酒店的WIFI要服务很多种人：住客、大堂访客、餐厅客人、会议参会者，还有酒店自己的办公和业务系统。这些流量如果全混在一张网里，既有安全隐患，也不好管理。做酒店WIFI实名认证上网系统时，网络隔离是个绕不开的话题。隔离做得好，各类用户互不干扰、安全边界清晰；做得糟，一个客人的设备中招可能波及一片。这篇讲讲酒店场景下访客和住客网络该怎么隔离。

业务网和客用网必须彻底分开

这是最基本也最重要的一条。酒店的PMS、门锁系统、监控、收银这些业务系统，和客人上网的网络必须物理或逻辑上彻底隔离，不能让客人的设备有任何机会碰到业务网。想象一下如果客人在房间连上WIFI就能扫到酒店的收银系统，那是多大的风险。业务网和客用网要用不同的VLAN甚至不同的物理链路，之间的访问严格禁止。这条线是安全底线，认证系统再怎么设计，都不能破坏这个隔离。做方案时要第一个确认业务网是独立的。

住客之间也要做终端隔离

同样连着酒店WIFI的住客之间，默认也应该互相隔离，一个客人看不到、访问不了另一个客人的设备。这叫终端隔离或者用户隔离。如果不做，一个恶意用户就能扫描同网段的其他客人设备，甚至发起攻击。开了终端隔离，每个客人的设备就像在自己的独立空间里，只能上网，彼此不可见。这个功能通常在无线控制器或者认证网关上配置。对绝大多数酒店来说，住客之间没有互访的需求，隔离开只有好处。做认证系统部署时，这个开关一定要打开。

访客网络的权限要收得更紧

大堂、餐厅这些公共区域的访客，和住客相比是更临时、更不可控的群体。访客网络的权限应该收得更紧，比如限制访问的资源、限制带宽、限制时长。访客同样要实名认证满足合规，但网络权限上可以和住客区别对待。把访客单独划一个网络区域，和住客网络也隔离开，这样即使访客网络出点问题，也不会影响到住客的上网体验。分区隔离的思路是：不同信任级别的用户，给不同的网络空间和权限。

会议和宴会场景可能需要临时的独立网络

酒店常接会议、宴会，有时候会议方有特殊的网络需求，比如需要一个独立的网络段做直播、做内部演示，或者要临时开放一批账号。这种场景可以在认证系统里支持临时的独立网络或者临时账号批次，会议期间开放，结束后回收。这个独立网络同样要和住客、常规访客网络隔离，避免会议流量影响其他客人，也避免其他客人蹭会议的网。灵活支持这类临时场景，同时保持隔离，是酒店认证系统的一个实用能力。做方案时要问清楚酒店有没有这类需求。

隔离不能以牺牲上网体验为代价

隔离是为了安全，但不能隔得客人正常上网都受影响。比如客人想用手机投屏到房间电视、用平板和笔记本互传文件，如果终端隔离做得太死，这些同一客人的设备互联需求也被切断了，体验就打折。合理的做法是隔离在不同住客之间、不同信任区之间，而同一个住客名下的多台设备可以在受控范围内互通。隔离的粒度要拿捏好，既保证安全边界，又不误伤正常的使用需求。这需要认证系统能识别设备的归属，做到"同人可通、异人隔离"。

无线和有线的隔离策略要一致

有些酒店客房除了WIFI还有有线网口，商务客人会用网线接笔记本。有线和无线的隔离策略要保持一致，不能WIFI做了隔离，网线口却是敞开的，那隔离就有缺口。有线接入同样要经过认证、同样要纳入隔离体系。做方案时别只盯着无线，把客房的有线网口也一并考虑进去，用统一的认证和隔离策略覆盖。任何一个没管住的接入点，都可能成为绕过隔离的后门。

隔离配置要定期核查

网络隔离不是配一次就一劳永逸。设备换代、网络调整、加了新的AP，都可能在不经意间破坏原有的隔离。运维中要定期核查隔离策略是否还完整有效，业务网和客用网是不是还严格分开，终端隔离有没有被误关。最好定期做一次简单的验证，从客用网试试能不能碰到业务网、住客之间能不能互访。发现隔离被破坏了及时修复。隔离是持续性的安全保障，需要定期检查维护，不能装完就不管了。

酒店WIFI实名认证上网系统的网络隔离，核心是按信任级别划分网络空间：业务网独立、住客互隔、访客收紧、会议临时独立，有线无线一致，同人设备可通。把这套隔离体系设计好、维护好，酒店的网络才既安全又好用。安全和体验不是对立的，隔离的粒度拿捏对了，两者可以兼顾。