——基于浙江民泰商业银行成都分行项目需求的方案案例

一、项目背景：公共服务体验之外，还有安全与管理责任

根据项目需求说明书，浙江民泰商业银行成都分行计划在公共区域建设一套统一的无线网络接入体系，为公众、访客以及行内人员提供更便捷的上网服务。

与普通商业场所不同，银行公共 WiFi 不能只解决“有没有信号、能不能上网”。项目还需要考虑不同人员的身份区分、访问权限、用户间隔离、日志留存、安全策略和运维管理，同时为未来新增覆盖区域、增加用户规模和扩展业务功能保留空间。

因此，这份项目需求的重点不是单一认证页面，而是一套由无线接入、身份认证、访问控制、行为管理、日志能力和集中运维共同组成的公共 WiFi 管理体系。

二、项目需求概况

三、项目核心难点

1. 同一张公共 WiFi，要服务不同身份的人

银行公共区域的接入对象并不单一。普通访客、VIP 访客、内部员工以及已授权设备，对认证方式、访问权限和使用时长的要求不同。若统一使用一个公共密码，虽然部署简单，却难以确认接入身份，也无法形成差异化管理。

项目需要把访客身份、员工身份和固定内部设备分开管理：访客可通过短信验证码完成认证；员工认证应按客户实际安全等级确认，银行场景建议采用企业账号加动态验证码的双因素方式；对固定办公终端，可在首次强校验、限定绑定范围和有效期的前提下，评估 MAC 绑定后的无感接入。

2. 认证成功只是开始，还要控制“能访问什么”

公共 WiFi 的安全不能停留在“输入验证码以后放行”。不同用户应进入不同的访问范围，访客网络需要和内部业务网络保持合理隔离，用户之间也要避免不必要的二层互访。

项目还提出按用户、用户组、位置和时间配置差异化策略，例如带宽限制、访问时长、黑白名单和网站分类控制。这意味着认证结果必须能够继续传递给网络侧策略，而不是认证页面和网络控制各自独立。

3. “有日志”不等于形成可用的审计链路

银行公共 WiFi 需要关注用户登录、退出、IP、MAC 以及访问记录等信息的留存和查询。认证系统的登录记录只是其中一部分；若项目还需要 URL 过滤、应用控制、威胁检测和更细粒度的访问行为记录，就需要认证系统、上网行为管理以及相应日志能力协同工作。

日志能记录到什么范围、保存多久、是否具备防篡改措施，需要根据最终部署模块、采集位置、存储规划和监管要求确认，不能仅凭一条“支持日志”概括。

4. 设备多、覆盖广，后续运维必须集中化

公共 WiFi 建设完成以后，日常工作并不会结束。AP 是否在线、用户数量是否异常、流量是否突增、设备是否故障、认证是否失败，都需要运维人员持续掌握。

因此，项目要求通过 Web 管理平台统一查看用户、设备、网络状态和告警信息，并支持 AP 批量配置、拓扑展示、性能监控和报表输出，减少多个系统分散管理带来的运维成本。

四、蓝海卓越方案设计思路

1. 分层建设，而不是把所有能力塞进一台设备

本项目以集中式无线架构为基础，由无线控制器负责 AP 管理、漫游和无线策略；蓝海卓越认证计费系统负责 Portal 认证、短信网关对接、用户会话和认证策略；上网行为管理负责流量控制、内容过滤、访问控制与访问行为记录；日志能力则需要根据最终建设范围，明确由认证平台内置日志模块还是独立日志系统承担，并负责相应的集中存储、查询和归档。

这种分工可以让各模块承担清晰职责，也便于后续根据用户规模、安全要求和覆盖区域做扩展。

2. 为访客和内部人员设置不同接入方式

面向公众和临时访客，主要采用短信验证码认证，让身份信息和手机号码建立基础关联；面向行内人员，认证方式应按客户实际安全等级确认，银行场景建议采用企业账号加动态验证码的双因素方式；对固定办公终端，可在首次强校验、绑定范围和有效期受控的条件下，评估 MAC 无感认证。

跨机构二次免认证或无感体验不作为本稿的既定能力承诺，仅列为评估项。是否可实现，需要统一认证平台、网络设备兼容性、会话策略、组织范围和现场实施条件共同确认。

3. 从接入开始建立隔离和差异化策略

方案通过 SSID、VLAN、用户组和网络策略，将访客网络与内部网络进行合理区分，并限制访客用户之间不必要的互访。不同身份可匹配不同的访问时长、带宽、网站分类和黑白名单策略。

具体策略由银行管理要求、现有交换与无线设备能力以及安全系统的联动范围决定。

4. 认证、行为管理与日志能力形成协同链路

认证系统解决“谁在上网”，网络设备和行为管理系统解决“允许访问什么、如何控制并记录访问行为”，日志能力解决“记录什么、如何查询和保存”。这些模块协同后，才能在项目范围内提高用户身份、终端信息、网络地址和访问记录之间的关联度。

对于 URL 级审计、恶意行为识别、病毒终端隔离和云威胁情报等能力，需要由相应安全模块提供，并根据实际采购、授权和部署条件确认。

5. 统一管理并为未来扩容预留空间

项目要求集中管理用户、角色、设备和策略，同时提供在线用户、流量、安全事件和设备状态等可视化信息。安全事件监测与告警应由最终采购和部署的无线安全、上网行为管理或其他安全模块承担，不能只作为抽象能力表述。初期按照不少于 1000 并发用户规划，并预留扩展至 5000 并发用户的能力。

实际并发能力需要结合认证平台、无线控制器、AP 密度、出口带宽、服务器资源和日志存储能力综合验证。

五、方案价值

1. 提升访客体验：通过统一门户和多种认证方式，让公众、访客和内部人员获得更清晰的接入流程。

2. 强化接入管理：从匿名共享密码转向可识别、可分组、可配置策略的用户接入。

3. 增强安全可控性：通过用户隔离、访问控制、行为管理和安全告警，降低公共网络对内部业务网络的影响。

4. 形成审计基础：在确认的部署范围内关联认证身份、终端、IP、时间和访问记录，为查询、归档和监管检查提供数据基础。

5. 降低运维复杂度：通过统一 Web 平台集中查看用户、设备、流量和告警，并支持批量配置与报表输出。

6. 保留后续扩展能力：在用户容量、覆盖范围和功能模块上采用可扩展设计，便于未来增加 AP、覆盖区域和安全能力。

六、项目边界说明

七、总结

金融机构的公共 WiFi 建设，表面上是一次无线接入升级，背后却涉及用户身份、访问权限、安全审计、设备运维和长期扩展。

这份项目需求所体现的价值，在于把这些原本分散的问题放进同一套建设逻辑中：先识别接入人员，再匹配网络权限；在保证使用体验的同时，让接入过程具备可管理、可查询和可持续运维的基础。

蓝海卓越将继续围绕认证、计费、用户管理、网络策略和日志审计等能力，为银行、企业和公共服务场景提供更贴合实际网络条件的接入管理方案。