企业全光网内外网隔离：SSID+VLAN怎么让访客碰不到内网数据

客户来开会、外包来调试设备、合作伙伴驻场办公，给他们一个Wi-Fi密码几乎是每家企业的日常操作。麻烦的是，很多人图省事，直接把访客和员工塞进同一个Wi-Fi、同一个网段——"反正都能上网"。这个"反正"背后藏着真问题：访客的手机、笔记本一旦连进来，和员工的办公电脑就处在同一张二层网络里，能扫到内网共享、打印机，甚至没设防的内部系统入口。更麻烦的是，访客终端若带着木马或勒索病毒，会顺着同网段直接横移到内网设备。这篇就从"给访客同一个Wi-Fi"的隐患讲起，说清隔离缺失会带来的后果，再给出一套用 SSID+VLAN 在逻辑上把访客"关"在公网侧的落地做法。

一、为什么"给访客同一个Wi-Fi"本身就是隐患

同网段互访几乎没有门槛：员工办公VLAN、文件共享、内部系统往往和Wi-Fi处在同一广播域。访客连上后，等于直接站在了内网大门里，网络邻居里能看到的可不只是自己的设备。

病毒横向移动有了跳板：访客终端感染木马或勒索程序后，由于和办公网在同一二层，它可以主动扫描并攻击内网其他设备，把单个终端的中招放大成整网事件，爆炸半径很难控制。

出事之后追不到人：没有实名、没有隔离记录，谁（哪台设备、哪个人）访问过什么、从哪个入口进来的，事后说不清楚。等安全事件真发生了，追责和整改都被动。

二、隔离不到位，后果远不止"蹭个网"

内网数据被窥探或外泄：共享文档、财务系统入口、研发资料一旦落在访客可达范围内，误碰和恶意抓取都难以防范，敏感信息暴露面被不必要地放大。

一次带毒，整网跟着遭殃：访客终端上的勒索程序若能在内网横向传播，可能波及办公电脑、服务器甚至备份节点，业务中断的恢复成本远高于事先做一道隔离。

审计与追责两头落空：缺少Portal实名和访问隔离，发生泄露或违规访问时，无法定位到具体访客设备与人员，合规检查也拿不出清晰的日志链条。

三、智慧光迅（AINOPOL）内外网隔离：SSID+VLAN怎么落地

这套方案的核心不是"再拉一条独立宽带给访客"，而是一张全光网里划分多个逻辑域——访客走独立SSID、落到独立VLAN，从二层就和内网隔开：能上外网，但碰不到内网数据。下面按分层讲具体做法。

融合网关划分VLAN逻辑边界：方案采用梦想系列等融合网关（如 M1 梦想网关），支持在一台设备上划分多个VLAN，将网络按角色拆分为员工VLAN、访客VLAN、安防VLAN、IoT（物联网）VLAN等。每个VLAN是独立的广播域，彼此之间默认不广播、不互通，从网络根基上把"内网"和"外来"分开。

Wi-Fi多SSID绑定不同VLAN：吸顶式AP广播两个（或多个）SSID——员工SSID绑定员工VLAN，访客SSID绑定访客VLAN。终端连上哪个SSID，就自动被分配到对应的VLAN，不需要手动改IP或做复杂配置。员工走员工网、访客走访客网，连入瞬间就分好了道。

访客VLAN用三层ACL限制只出公网：在融合网关上对访客VLAN配置访问控制策略：允许访问互联网出口，但禁止它主动访问内网各VLAN的网段（员工、安防、IoT等）。这样访客能正常刷网页、收发邮件，却无法探测或连入内网业务系统，实现"能上外网、碰不到内网"。

Portal实名认证＋日志溯源：访客连接访客SSID后弹出认证页面，通过手机号验证码或小程序扫码授权完成实名登记，设备与人员身份绑定。上网行为在网关侧全量记录，满足公安部151号令对日志留存不少于6个月的要求。万一发生安全事件，能定位到具体访客设备与时段，而不是一团糊涂账。

访客VLAN带宽限速，保住员工体验：对访客VLAN设置带宽上限与优先级，避免访客大流量下载挤占办公业务带宽。员工的核心业务（视频会议、ERP、文件传输）始终优先，访客网速被约束在合理范围内，互不影响。

EAAS云平台统一可视与异常定位：所有VLAN、SSID和在线终端在EAAS云管平台以一张拓扑图呈现。当访客VLAN内出现异常的横向扫描、暴力连接等行为时，运维人员能在云端快速识别并隔离该终端，不必到现场逐台排查。多分支、多厂区也可在同一平台集中管理。

四、落地时容易被忽略的几个要点

哑终端别混进访客网：。摄像头、门禁、IP话机等哑终端设备应独立划分VLAN，并配合802.1X认证、MAC地址绑定或ONU端口绑定纳入白名单，不与访客混放。否则访客网可能反过来被当成跳板去够这些设备。

老网改造可以利旧：对于已有综合布线的园区，可保留原有铜缆点位作为补充，在新增或调整区域按全光＋VLAN隔离部署；也可由融合网关兼容原有以太网，分批次切换，业务过程不中断。具体利旧范围由现场勘测后确定。

隔离策略集中配置：VLAN划分、Portal认证、带宽限速等规则在融合网关一处配置、全网生效，不需要逐台AP或交换机单独维护，降低配置不一致带来的疏漏。

五、和"给访客单独拉一条宽带"相比，差别在哪

成本更轻：不必为访客单独申请一条宽带、再买一台独立路由器，而是复用同一张全光网，靠逻辑隔离区分内外。省下的不仅是带宽月租，还有独立设备的采购与维保。

管理更省：两张物理网络意味着两套运维、两套故障排查。统一在网关和云平台管理后，VLAN、SSID、认证、限速都在一个界面里完成，运维视角是单一的。

合规可追溯：访客Portal实名＋日志留存一体完成，比"开放一个无认证Wi-Fi任人连"在出事时更有据可查，也更符合公共场所与企业网络日志管理的要求。

智慧光迅（AINOPOL）托SSID+VLAN逻辑隔离方案，无需额外搭建物理网络，就能高效实现访客网络与企业内网的隔断，从网络底层规避了访客入网带来的数据泄露、病毒横移风险，同时兼顾网络体验、合规溯源与低成本运维，完美解决企业访客组网的安全痛点，为企业内网筑牢便捷又可靠的安全防线。

FAQ

问：访客终端带毒，会不会传染到内网？

答：因为访客与内网处在不同VLAN、不同广播域，且跨VLAN流量被ACL限制，即使访客终端带毒，也很难直接横移到内网设备，风险被有效收敛。但这并不意味着可以放弃终端侧防护——逻辑隔离降低了爆炸半径，终端自身的反病毒与系统更新仍是基础。两者配合，整体抗风险能力才更完整。

问：Portal认证会不会让访客觉得麻烦？

答：现代Portal流程已经比较轻量：连上访客SSID后弹出认证页，输入手机号获取验证码或扫码小程序授权即可，一次认证后在有效期内无需重复操作。对于每日频繁进出的常驻人员，还可将其设备加入MAC白名单实现无感知联网；临时访客每次走实名流程，兼顾体验与合规。

问：访客上网日志要保留多久？

答：公安部151号令要求上网日志留存不少于6个月。建议结合当地公安机关的具体要求和企业自身风控策略确定留存周期，部分场景可能需要更长。云端日志存储容量应根据访客规模、带宽流量和留存周期做容量规划，避免后期因空间不足被迫缩短留存。