路由分区：把“收银”和“蹭网”彻底隔开
实体店网络不稳、还不安全，多半是因为所有设备都在一个网段里混着跑。做法不复杂：用路由器/交换机的VLAN分区，或者至少用多SSID分组，把风险切开。
- 业务网（VLAN10）：收银POS、扫码枪、后厨屏、打印机、NAS，只允许访问必要的云服务/IP，禁止互相乱扫端口。
- 办公网（VLAN20）：店长电脑、盘点机、监控管理端，能访问后台，但不直接碰POS。
- 监控网（VLAN30）：摄像头、NVR，限制出网，只允许到录像机/管理端，避免被当“肉鸡”。
- 访客网（VLAN40）：公共WiFi，开启“客户端隔离”，不许访问内网任何设备。
小案例：一家60㎡奶茶店，2台POS+1台标签打印机+8路摄像头。分区后，公共WiFi再怎么挤，POS延迟从“偶尔卡住”变成稳定在可用范围，员工也不会把打印机暴露给顾客手机乱连。
公共WiFi：稳定、好连、还能控风险
公共WiFi要好用，但别让它拖死收银。建议把“好用”做在体验，把“限制”做在后台。
- 双SSID：一个给员工（加密、固定密码或账号），一个给顾客（访客隔离+限速）。
- 加密与认证：能用WPA3就用WPA3；至少WPA2。不要用弱口令，别用“12345678”。
- 限速和限连接数：给访客网设个上限，比如每设备2–5Mbps、每AP同时50台以内，避免一堆人刷短视频把上行打满。
- DNS与内容策略：用可靠DNS，开启恶意域名拦截；对P2P/挖矿特征流量做阻断或限速。
- AP摆位：收银台附近别放“穿墙弱信号”，宁可用1-2个吸顶AP覆盖核心区，减少反复掉线重连。
小提醒：公共WiFi别和门店小程序/点餐屏共用同一SSID，很多“连上但打不开”其实是被认证页、缓存、或IP冲突搞的。
断网应急方案与权限审计清单（当天就能落地）
断网不断收银：准备三件事
- 双线路或蜂窝备份：主宽带+4G/5G路由/随身热点做自动切换或手动切换，关键是提前演练切换步骤。
- UPS不断电：路由器+交换机+光猫+1台核心AP接UPS，撑10–20分钟够你完成交易闭环。
- 离线兜底：把“断网怎么开单、怎么补传、怎么对账”写成A4纸贴在收银台抽屉里，员工照着做就行。
权限审计清单：每月花15分钟检查
- 管理员账号：只保留1-2个，离职人员立刻删除；密码长度≥12位，能开双因素就开。
- 固件与补丁：路由/AP/摄像头/NVR统一登记型号与管理地址，确认已更新到厂商当前稳定版本。
- 端口与远程管理：关闭公网管理入口；必须远程就用VPN，不要直接暴露Web管理端口。
- 日志：开启DHCP分配记录、设备上线记录、管理员登录记录，至少保留30天，出事能追。
你现在就能做的行动清单（2026年3月18日当天也来得及）：把POS/监控/访客三网分开；访客网开启客户端隔离+限速；准备一台4G/5G备份上网设备并现场演练切换；把管理员账号、固件版本、远程入口做一次清点并关掉不需要的功能。做到这几条，稳定性和安全性会立刻上一个台阶。
