FortiAP 同一 SSID 部分 AP 隱藏、部分 AP 顯示的做法

📌 概述

FortiGate 無線控制器可以讓同一個 SSID 名稱在某些 FortiAP 上廣播（讓手機掃得到），在另一些 FortiAP 上隱藏（掃不到、但輸入名稱密碼仍可連）。關鍵在於 broadcast-ssid 這個開關是綁在 VAP（虛擬存取點）物件這一層，不是綁在實體 AP 或 WTP Profile 這一層，所以做法是建立兩個同名但廣播設定不同的 VAP，再分別指派給不同的 FortiAP Profile。

動手前必看：FortiOS 預設不允許兩個 VAP 共用同一個 SSID 字串，直接照下面步驟建第二個同名 VAP 會被設備拒絕，報錯 ssid <name> used by wlan <name> in same vdom。必須先執行以下完整指令，才能建立第二個同名 SSID 的 VAP（適用 FortiOS 6.x～7.x）：

FortiGate CLI

config wireless-controller setting
    set duplicate-ssid enable
end

🎯 適用情境

訪客區域刻意隱藏內部 SSID，只給知道名稱的人連線
同一棟樓不同樓層或區域，管理層要求特定角落不顯示某個網路
SSID 汰換過渡期，只在少數 AP 上保留隱藏連線給舊裝置使用

🔍 技術原理

一個 FortiAP Profile 引用哪些 VAP，決定該群組 AP 廣播哪些 SSID。因此同名 SSID 要有不同廣播行為，就是兩個獨立的 VAP 物件（SSID 名稱、密碼、加密方式相同，只有 broadcast-ssid 不同），分別掛到不同的 AP Profile：

顯示分支broadcast-ssid enable

VAP：Office-WiFi-Visible
↓
Profile：AP-Profile-顯示
↓
實體 AP：群組 1

兩個分支的 SSID 名稱、密碼、加密方式完全一致，使用者感受上是同一個網路，只是廣播行為不同。

broadcast-ssid 開關只有在 Traffic Mode = Tunnel 時會出現在 GUI；若使用 Local Bridge 模式，需改用 CLI 設定。

VLAN／IP 網段不會、也不應該相同：Tunnel 模式下每個 VAP entry 都會各自自動產生一個獨立的系統介面（type: vap-switch，介面名稱＝VAP entry 名稱），兩個 VAP 預設互不相通，需要各自設定 IP／DHCP。Fortinet 官方 duplicate-SSID 技術文章的範例也是讓兩個同名 VAP 各自掛不同 VLAN／子網段，並提醒 DHCP scope 和 IP addressing 必須謹慎處理；跨網段漫遊不是無縫的，除非後端額外處理跨 VLAN 路由與行動性。

⚙️ 設定步驟

第一步：建立第一個 SSID（顯示）

WiFi & Switch Controller > SSID > Create New > SSID
Interface Name 填 Office-WiFi-Visible；SSID 欄位填 Office-WiFi
Traffic Mode 選 Tunnel
展開 WiFi Settings，將 Broadcast SSID 開啟
設定 Security Mode、密碼等

第二步：建立第二個 SSID（隱藏）

同樣路徑再建一個，Interface Name 填 Office-WiFi-Hidden，SSID 一樣填 Office-WiFi
Traffic Mode 一樣選 Tunnel，Broadcast SSID 關閉
其餘設定（密碼、加密）照抄第一組

第三步：為隱藏 SSID 建立獨立網段

Network > Interfaces > Create New > Interface，Type 選 Wireless，會列出上一步建好的 Office-WiFi-Hidden
填入獨立網段的 IP／子網遮罩（不要跟顯示的那個 SSID 共用網段）
下方 DHCP Server 區塊開啟，設定發放範圍與預設閘道

第四步：建立兩個 FortiAP Profile

WiFi & Switch Controller > FortiAP Profiles，建立 AP-Profile-顯示，Radio 1/2 的 SSIDs 選 Manual，勾選 Office-WiFi-Visible
建立 AP-Profile-隱藏，Radio 1/2 勾選 Office-WiFi-Hidden

第五步：AP 分組套用 Profile

WiFi & Switch Controller > Managed FortiAPs，要顯示 SSID 的 AP 指派 AP-Profile-顯示
要隱藏 SSID 的 AP 指派 AP-Profile-隱藏；AP 數量多可多選後批次指派

第六步：複製防火牆政策（不能省略）

Policy & Objects > Firewall Policy，找到原本 Office-WiFi-Visible 介面所使用的政策，點選右鍵 Clone，把複製出來的政策 Incoming Interface 改成 Office-WiFi-Hidden，其餘來源/目的位址、服務、UTM 設定維持不變。沒做這步，隱藏 SSID 的使用者連得上、也拿得到 IP，但預設會被擋下無法上網。

完整 CLI 設定 conf

config wireless-controller setting
    set duplicate-ssid enable
end

config wireless-controller vap
    edit "Office-WiFi-Visible"
        set ssid "Office-WiFi"
        set broadcast-ssid enable
    next
    edit "Office-WiFi-Hidden"
        set ssid "Office-WiFi"
        set broadcast-ssid disable
    next
end

config wireless-controller wtp-profile
    edit "AP-Profile-顯示"
        config radio-1
            set vaps "Office-WiFi-Visible"
        end
    next
    edit "AP-Profile-隱藏"
        config radio-1
            set vaps "Office-WiFi-Hidden"
        end
    next
end

' 隱藏 VAP 的系統介面預設沒有 IP，要自己補上獨立子網段 + DHCP
' 否則使用者連得上但拿不到 IP
config system interface
    edit "Office-WiFi-Hidden"
        set ip <隱藏網段Gateway IP> 255.255.255.0
        set allowaccess ping
    next
end

config system dhcp server
    edit 0
        set dns-service default
        set default-gateway <隱藏網段Gateway IP>
        set netmask 255.255.255.0
        set interface "Office-WiFi-Hidden"
        config ip-range
            edit 1
                set start-ip <隱藏網段起始IP>
                set end-ip <隱藏網段結束IP>
            next
        end
    next
end

最後一步、不能省略：把被複製的那個 SSID（原本 Office-WiFi-Visible）身上掛的防火牆政策，比照複製一份給新的隱藏介面。做法：show firewall policy 找出所有 srcintf／dstintf 是原本那個 SSID 介面的政策，逐條複製，把介面換成新的隱藏介面名稱（其餘來源/目的位址、服務、UTM 設定全部照抄），否則使用者連上隱藏 SSID、也拿得到 IP，但因為 FortiOS 預設 deny、這個新介面完全沒有政策，一樣連不出去內網或網際網路。這步驟跟「開 duplicate-ssid」一樣容易漏掉，而且漏掉的症狀（連得上但不能上網）跟「網段設錯」幾乎一樣，排錯時容易搞混，要分開檢查。

✅ 驗證方式

檢查項目	預期結果
在「顯示」AP 涵蓋範圍掃描 Wi-Fi	看得到 `Office-WiFi`
在「隱藏」AP 涵蓋範圍掃描 Wi-Fi	看不到，但手動輸入名稱＋密碼可連上
WiFi & Switch Controller > WiFi Clients	確認用戶端連到正確的 SSID 物件與 AP
連上隱藏 SSID 後測試上網／連內網	可正常取得 IP 並連通，確認政策複製有生效

💡 最佳實踐

兩個 VAP 物件務必同步維護密碼與加密設定，改一邊忘了改另一邊會造成使用者連線異常。
先開 duplicate-ssid 再建第二個同名 VAP：FortiOS 6.x～7.x 預設不允許兩個 VAP 共用同一個 SSID 字串，直接建會報 ssid <name> used by wlan <name> in same vdom 錯誤，必須先 config wireless-controller setting / set duplicate-ssid enable。
兩個 VAP 的網段本來就會是分開的：Tunnel 模式下每個 VAP 都會各自產生獨立的 vap-switch 系統介面，需要各自設 IP／DHCP／防火牆政策；Fortinet 官方範例也是用不同 VLAN，跨網段漫遊本來就不保證無縫，這是設計上的取捨，不是設定沒做好。
新網段建好後，要把被複製的原 SSID 身上的防火牆政策也比照複製一份給新介面，只換來源/目的介面，其餘位址/服務/UTM 照抄，否則新 SSID 連得上、拿得到 IP，但因為預設 deny 一樣連不出去。
Local Bridge 模式下 GUI 沒有 Broadcast SSID 開關，記得改走 CLI。
版本差異：FortiOS 6.x～7.x 選單路徑大致相同，實際操作前建議先用 get system status 確認版本再對照畫面。

📚 相關參考

Fortinet Community｜Technical Tip: How to enable and disable broadcast of SSID
FortiOS 7.4.1 CLI Reference｜config wireless-controller vap
FortiOS 6.2.1 CLI Reference｜wireless-controller vap
Fortinet Community｜Technical Tip: How to use a duplicate SSID (same SSID name, different backend configuration)
Fortinet Community｜same ssid with 2 different profile