酒店WiFi认证系统在网络安全层面的要求，和企业办公网不一样——客人设备类型不可控、网络边界开放、需要应对监管审查。这几年酒店行业因为WiFi安全问题被处罚的案例不少——客人通过酒店WiFi发表不当言论、客人设备中毒后攻击他人、未做实名认证被网安约谈。这篇文章梳理酒店WiFi网络安全的关键点和等保合规要求。

第一个要点是边界隔离。酒店WiFi认证系统涉及的网络区域至少要分四块：客人WiFi网络、办公网络、客控网络（门锁、空调、灯具）、监控网络。这四块之间要做严格的访问控制——客人网络只能访问互联网，不能访问其他三块的任何资源。技术实现上有两个方向：一是在核心交换机上做ACL（访问控制列表），配置严格的网络策略；二是做物理隔离，把客控和监控单独走一套物理线路，不和WiFi混用。中小酒店用第一种就够，大型酒店建议第一种+第二种组合。

第二个要点是Portal页面的HTTPS化。早期很多酒店WiFi的Portal页是HTTP明文传输——客人提交的手机号、验证码在网络里裸奔。合规上不允许（个人信息保护法有明确要求），技术上也不安全——中间人攻击很容易截获。落地时要确认Portal页全程HTTPS，包括Portal页本身、认证API、短信发送API，全部走TLS加密。如果系统支持的TLS版本是1.0/1.1，必须升级到1.2以上。

第三个要点是日志留存和审计。等保二级要求网络日志留存不少于6个月，等保三级要求不少于12个月。WiFi系统需要记录的日志至少包括：账号认证日志（谁在什么时候用什么方式认证的）、上网行为日志（访问了哪些URL、IP地址）、设备管理日志（AP/AC的配置变更）。日志存储要分盘部署——系统盘和数据盘分开，日志盘单独做RAID1冗余。日志系统要支持按时间、账号、IP、URL等维度的快速查询，应对监管抽查时能秒级响应。

第四个要点是弱密码和暴力破解防护。Portal页的短信验证码如果不限制尝试次数，攻击者可以用脚本暴力破解手机号。系统必须做：验证码有效期不超过5分钟、同一手机号1分钟内只能请求1次验证码、验证码复杂度足够（6位以上数字+字母）。WiFi管理后台要强制密码复杂度（字母+数字+特殊字符）、定期更换、登录失败锁定。

第五个要点是AP和AC的自身安全。AP和AC之间的通信协议（CAPWAP）要开启认证和加密，AP固件要定期升级修补漏洞，AC控制器的管理后台要限制访问IP（仅允许内网特定IP段访问）。一旦AP被攻击者控制，攻击者可以伪装成客人接入点，截获所有客人流量，危害极大。

第六个要点是访客网络的物理层安全。客人网络的VLAN要和办公、客控、监控严格隔离——这条在弱电施工阶段就要落实。如果弱电阶段偷懒用了同一根网线带所有业务，后期无论怎么配置都很难做到真正的隔离。审计时如果发现VLAN隔离不到位，会直接判定不合规，需要返工整改。

第七个要点是应急预案。网络安全事件应急响应要有预案——WiFi系统被入侵怎么办、客人通过WiFi违规怎么办、监管紧急要求断网怎么办。预案里要明确：断网的操作步骤、对外公告模板、监管对接人联系方式、证据保全流程。预案不能锁在IT负责人电脑里，要发给所有相关岗位——前台、店长、保安、值班经理都要知道出了事该找谁。

最后一个要点是第三方组件的安全。WiFi系统里可能用了第三方短信通道、第三方支付、第三方地图API——这些第三方组件本身的安全性也要评估。短信通道商被入侵可能导致验证码泄露，支付组件漏洞可能导致充值风险。每年做一次第三方组件安全评估，更换有问题的供应商，是必要的风险控制动作。

酒店WiFi安全的合规和加固是"做了不一定被表扬、不做一定会被处罚"的工作。投入上看似只有成本，但一旦出事——被网安约谈、被监管通报、客人投诉到媒体——成本是平时的几十倍。这块投入要算大账，不能只看眼前的运维预算。