公寓大堂健身房自习室的公共WiFi怎么和租户网隔离开

稍具规模的公寓楼，除了租户房间，总有公共区域——大堂、走廊、健身房、自习室、公共厨房、洗衣房。这些地方要不要覆盖WiFi？要。但怎么覆盖、和租户房间的WiFi是什么关系，是个经常被做糙的问题。

最常见的错误做法是：整栋楼一个SSID，租户房间和大堂健身房用同一个网络，租户在房间里认证一次，走到大堂还是这个网。看着省事，实际上既不安全也不好管理——租户的设备和公共区域访客的设备在同一个广播域里，互相能扫到；公共区域有人大流量下载，整栋楼的租户都跟着卡。

公共区域WiFi到底服务谁

先想清楚公共区域WiFi给谁用。第一类是本楼租户，他们在健身房跑步、在自习室加班时需要连网，这个网应该和他们房间里的账号打通——已经交了包月费，公共区域不应该再收费。第二类是来访客人，比如租户的朋友来做客，在大堂等朋友，临时需要连一下网。第三类是公寓自己的运营设备，比如门禁、监控、智能电表，这些设备需要联网但不能走租户网。

这三类用户需求完全不同，硬塞在一个网络里一定出问题。合理的做法是至少分两个SSID：一个是租户专用SSID，覆盖房间和走廊，需要认证；另一个是公共访客SSID，覆盖大堂、健身房、自习室，认证方式和限速策略单独配。运营设备再走第三个SSID，纯MAC白名单，不参与计费。

租户网和公共网怎么在技术上隔开

最基础的隔离手段是VLAN。租户房间的端口划到一个VLAN，公共区域AP的端口划到另一个VLAN，三层交换机上做访问控制——公共VLAN只能上互联网，不能访问租户VLAN的任何设备。这样即使有人在公共网抓包，也扫不到租户房间里的手机和电脑。

认证策略上，租户SSID用包月账号认证，认证成功后走完整计费流程；公共访客SSID可以做得轻一些——手机号收个验证码就能上，限时两小时、限速到一定带宽，不收费或者收个很低的费用。访客不需要买包月套餐，他只是临时用一下。

Portal页面也要分开。租户SSID弹出来的是登录页，老用户输密码或者MAC无感知直接过；公共SSID弹出来的是访客注册页，引导手机号验证。基于SSID推送不同Portal页面，这是计费系统的标准能力，不用做定制开发。

公共区域的带宽怎么管

公共区域最容易出问题的是带宽争抢。晚上八点到十点，健身房可能有十几个人同时刷视频，自习室也有人在线开会。如果公共网和租户网共用一条出口带宽，公共区域大流量一拥而上，租户房间里也会卡。

解决办法是在出口网关和计费系统上做QoS策略：租户包月用户的带宽优先级高于公共访客；公共访客总带宽设一个上限，比如整楼出口是1G，公共访客最多用200M，剩下的保障给租户。访客单个账号再限速，比如每人下行3M、上行1M，够刷微信看视频，但不够下载大文件。

这种隔离不是一次性配好就完了。公寓运营一段时间后，要根据实际使用数据调整——哪个时间段公共区域最挤、哪层走廊信号覆盖不到位、健身房的AP是不是需要加一台。这些数据从计费后台的在线人数统计和流量报表里能看出来，不用装专门的监控。

访客临时账号怎么管

租户带朋友来做客，朋友在大堂连公共WiFi，手机号验证一下就能上，这个流程要顺。但要注意，访客网络要做限时——比如两小时到期自动断，不然访客网就变成长期免费网，被人一直挂着下东西。

如果公寓做了微信连WiFi认证，访客流程更顺：连上SSID后自动跳微信，一键授权就能上，不用输手机号收验证码。这种方式用户体验好，还能顺便把公寓的公众号关注了，后续做运营推送也有渠道。

运营设备网不要省

门禁、监控、智能电表、公共区域的智能投屏，这些设备需要联网，但绝对不能和租户网混在一起。原因有两个：一是安全，租户网如果被人攻破，不能顺藤摸瓜摸到门禁系统；二是稳定，这些IoT设备流量小但连接频繁，和租户大流量挤在一起会互相影响。

运营设备走独立SSID和独立VLAN，用MAC白名单认证，不弹Portal、不收费。AP把三个SSID同时广播出来，同一个硬件不用装三套设备，只是逻辑上分开。这个设计在装修阶段就要规划好，后期再补VLAN会很麻烦。

从运营角度看，公共区域WiFi还有一个隐藏价值：它是公寓和租户之间的触点。租户在大堂连WiFi时看到的Portal页，可以放公寓的活动通知、报修入口、周边服务推荐。这个位置比租户群公告更实在，因为人必须连网才会看到。但不要在这个页面上塞太多广告——租户连网是为了上网，不是为了看你做活动。放一两条关键信息就够，点到为止。

公寓公共区域的WiFi设计，本质上是在"方便"和"可控"之间找平衡。全覆盖是必须的，但全覆盖不等于全混在一起。分SSID、分VLAN、分认证策略、分带宽优先级，这四步做了，租户在房间里安心上网，访客在大堂临时用网，运营设备在后台稳定跑，三者互不打扰。