网络准入认证系统的核心能力可以拆成三个层面：认证、授权、接入。很多单位在建设准入系统时，只把"认证"做扎实了，却在"授权"和"接入"上含糊其辞，结果系统上了，安全效果却大打折扣。把这三个层面分别管清楚，是网络准入认证系统发挥价值的根本。这篇把认证、授权、接入三层各管什么讲透。
认证层：回答"你是谁、你的设备是谁的"
认证层是准入控制的第一道关，解决"接入者身份是否可信"的问题。它要确认两件事：一是人的身份，通过账号密码、证书、短信验证码、多因子认证等手段确认"你是谁"；二是设备身份，通过MAC地址、证书、设备指纹等方式确认"你的设备是不是登记过的设备"。认证层做好了，才能保证进网的都是"认识的人、登记过的设备"。认证方式的选择要按场景和风险分层，普通办公用账号加无感知，高安全区域用多因子，不能一把尺子量到底。
授权层：回答"能访问什么、不能访问什么"
授权层是很多准入项目最容易忽略的环节，也是决定安全效果的关键。认证通过只代表"能进网"，不代表"能访问一切"。授权层要根据用户的角色、所属部门、所在的区域和时段，下发差异化的访问权限：普通员工能访问日常办公资源，财务、人事等敏感岗位能访问对应的业务系统，访客只能访问互联网和指定资源，服务器区只对运维人员开放。授权的结果最终体现为VLAN分配、ACL策略、访问控制规则，把"谁能访问什么"落成具体的网络策略。
接入层：回答"怎么连进来、连到哪里"
接入层负责把认证和授权的决策落到真实的网络动作上。认证和授权完成后，接入层要指导网络设备执行相应的接入动作：把用户分配到正确的VLAN，下发对应的ACL，控制用户能访问的目标，必要时把不合规终端隔离到修复网络。接入层通常需要和交换机、无线控制器、AC、防火墙联动，通过Radius、Portal、SNMP等协议把准入决策下发到网络设备。接入层执行不到位，认证和授权做得再好，也只是"纸面上的安全"。
三层之间的关系：认证是前提，授权是核心，接入是落地
认证、授权、接入不是孤立的三个功能，而是一条完整的链路。认证通过后才能谈授权，授权确定后才能执行接入。任何一个环节出问题，整条链路都会失效：认证失效，不知道谁进来了；授权失效，进网的人访问权限错乱；接入失效，策略发下去了网络设备没执行。建设网络准入认证系统时，要从这三层整体设计，而不是只盯着认证功能做文章。三层都做扎实，准入控制才能真正管住"谁、能访问什么、怎么接入"。
常见误区：只做认证不做授权
不少准入项目上线后效果不理想，根子在于把准入简单等同于"登录认证"。认证通过后，所有用户获得相同权限、访问相同的网络，等于只做了"门禁"没做"分区"。真正的准入控制一定要有授权这一层，做到"按角色、按区域、按策略"差异化放行。选型时要重点考察系统的授权能力：角色和策略模型是否灵活、能否按区域和时段下发、能否与网络设备联动落地，这些才是准入系统安全价值所在。
网络准入认证系统的价值，在于把"认证、授权、接入"三个层面贯通起来。认证解决身份可信，授权解决访问边界，接入解决策略落地。把三层分别管清楚、整体设计好，准入系统才能真正实现"知道谁进网、管住能访问什么、落到网络设备上"，而不是停留在登录页面上。