校园网认证系统的分区分场景策略：宿舍、教学区与访客分别管控

高校校园网最难管的，不是某一种人群，而是同一套网络里同时住着好几类人。宿舍区、教学区、访客区，甚至图书馆、实验室，对认证、带宽、权限的要求都不一样。一套好的校园网认证计费系统，应当能按区域和人群分别配置策略，而不是全校一套模板硬套。分区策略做得细，管理和体验才能兼顾。

宿舍区是认证计费最重的场景。这里通常用PPPoE或者Portal认证，并且强制绑定"账号和MAC"，目的就是防止账号被拿去共享。宿舍区也是代拨和套餐运营的主战场，学生用什么运营商、走什么套餐、限多少在线数，基本都在这层定义。它和教学区最大的不同，是宿舍区天然带"计费"属性，而教学区更多是"接入"属性。

教学区的诉求相反，更强调顺畅和无感。常见的做法是无线控制器推两个不同的SSID，比如一个给教师、一个给访客或学生，认证平台按SSID推送不同的页面。教师页可以带教学通知，访客页可以带套餐说明。教学区一般不会对每个账号做重计费，而是以保证教学和科研访问为主，权限上要能区分校内资源和社会资源。

访客区是流动性最强的。临时访客通常用短信认证，输入手机号拿验证码，系统自动生成临时账号，有效期按管理员设定，比如二十四小时。访客的权限应当被限制在最小范围，不能因为来了个访客就放他进内网随便走。这一区的策略重点是"快进快出、权限收紧、日志留全"。

分区策略的技术支撑，主要来自Portal推送规则和RADIUS属性下发。系统可以根据时间、地点、IP、NAS、SSID这些参数组合生成推送策略，把不同区域、不同人群导向不同页面和权限。RADIUS则可以在认证成功后下发VLAN、QoS、允许访问的内网IP段等参数，让"在哪个区就有什么权限"真正落地。没有这套下发能力，分区就只能停留在纸上。

免费用户和收费用户的区分，是分区在权限维度的延伸。有的场景希望一部分用户只能访问校内资源、另一部分可以访问完整互联网，系统通过向BRAS或AC下发不同的RADIUS参数来实现。这种精细化控制对科研场景尤其有用，内网资源要限制访问范围，不能和公网混着放。它比单纯"能不能上网"多了一层资源边界。

分区策略也不能只看技术，还要看运营。多运营商、多校区的情况下，不同区域的出口、套餐、分账可能都不一样。宿舍区接了哪家运营商、教学区走不走代拨、访客区是否收费，都是独立的决策。系统支持分区，不等于学校不用做决策，恰恰相反，系统越能分区，学校越要把"每区怎么管"想清楚，否则分区反而变成混乱的来源。

把分区分场景策略讲清楚，是想说明：校园网认证计费系统好不好用，很大程度取决于它能不能"看人下菜"。宿舍重计费、教学重顺畅、访客重管控，三类人群各有各的规矩。系统把这些规矩落到区域、SSID、RADIUS参数上，校园网才真正管得住，也不会因为某一区的特殊需求拖累全校。

宿舍区的部署实例更具体一点：每间宿舍可以部署一台带无线功能的用户端设备，由代拨网关分配地址，采用拨号或者门户认证，并强制绑定账号和终端，防止共享。教学区则用无线控制器推两个不同的信号，一个给教师、一个给访客或学生，认证平台按信号推送不同页面。这种"一个物理网络、多套逻辑策略"的做法，是分区能落地的关键，也避免了为每个区域单独建一套网络的浪费。

访客区的短信认证要特别注意时效。临时账号的有效期由管理员设定，常见的是二十四小时或者自定义时长，到期后自动失效，日志同步进审计系统。这一区的策略重点是快进快出、权限收紧，不能因为来了个访客就放他进内网随便走。很多学校访客区和办公区不分，结果访客能碰到不该碰的内网资源，分区策略先把这条线画清楚，比事后补救强得多。

分区策略还有一个隐性价值：它让网络质量问题的定位更准。某栋宿舍上网慢，可以先看是不是这一区的代拨出口拥堵；某间教室认证卡，可以先看是不是这一区的无线控制器或者页面推送出问题。区域划分清楚，故障和影响面就框得住，不至于一出问题就怀疑全校。管理上的清晰，往往比堆设备更能提升实际体验。

分区策略还要和承载能力绑定看。宿舍区在晚上和周末是流量高峰，教学区在白天是接入高峰，访客区则随活动波动，三类人群的高峰错开，对出口和认证平台的压力模型完全不同。系统在规划时就要按各区的峰值单独算资源，而不是全校取一个平均值。否则看起来容量够，一到宿舍晚高峰就掉线，问题往往出在分区没做容量细分。

再说一个落地细节：分区的策略参数最好集中管理、统一下发，而不是每个区域各自在交换机和控制器上手工配。账号、套餐、带宽、权限这些策略如果散落在不同设备的命令行里，后面调整一次就要动好几处，出错概率高，回溯也难。把策略中心化，区域只做执行，是分区能长期维护的前提。这也是校园网认证系统真正帮学校省运维的地方，而不只是把人接进来。