Passpoint 对比强制门户：如何选择正确的登录方式

{{asset:header_image.png}}

如果您需要仅见面一次的访客提供条款接受、同意书以及第一方数据，请选择强制门户。如果相同的人员会再次光临，且需要通过 IEEE 802.1X（已身份验证和加密访问的标准）自动接入，请选择 Passpoint。大多数多场所设施两者都需要，而 Purple Access 可以在同一个平台上并行运行它们。

Passpoint 还是强制门户：简短的答案是什么？

选择取决于一个问题：您是否已经知道这个人是谁？如果他们在到达之前就拥有身份，Passpoint 则是首选。该身份可能是以下之一：

• Microsoft Entra ID 中的员工账户
• 学生记录
• 住户密钥
• 手机上的 OpenRoaming 凭据

如果您是在门前第一次遇到他们，强制门户则是首选。该门户是条款和同意书出现在屏幕上的唯一位置。

各自的定义。 Passpoint 是 Hotspot 2.0 的认证计划，它基于 IEEE 802.11u 修正案。设备找到 Passpoint 网络，匹配已存储的配置文件，无需任何点击即可完成身份验证。强制门户是一个网页，在访客登录之前将新设备保持在隔离花园中。IETF 强制门户架构，RFC 8952 描述了设备如何检测和处理它。

它们承担不同的职责。 Passpoint 为您已经信任的人群取代了登录页面。而门户则从您尚不认识的人群中获取信任。

在 Purple Access 上，它们位于不同的网络中：

• 开放网络： 强制门户。
• 安全网络： Passpoint。
• xPSK 网络： 针对不支持上述两种方式的硬件，为每个设备或住户提供唯一的预共享密钥。

在这三种网络中，身份都决定了 VLAN（虚拟局域网），即设备落入的网络分段。

哪些标准决定了选择 Passpoint 还是强制门户？

我们根据八项标准对这两个选项进行了打分。每一项都对应 IT 总监在部署后面临的问题。我们仅使用了每个选项公开资料所支持的内容：

• Passpoint： Passpoint 计划 和 WBA OpenRoaming 资料。
• 强制门户： IETF RFC 和供应商门户文档。

八项标准：

1. 接入体验。 用户在第一次访问以及之后的每次访问中需要点击的次数。
2. 空中接口安全性。 设备和接入点之间的流量是否加密以及如何加密。
3. 身份与隔离。 网络何时获知接入者的身份，以及身份是否会自动设置 VLAN。
4. 同意书与第一方数据。 接入步骤是否可以记录条款接受情况和营销勾选项。
5. 设备覆盖率。 哪些设备无需 IT 团队协助即可接入。
6. 漫游。 一次登录是否适用于您的各个场所和合作伙伴网络。
7. 硬件适配度。 您拥有的接入点目前是否支持它。
8. 运维工作量。 您的团队每周需要维护的内容。

价格在此并非判定标准。这两种选项都是在您已拥有的接入点上作为软件运行，因此成本是一个结构问题。我们将在下文的专门章节中对此进行说明。

Passpoint 和 Captive Portal 的对比如何？

对比矩阵在八个标准上为每个选项打分。Purple Access 列展示了我们如何在同一个平台上同时运行这两者。

{"caption":"Passpoint 与 Captive Portal 在八个标准上的对比","asOf":"2026-06-10","columns":[{"key":"c","label":"标准"},{"key":"p","label":"Captive Portal（开放网络）"},{"key":"h","label":"Passpoint（安全网络）"},{"key":"u","label":"Purple Access","highlight":true}],"rows":[["连接体验","首次访问及会话过期后显示登录页面","配置文件安装一次，之后自动连接","两者兼具：开放网络上使用 Portal，安全网络上使用 Passpoint"],["空口安全","普通开放网络无加密；Enhanced Open 提供加密但不包含身份验证","基于 802.1X 的 WPA2 或 WPA3-Enterprise","安全网络上的 EAP-TLS 和云端 RADIUS"],["身份与 VLAN","登录后获取身份并应用角色","在首个数据包前即可获知身份；RADIUS 用于设置 VLAN","在所有三个网络上均通过身份设置 VLAN"],["同意与数据","加入时在屏幕上显示条款和选项","无加入页面；仅通过 Release 3 提供条款","意识明确的选择性同意；Engage 中的访客营销"],["设备覆盖率","任何带有浏览器的设备","带有配置文件的最新 iOS、Android、Windows 和 macOS","针对两者均不支持的设备使用 xPSK"],["漫游","在每个场所都需要重新登录","一个配置文件可跨多个场所及 500 万+ OpenRoaming 热点使用","经过认证的 WBA 身份代理；OpenRoaming 在 Connect 中免费提供"],["硬件适配","Meraki、Aruba、Ruckus、Mist、UniFi 上的 Splash 设置","在固件允许的前提下，同一接入点上的 Hotspot 2.0 设置","硬件无关的云端叠加，无需购买新的接入点"],["运维负担","Portal 页面、墙外花园列表、CNA 兼容性问题","证书、配置文件和 RADIUS 策略","将 Portal、云端 RADIUS 和 EAP-TLS 整合于单一平台"]],"footnote":"评分基于 Passpoint 和 OpenRoaming 计划材料、IETF RFC 8952 以及厂商文档。Purple 的数据为 Purple 自有数据。","download":{"filename":"passpoint-vs-captive-portal.csv"}}

加密是最明显的区别

普通开放式 SSID 在设备和接入点之间传输流量时不进行加密。Enhanced Open 通过机会性无线加密（OWE, RFC 8110）增加了加密功能，但它不带有身份验证信息。

Passpoint 需要 WPA2-Enterprise 或 WPA3-Enterprise。每个会话都会使用可扩展身份验证协议 (EAP) 通过 802.1X 进行身份验证。每个会话都会获得独立的密钥。

身份验证在不同的时刻完成

使用 Portal 时，网络获取身份信息的时间较晚。当身份验证发生时，设备已经拥有了 IP 地址和浏览器会话。

使用 Passpoint，接入点会首先进行检查。在设备发送第一个数据包之前，接入点会询问 RADIUS 服务器。RADIUS 是接入点用于向认证服务器询问是否准入设备的协议。

这种顺序决定了您可以实施什么策略。RADIUS 在认证时返回一个 VLAN。学生、承包商和常住人员无需第二个步骤即可进入不同的网络段。

{"kind":"lanes","direction":"lr","caption":"同一接入点上的两种登录路径","alt":"Captive Portal 会将设备保持在围墙花园中直至登录完成，而 Passpoint 则在第一个数据包发送之前通过 802.1X 完成认证。","lanes":[{"id":"o","label":"开放网络上的 Captive Portal"},{"id":"s","label":"安全网络上的 Passpoint"}],"nodes":[{"id":"o1","label":"设备加入开放 SSID","sub":"除非使用 Enhanced Open，否则无加密","lane":"o","tone":"neutral"},{"id":"o2","label":"围墙花园","sub":"流量暂停，直至完成 Portal 流程","lane":"o","tone":"neutral"},{"id":"o3","label":"Portal 登录","sub":"捕获条款同意、选择入会及身份信息","lane":"o","tone":"brand"},{"id":"o4","label":"授予访问权限","sub":"登录后应用角色或 VLAN","lane":"o","tone":"success"},{"id":"s1","label":"设备读取信标","sub":"针对 Realm 及漫游联盟的 ANQP 查询","lane":"s","tone":"neutral"},{"id":"s2","label":"配置文件匹配","sub":"存储的凭据或 OpenRoaming 身份","lane":"s","tone":"neutral"},{"id":"s3","label":"802.1X 连接至云 RADIUS","sub":"EAP-TLS 或 EAP-TTLS，从一开始即加密","lane":"s","tone":"brand"},{"id":"s4","label":"身份设定 VLAN","sub":"WPA2 或 WPA3 企业级会话","lane":"s","tone":"success"}],"edges":[{"from":"o1","to":"o2"},{"from":"o2","to":"o3"},{"from":"o3","to":"o4"},{"from":"s1","to":"s2"},{"from":"s2","to":"s3"},{"from":"s3","to":"s4"},{"from":"o3","to":"s2","label":"入网至安全网络","style":"dashed"}]}

Passpoint 在哪些场景胜出？

每天返回的经常性用户

员工、学生、居民和共享办公成员每天都会加入相同的网络。每当会话结束时，Portal 都会再次请求登录。而 Passpoint 仅在安装配置文件时询问一次，此后无需再次操作。

对于会员来说，这就是他们期望如在家里一样的无缝 WiFi 登录体验。对于您的服务台而言，它消除了导致大多数 Portal 工单的重复登录问题。

第一个数据包传输前即完成加密与身份验证

Passpoint 在任何数据流动之前就已经完成认证。它使用 EAP-TLS（基于证书的认证）、EAP-TTLS 或基于 SIM 卡的方法。您的安全团队可以获得有关谁在何时以及在哪个 VLAN 上加入的审计证据。

借助 Purple，云 RADIUS 会对照 Microsoft Entra ID、Okta 或 Google Workspace 验证每个凭据。只要撤销账号，Purple 就会撤销网络访问权限。入职、异动和离职人员管理变为了策略自动化，而不是手动工单。我们关于证书、身份与 Passpoint 的安全网络指南 涵盖了完整的模式。

跨站点、城市与合作伙伴网络之间的漫游

OpenRoaming 与 Portal 门户的对比在此处最为鲜明。 Portal 门户一次只能在一个场馆起作用。

OpenRoaming 采用了完全不同的方法。无线宽带联盟（WBA）运行它来联合 Passpoint 网络，从而使一个身份可以在每个成员热点通用。Purple 是认证的 WBA 身份代理，并且通过 Connect 许可证可以免费使用 OpenRoaming。

{"items":[{"value":"500 万+","label":"全球 OpenRoaming 热点"},{"value":"53,000+","label":"在纽卡斯尔漫游的学生","note":"涵盖校园、城市和有轨电车"},{"value":"80,000+","label":"Purple 上的上线场馆","note":"Purple 自有数据"}]}

{"tone":"proof","title":"纽卡斯尔：全球首个全市范围的 OpenRoaming 网络","text":"Purple 运营着纽卡斯尔全市范围的 OpenRoaming 网络。超过 53,000 名学生凭单一身份即可在校园、城市和有轨电车之间自由漫游。"}

如果您的安全团队询问访问网络可以看到哪些信息，请引导他们参考 OpenRoaming 安全吗？

隐藏其硬件地址的设备

iOS 和 Android 默认对每个网络使用私有随机 MAC 地址。通过 MAC 地址记住设备的 Portal 门户可能会失去对这些设备的追踪，并再次要求登录。Passpoint 验证的是凭据而不是 MAC 地址，因此随机化永远不会触发重复登录。

Captive Portal 在哪些场景下更具优势？

首次访问者和单次访问者

酒店客人、购物者或单场活动的粉丝手机上没有配置文件。Portal 门户允许他们从任何浏览器加入。要求该客人先安装配置文件，会为可能不会再次光顾的访问增加摩擦力。

同意条款与第一方数据

Portal 门户是访问者阅读您的条款并做出明确选择选择同意的唯一场所。该记录是符合 GDPR 同意要求的证据。它也是您的营销团队使用的第一方数据的起点。

Purple 的访客营销功能在 Engage 中运行。我们的访客 WiFi 指南 涵盖了这方面的内容。

Passpoint Release 3 增加了条款和条件接受步骤，但没有营销选择同意。参阅 Passpoint Release 3 有哪些变化。

任何带有浏览器的设备

Portal 门户对设备没有任何要求，只需要一个浏览器。Passpoint 则需要当前操作系统支持和配置文件。较旧的手机、访客笔记本电脑和共享平板电脑往往属于这一空白区域。

Portal 门户检测现已标准化。RFC 8910 允许网络通过 DHCP 宣告 Portal 门户。RFC 8908 定义了一个报告 Portal 门户状态的 API。两者都减少了导致工单增加的 Captive Network Assistant (CNA) 故障。

引导入网至安全网络

开放网络也是您将个人设备引导入网至安全网络的地方。学生通过 Portal 门户登录一次并获取凭据。从那时起，他们就可以加入 802.1X 网络。通过这种方式使用，Portal 门户是 Passpoint 的入口，而不是它的竞争对手。

{"tone":"warning","title":"移除 Portal 即意味着不再收集同意选项","text":"Passpoint 在加入网络时没有页面，因此无法收集营销同意选项。如果将访客 SSID 仅切换为 Passpoint，新的第一方数据将停止存入。"}

每种方案的运行成本是多少？

两种方案都不需要新增接入点。成本主要体现在许可证、身份认证和人员时间上。我们在此处描述的是结构，而非具体金额。

{"caption":"每种登录方式的运行成本：成本构成而非具体金额","asOf":"2026-06-10","columns":[{"key":"c","label":"成本构成"},{"key":"p","label":"Captive Portal"},{"key":"h","label":"Passpoint"},{"key":"u","label":"在 Purple Access 上","highlight":true}],"rows":[["软件许可证","Portal 平台许可证","Cloud RADIUS、证书与配置文件工具","Connect、Capture 或 Engage 方案"],["硬件","现有接入点无需新增","无需新增；若缺少 Hotspot 2.0 则需升级固件","与硬件无关的云端覆盖系统"],["联盟","不属于 Portal 流程的一部分","通过 WBA 身份代理可选配 OpenRoaming","通过 Connect 免费提供 OpenRoaming"],["身份认证","社交账号、电子邮件或表单登录","已获得许可证的目录","Microsoft Entra ID、Okta、Google Workspace"],["内容维护","页面设计、条款文本、围墙花园列表","配置文件模板与 RADIUS 策略","两者均在统一平台中运行"],["生命周期管理工作","会话定时器与重复登录","证书签发、更新与吊销","吊销与目录账户挂钩"]],"footnote":"仅限成本结构。请向各厂商咨询针对您的站点和设备数量的具体金额。"}

在 Purple 上，许可按方案运行：Connect、Capture 和 Engage。OpenRoaming 包含在 Connect 许可证中免费提供，因此联盟并非单独的成本项。身份提供商通常是您已拥有的许可证。面向员工和学生的 Passpoint 可以复用您已付费的目录。

隐藏成本有所不同：

• Portal 的成本在于内容维护和重复登录支持。
• Passpoint 的成本在于证书生命周期管理工作：入职时签发、异动时更新、离职时吊销。

将该生命周期与目录绑定后，它将作为策略自动运行，而无需人工干预。

从 Captive Portal 迁移到 Passpoint 涉及哪些步骤？

迁移是增量式的。您可以保留 Portal SSID，并在其旁边添加一个安全网络。无需拆除重装，也不需要在周末进行割接。

1. 检查固件是否支持 Hotspot 2.0。 在 Cisco Meraki 控制面板、HPE Aruba Central、Ruckus SmartZone、Juniper Mist 或 Ubiquiti UniFi Network 应用中确认支持情况。每个厂商都会针对每个固件版本记录 Hotspot 2.0 的支持情况。
2. 为不同受众选择身份源。 针对员工和学生使用 Microsoft Entra ID、Okta 或 Google Workspace。针对带有其他来源身份的访客使用 OpenRoaming。
3. 搭建云端 RADIUS 和证书。 对托管和已入网的设备使用 EAP-TLS。编写将每个身份映射到其对应 VLAN 的 RADIUS 策略。
4. 发布 Passpoint 网络。 在 SSID 上设置网络访问标识符 (NAI) 领域、漫游联盟和域名。请从您的 RADIUS 提供商处获取这些值，而不是自行猜测。
5. 分发配置文件。 对受管设备使用移动设备管理 (MDM)，对个人设备使用开放网络。OpenRoaming 则覆盖其他所有人群。
6. 衡量迁移效果。 比较每个站点上 Passpoint 会话与传送门会话的数量。然后微调传送门会话定时器。

{"tone":"tip","title":"并行运行两个 SSID","text":"在现有传送门 SSID 旁添加 Passpoint 网络，而不是直接替换它。没有配置文件的设备将保留在传送门上；拥有配置文件的设备将自行无缝迁移。"}

有两份指南深入探讨了这些步骤：

• 成为 OpenRoaming 访问网络提供商，了解如何在您的站点接受访客的 OpenRoaming 身份。
• Passpoint 设备支持对比，了解 iOS、Android、Windows 和 macOS 如何处理配置文件。

您该如何做出抉择？

以下是决策规则。当互动始于门口时，请使用 Captive Portal。当互动在访客到达之前就已开始时，请使用 Passpoint。请按受众群体应用此规则，而不是按整个地产物业。

{"title":"Passpoint 还是 Captive Portal：哪种适合各个受众群体","options":[{"name":"Captive portal","fitsWhen":["您与大多数访客仅有一面之缘","您需要在加入网络时提供条款及营销选项同意","访客携带的设备无法预先配置"],"notWhen":["相同的员工、学生或居民每天都会连接网络","您的策略要求对每个连接都进行加密"]},{"name":"Passpoint","fitsWhen":["人们会再次光顾且已拥有身份凭证","您需要在传输第一个数据包之前进行加密和身份认证","您希望在各个站点和 OpenRoaming 合作伙伴之间实现一次登录"],"notWhen":["您的主要目标是从初次访客那里获取第一方数据","设备无法安装配置文件"]},{"name":"两者均在 Purple Access 上运行","fitsWhen":["您的地产物业混合了访客、员工、学生和居民","您希望通过开放网络引导设备加入安全网络"],"notWhen":["现场的每台设备均受管理且为员工所有"]}],"recommendation":"在初次遇到访客的地方保留传送门，并将您已知的每个人迁移到 Passpoint。"}

您的下一步是逐个站点列出您的受众群体：访客、员工、学生、居民、会员和承包商。标记哪些人已拥有身份凭证。这些群体将迁移到 Passpoint，其余群体则保留传送门。然后了解 Passpoint 和 OpenRoaming 如何在 Purple Access 上运行。

常见问题

Passpoint 是否比 Captive Portal 更安全？

是的，通过无线空中接口传输。Passpoint 需要结合 802.1X 使用 WPA2-Enterprise 或 WPA3-Enterprise，因此在数据流动之前，每个会话都会经过身份验证和加密。带门户的普通开放式 SSID 在设备和接入点之间不会加密任何内容。Enhanced Open 虽然增加了加密，但没有身份验证。门户仍然可以为同意提供证据，而 Passpoint 则无法做到。有关 OpenRoaming 的具体信息，请阅读 OpenRoaming 安全吗？

Passpoint 是否适用于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 和 Ubiquiti UniFi？

是的。这五家厂商均记录了其 SSID 上的 Hotspot 2.0 设置，具体取决于控制器和固件版本。Purple 将云端 RADIUS 和身份作为与硬件无关的云端覆盖层添加，因此您无需安装新的接入点。在发布网络之前，请检查每个厂商关于 Hotspot 2.0 的固件说明。请先升级运行旧版本的任何站点。

我可以使用 Passpoint 收集营销同意吗？

不可以。Passpoint 在加入网络时没有页面，因此无法展示营销订阅选项。Release 3 增加了条款接受功能，但未增加营销同意。请在开放网络上为首次访问者保留一个强制门户，在此处通过自主选择的订阅生成第一方数据。Purple 的访客营销功能在 Engage 中运行。返回的访问者随后可以迁移到 Passpoint，并且您保留已拥有的同意记录。

OpenRoaming 在 Purple 中的费用是多少？

OpenRoaming 包含在 Purple 的 Connect 许可证中，免费提供。您无需单独规划联盟预算。Purple 是经过认证的 WBA 身份代理，因此您的站点可以通过 Purple 合同加入全球由 500 万+ 热点组成的联盟。您选择的方案（Connect、Capture 或 Engage）决定了其余成本，而 OpenRoaming 不会增加额外费用。

我可以在同一个接入点上运行 Passpoint 和强制门户吗？

可以。它们作为独立的 SSID 运行在相同的射频上：带有门户的开放网络，以及启用了 Hotspot 2.0 的安全网络。Purple 在同一个平台上运行开放网络、安全网络和 xPSK 网络，并且身份决定了每个网络上的 VLAN。请保持较低的 SSID 数量。每个额外的 SSID 都会在每个射频上增加信标开销。

从强制门户迁移到 Passpoint 需要多少精力？

工作量少于硬件项目，因为您无需更换任何设备。主要工作在于身份和策略。您为每个受众群体选择一个目录、建立云端 RADIUS 和证书、启用 Hotspot 2.0 并分发配置文件。在此过程中，门户保持在线，因此不存在系统割接。大部分工作集中在配置文件分发上，这取决于您通过 MDM 管理的设备数量。

强制门户是否能为 GDPR 提供审计证据？

只要订阅是自主选择并记录下来的，它就可以为同意提供证据。门户在加入网络时显示条款并记录接受情况。Purple 拥有 ISO 27001 和 Cyber Essentials 认证，可为您的供应商评估提供支持。Passpoint 则提供另一种证据：为每个会话提供经身份验证的身份和 VLAN。

哪些设备支持 Passpoint？

iOS、Android、Windows 和 macOS 的当前版本均支持 Passpoint，但每个系统安装和管理配置文件的方式有所不同。较旧的手机和无头设备通常缺乏支持，或无法安装配置文件。xPSK 适用于此类场景，可在分段网络上为每个设备或住户提供专属密钥。有关平台详细信息，请参阅Passpoint 设备支持对比。