Гостевой SSID и изолированный доступ — разные результаты.
Разделение имён сетей подтверждают проверкой маршрутов и правил, включая инфраструктуру и обе используемые версии IP.
Определить разрешённый минимум
Составьте таблицу: сотрудники получают доступ к рабочему приложению и разрешённой печати; гости — к согласованным внешним ресурсам; администратор — к управлению оборудованием. Укажите владельца каждого исключения. Если презентации требуют общей панели в переговорной, опишите конкретный способ подключения. Открывать гостям весь внутренний диапазон ради одного устройства — слишком широкое решение исходной задачи.
Проверить границы с обеих сторон
Отдельный SSID виден пользователю, но сам по себе не доказывает изоляцию. На разрешённых тестовых адресах проверьте, что гость выполняет нужную внешнюю задачу и не открывает внутреннее приложение или страницу управления. Для сети с IPv6 проверка только IPv4 неполна. Если политика запрещает связь гостей между собой, добавьте две гостевые машины и согласованный тест такого соединения. Проверяйте только собственные или явно разрешённые ресурсы.
Сохранить объяснение исключений
В протоколе нужны исходный сегмент, назначение, сервис и ожидаемый исход, а также фактическое наблюдение. Отрицательный тест должен различать запрет правила и случайно выключенный сервер: доступность контрольного ресурса проверяют из разрешённой зоны. Временные разрешения получают срок и ответственного. После изменения топологии или замены шлюза матрицу проверяют снова, иначе название сегмента останется прежним, а его границы могут измениться.