网络安全等级保护制度（简称等保）实施多年，很多单位都知道WiFi网络要做等保认证，但真正落地时却发现不知道从哪下手。WiFi计费系统的等保合规核心涉及两件事：实名认证（用户身份必须可追溯）和日志审计（上网行为必须可追溯）。这两个要求看似简单，做扎实却涉及到系统功能、网络架构、运维流程等多个层面的配合。这篇文章把等保二级的WiFi计费合规要求逐条拆解，给出可操作的落地方案。

实名认证。等保二级要求公共无线上网服务提供者落实上网身份认证机制，确保使用者身份可追溯。具体到WiFi计费系统的实现上，就是用户在连接WiFi时必须经过身份认证，不能匿名上网。认证方式有多种：手机号+短信验证码是最常见的，上网前用户输入手机号，系统发送验证码，用户输入验证码完成认证，认证记录里留存手机号作为身份标识；身份证实名认证更严格，通过运营商网关的短信上行验证用户身份证信息，适用于对安全性要求更高的场景；扫码认证通过微信、支付宝等平台授权获取用户手机号或者openID，实现无感知认证，体验更好但需要对接平台接口。选哪种认证方式，取决于业务场景和合规要求的严格程度。校园网通常对接学号认证，教职工用工号、学生用学号，身份信息直接来自学校统一身份认证系统；酒店场景最常用手机号认证；商场Portal场景用微信授权登录获取openID。认证方式选定了，还要确保认证数据留存周期符合要求——等保要求留存用户认证日志至少六个月，有些行业标准更严（比如网吧要求留存两年），系统设计时要把留存周期作为硬性参数。

日志审计。等保二级对日志审计的要求包括：记录用户上网行为日志、留存周期满足要求、日志内容完整不可篡改、日志查询可追溯。WiFi计费系统需要记录的日志字段通常包括：用户身份标识（手机号/账号/学号）、终端MAC地址、接入SSID、接入时间、下线时间、上网时长、产生流量（分上行下行）、访问源IP地址、认证结果、计费金额。这些字段里，用户身份和上下线时间是核心，上网时长和流量是计费依据，IP地址是定位依据，MAC地址是终端识别依据。任何一个字段缺失，日志的追溯价值都会打折扣。日志完整性保障是一个技术难点：WiFi计费系统产生的原始日志要先存储在本地可靠介质上，再定时上传到集中日志服务器，本地存储要防止被恶意删除或者篡改，集中上传要防止传输过程被截获修改。很多小厂商的WiFi计费系统把日志直接写到数据库里，数据库管理员有权限直接删除记录，这种设计是不符合等保要求的。等保合规的日志存储应该是写一次读多次（WORM，Write Once Read Many）的存储模式，日志写入后不可修改、不可删除，只有特定角色（比如审计管理员）才能申请读取日志，而且读取行为本身也要被记录。

日志关联分析是另一个容易出问题的地方。WiFi计费系统记录的是应用层日志——用户什么时候上线、什么时候下线、产生了多少流量。但要完整还原用户的上网行为，还需要关联有线网络设备（交换机、路由器）的流量日志、出口防火墙的访问日志、甚至应用系统的访问日志。如果这些日志分散在不同系统里，出了问题要从海量日志里还原事件全貌，难度非常大。建议在网络架构规划阶段就考虑日志集中采集方案：用syslog或者日志采集agent把各类日志统一送到日志平台（比如ELK、Splunk或者商业SOC系统），在日志平台里建立跨数据源的关联分析规则。比如发现某个账号在短时间内从不同MAC地址登录，系统自动告警——这可能是账号共享问题，也可能是有安全隐患。

等保测评中WiFi计费系统常见的不符合项要重点关注。无线空口加密不达标。等保要求无线网络必须启用加密，WPA2企业级认证是基本要求，WPA3更优。很多单位为了降低运维复杂度，WiFi网络设置为开放模式，Portal认证后直接放行，没有任何空口加密，这种配置在等保测评中会直接被开不符合项。默认口令问题。无线控制器、AC、AP设备的管理后台如果使用默认口令，测评时会作为高风险项直接扣分。上线前必须修改所有设备默认口令，建立定期更换机制。账户权限分离。管理WiFi计费系统的管理员账户和普通运维账户要分离，管理员做敏感操作（比如删除日志、修改计费规则）要有审批流程，普通运维人员只能查看不能修改。这个要求在等保里叫“三员分离”——系统管理员、安全管理员、审计管理员各司其职。安全补丁管理。无线设备固件和WiFi计费系统软件要定期更新安全补丁，等保测评会检查最近一次安全更新的时间。如果系统上线三年没打过补丁，肯定过不了等保。

等保测评一个高频踩坑点：忘记了对互联网出口审计。等保要求对互联网访问行为做记录，但很多单位只关注了内网WiFi的审计，忽略了移动端通过4G/5G网络直接访问互联网的行为。如果单位要求员工只能使用单位WiFi上网，禁止使用4G网络，就需要采购移动设备管理（MDM）系统来管控；但如果单位默许员工使用4G网络，那这块就不在WiFi计费系统的合规范围内，要单独评估。边界划不清楚，测评时就会被追问。

等保合规建设是个系统工程，不是买一台合规的WiFi计费系统就能解决的。技术层面要落实实名认证、日志留存、加密传输、访问控制；管理层面要建立安全管理制度、运维流程、应急响应预案；物理环境层面要保障机房安全、设备防盗。WiFi计费系统是合规链条上的一环，选型时要评估它能否满足实名认证和日志审计的核心要求，同时要确保它能融入整体合规体系，而不是成为短板。

实操建议：第一步确认等保级别（二级还是三级，不同级别要求差异很大）；第二步梳理现有WiFi网络的拓扑和设备清单，确认哪些设备需要纳入合规范围；第三步评估现有WiFi计费系统是否满足实名认证和日志审计要求，如果不满足是改造还是替换；第四步根据评估结果制定整改方案，明确时间表和责任人；第五步联系等保测评机构做预测评，根据预测评结果整改后再正式测评。等保测评一次过的单位少之又少，提前做预测评可以避免正式测评失败后整改周期过长的问题。