园区WiFi认证计费系统访客管理：临时账号和审批流程怎么建

园区每天进出大量访客，客户来谈业务、供应商来送货、施工人员来装修、面试者来应聘，这些人都需要临时上网。很多园区的访客WiFi管理很粗放：前台拿个便签纸写个账号密码，访客走了账号还在，谁都能用，安全隐患大。规范的访客管理应该有完整的临时账号创建、审批、自动过期、审计追溯流程，既方便访客上网，又不留下安全后门。

一、访客类型和对应的管理方式

园区的访客不是一类人，不同类型的访客管理方式不同。第一类是商务访客，来开会谈合作，停留时间几小时到一天，需要方便快捷的上网方式。第二类是供应商和施工人员，停留几天到几周，需要稳定的网络访问，可能需要访问特定内网资源。第三类是面试和培训人员，停留半天，人数可能较多。第四类是长期外包人员，停留几个月，需要和员工类似但权限受限的网络访问。

不同类型的访客用不同的认证方式：商务访客用短信认证，输入手机号获取验证码即可上网，最简单；施工人员用前台创建的临时账号，有明确的有效期；外包人员用独立用户组的包月账号，权限受限。V7系统支持多种访客认证方式，可以按访客类型配置不同的策略。

二、临时账号的创建方式

临时账号有几种创建方式。第一种是前台手动创建，前台在管理后台输入访客姓名、接待人、有效期，系统生成账号密码，打印出来交给访客。这种方式适合访客量不大的园区，优点是可控，缺点是前台工作量大。第二种是自助注册，访客连接WiFi后在Portal页面上输入手机号和验证码，系统自动创建临时账号，有效期默认4小时或24小时。这种方式适合访客量大的园区，减轻前台压力，但要防止恶意注册。第三种是接待人预约，员工在自助平台上提前为访客预约账号，填写访客手机号和访问时间，访客到达后直接用手机号验证码登录，不需要前台介入。

V7系统支持这三种创建方式，可以组合使用。商务访客用自助注册或预约，施工人员用前台创建，外包人员用管理员批量创建。账号创建时必须记录：访客姓名、手机号、接待人、访问事由、有效期、创建人。这些信息用于审计追溯。

三、审批流程的设计

不是所有访客都能直接获得上网权限，涉及内网访问或长期访问的访客需要审批。审批流程分几级：普通访客（只上互联网）不需要审批，自助注册即可。需要访问内网资源的访客，需要接待部门经理审批，审批通过后开通对应权限。长期外包人员（超过1个月），需要IT部门和安全部门双重审批，明确访问范围和有效期。

审批可以在V7系统内配置工作流，也可以和企业的OA审批系统对接。访客提交申请后，系统自动通知审批人，审批人在手机上就能处理。审批通过后账号自动开通，审批拒绝则不创建账号。审批记录全部留存，审计时能查到每个访客账号的审批人、审批时间、审批意见。

四、自动过期和清理

访客账号最大的安全隐患是过期不清理。临时账号必须有明确的有效期，到期自动禁用，不需要人工干预。V7系统支持账号有效期设置，到期后自动禁用并踢下线。有效期按访客类型设置：商务访客4到24小时，施工人员7到30天，外包人员1到3个月。

到期前可以发短信提醒访客和接待人，如果需要延长，接待人可以申请延期，延期需要重新审批。到期后账号自动禁用，但不立即删除，保留30天用于审计，30天后自动清理。还要定期检查长期未使用的访客账号，超过有效期未上线的账号自动清理。

五、访客的网络权限控制

访客的网络权限必须和员工严格隔离。访客只能上互联网，不能访问内网资源。通过VLAN隔离实现：访客SSID对应访客VLAN，访客VLAN只能访问互联网，不能访问员工VLAN和服务器区。如果有访客需要访问特定内网资源（比如供应商需要访问供应商门户），通过ACL精确放通指定的IP和端口，不能给整个内网访问权限。

访客的带宽也要限制，单用户上下行各10到20Mbps足够，防止访客下载大文件占用出口带宽。访客的并发终端数限制为1到2台，防止一个账号多人使用。V7系统通过用户组策略实现这些控制，访客用户组单独配置VLAN、带宽、并发数，和员工用户组完全隔离。

六、访客日志和审计

访客的上网行为必须可审计。V7系统记录访客的认证日志（上线时间、下线时间、MAC、IP、接入位置）和上网行为日志（如果有独立日志系统）。公安合规要求日志留存不少于6个月，访客日志也不例外。

审计时能追溯：某个时间点哪个访客在上网、用了多少流量、访问了什么网站。如果发生安全事件，能通过访客手机号和接待人找到具体的人。访客账号的创建、审批、延期、禁用操作都有操作日志，记录操作人和操作时间。

七、访客管理的常见问题

问题一：访客嫌短信认证麻烦，不愿意用。解决方式是简化流程，连接WiFi后自动弹出认证页，一键获取验证码，30秒内完成。还可以提供二维码认证，接待人生成二维码，访客扫码直接上网。

问题二：前台创建账号效率低，访客排队。解决方式是推广自助注册和预约，减少前台人工操作。高峰期（如大型会议）可以提前批量创建账号，打印成卡片发放。

问题三：访客账号过期后还能用。检查自动过期配置是否生效，账号到期是否自动踢下线，MAC无感知是否被绕过。访客账号不要开启MAC无感知，防止过期后设备自动认证。

园区WiFi认证计费系统的访客管理，核心是分类管理加自动过期加权限隔离。不同类型访客用不同认证方式和有效期，需要内网访问的走审批流程，账号到期自动禁用，访客VLAN和员工VLAN隔离，带宽和并发数限制，日志留存6个月可审计。把访客管理从"前台写便签"变成"系统自动管"，既提升访客体验，又消除安全隐患。