访客 Wi-Fi 怎么建：从认证、隔离到带宽与日志的完整方案

酒店与企业的访客 Wi-Fi，看着简单，实际上是四件事的组合：谁能上网（认证）、能碰到什么（隔离）、高峰不卡（带宽与连接数）、出事能查（日志）。缺任何一件，访客网都会变成事故源。

一、认证：让上网变成有身份的动作

客人连上 SSID 后，浏览器被重定向到登录页，输账号/收短信/点微信完成认证，通过后才放行。相比直接放行的”免费 WiFi”，认证换来的是三样东西：可追溯（谁在用）、可控（时长与数量可限制）、可运营（能与会员体系打通）。

二、隔离：访客只能出网

访客拿到地址后，所在的 VLAN 只能访问互联网与必要服务，不能访问客房网、办公网、打印网、监控网与后台管理口。隔离要三层做：VLAN 划分（逻辑隔离）、访问控制策略（阻断跨网段）、必要时叠加客户端隔离（AP 内同 SSID 终端互不可见）。只做 VLAN 不做策略，等于留了门。

三、带宽与连接数：高峰不卡的关键

访客网的真实瓶颈常常不是带宽而是连接数：出口网关的 NAT 会话数、DHCP 地址池大小、Portal 服务器的并发认证能力都要按峰值算。建议口径：地址池按同时在线终端数 × 1.5，NAT 会话数按同时在线数 × 20 起算，Portal 认证并发按峰值登录速率的 2–3 倍留余量。晚高峰做一次实测，比任何估算都准。

四、日志：合规与运营都要用

访客上网日志要能回答”几点几分、哪个账号、从哪个 IP/MAC 上了网、用了多久”，且可按时间范围检索与导出。留存期限按当地监管与酒店自身制度确定，系统层面要支持按账号、按 IP、按时间段三种检索，并记录认证成功/失败/下线事件。

五、方案骨架

一份可落地的访客网方案应包含：认证方式与理由、地址与 VLAN 规划、隔离策略清单、带宽与容量测算、认证页与品牌元素、日志字段与留存、异常与降级预案、验收判据。把这张表填满，方案基本就成立了；反过来只写”支持 Portal 认证”这种一句话，评审必然被打回。

三、访客 Wi-Fi 要点

• 认证 → Portal/短信/微信，绑定可追溯。
• 隔离 → 访客与内网 VLAN 隔离，禁互访。
• 带宽 → 限速防蹭网，保障员工。
• 日志 → 留存满足合规，限期可查。

访客 Wi-Fi 的安全底线是隔离：不隔离等于把内网暴露给任意连 WiFi 的人。认证+限速+日志是合规三件套，隔离才是安全本职。