访客 Wi-Fi 只准上网不准进内网？防火墙安全区域一道闸
客户来谈生意，先问一句"贵司 Wi-Fi 密码多少"；施工队进场装设备，也连着办公 Wi-Fi 传文件。图方便把密码一给，等于把内网的门钥匙复印了一沓——访客电脑上带什么病毒、会不会顺手翻到共享盘里的报表，谁心里都没底。防火墙的"安全区域"功能就是为这类事准备的：把办公网、访客网、服务器区划成几个圈，圈与圈之间立规矩——访客圈只准出去上网，不准进来串门。
原理一句话讲清
防火墙把接在不同网段的接口归入不同的安全区域，办公电脑划进信任区，访客无线划进访客区，对外的服务器放在非军事区；区域之间默认互不通行，要通就得写一条条策略放行。这跟办公楼分楼层办门禁是一个道理：访客楼层能坐电梯下楼吃饭，但刷不开办公楼层的门。内网那台存报表的服务器，从此对访客"隐形"。
落地四步
-
先把网分开，再谈隔离：访客 Wi-Fi 单独划一个网段（无线控制器或路由器上都能开访客网络），和办公网段不混用。网都没分开，后面全是空谈。
-
接口归区：把访客网段的接口在防火墙归入访客区域，办公网归信任区域，服务器归服务器区域。区域名可以自建，一眼看懂用途即可。
-
写两条核心策略：一条放行——访客区域到外网区域允许上网；一条拒绝——访客区域到信任区域和服务器区域一律拦下。策略按从上到下的顺序匹配，拒绝那条要放在放行的后面兜底。通俗记就是两句话：出去的门敞着，进来的门锁死。
-
留一条受控的窄门（按需）：偶尔真要让访客打印个文件，就为打印机的那个地址单独开一条最小范围的放行，用完即关。别图省事把整段网络放开。
两处提醒
- 加了区域不等于完事：访客设备的准入密码同样要管理，活动用的临时密码活动完就换；有条件的配合无线认证，人机都要登记。
- 策略变更记台账：哪天开了哪条窄门、给谁开的、什么时候关，一行一行记。半年后排查"怎么访客能连到财务打印机"，台账一翻就有答案。
- 内网设备自己也别裸奔：区域闸管住了访客，办公网内部同样要有基本规矩——共享文件夹按部门开权限、重要机器改掉默认密码，别让"进来的人"换成人"传出去的文件"照样敞口。
一道区域闸，把"方便"和"安全"分了家。贵司的防火墙想按部门网段重新划区立规，欢迎搜索关注贵州诚鑫致达科技，从一张区域规划图开始。
企业存储选型参考｜贵州诚鑫致达
做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西藏·拉萨企业数据存储与备份容灾，支持远程与驻场。
