工厂WiFi认证系统难点：人和设备要分开管

工厂车间上WiFi，和写字楼完全不是一回事。写字楼里上网的主要是人，工厂里还有大量设备要联网，扫码枪、AGV小车、PLC、质检终端，这些终端一旦接进来，如果和人用同一套WiFi认证系统去管，要么设备登不上去，要么把运维烦死。工厂场景里人和机器要分开对待，但又得在同一张网里跑。这个矛盾处理不好，工厂WiFi基本用不顺。

人和设备的认证逻辑不同

人上网要弹窗、输账号、走实名，设备上网要的是免交互、稳定、自动重连。如果用给人设计的Portal认证去套设备，设备没法弹窗也没法输密码，基本连不上。WiFi认证系统要给设备单独的认证通道，比如MAC绑定或者证书，设备上电自动认证，不用人干预。我们做工厂方案会把人和设备的认证逻辑拆开，人走Portal，设备走机器认证。两套逻辑各管各的，才不会互相拖累。用一套规则套所有终端，是工厂WiFi最常见的坑。

设备账号怎么发和管理

工厂里设备成百上千，每台一个账号怎么建、怎么对应到具体机器，是个工程问题。WiFi认证系统要支持批量导入和设备台账关联，设备编号、位置、责任人都能查到。我们部署时会把设备账号和资产系统对接，设备进厂自动建档，出厂或者报废自动注销。手工建几千个设备账号不现实，漏了或者错了排查极难。设备账号也要有生命周期，和人一样开、停、销。台账清晰，哪台设备连不上一眼能定位到具体机器。

网络要分域隔离

人的流量和设备的流量不能混。工人刷视频如果把产线网络的带宽吃了，AGV可能掉线，那是要出生产事故的。WiFi认证系统要把人和设备划到不同VLAN，设备走优先队列，人走普通队列。我们做的时候会按业务重要性分层，生产相关的终端最高优先级，办公和娱乐最低。分域不是歧视人，是保生产。隔离做好了，工人刷剧也不影响设备通信。网络分域是工厂WiFi的底线，不能省。

漫游和切换要稳

AGV小车在车间来回跑，要跨多个AP，认证状态不能每次换AP就重来。WiFi认证系统要把设备会话做成集中保持，漫游只换接入点不重认证，否则小车跑到一半掉线就停了。我们部署时会把移动设备的会话超时拉长、认证状态集中，保证连续。人的手机漫游偶尔断一下能重连，设备的连续中断就是生产中断。工厂里移动设备的认证稳定性，比人要求高得多。漫游稳不稳，直接决定设备能不能用。

弱网和干扰的容忍

车间里有金属、电机、射频干扰，WiFi环境比办公室恶劣。WiFi认证系统要有重连和保活机制，设备短暂失联能自动恢复，不会一抖就掉必须人工重启。我们做工厂方案会把重连次数和间隔调得比办公场景宽松，并加心跳保活。设备一旦掉认证要能自己回来，而不是等运维去现场按。车间里运维跑一趟成本高，认证系统得扛得住环境的脏。容忍度设计到位，设备才真的无人值守。

安全边界更刚性

工厂设备连网，一旦被非法终端接入，可能直接威胁生产控制。WiFi认证系统对设备的准入要比人更严，白名单之外一律拒绝，异常设备上线立即告警。我们做的时候会把设备认证做成默认拒绝，只有台账里的机器才放，并且监控设备的异常行为。人的网络还能灵活一点，设备的网络必须刚性。工厂的安全边界比写字楼硬，认证系统要体现这个差异。柔性给人体验，刚性给设备安全，两套标准不能混。

运维视角要分开看

人和设备的故障表现不同，排障也要分开。工人说连不上，可能是账号或者覆盖；设备掉线，可能是干扰或者认证超时。WiFi认证系统要把这两类状态在做板里分开呈现，别混在一起。我们部署时会给运维两个视图，人的连接视图和设备的连接视图，各自告警各自处理。混着看，设备的小车掉线和工人的手机卡顿搅在一起，谁都理不清。分开看板，人和设备的运维效率都高。工厂WiFi的复杂度，靠分层管理消化。

先试点一个车间再铺开

工厂WiFi认证系统别全厂一起上。先挑一个车间，把人和设备分开认证、分域隔离、漫游保活都跑顺，再推广。我们见过工厂一口气全厂覆盖，结果AGV区域和设备区域互相干扰，认证策略一刀切，生产区反而更乱。试点能把设备台账、VLAN划分、漫游参数这些磨合出来，推广时直接复用。工厂停机成本高，WiFi出问题影响的是产线，比办公室严重得多。小范围先把人和设备两套逻辑跑通，比全面铺开再返工稳。

投产前的连通性测试

工厂WiFi认证系统上线前，最该做的是一轮真实终端的连通性测试，别只在办公室拿笔记本验。我们建议把扫码枪、AGV、PLC各找一台，放到车间真实位置去连，看认证成不成、漫游稳不稳、干扰下掉不掉。办公环境的通过不代表车间能跑，金属和电机的干扰只有现场才知道。测试暴露的问题，比如某类设备证书不认、某个角落AP信号弱，都是投产前必须解决的。连通性测试不是在走流程，是把工厂的特殊性提前逼出来，避免上线即停产。