园区WiFi认证只解决"能不能上网"的问题，但认证通过后"能访问什么"才是安全关键。员工连上WiFi能访问OA和生产系统，访客连上只能上互联网，车间设备能访问内网服务器但不能上外网，办公电脑不能访问财务共享盘。这些权限差异不是靠WiFi密码区分的，是靠VLAN隔离加ACL访问控制列表实现的。如果认证完了所有人都在同一个网段，访客就能扫描内网，员工电脑被任意访问，安全事故就是这么出的。
为什么认证完了还要分VLAN
很多园区的做法是：WiFi认证过了就放行所有流量，和有线内网在同一个网段。这时候访客和员工在二层网络里是互通的，访客扫一下端口就能看到内网的打印机、文件服务器，甚至能尝试登录管理后台。VLAN隔离的作用是把不同用户群分到不同的虚拟局域网里，二层互相不通，只能通过三层网关加ACL控制访问。员工VLAN、访客VLAN、生产VLAN、办公VLAN分开，每个VLAN有自己的网段，网关之间默认拒绝互访，需要互通的再单独放通。
SSID和VLAN怎么对应
最直观的做法是一个SSID对应一个VLAN。员工SSID映射到员工VLAN，访客SSID映射到访客VLAN，生产SSID映射到生产VLAN。用户连哪个SSID就自动进入哪个VLAN，不用手动切换。但有些场景一个SSID内部还要再分：比如员工SSID里，研发部门和财务部门访问的内网资源不同。这时候要靠RADIUS下发动态VLAN：认证时用户账号属于哪个部门，AC就把这个端口划到对应的VLAN里。同一个SSID下，研发账号进研发VLAN，财务账号进财务VLAN，用户连的是同一个WiFi，但网络权限不同。
员工组：能访问什么，不能访问什么
员工组的权限按岗位分：普通办公员工能访问互联网、OA系统、邮件服务器、内部共享盘；研发员工加访问代码仓库和测试服务器；财务员工加访问财务系统和银行接口；管理层能访问所有内部系统。这些权限差异通过ACL在网关层配置：源IP是员工VLAN的地址段，目标IP是对应服务器，允许或拒绝。员工VLAN之间也要隔离：普通员工不能访问财务VLAN，不能访问研发VLAN，只能访问公共服务器和互联网。移动办公的员工在不同AP下漫游时，VLAN和权限跟着账号走，不会因为换了位置就变权限。
访客组：只能上互联网，不能碰内网
访客组是最严格的。访客VLAN只允许访问互联网，禁止访问任何内网IP段（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）。访客之间也要隔离，同一VLAN里的两个访客不能互访，防止一个访客被攻陷后横向扫描其他访客。访客VLAN的地址池要单独划分，不要和员工VLAN用同一个地址段。访客认证通过后，RADIUS下发ACL：允许目的端口80、443、53（DNS），拒绝所有目的地址在内网段的流量。访客账号有效期短，4小时到24小时，到期自动踢下线。
生产组：固定设备的特殊权限
车间的PLC、监控摄像头、门禁控制器这些固定设备是另一类用户。它们不需要上互联网，但要访问生产服务器和监控平台。生产VLAN只允许这些设备访问指定的生产服务器端口，禁止访问互联网，禁止访问办公VLAN。生产设备用MAC白名单认证，不用账号密码，设备开机就自动连入生产SSID。生产VLAN的ACL要最严：只放通设备到服务器的必要端口，其他全拒。这样就算某台设备被攻陷，攻击者也只能在生产VLAN里活动，碰不到办公网和互联网。
ACL配置的几个关键原则
第一个原则是默认拒绝，按需放通。不要先允许所有流量再拒绝危险的，反过来：先拒绝所有，再一条条放通需要的服务。第二个原则是最小权限。普通员工不需要访问管理后台，就不要给；访客不需要访问内网，就不要开。第三个原则是定期审计。每季度检查一次ACL规则，删掉过期的放通项，比如某个项目结束后临时开的服务器访问权限要回收。第四个原则是日志留痕。所有跨VLAN访问都要记录，出了安全事件能查到是谁访问了什么。
常见的权限配置错误
第一个错误是访客VLAN和员工VLAN二层互通。觉得访客也要访问园区门户网站，就把两个VLAN桥接了，结果访客能扫描整个内网。正确做法是园区门户网站单独放一个公共服务器，员工和访客都能访问这一台，其他内网资源不放。第二个错误是员工VLAN不隔离。所有员工在同一个大网段，研发和财务互访，一台员工电脑中毒就能扫到全公司。第三个错误是ACL规则过松。为了省事写"允许所有源IP访问所有目的IP"，等于没配。第四个错误是动态VLAN配错。RADIUS下发VLAN ID填错，导致研发员工进了访客VLAN，上不了内网，投诉过来才发现。上线前要拿不同部门的账号实测一遍权限。
认证和权限联动的实际效果
配置正确后，用户体验是这样的：员工到公司连上员工SSID，自动认证，能上OA、上外网，不需要手动切换；访客在前台登记后连访客SSID，短信认证后只能上百度和微信，不能访问任何内部系统；车间设备开机自动连生产SSID，数据传到监控平台，不能上外网。出了安全事件，比如某台电脑异常访问，查认证日志能定位到是谁、什么时间、用什么设备接入的，再查ACL日志能看到访问了哪些资源。这就是认证加权限管理的价值：不仅管谁能上网，还管他能做什么。
园区WiFi认证不是只管"进门"，还要管"进了门能去哪"。VLAN按用户组分，ACL按岗位权限配，访客和生产单独隔离，认证日志和访问日志联动。这样配下来，安全和体验都兼顾：员工觉得方便，访客觉得顺畅，IT出了问题能快速定位。