一个场所里，不可能所有人都走同一条认证路径。员工要方便、访客要合规、领导要快，三类人诉求完全不同。WiFi无线认证系统如果只支持一种模式，必然会顾此失彼。怎么让访客模式和实名模式在同一套系统里并存而不互相干扰，是部署时绕不开的一道题。这道题答不好，要么员工天天骂，要么合规留漏洞。

先分清哪些人必须实名、哪些可以轻量

法律上要求实名的是"向公众提供无线接入"的场景，重点在"公众"。内部员工、固定合作方严格说不在"公众"范畴，但很多单位为了统一管理，也会对他们做身份绑定。设计时要先画一张人群图：外部访客必须走实名，内部员工可以走信任通道，临时施工队、外卖员这类流动人员走限时访客。分清楚之后，每种模式对应什么认证方式、什么权限、什么生命周期，才不会一刀切。我们见过一家公司对所有人都强制短信实名，员工每天上班先收验证码，怨气冲天，后来给员工改成工号信任，投诉立刻消失。

实名模式的技术实现要点

访客实名通常走手机号加短信验证码，必要时叠加身份证核验。技术上要保证：验证码和手机号绑定、一次认证对应一条可追溯记录、日志按规定留存。实名模式最怕"假实名"，也就是页面上有个"我已同意"按钮但没真实验证身份，这在监管眼里等于零。我们做实名模式时，会强制要求至少一道能落到真实身份凭证的环节，并且把这个环节的结果写进日志，确保将来能调阅。

访客轻量模式的边界控制

有些场景确实不需要严格实名，比如内部会议给嘉宾开的临时网络。这时可以用"访客码"或者"限时免认证"，但必须有边界：时长限制、带宽限制、访问范围限制。没有边界的轻量模式，等于在防火墙上开了个洞。我们建议任何轻量模式都带一个明确的过期时间，到点自动失效，并且不能访问内网资源。轻量不等于无管控，只是管控力度适配场景。

两种模式如何共用一套前端

用户看到的认证页，最好能根据场景自动分流，而不是让所有人面对同一个复杂页面。常见做法是：连上WiFi后，系统识别终端来源，员工自动走信任通道、访客走实名页。前端可以做一个简单的"我是员工/我是访客"的切换，但默认要落到合规要求更高的那一侧。我们一般不建议把两种模式的入口做得一样显眼，避免访客也去点员工通道钻空子。分流逻辑要在方案里写清楚，不能靠用户自觉。

权限和 VLAN 要跟着模式走

模式不同，上网后的网络位置也应该不同。实名访客进受限VLAN，只能上外网；员工进办公VLAN，能访问内部系统；轻量访客进更受限的隔离区。这三者在交换机上的VLAN划分、防火墙策略都要预先配好，认证系统认证完要能正确下发对应的授权。我们处理过一起事故，访客模式和员工模式认证后都被放到了同一个VLAN，结果访客能扫到内部打印机和共享文件夹，虽然没出大事，但被安全审计列为高危项。模式并存的核心，是权限也要并存且隔离。

生命周期管理别让访客账号堆积

访客模式的账号如果只建不销，日子久了就是一堆僵尸账号，既占资源又藏风险。设计时要给每种模式配自动清理规则：限时访客到期即删、短信实名访客可以保留但长期未登录的定期归档、员工离职从主身份源同步注销。我们见过一个园区，访客账号库里躺着上万个早已离场的记录，没人敢动，最后清理时如履薄冰。生命周期规则上线就配好，比日后大扫除轻松一万倍。

并存不是妥协，是精细化运营

很多人把双模式并存当成"没办法只好都支持"，其实它恰恰体现了运营成熟度。能针对不同类型的人给不同的认证体验和管控力度，既满足合规又不折腾自己人，这才是专业做法。模式设计的好坏，用户不一定说得出，但一定感受得到。把并存做顺了，IT少挨骂，合规过得去，业务部门也满意，属于多赢的那类设计。