园区WiFi认证方式选错了，后面要么用户嫌麻烦不用，要么运维天天救火。Portal弹页要账号密码，802.1X要配证书，短信验证码要花钱，扫码认证要对接微信支付宝，每种方式背后都有适合的人群和场景。不是越高级越好，是越匹配越好。员工每天上班用，要的是省事；访客偶尔来一次，要的是快；生产车间的固定设备，要的是稳。把这几类用户分开看，认证方式选择其实就清楚了。
Portal认证：园区场景的主力
Portal认证是园区最常用的方式。用户连上WiFi后浏览器自动弹出认证页面，输入账号密码或验证码就能上网。它的好处是不需要用户装客户端，手机、笔记本、平板任何设备都能用，对非技术用户友好。Portal认证适合大多数场景：办公楼、公共区域、访客区。它的技术基础是AC支持External Portal，认证请求由AC转发到认证服务器，认证通过后放行。蓝海卓越V7系统支持Portal认证，认证页面可以定制成园区自己的风格，支持账号密码、短信验证码、扫码等多种登录方式。Portal认证的缺点是需要弹页面，用户在手机浏览器里操作有一定门槛，而且HTTPS网站的重定向有兼容性问题，后面会专门讲。
802.1X认证：员工办公区的省心选择
802.1X是基于端口的认证，终端连上WiFi后自动发起认证，不需要弹页面、不需要手动输密码。它的前提是终端要配置supplicant，也就是自动认证客户端，Windows、macOS、手机系统都自带。802.1X适合员工办公区：员工入职时IT统一配置好笔记本和手机，之后到园区任何地方连上WiFi都自动认证，用户完全无感知。802.1X的安全性比Portal高，因为认证在网络层完成，不依赖浏览器。但802.1X有两个问题：一是哑终端（打印机、IP电话、车间传感器）没法配supplicant，需要走MAC旁路认证；二是配置过程对非技术用户有门槛，需要IT部门统一推。园区生产车间的固定工位、会议室的固定设备，可以用802.1X加MAC旁路的组合。
短信认证：访客场景的标配
短信认证是访客场景最常用的方式。访客连上WiFi后Portal页面要求输入手机号，点获取验证码，收到验证码后输入就能上网。短信认证不需要提前注册账号，系统自动创建临时账号，有效期通常4小时到24小时，到期自动失效。短信认证适合临时访客、客户来访、会议参加者。它的优势是快，30秒就能完成认证；缺点是每条短信要花钱，成本几分钱，访客量大时是一笔持续支出。短信认证还要考虑外宾和国内手机号的差异，国际短信成本高、到达率不稳定，重要外宾可以走前台登记加临时授权码的方式。蓝海卓越V7系统支持短信认证，对接正规短信服务商，验证码5秒内送达，支持主备通道切换。
二维码认证：前台和会议场景
二维码认证是前台打印一张二维码贴在墙上，访客扫码就能上网。它比短信认证更省事：访客不用输手机号，扫码后直接跳转认证页面，点确认就放行。二维码认证适合两种场景：一是前台接待区，访客在前台登记后服务员指一下墙上的二维码；二是大型会议，提前在会议室每个座位贴二维码。二维码认证的安全性比短信弱一些，因为扫码的人不一定是登记的人，所以二维码账号的权限要限制在只上互联网、不能访问内网。二维码账号的有效期也要设短，通常4小时，会议结束后自动失效。
MAC无感知认证：固定人员的长期便利
MAC无感知认证是员工首次用账号密码Portal认证后，系统记住这个设备的MAC地址，之后这个设备再连WiFi就不再弹页面，直接放行。它适合每天在园区工作的员工，用几天之后就再也不用输密码了。MAC无感知的有效期和账号有效期绑定，包月用户30天内免认证，账号到期后重新认证一次。但MAC无感知有个风险：MAC地址可以伪造，如果有人故意克隆别人的MAC地址，就能绕过认证。所以MAC无感知只用于员工组，不用于访客组，而且要配合并发终端数限制，一个账号最多同时在线2到3台设备。
不同用户组怎么组合认证方式
一个园区通常是多种认证方式组合，不是一刀切。员工办公区：802.1X加MAC无感知，员工入职配好supplicant，之后自动认证。访客区：短信认证加二维码认证，访客自己选。公共区域：Portal账号密码认证，适合长期使用WiFi的物业、保洁人员。生产车间：固定工位用802.1X，移动巡检人员用Portal加MAC无感知。会议室：临时会议用二维码认证，散会后失效。不同用户组在V7系统里分别配置认证方式，用户连不同SSID时自动匹配对应的认证流程。SSID也要分开：员工SSID走802.1X，访客SSID走短信或扫码，不要混在一起。
认证方式选择的常见误区
第一个误区是全园区只用一种认证。觉得Portal简单就全用Portal，结果员工每天上班都要弹页面输密码，投诉一大堆。正确做法是员工区用802.1X或MAC无感知，访客区用短信。第二个误区是为了省事关闭认证。觉得麻烦就把WiFi密码公开，结果内网随便人进，安全事故出了再补救。第三个误区是过度追求高级认证。小园区几十个人的规模，硬上802.1X加证书，IT维护成本比收益高，用Portal加MAC无感知就够了。第四个误区是忽视哑终端。车间的PLC、监控摄像头、门禁控制器这些设备没法装supplicant，如果只配802.1X，这些设备全都上不了网，必须单独配MAC白名单旁路。
认证方式落地的检查清单
落地前要确认几件事：AC是否支持External Portal，不支持就要换AC或加认证网关；AC是否支持802.1X和RADIUS对接；短信通道是否开通，主备通道是否配置；哑终端清单是否完整，MAC白名单是否录入；用户组是否按员工、访客、生产、访客分开；每个SSID对应的认证方式和VLAN是否映射正确。这些确认完再上线，避免上线后天天救火。
园区WiFi认证方式的选择，核心是按用户人群分场景匹配。员工要省事，用802.1X加MAC无感知；访客要快，用短信或二维码；固定设备要稳，用MAC白名单。不要追求一种方式打天下，也不要为了高级而高级。选对了，用户觉得方便，运维也省心；选错了，要么用户流失，要么安全出问题。