一个园区里往往同时有办公楼、宿舍楼、生产车间和室外公共区域，这几类地方的上网管理逻辑完全不同。办公楼要稳定、要访问内部系统；宿舍楼要计费、要控制夜间使用；生产车间要保障产线设备，人上网反而是次要的；公共区域要接待访客。如果整个园区只建一套简单的上网规则，要么宿舍没法收费，要么办公网络被宿舍流量拖垮。园区宿舍WiFi认证计费要落地，先把分区这件事想明白。
分区管理的第一个抓手是SSID和VLAN。园区网络通常会给不同用户群体设置多个SSID，一个给园区员工、一个给访客，甚至可以细分到办公、宿舍各自独立。SSID和VLAN一一映射，不同区域走不同的网段，认证方式、计费策略、访问权限跟着区域走。宿舍楼的SSID接了计费策略，办公楼的不计费只认证，两者互不干扰，宿舍里的下载流量再大也拖不垮办公网。
宿舍区要计费，办公区通常只认证不计费，这是园区最典型的分区方式。宿舍住户用账号密码或手机号注册，选套餐缴费上网；办公员工走AD域账号或工号认证，免费使用但要有权限管控。两种模式在一套认证计费平台里并存，管理员按区域把策略分好，住户和员工各走各的通道，账也不会混。
生产车间是另一个特殊区。产线设备、扫码枪、工业终端往往需要网络但不需要人认证，车间里的工人上网反而要受控。常见的做法是产线设备走白名单或免认证通道，工人的手机走访客或受限通道，这样产线不被人上网拖累，工人也有网可用。分区策略里把产线单列，比笼统地全园区一种策略稳妥得多。
公共区域和访客通道要单独设计。园区大门、食堂、体育馆这些地方，访客和临时人员多，需要独立的访客SSID和临时认证方式。访客账号限时有效，到期自动失效，不占用员工和宿舍的通道。这样访客有网可用，又不影响园区内部网络的安全边界。
分区的访问控制要按身份、按位置、按时间段来做。员工从宿舍走到办公楼，认证状态要平滑切换，不能一到办公区就掉线重连；不同区域可以设置不同的访问权限，宿舍只能上外网，办公可以访问内部系统。基于角色的访问控制在这个场景里是标配，园区资源多、人群杂，权限不按区域和角色分清楚，安全隐患就藏在水面下。
认证体验在分区之后要顺。员工一天之内要在宿舍、办公楼、食堂、室外多个地方上网，如果每换一个区域就要重新认证一次，员工会烦。断线免认证机制可以解决这个问题：设置一个免认证时间间隔，一天之内认证一次，在园区内多个场景切换都不用重复输密码。
防共享也是园区分区的必修课。宿舍区计费后，最怕一个账号几个人共用。账号和MAC自动绑定、限制登录数量、一个账号只允许一个终端同时使用，这些策略在宿舍区要开起来。开了分区和计费，再把防共享做上，宿舍区的账才算守得住。
分区策略的粒度要能落到AP组。园区楼栋多，不同楼的政策可能不一样：一栋宿舍和另一栋宿舍的收费规则可以不同，办公楼之间也可以有差异。系统按AP组、按楼栋下发策略，管理员不用为一栋楼改全局配置。策略粒度细，管理才灵活，也少误伤。
数据报表也要按分区看。宿舍区的收入、在线数、续费率是一套口径；办公区的认证成功率、在线时长是另一套口径。系统把各区域的报表分开统计，园区运营方才知道哪块在赚钱、哪块要优化。混在一起看，什么都看不清。
分区之后，认证方式也要跟着区域走。宿舍区住户用手机号注册、短信验证、一键登录这种轻量方式，门槛低、上手快；办公区员工用账号密码、AD域账号、802.1X这些规范方式，和办公电脑登录保持一致；访客区用临时账号或扫码。园区网络支持多种认证方式并存，管理员按SSID和区域给不同人群配不同的认证入口，住户和员工各走各的，不用互相迁就。
分区还要带上安全隔离。宿舍区住户之间互不认识，住在一个局域网里，如果互相能看到设备，就可能被扫到漏洞、被共享文件攻击。园区网络支持VLAN内用户隔离，同区域用户之间互相隔离，只能访问出口网络，彼此看不到。再配合wIPS功能防范非法AP，有人私接路由器蹭网，系统能发现能处理。分区不是简单分网段，安全策略跟着区域配，才稳得住。
分区之后的自助服务也要跟上。宿舍住户要能自己查套餐、改密码、充值、留言，办公员工要能自己处理账号问题，不能什么事都找管理员。系统支持用户自助服务，住户在认证页面或自助平台就能办完大部分事情。园区网络大了，人多了，自助服务能挡掉大量基础咨询，管理员才有精力处理真正要紧的事。
说到底，园区宿舍WiFi认证计费不是给整个园区套一个模板，而是按宿舍、办公、生产、公共区分别配策略。SSID和VLAN打底，认证计费策略分区域生效，认证方式按区域适配，安全隔离跟着分区走，访客独立通道，报表分区统计。分区这件事想明白了，园区网络才谈得上既安全又赚钱。