教育 · 某省属本科高校（典型场景）
高校出口改造：统一上网认证与宿舍流量治理
高校师生规模大、终端多，晚间宿舍流量挤占教学科研带宽，上网行为难以追溯。通过出口统一认证、分区分时流量管理与域名过滤，实现上网可追溯、带宽可调度。
挑战
- 校园网用户数量大、流动性强，上网行为只能对应到 IP，发生安全事件后难以追溯到人。
- 晚间和周末宿舍区下载、视频流量集中，教学科研业务和校内系统访问体验明显下降。
- 需要对不良信息和恶意网站进行过滤，现有方式依赖人工维护，覆盖不全。
- 实验室、多媒体教室和各类物联网设备大量接入，私接路由器现象普遍，资产底数不清。
方案
- 在校园网出口部署 NGFW One，承担 NAT、路由与流量管理，并以双机热备方式保障出口可用性。
- 启用 Web 上网认证，与学校统一身份认证对接，上网记录与师生账号关联。
- 按宿舍、教学、办公区域和时段配置带宽策略，对下载、视频类应用限速，优先保障教学科研流量。
- 启用域名黑白名单，拦截不良、恶意与钓鱼网站。
- 通过网内设备管理发现私接路由器和异常设备，按设备类型限制访问范围；为学校官网和选课系统开启 WAF 防护。
效果
- 上网行为可以追溯到具体账号，安全事件和投诉处理有据可查。
- 晚间高峰期教学科研与校内系统的访问体验明显改善，宿舍区带宽分配更加均衡。
- 恶意与不良网站访问在出口统一拦截，减少了终端被感染的入口。
- 信息中心对接入设备有了清晰的底数，私接设备可以被发现和处理。
实施要点
- 认证切换选在假期：上网认证上线前做好宣传和账号核对，选在假期或学期初分区域切换，减少对教学的影响。
- 带宽策略先宽后紧：先按区域观察一到两周的流量结构，再确定限速对象和时段，避免一刀切影响正常学习。
- 与统一身份对接：认证账号直接复用学校统一身份，毕业、离职账号自动失效。具体对接方式以产品规格书为准。
出口带宽较高或多校区统一出口的高校，可评估 NGFW One 数据中心版。
用到的产品与功能
本文为典型场景示例，具体部署方案需结合实际网络环境评估。