访客连上WiFi就能扫到打印机：访客网的边界怎么划

甲方来公司谈合作，连上前台给的访客WiFi，随手用手机一扫，竟弹出一台办公区的网络打印机——还能看到几台内部服务器的名字。陪同的行政还没察觉，对方已经把这一幕拍了下来。回去怎么传不知道，但"你们访客能摸到内网设备"这件事，本身就够让人后背发凉。更尴尬的是，行政事后查了下，那批访客账号里还有上个月离职供应商的人没被回收，凭证一直有效。

一、访客网没隔离，等于给外人留了门

很多公司访客WiFi和办公网接在同一台交换机上，只是不同网段，靠一条ACL"建议"隔离。这种软隔离经不起试探：一个扫描工具、一个误配的端口，访客就能看见办公网的打印机、NAS甚至服务器。访客网络的边界，划不清就是越权入口。

更现实的是账号问题：访客走后，账号没回收，凭证还在，下次谁来都能用。边界不只是"能不能通"，还有"什么时候失效"。一段长期有效的访客凭证，等于在公司墙上留了把没拔的钥匙，谁捡到都能开门。对甲方而言，能扫到打印机只是表象，背后暴露的是整张内网的可达性——今天能看见打印机，明天就可能试探到更核心的系统。一次合作还没谈成，安全底牌先被看光，这笔隐性代价比想象中大。

二、访客VLAN与办公网隔离

智慧光迅全光网络底座支持多张业务网并行，访客网与办公网VLAN隔离，在二层就把广播域切开，访客终端到不了办公设备的地址段。接入侧梦想网关做统一管控，访客VLAN独立配置，默认策略仅出公网、不连内网，打印机、NAS、办公服务器对访客完全不可见。

物理上，访客VLAN走独立的逻辑通道，即便有人尝试手动改IP、扫端口，也触不到办公网的设备清单；配合网关的隔离策略，访客的每一次请求都被限制在公网出口方向，内网资源从源头就对访客"隐身"。这一步把"能摸到内网"的可能性直接归零。

三、自助认证 + 账号生命周期自动回收

认证上，梦想网关支持微信扫码、短信一键接入等自助方式，访客自己扫码填手机号拿验证码即可上网，无需行政手工登记。关键是账号生命周期自动化：按拜访时段设有效期，到点账号自动回收、凭证失效，不会"人走了号还在"。外包、临时工同理划入访客组，单独限速、单独留存。

对行政来说，这意味着不用再拿Excel记谁来了、谁该删；对安全来说，意味着访客账号永远跟着拜访周期走，过期即焚，不给长期凭证留后门。遇大型活动可批量下发临时凭证并统一定时回收，忙而不乱。

智慧光迅以全光为底座、音视频为引擎、安全为护盾，打造 “通密一体”解决方案，整套访客边界由梦想网关承载：路由、AC、防火墙、OLT一体，访客VLAN的隔离策略、认证方式、有效期都在网关上配置；配合内置防火墙与IPS，对外挡扫描、对内防越权。多楼宇场景通过统一运维管理，各站点访客策略统一下发、拓扑一目了然。访客能上网，但摸不到内网一根线。

网关还把上网实名与日志落在本地硬盘滚动留存180天，按手机号或时间段检索、一键导出，访客上网记录可追溯又不与办公网混在一起。边界、认证、留存三件事在同一台设备上闭环，省去多系统对接的扯皮。当访客规模上来，统一策略下发与到期自动回收还能把行政从手工登记里解放出来，既安全又不增加前台负担。

FAQ

Q：访客需要访问公司内部系统怎么办？

A：按业务需要走受控审批通道，不在默认访客网开放内网资源，具体以企业策略为准；临时授权可设短时效并到期自动回收。

Q：短信认证要自己申请资质吗？

A：梦想网关出厂自带合规短信资质，省去自行申请周期，以实际交付版本为准；微信扫码同样支持，访客自选其一。

Q：访客网限速会影响对方办公体验吗？

A：访客组单独限速仅约束大流量下载类应用，正常浏览与邮件不受影响，具体阈值以企业带宽规划为准。