“隔壁公司/楼下奶茶店都能连上我们 Wi-Fi””访客扫码连了网,结果能访问到内部共享文件””密码用了三年,离职的人手机还能自动连”——公司 Wi-Fi 看着方便,却常常是被忽视的安全短板。今天给一份中小企业无线网络安全实用指南:Wi-Fi 有哪些风险、怎么一步步收紧、以及成本不高就能做的几件事。
先说结论
公司 Wi-Fi 安全,关键做三件事:用强加密和强密码、把访客网络和办公网络隔离、办公网络接入有管控。别再用弱密码、别让访客和内部在同一个网里、别一套密码用到底。这三件成本都很低,却能挡掉绝大多数蹭网、入侵和横向扩散。
公司 Wi-Fi 常见的安全风险
- 被蹭网/被破解:弱密码、老旧加密(WEP/WPA)容易被破,外人蹭进来。
- 访客和内部不隔离:访客连上就能摸到内部共享文件、打印机、内部系统。
- 密码从不换、人人共享:离职员工、来过的访客,手机里还存着能连。
- 一台中招、横向扩散:同一网段里一台设备中毒,顺着内网扫其他机器。
- 私接路由/热点:员工私自接无线设备,绕过管控开了新口子。
第一步:强加密 + 强密码
- 用 WPA2/WPA3 加密,别再用 WEP/WPA 这类老旧易破的。
- 密码够长够复杂,别用公司名、电话、123456 这种。
- 定期更换,尤其有员工离职、或密码疑似外泄后。
- 关掉 WPS 一键连,它是常见的被破解入口。
第二步:访客网络和办公网络隔离(最关键)
这是最该做、也最容易被忽略的一步。给访客单独开一个 Wi-Fi(访客网络),和办公网络在网络上彻底隔开——访客能上网,但访问不到公司内部的文件、打印机和内部系统。
- 访客网络单独 SSID + 单独网段,只给上网、不通内网。
- 办公网络不外传密码,访客一律走访客网。
- 有条件的把内部按部门/用途做网络分段,一台中招不至于全网沦陷。
第三步:接入管控 + 远程访问别开公网
- 管住谁能接入办公网:重要网络可做设备准入,不明设备连不上。
- 禁止私接路由/热点,发现及时清理。
- 统一管理 AP:多个无线接入点集中管,能看谁连了、及时发现异常。
- 远程办公别靠”把内网端口开公网”:员工在外要连公司系统,走零信任远程访问,内部系统对公网隐身、验明身份再连,别指望 Wi-Fi 密码扛安全。
常见问题
Q:小公司 Wi-Fi 有必要搞访客隔离吗?
A:很有必要,而且几乎免费。绝大多数商用路由/AP 都自带”访客网络”功能,开一下就行,却能挡掉”访客连上就能摸内网”的大隐患。
Q:Wi-Fi 密码多久换一次?
A:办公网络建议定期换(比如每季度),有员工离职或怀疑外泄时立刻换。访客网络可以设更简单但也别一成不变。
Q:员工在外用公共 Wi-Fi 连公司系统安全吗?
A:公共 Wi-Fi 本身不可信,关键看你怎么连内网。别把内部系统端口开公网,走零信任远程访问验明身份再连,即便在公共 Wi-Fi 下也安全。
Q:这些设置我们不会弄怎么办?
A:可以交给运维服务方:无线规划与加密、访客隔离与网络分段、AP 统一管理、设备准入、加上远程办公安全,一站式做好并长期维护。
担心公司 Wi-Fi 被蹭、被入侵,访客能摸到内网?
思文力得帮中小企业做无线网络安全:WPA2/WPA3 加密与强密码、访客网络隔离与网络分段、AP 统一管理与设备准入、加上零信任远程访问,给你的团队当 IT 与安全外援。北京企业可拨 400-686-2011 或访问 siwenlide.com。