不少酒店的网络是混着的：客人连的 WiFi、前台连的 WiFi、监控和 POS 机走的同一个出口，哪边出问题全店一起瘫。做酒店WIFI实名认证上网系统的时候，第一个要拍板的事不是认证怎么做，而是访客网络和内部网络到底分不分。这一刀切错了，后面全是隐患。

为什么员工网络不能走认证页

员工连 WiFi 是为了干活，收银、房态、监控调阅都依赖内网。如果员工也走客人的实名认证页，一旦认证服务抖一下，前台开不了房、餐厅结不了账，业务直接停。更麻烦的是权限，客人认证后只能上外网，员工要进内网系统，两套权限混在同一套认证里，配置稍错就可能让客人摸到内网端口。所以员工网络和访客网络从物理或逻辑上分开，是上线前就该定的事，不是上线后补救的。

VLAN 是分还是不分

技术上最常用的是 VLAN 隔离，客人一个段、员工一个段、设备一个段。小酒店可能觉得划 VLAN 太复杂，直接用两个 SSID 凑合。这能解决大部分问题，但要注意两个 SSID 背后是不是真隔离，有些廉价方案两个信号其实在同一个广播域，只是名字不同，等于没分。判断标准很简单：客人拿到 IP 后能不能 ping 通前台电脑。能通，说明隔离是假的，必须重做。

访客网络里的设备也要实名

分了网不等于访客侧可以马虎。访客网络承载的是客人的手机、平板、笔记本，这些设备上网照样要实名到个人。常见疏漏是只认证第一台设备，同一个人后面的设备直接放行，日志里只记了半个人。合规看的是谁在哪个设备上了网，设备维度的实名不能省。酒店WIFI实名认证上网系统在访客侧要做到一人多设备都能追溯，而不是只认第一台。

运维通道别和访客抢路

隔离之后还有个容易被忘的点：运维人员远程维护设备走哪条路。如果运维也挤在访客网络里，一旦访客侧被攻击，运维通道跟着暴露；如果运维走员工网络，又得给运维开员工权限。稳妥的做法是单独留一条管理 VLAN，只放行运维的来源 IP，和客人、员工都隔开。这条通道带宽不用大，但必须干净，出问题时它是你唯一能远程救火的路。

隔离的代价要算进预算

分网意味着更多的 AP、更多的网段配置、更多的运维理解成本。小酒店预算紧，容易在隔离上打折，结果省了设备钱、赔了稳定性。隔离不是越细越好，是按风险定粒度：客人 vs 员工是必须分的一刀，设备管理和业务内网可以视规模再分。把必须的分了，可选的分看预算，比一刀切全混或全分都实在。架构判断的本质，是在安全和成本之间找那个刚好够用的点。

IoT 设备也别进访客网

现在酒店智能设备多，门锁、音箱、温控，这些 IoT 若图省事接访客 WiFi，等于把可控设备暴露给外来终端的广播域。一旦访客网被攻，这些设备成了跳板。IoT 应有独立网段，和客人、员工都隔开，只放行必要的上云端口。隔离的粒度常被能连上就行的心态带偏，安全上的将就，出事时最贵。

隔离后的排障要分清段

分了网，排障逻辑也要跟着变。客人报修，先问连的是哪个 SSID，再判断是访客段问题还是出口问题，别一上来就动核心。很多运维习惯了一锅端重启，分网后乱重启可能把员工业务也带崩。排障手册要按网段写，哪段的问题动哪段，这是隔离之后必须补的运维纪律。

带宽配额也要分

隔离不只是安全，也是体验。如果客人和员工共用一条出口带宽，晚上客人刷视频把管道占满，前台开房都卡。按段做带宽配额，保住业务系统的下限，再给客人留余量。配额不是卡客人，是防止一类流量把另一类拖死。酒店WIFI实名认证上网系统做隔离，带宽维度常被忘，却是体验的隐形守门员。

隔离配置要可回溯

网段、VLAN、ACL 这些配置，改一次就可能引入缝隙。所有隔离变更要走记录，谁改的、改了什么、为什么改，事后能还原。我们建议隔离配置纳入版本管理，误删一条规则能快速回滚。看不见的配置错误最可怕，因为它平时不响，等被穿透了才暴露。把隔离当代码管，才稳得住。