员工访客各走各网：AC上双SSID分VLAN配置

客户来公司问一句"WiFi 密码多少"，把办公网的密码递出去，等于把内部网络的大门敞开了一条缝。规范做法是发两个无线名（SSID）：员工一个、访客一个，各自独立 VLAN、各自独立权限——访客只能上外网，办公网段碰不到。华为 AC 上这叫双 VAP 配置，下面以员工网 VLAN 10、访客网 VLAN 20 为例走一遍。

第一步，建访客侧的安全与 SSID 模板。 访客网用独立密码，与员工网完全不同：

security-profile name guest-sec
 security wpa2 psk pass-phrase Guest@2026 aes

ssid-profile name guest-ssid
 ssid Guest-WiFi

员工侧模板同理再建一套（emp-sec/emp-ssid），密码强度与认证方式可按内部策略收紧。

第二步，建两个 VAP 模板，各绑各的 VLAN。 VAP 模板决定流量进哪个网段、用哪套模板：

vap-profile name emp-vap
 forward-mode tunnel
 service-vlan vlan-id 10
 ssid-profile emp-ssid
 security-profile emp-sec

vap-profile name guest-vap
 forward-mode tunnel
 service-vlan vlan-id 20
 ssid-profile guest-ssid
 security-profile guest-sec

service-vlan 是分家的关键：员工流量打 VLAN 10 标签，访客流量打 VLAN 20 标签，同一个 AP 的空口上两条网段天然隔离。

第三步，把两个 VAP 下发到 AP。 在 AP 组里按 wlan 编号下发，同一个射频可以同时广播多个 SSID：

ap-group name office
 vap-profile emp-vap wlan 1 radio all
 vap-profile guest-vap wlan 2 radio all

下发后 AP 自动重启射频，两个无线名就会同时出现。

第四步，把访客网"圈"起来。 分 VLAN 只是第一步，访客能不能碰到办公网，取决于上行设备上的策略：核心或防火墙上对 VLAN 20 做访问控制，只放行访问外网、禁止访问 192.168.0.0/16 内网段；DHCP 与 NAT 也按网段分别配置。这一步不做，双 SSID 只是形式分家。

配置完怎么验。 手机分别连两个 SSID，获取到的地址应在各自网段；连访客 WiFi 尝试访问办公网段应被拒绝，访问外网正常；AC 上 display vap ssid 能看到两个 VAP 均为运行状态。

访客网络不是小事——审计要求、泄密追溯都挂在"谁能进网"这一条上。无线规划、准入隔离与出口策略是一套活儿，企业在办公网建设中建议一并落地。贵州诚鑫致达科技为企业做无线网络的整体规划与实施，员工访客分网、准入认证都能按办公场景一次配好，有需要的单位可以按"诚鑫致达 无线组网"了解我们的案例。

（约 950 字）

企业存储选型参考｜贵州诚鑫致达

做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。