客房网、办公网、监控网与 IPTV：VLAN 和地址怎么分

为什么酒店网络必须分域

一张平网能通，但会出三种问题：

• 安全问题：客房之间互通，懂技术的客人能扫到同层其他客人的设备；客人也能访问到前台办公电脑和监控设备。
• 性能问题：所有广播包、组播包在整个网络里泛洪，几百个终端一多，空口和链路都被无用的流量占住。
• 管理问题：出故障时无法判断是哪个业务在占带宽，也没法给不同业务做不同的限速策略。

分域的做法就是 VLAN。这篇给的是规划口径和容易踩的坑，具体配置命令按交换机品牌查手册，逻辑是通用的。

一张可以直接用的 VLAN 规划表

VLAN 号本身没有强制规范，用 10 的倍数是为了好记、好扩展。地址段用 10.x.x.x 私有地址，按楼层或按业务继续细分都可以，关键是先定规则再动手，不要现场临时加。

客房网必须做隔离

这是最容易被忽略、也最容易出安全事故的一条。

客房网里的终端是客人的私人设备，相互之间没有任何互通的必要。要做的隔离有两层：

1. 无线侧：在 AC 或 AP 上开启「AP 隔离」（也叫客户端隔离），同一 AP 下的终端互相不可见。
2. 有线侧：在接入交换机上开启端口隔离（Private VLAN 或端口保护），同一交换机下的客房端口之间不能直接通信，只能上行到网关。

只做一层是不够的：客人用手机连 WiFi、用笔记本插网线，这两个终端在二层仍可能互相发现。

隔离之后，客房网到内网其他 VLAN 的访问要全部拒绝，只放行到出口网关。这条策略写进 ACL，不要靠「默认没人会访问」来保证安全。

IPTV 的组播要单独处理

IPTV 和普通上网的流量特征完全不同：直播是组播，一路节目在全网只发一份，靠组播协议分发到各个机顶盒。

如果交换机没开 IGMP Snooping，组播包会被当成广播包，在所有端口泛洪。后果很直接：几百间房同时看电视，每台交换机的每个端口都在收全部频道的流量，上联链路瞬间被打满，连带办公网一起卡。

正确的做法：

• 接入交换机开启 IGMP Snooping，让组播只发到有订阅者的端口。
• 规划独立的组播 VLAN，或者在 IPTV VLAN 内启用组播路由（PIM）。
• 机顶盒所在的端口开启 IGMP Snooping 的快速离开（Fast Leave），换台更利索。
• 如果 IPTV 有回看、点播功能，那部分走的是单播，按普通视频流对待。

我们的 IPTV 服务器是 6 个千兆电口加 2 个 10GE 光口，光口接核心交换机承载视频流，这是规划组播链路时的落点。

客控与门锁单独一个域

客控主机、门锁网关、能耗采集器这些设备，数量多、带宽小、但重要性高。它们和客房网混在一起，有两个风险：

• 客人能扫描到这些设备，甚至尝试访问（默认密码、弱口令是常见问题）。
• 客人网络出现广播风暴时，客控设备一起掉线，房内开关失灵，直接影响入住体验。

单独划一个 VLAN，只允许这个网段访问客控服务器和门锁管理端，其他方向全部拒绝。带网口的客控主机（G1、RCU-G5）接入时，端口就分到这个 VLAN。

地址池与 DHCP

每个 VLAN 一个独立地址池，网关地址统一用 .1，DHCP 由核心交换机或专用服务器提供。

几个实务要点：

• 地址池要够大。客房网按「房数 × 4」起步，一个 /24 只有 254 个可用地址，100 间房按 3 个终端算就 300 个了，超出会有人连不上。房数多的项目直接用 /23 或按楼层拆池。
• 租期不要设太长。客房是流动场景，租期设 2 到 4 小时比较合适，太长会导致地址池被已离店客人的记录占满。
• 不要有第二个 DHCP。现场调试时接进来的家用路由器如果开着 DHCP，会和主 DHCP 打架，表现为「有的人能上网有的人不能」。接入交换机上可以做 DHCP Snooping，只信任上联口的 DHCP 响应。
• 设备管理地址手工配置。交换机、AP、服务器用静态地址或 DHCP 保留，不要靠动态分配，否则设备重启后地址变了，运维会找不到。

ACL 怎么写才不出错

访问控制的规则，建议按「默认拒绝 + 白名单放行」的顺序写，而不是「默认允许 + 黑名单封禁」。后者一旦漏了一条，就是一个洞。

按业务列一个放行清单，大致是：

写规则的时候有个习惯值得养成：每条规则后面写明「为什么放行、谁提的需求、什么时候加的」。半年后回头看，没有注释的规则没人敢删。

四个常见故障

VLAN 通了但上不了网

先查网关和 NAT：VLAN 内部能 ping 通网关，说明二层没问题；ping 不通外网，是三层路由或 NAT 没配。这一步能省掉大量排查时间。

部分房间能上网，部分不能

多数是接入交换机端口没划到正确 VLAN，或者端口 PVID 没改。查端口配置比查终端快。

IPTV 卡顿但带宽没跑满

看组播有没有泛洪，检查 IGMP Snooping 是否开启，以及上联口有没有正确配置组播 VLAN。

客房能看到隔壁的设备

隔离没做全：无线侧开了 AP 隔离，有线侧没开端口隔离，或者有线侧开了但交换机不支持私有 VLAN。这两层要分别验证。

交付时该留下的资料

• VLAN 与地址规划表（本文这张表的实际版）
• 交换机端口对照表：哪个端口属于哪个 VLAN、接的哪个房间
• 设备 IP 清单：交换机、AP、服务器、客控主机的管理地址
• ACL 规则文档（带注释）
• 拓扑图：标注上联方式与链路带宽

这五份资料是后期运维的基础。很多酒店换了工程商之后，网络就成了黑箱，连哪个端口接哪间房都要重新测，成本很高。

相关阅读

设备侧的口径见《酒店交换机怎么选》，无线点位见《客房 WiFi 覆盖怎么定》，线缆与验收见《弱电布线与验收》。

如果酒店已经开业，只想补划分域，把现有拓扑和交换机型号发给我们，我们按现有设备能力给改造方案，不一定需要换设备。