访客摸进内网偷数据，全光网如何做到“进来了也找不到门”？

“访客连上WiFi后，手机自动弹出了打印机图标——出于好奇点了一下，30份含产品报价的合同被打印了出来。当天下午，竞争对手拿到了这份报价单。”

这是发生在深圳某科技公司的真实事件。问题出在哪？这家公司的访客Wi-Fi和办公内网在同一个网络里，没有隔离。访客连上WiFi，就等于拿到了内网的“入场券”。

你给了访客WiFi密码，等于给了全世界一把“内网钥匙”。

一、访客网络正在成为内网的“后门”

访客接入内网越权访问

无网络隔离的Wi-Fi环境中，访客连接后与员工处于同一网络，可扫描内网设备、访问共享文件夹、登录仅靠“内网IP加简单密码”保护的OA等系统。更细思极恐的是——你根本不知道访客的手机里有没有病毒，也不知道上一个拿到密码的人现在是不是还坐在公司楼下咖啡厅“蹭网”。

密码简单被广泛共享

多数企业访客Wi-Fi采用WPA2/WPA3预共享密钥，密码是简单数字组合（如12345678），长期不变且广泛知晓。外来访客、驻场合作方离场后密码无失效机制，外部人员可随时接入园区网络。

访客设备安全状态不可控

访客设备可能已感染病毒横向感染其他设备，可能安装恶意应用窃取数据，可能开启文件共享暴露其他设备。

缺乏身份记录和行为审计

“给个密码就上网”模式下，企业无法记录“谁、什么时间、做了什么”——访客不当言论被溯源至公司IP、违法下载收到律师函等均缺乏可追溯记录。《网络安全法》要求留存网络日志不少于六个月，没有有效身份记录和审计机制，安全事件后企业处于被动。

二、传统方案为什么管不住访客？

前台贴一个密码，所有人共用

多数企业采用固定通用WiFi密码供访客使用，密码设置简单、长期不更换。一个密码管所有人，出了事根本找不到是谁干的。

虽有访客SSID，底层没做VLAN隔离

虽然有访客SSID和员工SSID，但底层未做VLAN和ACL，仍互通——“表面隔离、实质通透”。访客连上WiFi，一样能摸到内网。

无实名核验流程

传统仅依靠前台纸质手写登记访客信息，登记信息潦草、漏登、代填现象频发，无线上实名核验环节。无法留存访客上网身份、接入时段、访问行为完整记录，一旦发生网络攻击、信息泄露事件，无法定位溯源到人。

传统方案的致命缺陷是：要么“完全不隔离”（访客和内网混在一起），要么“隔离了但没认证”（出了事找不到人），要么“认证了但没日志”（审计过不了）。

三、全光网如何做到“进来了也找不到门”？

智慧光迅“通密一体”方案的核心逻辑是：让访客“进得来，但找不到门；有记录，但碰不到内网” 。

VLAN隔离，访客和内网“各走各的道”：全光网通过SSID与VLAN绑定技术，实现精细化的网络隔离与权限控制。办公SSID绑定VLAN100，专门用于访问公司内部服务器与资源；访客SSID配置VLAN200，实现与办公网的完全隔离。

访客WiFi只开放互联网访问，内网设备对它完全“隐身”——扫描不到IP、访问不了共享文件夹、碰不到OA系统。访客网与办公网从底层彻底隔离，避免网络交叉风险。

实名认证，谁上网、一查就知道：访客连接访客WiFi后自动弹出Portal认证页面，支持短信认证（手机号记录为身份便于追溯）、扫码认证（关联访客登记信息）、临时账号认证（绑定有效期如当天失效）。

员工连接办公SSID则采用钉钉/企业微信认证、802.1X认证等强认证方式。双轨认证明确区分访客和员工身份，后续授权和审计基于身份精细化管理。

陌生设备“一插就被发现”：过去靠几台交换机勉强管接入，哑终端和访客是明显缺口。换成全光网架构后，准入不再是一台单独堆上去的设备，而是跟着光纤和端口走——安全多业务网关把防火墙、IPS、AV、行为审计与实名认证集成到一体，减少设备拼凑带来的管理缝隙。

访客终端单独划分一个VLAN，只能上互联网，到办公网和安防网的访问请求一律按策略拦住。办公终端每一台电脑、每一部手机连上网线或WiFi，都要先过802.1X加身份认证，输不对账号就进不来。

全量日志留存180天：公安151号令要求：日志留存不少于180天，且数据需防篡改、可导出、可审计。全光网将访客上网日志统一采集留存——实名信息、上下线时间、IP地址、MAC地址、访问URL——字段完整、不可篡改。

系统预置官方标准合规报表模板，支持合规日志一键导出、标准化呈现，可对接网监平台实时上报。公安检查来了，一键生成合规报表，不用临时抱佛脚。

账号自动回收：后台可自定义账号有效时长（4小时/当日/多日驻场访客分级配置），访客完成实名认证后系统自动生成限时临时网络账号；到达预设有效期后，系统自动回收网络权限、彻底注销账号。访客走了，权限跟着消失——不再出现“人走账号还在”的安全漏洞。

访客网络是企业极易忽视的安全短板，传统粗放的组网模式极易引发数据泄露与合规风险。智慧光迅全光通密一体方案，通过VLAN隔离+强实名+全审计+限时权限闭环防护，彻底封堵内网后门，让访客上网可控、可溯、无越权，轻松满足合规要求，筑牢企业内网安全防线。

FAQ

Q：新《网络安全法》对访客上网有什么具体要求？

A：必须核验用户真实身份信息，不得允许匿名接入；日志留存不少于180天，且数据需防篡改、可导出、可审计。违者最高罚款一千万元，直接责任人员最高罚一百万元。。

Q：访客走了之后账号还在吗？

A：全光网支持账号自动回收——后台可自定义账号有效时长，到达预设有效期后系统自动回收网络权限、彻底注销账号。不需要人工手动删除。