WiFi 看不見也摸不著，卻像一條穿過整間店的走道。顧客的手機、員工的電腦、收銀機、刷卡機、監視器，只要連上同一台分享器，就等於站在同一條走道上，誰都有機會走到誰旁邊。
WiFi 本身，是讓手機、電腦透過無線電連到分享器的區域網路技術；分享器再接上寬頻，才通往網際網路。所以「連上 WiFi」和「連上網際網路」其實是兩件事，中間那台分享器決定誰能看到誰。店家要提供給顧客用的 WiFi，最該動手的就是這個地方。
把顧客用的網路獨立出來，選對加密方式，再用 QR Code 讓人一掃就連，這幾件事不需要資安人員，多數小店用現有的分享器就做得到。只是設定選項上會出現一堆頻段與世代的名稱，先把 WiFi 的基本分類弄清楚，後面看到選項才不會被名詞搞亂。
WiFi 是什麼？
WiFi 的運作很單純，裝置透過無線電連到分享器（也叫無線基地台或路由器），分享器再連到寬頻，網際網路才進得來。這條路上有三個角色，分別是裝置、分享器和寬頻，裝置並不是直接連到網際網路。
它的技術基礎是 IEEE 802.11 標準系列。根據 IEEE 標準協會的說明，802.11 於 1997 年發佈，使用 2.4 GHz 的免授權頻譜，最高速度只有 2 Mbit/s。現在手機能順暢看影片，是這個系列持續改版累積出來的結果。
Wi-Fi 這個名字則是 Wi-Fi Alliance 擁有的註冊商標，屬於品牌名稱，不是技術規格。同一個聯盟另外有 Wi-Fi CERTIFIED 認證標章，產品必須通過互通性、安全性與多種應用協定的測試，才能掛上這個標章。換句話說，802.11 是技術標準，Wi-Fi 是認證與商標，兩者常被混著講，指的卻不是同一件事。
有了這個基本概念，店家的處境就好懂了。同一台分享器要同時服務顧客的手機和店內的設備，分享器怎麼分配權限，直接決定顧客碰得到什麼。
三個頻段與 WiFi 4 到 7 的名稱對照
WiFi 的世代名稱與頻段，用一張表就能對照清楚。
| 常見名稱 | IEEE 代號 | 可用頻段 |
|---|---|---|
| WiFi 4 | 802.11n | 2.4 GHz，部分機型同時支援 5 GHz |
| WiFi 5 | 802.11ac | 5 GHz，分享器常再搭配 2.4 GHz 做成雙頻 |
| WiFi 6 | 802.11ax | 2.4 GHz、5 GHz |
| WiFi 6E | 802.11ax 延伸到 6 GHz | 2.4 GHz、5 GHz、6 GHz |
| WiFi 7 | 802.11be | 2.4 GHz、5 GHz、6 GHz |
這些「WiFi 數字」的名稱，是 Wi-Fi Alliance 為了讓一般人好記而取的，背後對應的是 802.11n、ac、ax、be 這串工程代號。Microsoft 的說明文件也把 WiFi 7 對應到 802.11be、WiFi 6 對應到 802.11ax，WiFi 6E 則是把 WiFi 6 延伸到 6 GHz。
要注意的是，世代不能直接推出頻段。根據 Intel 的整理，WiFi 4 有只支援 2.4 GHz 的版本，也有雙頻版本；WiFi 6 制定時 6 GHz 還沒開放，所以在 WiFi 6 這一代，只有 WiFi 6E 的裝置三個頻段都用得到。買設備或看設定畫面時，要看它實際列出的頻段，而不是只看世代數字。
三個頻段各有取捨。2.4 GHz 的頻譜只有 70 MHz 寬，頻道最少、也最擁擠，但穿牆與傳送距離最好。5 GHz 的頻譜約 500 MHz 寬，比 2.4 GHz 寬得多，但影音串流、遊戲與雲端應用大多擠在這裡，實際上也常常擁擠。6 GHz 的頻譜有 1200 MHz 寬，是新增的寬廣頻段，而且只有 WiFi 6E 與 WiFi 7 的裝置用得到。台灣也在 Wi-Fi Alliance 列出的 6 GHz 免授權頻譜開放地區之中，不過開放的是 5945～6425 MHz 這一段（5925～5945 MHz 保留作護衛頻段），並不是整段 1200 MHz。
回到店面，顧客手機有新有舊，有的只認 2.4 GHz，有的三個頻段都能用。所以訪客網路不要為了追求速度，把舊頻段或舊的無線模式關掉，各頻段的名稱也要保持一致。
店內設備與顧客手機要分在兩條網路
店裡的 WiFi 常常是一台分享器包辦所有人：顧客手機、員工電腦、收銀機、刷卡機、監視器、印表機全連在一起。裝置處在同一條內部網路時，彼此多半能互相找到，只要有一台顧客的裝置帶有惡意，理論上就有機會摸到收銀機或監視器的管理畫面。
美國國家標準暨技術研究院（NIST）的無線區域網路安全指引，對這件事的立場很明確。不同安全設定的使用者，應該分成邏輯上獨立的無線網路，一邊的裝置不應該連到另一邊的裝置；為了給訪客上網而設的對外網路，流量也不該經過組織內部網路。
支付卡產業安全標準委員會（PCI SSC）給小型商家的指南，也提到同樣的做法。指南所說的支付系統，包含刷卡機、電子收銀機，以及連到它們的其他設備。店家提供顧客免費 WiFi 時，支付系統要放在另一個網路，這種做法稱為網路分段（network segmentation）；指南也建議請網路安裝人員協助完成安全設定。
那如果訪客網路乾脆不設密碼、只開放一下子呢？Apple 的路由器建議設定提醒，關閉安全性會讓任何人都能加入網路、使用店裡的網際網路連線並監控流量；即使只是暫時關閉安全性，或只用在訪客網路上，風險一樣存在。
中小店家沒有資安人員，也不需要先買什麼昂貴的設備。優先要做的是「分開」，讓顧客那條網路只負責上網，其他的事都不歸它管。
收銀機、刷卡機與監視器留在內網
哪些設備該留在內網，判斷標準很簡單。凡是處理付款資料、有管理畫面、存放影像或檔案的設備，都不該讓顧客手機在同一個網段上找得到。
- 收銀機或 POS：處理銷售與付款資料。
- 刷卡機：直接處理付款。
- 監視器與錄影主機（NVR）：存有店內影像，管理介面更不該被外人碰到。
- 印表機與標籤機：多半有管理頁，而且常常沒設任何防護。
- NAS 或共用資料夾：放著帳務、客戶資料或設計檔。
- 員工的辦公電腦：登入著各種帳號，是最有價值的目標。
能接網路線的設備，盡量用網路線，收銀機與 NVR 最適合。這樣不但減少對無線的依賴，連線也更穩定。內網的 WiFi 名稱與密碼只告訴員工，不貼在牆上，員工離職時就把密碼換掉。
訪客網路的使用對象和好辨認的網路名稱
訪客網路的定位很簡單，只要能上網就好。顧客的手機、員工自己的手機（避免個人手機連進放著收銀機的那條網）、廠商臨時來訪帶的筆電，都走訪客網路。它不是低階版的內網，而是另一條獨立的路，沒有權限看到店內任何設備。
名稱也是設計的一部分。訪客網路的名稱要讓顧客一眼認得，例如店名加上 Guest，並和內網名稱明顯不同，避免員工或顧客連錯。Apple 建議使用獨有的網路名稱，不要用預設或常見的通用名稱，否則裝置容易自動連到同名的其他網路。
名稱清楚還有另一個用處。美國 CISA 提醒過「山寨熱點」（evil twin）這種手法，攻擊者會模仿公共網路的存取點，用更強的訊號讓人連過去，所以連線前務必確認熱點的名稱。數位發展部資安署提醒民眾的「四不六要」裡，也有一條是「不連接可疑的 Wi-Fi」。顧客只要確認看到的名稱和告示牌上寫的一致，就少了一層被騙的可能。
訪客網路隔離，不是多一組密碼就算數
多開一個 WiFi 名稱、多設一組密碼，不代表網路真的分開了。兩個名稱如果最後仍在同一個網段，顧客的手機和收銀機就依舊互相找得到，等於沒有分開。隔離要看網段與規則，不看密碼。
隔離成功的標準，是訪客裝置連上之後看不到也連不到內網的任何設備，只能出去上網。做法依店裡的設備分成兩條路。用消費型分享器的店，靠內建的訪客網路開關；有商用基地台與可管理交換器的店，則用 VLAN 切開。不管選哪一種，設定完都要自己驗證一次。
消費型分享器的訪客網路開關及內網存取選項
多數家用與小型商用的分享器都有訪客網路功能。CISA 提到，許多無線分享器的「guest」功能，能用另一個無線頻道與另一組密碼讓訪客連線，不必把主要網路的密碼交出去。這個功能會另開一個網路名稱，通常預設就有隔離，訪客裝置連不到主網路。開啟方式是用瀏覽器登入分享器管理頁，找到訪客網路的設定。
功能的名稱各家不同，可能叫訪客網路、Guest Network 或訪客 WiFi，選項也以說明書為準。要特別確認的是，有些機型提供「允許訪客存取內網」或「訪客之間互通」這類選項，預設值與名稱因機型而異，一定要看過、確定它們是關閉的。
訪客網路建議單獨設一組密碼，不與內網共用。否則顧客拿到的密碼，同時也是員工內網的鑰匙，前面做的分開就白費了。
商用設備用 VLAN 和防火牆規則劃出訪客區
店裡如果有可管理的基地台和交換器，做法是替訪客網路與內網各配一個 VLAN（虛擬區域網路）。VLAN 的意思是在同一批實體設備上，切出邏輯上互相獨立的網路，訪客與內網各走各的，即使接在同一台交換器上也不會混在一起。
接著要在閘道或防火牆上設定規則，方向是訪客網段到網際網路全部放行，訪客網段到內網全部擋住。基地台上還可以再開「客戶端隔離」，讓訪客裝置彼此也看不到對方，避免顧客的手機被旁邊的人探測。NIST 的指引也提到，若對外網路必須碰到內部資源，只能開放必要的主機與必要的協定。
VLAN 與防火牆規則要設得正確，通常需要懂網路的人，前面提到的 PCI SSC 指南也建議請網路安裝人員協助。小店若沒有商用設備，不必為此硬上，消費型分享器的訪客網路開關夠用，就用它。
用沒連過內網的手機做 3 項隔離檢查
設定完要驗證，而且要用「沒有任何權限的訪客」的身分來驗。找一支從沒連過內網的手機，連上訪客網路後，依序做三件事：
- 在瀏覽器輸入分享器管理頁的位址，看能不能進到登入畫面。進得去代表訪客能碰到管理頁，隔離有漏洞。
- 嘗試連到店內印表機、監視器或 POS 的內網位址。連不到才是對的。
- 打開一般網站，確認訪客網路能正常上網。
三項都符合預期，才算隔離生效。如果結果不對，先回頭檢查「允許存取內網」之類的選項是不是被開啟，還是不對就交給網路安裝人員處理。分享器韌體更新或重置之後，設定可能被改回預設，所以每次變動後都要重測一次。
加密方式以 WPA3 為目標，舊裝置多就用轉換模式
訪客網路的加密方式，能用 WPA3 就用 WPA3；顧客手機新舊不一，就用 WPA2／WPA3 轉換模式；設備只支援 WPA2 的話，則選 WPA2 加 AES。
為什麼訪客網路更需要加密？Apple 的說明指出，關閉安全性的網路，任何人都能加入並監控網路上的流量。咖啡廳那種沒有密碼的開放網路，同一個空間裡的人就有機會偷看別人的連線內容。
和 WPA2 相比，WPA3 個人版更能抵抗密碼猜測，不允許過時的舊協定，並且要求啟用受保護管理框架（PMF）。Wi-Fi Alliance 說明，新的 Wi-Fi CERTIFIED 設備自 2020 年起必須支援 WPA3，6 GHz 頻段更是強制使用 WPA3，並強烈建議部署者盡可能設為 WPA3。
轉換模式能讓新舊手機各用各的，WPA3 裝置用 WPA3，舊裝置用 WPA2。以 Android 為例，它的技術文件指出，Android 10 以上的裝置連到轉換模式的基地台時用 WPA3，Android 9 以下用 WPA2。不過 Wi-Fi Alliance 也提醒，在部分環境中，舊裝置或未通過認證的裝置遇到轉換模式，可能有相容問題。替代做法有兩種，一是同一台基地台設兩個網路名稱，一個 WPA3、一個 WPA2，兩者密碼不同；二是新的 WPA3-Personal 相容模式，但需要設備更新才有。
有幾種設定要避開。Apple 建議避免 WPA／WPA2 混合、WPA 個人級、WEP、TKIP，以及關閉安全性；WPA3 與轉換模式都用不了時，WPA2 個人級（AES）是適當的選擇。實際能選到哪個加密名稱，以分享器管理頁出現的選項為準，名稱各家寫法不同。
Enhanced Open 與沒有密碼的訪客網路
有些店希望顧客不用輸入密碼就能連上。Wi-Fi Alliance 為這種需求設計了 Wi-Fi Enhanced Open，不用密碼，但每個連線會自動加密，安全性比傳統完全開放的網路高。網路提供者不需要維護、分享或管理公開密碼，它也能和使用登入頁的舊網路互通。
不過它有明確的限制。Enhanced Open 只提供加密，不驗證基地台的身分，所以前面提到的山寨熱點問題依然存在。它還需要分享器與顧客手機都支援，Android 從 10 開始支援；在 OWE 轉換模式下，Android 9 以下的舊裝置會以不加密的方式連線。Apple 對完全開放的網路則是建議避免。
多數店家的基本做法，仍是「有密碼的 WPA2 或 WPA3，加上 QR Code」，簡單、相容性高。Enhanced Open 適合當作進階選項，在確認設備和顧客手機大多支援，而且確實希望省掉密碼這一步時再考慮。
隱藏網路名稱、MAC 位址過濾都擋不住入侵
有兩種做法看起來有用，其實擋不住人。第一種是隱藏網路名稱（SSID）。Apple 的說明指出，隱藏名稱無法防止網路被偵測或遭到未授權存取；而且使用隱藏網路時，因為裝置搜尋與連線 WiFi 的方式，反而可能洩漏足以辨識使用者和該網路的資訊。訪客網路尤其不適用，顧客得先知道隱藏的名稱才連得上，等於自己設障礙。
第二種是 MAC 位址過濾，也就是只允許登記過的裝置連線。Apple 同樣指出，它無法阻止他人監控或攔截網路流量，而且 MAC 位址容易被複製偽造；某些 Apple 裝置還會對每個 WiFi 網路使用不同的 MAC 位址，登記的名單未必對得上。
Apple 對這兩項的建議都是停用。真正有效的是前面談過的兩件事，一是加密，二是把訪客網路隔離。這兩件事做好，店裡的設備才真正受到保護。
訪客密碼可以公開，更換時間要事先排好
訪客網路的密碼本來就會貼在牆上，所以它的安全性靠的是隔離，而不是密碼保密。這個密碼的定位是公開、好讀、獨立於內網，它不能沿用內網密碼，也不能和分享器管理頁的登入密碼相同。
根據 Wi-Fi Alliance 的說明，即使使用者選的密碼沒有達到一般的複雜度建議，WPA3 個人版仍能提供較強的密碼式驗證，抵抗離線字典攻擊，所以使用者可以選比較好記的密碼。不過這不代表可以隨便設，Apple 的說明強調，無論選哪種安全設定，加入網路的密碼都應該設成高強度。
至於多久換一次，沒有一致的建議週期。比較實際的做法是依店內狀況，先排好固定日期，再加上事件觸發，像是員工異動、密碼被貼到網路上、發現網路出現異常，這些時候就該換。
換密碼的連動工作不能漏。告示牌與 QR Code 要同步更新，已經連過的手機可能要先「忘記網路」再重新加入，Apple 的說明也提到這點。管理頁的登入密碼則是另一回事，CISA 提醒，分享器出廠預設的管理密碼容易在網路上查到，只提供有限的保護，改掉預設值並定期更換複雜密碼，是保護設備的第一道防線。
訪客頻寬與連線數上限，加上穩定連線的基地台設定
顧客看影片、上傳大檔，用的是店裡同一條寬頻。人潮一多，雲端收銀要即時對帳、監視器要上傳影像，就可能被拖慢。所以訪客網路最好加上限制，常見的手段有三種：
- 訪客網路的速度上限，或單一裝置的頻寬上限。
- 同時連線數上限。
- 營業時間以外關閉訪客 WiFi。是否關閉由店家決定，例如打烊後不想有人在店外蹭網，就可以排程關掉。
許多設備都有這些功能，但支不支援、叫什麼名稱各家不同，以說明書為準。想讓收銀與監視器的流量優先通過，可以再看設備有沒有流量優先順序（QoS）設定。
除了限制，還有一組基地台設定能讓連線更穩定。Apple 的建議設定整理如下：
- 啟用路由器支援的所有頻段，無線電模式選「全部」，讓包括舊款在內的所有裝置，都能用各自支援的最快模式連線。
- 同一條訪客網路的各頻段設定單一獨有的名稱。若 2.4、5、6 GHz 改成不同名稱，裝置可能無法穩定連線。
- 2.4 GHz 的頻寬設為 20 MHz，有助於避免效能與可靠性問題，尤其靠近其他 WiFi 與 2.4 GHz 裝置時；頻道則設為自動。
- 訪客網路的 DHCP 租用時間設為 1 小時。DHCP 是替每台裝置分配網路位址的功能，位址用完就無法再指派給新裝置，人潮多的店特別要注意，否則新來的顧客連不上。
還有一點可以放心。Wi-Fi Alliance 說明，WiFi 6 的 OFDMA 與 MU-MIMO 技術，讓分享器能同時服務更多裝置，對連線多的場所較有利。這不代表非買新設備不可，現有設備先把上面這些設定調好，往往就有明顯的改善。
Captive portal 登入頁的適用場合，加密仍要另外設定
Captive portal 指的是顧客連上 WiFi 之後，瀏覽器被導到一個網頁，要先同意使用條款、輸入密碼、留下 Email 或領取憑證，才放行上網。Apple 的說明描述了這個流程：連線後出現登入畫面，視情況輸入使用者名稱與密碼、輸入電子郵件地址，或同意條款；裝置可以記住網路與登入資訊，下次進入範圍時自動重連。
它適合想請顧客同意使用條款、想收集聯絡方式，或需要限制使用時間與流量的場所。代價是多一道步驟，需要設備或服務支援，而且顧客如果沒看到登入頁跳出來，可能會以為連不上；以 iPhone 為例，Apple 的說明另外列了從該網路的資訊頁點「加入網路」的方式。
最重要的是，登入頁不等於加密。一個只有登入頁、沒有加密的開放網路，資料傳輸仍然是明碼，Apple 的說明也寫明，關閉安全性就是停用認證與加密。加密仍然要靠 WPA2、WPA3 或 Enhanced Open，而 Wi-Fi Alliance 說明 Enhanced Open 可以和使用登入頁的舊網路互通，兩者能搭配。
小店用「密碼加 QR Code」多半夠用，需要同意條款或留聯絡方式時再考慮登入頁。如果真的要蒐集資料，先想清楚用途，蒐集得越少，事後要管理的事情就越少。
路由器韌體更新與管理頁的基本防護
很多店的分享器裝好之後多年沒更新，管理密碼還是出廠預設。一旦管理頁被外人登入，前面所有隔離就都白做了。以下五件基本功，每一件都不需要專業背景：
- 韌體更新：Apple 建議可以的話，讓路由器自動安裝最新的軟體與韌體更新；CISA 也提醒要到製造商網站確認使用最新韌體，更新能提升效能、修復缺陷、處理安全漏洞。NIST 的指引更說明，無線網路設備的漏洞，要和一般設備一樣識別並套用修補。廠商已停止提供更新的舊機種，本身就是風險，應該考慮汰換。
- 改掉管理頁的預設帳密：預設憑證可能在網路上查到，甚至直接標在機器上。管理頁的密碼也要和 WiFi 密碼不同。
- 關閉從外網遠端管理：CISA 建議關閉遠端管理，避免未授權的人從網際網路存取並改掉設定。
- 把分享器放在顧客碰不到的位置：避免有人按到重置鍵，一重置，所有設定都回到出廠預設。
- 訪客網路名稱改成可辨識的名稱：預設名稱通常會透露製造商，最好改掉。一般建議網路名稱不要透露身分，訪客網路寫店名則是為了讓顧客認得，用意不同；內網名稱和管理頁的登入名稱仍不要寫店名。
更新韌體可能影響可用的安全設定，Apple 的說明也提到這點，所以更新之後要把前面的隔離驗證再做一次。變更設定前，先備份路由器現有的設定。
告示牌與 QR Code 的製作和擺放
告示牌是顧客真正看到的東西。上面放訪客網路名稱、密碼，再加一個 QR Code。顧客掃了就連，不必一個字一個字念密碼；密碼文字則留作備援，舊手機或相機掃不到時可以手動輸入。
QR Code 的內容有通用的寫法，不是正式標準，但多數手機的相機都認得：
WIFI:T:WPA;S:訪客網路名稱;P:訪客網路密碼;;Code language: plaintext (plaintext)根據 ZXing 專案的說明，T 是驗證類型，常用的是 WPA（無密碼的網路寫 nopass），S 是網路名稱且必填，P 是密碼，H 則標示網路名稱是否隱藏，選填。欄位順序不拘；名稱或密碼裡若有反斜線、分號、逗號、雙引號、冒號，要在前面加一個反斜線跳脫。掃描後，手機會先詢問使用者再設定。
訪客網路若用 WPA2／WPA3 混合模式，寫 T:WPA 最通用；若設為 WPA3 專用，T 欄位的寫法各系統支援不一，改用分享器或手機內建功能產生的 QR Code 比較穩當。印出來之前，先用一支 iPhone 和一支 Android 手機各掃一次，確認都能連上再付印。密碼一換，告示牌和 QR Code 也要一起換。
iPhone、Android 掃碼加入及分享 WiFi 的方式
顧客端的掃碼方式很直覺。iPhone 用「相機」或「控制中心」掃描行動條碼；Android 以 Pixel 為例，可以用「相機」應用程式，或從螢幕頂端下滑開啟「快速設定」，輕觸「掃描 QR code」，掃描後即可連上 WiFi 網路。Android 其他品牌的選單名稱可能不同。
店家這端也有臨時方案，在還沒印好告示牌的時候派得上用場。Apple 的說明指出，在 iPhone 或 Mac 的「密碼」App 找到 WiFi 網路，點「顯示網路行動條碼」，對方掃描就能加入。Pixel 手機則可以在已連上的網路旁點設定圖示，選「分享」，驗證身分後以 QR code 分享；也可以從快速設定點「網際網路」，再選左下的「分享 Wi-Fi」。
這些方法都是把已連上的網路分享給別人，適合臨時使用。固定擺在店裡的告示牌，還是要用上面那串格式另外產生。QR Code 掃不到時，告示牌上的文字密碼就是最後的備案。
QR Code 被人換貼的風險與擺放位置
QR Code 方便，也最容易被「貼一張假的蓋上去」。如果有人把假的 QR Code 貼在店裡的告示牌上，顧客連到的就可能是別人設的熱點。所以擺放的位置要在櫃檯或店員視線內，用壓克力立牌或護貝處理，不用容易被覆蓋的貼紙，也定期看一眼有沒有被動過。
顧客端也有一個簡單的檢查，就是掃完之後，手機跳出來的網路名稱，要和告示牌上寫的那一個一致。數位發展部資安署的「四不六要」也把「不亂掃 QR code」列為一條；CISA 對山寨熱點的建議也一樣，連線前先確認名稱。名稱清楚好認，這個檢查才做得起來。
店家提供給顧客的 WiFi，好用和安全並不衝突。把顧客那條路獨立出來，再用一張立牌讓人一掃就連，顧客拿到的是方便，店裡的收銀機與監視器也不必跟著暴露。今天下班前，拿自己的手機連一次訪客網路，確認它真的只能上網，其他什麼也碰不到，這個簡單的檢查比升級任何設備都更能確認店裡的網路是否安全。