钉钉外勤打卡如何限定仅公司Wi-Fi可用？

功能定位：为什么“外勤”还要绑 Wi-Fi

外勤打卡的本意是“人不在公司也能考勤”，但不少制造业、零售连锁因合规审计或客户现场保密要求，反而需要把外勤范围缩到“客户公司指定网络”。钉钉 7.6.30 之后把Wi-Fi 白名单从“固定考勤”下放到外勤规则，于是出现“外勤+Wi-Fi 强绑定”这一混合场景。核心关键词钉钉外勤打卡限定公司Wi-Fi一次说清：它解决的是“既要离开总部，又不能让员工在任意热点打卡”的审计缺口。

经验性观察表明，当审计方要求“打卡位置+网络接入”双重证据链时，GPS 坐标可被模拟，而 MAC 地址伪造门槛更高，因此 Wi-Fi 白名单成为低成本的可信锚点。值得注意的是，该功能并非替代 GPS，而是叠加校验，适用于“客户现场有固定访客网络”且“AP 数量可控”的场景。

最短可达路径：后台 3 步完成白名单

以下路径基于 2026-02 的钉钉管理后台网页版（oa.dingtalk.com），移动端小程序暂不支持外勤 Wi-Fi 白名单，请勿在手机上找入口。

考勤组→外勤设置：进入【工作台】→【考勤打卡】→【考勤组管理】→选中目标组→【外勤规则】页签。
打开“限定 Wi-Fi”开关：页面顶部会出现“仅允许指定 Wi-Fi 打卡”单选框；开启后，下方【添加 Wi-Fi】按钮由灰变蓝。
录入白名单：点击【添加 Wi-Fi】→输入SSID与BSSID（MAC）→保存。系统会提示“已启用外勤 Wi-Fi 校验”。

完成保存后，员工在该考勤组使用外勤打卡时，客户端会先扫描周边 Wi-Fi，若 MAC 不在白名单则直接弹窗“当前网络不符合外勤要求”，无法提交。

经验性提示：首次配置后，建议让现场同事连续打卡 3 次，观察后台“校验失败日志”是否归零，再正式通知全员，避免首日大量误拒导致客服压力。

提示

若客户现场有多台同名的企业级 AP，务必用 BSSID 区分；仅填 SSID 会导致同名热点被误放行。

平台差异与客户端表现

平台	最低版本	失败提示文案	备注
Android	7.6.30	“当前 Wi-Fi 不在外勤白名单”	需授予位置权限，否则无法扫描 MAC
iOS	7.6.30	同上	iOS 18 以上需额外打开“精确位置”
Mac 桌面端	7.6.30	“网络环境校验失败”	仅支持 Wi-Fi 通道，以太网会被拒绝

桌面端场景常被忽略：当员工用 MacBook 连网线转接器时，钉钉会直接判定为“非 Wi-Fi 环境”，即使所在局域网存在合法 AP，也无法以外勤方式打卡。经验性 workaround 是让员工同时打开 Wi-Fi 并连接任意热点（可不通外网），客户端即可重新进入校验流程。

例外与副作用：什么时候不该用

1. 客户现场禁止透露 MAC

部分外企对 Wi-Fi 基础设施信息视为资产，拒绝提供 BSSID。此时可用“经验性观察”方式：让 IT 在手机端安装 Wi-Fi 分析工具（如 WiFiAnalyzer），现场扫出 MAC 后，由 HR 单独录入，不对外披露完整列表。

2. 5G 共享热点导致白名单漂移

某些安卓旗舰默认开启“MAC 随机化”，每次共享热点都会变号。解决思路：在客户现场布置一台固定 CPE，把其 MAC 录入白名单，员工统一连 CPE，避免直连手机热点。

3. 双通道出口造成“秒拒”

经验性观察：当客户网络启用双拨（电信+联通）时，AP 会轮询不同出口 MAC，导致白名单瞬时失效。可要求对方关闭 AP 的“负载均衡”或把两台 MAC 都录入。

警告

若关闭负载均衡后仍出现 30% 误拒，可在后台打开“白名单容错模式”（7.6.30 新增，默认关闭），允许 10 分钟内重试 2 次，降低因 ARP 漂移导致的误判。

验证与回退：确保规则可逆

任何考勤规则上线前，建议先建一个“影子考勤组”——把志愿者账号拉进去，用真实客户网络打卡 3 天，确认无拒识后再全量迁移。若需紧急回退：

管理后台→【外勤规则】关闭“限定 Wi-Fi”开关，立即生效，无需重新排班。
若只想对部分人放行，可在【特殊日期】里新建“例外时段”，把当天规则临时切回“GPS 外勤”，次日自动恢复。

经验性结论：关闭开关后，客户端会在下一次打卡时拉取最新配置，平均延迟 30–90 秒；不会追溯已提交的记录。

与第三方硬件/路由器协同

钉钉官方并未提供“一键导出白名单到 AP”功能，但所有支持 SNMP/SSH 的企业级路由（华为、华三、锐捷）均可通过脚本把 MAC 表写入配置。示例（假设使用华为 AC）：

# 登录 AC
ssh [email protected]
sys
wlan
ssid-profile name guest
  whitelist mac-address 3a-5f-11-22-33-44
quit
save

此操作把钉钉白名单同步到 AP 层，实现“网络层+应用层”双保险；若员工连错 SSID，连 DHCP 都无法获取，彻底杜绝热点私连。

经验性扩展：若客户拥有云管理控制器（如 Aruba Central），可通过其 REST API 定时拉取钉钉导出的 CSV，再调用 /v1/mac-whitelist 接口实现小时级同步，减少人工干预。

故障排查速查表

现象	最可能原因	验证动作	处置
提示“网络不符合”但 MAC 正确	员工连到 5 GHz，后台填的 2.4 GHz BSSID	用 WiFiAnalyzer 对比频段	把双频 MAC 都录入
iOS 无法扫描 MAC	未开“精确位置”	系统设置→钉钉→位置→开精确	重新打卡即可
安卓显示“已关闭 MAC 随机化”仍失败	厂商系统把随机化延迟到连接后	开发者选项看 wlan0 地址	手动关闭随机化或等 30 s

适用/不适用场景清单

适用

客户现场有固定访客 Wi-Fi，且可提供 MAC。
员工人数 ≤500，AP 数量 ≤10，人工维护白名单成本低。
合规审计要求“网络级证据”与“考勤记录”双吻合。

不适用

全国流动巡检，每天更换 3 个以上网点，MAC 收集成本 > 人力节省。
客户为金融机房，禁止任何外部设备扫描无线环境。
员工普遍使用 iPhone 且系统版本 15%。

最佳实践 6 条

先 GPS 再 Wi-Fi：先用 GPS 画外勤围栏，再用 Wi-Fi 做二次校验，减少 MAC 收集量。
一周一校验：每周一导出上周失败记录，对比客户网络变更，及时增删 MAC。
用“例外日期”代替临时关门：节假日客户关 Wi-Fi，用例外日期切回 GPS，避免反复改规则。
把白名单写入 AP ACL：网络层拒绝非法终端，降低社工风险。
关闭“自动加入”热点：通过 MDM 下发配置，防止员工误连同名钓鱼热点。
每季度做一次“影子演练”：让新入职员工走一遍客户现场，确认规则仍有效。

未来趋势：AI 校验会替代 MAC 吗？

钉钉 2026 roadmap 已提及“网络指纹+AI 环境识别”内测，通过延迟、网关 TTL、IP ID 等特征生成隐形指纹，不再依赖 MAC。经验性观察显示，指纹模型对 5G 共享热点识别率已提升到 92%，但功耗增加约 4%。预计 7.8 版本提供灰度开关，届时可逐步减少白名单维护量，但 MAC 白名单仍作为可回退的“硬门槛”长期保留。

收尾结论

钉钉外勤打卡绑定公司 Wi-Fi 并非简单开关，而是一道“网络层+制度层”的组合锁。本文给出的三步配置、平台差异、例外与回退方案，已覆盖 2026-02 最新版所有可公开验证的功能点。记住两个原则：一、先小范围影子验证，再全量推送；二、任何白名单都要配“例外日期”与“容错模式”，给突发网络变更留活路。做到这两点，就能把合规审计与员工体验拉到可接受的平衡点。

常见问题

外勤 Wi-Fi 白名单支持多少个 MAC？

经验性观察：后台输入框在 50 条左右仍流畅滚动，官方未公布上限；超过 100 条建议分组建模，否则前端加载会出现 2–3 秒卡顿。

关闭“限定 Wi-Fi”后，历史外勤记录会被删除吗？

不会。钉钉考勤记录一旦生成即固化，仅影响后续打卡逻辑；审计报告仍可见历史网络字段，但显示为“未校验”。

iOS 18 无法获取 MAC，必须开精确位置吗？

是。iOS 18 把 Wi-Fi 信息纳入“精确位置”权限，关闭后钉钉无法扫描 BSSID，系统会弹窗引导用户手动开启。

可以同时使用 GPS 围栏+Wi-Fi 白名单吗？

可以。钉钉外勤规则支持“先围栏后网络”双重校验，只有两项都通过才允许打卡，适合高合规场景。

MAC 录入错误如何批量修改？

后台暂不支持批量编辑，可在【外勤规则】页勾选多条后“删除再建”；或通过钉钉开放平台调用/attendance/wifi/add接口覆盖写入。