WiFi 的強制入口：運作方式與適用對象
了解什麼是 WiFi 的強制入口、場域如何運用、適用哪些同意規範，以及有哪些適合您網路的整合方案。
如果訪客加入您的 WiFi 後就能立即瀏覽網路，那麼他們究竟同意了什麼，而您又了解了他們的哪些資訊？這正是 WiFi 強制入口所填補的缺口，但前提是您必須將通常打包在同一畫面中的三項工作分開。第一項工作是控制網路存取；第二項工作是記錄對使用條款的接受；第三項工作則是詢問行銷同意，且這項工作與前兩者並不相同。
櫃檯服務人員可以讓顧客進入、說明現場須知，並邀請他們加入郵寄名單。這些是相關的事件，但並非同一個決定。當場地將這些事項全部混在同一個勾選框時，訪客會感到困惑，同意權會變得不可靠，而無法開啟瀏覽器的裝置可能會繞過規則或直接卡住。
目錄
強制入口逐階段運作原理
以飯店櫃檯為例。每位訪客在領取房卡前都會經過櫃檯，而強制入口在連線至 WiFi 與存取網際網路之間的運作方式也是如此。訪客會先連線至網路，但單憑該連線並不能取得無限制的瀏覽權限。
假設咖啡廳裡的一位顧客點擊了您的網路名稱。她的手機會關聯至基地台並取得區域網路設定，但閘道器仍會將她保持在受限狀態。當她嘗試瀏覽網頁時，該請求會被攔截，並將她重新導向至您的強制入口頁面，而不是她原本要求的網站。
研華科技強制入口說明文件 中描述的就是這種交易情況，使用者加入開放式或半開放式網路後，會被重新導向至一個入口網站，該網站可能會要求提供憑證、付款、註冊或接受條款，才能獲准存取。接著，使用者透過接受條款、輸入電子郵件或付款來進行驗證。完成該步驟後，網路即會授權其裝置並放行正常流量。
| 階段 | 發生的狀況 |
|---|---|
| 1. 關聯 (Association) | 裝置加入訪客網路 |
| 2. 攔截 (Interception) | 瀏覽器要求被重新導向至入口網站頁面 |
| 3. 驗證 (Authentication) | 訪客輸入電子郵件、接受條款或付款 |
| 4. 授權 (Authorisation) | 網路授予裝置網際網路存取權限 |
| 5. 連線階段結束 (Session end) | 計時器到期，裝置返回入口網站頁面 |
無論是在機場還是小型咖啡廳，運作流程皆相同，因為入口網站正是您的網路原則決定誰能上網的地方。當計時器到期時，授權即告結束，裝置會重新返回入口網站。
嘗試此測試：將手機連線至您的訪客網路，開啟普通的 HTTP 頁面，並確認在任何瀏覽正常運作之前會先出現登入頁面。
場域使用強制入口的位置
在任何人設計畫面之前，您的場域類型就應該先決定好入口網站的功能使命。咖啡廳、飯店與醫院不需要相同的登入步驟，若強行將單一範本套用在三者上，會在不同環節產生阻礙。
| 場地類型 | 目標 | 登入步驟 | 典型連線時長 |
|---|---|---|---|
| 咖啡廳與餐廳 | 快速登入與顧客名單 | 服務條款加上選填電子郵件 | 1 至 2 小時 |
| 飯店與住宿 | 連線權限綁定房號或預訂 | 預訂或房號核對、兌換券或存取碼 | 住宿期間 |
| 零售中心 | 衡量回訪率 | 可辨識回訪顧客的電子郵件或帳號登入 | 2 至 4 小時 |
| 活動、共享辦公室或醫院 | 限時連線權限 | 兌換券或存取碼 | 活動當天或預訂時段 |
咖啡廳、飯店與零售中心
假設一位咖啡廳訪客在點餐後到入座之間的空檔連線。她看到一個包含條款與選填電子郵件欄位的畫面，點擊連線，幾秒內就順利上網。如果再多加五個欄位，她就會直接改用行動數據。
飯店面臨的是相反的風險。如果強制入口沒有核對房號或預訂紀錄，大廳或外頭街上的任何人都能使用專門留給付費房客的頻寬。購物中心則面臨衡量上的問題。缺乏辨識再次造訪之裝置或帳號的邏輯，每一次造訪看起來都像第一次造訪，導致無法統計重複造訪的人次。
活動、共用工作空間與醫院
這些場所比起表單，更在乎連線計時器與存取碼。一日通行證、預約或活動門票決定了存取權限應維持多久。當該期間結束時，存取權限應乾淨俐落地下線，無需工作人員手動移除裝置。
無論您的設定為何，在假設光靠登入頁面就能確保訪客安全之前，都值得先複習這些 公共 WiFi 陷阱解析。一個使用託管金鑰保護的員工專用網路，無法從門戶頁面獲得任何好處，這只會為您的團隊增加不必要的步驟。
寫下您訪客網路必須達成的單一目標。這句話比您想要收集的欄位清單更能精準決定您的登入方式。
訪客資料、同意聲明與要求的資料內容
上網是否一定要交付個人資料？許多場域認為是的，並盡可能設計最長的表格。但事實證明，這是一種選擇，而不是強制要求。
在 2019 年針對 67 個公共 WiFi 熱點進行的學術研究 中，27 個熱點（佔樣本的 40.3%）使用社群登入或註冊頁面來收集個人資料，且在 19 個案例中，必須完成該流程才能存取網際網路。同一研究亦發現 40 個熱點（即 59.7%）允許在不要求明確個人資料的情況下存取網際網路。因此，使用強制入口並不自動等於行銷註冊。
單一畫面上的三大功能
請在您的設計與記錄中明確區分這些項目。
- 控制網路存取： 閘道決定此裝置是否可以連線至網際網路。
- 顯示使用條款： 訪客接受連線本身的合理使用條件。
- 取得行銷同意： 訪客同意日後接收訊息，這是另一個獨立的決策。
這是讀者最常忽略的一點。只有明確的意願表達（Opt-in）才會被視為行銷同意；接受 WiFi 條款並不代表授予行銷同意。勾選方框以取得上網權限的訪客，並不代表同意訂閱您的電子報。將該勾選視為授權，會讓您的名單與商譽面臨風險。
訪客能直覺理解的版面配置
在合理使用條款旁邊放置一個必填條款勾選框。在下方放置一個獨立且未勾選的行銷勾選框，並附上獨立的簡單說明文字，例如邀請透過電子郵件接收優惠資訊。新增一個可見的隱私權聲明連結，讓訪客在提交任何資訊之前即可開啟，而不是在登入後才隱藏在頁面深處。
這種區分符合這份 GDPR場地合規電子郵件行銷清單 中的實務檢查點。這也能給予訪客真正的選擇權。即使有人拒絕行銷資訊，依然能夠連線上網，而這正是最理想的運作方式。
欄位愈多不代表價值愈高。每一個額外問題都會消耗完成率，並增加您有責任保護的資料量。
當訪客選擇加入時，門戶頁面可將其電子郵件、造訪日期和偏好據點儲存於中央記錄中。當訪客使用其電子郵件地址或社群個人檔案連線並登入時，我們會擷取該資料並將其儲存在中央 CRM 中。場域就是透過這種方式建立自己擁有的第一方資料，而不是依賴平台的受眾。
上線前請先回答三個問題：提供網路存取嚴格需要哪些資料？身分與裝置紀錄會保留多久？訪客是否可以在拒絕行銷資訊的情況下依然連線上網？若有任何答案不明確，請在修改設計之前先修正表單內容。
依工作量與資料比較的登入方法
每一種登入方式都是在訪客操作難易度、擷取的資料以及跨裝置穩定度之間進行權衡。從上到下閱讀此表格，您會發現這種權衡關係正在逐步擴大。
| 登入方式 | 收集的資料 | 訪客操作手續 | 最適合的場景 |
|---|---|---|---|
| 僅同意條款點擊通過 | 僅裝置記錄 | 極低 | 希望提供快速連線的咖啡廳 |
| 抵用券或存取碼 | 僅存取碼兌換記錄 | 低 | 提供列印或付費存取的飯店與活動 |
| 電子郵件註冊 | 電子郵件地址與行銷意願 | 中 | 正在建立訪客名單的場域 |
| 社群帳號登入 | 提供者允許的個人檔案資料 | 低 | 偏好一鍵簽到的訪客 |
| 簡訊一次性驗證碼 | 行動電話號碼 | 中 | 需要驗證身分的場域 |
| Passpoint 或基於憑證的身分驗證 | 裝置憑證，無入口頁面 | 設定後極低 | 擁有受管理裝置的大型場域 |
從最少資料到最多資料
僅限條款點擊進入只需要點擊一次，並且僅會建立裝置記錄。這種方式雖然快速，但無法建立訪客名單。代金券或存取碼可增加管理控制，且無需詢問訪客身分，非常適合列印出的飯店卡和活動通行證。
電子郵件註冊需要填寫更多內容，但前提是行銷選擇性加入保持獨立，就能換取可用的聯絡方式。如果您正在將此方式與其他擷取管道進行權衡，這篇比較 QR Code 註冊與 WiFi 登入來擷取電子郵件 的文章，能協助您評估使用者填寫成本與資料品質之間的平衡。
社群帳號登入看似只需點擊一下，但會增加第三方重新導向。某些瀏覽器以及手機用於 WiFi 的小型登入視窗對這些重新導向的處理較差，且訪客可能不記得多年未輸入過的密碼。SMS 一次性驗證碼可以驗證電話號碼，但前提是訪客必須有行動網路訊號且號碼能接收訊息。
Passpoint 或基於憑證的驗證會在設定完成後移除入口頁面。它需要在裝置上安裝受管理的設定檔，因此比起第一次連接您網路的臨時訪客，它更適合員工和經常光顧的常客。
決策規則：將登入步驟配對至您所需的單一成果，而非盡可能收集最多數量的欄位。
現在請先決選兩種方法。在做出選擇之前，您需要針對硬體與故障檢查對這兩種方法進行測試。
強制入口失敗的原因與預防方法
強制入口不只是一個帶有品牌標誌的頁面。在登入前，閘道會將每台裝置保持在受限狀態，僅允許探索、登入與入口流量。大多數故障的發生，都是因為該暫存區的建置或測試不當。
訪客會察覺的四種症狀
入口網站完全未出現。現在大多數網站都使用 HTTPS，且瀏覽器會拒絕被替換的憑證，因此舊型的 HTTP 攔截方式無法穩定顯示您的頁面。作業系統改為執行連線檢查，例如 Apple 強制網路支援指南 中所述，透過 TCP 連接埠 80 和 443 向 captive.apple.com 發送要求，藉此偵測網際網路存取是否遭到攔截。
頁面載入失敗或版面跑掉。HTML 已接收，但樣式表、指令碼、字型或身分提供者轉向在受限狀態下遭封鎖。請將入口網站資產在本地端代管，或將頁面所需的所有端點列入白名單。
部分訪客會繞過入口網站。若您僅過濾 IPv4 卻開放 IPv6，流量就能繞過您的規則。請平等對待兩種路徑。
訪客不斷重覆跳回登入頁面。驗證計時器到期，或在無線存取點之間漫遊導致工作階段中斷，使訪客不斷被重新導向。即使訊號很強，這體驗看起來就像 WiFi 故障一樣。
上線前需執行的測試
- 測試實體裝置：測試 iOS、Android、Windows、macOS 以及至少一台 IoT 裝置（如印表機或電視）。
- 測量兩項時間：記錄每台裝置載入入口網站的時間和獲得授權的時間。
- 強制連線階段到期：確認訪客能順利返回入口網站並可再次登入。
- 連線時進行漫遊：在啟用私人 MAC 地址的情況下，於基地台之間行走移動，並觀察存取權限是否持續有效。
當入口網站偵測失敗時，請保留備援方案說明文件，例如工作人員可提供給訪客手動開啟的短網址。切勿將網路完全開放，以免削弱安全性。
最後，協助訪客辨識網路釣魚。網路名稱應與場地相符，強制入口網址應位於場地自己的網域上，且瀏覽器應顯示該網域有效的 TLS 憑證。正規的強制入口絕不會索取銀行帳戶細節或社群媒體密碼。
與現有網路的整合選項
您不需要拆除現有的網路設備來新增入口網站。請先從裝置如何得知入口網站的存在開始，因為這決定了那些從不主動開啟瀏覽器的手機連線的穩定度。
下圖顯示入口網站如何介於您的無線存取點與接收訪客記錄的系統之間。
標準路徑
在 Fortinet 的強制入口管理指南 所描述的方法下，RFC 8910 定義了網路如何透過 DHCPv4 選項 114、DHCPv6 或 IPv6 路由器通告來廣播其入口 API 端點。RFC 8908 接著指定使用 application/captive+json 媒體類型的 HTTPS JSON API，揭露用戶端是否仍受限於強制入口、面向使用者的登入 URI，以及剩餘存取時間等連線階段資訊。
簡單來說，網路會直接告知作業系統在哪裡登入以及存取權限持續多久。這減少了對失敗重新導向的依賴，特別是當應用程式使用 HTTPS 或憑證釘選（Certificate Pinning）時。API 端點和門戶頁面都必須使用 帶有憑證驗證的 TLS，否則攻擊者可能會偽造已授權狀態或變更登入目的地。
這段短片將介紹這些整合點在實務中如何互相搭配。
對應每個連線點
強制入口層可以架設在您現有的硬體之上，包括 Cisco Meraki、HPE Aruba 和 Ubiquiti UniFi，且無論您的登入流程是否配備專用的 WiFi 平台皆可運作。您的 IT 主管在選擇設定之前應先規劃好四個要點。
- 無線基地台控制器：擁有網路名稱、管制狀態以及轉址或 API 通告。
- 身分驗證源：核對房間號碼、兌換券、員工帳號或社群登入。
- 訪客紀錄系統：接收獲同意提供的聯絡資料，如 可用的 Purple WiFi 整合功能 所示。
- TLS 憑證：必須與訪客看到的入口網域相符，且續期工作應指派專人負責。
執行一項決策測試。如果您的網路支援 IPv4 和 IPv6 上的 RFC 8910 通告，請保留該設定並測試 JSON 回應。如果不支援，請規劃基於瀏覽器的重新導向，並準備好備援方案說明文件。
選擇您場域所需的入口網站設定
一個登入畫面隱藏著三個獨立的決策：網路存取、條款接受與行銷同意。存取權限讓裝置連上網路。條款接受記錄訪客同意您的規範。行銷同意則是明確的選擇性加入（opt-in），接受 WiFi 條款並不等於給予行銷同意。若將這些設定合併為單一勾選項，要麼會收集到無法使用的同意，要麼會阻擋本可順利登入的訪客。
三個起步點
需要快速存取與訂閱名單的咖啡廳應使用服務條款搭配可選填的電子郵件。只有在訪客主動選擇時，才會顯示電子郵件欄位與行銷訂閱選項。請先檢查訪客記錄系統，確保新聯絡人能記錄到實用的地方。
若飯店欲將網路存取與預訂連結，應使用客房或預訂核對，或於辦理入住時發放抵用券。請擷取驗證存取權所需的住房參考資料即可，無需收集額外的個人檔案欄位。請先檢查身分驗證來源，因為櫃檯人員將負責排除不符狀況的故障。
需要一致性的多據點集團應將跨據點的同意記錄與報表進行標準化。在所有據點都使用帶有相同獨立訂閱選項的電子郵件註冊，代表每個據點處理拒絕的方式完全相同。請先確認報表功能與資料保留期限。
入口網站永遠不會顯示的裝置
強制入口僅適用於能開啟瀏覽器的硬體。智慧型電視、印表機、收銀機終端設備和房內小裝置都沒有可以轉譯頁面的介面，因此會無限期保持受限狀態。請為這些裝置提供單獨的存取路徑，例如在員工或裝置網絡上使用單一裝置金鑰，並將強制入口留給能顯示登入頁面的手機與筆記型電腦。
在上線前，請確認您的硬體支援標準路徑，或備援方案已具備完整說明文件。請使用真實的訪客裝置執行裝置、到期、漫遊和 IPv6 檢查，而不是只用辦公室裡的手提電腦測試。
Purple Engage 適合希望將登入資料用於後續行銷的場地。這是一套專為實體空間打造的全方位行銷系統，無論是否搭配 Purple WiFi，都能將每一次 WiFi 登入轉化為回訪，並驗證哪些行銷活動發揮了作用。它能將 WiFi 登入、POS 機銷售、預訂、表單、檔案、訊息與問卷回覆整合為單一依電子郵件比對的訪客紀錄。由於無論是否搭配 Purple WiFi 皆可運作，且能讀取您現有的系統，因此您可以直接將其連接至目前使用的硬體與 POS 機。
本週只做一件事。寫下您入口網站必須實現的單一成果，接著對照該成果，對齊您的登入方法、資料欄位與初次整合檢查。
如果您正在設定 WiFi 的強制入口，並希望將每次獲得同意的登入轉換為可用的訪客記錄，Purple Engage 能將 WiFi 登入資訊與收銀機銷售、預訂、表單和問卷回覆整合至同一處。歡迎造訪網站，瞭解它如何在您現有的硬體上運作，並協助將首次連線轉化為再次光臨。