设置了访客Wi-Fi，就真的与公司网络隔离了吗？
Guest名称不是隔离证明
办公室虽有访客Wi-Fi名称，但访客仍可能访问NAS、打印机或路由器管理页，这并未实现预期隔离。SSID用于识别连接选择，能否到达其他系统取决于网络配置和访问规则。应验证真实路径后再判断是否隔离。
加拿大网络安全中心建议通过SSID、VLAN与访问控制划分安全区域，并提醒注意默认允许跨区流量的设置。这是设计指导，不表示所有设备菜单相同，也不表示创建VLAN就完成安全工作；须查具体型号文档，明确规则执行位置。
先确定访客需要什么访问
列出访问来源和目标：访客可能需要互联网，但无需访问会计系统、文件共享或设备管理页。按需求区分员工、访客及专用设备，不要假设所有打印机都应在同一区域。若访客需要打印，应指定允许的服务与负责人，而不是开放整个公司网络。
请管理员画出接入点、交换机及路由器或防火墙路径，记录SSID所属区域和允许的跨区流量。访客与员工隔离，以及访客设备彼此隔离，是两个要求；需要两者时应分别配置和测试，不能以其中一项结果代替另一项。
从访客设备测试并记录正反结果
使用获准测试的设备，仅连接访客Wi-Fi，并停用公司VPN或网线等可能混淆结果的路径。先确认可浏览外部网站，再测试管理员预先批准的内部服务和管理页。记录网络、接入点、时间、目标及预期结果，不进行广泛扫描或测试未经授权的系统。
无法访问内部服务，仍需确认是隔离规则造成，而非服务离线或名称解析失败。管理员应从员工侧交叉验证并查看防火墙证据。例如NAS关闭导致双方都无法访问，不能证明隔离成功。启用IPv6时也须纳入测试，不能只测IPv4便推及全部路径。
让例外范围明确且可复核
访客访问例外应记录来源、目标、服务、理由、审批人和复核日期，验证允许的任务可用而其他访问仍被阻止。更换路由器、增加接入点或修改控制后，应按影响范围复测；去年的合格报告不能证明今天的配置。
如需 Chawinnix 按其公开服务提供网络或安全协助，可准备拓扑、设备型号、必要业务及删去无关信息的测试结果。分区有助于减少不必要访问，但仍需结合身份验证、更新和目标系统权限，不能保证阻止所有事件。
