VLAN 和 WiFi 名称到底起什么作用
想象一个场地，只有一套走廊，但门用颜色区分。大家走的是同一栋楼，来宾的钥匙却只能打开来宾的门。VLAN 是虚拟局域网的简称，原理类似：同一套网线、交换机和接入点承载多个网络，每个网络的流量都带有标记，永远不会和其他网络混在一起。
WiFi 名称，也就是 SSID，是大家看得见的部分。每个网络有自己的名称和密码，接入点把它们同时广播出来。设备加入某个名称后，就落在那个网络的 VLAN 里，只能看到里面的内容。最上层的路由器决定哪些 VLAN 能上网、哪些之间可以互通，以及每个网络能分到多少连接带宽。
这一切不需要为每一组配单独的硬件。一台支持 VLAN 的商用路由器，加上下面的接入点和交换机，运行五个网络和运行一个网络一样轻松，前提是在安装之前就规划好，而不是活动当天再临时添加。
活动中常见的独立网络
并非每场活动都需要五个，大多数至少需要三个。
| 网络 | 谁或什么加入 | 对来宾可见？ | 为什么要独立 |
|---|---|---|---|
| 工作人员与制作 | 主办方、AV 团队、签到笔记本、直播编码器 | 否 | 让流程表、文件和直播远离来宾的负载 |
| 来宾 | 来宾的手机和笔记本 | 是，写在指示牌上 | 最繁忙、最不可信的网络，与其他网络隔开 |
| 支付与票务 | EFTPOS 刷卡机、POS 平板、检票扫码设备 | 否 | 交易不应与公众共用网络或空中时间 |
| 设备 | 屏幕、打印机、数字标牌 | 否 | 固定设备很少更新，不应与来宾放在一起 |
| 摄像头 | 监控摄像头（CCTV）和录像设备 | 否 | 持续的视频流量和私密画面，使用预留的 PoE 端口 |
以上是类别。实际的 WiFi 名称按每场活动另行确定。
为什么活动需要独立的 WiFi 网络
独立网络的意义不在速度，而在于活动某一部分变忙或出问题时会发生什么。
安全
来宾使用大家共享的密码，当支付终端、员工笔记本和摄像头录像都在来宾接触不到的网络上时，来宾就无法访问它们。
性能
每个网络可以有自己的带宽份额，所以来宾网络即使满载，也不会动到直播和支付的份额。
支付持续可用
来宾 WiFi 最吃紧的时刻，通常也是酒吧和入口最忙的时刻，此时刷卡机仍能正常工作。我们的活动 EFTPOS 网络就是按这个思路搭建的。
排查更简单
出现变慢时，你能看出是哪个网络繁忙，而不是靠猜，问题也只停留在其中一条通道里。
撤场更干净
活动结束后修改或移除一个网络的密码，不影响其他网络，工作人员用过的内容也不会遗留在外。
工作人员与来宾网络分开的实际做法
工作人员与来宾分开，几乎每场活动都需要，哪怕规模很小。来宾得到一个在指示牌上容易找到的 WiFi 名称，和一个可以打印出来的密码。工作人员则有另一个名称、一个不印在任何地方的密码，并能访问来宾不该看到的东西：共享盘、签到系统和编码器的控制界面。
两个网络跑在同一批接入点上，所以工作人员不需要单独的设备。他们需要的是在路由器上设定的一份预留带宽，这样会间休息时来宾网络被挤爆，也不会让签到台停摆。来宾一侧从命名到指示牌的做法，见来宾 WiFi 实用建议。
案例演算：有监控摄像头的 60 个摊位的市集
一个周末市集，有 60 个摊位、需要购票入场、一个小舞台，以及现金区域上方的几个监控摄像头（CCTV）。如果每个摊位用一两台刷卡机，那就是 60–120 台支付设备。按每个接入点约 50 台设备计算，仅支付设备就是 120 ÷ 50 = 2.4，也就是三个接入点的容量，沿摊位排布开，这还没算工作人员和来宾。
这些接入点上同时跑五个网络：支付与票务，供刷卡机和检票扫码设备使用；工作人员，供主办方使用；设备，供舞台屏幕使用；摄像头，独占一个 VLAN，接在预留的 PoE 端口上；以及主办方提供公共 WiFi 时的来宾网络。来宾看不到任何一台刷卡机或摄像头。像我们的网络加监控摄像头套餐那样，网络和摄像头一次到场一起做，摄像头流量从第一天起就走在自己的通道里。
如何为你的活动规划网络划分
在有人开始配置设备之前，先把这几步做完。
列出每一组人和每种设备
写下谁和什么要连网：工作人员、来宾、刷卡机、扫码设备、屏幕、摄像头、编码器。每一行都是一个候选网络。
按信任程度和重要性分组
把彼此信任、重要性相当的合在一起。支付、摄像头和来宾要与其他部分分开。
决定来宾能看到哪些网络
通常只有来宾网络会出现在指示牌上。其他网络的名称要让来宾不会误认为是自己的。
设定每个网络的份额
商定高峰时每个网络能用多少连接带宽，优先保护直播和支付。
分别测试每个网络
开门前，用真实设备逐个加入每个 WiFi 名称，确认它能访问该访问的内容，不能访问不该访问的内容。
活动网络的命名和密码规则
一些小习惯，帮助整场活动期间保持隔离不被破坏。
- 使用一个与活动相符、一目了然的来宾名称，指示牌上只放这一个
- 工作人员和支付网络的名称，不要看起来像来宾网络
- 避免用会暴露网络用途的名称，比如“EFTPOS”或“CCTV”
- 每个网络使用不同的密码
- 工作人员、支付或摄像头的密码，绝不印在指示牌或流程表上
- 开启来宾隔离，让来宾设备之间互相看不到
- 撤场后修改或移除活动用的密码
常见问题
VLAN 用简单的话怎么解释？
VLAN，即虚拟局域网，是在同一套网线、交换机和接入点上运行多个独立网络的方法。流量带有标记，各个网络互不相通，就像一栋楼里用颜色区分的门。在活动中，VLAN 让工作人员、来宾、支付和摄像头共用设备，却互相看不到。
活动中工作人员和来宾需要分开 WiFi 吗？
需要，几乎所有提供来宾 WiFi 的活动都需要。分开工作人员和来宾网络，能让来宾接触不到签到系统和共享文件，也能让来宾繁忙时工作人员仍保有一份预留的带宽。两个网络可以跑在同一批接入点上，所以分开并不意味着设备翻倍。
活动中 EFTPOS 应该放在单独的网络上吗？
应该。支付终端和检票扫码设备应放在自己的网络上，与来宾分开，这样交易不会与人群争抢空中时间，来宾设备也无法访问它们。请向你的支付服务商了解其终端建议的网络设置，并在开门前在支付网络上逐台测试每台终端。
一个接入点可以广播多少个 WiFi 网络？
商用接入点可以同时广播多个 WiFi 名称，每个对应各自的 VLAN，所以同一批接入点可以同时承载工作人员、来宾、支付和设备。每多一个名称，空中就多一点开销，所以活动一般只设需要的数量，而不是为每一组各建一个。
来宾在活动 WiFi 上能看到其他设备吗？
在没有隔离的单一网络上，来宾有时能看到打印机、屏幕，甚至其他来宾的设备。来宾隔离可以让来宾设备互相看不到，VLAN 则让工作人员、支付和摄像头设备处在来宾无法到达的网络上。两者都在活动前于路由器和接入点上配置。
监控摄像头应该放在单独的网络上吗？
应该。监控摄像头（CCTV）会持续发送视频，画面也应保持私密，所以应放在自己的 VLAN 上，通常接在预留的 PoE 交换机端口上。这样摄像头流量不会占用来宾和工作人员网络，WiFi 上的任何人也无法访问摄像头或录像。
