故障排查与解决
故障现象 / 场景
客人可以扫到办公网共享、能访问前台与财务的电脑；PMS、门锁等业务系统与客房同网段，存在被随意访问的风险，且广播流量大导致网络时快时慢。
排查思路（由易到难）
- 先盘点需要分隔的业务：客房/访客、办公、PMS 与门锁等业务系统、IPTV、监控、客控、设备管理；
- 按业务划分 VLAN 与网段，确认每个网段的三层网关位置（核心交换机或防火墙/网关）；
- 梳理互访需求，默认全部拒绝，只放行必要的「源—目的—端口」组合；
- 确认 DHCP 是否按 VLAN 分别下发地址池与 DNS，避免跨网段拿到错误网关；
- 检查无线侧：AP 的管理地址、业务 SSID、访客 SSID 是否分别落到对应 VLAN（同一 AP 多 SSID 需正确映射）。
解决方案
1) 客房与访客单独 VLAN，只允许访问互联网，禁止访问内网业务系统与管理地址。 2) 办公 VLAN 与业务系统 VLAN 之间按需放行（如前台到 PMS 的指定端口），其余拒绝。 3) 网络设备、AP、IPTV 前端、客控主机等管理地址单独划入管理 VLAN，仅运维终端可访问。 4) 在核心或网关上配置 VLAN 间 ACL，遵循「默认拒绝、按需放行」。 5) 关闭接入端口的动态协商（禁用 DTP），并把客房端口设为边缘端口，防止客人私接交换机形成环路。
适配型号支持 802.1Q VLAN 的接入/汇聚/核心交换机与无线 AC（华为、锐捷、H3C 等）
根因总结
酒店网络最初往往「一个网段用到底」，随着业务增加，广播域越来越大、权限边界消失。VLAN 隔离的本质是把广播域与信任域同时切小，安全性提升与性能稳定是同一件事的两面。
延伸知识
IPTV 组播、客控广播类协议对广播域敏感，隔离后常常「顺带」解决了卡顿和时延问题；监控与门禁同理，单独 VLAN 后录像调阅速度更稳定。
避坑要点
不要只在 SSID 上区分而忽略 VLAN 落地：AP 的上联口若不允许多个 VLAN 通过，SSID 隔离只是错觉。也不要为了方便把所有网段互相放行，那等于没隔离。
建议的最小隔离集合
| 域 |
内容 |
访问策略 |
| 客房 / 访客 |
住客终端、访客终端 |
仅互联网 |
| 办公 |
前台、财务、销售终端 |
按需访问业务系统 |
| 业务系统 |
PMS、门锁、客控、能耗 |
仅接受指定来源 |
| 音视频 |
IPTV 前端与机顶盒 |
组播域独立 |
| 安防 |
摄像机、门禁、报警 |
仅 NVR 与检索终端可访问 |
| 管理 |
交换机、AP、服务器带外 |
仅运维终端可访问 |
落地三个要点
- 三层网关放在哪：核心交换机做 VLAN 间路由最简单，但 ACL 能力较弱；需要更细的策略时由防火墙/网关承担。
- 无线侧要一起规划：一个 AP 承载多个 SSID 时，上联口必须是 Trunk 并放行对应 VLAN，否则隔离只停留在 SSID 名称上。
- 默认拒绝：先把互访关掉，再一条条放行并留档，比「先全通再收紧」容易得多。
顺带解决的性能问题
客房与 IPTV、监控混在同一广播域时，组播与广播会显著抬高接入层负载。隔离后，很多「时快时慢」的投诉会自然消失。
图片素材来自免费商用图库（pixabay，摄影师 burakyamanlica），非本站项目实拍。
本文由 58120 智能网络 原创发布。转载请注明出处并保留原文链接。
评论 0
还没有评论，来抢沙发吧。