在学校里，老师上网是不花钱的——办公需要，这是天经地义。但"老师免费"这件事如果管不好，就会变成一个漏洞：学生知道某个老师的账号密码，或者老师的账号在实验室被多人共用，免费的教师账号就变成了学生绕过宿舍套餐的后门。学校网络计费系统在设计时，必须把教职工免费账号和学生付费账号这两条线清清楚楚地分开，既要让老师用得方便，又不能让这个免费通道被滥用。
教师账号为什么不能简单"放开"
老师上网免费，不代表老师的账号可以随便用。教师账号背后可能连着校内敏感资源——科研数据库、内部办公系统、阅卷系统、研究生成绩查询。如果教师账号被学生盗用了，学生不只是免费上了网，他还可能借着教师权限看到不该看的东西。这比单纯少收一份网费严重多了。
反过来，如果教师账号管得太死，老师体验也很差。一个老师在办公室电脑上配了MAC绑定，结果他换了台笔记本、或者带着自己的iPad来开会，突然就上不了网了，他会觉得这个系统难用。平衡"方便老师用"和"防止被冒用"，是教师账号策略设计的核心。
教师账号的几个边界
第一，教师账号按部门或者办公室做IP/MAC绑定。每个老师固定在自己的工位或者办公室上网，系统识别到这个IP或者MAC来自教师办公区，就直接放行不收费。老师换了位置——比如从三教搬到五教，管理员在后台改一下绑定就行，不需要老师自己操作。
第二，教师账号同时在线终端数要有限制。老师一个人通常就一两台设备（办公电脑加手机），系统把教师组的同时在线终端数设成两台，超过就告警。如果发现某个教师账号同时在线七八台设备，基本可以判定是这个账号被实验室或者办公室多人共用了。这时候系统可以先弹个告警给管理员，不要直接把老师踢下线——老师在上课或者写论文，被突然断网影响不好。
第三，教师账号访问校内资源和访问外网要有区别。教师办公网访问校内OA、教务系统、科研数据库是默认放行的；访问外网时虽然不收费，但还是要走完整的认证和日志留存流程，不能因为是老师就跳过日志记录。万一出了网络安全事件，教师的上网记录同样要能查到。
第四，教师账号的密码策略不能松。学生账号好歹要强制改初始密码，教师账号如果还是用工号当密码、或者几年不改一次，被盗的风险更高。系统应该和学校统一身份认证对接，教师密码由统一身份认证系统管理，复杂度要求、定期改密要求都按学校统一的策略走。
学生怎么会"钻"教师账号的空子
学生想免费用网，最常见的几种方式：一是借老师的账号密码——研究生和导师共用办公室，导师的账号学生知道不奇怪；二是实验室的公共电脑用教师账号登录后不退出，后面来的学生接着用；三是老师自己图方便，把账号密码告诉几个相熟的学生，让他们帮着下文献。
这些行为如果不被发现，一个教师账号可能同时养着五六个学生上网。学校算下来，一个学期少收的宿舍套餐费不是小数目。更重要的是，这些学生的上网行为挂在教师名下，真出了问题追溯不到实际操作的人。
防这个不能靠"查老师"，那样会让老师觉得学校不信任他。比较温和的做法是技术上自动识别异常：某个教师账号平时在线两台设备，突然有一天变成六台，系统自动告警但不强制处理；管理员拿到告警后私下问一下老师是不是办公室真的加了人，必要时给那个办公室单独开一个公共组账号。这样既保护了老师的面子，又堵住了漏洞。
几个特殊群体怎么处理
学校里除了正式教师，还有几类人需要单独归类。博士后、访问学者、外聘老师，他们不是学生但也不一定是正式编制，网络权限怎么算？比较合理的做法是把他们放在一个"教职工"组但权限略低于正式教师——免费上网但绑设备、访问校内资源和教师一样、不能改任何系统配置。
后勤外包人员——食堂阿姨、保安、保洁，他们工作时要用校园网打卡、看通知。这些人不应该用学生账号体系，也不应该有教师权限。学校网络计费系统里最好单独开一个"后勤人员"组，由后勤管理部门自己维护名单，网络中心不介入每次人员变动。
校企合作的企业人员长期驻校做项目的，他们的网络需求又是另一类。这些人通常需要访问特定的实验室网络，但不应该有教师级别的校内资源权限。给他们一个单独的访客扩展账号，设好有效期和权限范围，项目结束自动失效。
把这些群体分开管理，学校网络计费系统里至少要有学生、教师、后勤、长期访客这四个用户组，每个组有自己的认证方式、设备绑定规则、访问权限和计费策略。不要所有人都塞在一个组里靠备注区分，那样管久了一定乱。
教师免费是给老师办公用的，不是给学生当后门用的。把边界划清楚、把异常自动识别做起来、把特殊群体单独分组，学校网络计费系统既能让老师用得顺，又不会变成漏钱的窟窿。