在学校里选WiFi认证方式，永远是在安全和体验之间找平衡点。太严，学生每次连网都要输一遍繁琐的凭证，抱怨声一片；太松，一个账号全校共用，审计和计费都成了摆设。真正成熟的学校WiFi上网认证计费系统，不是把某种认证方式做到极致，而是把多种认证组合好，让不同的场景用不同的手段。

门户认证页是最通用的入口

绝大多数学校的无线认证还是从Portal页面开始。学生连上SSID，浏览器自动跳转到认证页，输入账号密码或者点一键登录。Portal的好处是兼容一切设备，手机、电脑、智能手表都能用，不需要装客户端。缺点是每次重新连都要走一遍流程，体验上略烦。解决思路是让Portal支持记住设备，第一次认证通过后把设备MAC绑定到账号，后续同设备连网自动放行，既保住了安全基线，又大幅减少重复操作。

802.1X适合有运维能力的学校

如果学校信息化办人手足够，更推荐上802.1X。它把认证下沉到网络接入层，用户凭证不经由网页页面，而是由客户端和Radius服务器直接完成，安全性高得多，也不会被中间人伪造Portal钓鱼。但它对终端配置有要求，苹果、安卓、视窗系统的设置路径各不相同，还要推送证书。我们见过一些学校上了802.1X却没做好引导，结果大量学生不会配置，反而天天打电话求助。所以802.1X适合作为教师、办公区的认证方式，学生宿舍区仍可用Portal加设备绑定，分层处理。

短信和微信认证留给访客

家长来访、校外专家来做报告、合作单位来调试设备，这些人没有校园账号，又需要临时上网。这时候短信验证码或者微信扫码授权就派上用场。关键是给访客设明确的时限和带宽上限，比如两小时、限速到普通浏览够用就行，到期自动下线。访客认证和学校WiFi上网认证计费系统的正式账号体系要严格隔离，不能让临时凭证触碰内部资源。很多安全事件就是从一条没设限的访客网络进去的。

无感认证建立在可信设备基础上

体验的终点是无感。所谓无感，不是不要认证，而是认证在后台完成。可穿戴设备、实验室的物联网终端、电子班牌这类没有交互界面的设备，没法输密码，就得靠MAC白名单或者证书预置。这类设备一旦纳入系统，要单独打标、单独限速、单独审计，不能和人的账号混在一起。无感认证的前提是设备可信，凡是没登记的设备一律走严格认证，这条线不能松。

选择时要算清运维账

最后，认证方式的选择不能只看技术先进与否，还要算运维账。Portal最省事但要维护跳转页面；802.1X安全但要培训用户；短信认证要对接运营商通道产生费用；证书认证要建一套签发和吊销流程。学校WiFi上网认证计费系统的认证组合，应该是学校现有运维能力能兜住的那一套，而不是厂商演示里最炫的那一套。先把一套跑顺，再根据实际痛点逐步叠加，比一次性上全套却没人维护要靠谱得多。

不同人群给不同的默认方式

一套认证方式打天下，往往谁都不满意。更务实的做法是按人群设默认：教师办公设备默认走证书认证，学生宿舍和公共区域默认走门户认证加设备绑定，会议室大屏这类固定终端走证书预置。师生第一次连网时系统按角色自动推荐最合适的方式，而不是把所有选项一股脑扔给用户去选。默认选对了，求助电话能少一大半，体验上的提升比堆功能更明显。

定期回看认证数据做调整

认证方式不是定完就一劳永逸。系统跑上几个月，回头看数据会发现真实情况：某种方式的使用率低得离谱，说明引导没做好；某个时段的认证失败率偏高，可能是服务器配置不够。把这些数据当成优化的依据，半年做一次认证策略复盘，该加强引导的加强，该调整超时的调整。学校WiFi上网认证计费系统的认证组合，应该在真实使用里慢慢长成最适合本校的样子，而不是上线即定型。