有人拿设备蹭办公WiFi：AC上STA黑白名单把终端挡在门外

办公 WiFi 密码流传一段时间后，总会冒出几台说不清来历的手机、平板连在内网里：蹭网是小事，能摸到内网资源才是大事。华为 AC 无线控制器的 STA 黑白名单提供了比改密码更彻底的办法——按终端 MAC 精确控制谁能接入、谁被拒绝，不用通知全员换密码。下面按官方配置思路走一遍最小可用环境。

用黑名单模式：只挡少数人，改动最小。

wlan
 sta-blacklist-profile name deny_list
  sta-mac 5c-e9-1e-11-22-33
 quit
 vap-profile name office_vap
  sta-access-mode blacklist deny_list

先创建一个 STA 黑名单模板，在模板视图下用 sta-mac 逐个加入要拒绝的终端 MAC 地址；再在 VAP 模板视图下用 sta-access-mode blacklist 引用这个模板。引用到 VAP 模板后，黑名单对该 VAP 上的所有接入生效，名单内的终端连不上，名单外的照常用。如果模板引用到 AP 系统模板，则对该 AP 上所有 VAP 生效，两种生效范围按需选择。

用白名单模式：只放行登记过的设备，管控更严。

wlan
 sta-whitelist-profile name allow_list
  sta-mac 00-25-9e-aa-bb-cc
 quit
 vap-profile name office_vap
  sta-access-mode whitelist allow_list

白名单模板创建方式与黑名单对称：模板里加的是允许接入的终端 MAC，sta-access-mode whitelist 引用后，名单之外的终端一律拒绝接入。访客、测试机频繁变动的网络不建议用白名单，每次来人都要改配置；设备固定的产线、仓库、涉密区域则很合适。

验证。 配置下发后，名单内被拒终端的连接请求会被拒绝，AC 上可用 display sta-blacklist-profile、display sta-whitelist-profile 相关查看命令核对模板内容与引用关系，再用 display station 看在线终端列表确认异常设备已消失。

三点提醒：一是黑白名单只控制接入这一层，挡住的是"连进来"，终端连上之后的权限还是要靠 VLAN 隔离与安全策略配合；二是手机开随机 MAC 后每次连网地址都变，登记时要确认用的是设备真实硬件地址；三是名单要跟着资产台账维护，人员离职、设备报废及时移出。改十次密码不如一张名单管得准，办公 WiFi 的准入从"知道密码"收紧到"登记过的设备"，内网边界才真正立得住。贵州诚鑫致达科技为企业规划无线网络与办公网准入，有需要的单位欢迎搜索"诚鑫致达 无线网络"了解我们的做法。

（约 960 字）

企业存储选型参考｜贵州诚鑫致达

做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。