企业访客Wi-Fi怎么隔离？办公网、来宾网与设备网验收清单

一、先把接入对象分成不同信任范围

企业无线网络通常不只有员工电脑和访客手机，还可能包含打印机、会议屏、摄像头、门禁、智能电视和员工自带设备。它们的管理能力、更新周期和可访问数据不同，不宜因为都需要上网就直接进入同一个局域网。

NIST关于联网设备隔离的说明指出，小型办公室路由器常提供与主网络分开的来宾网络；企业网络通常使用VLAN、路由规则和访问规则实现更细的分段。是否采用哪种设备或协议取决于现有网络，核心目标是不同类别之间只保留必要通信。

二、单独SSID不等于网络已经隔离

两个无线名称可能仍然桥接到同一网段，也可能使用相同的上联网关且没有限制内部访问。因此验收不能只看手机连接的SSID名称，应核对来宾网络获得的地址范围、所属VLAN或逻辑区域、默认网关、DNS和防火墙策略。

NIST CSF 2.0实施示例建议按可信度管理网络，把组织网络与外部网络进行逻辑分段，只允许必要通信。来宾终端在企业控制之外，可以按外部或不受管终端对待；这并不意味着必须阻断一切，而是要让允许与拒绝的流量都有明确依据。

三、访问规则应从业务需要反推

普通访客通常只需要互联网访问，不需要访问办公终端、共享文件、NAS、打印机、摄像头、门禁或路由器管理页面。确有会议投屏、访客打印或演示系统等需求时，应为特定服务设计受限入口，而不是临时把整个办公网开放给来宾。

• 来宾到互联网：只开放实际需要的出站服务，并评估是否设置带宽、连接数或使用时段限制。
• 来宾到企业内网：默认拒绝访问内部地址和管理网段；业务例外写明目标、端口、负责人和停用条件。
• 来宾终端之间：根据会议协作需要决定是否允许互访；普通上网场景可启用客户端隔离。
• 办公网到来宾网：管理和排障访问应限定到授权人员与必要设备，不能依靠公开的无线密码取得管理权。
• 设备网到办公网：打印机、监控或物联网设备只开放必要方向和服务，避免把设备网当作另一个无限制办公网。

四、无线密码与管理账号要分开治理

来宾无线密码可能被多人知晓和转发，它不应同时是路由器、控制器或接入点的管理凭据。网络管理使用独立账号、适用的MFA和受限管理入口；设备默认口令应更换，配置备份和恢复方式由企业掌握。

是否使用固定来宾密码、定期更换、短信认证或访客门户，要结合场景、设备能力和隐私要求决定。认证方式越复杂，企业越要明确收集什么信息、用于什么目的、保留多久和由谁访问，不能为了“看起来安全”过度收集访客信息。

五、用五组现场测试验证真实边界

NIST SP 1800-27的酒店参考实现把已认证来宾主机限制为访问外部互联网，并阻止访问酒店内部基础设施。它是特定场景的参考实现，不是所有企业必须照搬的配置；企业可借用其中“从真实终端验证允许和阻止结果”的方法。

• 基础连通：访客设备可以获取正确地址、解析DNS并访问获准的互联网服务。
• 内部阻断：尝试访问办公网、服务器、NAS、打印机、监控门禁和网络管理地址，应按规则被阻止。
• 终端隔离：两台来宾设备相互发现、访问或投送文件的结果符合设计，不把未测试误写为已隔离。
• 业务例外：会议投屏或访客打印等获批功能只到指定目标，不能借此横向访问其他内部设备。
• 办公回归：员工电脑、企业无线、打印、VPN和关键业务仍然正常，避免隔离规则误伤生产。

六、日志与告警要服务于排障和安全

企业可以记录接入时间、分配地址、设备标识摘要、认证结果和被阻止的异常访问，用于排障、容量管理和安全分析；记录范围和保留期限应按实际需要与适用规则确定。日志中不应直接保存无线管理密码或无关的个人内容。

真正有用的告警包括管理配置被修改、出现新的接入点、来宾网持续扫描内部地址、异常高流量或设备离线。没有人负责查看和处置的告警只会形成噪声，应为每类告警确定接收人和升级方式。

七、网络变化后重新做隔离验收

更换路由器或运营商、增加无线AP、新增门店、接入投屏和打印设备、恢复配置或调整VLAN后，都可能改变原有边界。网络图、SSID、网段、访问规则、管理责任人和测试结果应随变更更新。

最终交付物不应只有一张Wi-Fi密码纸，而应至少包括网络分区说明、允许与拒绝规则、管理权归属、配置备份位置、代表性测试结果和未完事项。无法通过终端测试证明的隔离，不应仅凭配置截图判定为已验收。