企业无线网络建设中，"是不是只发一个WiFi名称给大家连"是个常见疑问。实际成熟的做法是按业务用途拆分多个SSID，也就是多个网络名称，让不同用途的终端进入不同网络，各自走各自的认证页面和准入策略。员工办公、外来访客、物联设备、需要额外隔离的专用业务，混在同一个网络里看似简单，实则权限交叉、故障难查、风险集中。理解企业WiFi按业务网络拆分的思路，比纠结某个认证参数更有实际意义。
第一张：员工办公网络——服务固定内部人员
员工办公网络面向正式员工，是承载日常邮件、办公系统、协同工具和内网资源的主干网络。它通常采用较规范的命名甚至隐藏方式对外不主动广播，配合统一身份认证（域账号、办公应用账号或规范的本地员工账号）准入，避免外部人员轻易搜到并尝试接入。认证通过后按部门和岗位下发访问范围，长期办公终端可在有效期内叠加无感知机制改善体验。
这张网络的管理重点是人员账号生命周期和终端数量控制：新员工开通、转岗调整权限、离职回收，都要在认证和用户组层面闭环；账号绑定设备数、并发在线数有上限，防止共用扩散。它和访客网络之间要明确隔离，办公网络可达内部业务系统，而访客网络原则上不互通内网。
第二张：访客网络——服务临时外来人员
访客网络面向供应商、面试者、合作方、客户等临时人员，通常对外公开广播，使用门槛低，通过短信验证码、扫码授权或审批生成的临时账号完成准入。它的设计目标是"让客人能上网、但碰不到内部资料"：默认只提供互联网访问，与办公内网、服务器区、物联网络互相隔离；凭据按次数或按有效时段发放，过期自动失效；可按用户限制带宽和在线时长，避免少量访客占用过多出口资源。
访客网络还可以结合前台接待流程：安全要求高的单位采用被访员工扫码一对一授权，明确谁批准、谁使用、能用多久，接入记录可追溯。访客网络的认证页面、提示信息和员工网络完全分开，用户连到哪个名称就进入哪套规则，不会出现访客点进员工认证流程、员工被访客页面挡住的混乱。
第三张：物联与哑终端网络——服务无界面设备
打印机、复印机、IP话机、监控摄像头、门禁控制器、显示屏、环境传感器这类设备没有浏览器和操作界面，不适合走网页认证，应单独划入物联或专用终端网络。管理员预先登记设备，采用白名单、固定凭据或适合无界面终端的准入方式，设备上线后只允许访问它业务必需的后端服务，比如打印机只对打印服务开放、摄像头只回传到指定管理平台。
这张网络最大的价值是安全隔离：物联设备往往补丁更新慢、自身防护弱，一旦和办公网同处一个广播域，被攻破后容易横向移动。独立成网后，即使个别设备异常，影响范围也被限制在物联网络内部。设备台账、位置、负责人和准入状态要配套管理，新增设备先登记、后放行，不让未知设备随意接入。
第四类：专用或隔离业务网络——按合规与用途单独划出
除了前三张基础网络，企业还会根据需要划出专用网络：比如核心研发、财务等敏感区域使用独立网络和更强认证；临时项目、外部驻场人员使用限时协作网络；某些需要严格区分的生产或管理场景单独成网。这类网络不一定固定命名为某一类，但原则一致：用途特殊或风险较高的终端，单独隔离、单独认证、单独授权，不混入通用办公和访客网络。是否需要这一层、划几张，取决于企业实际的岗位分布和数据分级，不必为了凑数强行设置。
多网络并存时的认证与推送策略
拆分SSID之后，认证系统可以针对不同网络名称匹配不同的认证方式、认证页面和放行策略：员工网络走身份认证、访客网络走短信或扫码、物联网络走登记准入、专用网络走强认证和最小授权。推送策略还可以结合位置、时间、用户组等条件细化，比如某张网络在非工作时段收紧开放范围。网络之间的隔离由无线控制器、交换机和访问控制配合实现，认证系统负责"放行谁、给什么策略"，不等于替代网络层隔离。
为什么不建议所有终端共用一张网络
单网混跑的问题集中在三点：权限无法区分，访客和员工在同一网络内容易互相触及；认证策略无法差异化，为了照顾无界面设备可能把整网门槛降低；故障和安全事件定位困难，流量和用户混在一起难以追溯。按业务用途拆网，配合每张网络独立的认证规则和隔离边界，表面上多了几个配置对象，实际换来的是权限清晰、风险收敛、管理可追溯。具体能拆几张、现网设备是否支持多SSID与策略下发，需要结合无线控制器、交换机型号和认证对接能力现场确认后再定方案。