学校里上网的人群天然分成两拨：一拨是师生办公教学用的，一拨是学生生活用的。前者连着教务、财务、科研这些内部系统，后者主要是宿舍刷剧、打游戏。两套网络如果不做隔离，学生的流量挤占办公带宽事小，更怕的是学生网络被攻破后横向摸到内网。学校WiFi上网计费系统在设计时，就得把这两类网络的边界想清楚。这篇讲隔离的几个实务层次。

先分SSID，还是先分VLAN

最基础的隔离是无线层面。学生网络和办公网络应该用不同的SSID，背后走不同的VLAN。这样在二层就分开了，学生连的WiFi和教师连的WiFi根本不在同一个广播域。有些学校图省事，全校一个SSID，靠认证后区分权限，这种做法隔离很弱，一旦认证被绕过就串了。我们建议至少在无线侧分两个SSID，办公的给教职工，学生的给宿舍和公共区域。计费系统对两个SSID套不同费率，隔离和计费一次做完。

办公网络要能触达内网，学生网络别想

教师办公网络要访问教务、财务等内部系统，所以办公VLAN要和内网互通，但这个互通要受控，按角色授权。学生网络则应该放在一个只能上互联网的隔离区，默认不能访问任何内部系统。计费系统在这里的作用是：学生账号即使认证通过，也只在学生VLAN里，拿不到内网路由。我们见过学校把学生网络误配成和办公同网段，结果学生能扫到财务系统的端口，吓出一身冷汗。VLAN层面的隔离必须硬，不能靠"应该访问不了"来假设。

访客网络要再隔一层

除了学生和办公，学校还有外来访客。访客网络要隔得更狠：单独SSID、单独VLAN、只能上互联网、限速、定时失效。访客账号由前台或会议组织者发放，和计费系统的学生、办公体系完全独立。我们建议访客网络连计费账单都不需要，发临时通行证即可，避免把外部人员扯进学校的账务体系。三层隔离（办公、学生、访客）是校园WiFi比较稳的模型。

带宽要按网络分池，别互相挤

隔离不只是安全问题，也是体验问题。学生宿舍晚上高峰能把出口占满，如果办公网络和它共用一个出口池，老师晚上查资料也跟着卡。我们建议在出口侧给学生网络和办公网络分配独立的带宽池，办公保底，学生弹性共享。计费系统里给每类网络设带宽策略，办公走保底速率，学生走共享上限。这样两边互不影响，也不会因为宿舍刷剧把教学业务拖垮。

审计和日志也要分开留存

两类网络的法律要求不同。学生网络涉及未成年人保护和上网行为管理，日志留存要求更严；办公网络涉及教职工隐私，留存范围要克制。计费系统产生的上网日志，要按网络类型分开存储、分开授权访问。我们建议学生网络的日志按公安要求周期留存并可追溯，办公网络的日志只保留必要的接入记录。混在一起存，既违规也不好查。隔离是端到端的，日志这一步也不能漏。

学生网络和办公网络的隔离，不是技术炫技，是校园网络安全的基本要求。分SSID、分VLAN、限内网、隔访客、分带宽池、分日志，这六步做到位，学校WiFi上网计费系统才既能收好学生的钱，又不把内部系统暴露在风险里。

隔离要靠配置固化，别靠默契

我们见过学校口头约定"学生网络不访问内网"，但实际配置里VLAN间路由是通的，只是没人去连。这种靠默契的隔离一碰就破。隔离必须写成配置、落到设备、且定期复查。建议每学期做一次隔离有效性验证：用学生网络尝试访问内部系统地址，确认确实不通。很多安全问题不是没设计，是设计了没固化，时间一长被改掉没人发现。隔离是动态维护的事，不是上线一次就完。

教学和科研的特殊访问要留白

隔离不能做得太死，否则老师和研究生在宿舍想连实验室算力、查文献数据库也会被拦。我们建议给学生网络开一个白名单通道，放行学校购买的学术资源、图书馆数据库等指定地址，其余内网依旧不可达。这样既守住了核心系统，又不耽误正经科研。白名单要由图书馆和信息化共同维护，随资源采购更新。隔离和便利之间，靠白名单找平衡，而不是二选一。