":"dashed"},{"from":"c","to":"f","label":"已分配 VLAN","style":"solid"}]}

如何逐步设置 OpenRoaming？

请在打开控制面板的同时按顺序完成以下步骤。每个步骤都有对应的检查项，通过前请勿继续下一步。厂商之间的差异将在后续章节中介绍。

{"title":"成为 OpenRoaming 接入网络提供商","steps":[{"title":"在 Purple 中启用 OpenRoaming","body":"确认您的 Connect 许可证涵盖范围内的每个场所，并接受 OpenRoaming 条款。Purple 作为已认证的 WBA 身份代理，将完成联邦接入引导。","check":"Purple 显示范围内的每个场所均已启用 OpenRoaming。"},{"title":"审计接入点固件","body":"列出每个型号及其运行的固件。检查设备厂商的发布说明以获取 Hotspot 2.0 支持情况，并首先填补所有差距。","check":"清单表上的每个型号都已标记为支持 Passpoint。"},{"title":"添加 Purple 云 RADIUS","body":"从 Purple 入职指南中添加 RADIUS 主机、端口和共享密钥。在防火墙上允许其出站访问。","check":"测试身份验证收到回复，而不是超时。"},{"title":"创建 OpenRoaming SSID","body":"使用 WPA2- 或 WPA3-Enterprise (802.1X) 安全协议创建一个新的 SSID，指向 Purple RADIUS。请勿附加展示页面。","check":"扫描显示该 SSID 为企业级网络。"},{"title":"开启 Passpoint","body":"在 SSID 上启用 Hotspot 2.0。输入 Purple 提供的 RCOI 和 NAI 领域值，然后输入场所名称、场所类型和互联网接入。","check":"WiFi 分析仪在 Beacon 中显示互通元素和 RCOI。"},{"title":"设置 VLAN 和隔离","body":"将 SSID 映射到访客 VLAN，或接受 Purple 返回的 VLAN。开启客户端隔离和单设备速率限制。","check":"测试设备从访客 DHCP 作用域获取地址。"},{"title":"在一个站点试点","body":"将带有 OpenRoaming 配置文件的手持设备带入覆盖范围。它应该在没有任何提示和 Portal 的情况下直接连接。","check":"Purple 记录针对试点场所的身份验证。"},{"title":"按模板推广","body":"通过站点模板或网络组将 SSID 推送到各个区域，一次一个区域。在样本站点上重复试点检查。","check":"每个站点在 Purple 中都有 OpenRoaming 身份验证记录。"}]}

使用单独的 SSID 还是现有的 SSID？

为 OpenRoaming 构建一个新的 SSID。您的员工网络信任您自己的身份提供商。OpenRoaming 信任联邦中的每一个身份提供商。在一个 SSID 上混用这两者会混淆它们的默认策略。

{"tone":"warning","title":"切勿将 Passpoint 添加到您的员工 SSID 中","text":"OpenRoaming 访客可以通过联邦中的任何身份提供商进行身份验证。在没有单独 VLAN 策略的员工 SSID 上，该访客将进入您的员工网络。"}

选用 WPA2 还是 WPA3-Enterprise？

在所有客户端和接入点型号都支持的情况下选择 WPA3-Enterprise。否则，请使用供应商提供的 WPA2 和 WPA3 混合模式。不要退回到 WPA2-Personal，因为 Passpoint 需要 802.1X。

{"tone":"tip","text":"为 Passpoint SSID 起一个您的员工在扫描时能够识别的名称，然后保持不变。配置好的设备匹配的是 RCOI 和领域，而不是 SSID 名称，因此日后重命名不会破坏登录。"}

如何检查 OpenRoaming 是否生效？

请在三个层面上进行检查：射频、身份验证和策略。低层级的故障会掩盖其上的所有问题，因此请自下而上进行排查。

首先是射频层。使用 WiFi 分析仪确认 Beacon 报文中包含互通元素（Interworking element）和 RCOI。然后确认接入点能够响应 ANQP。运行包含互通支持的 wpa_supplicant 的 Linux 笔记本电脑可以直接读取 ANQP 响应。请将接口名称和 BSSID 替换为您自己的内容。

# Linux laptop running wpa_supplicant built with interworking support
sudo wpa_cli -i wlan0 scan
sudo wpa_cli -i wlan0 scan_results
# Request venue name (258), roaming consortium (261) and NAI realm (263)
sudo wpa_cli -i wlan0 anqp_get <BSSID> 258,261,263
sudo wpa_cli -i wlan0 bss <BSSID>

输出中应列出您的场所名称、RCOI 值以及 Purple 提供的 NAI 领域。如果漫游联盟（Roaming Consortium）字段为空，请返回步骤 5。

接下来是身份验证。将已安装配置文件的移动设备带入覆盖范围，并开启其 WiFi。设备应在无需任何提示的情况下自动连接。随后，Purple 应该会记录该场所的一次已接受身份验证。未安装配置文件的设备不应连接至 Passpoint SSID。这是正确的行为，而非故障。

最后是策略。检查已连接设备的地址、隔离状态以及网络可达性。

{"title":"OpenRoaming 上线检查清单","groups":[{"heading":"射频","items":[{"text":"SSID 在现场的每个接入点上均可见"},{"text":"Beacon 报文中存在互通元素和 RCOI"},{"text":"ANQP 返回场所名称、漫游联盟和 NAI 领域"}]},{"heading":"身份验证","items":[{"text":"已安装配置文件的移动设备无需提示即可加入"},{"text":"Purple 记录该场所的一次已接受身份验证"},{"text":"未安装配置文件的移动设备保持在访客 SSID","why":"确认两个网络互相独立"}]},{"heading":"策略","items":[{"text":"设备地址位于访客 DHCP 作用域内"},{"text":"设备无法访问该 SSID 上的其他客户端"},{"text":"设备无法访问员工或支付子网","why":"PCI-DSS 网络隔离的证明"}]}],"download":{"filename":"openroaming-go-live-checks.csv"}}

Meraki、Aruba、Ruckus、Mist 和 UniFi 的操作步骤有何不同？

这八个步骤在所有平台上都是相同的。不同之处在于 Hotspot 2.0 在各个控制台中的位置。请参考对应固件版本的厂商文档，并输入 Purple 提供的数值。

{"title":"按 AP 平台的 Passpoint 配置","tabs":[{"label":"Cisco Meraki","body":"Meraki 在受支持的型号和固件上将 Hotspot 2.0 作为按 SSID 独立设置项进行提供。","bullets":["在 SSID 上使用 Purple RADIUS 设置 Enterprise 安全认证","在 SSID 上标记访客 VLAN 或接受由 RADIUS 分配的 VLAN","使用配置模板进行多站点部署","详情：[Cisco Meraki 上的 Passpoint](guide:passpoint-configuration-meraki)"]},{"label":"HPE Aruba","body":"Aruba 在 WLAN 的 802.1X 服务器设置旁边，结合 Hotspot 2.0 和 ANQP 设置来组装 Passpoint。","bullets":["确认站点是在 Aruba Central 还是控制器下运行，因为配置路径有所不同","将 RCOI 和 realm 值绑定到 WLAN 的 Hotspot 2.0 设置中","在 WLAN 上映射访客 VLAN"]},{"label":"Ruckus","body":"在 SmartZone 上，Passpoint 使用链接到身份提供者配置文件和 WLAN 的 Hotspot 2.0 运营商配置文件。","bullets":["在身份提供者配置文件中输入 RCOI 和 realm","附加 Purple RADIUS 作为认证服务","通过区域模板应用以实现多站点部署"]},{"label":"Juniper Mist","body":"Mist 在 WLAN 上与 Enterprise 安全认证一同设置 Hotspot 2.0。","bullets":["在 WLAN 模板中构建 WLAN，以便每个站点继承该配置","输入 Purple 提供的 RCOI、realm 和场所值","在 WLAN 上设置访客 VLAN"]},{"label":"Ubiquiti UniFi","body":"Hotspot 2.0 支持取决于您的 UniFi Network 应用和 AP 固件。","bullets":["在计划日期之前确认存在 Hotspot 2.0 设置","将带有 Enterprise 安全认证的 WLAN 指向 Purple RADIUS","在 WLAN 上分配访客 VLAN"]}]}

最常出现的问题是什么，如何修复？

大多数故障都可以追溯到七个原因之一。先找到症状，然后在重新测试前修复原因。

症状	可能的原因	修复方法
SSID 可见，但配有配置文件的手机从不加入	RCOI 缺失或输入错误	重新输入来自 Purple 的 RCOI 值，然后重新检查信标
信标中没有互通元素 (interworking element)	型号或固件缺少 Hotspot 2.0 支持	升级固件或从该 SSID 中排除该型号
手机尝试连接，但随后失败	共享密钥不匹配或 RADIUS 被阻塞	重新输入密钥并打开出站防火墙规则
手机已加入但未获取到地址	VLAN 未 Trunk 或 DHCP 地址池已满	将 VLAN Trunk 到 AP 交换机端口并扩大地址池范围
访客可以看到彼此的设备	客户端隔离未开启	在 SSID 上启用隔离
试点运行正常，但部分站点失败	模板未应用或固件版本较旧	将失败的站点与模板和固件列表进行对比
没有配置文件的测试手机无法加入	预期行为	安装配置文件或使用访客 SSID

RCOI 故障最为常见，因为表面上看起来没有任何异常。SSID 正常广播，射频状态良好，但没有任何手机能够匹配成功。在归咎于手机终端之前，务必先运行 ANQP 检查。

防火墙故障在 Purple 中显示为超时而不是拒绝。拒绝意味着请求已到达且凭据失败。超时则意味着请求从未到达，因此请先检查网络路径。

如果完成这些修复后某一步骤仍然失败，请参阅 Cisco Meraki 上的 Passpoint 配置 以获取详细的检查顺序。相同的检查顺序适用于所有厂商。

OpenRoaming 在您的安全网络中的位置

Purple Access 在您拥有的接入点上运行三个网络。开放网络承载 Captive Portal 登录和 BYOD 入网。安全网络承载 EAP-TLS、身份提供商、Passpoint 和云 RADIUS。xPSK 网络为每个设备或住户提供其专属密钥。在这三个网络上，身份决定 VLAN。

OpenRoaming 属于安全网络。同一平台上的员工使用 EAP-TLS，其证书与 Microsoft Entra ID、Okta 或 Google Workspace 绑定。两个群体均通过 Purple 云 RADIUS 进行身份验证，但使用独立的 SSID 和独立的 VLAN。安全网络支柱 涵盖证书、身份和 Passpoint。安全网络概述 展示了这三个网络如何结合。

两款增益产品配合此工作运行。来自 Captive Portal 的访客营销在 Engage 上运行，详见 访客 WiFi 指南。访客流量的 DNS 过滤在 Shield 上运行。

实际案例：纽卡斯尔的覆盖全市的网络

背景：学生在校园、市中心和有轨电车之间移动。每个地方都意味着不同的网络和不同的登录方式。

解决方案：Purple 将纽卡斯尔建设成为全球首个覆盖全市的 OpenRoaming 网络。Purple 充当了跨联盟的身份经纪人（Identity Broker）。

成果：超过 53,000 名学生现在可以在校园、城市和有轨电车之间无缝漫游，无需再次登录。

{"tone":"proof","title":"纽卡斯尔","text":"Purple 运行着全球首个覆盖全市的 OpenRoaming 网络——纽卡斯尔。超过 53,000 名学生在校园、城市和有轨电车之间顺畅漫游。"}

实际案例：基于 Cisco Meraki 的 40 家连锁酒店集团示例

背景：住客在每家酒店都会遇到 Captive Portal，并且每次入住都要重复登录。IT 部门希望在不购买额外硬件的情况下实现加密登录。

解决方案：团队在所有 40 家酒店中执行了步骤 2 的固件审计。他们在 Meraki 配置模板中构建了一个 Passpoint SSID。访客 VLAN 与物业管理及支付系统保持隔离。现有的访客 SSID 和 Portal 为没有配置文件的访客继续保留。

成果：40 家酒店运行在一个模板上，每家酒店新增一个 SSID，且无需新增任何接入点。拥有 OpenRoaming 配置文件的住客无需通过 Portal 即可加密连接。

对于托管的企业设备，请通过 MDM 推送配置文件；请参阅使用 Intune 部署 Passpoint 配置文件。许可和功能详情请见 Passpoint 和 OpenRoaming 产品页面。

常见问题解答

成为 OpenRoaming 接入网络提供商需要多少成本？

OpenRoaming 免费包含在 Purple Connect 许可证中。如果您的无线接入点固件已支持 Hotspot 2.0，则无需购买新硬件。您的主要成本是人员时间成本：固件审计、每个场所分配一个 SSID 以及在单个场所进行试点。诸如 SecurePass、Verify 和 Shield 等安全附加组件属于独立选项。仅当风险评估有需求时才需添加。

OpenRoaming 能否在我们现有的无线接入点上运行？

可以，前提是您的型号和固件支持 Passpoint。Purple 独立于硬件，作为云重叠网络运行在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 之上。Hotspot 2.0 支持情况取决于硬件型号和固件版本。在承诺上线日期前，请先执行步骤 2 的审计。不支持该功能的旧型号可继续服务于您的其他 SSID。

我们是否仍需要强制门户？

是的，请保留它。OpenRoaming 仅服务于已持有联盟身份提供商配置文件的设备。所有其他访客仍需要带有强制门户或 BYOD 入网流程的开放式访客 SSID。在同一无线接入点上并行运行两者。Passpoint 与强制门户对比指南 介绍了每种登录方式的最佳适用场景。

加入 OpenRoaming 是否需要我们拥有自己的 WBA 会员身份？

不需要。Purple 是经过认证的 WBA 身份经纪商，因此您的场所可以通过 Purple 账户加入联盟。在步骤 1 中启用该功能即表示您接受 OpenRoaming 条款。Purple 的云端 RADIUS 随后会持有联盟证书并处理 RadSec 路由。您的控制器和仪表板无需存储 WBA 证书，因此您无需在本地续订任何额外内容。

OpenRoaming 会对我们的 GDPR 和 PCI DSS 审计产生什么影响？

它会为您提供两项审计所需的证据，而非合规证书。访客凭据由其身份提供商在 EAP 交互内部完成验证，因此您的场所不会存储这些凭据。将 OpenRoaming 隔离在持卡人数据环境之外的独立 VLAN 上，可作为 PCI DSS 范围界定的证据。Purple 拥有 ISO 27001 和 Cyber Essentials 认证，可支持您的供应商尽职调查。

OpenRoaming 能否与我们的员工 802.1X 网络并行运行？

可以，但需在独立的 SSID 上运行。员工继续使用绑定至 Microsoft Entra ID、Okta 或 Google Workspace 证书的 EAP-TLS，身份信息将决定其所在的 VLAN。OpenRoaming 访客接入 Passpoint SSID 并分配至访客 VLAN。两者均通过 Purple 云端 RADIUS 进行身份验证，因此您可以在一处统一监控。切勿为了节省空口时间而合并这两个 SSID。

在多门店/多场所部署 OpenRoaming 需要多长时间？

决定部署进度的是固件审计，而不是配置。在一个试点场所配置 SSID 和 Passpoint 设置只需一个变更窗口。试点通过各项检查后，可通过模板或网络组将相同设置推送到其余场所。对于固件版本混杂的场所，应先按区域安排升级，然后再添加 SSID。

哪些设备可以接入 OpenRoaming 场所？

任何支持 Passpoint 且拥有来自联盟身份提供商的 OpenRoaming 配置文件（Profile）的设备均可接入。当前的 iOS 和 Android 版本均支持 Passpoint，因此只要安装了配置文件，大多数现代手机都符合条件。对于受管理的企业设备，请通过您的 MDM 推送该配置文件。未安装配置文件的设备则继续使用您的访客 SSID，其体验不受任何影响。