酒店无线Portal认证之后，上网这摊事谁来管
酒店无线Portal认证解决的是"谁在连网、连的时候怎么核验身份"这个问题，认证通过之后，网络放开了，客人开始刷视频、传文件、开视频会议。这时候很多人以为事情就完了——认证做完了，剩下的交给网络自己跑就行。实际上，认证完成只是第一步，认证之后的上网行为怎么管、出口怎么守，是另一摊完全不搭界的活。搞不清楚这两摊活的边界，酒店网络很容易出现"认证做得挺好，上网一团糟"的局面。
先做一个区分：认证管的是入口，行为管控和出口安全管的是通道。客人没认证之前，网络不放行，这是认证的事；客人认证通过之后，他在网上干什么、流量怎么走、哪些访问该拦、哪些该优先保障，这是出口和管控的事。两件事经常被混在一起讨论，其实是不同层面、不同设备在负责。分清这个边界，酒店才不至于把所有的期望都压在认证系统上。
认证过后，还有哪些事需要有人管
认证通过后的网络世界，不是一片净土。酒店作为公共场所，住客来来往往，网络上也难免出现各种情况：有人下载大文件把带宽占满，视频会议卡成幻灯片；有人访问不安全的站点，终端中了招，病毒可能顺着网络扩散；还有人试图用私接的设备绕过管控，偷偷架自己的网络。这些情况，认证系统管不了，或者说不是认证的职责，需要出口层面的设备来承担。
带宽的分配与保障是其中一件。酒店的网络不像家里，带宽是公共资源，住客、前台、收银、监控都要用。认证通过之后，如果不做流量管控，个别客人的大流量下载就能把整条出口挤垮。合理的做法是按人群和用途做带宽分级：客用网限制总带宽、每用户分配合理的带宽，保证每个客人都能正常用；门店自用的业务网络预留带宽、保证高优先级，收银、监控这些关键业务不能被住客的下载挤掉。这些策略是认证之后才生效的，却是酒店网络体验的另一个半边天。
出口的安全，和认证不是一回事
网络安全是另一块容易混淆的领域。认证解决的是"这个人是谁"，出口安全解决的是"进来的流量安不安全、出去的行为规不规范"。酒店的出口设备可以做入侵检测、防病毒过滤、异常流量告警这类防护，把一些明显的攻击和恶意流量挡在外面。要注意的是，这些能力和认证系统的基础能力是两个层面的东西，不能因为认证系统具备相关能力，就把它直接当成一套完整的独立安全设备来宣传。涉及安全防护的承诺，要结合设备型号、部署方式和项目实际情况来谈。
上网行为的管控也要量力而行。酒店需要满足的上网日志留存和审计追溯，是按监管要求落实到具体项目实施范围的，日志留什么、留多久、怎么查，都要按当地监管要求确认。认证系统提供的是审计链路的能力，合规结论不能随便打包票，更不能承诺一些超出系统边界的能力。守住这条线，酒店的合规工作才站得住脚。
两摊活怎么配合，才不打架
认证和出口管控虽然职责不同，但配合起来不是各干各的。认证系统知道每个上网的人是谁，出口设备知道流量在怎么走，两边结合起来，才能实现精细化的管理。比如按认证身份下发不同的带宽和访问策略：住客一个标准，员工一个标准，会议室一个标准；再比如认证记录和上网记录能对应起来，出问题的时候能追溯到具体的人。这种联动做得好，酒店网络的每一个上网者，从身份到行为都是清晰的。
落地的时候，关键还是先勘测清楚现状。酒店的出口设备是什么、具备哪些能力、认证设备怎么接入、两者怎么协同，这些都要在现场确认。不同酒店的底子不一样，有的出口设备功能齐全，只需要把认证接进去；有的出口设备老旧，可能需要评估是否需要调整部署。别把方案设计得想当然，也别指望一套设备包打天下。
还有一类问题值得提前想：员工上网和住客上网的边界。员工在酒店里用网络办公，走的是员工账号还是和客人一样的认证？如果员工和客人共用一个网络，员工的行为也会被记录在住客的日志体系里，边界就模糊了。规范的酒店会给员工单独的网络或账号体系，员工的认证记录、上网日志单独留存，和住客数据分开管理。这样既方便员工日常使用，也让住客日志的合规边界更清晰。
把边界想清楚，网络才不会顾此失彼
酒店无线Portal认证是酒店网络管理的一个重要环节，但它不是全部。认证把入口把住了，出口的安全、带宽的分配、行为的管理，还要靠另一套机制去承担。酒店在规划网络的时候，把这两摊活的边界想清楚——认证归认证，出口管控归出口管控，该联动的地方做好联动——网络才能真正做到既合规、又安全、还流畅。只盯着认证这一件事，网络的另一半就会悄悄漏风。