酒店客用网、办公网、监控网：三张网怎么分才不串

酒店网络出大事，十有八九是"串"出来的：住客的终端摸到了前台 PMS，监控画面被映射到了公网，客人 WiFi 里的设备扫到了财务电脑。

一张网里什么都有，出事就是连坐——检查通报里的"数据泄露""监控被入侵"，多数从串网开始。串网还有一个隐蔽形态：租用的收银机、电视盒子出厂就带着"联系厂家"的远程通道，设备一多，这些通道就是一张看不见的出网地图——分网之后，这类通道也被关进各自的笼子。

分网不是"再买两台路由器"，是逻辑上的三张网。

一、串网的代价有多大

住客终端带着病毒连进来，横向一扫，PMS 里的订单和客人信息全暴露，涉及个人信息泄露就是176号令合规问题；
监控设备出厂弱口令没改，端口又被映射到外网，画面被陌生人围观，隐私和声誉双输；收银机混在客用网里，支付数据悬在半空。这些场景的共同点是：攻击者不需要多高技术，只要你的网"不分"。
而检查视角同样是"分"字当头：访客网络有没有隔离、监控有没有违规出网、核心系统有没有暴露面，都是远程检测容易命中的项目。

二、三张网的分法

客用网：住客与访客的上网终端，走实名认证，只放行上网所需的访问，时限到点自动回收。

办公网：PMS、财务、门禁后台等核心业务，与客用网 VLAN 硬隔离，跨网访问按最小权限走白名单，核心数据目录只对指定人员开放。

监控网：摄像头独立 VLAN，禁止任何非授权的公网端口映射；远程查看必须走加密通道并叠加双因素认证，弱口令设备接入即被拦下。

三张网物理上可以共用一套全光底座，逻辑上互不相通——一张网承载，三张网隔离，这正是全光架构的价值：线路归一，边界不混。物理一张网、逻辑三张网，两层语义都不含糊。

三、隔离之外，还要护得住

分网解决"内部不串"，边界防护解决"外部攻不进"：智慧光迅以全光为底座、音视频为引擎、安全为护盾，打造 “通密一体”解决方案，梦想网关内置防火墙、IPS 入侵防御与 AV 反病毒，出厂预置基础策略，特征库随平台更新；设备入网前强制弱口令检测，默认密码的设备直接拦在门外；防私接机制把客人私带的随身 WiFi 挡在网络之外。

同时原生适配公安部 176 号令合规要求，内置上网实名认证、全量上网日志采集留存能力，日志本地 + 云端双副本备份、满足不少于 6 个月留存规范，支持监管远程抽查溯源，安全隔离与合规审计一体化落地，兼顾网络安全管控与监管核查要求。

隔离加防护，两道墙一起砌。砌墙的顺序也有讲究：先分网、再上防护、最后补审计。很多酒店反过来——先买一台"看起来很强"的安全设备，结果网络本身不分、设备裸奔照旧，钱花了洞还在。

三张网分得清，出事不连坐；边界守得住，检查不心虚。隔离与防护做在同一台网关里，酒店网络才算真正各就各位。

FAQ

Q：三张网要买三套设备吗？

A：不需要。共用一套全光底座，通过 VLAN 划分三张逻辑网络，安全能力集中在梦想网关上。

Q：监控远程查看给第三方施工方用怎么办？

A：走 VPN 加密通道加双因素认证，用完即回收权限，不做长期公网映射。

Q：分网后住客上网会变慢吗？

A：不会。三张网逻辑隔离但共享带宽池，关键业务设优先级，客用上网体验不受影响。

Q：访客会议区需要临时开网络权限怎么办？

A：按需开一个临时访客段，用完回收，不长期并入办公网。