我家那台老掉牙的分开TP-LINK，WAN口插着电信光猫，内网LAN口却接了个思科小AP。和外刚开始图省事，分开AP就设成桥接模式，内网结果手机连上Wi-Fi，和外既能看B站又能访问公司内网——同事用我手机查个资料，分开差点把公司数据库的内网登录页给翻出来。吓得我赶紧把AP拆下来研究。和外

后来才搞明白，分开AP上其实能划出两个“虚拟房间”，内网一个给内网，和外一个给外网。分开这种功能叫“多SSID”，内网但光设两个名字不够，和外关键得把每个SSID绑到不同的VLAN上。VLAN这词听着唬人，说白了就是给数据包贴标签——内网的数据包贴蓝条，外网的贴红条，AP看见蓝条就扔进内网口，红条就丢给外网口，物理上虽然还是一个口，逻辑上却分得清清楚楚。

具体操作时，我拿华为的AP试过。登录管理界面，在“无线服务”里新建两个SSID，一个叫“Office-内部”，一个叫“Guest-外部”。重点来了，每个SSID底下都要选“VLAN ID”，我内网填了10，外网填了20。接着去“VLAN配置”里，把AP的上联口设成trunk模式，允许vlan10和vlan20通过。这时候交换机那头也得配合，给内网口打上vlan10的标签，外网口打上vlan20。两边对不上，数据包就乱窜。

光设VLAN还不够，DHCP也得分开。内网那个SSID，我直接指定它从公司的DHCP服务器拿地址，网关指向核心交换机；外网那个就简单，让AP自己开个DHCP池，分出来的IP段跟内网完全不搭界。这样手机连“Office-内部”时，访问的是192.168.10.x的内网资源；连“Guest-外部”时，拿到的是192.168.50.x，只能走默认路由出公网。

有个坑得提一嘴——如果AP和交换机之间隔了层PoE供电，或者中间串了台傻瓜交换机，VLAN标签可能被剥掉。我遇到过一回，办公室角落接了个八口小交换机，AP插在上面，结果内网SSID死活不通。查了半天，发现那台小交换机不支持VLAN透传，把标签给吞了。后来直接换了个支持802.1Q的千兆交换机，问题才解决。

还有个细节，别忽略无线隔离。外网那个SSID，我开了“AP隔离”，让连Guest的终端彼此看不见。内网SSID则关闭隔离，方便同事之间投屏共享。这配置在界面里叫“用户隔离”或“客户端隔离”，不同牌子叫法不一样，但功能一样。要是忘了开，外网访客能扫到内网设备，那隔离就白做了。

最后说句实在话——这功能不是所有AP都支持。百来块的家用AP，多半只有单SSID或双SSID但VLAN绑定是锁死的。真要分开内外网，至少得是企业级AP，或者带“多业务”功能的商用设备。我后来干脆换了台锐捷的Wi-Fi 6 AP，配置界面里直接有“内网/外网”模板，填两个网段就完事，比手动调VLAN省心多了。但原理还是那套——SSID + VLAN + 隔离，缺一不可。