无线为什么是薄弱入口
无线网络是边界防护上最常被忽略的一段：访客 Wi-Fi 与办公网未隔离、AP 管理页面使用默认口令、WPS 保持开启，都会绕过在有线上做的安全设计。治理要点是网络分离、认证、管理面隔离、物理防护与定期巡检五件事，其中访客网络的验证标准非常直接——连上后访问内网系统应该全部不可达。
基本信息
| 治理要点 | 网络分离、认证、管理面隔离、物理防护、巡检监控 |
|---|---|
| 网络分离 | 访客 SSID 独立 VLAN，仅互联网出口，禁止访问内网 |
| 认证方式 | 企业级 802.1X 或强 PSK 并定期轮换 |
| 管理面 | AP 与控制器管理页面隔离，默认口令必改，固件跟进 |
| 物理要求 | AP 安装位置防拆，关闭 WPS |
| 巡检节奏 | 季度巡检非法 AP 与钓鱼 SSID |
| 自带设备 | BYOD 走独立 SSID 与准入策略 |
治理项与验证方式
| 治理项 | 做法 | 验证方式 |
|---|---|---|
| 访客网络隔离 | 独立 VLAN 与 ACL 策略 | 从访客网络实测访问内网资源应失败 |
| 认证方式 | 802.1X 或强 PSK 轮换 | 抓包不应出现明文凭据 |
| AP 管理面 | 管理地址独立网段 | 从业务网段访问管理页面应被拒 |
| 固件与口令 | 跟进厂商公告，改默认口令 | 盘点 AP 清单核对版本 |
| WPS 与物理 | 关闭 WPS，安装位置防拆 | 现场检查安装方式 |
| 非法 AP 巡检 | 季度扫描周边 SSID | 输出可疑热点清单并跟进 |
治理要点
治理要点
1. 网络分离：访客 SSID 独立 VLAN，仅互联网出口，禁止访问内网
2. 认证：企业级 802.1X/EAP 或强 PSK 并定期轮换
3. 管理面：AP 与控制器管理页面隔离，默认口令必改，固件跟进
4. 物理：AP 安装位置防拆，关闭 WPS
5. 监控：季度巡检非法 AP 与钓鱼 SSID
6. 访客网络限速与上网行为策略，避免成为攻击跳板典型使用场景
- 办公网络访问控制方案的设计评审
- 访客网络上线后的隔离验证
- AP 与无线控制器资产盘点
- 无线安全季度巡检
- 园区改造时的无线方案评估
- 审计举证：隔离策略与巡检记录
访客网络的验证标准很直接：连上后尝试访问内网系统，全部不可达才算隔离成功。只配了 VLAN 不代表 ACL 生效。
访客 Wi-Fi 与办公网处于同一网段时，外部人员设备可以直接访问内部服务，无线就成了绕开边界防护的稳定通道。