园区WiFi认证里非人形设备怎么单独管理

园区里连WiFi的不只是人。打印机、监控摄像头、门禁控制器、环境传感器、会议平板、无线投屏器，这些设备每天都在通过WiFi和网络通信。它们没有手、没有浏览器、没有人能帮它们输账号密码。如果按给人用的那套Portal认证来要求它们，它们根本连不上网。非人形设备的认证策略，是园区WiFi认证里很容易被忽略但必须单独设计的一块。

哑终端和人的核心区别是：人可以走Portal、输密码、扫码；哑终端只能在自己的系统里配固定参数，配完就一直跑。所以给哑终端的认证方式不能依赖人工交互，必须是自动完成的。园区里常见的做法有几种。

第一种是MAC地址白名单旁路。把已知设备的MAC地址录进认证系统，这些设备连WiFi的时候，认证网关直接根据MAC放行，不要求任何认证动作。这种方式最简单，适合数量少、位置固定的设备，比如机房里的固定监控、门口的门禁控制器。它的问题是MAC地址本身可以被伪造，安全性不高；而且设备换了或者坏了，要手动更新白名单，运维成本跟着设备数量走。园区里这种设备几十台还好，几百台就要靠脚本批量管理，不能手工一台台录。

第二种是PSK预共享密钥。给IoT设备单独划一个SSID，这个SSID用固定的WPA2/WPA3预共享密钥加密，设备配好密钥就能连。这种方式比MAC白名单安全一点，因为密钥不在空口明文广播。但密钥一旦泄露，所有设备都能连进来；密钥更新的时候，要把所有设备重新配一遍，对已经装在天花板上、野外的摄像头来说不现实。PSK方式适合那种封闭的、设备由同一方管理的小环境，不太适合大园区。

第三种是802.1X客户端证书认证。设备出厂的时候内置一张客户端证书，连WiFi的时候主动出示证书，认证系统验证证书合法就放行。这是最安全的方式，证书不可伪造、可以单独吊销。但它要求设备本身支持802.1X，而且要有证书管理体系。现在新出的企业级AP、工业传感器、IP电话大多支持802.1X，老旧的便宜摄像头和小设备可能不支持，这部分只能退回MAC白名单。

无论用哪种方式，非人形设备都不能和员工终端混在同一个网络里。它们要单独划SSID、单独划VLAN、单独做访问控制。原因很实际：哑终端系统通常很弱，不会自动打补丁，一旦被攻破，就成了攻击者进入园区内网的跳板。把它们和员工电脑放在同一个二层网络里，一台摄像头被入侵，整个园区内网都暴露。

具体的隔离策略可以这么做：员工SSID对应办公VLAN，访客SSID对应访客VLAN，IoT设备单独一个SSID和一个VLAN，打印机单独一个SSID和一个VLAN。VLAN之间通过核心交换机做ACL，限制互相访问。比如摄像头VLAN只能访问监控存储服务器，不能访问员工办公网段；打印机VLAN只能接收打印任务，不能主动访问外网；传感器VLAN只能往IoT平台上报数据，其他端口全部封禁。这种最小权限原则，比单纯靠认证安全得多。

不同类型的设备还要按用途分组管理。打印机组的策略是允许办公网段访问9100打印端口，其他拒绝；摄像头组的策略是允许往NVR服务器推流，禁止出外网；门禁组的策略是只允许和门禁服务器通信，连互联网都不能出；环境传感器组的策略是只允许访问MQTT broker，其他全部拒绝。这些组策略在AC和认证系统里按用户组配置，设备加入对应组就拿到对应权限。

运维上有几个坑要提前想到。设备换了MAC地址是常事，摄像头坏了换一台，新设备MAC不一样，原来的白名单就失效了。所以白名单要和设备资产台账绑定，更换设备时同步更新。有些廉价设备一上电会自动反复发认证请求，短时间内产生大量日志，要在认证系统侧做频率限制，不要让这类噪声把告警淹掉。设备出厂带的默认密码、默认SSID连接行为，要在接入前统一改掉，不然它们连到别的WiFi上去了，你这边还以为在线。

还有一类介于人和设备之间的终端：会议平板、无线投屏器、电子班牌。它们有屏幕，但是没有普通用户那样的浏览器操作习惯。这类设备可以用"管理员一次性认证+MAC绑定"的方式：IT在部署的时候，用管理员账号在这台设备上认证一次，系统把这台设备的MAC和管理员账号绑定，以后这台设备连网自动放行。这个账号不对外公开，只有IT部署时用。

园区WiFi认证系统设计的时候，不能只想着人。一张园区网络里，人和设备的比例可能是1:3甚至1:5，设备的数量增长比人快得多。把人的认证、设备的认证、访客的认证分开设计，把每个群体的权限和隔离做清楚，园区网络才不会因为一台哑终端被攻破而全线出问题。MAC白名单、PSK、802.1X证书这几种方式各有适用范围，不是二选一，而是按设备能力和风险等级组合使用。