中小企訪客 WiFi 點解一定要獨立網絡？隔離、密碼輪換、頻寬限制一次講清

引言：先劃界，呢篇只講「訪客網絡」呢一層

中小企網絡有好多層要處理：內網權限、斷網應變、WiFi 斷線排查，呢篇只抽其中一層出嚟縱向深挖——訪客點樣上網，而又唔掂到公司內網。點解要單獨講呢一層？因為訪客上網呢件事，平時好似好小事，但佢係公司網絡最常見的缺口之一：一個訪客裝置入咗內網，就可以見到本來唔應該見到的東西——共享資料夾、網絡印表機、內部系統登入頁，甚至其他同事的電腦。缺口唔係因為訪客有惡意，而係因為網絡本身冇分清楚「邊個可以去邊度」。

先講清楚舊文同呢篇的分工，費事你入錯篇。公司內部邊個睇到邊個資料夾、權限點分級，見《中小企共享資料夾權限》，嗰篇講內網入面的權限設計。成個辦公室突然斷網點應變，見《辦公室斷網應變》，嗰篇講斷網嗰陣的流程。屋企或者辦公室 WiFi 成日斷線點排查，見《WiFi 斷線》。呢篇唔講內網權限分級，唔講斷網流程，唔講斷線排查——只講訪客網絡：點隔離、點畀密碼、點限制、點避免常見錯誤。

價錢口徑先講明：檢測同設定收費視乎現有設備同工作範圍，一律檢測後報價，呢篇唔寫任何具體金額。

第一節：點解訪客唔可以放入公司內網——三個理由

理由一：訪客裝置係你控制唔到的裝置。公司電腦你可以要求裝防毒、更新系統、設定權限；訪客的手提電話、平板、個人手提電腦，你乜都控制唔到。佢部機可能好耐冇更新、可能裝咗來歷不明的程式、可能已經中咗惡意軟件而自己都唔知。將呢類裝置放入內網，等於將一個你完全唔了解的裝置，放到同公司資料同一個網絡入面。

理由二：內網入面有太多「預設就睇到」的東西。好多中小企的內網設計，本身就假設「入到網就係自己人」：共享資料夾用網絡探索就見到，網絡印表機唔使密碼就印得，內部系統的登入頁喺內網入面直接開到。呢種設計對自己人好方便，但對訪客嚟講就係大門常開。訪客未必有心搵，但只要佢部機有惡意軟件自動掃描網絡，呢啲資源就會自動被發現。

理由三：出事之後冇辦法追溯同切割。如果訪客用公司內網密碼上網，之後呢個密碼流傳出去，你根本唔知有幾多人手頭上有密碼；如果內網出事，你亦好難證明係邊個裝置、邊個時段出事。獨立訪客網絡的價值，唔單止係事前隔離，亦係事後可以獨立處理：訪客網絡出問題，關閉或者換密碼就得，唔使成個公司內網停低；內網出問題，亦唔會因為訪客網絡而擴大。

一句總結：訪客網絡唔係「多一個 WiFi 名咁簡單」，而係「劃一條界，話明訪客只可以去互聯網，唔可以去內網」。

第二節：訪客網絡點隔離——三層缺一不可

一個真正隔離的訪客網絡，要有三層，缺一層都唔算隔離晒：

第一層：獨立 SSID（WiFi 名稱）。訪客用一個同公司內網完全唔同的 WiFi 名稱，例如「公司名-Guest」，公司員工繼續用原來的內網 SSID。呢層只係「分開個名」，作用係令訪客唔會順手連錯內網，同埋令管理上分得清邊個網絡係邊個。但要講明：淨係分開 SSID，本身唔等於隔離——如果兩個 SSID 背後去同一個網絡，訪客一樣入到內網。所以一定要配合下面兩層。

第二層：VLAN 或者網絡分段。業界一般做法係用 VLAN（虛擬區域網絡）將訪客網絡同公司內網分開成兩個邏輯網絡：訪客 VLAN 同內網 VLAN 就算用同一個實體路由器同交換器，流量都唔會互通。路由器或者防火牆上面再加規則，寫明訪客 VLAN 只可以去互聯網，唔可以去內網的地址範圍——業界一般做法係預設拒絕，只放行 DHCP、DNS 同經防火牆出互聯網，並且封鎖全部私人 IP 範圍同埋路由器／防火牆管理介面；IPv6 都要同等限制，淨係封 IPv4 等於留多一道門。呢層先係真正的隔離核心。小型辦公室如果設備唔支援 VLAN，另一種做法係用路由器內置的訪客網絡功能——好多商用路由器都有「訪客網絡」開關，開咗之後會自動做隔離——但開之前一定要親自測試，確認訪客裝置真係睇唔到內網資源，唔好假設「開咗就等於隔離咗」。

第三層：訪客之間互隔（client isolation）。就算兩個訪客都係訪客網絡入面，佢哋之間都唔應該互相睇到對方的裝置。開咗訪客互隔之後，訪客 A 掃描網絡唔會見到訪客 B 的電腦或者電話。呢層好容易被忽略，但對有好多訪客同時在場的場合（例如展覽、講座、開放日）特別重要。測試方法好簡單：兩部訪客裝置同時連上訪客網絡，試下互相搵唔搵到對方，搵唔到先算合格。

三層做齊之後，仲要做一次完整測試：訪客裝置連上訪客網絡，關掉流動數據確保流量真係經 WiFi，試下開內網共享資料夾、開網絡印表機、開內部系統登入頁同埋路由器管理頁——全部應該開唔到；同時上互聯網應該正常。測試唔合格，設定就未完成，唔好當做完。

第三節：密碼點畀——QR code、輪換、時限

QR code 係方便，但唔係保安本身。用 QR code 畀訪客掃描連線，係好方便的做法：訪客唔使逐隻字輸入密碼，減少打錯同埋逐個逐個口頭講密碼的麻煩。QR code 的原理好簡單，就係將 WiFi 名稱、加密方式同密碼編成一個圖碼，電話一掃就自動填好。但要講清楚：QR code 入面的密碼本身並冇加密，任何人影低張 QR code，就可以解返出密碼。所以 QR code 只係「畀密碼的方便方法」，唔係「令密碼變得安全」的方法——密碼本身的輪換同埋網絡隔離先係保安。

密碼一定要輪換，而且要有一個固定節奏。最常見的錯誤，就係訪客密碼一用就用幾年，離職員工、舊訪客、以前嚟過的送貨員，手頭上全部都有同一個密碼。業界一般做法係定一個你守得到的輪換節奏（例如每月或者每季，視訪客頻率而定；未有具公信力的通用標準周期，重點係有節奏同埋執行），如果公司經常有大量一次性訪客，可以考慮用有時限的密碼或者訪客登記系統，密碼只喺當日有效。輪換嗰陣要記得同步更新 QR code——舊 QR code 印咗出嚟貼喺牆上面，換密碼之後舊碼就失效，要換埋張貼紙，唔好留返張舊碼喺度。

唔好將訪客密碼同內網密碼用同一個。呢句聽落好似好明顯，但現實入面經常發生：為咗方便記，兩個網絡用同一個密碼。咁樣一嚟，訪客網絡的隔離就白做——密碼流傳出去，內網一樣入到。兩個密碼一定要唔同，而且內網密碼唔好畀訪客知，任何情況下都唔好因為「訪客網絡一時連唔到」就順手畀內網密碼頂住先。

接待流程要寫低，唔好靠口頭。邊個負責畀密碼、密碼貼喺邊度、幾時換、換咗通知邊個，呢啲流程要寫成一張簡單的接待指引，貼喺接待處或者交畀負責同事。流程唔寫低，換人嗰陣就會亂，亂嗰陣就會有人為咗方便而畀內網密碼。

第四節：頻寬點限制——訪客上網唔可以拖垮公司

訪客網絡除咗要隔離，仲要限制頻寬，否則十幾個訪客同時睇片、更新電話系統，公司自己同事開視像會議都會窒。業界一般做法有兩種，視乎設備支援邊種：

每部裝置限速。每個訪客裝置有一個速度上限，例如上網、睇片夠用，但唔可以一個人食晒成條頻寬。呢種做法公平，唔會因為一個訪客下載大檔案而影響其他人。

成個訪客網絡限總量。訪客網絡成體有一個總頻寬上限，剩返的頻寬永遠留返畀公司內網用。呢種做法有助保障公司業務唔會被訪客拖垮，尤其適合頻寬本身已經唔寬裕的辦公室。

兩種可以一齊用。設定之前要先了解公司本身的頻寬同日常用量：朝早開會、下午備份、成日都有視像會議嗰啲時段，本身已經食好多頻寬，訪客上限就要留得鬆動啲。設定之後亦要觀察一排：同事有冇投訴話某個時段特別慢、訪客有冇投訴話上唔到網，兩邊都冇投訴先算啱。

仲有一點：訪客網絡應該只開互聯網，唔好開埋其他服務。另外要分清：登入頁（captive portal）只係控制「邊個可以上網」，唔係安全邊界，唔可以代替防火牆隔離。如果訪客真係要打印，正確做法唔係將佢拉入內網，而係開一條只去某一部印表機打印端口的窄規則，或者將不含敏感資料的會議室顯示器直接放喺訪客一側。例如訪客唔需要用到公司內部的檔案分享、內部電郵伺服器、內部視像系統，呢啲全部應該喺防火牆規則入面擋晒，只留返上網必需的 DNS 同互聯網流量。開得愈少，出事面就愈細。

第五節：五個最常見錯誤

錯誤一：訪客同員工用同一個 WiFi。為咗方便，一個 SSID 打天下。呢個係最根本的錯誤，前面三節講的隔離、輪換、限速，全部都冇咗。

錯誤二：訪客網絡開咗，但冇測試過隔離。路由器有訪客功能就當隔離咗，實際上訪客裝置仲係睇到內網印表機同共享資料夾。開完一定要親自測試，測試唔合格就等於冇開。

錯誤三：密碼永遠唔換，QR code 貼幾年。密碼流傳範圍只會愈嚟愈大，舊訪客、離職員工、以前嚟過的人全部都有。輪換節奏定咗就要執行，換密碼就要同步換 QR code 貼紙。

錯誤四：訪客網絡冇限速。十幾個訪客一齊睇片，公司視像會議即刻窒。頻寬限制唔係「孤寒」，而係保障公司業務優先。

錯誤五：路由器管理密碼用預設值。訪客網絡做得幾好都好，如果路由器管理介面仲用預設密碼或者弱密碼，任何人連上網絡都可以試入管理介面改設定。路由器管理密碼要改成強密碼，管理介面最好只限內網或者指定裝置先入到，唔好對住訪客網絡開放。

第六節：即刻要處理的訊號

發現訪客裝置睇到內網資源。訪客話「我見到你哋部印表機」或者「我開到共享資料夾」，呢個係隔離失效的直接證據，要即刻停用嗰個訪客網絡，檢查 VLAN 同防火牆規則，測試合格之前唔好再畀訪客用。

內網密碼懷疑外洩。如果發現有訪客手頭上有內網密碼，或者內網密碼曾經為咗方便而畀過訪客，要即刻換內網密碼，通知員工，並且檢查有冇不明裝置曾經連入內網。

公司網絡無故變慢，而且同訪客到訪時間吻合。每次有大批訪客嚟嗰陣公司網絡就慢，代表頻寬限制未做好或者根本冇做，要檢查訪客網絡的頻寬設定。

唔知而家邊個連緊訪客網絡。路由器入面睇唔到訪客裝置清單，或者清單入面有大量不明裝置，代表訪客網絡的管理已經失控，要重新盤點同設定。

常見問題

Q1: 公司得一部普通路由器，可唔可以做訪客網絡？
A: 好多商用路由器本身已經有訪客網絡功能，開咗之後會自動做一定程度的隔離。但一定要親自測試，確認訪客睇唔到內網資源先算合格；如果路由器冇呢個功能，或者測試唔合格，就要考慮換設備或者加設定，唔好將就用一個冇隔離的網絡當訪客網絡。

Q2: QR code 會唔會洩漏密碼？
A: 會——QR code 本身冇加密，影低張碼就可以解返出密碼。所以 QR code 只能當方便工具，保安要靠網絡隔離同密碼輪換；換密碼之後一定要同步換 QR code 貼紙，舊碼唔好留喺度。

Q3: 訪客密碼幾耐換一次先啱？
A: 冇一個放諸四海皆準的數字，要按訪客頻率定。訪客頻繁的公司可以每月換，訪客較少的可以每季換；如果有大量一次性訪客，可以用當日有效的時限密碼。最緊要係有固定節奏同埋執行，唔好幾年都唔換。

Q4: 訪客網絡限速會唔會令訪客覺得招呼唔周？
A: 限速的目標係「夠用」，唔係「用唔到」。上網、睇片、收電郵夠用的速度，訪客一般唔會覺得有問題；真正影響觀感的，係完全上唔到網或者成日斷線。限速設定要以「訪客正常使用無礙、公司業務唔受影響」為準。

Q5: 員工私人電話應該連內網定訪客網絡？
A: 業界一般做法係員工私人裝置都應該連訪客網絡，或者公司另外設一個員工私人裝置網絡，唔好直接連內網。因為私人裝置同訪客裝置一樣，都係公司控制唔到的裝置，入內網的風險係一樣的。

Q6: 訪客網絡出事，會唔會影響公司內網？
A: 如果隔離做得正確，訪客網絡出問題（例如訪客裝置有惡意軟件、訪客網絡被濫用）唔應該直接影響內網，因為兩個網絡的流量根本唔互通。呢個正正係獨立訪客網絡的價值：出事嗰陣可以獨立處理，唔使成個公司停低。

搵 CentralComputer 幫手

公司而家訪客同員工用同一個 WiFi，或者訪客網絡開咗但唔肯定隔離得徹唔徹底？拎嚟畀我哋檢測，我哋會實測訪客裝置睇唔睇到內網資源、檢查 VLAN 同防火牆設定、幫你定密碼輪換同頻寬限制的流程。所有收費一律檢測後報價，事前唔會憑空定價。

電話：+(852) 2186 8010　|　WhatsApp：+(852) 6558 6806
地址：香港九龍觀塘開源道 55 號開聯工業中心 A 座 712 室
時間：星期一至六 10:00–19:00