AC AP

简单。

两个vlan 对应好两个ssid模板，

其中一个，在防火墙或者出口路由器上面不要nat这个网段即可。

可以的，acl限制下就行

要实现两个 SSID 分别连接内网和外网，核心思路是：为每个 SSID 绑定不同的 VLAN，然后通过 ACL 控制 VLAN 间的访问权限。

简单来说，就是让两个 Wi-Fi 信号处于不同的“虚拟网络”中，再设置规则，让其中一个（访客网）不能访问另一个（内网）。

方案规划（假设场景）

• 内网 SSID：Office，绑定 VLAN 10，网段 192.168.10.0/24。连接此网络的设备可以访问全部内网和外网。

• 访客 SSID：Guest，绑定 VLAN 20，网段 192.168.20.0/24。连接此网络的设备仅能访问外网，不能访问内网。

配置步骤

以下步骤假设你的 AC 是旁挂在核心交换机上，且网关（如核心交换机）具备 ACL 功能。

1. 全网 VLAN 规划与配置

首先，需要规划并创建相关 VLAN。

• 管理 VLAN：AP 与 AC 通信使用（例如 VLAN 100）。

• 业务 VLAN：分别为两个 SSID 创建 VLAN 10（办公）和 VLAN 20（访客）。

• 配置交换机和 AC：在核心交换机上创建这些 VLAN 的三层接口（SVI），作为各自网段的网关。并在连接 AC 和 AP 的接口上配置为 Trunk 模式，允许这些 VLAN 通过。

2. 配置 AC（以命令行方式为例）

登录 AC 进行配置。

2.1 创建无线服务模板

分别为两个 SSID 创建服务模板，并绑定不同的 VLAN。

2.2 将服务模板绑定到 AP 射频

将上面创建的服务模板，绑定到 AP 的 2.4G 或 5G 射频上。

3. 配置 ACL 进行访问控制

这是实现“访客只能上外网”的关键步骤。ACL 通常在网络的网关设备（核心交换机或防火墙）上配置。

3.1 在核心交换机（网关）上配置 ACL

3.2 应用 ACL 到 VLAN 接口

 验证与测试

配置完成后，可以进行以下验证：

• 使用手机或电脑连接 Office SSID，应该可以获取 192.168.10.x 的 IP，并能正常访问内网服务器和外网。

• 连接 Guest SSID，应该获取 192.168.20.x 的 IP。尝试 ping 内网服务器（如 192.168.10.x）的 IP，应该不通；但访问百度等外网网站应该正常。