园区WiFi多SSID的命名、加密和隐藏策略怎么定

一个园区里不是只有一个WiFi名字。员工手机搜出来的WiFi列表里，往往能看到好几个SSID：一个叫企业内部办公、一个叫访客WiFi、一个叫IoT设备、一个叫会议室投屏。这些SSID怎么命名、用什么加密、要不要隐藏、怎么广播，看起来是小事情，实际影响用户连网成功率和网络安全。

多SSID的本质是同一个物理无线网络上，按用户群体和业务类型切出多个逻辑网络。每个SSID对应不同的VLAN、不同的认证方式、不同的权限策略。员工连内部SSID走802.1X或者AD域认证，拿到内网权限；访客连访客SSID走短信认证，只能上外网；IoT设备连IoT SSID，只能访问固定服务器。这些SSID都从同一批AP发出来，靠AC做逻辑隔离。

先说命名。SSID是用户在WiFi列表里直接看到的名字，命名要满足三个要求：好认、好记、不暴露内部信息。好认是用户一眼能看出这个WiFi是给谁用的，比如"XX园区-员工"、"XX园区-访客"，不要起一个只有IT自己看得懂的代号。好记是用户不用翻笔记就能选对，名字不要太长，不要带一串数字编号。不暴露内部信息是不要在SSID里写公司内网域名、设备型号、建筑内部代号，攻击者扫到SSID就能猜到网络结构，是没意义的信息泄露。

常见的命名错误有几种。一种是所有AP都叫同一个通用名字，比如直接叫"WiFi"，用户分不清哪个是自己园区的。另一种是把员工和访客SSID起得很像，比如一个叫"Office"一个叫"Office-5G"，员工分不清该连哪个，经常连错到访客SSID，然后打电话问IT为什么上不了OA。还有一种是在SSID里带密码提示，比如"WiFi-请联系IT要密码"，这种提示完全没必要，认证环节会解决。

再讲加密。不同SSID的加密等级要按用户群体区分。员工内部SSID用WPA2-Enterprise或者WPA3-Enterprise，配合802.1X认证，每个员工用独立的证书或者账号密码，不是共享一个密码。这种方式的好处是：员工离职可以单独撤销账号，不用改全园区密码；空口抓包也解不开单个用户的流量。访客SSID可以用WPA2-Personal加一个公开的预共享密钥，或者干脆开放不加密，靠Portal认证来做准入。注意开放SSID不是不安全，因为Portal认证之后用户才拿到IP权限，而且访客流量和员工流量在VLAN层面是隔离的。IoT SSID建议用WPA3-Personal，设备少、密钥可以定期换。

要不要隐藏SSID。隐藏SSID就是AP不在空口广播这个SSID，用户手机的WiFi列表里看不到，要手动输入名字才能连。很多人觉得隐藏SSID更安全，其实不是。隐藏只是让普通用户扫不到，攻击者用监听工具还是能抓到SSID名，而且隐藏SSID会带来几个实际问题：员工手机每次要手动输名字，连网体验变差；设备要主动发probe请求找这个SSID，反而暴露了自己在找这个网络；换手机或者新员工入职，要告诉对方SSID名字，IT支持成本增加。所以隐藏SSID通常只建议给IoT、打印机这种固定设备用，员工和访客SSID不要隐藏，正常广播，靠认证和VLAN隔离来保证安全。

广播和功率也要讲。同一个SSID在所有AP上都要广播，不能只在部分区域广播，否则员工走到别的楼手机就搜不到这个SSID了。2.4G和5G两个频段，现在很多手机支持双频优选，AC可以让同一个SSID在两个频段都发出来，手机根据信号质量自动选。但有些老旧设备只支持2.4G，不能因为5G快就把2.4G SSID关了。功率方面，每个SSID在AP上的发射功率可以单独调，访客SSID可以功率小一点，只覆盖到访客常去的前台和会议室；员工SSID功率正常，覆盖整个办公区。

SSID和VLAN的对应关系要固定。一个SSID永远对应一个VLAN，不要今天这个SSID对应VLAN10明天改VLAN20。改了之后DHCP、ACL、路由都要跟着改，很容易出配置错误。新业务要新SSID、新VLAN，不要复用旧的。园区里常见的SSID规划是这样：员工主SSID一个，走AD域认证；访客SSID一个，走短信认证；IoT设备SSID一个，MAC白名单；会议投屏SSID一个，无密码但只允许投屏流量；临时活动SSID一个，活动期间开，活动结束关。

还有一类是测试SSID。IT调试的时候会临时建一些SSID，调试完要记得删掉。遗留的测试SSID在AP上一直广播，用户搜得到连不上，既影响观感，又可能被人利用。AC里可以设定期扫描，发现不在规划里的SSID自动告警。

SSID看起来是个名字，但它背后是一整套用户分流策略。命名清楚、加密分级、不盲目标记隐藏、广播合理、和VLAN固定绑定，用户连网的时候不用想就能选对，IT管理的时候也不会因为配置混乱出问题。多SSID不是越多越好，按实际用户群体和业务需要开，每加一个SSID就要想清楚：给谁用、怎么认证、权限多大、什么时候关。

还有一个实际问题是粘滞终端。很多手机一旦连上某个AP，即使旁边有信号更好的AP也不切换，结果一直在这台弱AP上挂着，速率上不去。AC上可以配置RSSI切换阀值：当终端和当前AP的信号低于-75dBm，并且旁边AP的信号比它高十几个dBm，AC主动引导终端切过去。这个阀值不能设得太激进，否则手机会在两个AP之间来回飘。合理的做法是先观察一周现场信号分布，再定具体数值。

双频引导也要讲。员工手机同时支持2.4G和5G，同一个SSID在两个频段都发出来，有些老旧终端会一直连2.4G，即使5G信号很好。AC可以配置band steering：检测到双频终端优先引导到5G，只有5G信号实在太弱才退到2.4G。但有些IoT设备、无线打印机只支持2.4G，不能一刀切。所以band steering通常按设备分组配置，员工手机引导双频，IoT设备固定2.4G。