如果 CCTV 和办公网络位于同一 VLAN，那么一台摄像头被攻破时整个办公室都会暴露。这里整理在 Omada SDN 中实现最小隔离的步骤。
VLAN ID设计
| VLAN | 用途 | 频段 | 网关 |
|---|
| 1 | 管理（交换机·AP） | 192.168.1.0/24 | 192.168.1.1 |
| 100 | WiFi 访客 | 192.168.100.0/24 | 192.168.100.1 |
| 200 | CCTV / NVR | 192.168.200.0/24 | 192.168.200.1 |
| 10 | 业务 | 192.168.10.0/24 | 192.168.10.1 |
很多地方仍将管理 VLAN 直接使用默认的 VLAN 1，如果可能，最好分离到单独的 ID。
设置顺序
- Settings → Wired Networks → LAN → Create New LAN
- 输入 VLAN ID / Gateway / Subnet，指定 DHCP 范围
- 交换机 → Ports → 为目标端口分配 VLAN Profile
- 通过 Devices → Provision 下发配置
- 必要时通过ACL阻断VLAN间流量
ACL — 真正需要拦截的内容
- 访客 → 业务网全部阻断（默认）
- CCTV → 阻断互联网访问，仅允许与 NVR 通信
- 业务 → 仅允许CCTV查询（NVR Web端口）
- 管理VLAN仅允许从指定的管理PC访问
如果让 CCTV 完全离线，就无法进行远程监控。实务上可行的配置是仅将 NVR 暴露到外部，而摄像头本身无法访问互联网。
常被忽略的要点
- AP 的管理 IP 落入访客 VLAN 导致远程管理中断的情况
- NVR 找不到摄像头的情况——大多是未允许 VLAN 间路由
- PoE 预算超支 — 需要计算摄像头数量 × 功耗