Чтобы посетители через Wi-Fi не получали доступ к рабочим компьютерам, принтерам и сетевым папкам, выделите для них отдельную сеть и запретите соединения из неё в офисную. Одного другого названия Wi-Fi и нового пароля недостаточно: границу между сетями задают настройки роутера и правила доступа. Ниже разберём, что проверить в оборудовании, как настроить гостевой доступ и как с обычного ноутбука убедиться, что офисные устройства недоступны гостям.
Почему отдельного названия Wi-Fi недостаточно?
Название беспроводной сети, или SSID, помогает выбрать подключение. Само по себе оно ничего не говорит о доступе к офисным устройствам. Роутер может показывать сети «Офис» и «Гости», но подключать обе к одной локальной сети. Тогда посетитель окажется рядом с рабочими компьютерами с точки зрения сетевого доступа.
Для разделения нужны отдельный гостевой сегмент и правила межсетевого экрана. Сегмент объединяет устройства гостей, а межсетевой экран определяет, куда им разрешено обращаться. Базовое правило простое: гостям доступен интернет, соединения к рабочей сети запрещены.
В интерфейсе роутера встречаются похожие по смыслу переключатели, которые решают разные задачи:
- «Доступ к локальной сети» разрешает гостям обращаться к офисным устройствам. Для гостевого подключения его отключают.
- «Изоляция клиентов» ограничивает связь между самими посетителями. Она не всегда закрывает доступ к рабочей сети.
- «Управление роутером по Wi-Fi» определяет доступ к настройкам оборудования. Из гостевой сети страницу управления нужно закрыть.
Названия пунктов зависят от модели и прошивки. Проверяйте описание функции в документации: слово «гостевая» ещё не подтверждает, что роутер изолирует посетителей от всех локальных устройств.
Как настроить гостевую сеть на офисном оборудовании?
Начните со схемы подключений: куда приходит интернет, какое устройство работает роутером и какие точки доступа раздают Wi-Fi. Отметьте компьютеры по кабелю, сетевой накопитель, принтеры и IP-телефоны. Гостевые ограничения должны защищать и проводную часть офиса.
- Сохраните резервную копию настроек роутера. Изменения лучше делать в период, когда потеря связи не прервёт работу сотрудников.
- Создайте гостевую сеть с отдельным названием и паролем. Используйте актуальный режим защиты, который поддерживают роутер и устройства посетителей; открывать сеть без пароля для этой задачи не требуется.
- Отключите доступ гостей к локальной сети и к панели управления оборудованием. При необходимости включите изоляцию клиентов друг от друга.
- Проверьте, что гостям разрешены выход в интернет и необходимые сетевые функции, в том числе получение адреса и поиск сайтов по доменным именам.
- Подключите тестовое устройство и проверьте ограничения до того, как выдадите пароль посетителям.
Если встроенная гостевая функция не обеспечивает нужные ограничения, используют VLAN — логически отдельные сети на общем оборудовании. Точка доступа относит гостевой Wi-Fi к отдельному VLAN, а роутер запрещает соединения из него в рабочие сегменты. Если между ними стоит коммутатор, его настройки тоже должны поддерживать такую схему.
Покупать ещё один роутер без схемы подключения рано: дополнительная коробка сама по себе изоляцию не гарантирует. Сначала проверьте возможности текущего оборудования. Подробнее о таком подходе — в материале про сегментацию офисной сети, VLAN и VPN.
Если сеть использует IPv6, ограничения должны действовать и для него. Правила только для IPv4 оставляют без проверки второй способ связи. Этот пункт лучше явно включить в задачу администратору.
Как проверить, что гости не видят компьютеры и сетевые папки?
Для проверки возьмите ноутбук, которым вы вправе пользоваться, и подключите его только к гостевому Wi-Fi. Отключите сетевой кабель, мобильное подключение и корпоративный VPN, если он настроен. Иначе тестовый запрос может пройти другим путём, а результат окажется непонятным.
Заранее запишите локальные адреса устройств, доступ к которым хотите закрыть. Проверяйте только своё оборудование или устройства, на проверку которых есть разрешение.
- Откройте обычный сайт. Интернет должен работать, иначе закрытый доступ к офису ещё ничего не доказывает.
- Попробуйте открыть панель управления роутером по её локальному адресу. Гость не должен получать страницу входа, даже если пароль администратора ему неизвестен.
- Обратитесь к заведомо доступной сетевой папке по прямому адресу компьютера или накопителя. Отсутствия папки в разделе «Сеть» недостаточно: автоматическое обнаружение и доступ по адресу работают по-разному.
- Проверьте веб-интерфейс офисного принтера или другого устройства. Гостевая сеть не должна открывать его страницу управления.
- Повторите проверку из рабочей сети. Убедитесь, что нужные папки и устройства по-прежнему доступны сотрудникам.
Запрос логина и пароля от сетевой папки означает, что соединение до соответствующего сервиса дошло. Права доступа к папке продолжают защищать её содержимое, но полной сетевой изоляции в таком случае нет. Для гостевого сегмента лучше закрыть сам путь к рабочему устройству.
Команда ping полезна как дополнительная проверка, но её результата недостаточно. Компьютер может не отвечать на ping и при этом принимать подключения к папкам. Обратный случай тоже возможен: ответ на ping ещё не означает доступ к файлам. Проверяйте конкретные сервисы, а при спорном результате попросите администратора посмотреть правила и журнал межсетевого экрана.
Если в офисе несколько точек доступа, повторите тест через каждую. Одинаковое название Wi-Fi не гарантирует одинаковых правил: одна точка может передавать гостевой трафик в отдельный сегмент, другая — в рабочую сеть.
Как не дать гостевому Wi-Fi мешать работе офиса?
Изоляция закрывает доступ к устройствам, но гости и сотрудники всё ещё могут делить интернет-канал и эфир. Поэтому после проверки безопасности проверьте нагрузку: сохраняется ли качество звонков, открываются ли рабочие облачные сервисы, хватает ли связи в переговорной.
Задайте ограничение пропускной способности для гостевого сегмента, если оборудование поддерживает такую настройку. Универсального значения нет: оно зависит от канала и рабочих задач. Подбирайте лимит по проверке в рабочее время, а для телефонии настройте приоритет трафика на оборудовании, через которое проходит связь.
Если Wi-Fi тормозит и без посетителей, ограничение гостей проблему не устранит. Сначала проверьте покрытие и помехи по инструкции по проверке качества Wi-Fi в небольшом офисе. Слабый сигнал у рабочего стола и перегрузка интернет-канала требуют разных действий.
Разделение сетей удобно включать в общую задачу по настройке интернета для бизнеса: гостевой доступ, приоритет телефонии и резервный канал тогда проверяют как одну схему. При этом резервирование связи само по себе не закрывает гостям доступ к офисным устройствам — правила нужны на каждом пути, по которому идёт трафик.
Типичные ошибки при настройке гостевого Wi-Fi
- Создать второе название сети и остановиться на этом. Проверьте отдельный сегмент и запрет соединений к рабочим устройствам.
- Включить только изоляцию клиентов. Отдельно проверьте доступ к проводным компьютерам, накопителю и панели роутера.
- Считать отсутствие устройств в сетевом окружении доказательством защиты. Попробуйте обратиться к известному сервису по прямому локальному адресу.
- Разрешить доступ ко всей рабочей сети ради гостевой печати. Если печать нужна, администратор может выделить для неё отдельный сегмент и разрешить только необходимые соединения.
- Забыть о проверке после замены оборудования или сброса настроек. Сохраните краткую схему сети и список тестов, чтобы повторить их после изменений.
Начните с одного практического действия: подключите ноутбук к гостевому Wi-Fi и попробуйте открыть локальную страницу управления роутером. Затем проверьте сетевую папку и принтер по известным адресам. Если хотя бы один сервис отвечает, передайте администратору конкретный результат: из какой сети проверяли, к какому устройству обращались и что открылось. После настройки повторите те же тесты и сохраните рабочую конфигурацию.
