访客 Wi-Fi 怎么和办公网隔离，又能都能上网？
客户来谈生意要连 Wi-Fi，访客来了也要上网——但把陌生设备接进办公网，等于把内网钥匙交出去：共享文件夹、打印机、摄像头都暴露在对方设备面前。正确做法是给访客一张「只能出门不能进门」的独立网络。配置思路如下。
问题
访客网络的两个目标看似矛盾实则统一：访客能上外网，但与办公内网完全隔离。判断一台路由器/AC 能不能做好这件事，就看它是否支持「多 SSID + VLAN」或至少「访客网络」功能。
原因分析
- 共用一个 SSID：访客和员工连同一个 Wi-Fi，同一网段，毫无边界。
- 只分 SSID 不隔离：建了访客 Wi-Fi 但没做网段隔离，访客照样能扫到办公设备。
- 访客段没有限速与准入：个别访客设备占满带宽，或接入大量设备拖垮出口。
- Portal/密码形同虚设：密码贴在前台一年不换，前访客长期可连。
分步解决
第一步，建独立访客网段。 有企业级设备（AC+AP 或支持多 VLAN 的路由器）的，建访客 VLAN（如 10.0.60.0/24），访客 SSID 绑定该 VLAN；只有普通家用路由器的，用其自带的「访客网络」功能——它默认就带客户端隔离，聊胜于无，但管理能力有限，有条件尽快升级设备。
第二步，配置隔离规则。 核心一条：访客段到办公段的流量全部拒绝，只放行访客段到外网的流量。在路由器/防火墙上写清楚：源 10.0.60.0/24 目标内网各段=拒绝；源访客段目标外网=允许。开启 AP 的客户端隔离，访客之间也互不可见。
第三步，加认证与限速。 访客认证按场所习惯选：简单密码（定期换）、短信认证或 Portal 页面点击同意；同时给访客段限速（比如合计不超过出口带宽的三成）并限制单设备数，防止拖累办公。
第四步，隔离外部资源之外的服务。 个别场景需要访客访问某台设备（如会议室投屏、打印），不要开放整段，按「白名单主机+指定端口」精确放行，用完可关。
第五步，验证隔离效果。 用一台手机连访客 Wi-Fi 实测：能否 ping 通办公电脑（应不通）、能否打开公司共享（应拒绝）、能否上外网（应正常）。三项符合，隔离才算落地。
预防
- 访客密码纳入月度轮换，或直接用短信认证杜绝长期外泄。
- 每季度复查一次访客段的放行规则，临时白名单到期即删。
- 办公网与访客网的整体隔离设计，贵州诚鑫致达科技可提供方案与实施。
企业存储选型参考｜贵州诚鑫致达
做海量监控接入与长期归档，群晖机型参考：HD6500 · RS3621xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。