Passpoint 與強制入口：何者才是合適的登入方式

{{asset:header_image.png}}

如果您需要條款、同意書以及僅見過一次面之訪客的第一方資料，請選擇強制入口。如果相同的人員會再次光臨，且應該透過 IEEE 802.1X（驗證與加密存取的標準）自動連線，請選擇 Passpoint。大多數多站點場域兩者都需要，而 Purple Access 可在單一平台上並行運作這兩者。

Passpoint 或強制入口：簡短解答是什麼？

這項選擇取決於一個問題：您是否已經知道這個人是誰？如果他們在到達之前就擁有一份身分，Passpoint 就是最佳選擇。該身分可能是以下之一：

• Microsoft Entra ID 中的員工帳號
• 學生紀錄
• 住戶金鑰
• 他們手機上的 OpenRoaming 憑證

如果您是在門口第一次見到他們，強制入口則是最佳選擇。入口頁面是條款與同意書唯一出現在螢幕上的位置。

各自的定義。 Passpoint 是 Hotspot 2.0 的認證計畫，以 IEEE 802.11u 修正案為基礎所建置。裝置找到 Passpoint 網路、比對儲存的設定檔，無需任何點擊即可進行驗證。強制入口則是一個網頁，將新裝置限制在圍牆花園中，直到訪客登入為止。IETF 強制入口架構 RFC 8952 描述了裝置如何偵測與處理它。

兩者負責不同的工作。 Passpoint 為您已經信任的人員取代了登入頁面。入口頁面則向您尚不認識的人員建立信任。

在 Purple Access 上，它們部位於獨立的網路中：

• **開放網路：**強制入口。
• **安全網路：**Passpoint。
• **xPSK 網路：**針對兩者皆不支援的硬體，為每個裝置或住戶提供唯一的預共享金鑰。

在這三者上，身分會決定裝置最終進入的網路分段，亦即 VLAN (虛擬 LAN)。

哪些標準可決定 Passpoint 與強制入口的抉擇？

我們根據八項標準對這兩種選項進行了評分。每一項標準都對應到 IT 主管在部署後所面臨的問題。我們僅採用各個選項自身的公開資料所支援的內容：

• Passpoint：Passpoint 計畫 與 WBA OpenRoaming 資料。
• **強制入口：**IETF RFC 以及廠商的入口頁面文件。

這八項標準分別為：

1. 加入體驗。 使用者在第一次造訪以及隨後的每一次造訪時需要點擊多少次。
2. 空中傳輸安全性。 裝置與無線基地台之間的流量是否已加密，以及如何加密。
3. 身分與網路分段。 網路何時得知是誰加入，以及身分是否會自動設定 VLAN。
4. 同意書與第一方資料。 加入步驟是否能記錄條款接受情況與行銷意願訂閱。
5. 裝置涵蓋範圍。 哪些裝置可以在不需要 IT 人員協助的情況下加入。
6. 漫遊。 一次登入是否能跨您的多個場域與合作夥伴網路使用。
7. 硬體適配度。 您現有的無線基地台目前是否支援。
8. 營運負擔。 您的團隊每週需要維護的內容。

價格在這裡並非衡量標準。這兩種選項都是以軟體形式運行在您現有的存取點（Access Points）上，因此成本只差在結構的不同。我們會在下方的專屬段落中進行討論。

Passpoint 與 Captive Portal 有何不同？

評估表根據八項標準對每個選項進行評分。Purple Access 欄位顯示了我們如何透過單一平台同時運作這兩者。

{"caption":"Passpoint 與 Captive Portal 八大標準比較","asOf":"2026-06-10","columns":[{"key":"c","label":"評估標準"},{"key":"p","label":"Captive Portal（開放網路）"},{"key":"h","label":"Passpoint（安全網路）"},{"key":"u","label":"Purple Access","highlight":true}],"rows":[["連線體驗","首次存取與會話過期後需透過登入頁面","設定檔僅需安裝一次，隨後自動連線","兩者兼具：開放網路使用 Portal，安全網路使用 Passpoint"],["空中傳輸安全性","一般開放網路無加密；Enhanced Open 具備加密但無身份驗證","採用 802.1X 的 WPA2 或 WPA3-Enterprise","安全網路上採用 EAP-TLS 與雲端 RADIUS"],["身份識別與 VLAN","登入後才確定身份並套用角色","在發送第一個封包前即可確認身份；由 RADIUS 設定 VLAN","身份可在所有三個網路上設定 VLAN"],["同意聲明與資料","連線時於螢幕上顯示條款與同意選項","無連線頁面；僅能透過 Release 3 提供條款","自主選擇同意；可在 Engage 中進行訪客行銷"],["裝置支援度","任何配備瀏覽器的裝置","透過設定檔支援現有 iOS、Android、Windows 與 macOS","針對兩者皆不支援的裝置提供 xPSK"],["漫遊功能","每個場地皆需重新登入","單一設定檔即可跨據點及超過 500 萬個 OpenRoaming 熱點連線","通過認證的 WBA 身份代理；Connect 免費提供 OpenRoaming"],["硬體相容性","Meraki、Aruba、Ruckus、Mist、UniFi 上的 Splash 頁面設定","只要韌體支援，可在相同存取點上設定 Hotspot 2.0","與硬體無關的雲端覆蓋層，無需添購新的存取點"],["營運負擔","Portal 頁面、圍牆花園清單、CNA 異常問題","憑證、設定檔與 RADIUS 原則","Portal、雲端 RADIUS 及 EAP-TLS 整合於單一平台"]],"footnote":"評分依據 Passpoint 與 OpenRoaming 計畫資料、IETF RFC 8952 以及各廠商說明文件。Purple 數據為 Purple 內部資料。","download":{"filename":"passpoint-vs-captive-portal.csv"}}

加密技術是最大的差異

一般開放式 SSID 在裝置與存取點之間傳輸資料時未進行加密。Enhanced Open 雖然透過機會無線加密（OWE, RFC 8110）增加了加密功能，但它不包含身份驗證。

Passpoint 則需要使用 WPA2-Enterprise 或 WPA3-Enterprise。每個會話都會透過可擴充身份驗證協定（EAP）經由 802.1X 進行身份驗證，且每個會話都會取得獨立的金鑰。

取得身份的時間點不同

使用 Portal 時，網路很晚才會取得身份資訊。當取得身份時，裝置已經擁有了 IP 位址與瀏覽器會話。

使用 Passpoint，基地台會優先進行檢查。在裝置傳送第一個封包之前，基地台會先詢問 RADIUS 伺服器。RADIUS 是基地台用來詢問驗證伺服器是否允許裝置存取的協定。

這個順序決定了您可以執行的原則。RADIUS 會在驗證時傳回 VLAN。學生、承包商和住戶無需第二個步驟，就能直接分配到不同的網路區段。

{"kind":"lanes","direction":"lr","caption":"同一基地台上的兩種登入路徑","alt":"Captive Portal 會將裝置保留在圍牆花園中直到完成登入，而 Passpoint 則會在傳送第一個資料封包前透過 802.1X 進行驗證。","lanes":[{"id":"o","label":"開放網路上的 Captive Portal"},{"id":"s","label":"安全網路上的 Passpoint"}],"nodes":[{"id":"o1","label":"裝置連線至開放式 SSID","sub":"除非使用 Enhanced Open，否則無加密","lane":"o","tone":"neutral"},{"id":"o2","label":"圍牆花園","sub":"流量會被保留，直到完成 Portal 流程","lane":"o","tone":"neutral"},{"id":"o3","label":"Portal 登入","sub":"收集條款同意、意願勾選與身份資訊","lane":"o","tone":"brand"},{"id":"o4","label":"已授予存取權限","sub":"登入後套用角色或 VLAN","lane":"o","tone":"success"},{"id":"s1","label":"裝置讀取 Beacon","sub":"針對 Realm 與漫遊聯盟進行 ANQP 查詢","lane":"s","tone":"neutral"},{"id":"s2","label":"設定檔比對","sub":"儲存的憑證或 OpenRoaming 身份","lane":"s","tone":"neutral"},{"id":"s3","label":"至雲端 RADIUS 的 802.1X","sub":"EAP-TLS 或 EAP-TTLS，從一開始即加密","lane":"s","tone":"brand"},{"id":"s4","label":"身份決定 VLAN","sub":"WPA2 或 WPA3-Enterprise 連線階段","lane":"s","tone":"success"}],"edges":[{"from":"o1","to":"o2"},{"from":"o2","to":"o3"},{"from":"o3","to":"o4"},{"from":"s1","to":"s2"},{"from":"s2","to":"s3"},{"from":"s3","to":"s4"},{"from":"o3","to":"s2","label":"引導至安全網路","style":"dashed"}]}

Passpoint 在哪些情境最具優勢？

每天返回現場的使用者

員工、學生、住戶和共享辦公室會員每天都會連線至相同的網路。每當連線階段結束時，Portal 就會再次詢問。Passpoint 只會在安裝設定檔時詢問一次，之後便不再詢問。

對會員來說，這就是他們在家中期待的無縫 WiFi 登入體驗。對您的服務台而言，這能消除絕大多數因重複登入而產生的 Portal 工單。

在第一個封包傳送前的加密與身份辨識

Passpoint 會在任何資料傳輸之前進行驗證。它採用 EAP-TLS (基於憑證的驗證)、EAP-TTLS 或基於 SIM 卡的方法。您的資安團隊能獲得關於誰在何時連線以及使用哪個 VLAN 的明確證據。

透過 Purple，雲端 RADIUS 會對照 Microsoft Entra ID、Okta 或 Google Workspace 來檢查每個憑證。撤銷帳號後，Purple 就會直接撤銷網路存取權限。入職、異動與離職人員的管理將轉變為自動化原則，而非人工作業工單。我們的憑證、身份與 Passpoint 安全網路指南 涵蓋了完整架構。

跨據點、城市與合作夥伴網路之間的漫遊

OpenRoaming 與 Captive Portal 的對比在此處最為明顯。Captive Portal 一次只能在一個場地運作。

OpenRoaming 採用不同的做法。Wireless Broadband Alliance (WBA) 營運此機制來聯合 Passpoint 網路，因此單一身分即可在每個會員熱點使用。Purple 是獲得認證的 WBA 身分經紀商 (Identity Broker)，且 OpenRoaming 可透過 Connect 授權免費使用。

{"items":[{"value":"500 萬+","label":"全球 OpenRoaming 熱點"},{"value":"53,000+","label":"在 Newcastle 漫遊的學生","note":"校園、城市與輕軌"},{"value":"80,000+","label":"Purple 上的線上場地","note":"Purple 自有數據"}]}

{"tone":"proof","title":"Newcastle：全球首個全城 OpenRoaming 網路","text":"Purple 營運 Newcastle 的全城 OpenRoaming 網路。超過 53,000 名學生使用單一身分在校園、城市與輕軌之間漫遊。"}

如果您的安全性團隊詢問造訪的網路能看到什麼，請引導他們參考 OpenRoaming 安全嗎？

隱藏硬體位址的裝置

iOS 與 Android 預設在每個網路使用私有隨機 MAC 位址。透過 MAC 位址記住裝置的 Captive Portal 可能會失去對裝置的追蹤並再次要求登入。Passpoint 是對憑證進行驗證，而非 MAC 位址，因此隨機化永遠不會觸發重複登入。

Captive Portal 在哪些方面勝出？

首次與一次性訪客

飯店住客、顧客或單一活動的粉絲手機上沒有設定檔。Captive Portal 讓他們能從任何瀏覽器連線。要求該訪客先安裝設定檔，會增加可能不會再次造訪的行程摩擦感。

同意條款與第一方數據

Captive Portal 是訪客閱讀您的條款並做出明確選擇同意的唯一場所。該記錄是符合 GDPR 同意條款的證明。它也能啟動您行銷團隊使用的第一方數據。

Purple 的訪客行銷在 Engage 中執行。我們的 訪客 WiFi 指南 涵蓋了該部分的內容。

Passpoint Release 3 新增了條款與條件接受步驟，但沒有行銷選擇性同意。請參閱 Passpoint Release 3 的變更內容。

任何配備瀏覽器的裝置

Captive Portal 對裝置的要求僅限於瀏覽器。Passpoint 則需要最新的作業系統支援與設定檔。較舊的電話、訪客筆記型電腦與共用平板電腦通常會掉入這個落差中。

Captive Portal 檢測現已標準化。RFC 8910 允許網路透過 DHCP 宣告 Captive Portal。RFC 8908 定義了回報 Portal 狀態的 API。兩者都減少了導致工單增加的 Captive Network Assistant (CNA) 失敗率。

安全網路的導引加入

開放網路也是您將個人裝置導引加入 (Onboard) 至安全網路的地方。學生透過 Portal 登入一次並取得憑證。從那時起，他們就能加入 802.1X 網路。以這種方式使用時，Portal 是通往 Passpoint 的入口，而非其競爭對手。```pk:callout {"tone":"warning","title":"移除 Portal 頁面即代表無法收集同意條款","text":"Passpoint 在加入網路時沒有頁面，因此無法收集行銷同意選項。若將訪客 SSID 完全切換為僅使用 Passpoint，新的第一方數據就會停止進來。"}

## 各項營運成本為何？

兩種方案都不需要更換新的無線存取點。成本主要來自授權、身分驗證與人力時間。我們在此說明的是成本結構，而非具體金額。

```pk:table
{"caption":"每種登入方式的營運成本：成本項目（非具體金額）","asOf":"2026-06-10","columns":[{"key":"c","label":"成本項目"},{"key":"p","label":"Captive Portal"},{"key":"h","label":"Passpoint"},{"key":"u","label":"使用 Purple Access","highlight":true}],"rows":[["軟體授權","Portal 平台授權","Cloud RADIUS、憑證與 Profile 工具","Connect、Capture 或 Engage 方案"],["硬體","現有無線存取點無需新增","無需新增；若缺少 Hotspot 2.0 則需升級韌體","與硬體無關的雲端覆蓋層"],["聯盟機制","不屬於 Portal 流程的一部分","可選配經由 WBA 身分代理商提供的 OpenRoaming","經由 Connect 免費提供 OpenRoaming"],["身分驗證","社群帳號、電子郵件或表單登入","您已獲得授權的目錄","Microsoft Entra ID、Okta、Google Workspace"],["內容維護","頁面設計、條款文字、圍牆花園清單","Profile 範本與 RADIUS 策略","兩者皆在單一平台上執行"],["生命週期工作","工作階段計時器與重複登入","憑證核發、更新與撤銷","撤銷機制與目錄帳號連動"]],"footnote":"僅供參考成本結構。請向各廠商洽詢針對您場地與設備數量的具體金額。"}

在 Purple 上，授權依方案劃分：Connect、Capture 與 Engage。OpenRoaming 已包含在 Connect 授權中免費提供，因此聯盟機制並非單獨的成本項目。身分提供者通常是您已擁有的授權。針對員工與學生的 Passpoint 則可直接套用您已付費的目錄。

隱藏成本各有不同：

• Portals 的成本在於內容維護與重複登入的客服支援。
• Passpoint 的成本在於憑證生命週期管理：新進人員核發、異動人員更新、離職人員撤銷。

將該生命週期與目錄連動，就能以策略自動執行，無需人工維運。

從 Captive Portal 轉移至 Passpoint 需要哪些步驟？

轉移過程是漸進式的。您可以保留原有的 Portal SSID，並在旁新增一個安全網路。無需打掉重來，也不需要利用週末強制切換。

1. 檢查韌體是否支援 Hotspot 2.0。 請在 Cisco Meraki dashboard、HPE Aruba Central、Ruckus SmartZone、Juniper Mist 或 Ubiquiti UniFi Network 應用程式中確認支援情況。各廠商皆有針對每個韌體版本說明 Hotspot 2.0 的支援度。
2. 針對不同受眾選擇身分驗證來源。 員工與學生請使用 Microsoft Entra ID、Okta 或 Google Workspace。帶有其他地方身分憑證的訪客則使用 OpenRoaming。
3. 建置 Cloud RADIUS 與憑證。 針對託管與已引導註冊的裝置使用 EAP-TLS。撰寫將每個身分對應至其專屬 VLAN 的 RADIUS 策略。
4. 發佈 Passpoint 網路。 在 SSID 上設定網路存取識別碼（NAI）領域、漫遊聯盟與網域。請直接使用 RADIUS 提供者給予的數值，切勿自行推測。
5. 分發設定檔。 針對受管設備使用行動裝置管理（MDM），個人裝置則使用開放網路。OpenRoaming 則能涵蓋其他所有使用者。
6. 衡量轉移成效。 比較每個場地使用 Passpoint 的工作階段與使用 Portal 的工作階段數量。接著再微調 Portal 的工作階段計時器。

{"tone":"tip","title":"同時並行運作兩種 SSID","text":"請在現有 Portal SSID 旁新增 Passpoint 網路，而非直接取代它。未安裝設定檔的裝置可繼續使用 Portal，已安裝設定檔的裝置則會自動切換過去。"}

以下兩份指南將深入探討這些步驟：

• 成為 OpenRoaming 存取網路提供者：了解如何在您的場地接收訪客的 OpenRoaming 身分。
• Passpoint 裝置支援度比較：了解 iOS、Android、Windows 與 macOS 如何處理設定檔。

您該如何抉擇？

以下是決策原則：當雙方關係是在現場入口才開始時，請使用 Captive Portal；如果關係在訪客抵達前就已建立，請使用 Passpoint。這項原則應依據「目標受眾」來套用，而非依據「整體場域」。

{"title":"Passpoint 或 Captive Portal：適合各類目標受眾的方案","options":[{"name":"Captive portal","fitsWhen":["您與大多數訪客僅互動一次","您需要在連線當下取得條款同意與行銷訂閱許可","訪客攜帶的裝置無法事先預先設定"],"notWhen":["相同的員工、學生或住戶每天都會連線","您的政策要求每一次連線都必須進行加密"]},{"name":"Passpoint","fitsWhen":["使用者會再次造訪且已擁有身分凭證","您需要在傳輸第一個封包前完成加密與身分驗證","您希望跨場地與 OpenRoaming 夥伴實現一次登入即可連線"],"notWhen":["您的主要目標是從首次造訪的訪客收集第一方資料","裝置無法儲存設定檔"]},{"name":"在 Purple Access 上同時採用兩者","fitsWhen":["您的場域涵蓋訪客、員工、學生與住戶等混合群體","您希望利用開放網路引導裝置加入安全網路"],"notWhen":["場地內的每一台裝置皆受管理且為員工所有"]}],"recommendation":"在首次與人互動的場景保留 Portal，並將所有已知的熟客轉移至 Passpoint。"}

您的下一步是按場地列出目標受眾：訪客、員工、學生、住戶、會員與外包廠商。標記哪些對象已經擁有身分憑證。這些群體可轉移至 Passpoint，其餘則繼續使用 Portal。接著了解 Passpoint 與 OpenRoaming 如何在 Purple Access 上運作。

常見問題

Passpoint 是否比 Captive Portal 更安全？

是的，透過無線傳輸方式。Passpoint 需要搭配 802.1X 的 WPA2-Enterprise 或 WPA3-Enterprise，因此在傳輸資料前，每個工作階段皆已完成身分驗證與加密。具有入口的普通開放式 SSID 不會對裝置和基地台之間的任何內容進行加密。Enhanced Open 雖然新增了加密功能，但未包含身分驗證。強制入口仍可提供同意聲明的證明，這是 Passpoint 無法做到的。如需 OpenRoaming 的具體細節，請閱讀 OpenRoaming 安全嗎？

Passpoint 是否適用於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist 和 Ubiquiti UniFi？

是的。這五家廠商皆在 SSID 上記載了 Hotspot 2.0 設定，具體取決於控制器與韌體版本。Purple 新增了雲端 RADIUS 與身分驗證作為與硬體無關的雲端重疊層，因此您無需購買新的基地台。在發布網路前，請檢查各廠商的 Hotspot 2.0 韌體說明。請先升級運行舊版本的任何站點。

我可以使用 Passpoint 收集行銷同意嗎？

不行。Passpoint 在加入網路時沒有頁面，因此無法呈現行銷同意選項。Release 3 新增了條款接受功能，而非行銷同意。請在開放式網路上為初訪者保留強制入口，透過自願選擇的同意選項來建立第一方資料。Purple 的訪客行銷功能在 Engage 中執行。再次造訪的訪客隨後可以移至 Passpoint，而您可保留已持有的同意記錄。

使用 Purple 時，OpenRoaming 的費用是多少？

OpenRoaming 可透過 Purple 的 Connect 授權免費使用。您無需編列獨立的聯盟預算。Purple 是經過認證的 WBA 身分代理商，因此您的站點可透過 Purple 合約加入全球超過 500 萬個熱點組成的聯盟。您選擇的方案（Connect、Capture 或 Engage）決定了其餘費用。OpenRoaming 則不會影響費用。

我可以在相同的基地台運行 Passpoint 和強制入口嗎？

可以。它們可以在相同的射頻上作為獨立的 SSID 運行：帶有入口的開放式網路，以及啟用了 Hotspot 2.0 的安全網路。Purple 在單一平台上運行開放式、安全和 xPSK 網路，並由身分決定每個網路的 VLAN。請保持較少的 SSID 數量。每個額外的 SSID 都會增加每個射頻上的信標開銷。

從強制入口移至 Passpoint 需要多少心力？

比硬體專案要少，因為您無需替換任何設備。主要工作在於身分驗證與策略。您為每個受眾選擇一個目錄，建立雲端 RADIUS 與憑證，啟用 Hotspot 2.0 並分發設定檔。入口在整個過程中保持上線，因此不存在切換停機時間。大部分的工作集中在設定檔分發，這取決於您透過 MDM 管理的裝置數量。

強制入口是否能為 GDPR 提供稽核證明？

只要同意選項是自願選擇且您記錄了該選項，它就能提供同意聲明的證明。入口會在加入網路時顯示條款並記錄接受情況。Purple 擁有 ISO 27001 與 Cyber Essentials 認證，可支援您的供應商評估。Passpoint 則提供不同類型的證明：為每個工作階段提供經驗證的身分與 VLAN。

哪些裝置支援 Passpoint？

最新版本的 iOS、Android、Windows 和 macOS 皆支援 Passpoint，但各自安裝與管理設定檔的方式有所不同。較舊款的手機與無螢幕裝置（headless device）通常缺乏支援，或無法安裝設定檔。xPSK 適合此類情境，能在分割網路上為每台裝置或每位住戶提供專屬金鑰。如需更多平台詳細資訊，請閱讀 Passpoint 裝置支援比較。