访客连上WiFi后，是不是所有网址都要先认证
访客连上企业开放的访客SSID后，很多企业的第一反应是"全部流量先拦下来认证"。但实际用起来会发现一个别扭的地方：访客刚连上WiFi，手机自动去加载企业官网、招聘页面，或者前台想让访客直接打开停车缴费页，结果统统被弹到认证页面上。访客还没登录，这些本来就该公开的页面也打不开，体验一下子就卡住了。
企业访客WiFi认证在设计时，第一件要想清楚的事其实不是"怎么拦"，而是"哪些东西不用拦"。这就涉及免认证放行资源和Portal重定向的配合。
什么是免认证放行资源
所谓免认证放行资源，就是访客连上WiFi之后、完成认证之前，系统就允许他直接访问的那一小部分目标地址。这些地址通常是企业本来就对外开放的内容：企业官网首页、招聘投递页、招商介绍页、停车场缴费入口、大堂的导航页面，或者前台公告的几个固定链接。
访客连上WiFi后打开这些地址，认证网关直接放行，不弹认证页。访客如果要访问其他任何网址，比如想刷一下新闻、查一下邮箱，流量才会被引导到认证页面。这样做的好处很直接：访客一进门就能打开企业想让他看到的公开信息，不会因为"什么都没认证所以什么都打不开"而站在前台发愣。
免认证放行不是把整个网络敞开。放行清单是白名单，一条一条配进去的具体域名或地址段，清单之外的所有流量仍然走认证流程。白名单配得越准，访客的"第一脚"越顺；配得太宽，等于把该管的流量也放了。
Portal重定向是怎么把访客引导到认证页的
访客访问白名单之外的网址时，系统怎么知道该把他拦下来？靠的是Portal重定向。访客的手机发出一个HTTP访问请求，这个请求经过认证网关时，网关发现这个终端还没有完成认证，就不把请求转发出去，而是回一个重定向响应，让访客的浏览器自动跳转到认证页面。
整个过程访客几乎是无感的：他打开浏览器想随便上个网，页面闪一下，出现的就是企业定制的认证页。认证页上输手机号收验证码、或者扫个码，几秒钟完成认证，系统记录这个终端的身份和有效期，之后再访问任何地址都直接放行，不再重复弹窗。
这里有个细节要注意：重定向针对的是HTTP访问行为。访客连上WiFi后如果一直不打开浏览器、不发起任何网页请求，他其实不会被"弹"出来。这也是为什么很多企业会在认证页上做引导提示，告诉访客"打开浏览器即可上网"，或者在连接成功的提示信息里写清楚下一步做什么。
放行清单怎么配才合理
免认证放行资源的配置，原则是"只放公开内容，不放内部资源"。
第一类可以放行的，是企业本来就在公网公开的页面。官网、招聘、招商、产品介绍这些，任何人不连企业WiFi也能打开，放行它们不会带来额外风险。第二类是接待现场需要访客立刻能用的轻量服务，比如停车缴费、访客登记入口、大堂导航。这些页面本来就是给外来人员用的，提前放行能减少访客找前台问的次数。
不能放进白名单的，是任何带身份属性的内部系统：OA、邮箱、共享盘、业务后台，哪怕是"看起来很公开"的内网演示环境，也不能免认证放行。这些资源本来就该在认证之后、并且在权限策略允许的范围内才能访问。
还有一类容易被忽略：认证页面本身、验证码接口、短信回调地址，这些必须在免认证清单里，否则访客连认证页都打不开，流程就死在第一步。
认证前后的流量边界怎么保持清楚
免认证放行和认证后放行，是两条不同的通道。免认证阶段，访客只能碰白名单里那几个公开地址；一旦完成认证，系统按这个访客所属的用户组和策略，给他开放对应的上网范围。两条通道切换的依据，就是认证网关里记录的"这个终端当前是否已认证、认证身份是谁、有效期到什么时候"。
实际部署时要验证两件事：一是白名单里的地址，未认证状态下确实能直接打开；二是白名单之外的地址，未认证状态下确实会被引导到认证页，认证通过后确实能正常访问。这两类场景都要拿手机实测过，避免出现"该放的没放、该拦的没拦"。
放行清单不是配完就不动了。企业官网改版、招聘系统换域名、停车场换缴费入口，白名单都要跟着维护。长期不维护的清单，要么慢慢失效，要么悄悄放行掉已经不再公开的地址。
把"第一脚"顺过来，访客体验才立得住
企业访客WiFi认证的体验，往往就卡在连上WiFi后的头十秒钟。这十秒里访客想做的事很具体：打开企业官网看看、扫个码交停车费、连上网准备开会。免认证放行资源解决的就是这十秒——让访客不用先认证就能摸到他本来就该摸到的公开内容；Portal重定向负责把他自然引导到认证页，完成身份登记。
两件事配合好，访客从"连上WiFi"到"正常上网"之间就没有多余的坎。白名单管公开内容的直达，认证流程管身份的登记，各管一段，边界清楚。具体放行哪些地址、重定向到哪个认证页模板，要结合企业自己的接待流程和现网设备能力逐项确认，不是一张通用清单能套所有企业的。