园区宿舍里住的不只是员工，还有临时工、外包人员、探亲家属、来访客人。同样一栋宿舍楼，正式员工和访客的上网待遇不一样：员工可以免费用或走企业代付，访客要临时开通、限时使用；员工能访问内网资源，访客只能上外网。一套园区宿舍WiFi认证计费系统，如果分不清员工和访客，要么访客把资源占光，要么员工觉得待遇被拉平，两头都不满意。
先把身份分层建好。园区网络里最常见的是三层身份：员工、访客、还有介于两者之间的临时人员。员工用工号或AD域账号认证，身份长期有效，权限按岗位分配；访客用手机号或临时账号认证，有效期按小时或按天计；临时工、外包人员可以根据合同期限开通周期账号。系统支持用户组和用户分级，三种身份各归各的组，策略才能分开配。
员工宿舍区的计费模式要先定。园区常见两种：企业统付和员工自付。企业统付是公司付总账，员工凭工号免费上网，适合把网络当福利的园区；员工自付是员工自己买套餐，适合宿舍网络作为独立运营项目的园区。两种模式可以并存：基础套餐企业付，加速包员工自己买。系统支持企业账户和个人账户双层结构，这笔账才能分清楚。
访客通道要独立且限时。园区访客来了要上网，不能让他们占员工和宿舍的通道。给访客单独开一个SSID，用短信验证码或临时授权码认证，有效期几小时到几天，到期自动失效。前台或门卫可以代开访客账号，操作留痕。访客通道独立，员工通道不受影响，安全边界也清晰。
临时工和外包人员的账号要跟合同走。这类人流动性大，账号周期要短，到期要自动回收，不能留成僵尸账号。系统支持按合同期限批量开户、到期自动失效，人事名单一变，账号跟着变。如果园区人事系统开放接口，账号还能自动同步，接口不开也能批量导入，两条路都能走。
内网访问权限要按身份切。员工宿舍区住的是正式员工，认证后可以访问办公内网资源，方便加班和远程处理工作；访客和临时工只能上外网，内网一概不让碰。这个隔离靠VLAN和基于角色的访问控制实现，身份不同，下发的权限不同。园区信息安全要求高，内网权限不切分，访客进了内网就是大漏洞。
免认证体验主要给员工。员工每天在宿舍、办公楼、食堂之间来回，总重新认证会烦。断线免认证机制设置一天内认证一次，员工在园区各处走动都不用重复登录。访客则不享受这个便利，每次连接都走正常认证流程，保证临时身份随时可查。
防共享在员工和访客身上都要做。员工账号绑MAC、限终端数，防止一账号多人用；访客账号本身就是临时短效的，绑定手机号或授权码，转借的可能性也小。系统把账号绑定策略按用户组配置，员工组和访客组各设各的规则。
报表要能区分人群看。员工组看活跃度、在线时长、企业代付金额；访客组看来访量、平均使用时长、临时账号转化率。园区运营方从报表里能看出员工福利用得怎么样、访客服务够不够，下一步该优化哪头就有数了。
认证入口要按人群分流。员工喜欢扫码，可以用二维码认证、APP认证、企业微信扫码，刷一下就走；访客不熟悉园区网络，用短信验证码或临时授权码最省事；临时工走手机号注册加短期套餐。园区网络支持的认证方式很多，关键是按人群把入口配对：员工给顺手的方式，访客给简单的方式，别让所有人挤在同一种认证流程里。
终端管理要分人群设上限。员工可能手机、电脑、平板好几个设备，允许多终端绑定，但设个上限，防止账号被拿去分享；访客账号本身就是短效的，绑定一台设备就够；临时工按合同期限给终端数。系统支持限制登录终端数量，员工组和访客组各设各的规则。终端数管住了，账号流转出去也起不了作用。
员工账号可以走批量开户。园区人事系统有员工名单，系统支持第三方数据库对接，从人事系统同步员工信息，批量开户、离职自动关号。没有接口的，管理员也能按名单批量导入。批量开户省的是管理员的时间，更重要的是账号和人事保持一致，人不在了账号马上失效，安全不留死角。
访客账号的发放方式要方便又要留痕。园区访客来了，前台或门卫可以代开临时账号，操作一下就能用；也可以做成二维码，访客扫码自取，有效期几小时。两种方式都支持，发放的每个账号都有记录，谁开的、给谁用的、什么时候到期，系统里清清楚楚。访客上网是园区服务的一部分，管理上不能留空白。
说到底，员工访客双策略不是把系统搞复杂，而是把身份边界划清楚。员工有员工的待遇和权限，访客有访客的通道和限制，临时人员有临时的周期。认证入口按人群分流，终端管理按人群设限，账号跟着人事走，访客发放留痕可查。三层身份都归好位，园区网络才既方便员工、又守住安全、还能算清账。