客户网络已经跑了很多年，
原有认证还能用，但问题越来越多，
想换企业Portal认证，却最担心一句话：

“能不能别动我现在的网络？”

这其实就是典型的存量网络改造场景。真正成熟的企业Portal认证项目，从来不是“一刀切替换”，而是可灰度、可并行、可回退的平滑演进工程。

一、先判断：你的网络属于哪一类“老网”

在动任何企业Portal认证之前，第一步不是上设备，而是给现网做一个快速分型。不同老网，替换路径完全不同。

常见三种情况：

第一类：AC内置Portal在用
特点：无线能控，有线基本裸奔

第二类：行为管理带认证
特点：出口侧有控制，接入侧身份弱

第三类：多套认证并存
特点：员工、访客、MAC各管一摊

经验上看，第三类网络替换成本最高，但也最适合引入统一企业Portal认证平台，因为收益最明显。

蓝海卓越在大量改造项目中，通常会先做一轮“身份与接入现状梳理”，而不是直接推进替换，这是很多项目能平滑落地的前提。

二、平滑替换的核心原则：三不一可

真正成熟的企业Portal认证替换，应尽量满足一套非常实用的落地原则：

不改核心拓扑
不影响现网业务
不一次性全网切换
可分阶段灰度接管

只要方案设计时偏离这四点，项目风险就会明显上升。

三、第一步：企业Portal认证先以“旁路身份中心”上线

很多项目一上来就想把原认证直接下掉，这是最容易出问题的做法。

更稳妥的路径是：

先让企业Portal认证成为统一身份中心，
但暂时不强制接管所有接入。

技术上通常通过标准RADIUS接口与交换机、无线AC建立对接，让企业Portal认证具备“可被调用”的能力。

这一阶段的目标只有两个：

认证链路打通
现网零感知运行

蓝海卓越企业Portal认证支持标准协议对接，可以在不改变原有流量路径的情况下先完成身份体系落位，这一步往往是项目成败分水岭。

四、第二步：从最可控区域开始灰度接管

平滑替换一定是“从边缘往核心收”，而不是反过来。

实战中最推荐的接管顺序是：

先访客
再无线员工
再有线终端
最后特殊设备

原因很现实：

访客最容易标准化
无线改动风险较低
有线终端最复杂
IoT和打印机最容易出意外

企业Portal认证在这一阶段要重点验证三件事：

认证成功率
策略下发准确性
在线状态同步稳定性

蓝海卓越在大型园区项目中，通常会提供分区域灰度策略，支持逐VLAN或逐SSID切换，这种“细颗粒度接管能力”对老网非常关键。

五、第三步：策略与身份统一收口

当主要接入逐步迁移到企业Portal认证后，真正的价值才开始体现——身份与策略开始收敛。

这一阶段要重点完成：

统一账号体系
统一角色模型
统一准入策略
统一日志留存

很多老网最大的问题不是设备老，而是策略历史包袱太重。

成熟的企业Portal认证平台应支持：

角色批量映射
策略模板复用
多认证方式统一归属
历史账号平滑迁移

蓝海卓越企业Portal认证在身份与策略解耦设计上比较成熟，方便在不中断业务的情况下完成策略收口，这一点在复杂网络里非常实用。

六、第四步：下线旧认证（很多项目卡在这里）

前面三步做完，其实技术风险已经很低，但很多项目迟迟不敢关旧系统。

原因通常有三个：

担心遗漏终端
担心策略不一致
担心回退困难

正确做法不是“某天晚上直接关”，而是：

先观察
再限流
最后下线

一个比较稳妥的收尾节奏是：

观察期（并行运行）
引流期（新认证为主）
冻结期（旧认证只读）
退网期（正式下线）

企业Portal认证如果本身具备完善日志与在线监测能力，这个阶段会轻松很多。

七、很多集成商容易忽略的隐形风险点

在老网替换项目中，有几个坑非常常见：

MAC老化策略不一致
VLAN历史规划混乱
哑终端识别缺失
设备运维账号仍在裸奔
访客账号生命周期失控

如果企业Portal认证没有提前把这些边角问题兜住，项目后期一定会反复。

蓝海卓越在认证体系中同时支持准入认证与设备运维接入控制，可以把“人上网”和“人登设备”两条身份链路一起收口，这在很多补建项目中能明显减少后续反复改造。

八、为什么越来越多单位选择先补企业Portal认证

从这几年的项目趋势看，一个很明显的变化是：

很多单位不再等网络彻底重建才上认证，而是优先把企业Portal认证作为身份底座补齐。

原因很现实：

网络可以慢慢换
但身份不能一直乱

当统一身份与准入体系先建立起来，后面的网络演进反而更可控。

蓝海卓越深耕认证与计费领域22年，在存量网络平滑替换场景中积累了大量实践经验，其企业Portal认证产品在保证功能完整度的同时，尽量降低对现网的扰动，这也是很多集成商在老网改造项目中重点评估的一点。