Как настроить гостевой Wi-Fi в офисе без риска для корпоративной сети
Гостевой Wi-Fi в офисе удобен для посетителей, подрядчиков и сотрудников с личными устройствами. Однако открытый или плохо отделённый канал может стать входом во внутренние ресурсы: принтеры, файловые хранилища, камеры, рабочие станции и панели управления. Поэтому гостевой доступ следует проектировать как отдельный сегмент с ограниченными правами.
Основа защиты — отдельный VLAN или физически выделенная сеть, гостевой SSID, контролируемый выход в интернет и запрет прямой связи с корпоративным сегментом. Надёжную схему дополняют шифрование, идентификация пользователей, фильтрация трафика, журналирование и регулярная проверка настроек.
Отделить гостевой трафик от корпоративного
Одного незнакомого имени сети и сложного пароля недостаточно. Соседние устройства могут видетьBroadcast-область гостевой сети, а маршрутизатор — создавать нежелательные пути к серверам. Гостевые SSID и корпоративные SSID необходимо размещать в разных VLAN с независимыми параметрами DHCP, шлюза и правил межсетевого экрана.
Если точка доступа или контроллер не позволяет разделить трафик, используют отдельное оборудование или выделенный сегмент на уровне коммутатора. Управляющий интерфейс точки доступа должен находиться в служебной сети, недоступной гостям. Даже при общем физическом кабеле логическая изоляция сохраняет требуемый уровень защиты.
Между гостевым и корпоративным VLAN не должна быть разрешена прямая маршрутизация. Включите изоляцию клиентов, чтобы подключённые устройства не обменивались данными напрямую. Правило доступа к интернету создаётся через межсетевой экран, а не через доверие к одному лишь паролю.
Настроить безопасный вход для посетителей
Для гостевой сети следует выбрать WPA3 с совместимым WPA2-AES либо WPA2-AES, если оборудование не поддерживает WPA3. Используйте отдельный случайный пароль, не сохраняйте его в документах открытого доступа и отключите WPS. Учётные данные администратора точки доступа должны отличаться от гостевого пароля и храниться в корпоративной системе secrets.
Captive-перенаправляет неавторизованного пользователя на страницу входа. Для посетителей удобны одноразовый код, временный ваучер или регистрация с подтверждением. Страница должна работать по HTTPS, не собирать лишние персональные данные и содержать понятные правила использования сети. До авторизации разрешают только необходимые для портала адреса.
Для регулярных гостей можно применять 802.1X с отдельным RADIUS-сервером и сертификатами. При проектировании или модернизации офисной сети можно привлечь команду TC Telecom для аудита существующей инфраструктуры, подбора оборудования и настройки изолированного сегмента.
Ограничить маршруты и доступные сервисы
После авторизации гостевой клиент должен получать доступ в интернет, но не к внутренним подсетям, серверам администрирования и системам видеонаблюдения. На межсетевом экране задают разрешающее правило для гостевого VLAN и запрещают соединения с диапазонами, используемыми внутри компании, включая административные интерфейсы маршрутизаторов и точек доступа.
DNS-запросы гостей желательно направлять через выделенные фильтрующие серверы. Это позволяет блокировать вредоносные домены, фишинговые ресурсы и запрещённые категории сайтов. Типичные гостевые сети не нуждаются в SMB, удалённом рабочем столе, Telnet и других протоколах административного назначения, поэтому соответствующие порты лучше закрыть.
Правила необходимо создавать и для IPv6, иначе устройство может обойти ограничения IPv4 через параллельный маршрут. Для отдельных задач допускаются заранее определённые исключения с указанием срока действия. Широкие разрешения на VPN, одноранговые сети и публикацию сервисов повышают риск обхода политик и должны включаться только после оценки потребности.
Контролировать подключения и события
Контроллер или межсетевой экран должен записывать время подключения, идентификатор сессии, адрес устройства, выбранную точку доступа и результат авторизации. Журналы помогают связать инцидент с конкретным периодом и устройством. При этом срок хранения и состав собираемых данных следует определять с учётом политики организации и применимых требований к персональной информации.
Мониторинг должен выявлять резкий рост трафика, массовые сканирования внутренних адресов, подозрительные DNS-запросы и попытки обхода гостевых политик. Полезно ограничивать скорость для одного устройства, чтобы гостевая сеть не мешала работе сотрудников. Оборудование гостевого сегмента следует регулярно обновлять и проверять на наличие известных уязвимостей.
Посетителям нужно указать, что подключённое устройство должно иметь собственную защиту, а загрузка файлов из открытых источников остаётся риском пользователя. Гостевая сеть не должна предоставлять общие папки или сохранять данные на офисном сервере. Это снижает вероятность распространения вредоносного ПО даже при успешной авторизации.
Поддерживать доступ и проверять защиту
Для временных посетителей заранее устанавливайте срок действия учётной записи, а после встречи или завершения работы подрядчика отзывайте доступ. Общий гостевой пароль меняйте по графику, при утечке — немедленно. Неиспользуемые SSID лучше отключать, чтобы сеть не сохранялась в списках nearby-устройств и не создавала лишних точек входа.
После каждого изменения проверяйте изоляцию с гостевого устройства: корпоративные ресурсы, принтеры, камеры и панели управления должны оставаться недоступными, а интернет — работать. Тестируйте также авторизацию, выдачу адреса DHCP, фильтрацию DNS, IPv6 и качество связи при высокой нагрузке. Результаты проверок фиксируйте в журнале изменений.
Для повторяющихся инцидентов заранее определите порядок действий: отключить устройство, сохранить данные журналов, сменить гостевой пароль и проверить связанные сегменты. Схему сети, адресацию, правила экрана и точки ответственности следует поддерживать в актуальном состоянии. Это помогает быстро восстановить доступ и избежать возврата к небезопасным настройкам.
Обратитесь в TC Telecom для аудита офисной сети и внедрения защищённого гостевого Wi-Fi. Специалисты оценят текущую инфраструктуру, предложат схему сегментации, настроят оборудование и подготовят документацию для администраторов и сотрудников.