Wi-Fi pro hosty v kanceláři: jak ji oddělit od firemní sítě

V mnoha malých firmách je jediná Wi-Fi. Připojují se do ní zaměstnanci, návštěvy, kamera u vchodu i tiskárna. Je to pohodlné, ale každé zařízení v takové síti vidí všechna ostatní. Stačí jeden nakažený notebook návštěvy nebo kamera se starým firmwarem a útočník má otevřenou cestu ke sdíleným složkám, účetnictví i administraci routeru.

Řešení je jednoduché a nestojí moc peněz: rozdělit síť tak, aby každá skupina zařízení viděla jen to, co opravdu potřebuje.

Na jaké části síť rozdělit

Pro běžnou kancelář stačí tři až čtyři části:

• Firemní zařízení: počítače a telefony zaměstnanců, přístup ke sdíleným složkám a firemním systémům.
• Hosté: jen internet. Žádný přístup k firemním zařízením ani mezi sebou navzájem.
• Chytrá zařízení: kamery, tiskárny, televize, klimatizace. Mají jen to, co opravdu potřebují. Tiskárnu musí vidět firemní počítače, kamera internet potřebovat nemusí.
• Servery a síťové prvky: pokud je máte, patří zvlášť a správa routeru nebo switche jde jen z firemní sítě.

Dvě cesty podle vybavení

Funkce „síť pro hosty“ na routeru

Většina současných routerů a Wi-Fi systémů umí vytvořit síť pro hosty jedním přepínačem. Návštěvy pak dostanou vlastní název sítě a heslo a k firemním zařízením se nedostanou. Pro malou kancelář je to dobrý první krok. Zkontrolujte jen, že je zapnutá i izolace klientů, aby se hosté neviděli navzájem.

Oddělené sítě (VLAN) s pravidly firewallu

Spolehlivější je rozdělit síť na samostatné segmenty (VLAN) a mezi nimi nastavit pravidla na firewallu. Potřebujete k tomu router nebo firewall, který VLAN podporuje, a spravovatelný switch a přístupové body. Výhoda je, že přesně určíte, kdo kam smí: hosté jen do internetu, kamery jen na záznamové zařízení, tiskárna jen z firemní sítě.

Základní pravidlo zní: co není výslovně povolené, je zakázané. Nejdřív zakažte veškerý provoz mezi segmenty a pak povolte jen konkrétní potřebné toky.

Na co se často zapomíná

• Jiné heslo pro hosty než pro firmu. Heslo pro hosty klidně měňte, když se rozšíří příliš daleko.
• Šifrování WPA2 nebo WPA3. Otevřenou síť bez hesla nepoužívejte ani pro hosty.
• Správa routeru ne z Wi-Fi pro hosty. Administrace patří jen do firemní sítě, ideálně s vlastním silným heslem a vypnutým přístupem z internetu.
• Aktualizace. Router, přístupové body i kamery potřebují aktualizovaný firmware. U zařízení, pro která výrobce aktualizace už nevydává, zvažte výměnu, nebo je alespoň pevně odřízněte od zbytku sítě.
• Přístup zvenku přes VPN. Pokud se potřebujete připojit do kanceláře z domu, použijte VPN místo otevírání portů do internetu.

Jak si ověřit, že oddělení funguje

Připojte telefon nebo notebook do Wi-Fi pro hosty a zkuste otevřít adresu tiskárny, sdílené složky nebo správy routeru. Nic z toho by se nemělo načíst, internet ano. Stejně si zkuste z kamery nebo jiného chytrého zařízení, kam se dostane. Pokud test projde, máte většinu rizika z nejčastějších scénářů vyřešenou.

Kdy pomůže odborník

Pokud máte v kanceláři víc zařízení, vlastní server, kamery nebo e-shop, vyplatí se síť navrhnout pořádně a pravidla zdokumentovat. Rozdělení sítě a pravidla firewallu nastavím a předám s dokumentací, aby se v nich vyznalo i vaše IT. Na vlastní infrastruktuře provozuji síť rozdělenou do zón, ve které běží i weby mých klientů.