访客网络的三件事
访客网络设计围绕三件事：隔离、易用、可审计。隔离要求访客流量走独立 VLAN 且禁止访问内网；易用要求准入流程简单（Portal、短信或临时码）；可审计要求实名信息与上网日志可留存。三者缺任何一个都会留隐患：隔离缺失等于把内网门打开，易用性差会催生私下共享员工口令，审计缺失则在合规检查时无法交代。
基本信息
| 隔离 | 访客 VLAN + 客户端隔离 + 内网禁访 |
|---|---|
| 准入 | Portal 认证（短信、微信或临时码） |
| 审计 | 实名信息与上网日志留存 |
| 限速 | 单终端下行 10~20Mbps 起，网段设出口上限 |
| 原则 | 不复用员工 SSID 与 VLAN |
典型使用场景
- 办公楼访客区建设独立的访客无线网络
- 合规检查要求说明访客上网的实名与日志机制
- 访客抱怨上网流程麻烦，需要简化准入
- 访客网络被用于下载，需要限速保护出口带宽
- 排查访客能否访问内网资源的策略漏洞
限速建议
限速建议
# 单终端：下行 10~20Mbps 起，按业务实际调整
# 网段整体：在出口为访客 VLAN 设置带宽上限
# 会话数：限制单终端并发连接数，防 P2P 拖垮出口
# 策略：访客 VLAN 到内网网段默认拒绝，只放行必要服务三要素落地
| 要素 | 落地配置 | 缺失后果 |
|---|---|---|
| 隔离 | 独立 VLAN + 内网 ACL 拒绝 | 访客可访问内网资源 |
| 准入 | Portal 或授权码 | 无门槛接入，责任无法追溯 |
| 审计 | 实名登记 + 日志留存 | 合规检查无法交代 |
| 限速 | 单终端与网段双层限速 | 访客挤占员工带宽 |
访客网络不要复用员工 SSID 与 VLAN：一旦复用，权限边界就模糊了，后续排查也说不清谁在哪个网段。
无线的客户端隔离能阻止访客终端互相访问，是访客网络的基础配置；但它只是二层隔离，仍需要配合三层 ACL 才能真正挡住内网。
Portal 认证信息与上网日志的留存要符合当地合规要求：策略定型前先咨询法务或合规部门，不要先上线再补。