Jak oddzielić Wi-Fi dla gości od sieci firmowej?

Utwórz osobny SSID przypięty do osobnego VLAN-u i dodaj reguły firewall, które pozwalają gościom tylko na ruch do internetu, a blokują sieci prywatne (RFC1918) i panel routera. Do tego włącz izolację klientów.

Czy można dawać gościom hasło do firmowego Wi-Fi?

Nie warto. Każdy, kto zna to hasło, jest w tej samej sieci co drukarki, NAS, kamery i komputery pracowników, a hasło krąży latami i rzadko jest zmieniane.

Co to jest izolacja klientów w Wi-Fi?

To opcja punktu dostępowego, która blokuje komunikację między urządzeniami podłączonymi do tej samej sieci Wi-Fi. Zwykle działa w obrębie jednego AP, więc pełną izolację uzupełnia się regułami na przełącznikach lub bramie.

Czy sieć dla gości powinna mieć hasło?

W biurze najlepiej tak: WPA2/WPA3 z hasłem innym niż firmowe, zmienianym regularnie. Otwarta sieć z samym captive portalem jest wygodna, ale ruch w eterze nie jest wtedy szyfrowany.

Jak ograniczyć prędkość internetu dla gości?

Ustaw limit per klient (np. 10/5 Mb/s) i limit na całą sieć gości (np. 30-40% łącza). UniFi, MikroTik i pfSense mają do tego wbudowane mechanizmy.

Wi-Fi dla gości w firmie: jak oddzielić gości od sieci firmowej

Q: Czy zbieranie e-maili lub numerów telefonów w captive portalu wymaga RODO?

Tak, to dane osobowe, więc potrzebujesz klauzuli informacyjnej, celu i okresu przechowywania. Zgoda marketingowa musi być osobna, niezaznaczona domyślnie, a dostęp do Wi-Fi nie może od niej zależeć.

Klient pyta o Wi-Fi, a Ty z rozpędu podajesz hasło do sieci firmowej. Albo wisi ono na kartce przy recepcji od czterech lat. Wygodne? Tak. Bezpieczne? Ani trochę. Ten jeden nawyk potrafi zniweczyć całą resztę zabezpieczeń w firmie.

W tym wpisie pokażę Ci, jak zrobić Wi-Fi dla gości porządnie: tak, żeby gość miał szybki internet i nic poza nim.

Dlaczego wspólne hasło to problem

Kto zna hasło do sieci firmowej, ten jest w środku. Nie „obok”, nie „w internecie”, tylko w tej samej sieci co:

drukarki i skanery - często z panelem bez hasła i z zapisanymi skanami,
NAS z dokumentami, kopiami zapasowymi i udostępnionymi folderami,
kamery i rejestrator - z domyślnymi hasłami częściej, niż chciałbyś wiedzieć,
panel routera, kontrolera sieci i przełączników,
komputery pracowników z udostępnionymi zasobami.

Do tego dochodzi czas. Hasło do firmowego Wi-Fi krąży latami: zna je były pracownik, kurier, serwisant ekspresu, sąsiad zza ściany. Nikt go nie zmienia, bo trzeba by przestawić wszystkie urządzenia w biurze.

I wreszcie: nie wiesz, co przynosi gość. Laptop z infekcją, który od razu zaczyna skanować sieć, to scenariusz z życia, nie z filmu.

Zasada: gość widzi tylko internet

Dobra sieć dla gości opiera się na trzech warstwach, które działają razem:

Osobny SSID - nazwa sieci, którą widzi gość, np. „Firma-Goscie”.
Osobny VLAN - ruch gości jest logicznie oddzielony od ruchu firmowego, z własną adresacją i własnym DHCP. Więcej o tym w artykule o segmentacji VLAN, a o różnicy między pojęciami przeczytasz we wpisie WLAN i VLAN - czym się różnią.
Reguły firewall - to one faktycznie pilnują, że z VLAN-u gości nie da się wejść nigdzie poza internet.

Sam osobny SSID bez VLAN-u i firewalla to tylko druga nazwa tej samej sieci. Sam VLAN bez reguł też niewiele daje, bo router domyślnie chętnie przekazuje ruch między sieciami.

Przykładowy plan adresacji

VLAN  Nazwa    Podsiec           DHCP lease  Do czego
10    FIRMA    10.0.10.0/24      24 h        komputery, serwery, NAS
20    GOSCIE   10.0.20.0/23      2 h         telefony i laptopy gosci
30    IOT      10.0.30.0/24      24 h        TV, ekspres, drukarka, czujniki
99    MGMT     10.0.99.0/24      statyczne   AP, przelaczniki, kontroler

Dla gości daj większą podsieć i krótki czas dzierżawy. Goście przychodzą i wychodzą, a przy dzierżawie 24 h pula potrafi się wyczerpać w jeden dzień konferencji.

Przykładowe reguły firewall

# ruch z VLAN 20 (GOSCIE)
1. POZWOL   GOSCIE  do bramy   UDP 67-68 (DHCP)
2. POZWOL   GOSCIE  do bramy   UDP/TCP 53 (DNS) - jesli brama robi DNS
3. ODRZUC   GOSCIE  do bramy   wszystko inne (panel WWW, SSH, WinBox)
4. ODRZUC   GOSCIE  do 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16
5. POZWOL   GOSCIE  do internetu

Kolejność ma znaczenie: blokada sieci prywatnych (RFC1918) musi być przed regułą „pozwól do internetu”. Zwróć uwagę na regułę 4 - blokuje nie tylko Twoje VLAN-y, ale też np. panel modemu operatora pod 192.168.1.1, jeśli masz podwójny NAT. O tym, co jeszcze powinno być ustawione na brzegu sieci, piszę w tekście firewall w małej firmie - co musi być ustawione w 2026.

Izolacja klientów

Firewall oddziela gości od firmy. Ale goście nadal widzą siebie nawzajem. Włącz izolację klientów (client isolation) na SSID gości - wtedy telefon jednego gościa nie widzi laptopa drugiego.

Uwaga: izolacja na punkcie dostępowym zwykle działa w obrębie jednego AP. Dwa urządzenia na dwóch różnych AP mogą się nadal widzieć przez przełącznik. Pełną izolację zapewnia dopiero blokada na przełącznikach albo na bramie.

DNS dla gości

Masz dwie sensowne opcje:

Publiczny DNS (np. 1.1.1.1, 9.9.9.9) - prosto, a goście w ogóle nie rozmawiają z Twoją bramą poza DHCP.
DNS filtrujący - np. Quad9 blokuje domeny złośliwe, a Cloudflare 1.1.1.2 i 1.1.1.3 dodatkowo filtrują malware i treści dla dorosłych. Dobre tam, gdzie z sieci korzystają dzieci albo przypadkowe osoby.

Nie dawaj gościom firmowego serwera DNS, który zna nazwy Twoich wewnętrznych serwerów. To niepotrzebna informacja o Twojej sieci.

Limity pasma i czasu

Jeden gość ściągający aktualizację gry potrafi położyć wideokonferencję w sali obok. Dlatego ustaw dwa poziomy limitów:

Per klient - np. 10/5 Mb/s. Na pocztę, przeglądanie i wideorozmowę wystarczy.
Na całą sieć gości - np. 30-40% łącza, żeby firma zawsze miała zapas.

Ile realnie potrzebujesz, policzysz w kalkulatorze przepustowości.

Do tego czas: sesja w captive portalu wygasa np. po 8 godzinach, a harmonogram wyłącza SSID gości w nocy i w weekendy. Sieć, której nie ma, nie da się nadużyć o trzeciej nad ranem z parkingu.

Captive portal - jak gość ma się zalogować

Captive portal to strona, która wyświetla się po połączeniu, zanim gość dostanie internet. Masz kilka wariantów:

Akceptacja regulaminu (kliknij i korzystaj) - najmniej tarcia, a gość przynajmniej zobaczył zasady. Nie wiesz jednak, kto to był.
Hasło dnia lub tygodnia - podawane na recepcji. Proste, ale hasło dalej się rozchodzi, tylko krócej żyje.
Voucher - jednorazowy kod z limitem czasu, transferu lub prędkości. Świetny w hotelach, salach szkoleniowych i biurach z umówionymi wizytami. Minus: ktoś musi kody drukować i wydawać.
Logowanie SMS lub e-mail - daje jakąś identyfikację i bazę kontaktów. Minusy: koszt bramki SMS, więcej kroków dla gościa, a e-mail łatwo podać fikcyjny.

Pamiętaj o RODO. Jeśli zbierasz numer telefonu czy adres e-mail, to przetwarzasz dane osobowe: potrzebujesz klauzuli informacyjnej, określonego celu i okresu przechowywania. Zgoda marketingowa musi być osobna i niezaznaczona domyślnie, a dostęp do Wi-Fi nie może od niej zależeć. Zbieraj tylko to, czego naprawdę potrzebujesz.

Szyfrowanie i rotacja hasła

Otwarta sieć z samym portalem jest wygodna, ale ruch w eterze leci wtedy bez szyfrowania Wi-Fi. W biurze lepiej sprawdza się WPA2/WPA3 z hasłem (tryb mieszany dla starszych telefonów) plus ewentualnie portal z regulaminem.

Hasło do sieci gości zawsze inne niż do sieci firmowej.
Zmieniaj je regularnie - co miesiąc albo co kwartał. Przy sieci gości to nic nie kosztuje, bo nie trzeba przestawiać firmowych urządzeń.
Kod QR na recepcji oszczędza dyktowania i literówek.

Bonus: osobna sieć dla IoT

Telewizor w sali konferencyjnej, ekspres z aplikacją, drukarka, klimatyzacja - to urządzenia, które rzadko dostają aktualizacje i nie powinny siedzieć obok księgowości. Daj im własny VLAN (u nas 30):

IoT ma dostęp do internetu (albo tylko do konkretnych usług producenta),
firma może łączyć się z IoT (np. drukowanie), ale IoT nie inicjuje połączeń do firmy,
jeśli goście mają wyświetlać prezentację na TV, potrzebujesz przekazywania mDNS między VLAN-ami i wąskiej reguły - nie otwierania całej sieci.

Jak takie strefy układają się w całość, pokazuję w artykule jak powinna wyglądać sieć w małej firmie.

Jak to wygląda w konkretnym sprzęcie

Nazwy opcji zmieniają się między wersjami oprogramowania, więc traktuj poniższe jako mapę, nie instrukcję klik po kliku.

UniFi

Settings, Networks - nowa sieć z VLAN 20. Przy włączonym firewallu strefowym (Zone-Based Firewall, UniFi Network 9 i nowsze) przypisz ją do strefy Hotspot, która domyślnie nie ma dostępu do stref wewnętrznych. Bez stref używasz opcji izolacji sieci (Network Isolation). Na przełącznikach UniFi pomaga też Device Isolation (ACL).
Settings, WiFi - nowy SSID przypięty do tej sieci, Client Device Isolation włączone, opcjonalnie limit prędkości i harmonogram.
Hotspot Portal - strona logowania z regulaminem, hasłem, voucherami lub RADIUS-em, czasem trwania sesji i listą adresów dostępnych przed autoryzacją.

MikroTik

VLAN na bridge z VLAN filtering, osobny serwer DHCP dla VLAN 20.
Lista adresów z sieciami RFC1918 i reguły w łańcuchu forward (blokada) oraz input (tylko DHCP i DNS do routera).
Izolacja klientów w konfiguracji Wi-Fi (w nowym pakiecie wifi opcja client-isolation w datapath).
Kolejki z PCQ do limitu per klient, wbudowany Hotspot i User Manager do voucherów.

pfSense

Interfejs VLAN, alias z sieciami RFC1918, reguły na interfejsie gości: DNS do „This firewall”, blokada reszty do firewalla, blokada aliasu, potem przepuszczenie reszty.
Limitery z maską źródłową do limitu per klient.
Wbudowany Captive Portal z voucherami.

Który ekosystem pasuje do Twojej firmy, porównuję we wpisie MikroTik vs Ubiquiti.

Zasięg i pojemność

Sieć gości korzysta z tych samych punktów dostępowych co firma, więc dzieli z nią czas antenowy. Kilka zasad:

nie mnóż SSID - każda dodatkowa sieć to dodatkowe ramki rozgłoszeniowe zjadające czas antenowy; 3-4 na radio to rozsądny limit,
sala konferencyjna na 30 osób potrzebuje innego planu niż pokój socjalny,
zasięg sprawdź przed montażem, nie po skargach.

Wstępny plan rozmieszczenia zrobisz w kalkulatorze sygnału Wi-Fi.

A co z prawem?

To nie jest porada prawna, tylko sygnał, o czym warto pomyśleć. TSUE w sprawie McFadden (C-484/14) uznał, że przedsiębiorca udostępniający klientom darmowe Wi-Fi co do zasady nie odpowiada odszkodowawczo za naruszenia praw autorskich popełnione przez użytkowników, ale sąd może nakazać mu zabezpieczenie sieci hasłem i identyfikację użytkowników. Sieć z hasłem i regulaminem to więc rozsądne minimum.

Czy i jakie dodatkowe obowiązki (np. regulacyjne czy dotyczące przechowywania danych o połączeniach) dotyczą Twojej firmy, zależy od skali i charakteru usługi. Przy hotelu, publicznym hotspocie czy płatnym dostępie skonsultuj to z prawnikiem. Niezależnie od tego warto mieć spisane, jakie logi (DHCP, logowania do portalu) przechowujesz i jak długo.

Lista kontrolna

osobny SSID i osobny VLAN dla gości,
blokada RFC1918 i panelu bramy z sieci gości,
izolacja klientów,
limity pasma per klient i na całą sieć,
harmonogram i rotacja hasła,
osobny VLAN dla IoT,
regulamin, a przy zbieraniu danych - obowiązki z RODO.

Potrzebujesz pomocy z siecią dla gości?

Zaprojektuję i wdrożę sieć gości, VLAN-y i reguły firewall na Twoim sprzęcie - w Krakowie lub zdalnie. Sprawdź ofertę administracja sieci oraz wdrożenia MikroTik, Ubiquiti, pfSense. Jeśli dziś Twoi goście korzystają z firmowego hasła, to dobry moment, żeby to zmienić.