中小企如何用 UniFi 做好 VLAN 網絡隔離

中小企的網絡通常由員工、訪客、CCTV、打印機及 IoT 裝置共用。若不設分隔，一部被入侵的裝置便可能波及整個網絡。VLAN 是成本不高、卻能有效降低風險的做法。以下說明如何用 UniFi 做好 VLAN 網絡隔離。

一、甚麼是 VLAN，為何中小企也需要

VLAN（虛擬區域網絡）在同一組硬件上，把網絡邏輯地分成多個獨立區域。每個區域有各自的 IP 網段，區域之間預設不可直接互通，除非經防火牆規則放行。中小企未必有專責 IT，但只要有訪客上網、CCTV 或 POS 等裝置，分隔就能防止單一裝置被入侵後橫向移動。

二、常見的 VLAN 劃分方式

• 員工（Staff）：手提電腦、桌上電腦及內部伺服器，可存取公司資源。
• 訪客（Guest）：只提供上網，不可存取內部系統，並可加設訪客熱點。
• IoT／CCTV／POS：鏡頭、打印機、POS 機等，通常只容許與特定系統通訊。
• 管理（Management）：交換機、存取點及閘道器的管理介面，只供 IT 人員使用。

三、在 UniFi Network 建立 VLAN

在 UniFi Network 控制台的「設定 → Networks」新增 VLAN，只需設定名稱、VLAN ID 及網段（例如 192.168.10.0/24）。如需進一步限制，可勾選「Isolate Network」或「Guest Network」選項，限制該 VLAN 對外的存取。

四、把 Wi-Fi SSID 綁定 VLAN

每個 SSID 都可以綁定一個 VLAN。新增無線網絡時，在 Network 一欄揀選對應 VLAN，連上「員工 Wi-Fi」與連上「訪客 Wi-Fi」的裝置就會自動落到不同網段，毋須為每部裝置逐部設定。

五、把交換機 Port 綁定 VLAN

有線裝置（如打印機、CCTV 或特定位置）可以按交換機 Port 綁定 VLAN。在 UniFi 的交換機設定中，把該 Port 設定為 Access，並指定 VLAN，該 Port 上的裝置就會歸入所屬網段。

六、用防火牆規則控制跨 VLAN 存取

VLAN 建立後，還需要防火牆規則決定誰能連誰。預設先「全部封鎖」，再按需要逐條放行，例如只容許打印機 VLAN 與員工 VLAN 互通、CCTV VLAN 只可連到錄影主機。這樣即使某個區域失守，也不會直接波及全個網絡。

七、中小企的實務建議

毋須一開始就做大量 VLAN。先分「員工、訪客、IoT」三個最常用的區域，逐步把關鍵裝置搬入所屬網段，再補上防火牆規則。每次改動前先記錄現有設定，方便回退。

總結

VLAN 是中小企以合理成本提升網絡安全與管理清晰度的做法。UniFi 把 VLAN、SSID 及交換機 Port 的設定集中在同一個控制台，令網絡分隔毋須依賴複雜的指令。我們可為香港的辦公室、店舖及學校設計及設定 VLAN、訪客網絡及防火牆規則；首次現場勘察免費。