校园WiFi认证计费系统如何区分免费与收费用户的上网权限

高校网络里，免费和收费的用户天然并存。师生访问图书馆数据库、校内教学平台、学校官网，这些属于校内资源，应该免费；学生访问互联网、刷视频、打游戏，用的是运营商出口带宽，需要按套餐收费。两种需求混在一张网上，如果认证计费系统不区分用户类型，要么所有用户都拿到完整互联网权限，免费资源被浪费，要么一刀切收费，师生用校内资源也要交钱，两头都别扭。

双资源访问控制是解决这个问题的思路：用户认证通过后，校园WiFi认证计费系统判断用户类型，向BRAS或AC下发不同的RADIUS参数，指定其可以访问不同的资源。免费用户下发校园内部资源访问权限，只能访问校内网络；收费用户下发内部资源加互联网访问权限，可以完整上网。访问控制由BRAS或AC执行，认证计费系统负责下发指令。

这个机制的实现路径要讲清楚。学生连接校园WiFi，在Portal页面输入账号，学校AAA验证账号合法性，判断用户属于免费用户还是收费用户，然后向BRAS或AC下发对应的RADIUS属性。BRAS或AC收到属性后，按属性指定的访问范围执行控制。整个过程对用户是透明的，学生感知不到后台在做什么，只知道自己能上什么网。

用户类型怎么判定，是方案设计的核心。常见的方式有几种：按账号类型，学生账号、教职工账号、访客账号天然分开；按套餐状态，买了互联网套餐的是收费用户，没买或套餐到期的降为免费用户；按账号属性，系统里给每个账号打标记，运营时维护标记。判定逻辑要灵活，支持多条件组合，学校能按自己的规则调整。

免费用户能访问哪些资源，需要学校先划清楚。校内资源通常包括图书馆电子资源、教学平台、教务系统、校园门户、校内视频点播等。划分资源范围时要注意，很多校内系统部署在校外云上或托管在其他机房，域名和IP不在校内地址段，简单的按网段控制会把这些资源漏掉，需要按域名或应用维度做更细的访问控制，落地时要和网络团队一起确认。

收费用户的互联网访问也不是完全放开的。学校可以按套餐给收费用户设定带宽上限、流量配额，超出的降速或另行计费。部分学校对互联网访问还有内容管控需求，可以在出口侧配合防火墙或行为管理设备做内容过滤。认证计费系统负责权限判定和策略下发，具体的内容管控由出口设备承担，两边的职责边界要在方案里分清楚。

欠费处理是双资源访问控制里必须设计的环节。收费用户套餐到期或余额不足时，系统要能把用户从收费用户自动降级为免费用户，互联网权限收回，校内资源继续可用。这样学生虽然暂时上不了外网，但校内学习不受影响，体验比直接断网好得多，学校也能避免学生因为断网产生激烈投诉。降级动作要自动触发，也要留日志，学生查询时能说清楚。

访客和临时用户走另一条规则。访客通常不区分校内校外资源，一般给完整的互联网访问权限，但用短信认证或临时授权码，有效期按小时或按天设置，到期自动失效。访客的权限边界、有效期、日志留存要单独配置，不能和师生账号混在一个池子里。有些学校对访客访问校内资源有限制，也可以按访客类型下发不同权限。

这个方案对BRAS或AC有要求。双资源访问控制依赖BRAS或AC支持RADIUS属性下发和按属性执行访问控制，现有设备不支持的话，方案落地要打折扣。选型或升级前，要确认学校现网BRAS和AC的品牌型号、是否支持相关RADIUS属性、控制粒度的精细程度。设备能力不足时，可能要调整方案或补充设备，这个前提在项目前期就要讲清楚。

从学校管理角度看，双资源访问控制的价值不只是省钱和收费。它让学校能掌握每个用户访问范围的实情，运营数据更清晰：多少用户在用互联网套餐、多少用户在免费区、套餐转化率怎么样，这些数据能指导运营决策。同时，免费和收费的边界清晰，审计追溯时用户身份和访问范围对应关系明确，管理上也更规范。

权限变更的过程要可审计。用户从免费变成收费、从收费降为免费、访问范围调整，每一次变更都要记录时间和原因，操作者是谁也要留痕。学生投诉说网上不了，或者管理员发现某用户权限异常，能从变更日志里查到是谁在什么时候改的，快速定位问题。权限变更的审计日志要和认证日志、计费记录关联起来，形成完整的追溯链。

落地建议分批推进。先选一两个宿舍楼或一栋教学楼做试点，把免费和收费用户的访问范围配好，验证权限下发的准确性，观察一段时间没有问题，再扩展到全校。试点阶段要重点验证三个点：免费用户能不能正常访问校内资源且访问不了互联网，收费用户能不能完整上网，套餐到期的用户能不能自动降级。这三个点验证通过，再全面推广。

校园WiFi认证计费系统的双资源访问控制，要把用户类型判定、资源范围划分、权限下发、欠费降级、设备支持这些环节做扎实。选型时确认系统对多用户类型、RADIUS属性下发、自动降级机制的支持，再结合学校现网设备情况设计方案。免费收费两条线分清楚了，校园网的运营和管理都会顺畅很多。