访客在楼里走动换区域，怎么做到不重新认证
想象一下这个场景：访客上午在一楼大堂完成了WiFi认证，打开手机查邮件，一切正常。然后他跟着接待人坐电梯到八楼会议室，准备开上午十点的会。这时候手机信号自动切到了八楼的AP——他的网络连接断了一下，等重新连上，认证页面又弹出来了。访客一脸懵：我刚才不是认证过了吗？怎么又要输手机号？
这就是企业访客WiFi认证在多楼宇、多层覆盖场景下，最容易被投诉的一个细节。访客在楼里走动，AP在切换，他的IP地址可能跟着变，但他不应该为此重新走一遍认证流程。
为什么走动之后会被要求重新认证
要理解这个问题，得先知道认证系统是怎么识别"这台设备已经认证过了"的。访客第一次认证成功时，认证网关会记下这台设备的身份信息——通常是它的MAC地址，再加上它当时拿到的IP，以及这个身份的有效期。之后这台设备发起的任何网络请求，网关都能凭这套对应关系认出它，直接放行，不再弹认证页。
问题出在网络环境变化时。访客从一楼走到八楼，无线AP切了，他的手机拿到的IP地址可能也变了——如果楼宇里不同区域用了不同的地址段。这时候认证网关看到一个"新的IP"，但这个IP背后对应的MAC地址它之前是认识的。如果认证系统的会话保持逻辑够完整，它应该认出这是同一个人、同一台设备，只是换了个位置，不该再要求重新认证。
但有些配置下，认证系统只认"MAC+IP"这一对固定组合。IP一变，它就认不出来了，把这台设备当成新访客，重新弹认证页。这就是访客走动之后要重新认证的根本原因。
漫游会话保持要解决两件事
好的企业访客WiFi认证在漫游场景下，要解决两件互相配合的事。
第一件是会话保持：不管访客在楼里走到哪个AP下、IP怎么变，他的认证身份在有效期内一直有效，不会因为换了位置就被要求重新认证。这要求认证系统把"已认证"这个状态和设备本身绑定，而不是和某一次连接的IP绑定。
第二件是计时连续：访客的账号有效期是从他第一次认证开始算的两小时，不是"从他走到八楼那刻重新算两小时"。有些系统设计不好，每次换AP都重置一下计时，等于访客怎么走动都在变相延长有效期，这对管理是漏洞。正确的做法是不管他怎么走，都从第一次认证那一刻开始倒计时，到期就是到期。
这两件事做到了，访客在楼里走动、开会、从会议室走到茶水间，网络是连续的——不会断、不会弹认证、不会重新算时间。
MAC无感知认证在访客场景的适用边界
熟悉企业认证的人会想到一个技术：MAC无感知认证。员工第一次认证过一次之后，以后再来连WiFi，系统记住他的MAC，自动放行，不用再认证。这套机制在员工场景用得很顺——员工是长期的、固定的人，一台电脑一块网卡。
但访客场景下，MAC无感知要谨慎用。访客本来就是临时的，有效期很短——几小时、一天。如果给访客也开MAC无感知，等于他这次认证过之后，下次再来连WiFi就自动上网了，连手机号都不验证。对短期待一天的访客，这和他"这次有效"的账号逻辑其实是矛盾的。
更合适的做法是把MAC无感知留给员工或者长期驻场人员，访客账号在有效期内保持会话连续就够了——同一次来访，从大堂走到会议室不用重新认证；但隔几天再来，还是要重新走一遍认证流程。这个边界划清楚，既照顾了体验，又不破坏访客身份的临时性。
多楼宇场景要提前测漫游
楼宇间切换的漫游体验，不是靠配置想象出来的，要实测。企业访客WiFi认证上线前，管理员应该带着手机从一楼走到顶楼、从A楼走到B楼，边走边看：每切一次AP，网络会不会断一下、认证页会不会弹、剩余时长会不会重置。这几个点都没问题，漫游才算过关。
实测的时候还要关注几个特定场景：访客在会议室里连视频会议时，AP在相邻AP之间切换会不会造成会议卡顿；访客从室外走进大堂，室外覆盖AP切到室内AP时，认证状态有没有延续。这些细节在办公室里坐着是测不出来的，得真的在楼里走一遍。
让访客把注意力放在会议上，不是网络上
企业访客WiFi认证的漫游体验，考验的是系统对"人在楼里动"这个事实的理解。访客走动是常态，不是例外。认证身份跟着人走、计时不因为位置变化重置、MAC无感知留给长期用户而不是临时访客，这几条做到了，访客从进门到离开全程不会被网络问题打断。
具体漫游时会话保持怎么配、多楼宇的地址段怎么规划、MAC无感知开给谁不开给谁，这些都要结合企业实际的无线覆盖架构来调。不同楼宇之间的无线设备是不是同一家、AP间切换由谁控制，这些现场条件都会影响漫游体验的最终表现，不能脱离实际拓扑去谈"无缝漫游"。