连同一个WiFi也别想互访：AC无线用户隔离配置

访客连着办公 WiFi 能不能顺手段看到共享文件夹？在不少单位答案是能——大家连同一个 SSID，二层就是通的，一台中了勒索病毒的笔记本可以在同一个广播域里横扫共享盘。华为 AC 上有一条针对性的配置：用户隔离（user-isolate），让连入同一无线网络的终端彼此二层不通，只准上外网或访问指定服务器，互相看不见。

原理一句话：开启隔离后，AC（或 AP）对同一 SSID 内用户之间的单播、广播、组播报文直接丢弃，终端之间像各住各的独立房间，只有去往网关的流量放行。对访客网、大会议室、仓储 PDA 这类"只上网不互访"的场景，这是成本最低的一道防线。

配置位置在 VAP 模板下。 先进 WLAN 视图，在既有的 VAP 模板里加一行（以办公 SSID 模板为例）：

wlan
 vap-profile name office-vap
  user-isolate enable

不同软件版本的参数形式略有差异（部分版本为 user-isolate all 或需配合流量模板下发），落地前以设备对应版本文档为准。改完在 AC 上重新下发 VAP（或等待 AP 自动同步），配置即生效。

注意事项有三条。 一，隔离只断用户之间的直连，访问网关、DHCP、DNS 正常，不会出现"连上了上不了网"；二，办公室里确有互访需求的场景（如投屏器要被同一 WiFi 的笔记本发现）别一刀切——投屏、共享打印机所在的 SSID 保持不开隔离，或把这类设备挪到有线；三，隔离与 VLAN 划分配合用：访客 SSID 单独 VLAN 再加隔离，边界更干净。

怎么验证。 两台手机连同一 SSID，互相 ping 对方获取到的地址，全部超时即隔离生效；同时 ping 网关应正常通。再扫一次局域网，能看到网关看不到邻居，就对了。

无线安全不只是设个密码：密码防外人，隔离防"里面的人互相看见"。给办公网加这一道，成本是一行配置。如果贵单位的访客网与办公网还没做隔离，不妨按这篇自己查一遍 AC 配置；需要整体体检与整改的，贵州诚鑫致达科技提供企业无线网的部署与安全加固服务，欢迎搜索"诚鑫致达 企业WiFi"联系我们上门评估。

（约 900 字）

企业存储选型参考｜贵州诚鑫致达

做高可用与业务不间断保障，群晖机型参考：PAS7700 · RS2423RP+ · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。凯里（黔东南）、都匀（黔南）：企业存储方案与 IT 运维。