园区宿舍WiFi认证计费：员工、访客、外包人员三类身份怎么设计认证路径

园区宿舍的网络建设和普通公寓有一个明显的不同：住在里面的人身份不是单一的。一个园区里，既有常住的正式员工，也有临时进出的访客，还有按项目驻场的外包人员。这三类人对网络的要求、停留时间、能访问的资源都不一样。如果只给所有人发同一套账号、走同一种认证流程，最后往往会出现两种情况：要么访客拿到了能进内网的权限，要么员工每天被繁琐的认证折腾。

为什么园区宿舍要先分身份，再谈认证

园区宿舍的认证问题，本质上是身份问题。蓝海卓越的园区方案里有一个很明确的判断：园区用户类型比校园、公寓更杂，员工、访客、合作伙伴并存，访问控制必须更精细。认证系统要解决的，不只是"有没有网"，而是"谁在上网、怎么认证、能否追溯、如何管理"。如果身份不分清楚，后面所有的策略——比如给谁开放内网、给谁限制时长、给谁推送哪个页面——都没有落脚的依据。

员工身份怎么走认证

员工是园区宿舍的主力用户，每天使用时长通常超过两个小时，从宿舍到办公楼再到食堂，一天之内要在多个地点上网。对员工来说，认证体验的核心是"少打扰"：断线免认证时间间隔可以设置成一天只需认证一次，配合账号与MAC自动绑定，首次登录后就不需要反复输入密码。如果园区已经有人事系统或AD域、LDAP这类统一身份库，员工可以直接用已有账号完成Portal认证，不用再单独建一套账号体系。需要提醒的是，这类对接的前提是对端接口开放、字段可以映射，具体能不能落地要结合园区现有的系统情况确认。

访客身份怎么走认证

访客是园区里最需要控制的一类人。面试的人、来办事的客户、临时进园区的合作伙伴，停留时间短，对园区内部资源没有访问需求。访客网络的设计原则是：能上网，但只放行外网，不接触内网。常见的做法是临时访客认证，配合二维码认证或手机短信验证码，让访客在前台扫个码、输个手机号就能上网。访客账号一般会设置有效期和在线时长限制，时间到了自动失效，不需要人工去"收回"账号。同时要把访客流量隔离在专门的VLAN里，避免访客终端和员工终端在同一个广播域里互相访问。

外包人员怎么走认证

外包人员介于员工和访客之间。他们在园区里待的时间可能长达一个项目周期，不是一天的临时访客，但又不是正式员工，不能随便给内网权限。比较稳妥的做法是给外包人员建一个独立的用户分组，按项目周期设置账号有效期，只开放他们工作必需的资源。账号到期后自动停机，项目续期再延长。这样既保证了外包人员的上网便利，也不会让他们长期留在网络里变成一个无人管理的账号。

身份怎么和网络结构对应起来

身份分好之后，要通过网络结构把它落地。园区无线网络里常见的手法是用多个SSID承载不同人群：员工一个SSID、访客一个SSID，不同SSID对接入认证方式，并通过AC下发不同的访问控制和QoS策略；再按业务把SSID和VLAN一一映射，区分不同的业务类型和用户群体。在宿舍区，还可以通过用户分组管理，把权限下沉到组，指定管理员只管理自己那一组用户，实现多级权限。这样一来，认证、计费、访问控制都跟着身份走，而不是靠管理员事后手工调整。

身份模型和计费怎么对应起来

身份分好之后，计费也跟着身份走。员工账号由企业统一开户，费用是企业承担还是员工自理、走什么套餐，可以按园区规则定；访客是临时网络，一般不涉及计费，重点是时效控制；外包人员可以按项目周期计费，项目结束账号自动失效。认证计费平台里，不同的身份对应不同的用户分组，每组可以设置不同的产品套餐和上网策略，各项目之间互不干扰。用户分组支持划分子组，子组不限制层级，管理员可以只管理自己负责的那一组用户。这样一来，身份不仅是认证的依据，也是计费、管理、审计的统一入口。

身份认证方案落地前要确认什么

具体到一个园区宿舍项目，动手前至少要确认几件事：园区现有哪些身份来源，是有人事系统还是纯手工台账；员工、访客、外包三类人的比例大概是多少，宿舍区有多少个房间、多少台终端同时在线；园区是否需要对接已有的AD域或统一身份平台；访客上网是否需要实名登记，这要结合当地的监管要求确认。这些问题确认清楚了，身份模型才建得起来，认证路径才不会返工。

把身份模型当成第一步

回到开头的问题：园区宿舍WiFi认证计费的第一步，其实不是选认证方式，而是把身份分清楚。员工走少打扰的长期认证，访客走临时的受限认证，外包走有期限的分组认证，再用SSID和VLAN把这些身份对应的权限固定下来。身份模型对了，后面所有策略都顺。