成為 OpenRoaming 存取網路提供商：部署指南

只需八個步驟，即可利用現有的存取點成為 OpenRoaming 存取網路提供者。您只需新增一個以 IEEE 802.1X 安全加密的 Passpoint (Hotspot 2.0) SSID，將其指向 Purple 的雲端 RADIUS，並廣播 OpenRoaming 聯盟識別碼。Purple 作為經認證的 WBA 身分經紀商，能將您的場域連接至聯盟，且透過 Connect 授權即可免費使用。

{"slot":"hero","alt":"網路管理員在飯店大廳使用筆記型電腦檢視無線網路儀表板，前景的手機顯示已自動連線至 WiFi","caption":"OpenRoaming 場域：擁有設定檔的訪客免透過登入畫面即可連線至加密的 WiFi。","prompt":"Photographic, natural light, modern hotel lobby. A network manager at a desk with a laptop showing an abstract wireless dashboard, no readable text or logos. In the foreground a phone shows a connected WiFi icon. Calm palette with soft purple accent lighting, nobody looking at the camera, no brand marks."}

完成後，您的 OpenRoaming 場域會呈現什麼樣貌？

每個據點都會額外廣播一個啟用 Passpoint 的 SSID。Passpoint 又稱為 Hotspot 2.0，基於 IEEE 802.11u 標準建置。它能讓手機無須手動從清單中選擇，即可自動尋找並連線至網路。

該 SSID 會廣播 OpenRoaming 漫遊聯盟組織識別碼 (RCOI)，這是聯盟共享的標籤。任何持有來自 OpenRoaming 身分提供者相符設定檔的手機，都能自動連線。

登入採用 IEEE 802.1X，即 WPA2-Enterprise 與 WPA3-Enterprise 背後基於連接埠的驗證標準。流量從第一個封包開始即加密。不會出現 Captive Portal（即要求輸入電子郵件或優惠券才能使用網路的網頁）。

驗證程序透過 Purple 的雲端 RADIUS 進行。RADIUS (Remote Authentication Dial-In User Service) 是存取點用來詢問兩個問題的協定：此裝置是否應該接入，以及應該分配至哪一個 VLAN？

設定完成後，您將擁有：

• 每個據點各有一個從範本建立、並指向 Purple 雲端 RADIUS 的 Passpoint SSID。
• 一個隔離的訪客 VLAN，與員工、POS 系統及建築管理系統相互隔開。
• 現有的訪客 SSID 與 Captive Portal 保持不變，可供沒有設定檔的訪客使用。
• 每筆 OpenRoaming 登入紀錄皆會記載於 Purple 對應的場域中。
• 您的場域將名列在全球超過 500 萬個 OpenRoaming 熱點之中。

在加入 OpenRoaming 前您需要準備什麼？

在預約變更維護時間之前，請確認下方的每一個項目。韌體版本是最常延誤上線進度的主因。

{"caption":"OpenRoaming 場所的先決條件","asOf":"2026-06-10","columns":[{"key":"item","label":"先決條件"},{"key":"why","label":"重要原因"},{"key":"check","label":"確認方式"}],"rows":[["Purple Connect 授權","OpenRoaming 免費包含在 Connect 中","在您的 Purple 帳戶中檢查每個場所的方案"],["支援 Passpoint 的基地台","AP 必須發送互通性元素廣播並回應 ANQP 查詢","各型號的原廠規格表"],["Hotspot 2.0 韌體","通常透過韌體升級支援，而非更換硬體","將運作版本與原廠發行說明進行比對"],["WPA2- 或 WPA3-Enterprise","OpenRoaming 使用 IEEE 802.1X 進行驗證","Enterprise 出現在 SSID 安全性選項中"],["儀表板或控制器管理員權限","您需要新增 RADIUS 伺服器與 SSID","使用您自己的帳戶開啟 SSID 設定"],["流向 Purple 的外向 RADIUS","AP 或控制器必須能夠連線至 Purple 雲端 RADIUS","對照 Purple 提供的值檢查防火牆設定"],["專用訪客 VLAN","將訪客與員工及支付網路隔離","交換器 Trunk 上的 VLAN 以及具備足夠容量的 DHCP 範圍"],["帶有設定檔的測試手機","驗證端到端連線","設定檔列在手機的 WiFi 設定中"]],"footnote":"Hotspot 2.0 支援情況因型號與韌體版本而異。在排定作業之前，請先參閱原廠說明文件進行確認。","download":{"filename":"openroaming-anp-prerequisites.csv"}}

您將輸入的值

Purple 會在入職建立過程中提供每個聯盟值。請勿從論壇貼文中複製 RCOI 或網域值。只要有一個數字錯誤，就會導致所有帶有設定檔的手機無法與您的網路比對匹配。

值	來源	輸入位置
RADIUS 伺服器主機與連接埠	您的 Purple 入職建立資料包	控制器或儀表板 RADIUS 設定
RADIUS 共用金鑰	您的 Purple 入職建立資料包	相同的 RADIUS 設定
RCOI 值	Purple，符合 WBA OpenRoaming 規範	SSID 的 Hotspot 2.0 設定
NAI 網域	您的 Purple 入職建立資料包	SSID 的 Hotspot 2.0 設定
場所名稱、群組與類型	由您提供	Hotspot 2.0 場所資訊
訪客 VLAN ID	您的網路團隊	SSID VLAN 設定或 RADIUS 原則

OpenRoaming 存取網路提供者 (ANP) 如何運作？

OpenRoaming 是由無線寬頻聯盟 (WBA) 營運的聯盟。它具備兩種角色。存取網路提供者 (ANP) 負責運作無線電設備，也就是您。身分提供者 (IDP) 則發行並驗證訪客的憑證。常見的身分提供者包括電信營運商、裝置製造商與應用程式發行商。

登入流程分為六個階段：

1. 您的基地台發送包含 OpenRoaming RCOI 的互通性元素廣播。
2. 帶有匹配設定檔的手機發送存取網路查詢協定 (ANQP) 查詢。它會在關聯之前讀取您的場所、網域與聯盟詳細資訊。
3. 手機進行關聯並啟動 802.1X。其 EAP (可擴充驗證協定) 方法取決於身分提供者。
4. 您的無線基地台將請求傳送到 Purple 雲端 RADIUS。
5. Purple 透過 RadSec (即封裝在 TLS 內的 RADIUS，參閱 RFC 6614) 跨聯盟轉發請求。OpenRoaming 透過基於 DNS 的動態對等點探索 (RFC 7585) 來尋找正確的身分提供者。
6. 身分提供者接受該憑證。Purple 會套用您的場地策略 (包含 VLAN)，且無線基地台會安裝加密金鑰。

Purple 負責處理聯盟端的傳輸。WBA 憑證、RadSec 會話與領域路由皆位於 Purple 的雲端 RADIUS 中，而非您的控制器上。訪客的憑證會在 EAP 交換過程中由其身分提供者進行核對，因此您的場地永遠不會儲存該憑證。身分提供者指南 說明了該信任關係是如何建立的。

{"kind":"flow","direction":"lr","caption":"OpenRoaming 登入如何跨越您的網路","alt":"從訪客裝置發起，通過您的無線基地台與 Purple 雲端 RADIUS，連結至 OpenRoaming 聯盟及訪客的身分提供者，最後讓裝置在訪客 VLAN 上連線履行的流程。","nodes":[{"id":"a","label":"訪客裝置","sub":"持有 OpenRoaming 設定檔","tone":"neutral"},{"id":"b","label":"您的無線基地台","sub":"廣播 RCOI 並回應 ANQP","tone":"brand"},{"id":"c","label":"Purple 雲端 RADIUS","sub":"接收 802.1X 並套用場地策略","tone":"brand"},{"id":"d","label":"OpenRoaming 聯盟","sub":"採用 WBA 憑證的 TLS 傳輸 RadSec","tone":"neutral"},{"id":"e","label":"身分提供者","sub":"核對訪客憑證","tone":"neutral"},{"id":"f","label":"在訪客 VLAN 上線上","sub":"已加密，無 Captive Portal","tone":"success"}],"edges":[{"from":"a","to":"b","label":"ANQP 查詢","style":"solid"},{"from":"b","to":"c","label":"經由 RADIUS 進行 802.1X","style":"solid"},{"from":"c","to":"d","label":"領域查找","style":"solid"},{"from":"d","to":"e","label":"RadSec","style":"solid"},{"from":"e","to":"c","label":"Access-Accept","style":"dashed"},{"from":"c","to":"f","label":"已指派 VLAN","style":"solid"}]}

如何逐步設定 OpenRoaming？

請開啟您的儀表板，並按順序完成各個步驟。每個步驟都有檢查項目，通過後再繼續進行下一步。設備廠商之間的差異會在後面第二個章節中說明。

{"title":"成為 OpenRoaming 存取網絡提供者","steps":[{"title":"在 Purple 中啟用 OpenRoaming","body":"確認您的 Connect 授權涵蓋範圍內的所有場域，並接受 OpenRoaming 條款。Purple 作為經過認證的 WBA 身分經紀商，會完成聯邦註冊上線。","check":"Purple 顯示範圍內的每個場域皆已啟用 OpenRoaming。"},{"title":"審核無線基地台韌體","body":"列出每個型號及其執行的韌體。檢查設備商的版本說明以確認 Hotspot 2.0 支援情況，並先補齊任何缺口。","check":"清單上的每個型號均已標記為支援 Passpoint。"},{"title":"新增 Purple 雲端 RADIUS","body":"從您的 Purple 上線指引中新增 RADIUS 主機、連接埠與共用密鑰。在防火牆上允許這些項目的對外連線。","check":"測試驗證收到回應而非逾時。"},{"title":"建立 OpenRoaming SSID","body":"建立具備 WPA2- 或 WPA3-Enterprise (802.1X) 安全性的新 SSID，並指向 Purple RADIUS。請勿附加登入頁面。","check":"掃描顯示該 SSID 為企業級網絡。"},{"title":"開啟 Passpoint","body":"在 SSID 上啟用 Hotspot 2.0。輸入 Purple 提供的 RCOI 與 NAI 領域值，然後輸入場域名稱、場域類型與網際網路存取。","check":"WiFi 分析儀在 Beacon 中顯示互通性元素與 RCOI。"},{"title":"設定 VLAN 與隔離","body":"將 SSID 對映至訪客 VLAN，或接受 Purple 回傳的 VLAN。開啟用戶端隔離與單一裝置速率限制。","check":"測試裝置從訪客 DHCP 範圍取得 IP 位址。"},{"title":"試點單一站點","body":"將帶有 OpenRoaming 設定檔的手機帶入訊號涵蓋範圍。該裝置應直接連線，無須跳出提示或頁面。","check":"Purple 記錄試點場域的驗證日誌。"},{"title":"透過範本進行全面部署","body":"透過站點範本或網絡群組發送 SSID，一次部署一個地區。在樣本站點上重複進行試點檢查。","check":"每個站點都在 Purple 中記錄了 OpenRoaming 驗證。"}]}

獨立 SSID 還是現有的 SSID？

請為 OpenRoaming 建立新的 SSID。您的員工網絡信任您自己的身分提供者。OpenRoaming 則信任聯邦中的每一個身分提供者。在同一個 SSID 上混合兩者，會混淆它們的預設原則。

{"tone":"warning","title":"切勿將 Passpoint 加至您的員工 SSID","text":"OpenRoaming 訪客可以透過聯邦中的任何身分提供者進行驗證。如果在沒有獨立 VLAN 原則的員工 SSID 上啟用，該訪客將直接進入您的員工網絡。"}

WPA2 還是 WPA3-Enterprise？

如果每個用戶端與無線基地台型號皆支援，請選擇 WPA3-Enterprise。否則請使用設備商提供的 WPA2 與 WPA3 混合模式。請勿退回使用 WPA2-Personal，因為 Passpoint 需要 802.1X。

{"tone":"tip","text":"為 Passpoint SSID 取一個您的員工在掃描時能辨識的名稱，然後就保持不變。套用設定檔的裝置會匹配 RCOI 與領域，而非 SSID 名稱，因此日後重新命名不會影響登入。"}

如何確認 OpenRoaming 正常運作？

請從三個層級進行檢查：無線電、驗證與原則。較底層的失敗會遮蔽上層的所有狀況，因此請由下而上逐步檢查。

首先是無線電層。使用 WiFi 分析儀確認 Beacon 中是否顯示 Interworking 元素與 RCOI。接著確認存取點會回應 ANQP。執行支援 Interworking 的 wpa_supplicant 之 Linux 筆記型電腦可以直接讀取 ANQP 回應。請將介面名稱與 BSSID 替換為您自己的資料。

# Linux laptop running wpa_supplicant built with interworking support
sudo wpa_cli -i wlan0 scan
sudo wpa_cli -i wlan0 scan_results
# Request venue name (258), roaming consortium (261) and NAI realm (263)
sudo wpa_cli -i wlan0 anqp_get <BSSID> 258,261,263
sudo wpa_cli -i wlan0 bss <BSSID>

輸出內容應列出您的場地名稱、RCOI 值以及 Purple 提供的 NAI 領域。如果漫遊聯盟欄位為空，請返回步驟 5。

接下來是驗證。將已設定設定檔的手機帶入範圍內並開啟 WiFi。該手機應在無任何提示的情況下自動連線。然後 Purple 應會記錄該場地的一筆已接受驗證。沒有設定檔的手機不應連線至 Passpoint SSID。這是正常的行為，並非故障。

最後是原則。檢查已連線裝置的位址、隔離狀態與存取範圍。

{"title":"OpenRoaming 上線前檢查清單","groups":[{"heading":"無線電","items":[{"text":"現場每個存取點皆可看見 SSID"},{"text":"Beacon 中存在 Interworking 元素與 RCOI"},{"text":"ANQP 回傳場地名稱、漫遊聯盟與 NAI 領域"}]},{"heading":"驗證","items":[{"text":"已設定設定檔的手機在無提示下自動連線"},{"text":"Purple 記錄該場地已接受的驗證"},{"text":"未設定設定檔的手機保持連線在訪客 SSID","why":"確認這兩個網路是相互獨立的"}]},{"heading":"原則","items":[{"text":"裝置位址位於訪客 DHCP 範圍內"},{"text":"裝置無法存取該 SSID 上的其他用戶端"},{"text":"裝置無法存取員工或支付子網路","why":"PCI-DSS 網路區隔的證明"}]}],"download":{"filename":"openroaming-go-live-checks.csv"}}

在 Meraki、Aruba、Ruckus、Mist 與 UniFi 上，這些步驟有何不同？

這八個步驟在每個平台上都是相同的。不同之處在於 Hotspot 2.0 在各控制台中的位置。請遵循您硬體廠商針對您韌體版本的官方說明文件，並輸入 Purple 提供的數值。

{"title":"按存取點平台分類的 Passpoint 設定","tabs":[{"label":"Cisco Meraki","body":"Meraki 在受支援的型號和韌體上，將 Hotspot 2.0 顯示為個別 SSID 的設定。","bullets":["在 SSID 上使用 Purple RADIUS 設定 Enterprise 安全性","在 SSID 上標記訪客 VLAN 或接受 RADIUS 指派的 VLAN","使用設定範本進行多據點部署","詳細資訊：[Cisco Meraki 上的 Passpoint](guide:passpoint-configuration-meraki)"]},{"label":"HPE Aruba","body":"Aruba 從綁定至 WLAN 的 Hotspot 2.0 和 ANQP 設定中組合 Passpoint，位於 802.1X 伺服器設定旁。","bullets":["確認據點是在 Aruba Central 還是控制器下執行，因為設定路徑不同","將 RCOI 和 Realm 值綁定至 WLAN 的 Hotspot 2.0 設定","在 WLAN 上對應訪客 VLAN"]},{"label":"Ruckus","body":"在 SmartZone 上，Passpoint 使用連結至身分提供者設定檔與 WLAN 的 Hotspot 2.0 營運商設定檔。","bullets":["在身分提供者設定檔中輸入 RCOI 和 Realm","附加 Purple RADIUS 作為驗證服務","透過 Zone 範本套用至多個據點"]},{"label":"Juniper Mist","body":"Mist 在 WLAN 上搭配 Enterprise 安全性設定 Hotspot 2.0。","bullets":["在 WLAN 範本中建立 WLAN，以便每個據點都能繼承它","輸入 Purple 提供 的 RCOI、Realm 和 Venue 值","在 WLAN 上設定訪客 VLAN"]},{"label":"Ubiquiti UniFi","body":"Hotspot 2.0 的支援取決於您的 UniFi Network 應用程式與存取點韌體。","bullets":["在規劃日期前確認 Hotspot 2.0 設定是否存在","使用 Enterprise 安全性將 WLAN 指向 Purple RADIUS","在 WLAN 上指派訪客 VLAN"]}]}

最常出現什麼問題？該如何修復？

大多數失敗都可以追溯到七個原因之一。請先找出症狀，接著修復原因後再重新測試。

症狀	可能的原因	修復方法
可看到 SSID，但安裝設定檔的手機從未連線	RCOI 遺失或打錯	重新輸入來自 Purple 的 RCOI 值，然後重新檢查 Beacon
Beacon 中沒有互通性元素 (Interworking element)	型號或韌體缺乏 Hotspot 2.0	升級韌體或從該 SSID 中排除該型號
手機嘗試連線，但隨後失敗	共用金鑰不符或 RADIUS 遭封鎖	重新輸入金鑰並開啟外連防火牆規則
手機連線但未取得位址	VLAN 未設定 Trunk 或 DHCP 範圍已滿	將 VLAN Trunk 設定至 AP 交換器連接埠並擴大範圍
訪客可以看到彼此的裝置	用戶端隔離已關閉	在 SSID 上啟用隔離功能
試行據點正常，部分據點失敗	範本未套用或韌體版本較舊	將失敗的據點與範本及韌體清單進行比對
未安裝設定檔的測試手機無法連線	預期行為	安裝設定檔或使用訪客 SSID

RCOI 錯誤是最常見的，因為表面上看起來沒有任何壞掉的地方。SSID 正常廣播且無線電狀態看起來良好，但沒有任何手機相符。在歸咎於手機之前，請務必執行 ANQP 檢查。

防火牆故障在 Purple 中會顯示為逾時而非拒絕。拒絕表示請求已到達但憑證失敗。逾時則表示請求從未到達，因此請先檢查網路路徑。

如果完成這些修復後某個步驟仍然失敗，請按照 Passpoint configuration on Cisco Meraki 中的詳細檢查順序進行排除。相同的檢查順序適用於每個硬體廠商。

OpenRoaming 在您的安全網路中所處的位置

Purple Access 在您擁有的基地台上運作三個網路。開放網路負責 Captive Portal 登入和 BYOD 入網。安全網路則負責 EAP-TLS、身分提供者、Passpoint 以及雲端 RADIUS。xPSK 網路為每個裝置或居住者提供專屬的金鑰。在這三個網路上，身分決定了 VLAN。

OpenRoaming 屬於安全網路。同一平台上的員工使用 EAP-TLS，並搭配綁定至 Microsoft Entra ID、Okta 或 Google Workspace 的憑證。這兩個群組都透過 Purple 雲端 RADIUS 進行身分驗證，並位於獨立的 SSID 和獨立的 VLAN 上。secure network pillar 涵蓋了憑證、身分與 Passpoint 的整合應用。secure network overview 則展示了這三個網路如何互相搭配。

在此工作旁有兩個附加元件。來自 Captive Portal 的訪客行銷是在 Engage 上運作，相關內容請參閱 guest WiFi guide。訪客流量的 DNS 過濾則在 Shield 上運作。

實際案例：紐卡素的全城網路

背景情況：學生在校園、市中心和路面電車之間移動。每個地方都意味著不同的網路和不同的登入方式。

執行措施：Purple 將紐卡素建置為全球第一個全城 OpenRoaming 網路。Purple 在整個聯盟中扮演身分代理人的角色。

最終成果：超過 53,000 名學生現在可以在校園、城市和路面電車之間漫遊，無需再次登入。

{"tone":"proof","title":"紐卡素","text":"Purple 營運全球第一個全城 OpenRoaming 網路紐卡素。超過 53,000 名學生在校園、城市與路面電車之間自由漫遊。"}

實際案例：採用 Cisco Meraki 的 40 個據點飯店集團範例

背景情況：房客在每家飯店都會遇到 Captive Portal，而且每次入住都要重複操作。IT 部門希望在不購買新硬體的情況下實現加密登入。

執行措施：團隊在所有 40 家飯店執行了步驟 2 的韌體稽核。他們在 Meraki 設定範本中建立了一個 Passpoint SSID。訪客 VLAN 與物業管理及支付系統保持隔離。現有的訪客 SSID 和 Portal 則為沒有設定檔的訪客保留。

最終成果：40 家飯店在單一範本上運作，每家飯店僅新增一個 SSID，且完全無需增加基地台。擁有 OpenRoaming 設定檔的房客可直接連線至加密網路，無須透過 Portal。

針對受管理的企業裝置，請透過 MDM 推播設定檔；請參閱透過 Intune 部署 Passpoint 設定檔。授權與功能詳細資訊請見 Passpoint 與 OpenRoaming 產品頁面。

常見問題

成為 OpenRoaming 存取網路提供商需要多少費用？

OpenRoaming 已免費包含在 Purple Connect 授權中。如果您的基地台韌體已支援 Hotspot 2.0，您也不需要購買任何新硬體。您的主要成本是工作人員的時間：韌體審查、每個場地一個 SSID，以及在一個場地進行試點。如 SecurePass、Verify 和 Shield 等安全性附加功能則為獨立選項。僅在您的風險評估有需求時才加購。

OpenRoaming 是否可以在我們現有的基地台上運作？

可以，只要您的機型與韌體支援 Passpoint。Purple 獨立於硬體之外，並作為雲端重疊層在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上執行。Hotspot 2.0 支援取決於機型與韌體版本。請在承諾時程之前執行步驟 2 的審查。不支援此功能的老舊機型仍可繼續為您的其他 SSID 提供服務。

我們是否仍需要強制入口？

是的，請保留它。OpenRoaming 僅服務已持有來自聯盟身份提供者之設定檔的裝置。所有其他訪客仍需要您的開放式訪客 SSID 以及強制入口或 BYOD 註冊流程。請在相同的基地台上同時運行兩者。Passpoint 與強制入口比較指南 涵蓋了何時選擇何種登入方式才是正確的決定。

加入 OpenRoaming 是否需要我們擁有一架構專屬的 WBA 會員資格？

不需要。Purple 是經過認證的 WBA 身份代理商，因此您的場地可透過您的 Purple 帳戶加入聯盟。當您在步驟 1 中啟用時，即表示您同意 OpenRoaming 條款。Purple 的雲端 RADIUS 隨即會持有聯盟憑證並處理 RadSec 路由。您的控制器和儀表板絕不會儲存 WBA 憑證，因此您無需在您端續約任何額外項目。

OpenRoaming 如何影響我們的 GDPR 和 PCI DSS 稽核？

它為您提供兩者的證據，而非合規證書。訪客憑據由其身份提供者在 EAP 交換內部進行驗證，因此您的場地不會儲存這些資料。將 OpenRoaming 隔離在持卡人資料環境之外的獨立 VLAN 上，是 PCI DSS 範圍劃定的證據。Purple 擁有 ISO 27001 和 Cyber Essentials 認證，可支援您的供應商盡職調查。

OpenRoaming 是否可以與我們的員工 802.1X 網路同時運行？

可以，在獨立的 SSID 上。員工保留包含綁定至 Microsoft Entra ID、Okta 或 Google Workspace 之憑證的 EAP-TLS，且身份會設定他們的 VLAN。OpenRoaming 訪客加入 Passpoint SSID 並登入至訪客 VLAN。兩者皆透過 Purple 雲端 RADIUS 進行驗證，因此您可以在同一個地方進行監控。絕不要為了節省空中傳輸時間而合併這兩個 SSID。

跨多據點園區部署 OpenRoaming 需要多少時間？

決定進度的關鍵在於韌體審查，而非設定作業。在單一試點據點建立 SSID 與 Passpoint 設定只需一個變更維護時段。試點通過每項檢查後，即可透過範本或網路群組將相同設定推播至其餘據點。擁有混合韌體的園區應先按分區安排升級，隨後再新增 SSID。

哪些裝置可以連線至 OpenRoaming 場域？

任何支援 Passpoint 且擁有來自聯盟身分識別提供者之 OpenRoaming 設定檔的裝置皆可連線。目前的 iOS 與 Android 版本均支援 Passpoint，因此大多數現代智慧型手機在安裝設定檔後即符合資格。對於受管理的企業裝置，請透過您的 MDM 推播設定檔。沒有設定檔的裝置則改為使用您的訪客 SSID，其使用體驗不受任何影響。