酒店WiFi认证Portal认证的方案里，认证网关是个核心设备，但很多酒店在规划网络的时候，对认证网关应该放在网络的什么位置、跟无线控制器怎么分工，并没有想得很清楚。位置放对了，认证流程顺畅、后期好维护；位置放错了，轻则认证不稳定，重则影响整个酒店的网络。这个决策值得在方案阶段认真做。
先讲清楚认证网关和无线控制器（AC）的分工。简单说，认证网关负责认证相关的事：把未认证的终端引向认证页面、跟认证服务器交互、管理认证状态；无线控制器负责无线的事：管理AP、下发无线配置、控制终端的无线接入。两个设备各管一段，配合起来才能完成"连接WiFi、弹出认证、放行上网"的完整流程。把这两个角色的边界划清楚，后面配置的时候就不会打架。
认证网关在网络里的位置，常见的有几种考虑。一种是旁路部署，认证网关不串在数据通路的正中间，而是通过旁路的方式接入网络，终端流量经过它做认证判断。旁路部署的好处是对现有网络影响小，不用大改网络结构，酒店已有的交换机、路由这些设备可以继续用，改动最小，这也是酒店场景里优先推荐的部署思路。另一种是路由模式，认证网关直接作为网络的出口或关口，流量从它这里过，认证控制和转发都在一个设备上完成，管理更集中，但接入方式对网络结构的影响相对更大。
选哪种位置，要看酒店的网络现状和改造意愿。老酒店改造，现网结构已经定型，通常希望改动越小越好，旁路部署就比较合适。新建酒店或者网络要整体重做的，可以考虑网关承担更多职责的部署方式。不管选哪种，都要先摸清酒店现有的网络设备品牌型号、出口位置、有没有AC、有没有防火墙，这些信息不齐，位置就不好定。
还有一个常见的顾虑是"旁路部署会不会影响现有网络"。旁路部署的设计初衷就是不动原有网络的主体结构，认证网关作为新增设备接入，承担认证相关的工作，原有的上网、办公、监控这些业务不受影响。但"不动结构"不代表"什么都不用配置"，旁路部署同样需要做流量引导、地址规划这些工作，实施方要把这些配置项提前列清楚。
认证网关的位置还跟网络隔离有关。酒店的网络通常要按区域划分：客房区域、公共区域、办公区域、后台区域，不同区域的认证策略和安全等级不一样。认证网关的位置和VLAN规划要配合起来，客房住客走住客的认证流程，办公设备走白名单或员工账号，监控和后台系统跟住客网络隔离。区域划得清，认证策略才落得下去。
另外，认证网关和无线控制器之间的联动配置，是位置确定以后紧接着要做的事。终端连接WiFi以后，怎么被识别为未认证、怎么被引向认证网关、认证通过以后怎么放行，这些都要在AC和认证网关之间配置好。不同品牌的AC，对接方式和配置界面差异很大，酒店要确认现场的AC支持跟认证网关做标准化的联动，这属于实施前就要核对清楚的事项。
酒店WiFi认证Portal认证的认证网关放在哪，不是一个可以照抄的固定答案，而是要结合酒店的网络现状、改造需求、区域划分综合决定。核心原则就一句话：先摸清现状，再定位置；位置定了，把跟AC的联动和区域隔离做扎实。这样认证网关才能真正成为酒店WiFi认证的稳定枢纽，而不是一个添乱的节点。
旁路部署和路由模式怎么选，可以给酒店一个简单的判断参考。如果酒店的网络已经稳定运行，核心诉求是加认证、不想动现网，旁路部署是优先选择；如果酒店网络本来就要重建，或者希望认证和出口管控放在一个设备上，路由模式更合适。没有哪个绝对好，关键是跟酒店的网络现状和运维能力匹配。方案阶段把两种模式都摆出来，让酒店在了解各自特点的基础上做选择，比替酒店拍板更稳妥。
跟AC的联动配置，是实施中最容易出细节问题的地方。认证网关要跟现场的AC品牌、型号匹配，不同厂商的AC，支持的外部认证对接方式不一样。有的AC支持标准的Portal重定向协议，对接顺畅；有的AC需要额外配置才能配合。酒店在采购和选型的时候，要把现网AC的品牌型号提前告诉认证服务商，确认对接可行性和需要的配置项，别等设备到了现场才发现联调不了。
改造项目还有一个常见问题：原有网络里的老设备不一定支持标准协议。老酒店的交换机、AC可能是多年前的设备，能不能配合新的认证网关做认证联动，要现场核实。role规则里明确，存量改造必须谨慎，老酒店改造前必须先勘测，不能假设所有设备都支持标准协议。勘测结果出来之前，方案里的对接描述都要留有余地。
最后说运维层面。认证网关放好位置、配好联动之后，日常维护要有人管：网关的运行状态、认证成功率、日志存储有没有告警，这些要有监控手段。酒店WiFi认证Portal认证跑得稳不稳，一半看方案设计，一半看日常维护。位置放对了，只是第一步。