无线网络安全：访客与员工网络的隔离

有线网络有墙、有端口、有管理，无线网络却常常一接就是内网。企业无线安全的第一个动作，永远是"把访客网络彻底隔离出去"。

一、无线是边界，不是便利设施

无线信号会溢出到办公区之外——楼下、隔壁、停车场。这意味着任何人在附近都可能尝试连接。如果访客 SSID 和内网在同一网段，就等于把内网门口放在了马路边。

二、网络划分

划分完成后一定要做验证测试：连上访客网络后尝试访问内网服务器，必须完全不通。

三、认证方式分级

1. 员工网络使用企业账号认证（如统一认证或 802.1X）
2. 访客网络使用动态口令或短信验证，避免长期固定密码
3. 物联网设备使用设备级凭证，不使用员工账号
4. 禁用不安全的旧加密方式，只保留具有强加密的协议

四、容易被忽略的三处

• AP 管理地址：默认口令必须修改，管理口单独隔离
• 非法 AP 与热点：员工私接路由器是常见风险，需要定期扫描发现
• 访客设备的接入时长：设置会话时限，避免长期在线

五、定期核查

每季度做一次无线核查：SSID 清单是否与台账一致、访客网络是否仍隔离、认证方式是否有效、有没有未登记的 AP。核查计划写进运维例程，才算把无线真正纳入管理。