访客隔离要解决什么
访客网络的边界目标是「能上网、进不了内网、也看不到彼此」。三者缺一不可：只做独立 VLAN 只是把地址段分开，同一访客段内的终端仍可互相扫描甚至互相攻击；只做客户端隔离而不做出口策略，访客照样能访问内网服务器。所以 VLAN、二层隔离与出口策略必须一起配置，任何一环缺失都会留下缺口。
基本信息
| 网络层 | 独立 VLAN 与子网，与办公网地址完全分开 |
|---|---|
| 二层隔离 | 客户端之间不可互访，由 AP 或控制器提供隔离功能 |
| 出口策略 | 仅放行 DNS、DHCP 与上网流量，禁止访问内网网段 |
| 资源规划 | 访客网络单独规划 DHCP 与 DNS，避免挤占办公地址池 |
| 例外管理 | 投屏、打印等本地互访需求用白名单方式定向放通 |
| 审计留存 | 按当地与行业要求决定是否记录日志或做实名认证 |
设计检查清单
- 独立 VLAN 与子网：地址段、DHCP、DNS 与办公网完全分开，避免地址池互相挤占
- 客户端隔离：在 SSID 或控制器上启用，确保访客终端之间互不可见
- 出口策略：只放行必要流量，明确禁掉内网网段与内部服务
- 带宽与并发限制：给访客单独设定上下行限速与终端数上限，保护办公业务
- 审计与留存：按当地与行业要求决定是否记录日志或实施实名认证
- 例外管理：本地互访需求做成白名单定向放通，而不是整体关闭隔离
三个层面的作用与常见疏漏
| 层面 | 作用 | 常见疏漏 |
|---|---|---|
| 独立 VLAN | 与内网地址分离 | 只做 VLAN 不做隔离，访客之间仍可互扫 |
| 客户端隔离 | 访客终端互不可见 | 忘记为投屏等需求做例外 |
| 出口策略 | 阻断访问内网 | 规则写反或漏放行 DNS，导致访客上不了网 |
| 限速与配额 | 保护办公业务带宽 | 不做限制，访客下载拖垮出口 |
| 审计留存 | 满足可追溯要求 | 日志未保留或保留时长不足 |
部署与验证顺序
部署与验证顺序
# 部署顺序
# 1) 独立 SSID 绑定访客 VLAN
# 2) 开启客户端隔离（Client Isolation）
# 3) 防火墙禁止访客网段访问内网网段
# 4) 单独配置访客的 DHCP 与 DNS，并设定限速
# 验证：从访客终端访问相邻访客终端与内网服务器，两个方向都应失败投屏、打印机等本地互访需求要与隔离策略权衡，可用白名单设备的方式定向放通，而不是把整个隔离关掉。安全设计与使用便利之间应该是可度量的取舍，不是二选一。
访客网络要单独规划 DHCP 与 DNS 资源，避免挤占办公地址池。访客终端数量波动大，是地址池被耗尽的高频来源。