訪客 Wi-Fi 與登入頁面完整指南：隔離、條款、私隱一次做啱
| 網絡安全
訪客 Wi-Fi 唔係「開多個名就得」。本文講 SSID／VLAN／防火牆三層隔離、登入頁面點設計先唔收集多餘資料、限速同防濫用，同一張開業前檢查表。
引言：訪客 Wi-Fi 唔係「開多個名就得」
辦公室、店舖、診所、學校——幾乎每個場所都要畀訪客上網。最常見嘅做法係開多一個 Wi-Fi 名，密碼寫喺牆上面，訪客連咗就可以上網。呢種做法方便，但風險好大：訪客同公司內部系統喺同一個網絡上面，訪客裝置有問題，分分鐘影響到公司系統；訪客喺公司網絡做咗啲乜，亦難以劃清責任。
正確嘅訪客 Wi-Fi，係一個獨立設計嘅系統：網絡要隔離、登入要講清楚條款、速度要有限制、資料收集要最少。本文由隔離講起，經登入頁面、頻寬管理、私隱同法例，去到開業前檢查表，一次講晒。
第一層：點解訪客網絡一定要獨立
訪客網絡獨立嘅原因有三個。第一係保護內部系統：訪客裝置唔受公司管理，可能有惡意軟件、可能系統好舊、可能本身已經被入侵。如果訪客同內部系統喺同一個廣播域，訪客裝置可以直接嘗試連接內部伺服器、打印機、共享資料夾。第二係保護訪客：訪客之間如果可以直接互連，一個有問題嘅裝置可以攻擊其他訪客裝置。第三係責任劃分：訪客經公司網絡做咗啲乜，如果冇隔離同記錄，出事嗰陣好難講清楚邊個做過乜。
獨立唔係指「改個名」咁簡單。真正嘅獨立，係網絡層面嘅隔離：訪客流量唔應該去到內部系統，內部系統亦唔應該直接暴露畀訪客。以下三層設計，缺一不可。
第二層：三層隔離設計
SSID：分開名稱，分開密碼政策
第一層係 SSID（Wi-Fi 名稱）分開。員工網絡同訪客網絡用唔同 SSID，分開管理。訪客 SSID 可以用開放式加登入頁面，或者用簡單密碼定期更換；員工 SSID 就應該用企業級認證，唔好同訪客共用同一個密碼。密碼寫喺牆上面、長期唔換、員工同訪客用同一個密碼，全部都係要避免嘅做法。
VLAN：唔同網段，唔同待遇
第二層係 VLAN（虛擬局域網）分段。訪客 SSID 對應一個獨立 VLAN，員工 SSID 對應另一個 VLAN，IoT 裝置、POS、監控等再各自分開。VLAN 令唔同用途嘅流量喺邏輯上分開，就算 SSID 密碼外洩，訪客都只會進入訪客 VLAN，唔會直接進入員工網段。
防火牆規則：寫明「去邊度得、去邊度唔得」
第三層係防火牆規則，將隔離寫成明確政策。訪客 VLAN 一般應該只可以：去互聯網、去登入頁面同 DNS 服務。唔應該可以：去員工 VLAN、去伺服器網段、去打印機同共享資料夾、去網絡設備嘅管理介面。規則要寫得明確，唔好靠「預設應該唔得」嚟保障。寫完規則之後，要實際測試：用訪客身份試吓係咪真係連唔到內部系統，唔好只係睇設定畫面就當完成。
登入頁面點設計：講清楚條款，唔好收集多餘資料
登入頁面（Captive Portal）係乜
Captive Portal 就係訪客連上 Wi-Fi 之後，第一個跳出嚟嘅頁面：顯示使用條款，要求訪客確認先至可以上網。佢嘅作用唔係「驗證身份」，而係「告知條款、取得確認、記錄同意」。唔同場所嘅做法唔同：有啲只要求剔選「同意條款」，有啲要求輸入電郵或者手機號碼，有啲要求員工即場產生一次性密碼。
只收集真正需要嘅資料
收集資料嗰陣，最重要嘅原則係最少收集：只收集為咗提供服務同履行法例責任而真正需要嘅資料。如果目的只係畀訪客上網，就冇理由要求訪客提供身份證號碼、出生日期、詳細個人資料。要求得愈多，保管責任愈大，資料外洩嗰陣影響亦愈大。表格上面每一欄，都要問自己一句：呢一欄係咪真係需要？答唔出，就刪咗佢。
條款要寫到明，唔好得個「同意」掣
使用條款要寫得清楚易明，唔好得個「同意」掣就算。條款一般應該包括：服務只供合法用途、唔可以用嚟做違法行為、網絡會做基本管理（例如限速、阻擋已知惡意網站）、服務按現狀提供、唔保證速度同不斷線。條款文字要畀訪客喺確認之前睇到，唔好收埋喺連結入面。確認記錄要保存，證明訪客的確見過條款並確認過。
唔好將登入頁面當成身份驗證
要分清楚：剔選同意條款，唔等於驗證咗訪客身份。如果場所需要知道「邊個用緊網絡」，例如要追究濫用，就需要另外嘅安排，例如員工即場產生一次性密碼、訪客登記處核對身份後發放密碼。唔好誤以為一個剔選框就等於身份驗證。設計嗰陣，先問清楚目的：係要「告知條款」定係要「確認身份」？兩者嘅做法同成本完全唔同。
頻寬同防濫用：訪客唔可以拖垮成個網絡
每個訪客限速
訪客網絡一定要有限速。冇限速嗰陣，一個訪客做大檔案下載、睇高清串流，就可以食晒成條寬頻，員工嘅視像會議、雲端系統全部受影響。限速嘅設定要按場地用途嚟定：等候區、零售店、展覽場地，需求各有唔同。重點係，限速要喺訪客 VLAN 層面做，唔好靠「訪客應該會自律」。
訪客之間互相隔離
除咗訪客同內部系統隔離，訪客同訪客之間都應該隔離。呢個功能一般叫 Client Isolation 或者 AP 隔離：同一訪客網絡入面嘅裝置，唔可以直接互相連接。開咗呢個功能，一個有問題嘅訪客裝置就好難直接攻擊其他訪客裝置。呢個係一個簡單設定，但好多部署都漏咗。
濫用點處理
就算有隔離同限速，都要諗定濫用點處理。基本做法包括：記錄訪客連接嘅時間同所分配嘅地址，方便出事嗰陣追查；設定每段時間嘅使用上限，唔好畀單一訪客長期佔用；發現異常流量（例如短時間內大量連接、異常上傳）嗰陣，可以即時斷開該裝置。呢啲唔係要監視訪客嘅私隱，而係網絡管理嘅基本需要，條款入面亦應該講明會做基本管理。
私隱同法例：香港實務要點
訪客 Wi-Fi 涉及收集個人資料，喺香港要受《個人資料（私隱）條例》規管。實務上要做到幾點：第一，收集之前告知：登入頁面或者當眼位置，要講明收集乜嘢資料、點解收集、會保存幾耐。第二，目的限制：收集返嚟嘅資料，只可以用喺告知咗嘅目的，唔好拎去做其他用途，例如未經同意拎去做市場推廣。第三，保存期限：唔好無限期保存連接記錄，定一個合理期限，過期刪除。第四，保安措施：記錄要妥善保管，唔好畀無關人員隨便睇到。
另一點要留意嘅係，唔同場所可能有額外要求。例如學校、醫療場所、處理敏感資料嘅辦公室，對訪客網絡嘅要求可能更高。設計之前，最好先問清楚自己行業有冇額外規定，唔好假設一個做法全行通用。
開業前檢查表
| 檢查項目 | 點驗證 | 合格標準 |
|---|---|---|
| 訪客 SSID 獨立 | 列出所有 SSID，確認訪客同員工分開 | 唔共用 SSID，唔共用密碼 |
| VLAN 分段 | 查交換器同 AP 設定，確認訪客 VLAN 獨立 | 訪客、員工、IoT、POS 各自獨立 VLAN |
| 防火牆規則 | 用訪客身份嘗試連接內部系統、打印機、管理介面 | 全部連唔到，只可以上互聯網同 DNS |
| 訪客間隔離 | 兩部裝置同時連訪客網絡，嘗試互相連接 | 互相連唔到 |
| 登入頁面 | 新裝置連接，確認跳出條款頁面 | 條款睇得到，確認後先上到網，確認有記錄 |
| 資料收集 | 逐欄檢查登入頁面要求嘅資料 | 每欄都有必要理由，多餘欄目已刪除 |
| 限速 | 訪客裝置做大流量測試，睇員工網絡有冇受影響 | 訪客限速生效，員工網絡正常 |
| 私隱告示 | 檢查登入頁面同現場告示 | 講明收集乜、點解收集、保存幾耐 |
| 濫用處理 | 模擬異常裝置，測試可唔可以即時斷開 | 可以即時斷開，記錄齊全 |
常見誤解
- 開多個 Wi-Fi 名就等於隔離？錯。冇 VLAN 同防火牆規則配合，唔同 SSID 仍然可以去到同一個內部網絡。隔離要三層齊全先算。
- 登入頁面剔選同意就等於驗證身份？錯。剔選只係確認條款，唔係身份驗證。需要確認身份嘅話，要另外安排。
- 訪客網絡唔使限速，寬頻夠快就得？錯。寬頻再快，一個訪客嘅大流量都可以影響成個網絡。限速係管理需要，唔係速度問題。
- 收集資料愈多愈安全？錯。收集得多，保管責任愈大，外洩風險愈高。只收集真正需要嘅資料先係正確做法。
結論：訪客 Wi-Fi 係信任設計
訪客 Wi-Fi 做得好，訪客會覺得呢個場所專業、可靠；做得差，輕則員工網絡被拖慢，重則內部系統暴露、資料外洩。核心原則好簡單：隔離要徹底、條款要講明、資料要最少、限速要有、驗證要做齊。如需按現場環境設計訪客網絡同整體無線部署，可參考 Wi-Fi 解決方案，或者經 聯絡我們 安排現場勘察。