WiFi认证系统上线前，先想清楚要认证的是什么人

企业上无线认证，第一道关不是选哪家设备，是把要认证的对象分清楚。很多公司采购时盯着认证方式、并发能力，上线后发现员工、访客、办公设备、物联网终端全挤一套流程，访客填得烦、设备接不进、员工被卡。上线前把人、客、物三类身份分清楚，后面采购、实施、验收才有依据，否则系统上了、人用上了，安全缝藏在混在一起的身份里。

员工身份要对准人事系统

企业里员工身份通常来自人事系统，无线认证应该以人事系统为权威源，而不是自己再建一套。以人事为准，入职自动建账号、离职自动禁、调岗自动变属性，认证侧不重复造身份。多源并存最危险，人事说已离职、认证还说在职，账号成了没人管的孤儿。对准还要定主从：人事是唯一写源，认证只读同步，谁写谁负责，权责清了账号状态才不乱，企业身份错一次可能是一扇门没锁。

访客要走轻量通道

来谈业务的、来维修的、来面试的，没身份主数据，强按员工那套采证件，访客嫌烦、前台嫌累。访客走轻量实名通道，手机号或者接待人担保通常够用，认证步骤压到最少。轻量还要有边界：访客实名的最小集写清楚，别为省事发永久账号，永久账号是后门，访客无线本就为便利和门面，把入口做成拦路虎最亏。

办公设备要单独标识

打印机、会议平板、考勤机这些办公设备也要连无线，但它们不是人，不该走员工那套账号密码。给设备单独标识和证书，认证时认设备不认人，避免设备借用员工账号带来的权限错乱。设备标识还要可管理：企业设备有清单、陌生设备走隔离，别一视同仁，企业无线的设备维度是防乱入的关键，设备不清风险边界就糊。

物联网终端要隔离网

摄像头、门禁、传感器这类物联网终端数量大、能力弱，放进员工网既挤资源又放大风险。给物联网单独虚拟局域网和认证策略，和员工、访客物理逻辑都隔开。隔离还要带策略：终端只能访问该访问的服务器、出不了网，别让一个摄像头被控就横向摸到员工数据，企业物联网的坑多半出在和办公网混在一起。

三类身份的认证链要分开设计

员工、访客、设备三类，认证链本就该不一样：员工走身份同步加单点、访客走临时码加时限、设备走证书加清单。混成一条链，要么访客太重要么设备太轻，体验和安全都拧巴。分开还要能互通：访客由员工担保、设备归部门管，关系清晰责任才落得下，企业无线的乱往往从三类身份搅在一起开始。

身份分类要写进方案

哪类人走哪条链、谁审批、谁复核，写进实施方案不靠口头。方案不清，实施时前台随便开、网管随便给，权限乱发。写清还要可审计：每次开通谁提谁批留痕，出事能还原，不是一笔糊涂账，企业无线身份权限的随意是内部风险最大的口子，方案把口子扎上才稳。

存量终端先盘点再切

无线认证上线前，全网终端先盘点：哪些是员工机、哪些是访客、哪些是设备、哪些是物联网、哪些是不明身份。存量不清上线即带一堆脏身份跑。盘点还要出清单：分类、处理建议、谁认领，别盘完就扔，清单是清理依据也是上线底气，不清直接切新旧问题混一起谁都分不清，网络和业务部门互相甩锅。

分类错了要能快速改

上线后某类身份被分错，流程卡住，要能快速调整分类而不动全局。调整还要带影响评估：改一类会不会波及其他类、会不会放出权限，评估过再动，别为救一个误伤一片，企业无线身份分类一动牵全身，谨慎改比乱改稳，改完验证闭环才叫改对。

分类要进整体安全运营

身份分类不是配一次就完事，要进企业整体安全运营：监测孤儿账号、定期审权限、演练离职清账。运营转起来身份才跟得上人事节奏。运营还要有指标：各类身份占比、离职未清率、调岗未同步率，指标驱动改进不是凭感觉说安全了，指标向好身份才真稳，单点拦住不如趋势持续向好让人放心。

上线节奏要分步走

三类身份不要一次性全切，先上员工、再上访客、最后物联，每步验证再扩。一步全切出问题难定位，分步能隔离风险。分步还要有回退：某类切出问题能单独回退不影响其他类，企业无线身份分步上线才稳，回退开关是分批的保险。

无线认证系统上线前，最该花时间的不是挑设备，是把要认证的对象分清楚。员工对准人事权威源、访客走轻量通道、办公设备单独标识、物联网隔离网、三类认证链分开设计、分类写进方案、存量先盘点、错了能改、进运营。这几件做到，身份从生到灭有迹可循，认证才上得安心，员工用得顺、安全守得住、审计查得到。