住客从打开手机WiFi列表，到成功上网，中间经历了哪些步骤？酒店WiFi认证系统在背后做了哪些工作？了解认证系统的工作流程，有助于酒店的网络管理员和运营人员更好地理解系统的运行机制，在出现问题时能够快速定位和排查。下面按照时间顺序，详细拆解酒店WiFi认证系统从终端接入到策略放行的完整工作流程。
第一步：终端连接WiFi信号
整个流程从住客的终端（手机、笔记本、平板等）连接到酒店的WiFi信号开始。酒店的无线AP（接入点）持续广播SSID（WiFi名称），住客在终端的WiFi列表中看到酒店的SSID（如"HOTEL_WiFi"或"酒店名称-FreeWiFi"），点击连接。如果WiFi没有设置加密密码（大多数酒店公共WiFi不加密，因为加密密码会增加住客的操作负担），终端会直接关联到AP，获取一个IP地址（通过DHCP）。此时终端虽然已经连接到WiFi网络，但还没有通过认证，处于"未认证"状态。在这个状态下，系统会对终端的网络访问进行限制：终端可以获取IP地址，可以解析DNS，但所有HTTP/HTTPS访问都会被重定向到Portal认证页面，无法访问互联网。这种限制是通过接入交换机或AC（无线控制器）上的ACL（访问控制列表）或Portal网关实现的：未认证终端的流量只允许访问DNS服务器和Portal认证服务器，其他所有流量都被阻断。这一步的关键是"网络可达但互联网不可达"，终端能够正常获取IP和解析域名，但无法真正上网，从而引导住客进入认证流程。需要注意的是，一些酒店的WiFi会设置多个SSID，分别对应不同的区域或客群，如"HOTEL_Guest"（住客专用）、"HOTEL_Staff"（员工专用）、"HOTEL_Meeting"（会议室专用），不同SSID对应不同的VLAN和认证策略，终端连接到哪个SSID就进入对应的认证流程。
第二步：Portal页面自动弹出
终端连接WiFi并获取IP后，住客打开浏览器访问任意HTTP网站（如百度、新浪等），请求会被Portal网关拦截并重定向到酒店的Portal认证页面。这个重定向过程是自动的，住客不需要手动输入Portal页面的地址。现代智能手机（iOS和Android）都内置了" captive portal检测"机制：终端连接到WiFi后，会自动向一个特定的检测服务器（如苹果的captive.apple.com或安卓的connectivitycheck.gstatic.com）发送HTTP请求，如果请求被重定向到Portal页面，系统会自动弹出一个登录窗口，显示Portal认证页面，住客甚至不需要手动打开浏览器。这个自动弹出的机制大大提升了住客的体验，住客连接WiFi后几乎立刻就能看到认证页面。Portal页面是酒店向住客展示品牌形象和推送信息的第一触点，页面上通常包含酒店的Logo、品牌图片、欢迎语、认证方式选择（手机号、微信、房号等）、输入框和按钮、使用条款和隐私政策链接等。一个设计良好的Portal页面应该简洁明了、加载迅速、操作指引清晰，让住客在几秒钟内理解需要做什么。Portal页面的内容可以由酒店自行定制，不同区域、不同时间段、不同客群可以展示不同的Portal页面，如春节期间展示新年祝福页面，VIP会员展示专属欢迎页面。需要注意的是，Portal页面必须兼容各种终端和浏览器，包括不同版本的iOS和Android、不同尺寸的屏幕、不同的浏览器（Safari、Chrome、微信内置浏览器等），确保在所有设备上都能正常显示和操作。
第三步：住客提交认证信息
住客在Portal页面上选择认证方式并提交认证信息。如果选择手机号验证码认证，住客输入手机号，点击"获取验证码"，系统通过短信网关发送验证码，住客输入验证码后点击"登录"；如果选择微信连WiFi认证，住客用微信扫描二维码或点击微信连接按钮，在微信中确认连接；如果选择房号+姓氏认证，住客输入房间号和姓氏，点击"登录"。无论哪种方式，住客提交的认证信息都会被发送到酒店WiFi认证系统的认证服务器进行验证。认证服务器收到认证请求后，根据认证方式的不同进行不同的验证逻辑：手机号验证码认证需要验证手机号格式是否正确、验证码是否在有效期内、验证码是否与发送的一致；微信连WiFi认证需要验证微信OpenID的有效性，以及该OpenID是否已经关注酒店公众号（如果设置了关注要求）；房号+姓氏认证需要调用PMS系统的接口，查询该房间是否有有效入住、住客姓氏是否匹配。验证过程通常在1到3秒内完成。在验证过程中，系统会记录认证请求的详细信息，包括终端的MAC地址、IP地址、接入的AP位置、认证时间、认证方式、提交的认证信息等，这些信息会被写入认证日志，用于后续的审计和追溯。如果认证信息验证失败（如验证码错误、房号不存在、姓氏不匹配），系统会在Portal页面上显示错误提示，住客可以重新输入。系统通常会设置失败次数限制（如连续5次失败后锁定该终端或手机号一段时间），防止暴力破解。
第四步：系统下发授权策略
认证信息验证通过后，认证服务器会根据预设的策略，为该终端生成一份授权策略，并通过RADIUS协议或Portal协议下发到接入设备（交换机或AC）。授权策略包含以下内容：一是访问权限，允许该终端访问互联网（解除之前的ACL限制），或者限制该终端只能访问特定的网络资源（如隔离VLAN、只能访问酒店内部服务器等）；二是带宽限制，为该终端分配的上行和下行带宽上限（如下行20Mbps、上行5Mbps），不同身份的住客可能获得不同的带宽（如VIP会员100Mbps、普通住客20Mbps、员工50Mbps）；三是会话时长，该终端的认证会话有效时长（如24小时或住店期间），超过时长后需要重新认证；四是流量配额，该终端在本次会话中可以使用的总流量上限（如5GB），超过配额后降速或断网；五是VLAN分配，将该终端划分到指定的VLAN（如住客VLAN、员工VLAN、隔离VLAN），实现不同客群的网络隔离。授权策略下发到接入设备后，接入设备会更新该终端的ACL和QoS规则，终端立即获得对应的网络访问权限。此时住客刷新浏览器或打开新的网页，就可以正常访问互联网了。整个授权过程对住客是透明的，住客只看到"认证成功，正在跳转..."的提示，然后就能上网。需要注意的是，授权策略是基于终端的MAC地址和IP地址绑定的，当终端断开WiFi重新连接后，如果MAC地址不变且在会话有效期内，系统可以自动放行（免重新认证），提升住客的体验。如果终端的IP地址发生变化（如DHCP重新分配），系统需要重新绑定IP和MAC，确保授权策略正确生效。
第五步：上网行为监控与日志记录
终端获得上网权限后，并不是"放任不管"，系统会持续监控该终端的上网行为，并记录详细的上网日志。上网日志包括：终端的MAC地址和IP地址、住客的身份信息（手机号、微信OpenID、房号等）、接入的AP位置和VLAN、认证时间和认证方式、上网开始时间和结束时间、访问的网站域名或IP地址、使用的应用类型（如网页浏览、视频、下载、社交、游戏等）、上行和下行流量、在线时长等。这些日志按照合规要求加密存储，留存时间不少于六个月（具体时长根据当地法规要求确定）。系统还会对终端的上网行为进行实时监控和异常检测：如果某个终端的流量突然异常增大（如短时间内下载几十GB），系统可能会触发告警，管理员可以检查是否存在恶意软件或违规下载；如果某个终端尝试访问被禁止的网站或应用（如赌博、色情、黑客工具等），系统可以根据URL过滤策略进行阻断，并记录违规日志；如果某个终端的行为模式与已知的攻击特征匹配（如端口扫描、暴力破解、DDoS攻击），系统可以自动将该终端隔离或断网，并通知管理员。上网行为监控和日志记录不仅是合规要求，也是酒店网络安全管理的重要手段。通过分析上网日志，酒店可以了解住客的网络使用习惯，优化带宽分配策略；可以发现网络中的异常行为和安全威胁，及时采取措施；可以在发生安全事件时提供完整的追溯证据，帮助酒店规避法律风险。
第六步：会话终止与资源释放
当住客离开酒店、断开WiFi，或者认证会话到期时，系统会终止该终端的认证会话，释放对应的网络资源。会话终止有几种触发方式：一是终端主动断开，住客关闭WiFi或离开酒店范围，终端与AP的连接断开，AC检测到终端离线后通知认证服务器终止会话；二是会话超时，认证会话超过预设的有效时长（如24小时），系统自动终止会话，终端需要重新认证才能继续上网；三是管理员手动终止，网络管理员可以在管理界面上手动强制某个终端下线，适用于发现违规行为或安全威胁时；四是PMS退房联动，对于使用房号认证的住客，当PMS系统中该房间状态变为"已退房"时，系统自动终止该房间所有终端的认证会话，防止退房后继续使用WiFi。会话终止后，系统会释放该终端占用的带宽资源和IP地址，更新接入设备上的ACL规则，将该终端恢复到"未认证"状态。同时，系统会生成一条完整的会话记录，包含该终端从认证到下线的全部信息（认证时间、下线时间、总流量、在线时长、访问记录摘要等），写入历史日志供后续查询和审计。会话终止和资源释放是整个认证流程的最后一步，它确保了网络资源的合理分配和回收，防止已离开的住客继续占用带宽，也防止未授权的终端利用已过期的会话继续上网。对于酒店来说，一个高效的会话管理机制能够提升网络资源的利用率，降低运营成本。
酒店WiFi认证系统的工作流程是一个完整的闭环：从终端连接WiFi信号，到Portal页面自动弹出，到住客提交认证信息，到系统下发授权策略，到上网行为监控与日志记录，最后到会话终止与资源释放。每一个环节都有明确的技术实现和管理目标，共同构成了酒店WiFi网络的安全、可控、可追溯的运行体系。了解这个流程，有助于酒店的管理人员和技术人员更好地规划、部署和运维WiFi认证系统，在保障住客体验的同时，满足合规要求，提升运营效率。