利益相关说明：这篇由北京思文力得发布，文中会提到自家「羽信安」组网产品能帮到哪一段、帮不到哪一段。隔离方法本身不挑品牌，您拿去问任何一家网络服务商都适用。
开面馆、服装店、理发店的老板，大多干过同一件事：把 WiFi 密码打印出来，贴在收银台旁边。顾客等位时刷视频，体验好，回头客多。
很少有人想过另一个问题：收银电脑、监控录像机，往往也连在这同一个 WiFi 里。顾客手机连上之后，和收银电脑之间是没有门的。
这不等于顾客一扫码就能把钱转走，支付环节本身有加密。真正的风险在另一层：同一网络里的设备可以互相「串门」，收银电脑的共享文件夹、监控录像机的管理页面，只要没设防，就等于门开着。
连上同一个 WiFi，到底能看到什么
同一个 WiFi 下的设备，默认处在同一个局域网里，彼此可以直接访问。这和「黑客远程入侵」是两回事，不需要任何高深技术，一部普通手机装个扫描软件就能把网里的设备列出来。
| 设备 | 同网段的人能看到什么 | 常见后果 |
|---|---|---|
| 收银电脑 | 共享文件夹、远程桌面入口、打印机 | 销售数据被翻看，或被装东西 |
| 监控录像机(NVR) | Web 管理登录页 | 密码弱就直接看实时画面和回放 |
| 打印机 | 打印服务、管理页 | 乱打纸、被当跳板 |
| 智能音箱/电视 | 投屏和控制入口 | 被恶作剧控制，影响营业 |
所以「会不会看到收银和监控」的答案是：看不到支付数据的内容，但很可能摸得到这些设备的管理入口。门开不开，取决于您怎么摆网络。
三种最常见的危险摆法
我们上门做网络时，反复看到同一类摆法，按出现频率排：
- 所有人共用一个 WiFi：顾客、员工手机、收银电脑、监控全在一个网里，密码贴在墙上，半年不换。
- 监控用默认密码：装监控的师傅图省事，录像机密码是 12345 或空密码。同网段的人打开它的管理页，直接就进去了。
- 收银电脑开着共享：为了方便拷数据开了共享文件夹，还没设密码。谁连上 WiFi 谁就能翻看。
这三种摆法单独出现都危险，凑在一起更危险。而它们之所以普遍，是因为装宽带的、装监控的、装收银的各管一段，没有人负责把整张网当一个整体看。
正确做法：把客人请进另一个院子
解决思路一句话：客人的手机进「客房」，收银和监控住「里屋」，中间锁门。落到设备上是两件事。
第一件，开访客网络。现在一百多元的企业级路由器、以及大部分新家用路由器，都有「访客网络」功能。设置时盯住两个开关：一是开启访客网络，单独设一个 WiFi 名称和密码；二是勾选「隔离」或「禁止访问内网」，有的路由器叫「AP 隔离」。勾选之后，访客 WiFi 里的设备只能上互联网，摸不到收银和监控。顺手给访客网络限个速，比如总共 20 Mbps，客人刷视频够用，也不影响收银。监控和收银抢上行的事，上一篇算过账：监控和收银能共用一条宽带吗。
第二件，里屋自己也要收拾。监控录像机的默认密码改掉；收银电脑关掉用不到的共享文件夹，系统补丁正常打；收银和监控最好再分开，比如监控单独接一个小交换机，或路由器支持的话划到不同 VLAN。客人进不来是一层，万一店里某个设备中招，不让它蔓延到收银，是另一层。
路由器太老、没有访客网络功能怎么办？最简单的补救：花几十元买一台旧路由器，单独给客人用，接在主路由器的 LAN 口上，只发顾客 WiFi。它和收银监控在同一根宽带下，但顾客设备被这台旧路由器挡在自己的网段里。这个做法不完美，比起所有人一个网，已经好得多。
店多起来以后，还有一个坑
单店做好访客隔离，问题基本就解决了。店多起来、几家店用组网连成一个大内网之后，要多想一步：访客流量别跟着组网隧道带回总部。
组网解决的是「门店到总部、门店到门店」这条路。访客 WiFi 的流量只是上互联网，没有理由进隧道。正确配法是访客网段走本地宽带直接出局，只有收银、监控这些业务网段才进组网。如果您用羽信安，配的时候按网段选哪些进组网即可；用别家产品，原则是同一个。异地组网传输过程本身的安全问题，在另一篇里写过：异地组网安全吗。
这里也要说清边界：羽信安管的是店与店、店与总部之间的路和加密；店内「客人 WiFi 和收银隔开」这件事，发生在店里的路由器上，要在店内设备侧做。谁告诉您装个组网盒子就能顺便把店内隔离也解决了，那是把两层事混成一层。羽信安目前公开的能力是：有线断开自动切 4G、恢复后自动切回；中心节点可切换；管理平台暂时不可用时设备按已缓存配置继续转发。免费体验版公开为 2 个终端、2 Mbps 转发带宽、P2P 不限速，入口在 羽信安官网。
花十分钟，拿自己手机验收一遍
不用请人来测，自己的手机就是工具。连上您店里的访客 WiFi，做四个动作：
- 看拿到的 IP：手机连上访客 WiFi 后，在 WiFi 详情里看 IP 地址段。和收银电脑的 IP 段一样，说明没隔开。
- 开收银电脑的地址：浏览器输入收银电脑的 IP。打得开任何页面或共享，都不合格。
- 开录像机的管理页：浏览器输入监控录像机的 IP。能出现登录框，就说明客人也到得了这扇门。
- 扫一遍网段：应用商店搜「网络扫描」类工具，看能不能列出收银、监控、打印机。正常结果应该只看到您自己的手机和网关。
四项全拦住了，访客隔离才算真做上。任何一项能通，回去查访客网络的「隔离」开关是不是没勾。
常见问题
顾客 WiFi 会不会拖慢收银？
隔开之后各走各的额度。给访客网络限个速，比如 20 Mbps，收银那几 KB 的支付小包几乎不受影响。真正吃带宽的是监控远程调看，那是上行的事，算法在监控收银共用宽带那篇里。
开了访客网络，原来的 WiFi 密码要换吗？
要。原来那个 WiFi 只有自家设备该连，换掉密码，让收银、监控、员工手机重新连一次。旧密码知道的人越多，里屋的门锁越形同虚设。
我在外地用手机看店里监控，和隔离冲突吗？
不冲突。手机远程看监控走的是录像机自己的服务或组网隧道，不从访客 WiFi 进。隔离只管「连了店内访客 WiFi 的设备」，管不到您自己远程回家的路。具体做法见小工厂监控异地手机看那篇。
收银系统是云端 SaaS，还怕同网段吗？
支付和会员数据在云端，同网段的人碰不到云端数据本身。但收银电脑本机、监控录像机的管理口仍然在局域网里暴露着，该隔还是要隔。云端解决数据安全，不解决设备入口安全。
小结：顾客 WiFi 和收银监控能不能共存，答案是可以，但别在同一个院子里。访客网络加隔离开关是主干，监控改密码、收银关共享是配套。多家店组网后，记得让访客流量走本地出局。多店网络方案可看 羽信安公开方案，也欢迎带着您的路由器型号来对照。
