Meraki 來賓 WLAN 建置流程
- 建立專用 SSID (如 Guest-WiFi)，選擇「Splash Page」認證模式：
① 管理員預建帳號；② 授權前台人員增刪帳號；③ 訪客自助註冊 (郵件/簡訊/社交登入) → 管理員核准。
- 強制入口頁面：可要求訪客接受 AUP、運行防毒軟體 (ActiveX/持久代理檢測)、安裝姿態評估 Agent。
- 流量管控：目的地/埠/URL 白名單、頻寬限制 (QoS)、VLAN 標記隔離 (Guest VLAN → 防火牆 → Internet)，禁止存取內部資源。
- 可視化分析：雲端儀表板即時顯示連線裝置、流量分佈、應用分類、異常警報。
加密與動態 PSK 強化
- 開啟 WPA2-PSK (AES) 降低拒絕服務/被動監聽風險。
- 傳統 PSK 共享難撤銷 → 採用 動態 PSK：Ruckus DPSK、Aerohive PPSK、Cisco Identity PSK，每用戶/裝置唯一金鑰，支援到期自動失效、單點撤銷、Windows/macOS/iOS 自動安裝描述檔免手動輸入。
NAC 設備完整性檢查：補上來賓管理最後一塊拼圖
Gartner 指出 75% NAC 部署為應對「非受管裝置帶入威脅」。來賓裝置不受 IT 管控，無法強制推送 Agent。解決方案：
- 無代理掃描：Nmap/被動指紋識別 OS/開放埠/服務版本、檢查防毒軟體運行狀態 (WMI/SSH/SNMP 查詢)、補丁水平。
- 溶解式代理：瀏覽器端 Java/ActiveX/HTML5 掃描器 (已淘汰)，現代採用 持久/無縫代理 (Cisco AnyConnect Posture、Aruba ClearPass OnGuard、FortiNAC Persistent Agent) — 登入時自動下載、檢測完成可選擇保留或自動移除。
- 隔離修復區：不合規裝置導向修復 VLAN (僅允許 Windows Update/防毒更新/修復腳本)，合規後動態遷移至 Guest VLAN。
結論：來賓 WLAN 安全 = 身分識別 (Splash/802.1X) + 網段隔離 (VLAN/ACL) + 行為管控 (QoS/URL 過濾) + 動態加密 (DPSK) + 姿態評估 (NAC) 五位一體。