很多企业IT负责人第一次接触企业无线上网认证项目，往往不是从技术入手，而是被一个问题卡住了：我们公司的WiFi需要上认证吗？需要的话，该选哪种方案？

这两个问题看上去简单，实际上背后藏着不少值得提前想清楚的判断点。认证方案选错了，轻则员工天天投诉连不上网，重则验收时发现核心需求根本没覆盖到，重新采购成本翻倍。

这篇文章不讲原理，直接讲选型前必须想清楚的几件事。

第一件事：你们的无线网络是什么角色？

企业无线网络通常有两种定位：一种是对内，给员工办公用；另一种是对外，给访客或顾客提供上网服务。这两种定位对认证方案的要求差别很大，混在一起选容易踩坑。

如果主要是员工内网，认证的核心目的是身份绑定和安全准入——要知道谁连上来了，防止陌生设备随便接入公司网络。这种场景下，员工账号与AD域或OA系统打通是基础需求，账号管理要跟人力变动联动，员工离职时网络权限自动收回，不能靠IT手动维护一张账号表。

如果是访客WiFi，认证的核心目的是实名溯源和行为记录，满足公安对网络接入的合规要求。这种场景下手机短信实名认证用得最多，访客输入手机号收验证码，认证成功后留有完整接入记录。

两种场景都有？那就需要多SSID策略：员工SSID和访客SSID分开，推送不同的认证页面，两类用户的上网权限、网速策略、时长限制也各自独立设置。蓝海卓越的方案支持基于SSID推送不同Portal认证页面，员工走内网OA账户，访客走短信实名，后台统一管理，不需要两套系统。

第二件事：你们的终端类型有哪些？

这个问题在实际项目里经常被忽视，但它直接决定了认证方式能不能落地。

如果全部是员工自己的笔记本和手机，那什么认证方式都好说，Portal弹页面或者802.1X都能推。但如果网络里有打印机、门禁系统、IoT传感器这类哑终端——也就是本身不能主动认证、也没有浏览器的设备——那这些设备怎么接入是个现实问题。

哑终端通常用MAC白名单或IP静态绑定来处理：提前把设备的MAC地址登记进去，系统自动放行，不走认证流程。这不算绕过认证，而是针对这类设备的特殊处理策略。蓝海卓越的V7平台支持MAC免认证白名单，可以跟正常Portal认证并行运行，不需要单独维护。

工厂车间、医院、政府办公楼这类场景里，哑终端的比例往往比想象中高。选方案之前最好做一次终端盘点，搞清楚有多少是能主动认证的，有多少需要特殊处理，比例大的话方案设计要提前考虑进去。

第三件事：你们现有IT系统有没有要对接的？

这一点很多企业在采购阶段没问清楚，到了部署时才发现对不上。

员工账号来自哪里？如果用的是Windows AD域，那认证系统要能跟LDAP/AD打通，员工直接用域账号上网，IT不用再单独维护一套网络账号。如果用的是OA或CRM系统，那对接方式又不一样，要看认证系统支不支持从外部数据源同步用户。

蓝海卓越V7支持LDAP认证、AD域认证、第三方数据源认证，员工在OA里创建账号，认证系统实时同步，不用二次操作。员工离职、账号禁用，网络权限自动跟着收回，不存在"人走了账号还在用"的情况。

另外，日志审计系统也要考虑。公安要求网络上网日志保存不低于180天，这个日志是认证系统产生的，要么本机存，要么推送到专门的日志服务器。如果有接受公安检查或等保评测的需求，这个对接口要提前确认清楚。

第四件事：多少人、多少设备？

规模不同，方案架构差别很大。五十人的小公司和五千人的集团，选的硬件配置、部署架构完全不一样。

小规模企业通常一台网关直接部署，Portal服务器和Radius系统一体化，简单直接，维护成本低。中大型企业就需要考虑高可用部署、双机热备、分区域认证策略分配。多分支机构的企业还需要考虑总部统一管理、分支机构本地认证这种架构——如果所有分支的认证流量都回总部，专线带宽可能撑不住，本地认证节点会更合理。

蓝海卓越V7的Portal服务器支持每秒认证4000次以上，Radius也是同样的处理能力，单机可以承载百万级用户规模，支持分布式部署和云端部署，这对多分支机构、大型企业来说有实际意义。不是夸性能，而是当用户规模到了，认证系统的处理能力是实实在在要验证的指标。

第五件事：上线后谁来维护？

这个问题很多企业采购时不问，但它跟能不能用好直接相关。

认证系统上线后，日常运维工作包括：新员工账号开通、离职员工账号注销、访客临时权限管理、认证失败问题排查、策略调整。如果这些都要靠IT工程师手动在后台操作，人少的团队会被烦死。

比较好的方案是有自助功能：员工能自己改密码、自己解绑设备；访客走短信认证，IT不参与；管理员通过可视化界面批量导入账号，不用逐个操作。蓝海卓越支持用户自助注册、自助查询、自助改密，短信认证访客可以自动开户，IT只需要处理异常情况。

另外，问清楚厂商能不能做远程运维支持。企业IT人员精力有限，认证系统出问题时能不能及时响应，这个服务能力在选型时应该直接问清楚，而不是等到出问题了再看厂商什么态度。

终端类型、用户规模、现有IT系统、维护团队现状、合规要求——这五个维度决定了你适合什么样的企业无线上网认证方案。不是非此即彼的单选，而是各维度组合出来的实际答案。

蓝海卓越做方案前会先做这轮调研，不是所有项目推同一个版本。如果你在做选型，先把这五个问题的答案整理出来再找方案商，节省的不只是沟通时间，还有后期返工的代价。