园区WiFi认证完了，不是放通就完事。认证后的上网行为怎么管，直接影响其他用户的体验和园区的带宽成本。有人在工位挂迅雷下电影，整层楼网速变慢；有人上班时间刷视频，办公系统卡得没法用；有人开P2P直播把出口带宽吃满。这些问题靠和用户讲道理是讲不通的，必须在认证系统和出口设备上做行为管理和带宽限制。
为什么认证后还要管行为
很多园区以为认证完了就是"合法用户"，随便他上什么。但一个园区出口带宽是固定的，比如500M，几百个员工同时用，平均每人就几兆。如果有人P2P下载占了200M，其他人就只剩300M分，办公就卡了。行为管理的目的不是限制员工上网，是保证关键业务（OA、邮件、视频会议）的带宽优先，同时把高带宽消耗的应用限速或限时。这样大部分用户的体验是稳定的，不会因为少数人滥用导致全楼慢。
按应用类型做流量控制
出口设备或认证网关要能识别应用类型：网页浏览、邮件、办公系统是高优先级，视频会议、语音通话是次高，视频流媒体、P2P下载是低优先级。流量控制按应用类型分配带宽：办公类应用保证最低带宽，视频类限制单连接速度，P2P类在工作时段限速或禁止。这样员工刷短视频不会影响同事开视频会议。应用识别靠DPI深度包检测，通过端口、协议特征、域名识别应用类型，不是只看端口号。V7系统支持精准的流量识别技术，能识别常见应用并按策略控制。
按用户组做带宽限制
不同用户组给不同带宽上限。普通员工每人限20M下行，管理层和视频会议岗位限50M，访客限10M。这样就算有人想下大文件，他的带宽上限在那里，不会影响别人。带宽限制在RADIUS认证通过时下发，AC或网关按用户账号执行。员工如果觉得带宽不够，可以走流程申请提升，不要一刀切全限死。访客带宽要比员工更低，因为访客本来就只是临时上一下网，不需要大带宽。
按时间段做策略
工作时间和休息时间策略不一样。工作日9点到18点，视频、P2P、大文件下载限速；午休12点到14点放开视频限速；晚上和周末不限制。这种策略在认证系统里按时间段配置，自动切换。比如生产车间白天三班倒，他们的工作时间和办公楼不一样，策略要单独配。宿舍区白天在线人少、晚上人多，流量高峰反过来，要按宿舍自己的高峰时段配策略。不要全园区一套时间段，不同区域分开配。
P2P和下载工具怎么处理
P2P是带宽消耗大户，迅雷、BT、磁力链接这些应用在工作时段要严格限制。做法是：应用识别到P2P流量后，单连接限速到几百K，或者直接阻断。但不要完全阻断，因为有些工作场景要用P2P（比如传大文件），完全阻断会影响业务。推荐做法是限速而不是阻断：工作时段P2P下行限到1M每秒，非工作时段放开。下载工具（迅雷、网盘客户端）同样处理，识别后限速。这样员工偶尔传个大文件能用，不会挂着下载把带宽占满。
视频和直播的策略
短视频、长视频、直播是现在最大的带宽消耗。工作时间完全禁止员工刷视频不现实，也影响体验。折中做法：视频类应用限带宽，比如每人视频流限到480P清晰度对应的带宽（约2M），员工能刷但不影响别人。视频会议应用（腾讯会议、Zoom）优先级最高，不限速，保证会议顺畅。直播类应用（淘宝直播、游戏直播）在工作时段限制或阻断，因为这类应用上行带宽消耗大。这样既人性化，又保证关键业务。
访问日志和审计
行为管理要配合日志审计。每个用户访问了什么应用、消耗了多少流量、什么时间访问的，都要记录日志。日志保留周期按合规要求设置，通常6个月。出了问题比如有人访问违规网站，能查到是谁、什么时间。日志不要只存出口设备上，定期同步到认证服务器的日志系统，方便统一查询。日志查询按权限开放：IT管理员能查所有人，部门主管只能查本部门员工。不要让普通用户能查别人的访问记录，保护隐私。
策略配置的常见错误
第一个错误是策略太严，完全禁止视频和下载，结果员工投诉天天有，IT不得不放开所有限制。正确做法是限速不是阻断。第二个错误是策略太松，只配了应用识别没配带宽限制，等于没配。第三个错误是全园区一套策略，车间和办公区不分，宿舍和会议室不分。第四个错误是策略配完不看数据，跑了半年不知道谁在用什么应用、带宽够不够。每月看一次流量报表，调整策略。
认证后的行为管理，核心是保证关键业务优先、限制滥用行为、不影响正常办公。按应用类型分优先级、按用户组分带宽、按时间段切策略，P2P限速不阻断，视频限清晰度不限死。这样园区带宽用得合理，员工体验也不会被牺牲。