新园区第一次做WiFi认证，最容易踩的坑是：设备买回来了、AP装完了、AC配置完了，结果一上线用户连不上、页面弹不出、认证成功但上不了网。问题不是出在某一个设备上，而是前期需求没理清、实施步骤没按顺序走。从需求确认到正式上线，至少要经过需求收集、现场勘测、方案选型、设备部署、联调测试、试运行、正式上线七个阶段。每个阶段都有要确认的关键点，跳过任何一步，后面都要返工。
第一步：需求收集，先搞清楚谁要上网
很多项目一上来就问"买什么设备"，其实应该先回答"谁要上网、上多久、要访问什么"。把园区里的用户分清楚：正式员工多少人，访客每天多少人，生产车间的固定设备多少台，会议室每天用几次，宿舍区有多少户。这些数字直接决定后面的AP数量、并发认证数、地址池大小和带宽规划。还要确认用户的诉求：员工要不要访问内网OA和生产系统，访客能不能上内网，宿舍区要不要计费。需求阶段漏掉一个用户组，上线后就要重新规划SSID和VLAN。
第二步：现场勘测，不是量信号是摸拓扑
现场勘测主要做三件事：看建筑结构、看现有网络、看供电和布线。建筑结构决定AP点位：办公楼是开阔大空间还是隔断多的小房间，宿舍楼是每层多少间，生产车间有没有金属设备遮挡。现有网络决定认证设备放哪里：核心交换机在哪里，出口防火墙是什么品牌，内网VLAN怎么分，有没有已经在用的AC。供电和布线决定AP能不能用POE：每一层有没有弱电间，六类网线能不能拉到AP点位，POE交换机功率够不够。勘测完出一张拓扑图和AP点位图，后面的设备清单就从这张图来。
第三步：方案选型，先定架构再选品牌
方案选型第一个决策是认证方式：员工用Portal还是802.1X，访客用短信还是扫码，固定设备用MAC白名单。第二个决策是部署架构：认证网关串接还是旁路。旁路部署对现有网络改动小，适合已经在运行的园区；串接部署控制更彻底，适合新建园区。第三个决策是AC和AP的匹配：AC要支持External Portal、支持RADIUS对接、支持VLAN下发，AP要覆盖办公楼、宿舍楼、室外不同场景。第四个决策是认证服务器：单机部署还是双机热备，用户规模超过500人就要考虑双机。这些决策不是技术部门自己拍板，要和IT、行政、物业一起确认。
第四步：设备部署，按网络层次从下往上
部署顺序不要乱：先布线装AP，再配POE交换机和汇聚交换机，然后上架AC和认证服务器，最后接出口。AP安装有讲究：办公楼用吸顶AP装在走廊或天花板中间，宿舍楼用面板AP替换房间里的86盒，室外区域用防水AP装在路灯或电线杆上。每个AP配置SSID：员工SSID、访客SSID、生产SSID分开，对应不同VLAN。AC配置完后，所有AP注册到AC，再统一下发SSID、信道、功率。这个阶段不要急着开认证，先把无线覆盖和漫游调好，确保任何位置信号强度都在-65dBm以上。
第五步：联调测试，分场景过一遍
联调测试是最容易被跳过、但最不能省的环节。要模拟真实用户的使用场景：员工手机连员工SSID，输入账号密码，看Portal页面是否正常弹出，认证成功后能不能上互联网，能不能访问内网OA。访客手机连访客SSID，输手机号收验证码，看验证码能不能收到，认证后能不能上互联网但不能访问内网。固定设备用MAC白名单，看能不能自动放行。再测漫游：员工从办公楼走到食堂，WiFi切换AP时业务会不会中断。最后测高并发：模拟几十台设备同时认证，看认证服务器会不会卡。每个场景测试都要记录结果，发现问题当场改，不要留到上线后。
第六步：试运行，找一批真实用户先跑两周
全园区一次性上线风险太大。正确做法是先选一栋办公楼做试运行，让50到100个真实员工用两周。这两周重点收集三类问题：用户连不上的问题（手机兼容性、信号弱、密码错误），页面弹不出的问题（HTTPS重定向、浏览器拦截），认证成功但上不了网的问题（VLAN配置错、ACL规则错、DNS不通）。试运行期间IT要每天看认证日志，把失败原因统计出来，高频问题集中修复。试运行还要测短信通道的到达率，访客集中的时段验证码会不会延迟。试运行结束后出一份问题清单，修复完再全园区推开。
第七步：正式上线，分批推送
正式上线也不要一次性全开。按办公楼、宿舍楼、食堂、室外的顺序分批切：第一天开办公楼，第二天加食堂，第三天加宿舍楼，最后开室外。每批上线后观察半天，看认证成功率、在线用户数、带宽占用有没有异常。上线当天IT值班，准备好常见问题的自助排障指引（打印成小卡片贴在墙上），用户有问题先看卡片解决，解决不了再找IT。上线后第一周每天看一次认证日志和在线用户曲线，确认系统稳定后再转入常规运维。
从0到1最容易踩的三个坑
第一个坑是只买设备不做规划。AP数量按楼层数拍脑袋，结果高密场景信号拥堵；地址池按C类掩码配，结果在线用户超过254就分不到IP。第二个坑是测试只在机房做。机房里信号满格，所有功能正常，到了车间金属设备遮挡、到了宿舍楼墙体衰减，真实环境完全是另一回事。第三个坑是上线不做用户告知。员工突然发现WiFi要认证，不知道账号密码，一堆人涌向IT部门投诉。正确做法是上线前三天发通知，告诉大家WiFi怎么连、账号是什么、初始密码多少、改密码的入口在哪里。
新园区WiFi认证从0到1，本质是项目管理问题，不是技术问题。园区WiFi认证按需求、勘测、选型、部署、联调、试运行、上线七步走，每步把该确认的事情确认到位，上线后就不会天天救火。急着上线、省掉联调和试运行，最后付出的返工成本远高于前期慢下来做测试的时间。