WiFi 的强制门户：工作原理及适用对象
了解什么是适用于 WiFi 的强制门户、场所如何使用它、适用于哪些同意规则，以及哪些集成方案适合您的网络。
如果访客加入您的 WiFi 之后就能直接上网，那么他们究竟同意了什么？您又对他们了解多少？这正是 WiFi 强制门户 所填补的空白，前提是您必须将通常打包在一个页面里的三项工作分开处理。第一项工作是控制网络访问。第二项工作是记录对使用条款的接受情况。第三项工作则是请求营销同意，这与前两项工作截然不同。
前台可以允许人员进入、说明住客守则，并邀请他们加入邮件列表。这些是互相联系的环节，但并非单一的决定。当场所将它们混为同一个勾选框时，访客会感到困惑，授权许可会变得不可靠，而从不打开浏览器的设备可能会绕过限制或被卡住。
目录
- 强制门户的工作原理 - 分阶段解析
- 场所应用强制门户的常见场景
- 访客数据、知情同意与收集建议
- 登录方式对比：操作门槛与数据维度
- 强制门户失效原因及预防措施
- 与现有网络的集成方案
- 选择适合您场所的门户配置
强制门户分阶段工作原理
以酒店前台为例。每位客人都在领取房间钥匙前经过前台，而门户在接入 WiFi 与访问互联网之间的工作方式也是如此。访客首先加入网络，但仅凭该连接并不能获得无限制的浏览权限。
假设咖啡馆里的一位访客点击了您的网络名称。她的手机与接入点建立关联并获取本地网络设置，但网关仍将其置于受限状态。当她尝试浏览网页时，该请求会被拦截，并重定向至您的强制门户页面，而非她请求访问的网站。
研华强制门户文档 中描述的就是这种交互过程：用户加入开放或半开放的网络，然后被重定向到一个门户页面，该页面可能会要求用户提供凭据、支付费用、进行注册或接受条款，之后才会授予访问权限。接着，用户通过接受条款、输入电子邮件或付费来进行身份验证。一旦完成该步骤，网络就会授权其设备并放行正常流量。
| 阶段 | 具体过程 |
|---|---|
| 1. 关联 | 设备加入访客网络 |
| 2. 拦截 | 浏览器请求被重定向至门户页面 |
| 3. 身份验证 | 访客输入电子邮件、接受条款或付费 |
| 4. 授权 | 网络向设备授予互联网访问权限 |
| 5. 会话结束 | 定时器到期，设备返回门户页面 |
机场或小型咖啡馆适用相同的流程，因为门户是网络策略决定谁可以上网的地方。当定时器到期时，授权结束，设备返回门户页面。
尝试此测试：将手机连接到您的访客网络，打开一个普通 HTTP 页面，确认在任何浏览操作生效前均会出现登录页面。
场所使用强制门户的场景
在任何人设计页面之前，您的场所类型就应该确定门户的功能。咖啡馆、酒店和医院不需要相同的登录步骤，将一种模板强加给这三者会在不同地方产生体验摩擦。
| 场所类型 | 目标 | 登录步骤 | 典型会话时长 |
|---|---|---|---|
| 咖啡馆和餐厅 | 快速登录和访客列表 | 条款及可选电子邮箱 | 1 至 2 小时 |
| 酒店与住宿设施 | 访问权限与房间或预订绑定 | 预订或房间核验、兑换码或访问码 | 住宿期间 |
| 零售中心 | 测量重复访问率 | 可识别回访宾客的电子邮箱或账户登录 | 2 至 4 小时 |
| 活动场所、共享办公空间或医院 | 限时访问 | 兑换码或访问码 | 活动当天或预订时段 |
咖啡馆、酒店和零售中心
假设一位咖啡馆访客在点餐和就座之间连接网络。她看到一个包含条款和可选电子邮件框的页面，点击连接，几秒钟内就能上网。如果再增加五个字段，她就会改用移动数据。
酒店则面临相反的风险。如果强制门户不核对房间或预订信息，大堂或门外街上的任何人都可以占用本应提供给付费住客的带宽。零售中心则面临衡量方面的难题。如果没有能够识别复访设备或账户的逻辑，每次访问看起来都像是首次访问，从而无法统计重复访问量。
活动场所、共享办公空间和医院
这些场所相比表单更关注会话定时器和访问码。一日通行证、预约或活动门票决定了访问权限应持续多久。当该期限结束时，访问权限应干净利落地终止，无需工作人员手动移除设备。
无论您的配置如何，在认定仅凭登录页面就能保障访客安全之前，都值得仔细阅读这些 公共 WiFi 陷阱解析。对于使用托管密钥保护的员工专用网络，Portal 门户毫无作用，只会增加团队不需要的冗余步骤。
写下您的访客网络必须实现的单一目标。相比您想要收集的字段列表，这句话能更好地决定您的登录方式。
访客数据、同意事项及所需收集的内容
连接网络是否必须提供个人数据？许多场所以为答案是肯定的，并尽可能设计繁琐的表单。但事实证明，这只是一种选择，而非强制要求。
在一项 2019 年针对 67 个公共 WiFi 热点展开的学术研究 中，27 个热点（占样本的 40.3%）使用社交账号登录或注册页面来收集个人信息，并且在 19 个案例中，必须完成该流程才能接入互联网。同一项研究发现，40 个热点（占 59.7%）允许在不索取明确个人数据的情况下接入互联网。因此，门户并不自动等同于营销注册。
在一个屏幕上实现三项功能
请在您的设计和记录中对这些进行清晰区分。
- 控制网络接入：网关决定该设备是否可以访问互联网。
- 展示使用条款：访客接受网络连接本身的可接受使用条件。
- 获取营销同意：访客同意后续接收营销信息，这是一个独立的决策。
这是读者最容易忽略的一点。只有明确的勾选同意才会被视为营销许可；接受WiFi条款并不代表授予营销许可。勾选复选框以联网的访客并不意味着同意接收您的电子报。将该勾选直接视为授权许可，会使您的邮件列表和企业声誉面临风险。
易于访客理解的页面布局
在可接受使用条款文本旁边放置一个必选条款勾选框。在其下方，放置一个独立的、未勾选的营销勾选框，并附带明确的说明文字（例如邀请通过电子邮件接收优惠信息）。添加一个可见的隐私声明链接，该链接应在访客提交任何信息前即可打开，而不是隐藏在登录之后。
这种区分符合本 GDPR场所合规电子邮件营销清单 中的实用检查项。这也赋予了访客真正的选择权。即使拒绝接收营销信息，访客依然可以联网，这正是其应当运行的方式。
字段越多并不意味着价值越高。每增加一个额外问题，都会降低完成率，并增加您有责任保护的数据。
当访客选择同意时，门户网站可以将他们的邮箱、到访日期和偏好门店保存到集中记录中。当访客通过邮箱地址或社交账号连接并登录时，我们会捕获这些数据并存储到中央 CRM 中。场所就是通过这种方式构建自己拥有的第一方数据，而不是依赖第三方平台的受众数据。
上线前请先回答三个问题：提供网络接入严格需要哪些数据？身份和设备记录将保存多久？访客能否在拒绝接收营销信息的情况下依然成功联网？如果有任何答案不够明确，请在优化 UI 设计之前先完善表单设计。
根据工作量和数据对比登录方式
每种登录方式都在访客操作成本与捕获的数据以及跨设备稳定性之间进行权衡。从上到下阅读表格，您会看到这种权衡在逐步增加。
| 登录方式 | 收集的数据 | 访客操作门槛 | 最佳适用场景 |
|---|---|---|---|
| 仅需勾选条款一键登录 | 仅设备记录 | 极低 | 追求快速联网的咖啡馆 |
| 代金券或上网凭证码 | 仅凭证码兑换记录 | 低 | 提供纸质或许可上网凭证的酒店和活动场地 |
| 电子邮箱注册登录 | 电子邮箱地址及营销许可同意 | 中等 | 希望建立访客名录的场所 |
| 社交账号快捷登录 | 服务商允许公开的个人资料数据 | 低 | 偏好一键快捷登录的访客 |
| 短信一次性验证码 | 手机号码 | 中等 | 需要实名核验身份的场所 |
| Passpoint 或基于证书的身份认证 | 设备凭据（无门户页面） | 完成配置后极低 | 拥有托管设备的大型场所 |
从数据最少到最多
仅限条款的点击一键登录只需点击一下即可建立设备记录。这种方式速度快，但无法建立访客名单。代金券或访问码增加了控制功能，无需询问访客身份，适合打印的酒店房卡和活动通行证。
邮箱注册需要访客付出更多操作，但只要营销勾选项保持独立，就能获取有效的联系方式。如果您正在将其与其他信息收集途径进行权衡，这份关于 二维码注册与 WiFi 登录在邮箱收集方面的对比 可帮助您平衡用户操作成本与数据质量。
社交账号登录体验上只需点击一次，但它增加了第三方重定向步骤。某些浏览器以及手机在 WiFi 中使用的简易登录窗口对此类重定向兼容性较差，且访客可能早已忘记多年未输入的密码。短信一次性验证码可以验证手机号，但前提是访客的手机拥有蜂窝网络信号且能正常接收短信。
Passpoint 或基于证书的身份验证在设置完成后会移除门户页面。它需要在设备上安装托管配置文件，因此相比初次连接您网络的临时访客，它更适合员工和常客。
决策规则：将登录步骤与您所需的单一结果相匹配，而非尽可能多地收集字段。
现在预选两种方式。在做出最终选择前，您将针对硬件和故障检查对这两种方式进行测试。
强制门户失败的原因及预防方法
门户不仅仅是一个带品牌的页面。在登录之前，网关将每个设备保持在受限状态，仅允许服务发现、登录和门户流量。大多数故障的发生都是因为该暂存区域构建或测试不当。
访客常察觉到的四种异常表现
门户页面从未出现。现在大多数网站都使用 HTTPS，而浏览器会拒绝被替换的证书，因此旧的 HTTP 拦截方式无法稳定展示您的页面。操作系统转而运行连通性检查（例如 Apple 强制网络支持指南 中描述的通过 TCP 端口 80 和 443 向 captive.apple.com 发送的请求），以检测互联网访问是否遭到拦截。
页面加载异常。HTML 已接收，但样式表、脚本、字体或身份提供商重定向在受限状态下被拦截。请在本地托管门户资源，或将页面所需的所有端点添加到白名单。
部分访客绕过了门户。如果您仅过滤 IPv4 而未对 IPv6 进行限制，网络流量可能会绕过您的规则。请对这两条路径一视同仁。
访客不断循环返回登录页面。授权定时器到期，或者接入点之间的漫游导致会话中断，访客被重复重定向。即使信号很强，这看起来也是 WiFi 故障。
上线前需运行的测试项目
- 测试真实设备：在 iOS、Android、Windows、macOS 以及至少一台物联网设备（如打印机或电视）上完成测试。
- 测量两项耗时：记录每台设备显示门户页面的时间和获得授权的时间。
- 强制会话过期：确认访客能正常返回门户页面并可以再次登录。
- 连接状态下漫游：在启用私有 MAC 地址的情况下在 AP 之间漫游，观察访问权限是否得以维持。
保留一份已记录的备用方案，以备门户检测失败时使用，例如员工可以提供给访客以便手动打开的短地址。请勿通过将网络完全开放来降低安全性。
最后，帮助访客识别钓鱼风险。网络名称应与场所相符，强制门户地址应位于场所自己的域名下，且浏览器应显示该域名的有效 TLS 证书。正规的强制门户绝不会索要银行信息或社交媒体密码。
与您现有的网络集成选项
您无需拆除现有网络即可添加门户。从设备如何获知门户存在开始，因为这决定了那些绝不先打开浏览器的手机的连接可靠性。
下图展示了门户如何位于接入点和接收访客记录的系统之间。
标准路径
根据 Fortinet 的强制门户管理指南 中所述的方法，RFC 8910 定义了网络如何通过 DHCPv4 选项 114、DHCPv6 或 IPv6 路由器通告来通告其门户 API 端点。随后，RFC 8908 指定了一个使用 application/captive+json 媒体类型的 HTTPS JSON API，用于公开客户端是否仍处于受限状态、面向用户的登录 URI 以及剩余访问时间等会话信息。
简单来说，网络会直接告知操作系统在哪里登录以及接入时长。这降低了对易失败的重定向的依赖，尤其是当应用程序使用 HTTPS 或证书绑定时。无论是 API 终端还是门户网站，都必须使用带有证书验证的 TLS，否则攻击者可能会伪造已授权状态或篡改登录跳转目标。
这段简短的视频展示了这些集成点在实际应用中是如何协同工作的。
梳理每个连接点
门户层可以叠加在您现有的硬件之上，包括 Cisco Meraki、HPE Aruba 和 Ubiquiti UniFi，无论在登录时是否配合专用的 WiFi 平台均可运行。您的 IT 负责人应在选择设置前梳理好四个要点。
- 无线接入点控制器：掌控网络名称、受限状态以及重定向或 API 通告。
- 身份源：核验房间号、兑换码、员工账户或社交账号登录。
- 访客记录系统：接收经同意提供的联系方式，如 可用的 Purple WiFi 集成 所示。
- TLS 证书：必须与访客看到的门户域名匹配，续期工作由指定专人负责。
运行一项决策测试。如果您的网络支持 IPv4 和 IPv6 上的 RFC 8910 通告，请保留它并测试 JSON 响应。如果不支持，请规划基于浏览器的重定向并提供已记录的备用方案。
选择适合您场所的门户设置
单个登录界面中隐藏着三个独立的决策：网络接入、条款接受和营销同意。网络接入允许设备连接网络；条款接受用于记录访客已同意您的规则；营销同意则是明确的自愿选择，仅接受WiFi条款并不意味着授予营销同意。如果将这些选项强行合并为一个勾选框，要么收集到无法合规使用的同意，要么会把本可以顺畅登录的访客拒之门外。
三个起点
需要快速访问和订阅名单的咖啡馆应使用条款加上可选的电子邮件。电子邮件字段和营销订阅仅在访客主动选择时显示。请先检查访客记录系统，确保新联系人能存入有效的系统。
若酒店需将上网权限与预订信息挂钩，则应采用房间号/预订号核查，或在办理入住时发放上网凭证。仅需收集授权访问所必需的住宿凭证信息，切勿收集多余的个人资料字段。请务必优先核实身份数据源，因为前台工作人员需要为信息不匹配的情况排查问题。
需要保持一致性的多站点集团应在各个站点之间标准化统一的同意记录和报告。在所有地方都使用带有独立可选订阅的电子邮件注册，意味着每个站点以相同的方式处理拒绝请求。请先检查报告和数据保留规定。
门户无法检测到的设备
强制门户仅适用于能够打开浏览器的硬件。智能电视、打印机、收银终端和客房智能设备无法渲染该页面，因此会无限期处于受限状态。请为这些设备提供单独的连接路径（例如员工或设备网络上的独立设备密钥），并将强制门户仅用于可以显示登录页面的手机和笔记本电脑。
在发布之前，请确认您的硬件支持标准路径或备用方案已记录在案。使用真实的访客设备运行设备、到期、漫游和 IPv6 检查，而不仅是在办公室中使用笔记本电脑。
Purple Engage 适用于希望通过登录为后续营销提供支持的场所。这是一款面向实体空间的综合营销系统，无论是否包含 Purple WiFi，都能将每次 WiFi 登录转化为二次光顾，并证明哪些活动产生了效果。它将 WiFi 登录、收银机销售额、预订、表单、文件、消息和调查问卷回复整合为按电子邮箱匹配的单一访客记录。由于它在无论是否有 Purple WiFi 的情况下均可运作，且能够读取您现有的系统，因此您可以将其连接到已在运行的硬件和收银机。
本周只需做一件事：写下您的门户必须实现的那个明确结果，然后将您的登录方式、数据字段和首次集成检查对应到该结果上。
如果您正在为 WiFi 设置强制门户，并希望每次获得同意的登录都能转化为可用的访客记录，Purple Engage 即可将 WiFi 登录数据与收银台销售、预订、表单和调查问卷答案集中整合在一处。请访问网站，了解它如何利用您现有的硬件工作，以及如何帮助将首次连接转化为再次光顾。