一个访客账号，能同时给几台设备用
企业访客WiFi认证上线后，行政和IT最常被问到的一个问题是：访客拿到一个上网账号，他自己的手机、笔记本、平板能不能同时都连上？把这个账号发给同行的同事行不行？前台发出去的临时密码，会不会被截图转发到外面去用？
这些问题背后其实是同一件事：一个访客账号，系统允许几台终端同时在线。这件事如果不提前定清楚，后面要么访客体验受影响，要么账号被拿去滥用。
为什么要限制同时在线终端数
访客账号和员工账号有个本质区别：员工账号是长期的、归属明确的，企业愿意给它配比较宽的权限；访客账号是临时的、一次性的，它的价值在于"这一次接待，这个人能用"。如果一个访客账号可以无限台设备同时在线，那它实际上就变成了一个可以被随意扩散的公共密码。
举个最常见的场景：前台给一位来访客户发了一个临时账号。这位客户自己手机连了网，顺手把账号密码发给了楼下等着的同事，又发给了隔壁会议室正在开视频会的另一个人。一个账号瞬间带出三四条连接，企业根本不知道这些连接背后都是谁。等到要查某次异常访问对应的人时，只能查到这个账号，查不到具体是谁在用。
所以企业访客WiFi认证里，同时在线终端数限制是一个基础的安全边界，不是技术细节。它管的是"一个身份一次到底绑几台机器"。
常见的几种控制方式
第一种是按账号直接限制并发终端数。管理员在创建访客账号时设定这个账号最多允许几台设备同时在线，常见的设置是一台或两台——一台手机加一台笔记本，基本覆盖一位访客的日常需求。超过这个数字后，新的连接请求会被拒绝，访客会看到提示，需要自己处理。
第二种是绑定首次认证的终端。账号第一次在某台设备上完成认证后，系统记下这台设备的标识，之后只认这台设备；访客换了设备想用同一个账号，需要重新走认证流程，或者由管理员在后台解绑。这种方式适合"一人一账号一设备"要求比较严的场景。
第三种是用在线用户管理做主动干预。管理员在后台能看到当前有哪些访客账号在线、各自连着几台设备、在线多久了。发现某个账号明显异常——比如一下子挂了五六条连接、或者连接时长远超正常拜访时间——可以直接把它踢下线。踢下线这个动作在认证体系里是一个标准的在线管理手段，不需要去动网络设备本身。
换设备和共享设备怎么处理
限制并发终端数之后，最容易引发抱怨的是"访客换设备怎么办"。比如一位访客上午用手机连了网，下午到会议室要用笔记本开视频会，发现账号只能认一台设备。这种情况要有明确的处理路径，不能让访客自己猜。
比较顺的做法是：访客发现新设备连不上时，认证页或者旁边的提示信息告诉他，需要联系谁处理——要么是接待他的员工，要么是前台/IT值班。授权人在后台把原来那台设备解绑，访客在新设备上重新认证一次就能上网。整个过程留痕：谁解的绑、什么时间解的、解的是哪个账号，后台都有记录。
不建议为了图省事直接把并发数放开到很大。表面上访客方便了，实际上是把"一人一次"的边界拆了。真遇到多位同行访客，更合理的做法是给每一位访客各发一个账号，而不是让一个账号带多台机器。
和临时账号有效期怎么配合
同时在线终端数限制要和访客账号的有效期放在一起看，两件事是配套的。一个访客账号本身就只在这次拜访的时间段内有效，过期自动失效，这是时间维度的边界；同时在线终端数限制，是设备维度的边界。两条边界一起，这个账号才真正做到了"这次、这人、这台或这两台设备"。
只卡时间不卡设备，账号过期前可以被扩散；只卡设备不卡时间，账号会长期挂在某台离开访客的设备上。两个边界都设上，临时访客账号才不会在接待结束后变成一个长期可用的后门。
把"一人一账号一到两台设备"作为默认规则
企业访客WiFi认证对终端并发数的处理，本质是一个管理规则问题，不是技术炫技。默认按一位访客发一个账号、一个账号允许一到两台设备同时在线，就能覆盖绝大多数拜访场景；遇到需要多设备的特殊情况，由接待人或管理员后台解绑、重新认证，过程留痕。
具体设成一台还是两台、要不要做设备绑定、异常时由谁负责解绑，这些要结合企业自己的接待规模和现场流程定。IT部门在规划访客网络时，建议先想清楚企业希望访客账号被扩散的难度有多大，再倒推并发数设成多少，而不是一开始就图省事全开。