餐廳客用與營運WiFi應如何分隔？

分隔應做到哪三層

無線網絡分隔可分為名稱層、網段層及流量層。只在名稱層分開，兩個SSID仍可能共用同一網段與同一頻寬，實際效果有限。真正的分隔要求三層同時處理，並在配置完成後以實測驗證。

客用與營運SSID的配置對照

上表的分別集中在信任程度：客用網絡假設裝置不可信，因此以隔離及限速為主；營運網絡假設裝置已知，因此以可用性及優先次序為主。同一台接入點可同時承載兩個SSID，但兩者的網段必須不同。

配置與驗證步驟

1. 規劃網段——為客用及營運網絡各分配獨立網段，並在路由設備上訂明兩者之間不可互通。
2. 設定SSID對應——在無線接入點把兩個SSID分別對應到兩個虛擬區域網絡，確認標籤設定正確。
3. 設定客用限制——啟用用戶端隔離、設定頻寬上限及連線時限，並加入使用條款頁面。
4. 處理管理介面——確認路由器、交換機、接入點及錄影機的管理介面不能從客用網段存取。
5. 實測隔離——以一部裝置連上客用SSID，嘗試存取收銀網段、錄影機及管理介面，全部應無法連通。
6. 實測頻寬影響——在客用網絡進行大流量下載，同時觀察落單與支付終端的反應時間。
7. 記錄配置——把網段、SSID、密碼保管方式及限速設定寫入文件，供日後維護及員工交接使用。

香港餐廳的無線環境特點

香港餐廳所在的商場及唐樓地舖，鄰近無線網絡數量通常很多，2.4 GHz 頻段擁擠情況尤其明顯。實務上應優先讓客人裝置使用 5 GHz，並在通道規劃上避免與鄰舖的接入點重疊，否則即使分隔配置正確，客人仍會感到連線緩慢。

餐廳的物理環境亦影響覆蓋。廚房不鏽鋼設備、冷藏櫃、夾層樓板及玻璃隔屏都會削弱訊號，多層舖位往往需要多於一個接入點。位置選擇應以座位區及外賣等候區為優先，而非只把設備放在收銀後方。

營運裝置方面，收銀、出單機及叫號屏建議以有線連接，把無線資源留給平板及客人。訂單平板則應連上營運SSID而非客用SSID，避免客用網絡的限速及隔離設定影響接單。

提供公眾上網服務涉及一定責任與紀錄安排。通訊事務管理局辦公室就電訊服務及消費者事宜提供資料；實務建議是在客用網絡加入使用條款頁面、限制頻寬、啟用用戶端隔離，並保留必要的連線紀錄，以便在事故發生時可作追查。

常被忽略的漏洞

第一個漏洞是管理介面仍可從客用網段存取。不少現場只做了SSID分開，卻忘記路由器與錄影機的管理頁面仍在同一可達範圍，實測時應逐個管理位址嘗試連線確認已被阻隔。

第二個漏洞是營運密碼流傳。若營運SSID密碼曾提供給客人或臨時員工，分隔設計便失去作用。建議營運密碼由指定人員保管，並在員工流動後更換。

第三個漏洞是客用網絡沒有限速。單一裝置持續大量下載會佔用整體對外頻寬，即使網段已分開，落單及支付仍會受影響。應在客用網段設定總量及單機上限。

第四個漏洞是攝影機或門禁裝置被誤接到客用網段。設備更換或加裝後應核對所在網段，並在文件中記錄每個網絡點的網段對應。

常見問題

權威參考來源

• 維基百科 Virtual LAN（虛擬區域網絡）條目
• 維基百科 Captive portal（強制門戶）條目
• 維基百科 Wi-Fi Protected Access（無線加密標準）條目
• 通訊事務管理局辦公室消費者事宜（Consumer Focus）資料

相關弱電知識