Wi-Fi dla gości w firmie – jak bezpiecznie oddzielić sieć

Dlaczego jedno Wi-Fi dla wszystkich to poważne ryzyko

W wielu małych biurach wciąż działa jedna sieć bezprzewodowa z hasłem zapisanym na karteczce przy recepcji. Hasło nigdy się nie zmienia, znają je byli pracownicy, dawni klienci i każdy, kto kiedykolwiek siedział w poczekalni. Tymczasem urządzenie podłączone do takiej sieci widzi wszystko, co jest w sieci lokalnej.

Co realnie grozi firmie?

• Dostęp do zasobów wewnętrznych – udziały sieciowe, NAS, panele administracyjne routerów i drukarek są dostępne z każdego laptopa w sieci.
• Zainfekowane urządzenia gości – telefon lub laptop z malware może skanować sieć i próbować rozprzestrzeniać się na komputery firmowe.
• Podsłuch i ataki typu man-in-the-middle – w płaskiej sieci łatwiej przechwycić ruch lub podszyć się pod bramę.
• Odpowiedzialność za nadużycia – jeśli ktoś z Twojego łącza pobiera nielegalne treści lub atakuje inne serwery, ślad prowadzi do publicznego adresu IP firmy.

Rozwiązanie jest proste koncepcyjnie: goście dostają internet, ale nic poza nim. Diabeł tkwi w szczegółach konfiguracji.

Krok 1: Osobny SSID i własny VLAN

Samo utworzenie drugiej nazwy sieci (SSID) nie wystarczy. Wiele tanich routerów oferuje funkcję sieci gościa, ale bywa ona realizowana wyłącznie jako inne hasło do tej samej podsieci. Prawdziwa separacja wymaga przypisania SSID gościnnego do osobnego VLAN-u z własną adresacją IP.

1. Utwórz VLAN dla gości, np. VLAN 30 z podsiecią 192.168.30.0/24, zupełnie inną niż sieć firmowa.
2. Na punktach dostępowych powiąż SSID gościnny z tym VLAN-em (tagowanie 802.1Q).
3. Na przełącznikach ustaw porty prowadzące do punktów dostępowych jako trunk przenoszący zarówno VLAN firmowy, jak i gościnny.
4. Skonfiguruj osobny serwer DHCP dla VLAN-u gości z krótkim czasem dzierżawy (np. 2–4 godziny).

Warto pamiętać, że VLAN-y mają sens tylko wtedy, gdy przełączniki są odpowiednio zabezpieczone – opisaliśmy to szerzej w artykule o ochronie przełączników na warstwie L2, gdzie omawiamy m.in. ataki VLAN hopping.

Krok 2: Reguły firewalla i izolacja klientów

Osobny VLAN to dopiero połowa sukcesu. Jeśli router swobodnie przekazuje ruch między podsieciami, gość nadal dotrze do serwera. Kluczowe są reguły zapory na styku VLAN-ów.

• Zablokuj cały ruch z VLAN-u gości do sieci prywatnych (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) – z wyjątkiem bramy dla DHCP i DNS.
• Zablokuj dostęp do panelu zarządzania routera, firewalla i punktów dostępowych z sieci gościnnej.
• Zezwól tylko na ruch do internetu, najlepiej ograniczony do popularnych portów (HTTP/HTTPS, DNS, poczta, VPN klienta).
• Włącz izolację klientów (client isolation / AP isolation) na punkcie dostępowym – dzięki temu urządzenia gości nie widzą się nawzajem.

Rozważ także wymuszenie filtrującego DNS dla gości (np. z blokadą stron ze złośliwym oprogramowaniem i treściami dla dorosłych). Jeśli dopiero planujesz wymianę urządzenia brzegowego, przeczytaj nasz poradnik o tym, jak wybrać i skonfigurować firewall w firmie – większość urządzeń klasy UTM obsługuje takie reguły bez dodatkowych licencji.

Krok 3: Uwierzytelnianie gości i limity pasma

Stałe hasło WPA2 przyklejone na ścianie szybko przestaje być tajemnicą. Lepiej sięgnąć po jedną z bardziej kontrolowanych metod:

• Hasło rotowane automatycznie – wiele kontrolerów Wi-Fi zmienia hasło codziennie lub co tydzień i wyświetla je np. na tablecie w recepcji.
• Portal logowania (captive portal) – gość akceptuje regulamin, a opcjonalnie podaje e-mail lub kod otrzymany od recepcji. To także dobre miejsce na klauzulę informacyjną RODO.
• Vouchery czasowe – jednorazowe kody ważne np. 8 godzin, idealne dla gabinetów, kancelarii czy sal szkoleniowych.
• WPA3 i OWE – nawet w sieci otwartej tryb Enhanced Open szyfruje ruch między urządzeniem a punktem dostępowym.

Nie zapomnij o limitach przepustowości. Gość pobierający aktualizację systemu czy oglądający wideo 4K nie powinien spowalniać wideokonferencji zarządu. Ustaw limit na klienta (np. 10–20 Mb/s) oraz łączny limit dla całego VLAN-u gości, a w ustawieniach QoS nadaj ruchowi firmowemu wyższy priorytet.

Krok 4: Pracownicy, prywatne telefony i urządzenia IoT

Sieć gościnna ma jeszcze jedno, często pomijane zastosowanie: to naturalne miejsce dla prywatnych telefonów pracowników. Zamiast wpuszczać je do sieci firmowej, wystarczy skierować je do VLAN-u gości lub do osobnej sieci dla urządzeń prywatnych. Takie podejście dobrze współgra z zasadami opisanymi w poradniku o polityce BYOD w firmie.

Podobnie warto potraktować urządzenia IoT – telewizory w salach konferencyjnych, ekspresy do kawy z aplikacją, kamery czy czujniki. Najlepiej umieścić je w trzecim, osobnym VLAN-ie, z dostępem tylko do tych usług, których faktycznie potrzebują. Docelowy podział dla typowego biura może wyglądać tak:

• VLAN firmowy – komputery służbowe, serwery, drukarki (uwierzytelnianie WPA2/WPA3-Enterprise).
• VLAN gości i BYOD – wyłącznie internet, izolacja klientów, limity pasma.
• VLAN IoT – urządzenia smart, bez dostępu do sieci firmowej i bez możliwości inicjowania połączeń do niej.

Krok 5: Monitoring, logi i regularny przegląd

Raz skonfigurowana sieć gościnna nie może zostać pozostawiona sama sobie. Zadbaj o kilka elementów utrzymaniowych:

• Logowanie połączeń – przechowuj logi DHCP i portalu logowania przez rozsądny okres, zgodnie z polityką retencji i RODO.
• Test separacji – co kwartał podłącz laptopa do sieci gościnnej i spróbuj dostać się do serwera, drukarki czy panelu routera. Każdy sukces to błąd do naprawy.
• Aktualizacje firmware punktów dostępowych i kontrolera – podatności w urządzeniach Wi-Fi pojawiają się regularnie.
• Przegląd reguł firewalla po każdej zmianie w sieci, np. dodaniu nowego serwera czy podsieci.

Jeśli w firmie nie ma osoby, która na bieżąco zajmuje się siecią, te zadania łatwo odkładać w nieskończoność. W ramach stałego wsparcia IT możemy zaprojektować podział sieci, skonfigurować punkty dostępowe i firewall, a potem cyklicznie sprawdzać, czy separacja nadal działa tak, jak powinna.