Open roaming WiFi 解密：無需登入頁面即可連線
Published
如果您的 WiFi 無線基地台支援 OpenRoaming，為什麼訪客仍可能無法連線？因為自動登入不單純取決於無線電硬體。裝置需要可用的設定檔，身分提供者必須對其進行驗證，而且場域必須接受該提供者的憑證。
對 IT 團隊與場域管理者而言，將 OpenRoaming WiFi 理解為建立信任的另一種方式，比將其視為保證每位訪客都能自動連線更為恰當。它可以免除重複出現的登入畫面，但並不會減輕您在存取策略、備援連線或隱私權方面的責任。
目錄
- OpenRoaming 取代了什麼以及傳送門即將消失的原因
- 訪客存取方式的並列比較
- 裝置如何在不詢問的情況下登入
- 如何在上線前驗證 OpenRoaming 的推廣部署
- 自動存取的隱私權取捨
- 在取代訪客傳送門前確認您的試行計畫
OpenRoaming 取代了什麼以及 Portal 為何逐漸被淘汰
旅客抵達機場後選擇訪客網路並開啟瀏覽器。他們等待強制入口載入、輸入電子郵件地址或選擇社群登入，接著接受條款。在航廈外面的咖啡館，他們又重複一次相同的流程。
第二次註冊完全無法幫助裝置記住其擁有者在其他地方已擁有受信任的身分。每個場域都會將訪客視為全新的引導註冊任務。
OpenRoaming（建構於 WiFi CERTIFIED Passpoint 之上）改變了這種關係。網路可以接受裝置已持有的憑證，而無需要求使用者填寫另一個瀏覽器表單。
請想像一張能在所有合作飯店使用的飯店忠誠度房卡，而非每次在各飯店櫃檯都必須填寫的登記表單。每家飯店仍可決定該房卡能開啟哪些門鎖。
裝置會自動進行自我介紹
此合作架構包含不同的參與方：
- 裝置持有設定檔。 這會告知裝置可以使用哪些參與網路以及要出示的憑證。
- 身份提供者為使用者進行擔保。 該組織負責驗證憑證，無須每個場地自行維護獨立的訪客帳戶。
- 場地授權存取。 場地接受受信任的驗證結果，並決定裝置可以存取哪些網路資源。
設定檔建立完成後，裝置便會執行常規的連線工作。訪客每次進入參與合作的場所時，無需再手動點選登入按鈕。
從訪客旅程的轉變中最容易看出箇中差異。
減少互動不代表降低責任
移除表單並不代表賦予每位通過驗證的訪客無限制的存取權限。場域仍然可以控制 VLAN 分配、存取策略與記錄。經識別的訪客身分應獲得訪客權限，而不是存取員工應用程式或大樓管理系統的權限。
自動化引導機制並不能免除說明可接受使用政策與資料處理方式的必要性。這些告知事項應該在註冊流程與後續的服務通訊中安排適當位置，而非完全依賴入口頁面中斷來進行提示。
因此，OpenRoaming 是一個聯盟漫遊身分架構，而非單一廠商的 WiFi 產品。它的實用價值在於將驗證訪客身分者與營運網路者分離開來，同時允許場域保留控制權。
訪客存取方式的各項比較
| 存取方式 | 訪客操作 | 顯示的入口頁面 | 保存的憑證 | 最佳適用情境 |
|---|---|---|---|---|
| 強制入口訪客登入 | 開啟瀏覽器頁面、選擇登入方式並接受條款 | 是 | 無，或社群帳號 / 簡訊登入 | 尚無設定檔的初訪顧客 |
| Passpoint 或 OpenRoaming 設定檔 | 一次性安裝設定檔；裝置隨後即可自動連線 | 否 | 包含身分驗證憑證或憑據的設定檔 | 常客與頻繁出差的旅客 |
| EAP-TLS 安全網路 | 裝置透過行動裝置管理 (MDM) 完成註冊 | 否 | 裝置憑證 | 由員工管理的裝置 |
| 每台裝置獨立預共享金鑰 (PPSK) | 裝置使用專屬的金鑰進行連線 | 否 | 每台裝置、位使用者或租戶專屬的金鑰 | 住戶、收銀機與物聯網 (IoT) 設備叢集 |
設定檔僅在裝置支援且其身分驗證提供者獲場所接受時才能發揮作用。請為不符合這些條件的訪客保留基於傳送門入口網站的存取途徑。
將存取方式與人員或裝置進行比對
對於尚未與貴組織建立關係的抵達者而言，強制入口仍然十分有用。根據服務的不同，登入可能會使用 SSO、Google、Apple、Facebook 或簡訊一次性密碼，並適當地記錄接受與同意事項。
Passpoint 或 OpenRoaming 個人設定檔適合再次造訪或在參與場所之間往來的人員。Passpoint 負責處理基於個人設定檔的網路探索與驗證；OpenRoaming 則增加了信任聯盟功能，讓獨立營運的網路與身分提供者能夠相互信任。兩者息息相關，但並非適用於每一種部署環境的互換名稱。
EAP-TLS 非常適合託管的員工設備，因為管理者可以透過行動裝置管理 (MDM) 配置裝置憑證。它並非競爭關係漫遊聯盟，而是一種亦可位於基於設定檔之存取架構底層的驗證方法。
單一裝置預先共享金鑰 (per-device pre-shared key) 適合需要實用且可單獨撤銷之金鑰的設備。收銀機或恆溫器不應需要瀏覽器，且停用單一裝置也不應需要在整個場域中變更密碼。
規劃共存方案
場域可以同時提供這些方法。請將身分映射至適當的 VLAN，並在它們之間實施防火牆規則，而不是假設僅憑不同的網路名稱就能提供隔離。訪客應能在不獲得連至支付系統或員工服務路由的情況下存取網際網路。
比較 訪客 WiFi WiFi解決方案 時，應評估每個目標對象的導覽註冊流程，而非為所有人選擇單一的登入方式。
設定檔本身需要註冊途徑。場域或參與計畫的身分提供者可以提供安裝服務，但適用資格取決於該提供者與存取網路之間的關係。請測試訪客攜帶的裝置系列，包含其作業系統版本與設定檔安裝限制。
決策準則：首先列出您的訪客與裝置群組。為每個群組指派主要的存取方式、該憑證的所有者，以及可用的備用方案。
該練習通常會顯示，目標並非要廢除入口網站，而是要停止要求符合資格的使用者進行不必要的填寫。
裝置如何在無需提示的情況下登入
- 探索與比對。 裝置讀取 802.11u 與 ANQP 網路公告，然後將漫遊組織識別碼 (RCOI) 與儲存的設定檔進行比對。訪客無需手動選擇 SSID。
- 開始驗證。 裝置使用可擴充身份驗證協定 (EAP) 方法啟動 802.1X 交換。
- 轉發請求。 無線基地台或其控制器將驗證交換傳送至存取提供者的 RADIUS 基礎架構。
- 尋找身份提供者。 驗證基礎架構使用使用者身份中的網域，將請求路由至適當的提供者。
- 檢查憑證。 身份提供者驗證憑證、基於 SIM 卡的憑證或帳戶資訊，並傳回驗證結果。
- 套用本地權限。 場地的基礎架構在允許正常使用者流量通行前，會先套用授權的 VLAN 與存取政策。
無線寬頻聯盟 (Wireless Broadband Alliance) 的 OpenRoaming 概述 說明了支援此交換機制的 Passpoint、聯盟身分與策略的組合，包含基於領域的路由以及提供者之間由憑證支援的信任機制。
順序非常重要。強制入口通常會要求瀏覽器在裝置加入網路後完成存取步驟。在此，裝置則是在開始進行一般資料存取之前完成企業驗證。瀏覽器並非驗證介面。
此圖表展示了從裝置角度出發的相同流程。
裝置出示了哪種憑證？
設定檔不一定是一張數位憑證。它包含告之裝置如何搜尋並驗證符合資格網路的設定，而底層的憑證則遵循所選的 EAP 方法。
| EAP 方式 | 裝置採用的憑證／憑據 | 典型應用網路 |
|---|---|---|
| EAP-TLS | 用戶端憑證及相關私鑰 | 企業與行動裝置管理 (MDM) 列管的裝置 |
| EAP-SIM | SIM 卡金鑰 | 電信業者用戶 |
| EAP-AKA | 用於驗證與金鑰協商的 USIM 金鑰 | 電信業者用戶網路 |
| EAP-AKA′ | 具備更強金鑰衍生機制的 USIM 金鑰 | 採用較新 AKA 部署技術的電信業者用戶 |
| EAP-TTLS | TLS 通道內的帳號與密碼 | 透過憑證驗證伺服器完成身分驗證的員工或訪客帳號 |
使用 EAP-TLS 時，裝置會證明其擁有與其憑證關聯的私鑰。使用基於 SIM 卡的方法時，電信業者的驗證基礎架構會驗證訂戶憑證。使用 EAP-TTLS 時，用戶端必須在傳送內部憑證之前驗證驗證伺服器的憑證。
這項差異在採購過程中非常重要。支援 Passpoint 的無線基地台，並不代表您目標訪客族群中的每種憑證類型都能透過完整的驗證路徑正常運作。
供應商之間亦存在信任機制
RadSec 會在參與的基礎設施之間透過 TLS 傳送 RADIUS 信令。雙向 TLS (Mutual TLS) 允許對等點使用憑證互相驗證，因此憑證核發、受信任的根憑證、續期與到期都需要維運責任歸屬。
基於 DNS 的 RADIUS 對等節點搜尋有助於存取提供者尋找適當的身分領域驗證對等節點。這能避免將每個新提供者都視為重新設定個別無線基地台的理由，儘管路由與聯盟策略仍須允許此合作關係。
進行實地測試前，工程師應將已安裝的設定檔、宣告的 RCOI、領域路由以及支援的 EAP 方法視為單一鏈路進行確認。請同時擷取用戶端與驗證記錄：從未選擇網路的裝置，其故障原因與成功搜尋網路後憑證遭拒的裝置不同。
如何在上線前驗證 OpenRoaming 部署計畫
根據 CDG 對 WBA 調查的報導，在 2025 年 WBA 對 170 位產業高階主管進行的調查中，有 81% 計劃部署 OpenRoaming，而 25% 已經在推廣中。這些是規劃與推廣的衡量標準，並非特定訪客能夠在您的場所連線的證明。
使用就緒度核對清單，將相容基礎設施的聲明轉化為經過測試的使用者流程。
測試完整的身分驗證鏈
- 確認聯盟參與事宜。 識別憑證發行者以及場地信任該提供者的機制。記錄雙方的技術支援負責人。
- 測試真實用戶端設定檔。 使用場地服務的裝置系列，包含未受控的訪客裝置，而非僅使用工程師預先準備好的筆記型電腦。
- 驗證 RCOI 與網域配對。 比對公告資訊與路由是否與提供者的設定一致，以免將探索不符合誤判為密碼錯誤。
- 檢查憑證鏈與到期日。 分別檢查面向用戶端的驗證信任與 RadSec 對等端信任。
- 驗證對等端探索。 確認基於 DNS 的探索能順利連線至預期的驗證基礎架構。
- 刻意中斷首選路徑。 測試不可用的提供者與不支援的設定檔，然後驗證訪客是否能找到並使用替代的入口網站。
- 檢查政策與量測數據。 確認跨營運商的 VLAN 配置、隔離與計帳，包含您的訪客分析所能觀察到的項目。
- 預演憑證撤銷流程。 停用遺失裝置的憑證，並測試後續的驗證以及對現有工作階段的處理機制。
正如 99tests 所討論的，一項實用的測試規範是 評估測試相關性，而不僅僅是關注通過結果。預先設定好的測試手機成功連線，並不代表預期訪客的抵達體驗歷程能正常運作。
設定明確的發布關卡
請將驗證相依性納入您的 WiFi 網路設計 中，而非在完成無線電覆蓋規劃後才事後補充。請跨用戶端、無線基地台、RADIUS 與身分提供者來追蹤失敗原因。
紐卡索建置了全球第一個全市範圍的 OpenRoaming 網路（基於 Purple），且我們是獲得認證的 WBA 身分仲介商。然而，這些資歷並不能取代場所層級的驗收測試。
執行與否評估： 在考慮為特定受眾移除入口網站之前，必須確保搜尋、信任、驗證與備援檢查均在對比明顯的裝置系列上通過測試。
自動存取背後的隱私權權衡
安全驗證並不等於匿名使用。 裝置無需在入口網站輸入姓名即可連線，但仍會產生可將其與其他裝置區分開來並與位置關聯的記錄。
Westermo 發佈的 OpenRoaming 認證公告 為身分提供者中介驗證與持久性識別碼提供了背景資訊。對場所而言，實際的問題不在於存取是否加密，而是誰可以看到哪些識別碼、目的為何以及保存多久時間。
對訪客而言，自動連線過程可能看起來非常順暢自然，即便背後有數個不同的組織機構共同參與。
身分驗證與匿名性解決的是不同的問題
身分提供者可以在不向場域提供使用者密碼的情況下進行身分驗證。場域仍可接收授權存取、指派政策、統計工作階段或調查違規行為所需的資訊。
視提供者、網路、合約及適用法律而定，紀錄可能包含驗證事件、會計紀錄、裝置識別碼、位置資訊或假名識別碼。假名並不自動等同於匿名：機構可能能夠將多次連線階段連結起來，或將該識別碼與特定帳號相關聯。
以體育場訪客為例，其存取權限僅限於特定活動。營運業者應定義活動結束後保留哪些連線記錄及其原因。請勿將有用的活動存取憑證視為可無限期建立出席歷史記錄的許可。
員工受控裝置的情況則有所不同。其憑證可能在僱用期間持續有效，但這並不代表有理由在相同期間內保留所有與位置相關的連線階段記錄。憑證有效性、安全性記錄保留與互動資料保留需要分別做出決策。
這段影片提供了另一種向利害關係人說明自動連線功能的方式。
使資料流程透明且可供審查
在您的 訪客網路安全性 審查中包含以下問題：
- 身分提供者資訊揭露。 列出參與的機構並說明各自接收的資料，包含任何跨國資料處理程序。
- 憑證驗證。 記錄信任設定的擁有者，以及如何審核相關變更。
- 虛擬化識別碼。 確認識別碼是否持續保留、權限擁有者可還原哪些身分，以及獨立資料集是否能夠相互關聯。
- 連線紀錄。 明確指出收集的欄位，以及誰有權存取或匯出這些紀錄。
- 保留期限。 為每個紀錄類別（包含備份）指定用途與刪除規則。
- 使用者告知與同意。 釐清資料控制者角色、相關處理法源依據，以及如何向未成年人、員工、住戶和訪客傳達告知事項。
- 立即撤銷憑證。 為使用者提供明確的遺失裝置回報管道，並為管理人員提供經測試的處置流程。
同意並非用來確定適當法律基礎的通用替代方案，而隱藏的政策頁面也不是有效的告知。請讓隱私與法務負責人審查實際流程，而非僅審查安全 WiFi 的一般性說明。
最小化資料存取是一種設計抉擇。單靠自動登入並無法實現這一點。
在取代訪客傳送門入口網站前，請先確認您的試行計畫
在受控環境中成功通過技術驗收檢查後，先從受限範圍的小規模試行開始。選擇一個您既能觀察重複使用的使用者，又能觀察到未帶有任何現有設定檔的新訪客場所。
為試行計畫制定可測量的決策標準
- 選擇具代表性的據點。 讓接待人員或場館員工參與試用，以便他們回報令人困惑的註冊和備用指示。
- 保留現有的訪客途徑。 讓試行計畫之外的訪客能輕鬆找到其網路名稱與指示。
- 註冊特定的目標群組。 從受管理的員工裝置以及您可以驗證其個人檔案資格的回訪訪客開始。
- 衡量到達體驗。 記錄首次嘗試連線的成功率、身分驗證失敗率，以及符合資格的使用者仍需要傳送門的頻率。將探索失敗與憑證拒絕加以區分。
- 記錄資料流程。 在擴大目標群組之前，核准保留政策、通知、存取權限和遺失裝置的處理方式。
- 依據驗收標準進行擴展。 在審查結果之前同意構成成功的要素，並確保有回滾負責人在場。
請勿單憑是否取消了傳送門入口網站來衡量成功與否。若裝置連線到錯誤的 VLAN，或導致訪客無法找到備用存取管道，便算未通過驗收。
對照相同的測試標準評估服務
如果您正在評估我們的服務，Purple Access 支援 Passpoint 與 OpenRoaming，且我們的免費 Connect 授權包含訪客入口網站與免費的 OpenRoaming。再次造訪的訪客會在 Secure 網路上使用個人設定檔，再次造訪時無需透過入口網站，且該設定檔適用於所有執行該服務的場所。請針對您的裝置組合測試這些行為，並在納入推廣計劃之前，先確認任何附加功能的授權與計價方式。
推進專案的最強理由，是明確改善了特定受眾的體驗，而非出現了新的無線基地台設定選項。請將試行計畫集中於您能有效改善其連線旅程的人群。
目前哪個訪客群組在傳送門入口網站耗費最多時間？設定檔是否能解決該群組的問題？
Purple Access 在提供 Passpoint 和 OpenRoaming 的同時，也提供訪客入口網站，因此您可以在不移除其他訪客仍所需途徑的情況下，測試自動存取功能。請造訪 Purple Access 以瞭解 Connect 授權，並討論涵蓋個人設定檔註冊、基於身分的原則以及在您現有無線存取點上實施備援機制的試行計劃。
