为什么无线要做 VLAN 分离
无线网络承载的终端类型差异很大：AP 自身需要管理通道，员工终端要访问内网资源，访客只能上网，摄像头与传感器等物联网设备权限更窄。把这四类流量放在同一广播域里，既放大了地址池与广播压力，也让访问控制无从下手，因此推荐的基线做法是四类 VLAN 分离。
本地转发要注意什么
集中转发时业务流量回到控制器再出去，策略配置相对集中；本地转发时流量由 AP 直接从接入交换机出去，AP 上联端口必须逐一放行对应的 VLAN 标签，漏配就会出现「关联成功但上不了网」。此外地址池规模要按终端数量预留余量，访客与物联网段的终端数常被低估。
基本信息
| AP 管理 | 仅 AP 与控制器互通，不承载业务流量 |
|---|---|
| 员工业务 | 可访问内网资源，需与安全策略联动 |
| 访客 | 仅互联网访问，与内网隔离 |
| IoT | 限制横向访问，按设备类型细化策略 |
| 转发方式 | 集中转发策略集中，本地转发需在接入端口逐一放行 VLAN |
VLAN 划分参考
| 用途 | 典型网段 | 访问策略 |
|---|---|---|
| AP 管理 | 独立管理网段 | 仅 AP 与控制器互通 |
| 员工业务 | 业务网段 | 可访问内网资源 |
| 访客 | 访客网段 | 仅互联网，与内网隔离 |
| IoT | 物联网段 | 限制横向访问，白名单放行 |
落地检查要点
落地检查要点
# 1. VLAN 号全局唯一并登记到网络文档
# 2. 本地转发时在 AP 上联端口放行全部所需 VLAN
# 3. 核对各段 DHCP 地址池规模是否留有余量
# 4. 验证跨段访问策略：员工可访内网、访客与 IoT 受限典型使用场景
- 新装企业无线：确定 VLAN 与地址池规划基线
- 访客网络上线：需与内网做隔离并限制带宽
- IoT 批量接入：单独网段并限制横向访问
- 本地转发排障：关联成功但上不了网时核对 VLAN 放行
- 地址池告警：核对是否因终端数被低估导致地址耗尽
- 等级保护与合规检查：提供网络分区与访问控制依据
VLAN 号建议全局唯一并统一留档，与网络团队共用同一套编号规范。