Klienci i goście odwiedzający biuro często pytają o dostęp do Wi-Fi — udostępnienie im głównej sieci firmowej oznacza jednak ryzyko dostępu do zasobów, do których nie powinni mieć wglądu.

Na czym polega ta usługa

Konfiguracja obejmuje utworzenie osobnej sieci Wi-Fi dla gości, całkowicie odseparowanej od sieci firmowej i jej zasobów, ustawienie prostego procesu logowania oraz ograniczeń przepustowości, żeby nie obciążała głównego łącza.

Dla kogo ma sens

Usługa jest przydatna dla biur regularnie przyjmujących klientów lub gości, którzy oczekują dostępu do internetu bez konieczności udostępniania im sieci firmowej.

Ile to trwa

Konfiguracja sieci gościnnej to zabieg realizowany zwykle do 24 godzin od przyjęcia zgłoszenia.

Warunki

Diagnoza wstępna i wycena są bezpłatne. Dojazd na terenie Warszawy i okolic jest bezpłatny, a usługa objęta jest gwarancją do 12 miesięcy.

Dlaczego współdzielenie sieci firmowej z gośćmi stanowi realne zagrożenie

Udostępnienie gościom lub klientom hasła do głównej sieci bezprzewodowej biura włącza ich urządzenia bezpośrednio do tej samej domeny rozgłoszeniowej, w której pracują komputery pracowników, serwery oraz urządzenia peryferyjne. W takiej sytuacji laptop lub telefon osoby z zewnątrz uzyskuje bezpośredni dostęp do lokalnej przestrzeni adresowej, co rodzi szereg poważnych zagrożeń dla bezpieczeństwa przetwarzanych danych.

Współdzielona sieć umożliwia skanowanie otoczenia sieciowego i wykrywanie udostępnionych folderów roboczych, sieciowych dysków NAS (urządzeń pamięci masowej służących do przechowywania kopii zapasowych i dokumentacji firmowej) oraz baz danych programów handlowo-magazynowych i księgowych, takich jak InsERT Subiekt GT, Comarch ERP Optima, WAPRO ERP czy Symfonia. Nawet jeśli zasoby te są zabezpieczone hasłami, sam fakt ich widoczności w sieci lokalnej naraża firmę na próby nieautoryzowanego dostępu lub luki w zabezpieczeniach systemów operacyjnych.

Równie istotnym ryzykiem jest zagrożenie infekcją złośliwym oprogramowaniem. Urządzenie gościa może być zainfekowane wirusem, robakiem sieciowym lub oprogramowaniem typu ransomware (programem szyfrującym pliki dla wymuszenia okupu) bez wiedzy samego właściciela. Po podłączeniu do niezabezpieczonej sieci lokalnej złośliwy kod automatycznie skanuje otoczenie i rozprzestrzenia się na pozostałe komputery oraz zasoby współdzielone w biurze.

Wspólna sieć stwarza także możliwość podsłuchiwania nieszyfrowanego ruchu sieciowego przy użyciu techniki ARP spoofing (fałszowania adresów w sieci lokalnej w celu przechwytywania przesyłanych pakietów danych). Dodatkowo intensywne korzystanie z internetu przez gości, na przykład podczas pobierania dużych plików lub oglądania materiałów wideo, może doprowadzić do całkowitego wysycenia łącza internetowego i zablokowania pracy personelu korzystającego z usług chmurowych, poczty elektronicznej czy telefonii internetowej.

Warianty wdrożenia sieci gościnnej w środowisku biurowym

W zależności od wielkości biura, liczby jednocześnie obsługiwanych gości oraz posiadanego sprzętu sieciowego stosuje się różne warianty architektury sieci bezprzewodowej.

Pierwszym wariantem jest konfiguracja dedykowanej funkcji sieci gościnnej na poziomie routera głównego. Jest to rozwiązanie dedykowane mniejszym biurom, w których cała komunikacja bezprzewodowa opiera się na jednym urządzeniu wielofunkcyjnym. Router rozgłasza dodatkowy identyfikator SSID (unikalną nazwę sieci bezprzewodowej widoczną dla użytkowników), a wbudowane oprogramowanie automatycznie izoluje podłączonych klientów od portów sieci przewodowej LAN oraz głównej sieci Wi-Fi.

Drugim wariantem jest wdrożenie w oparciu o technologię VLAN (wirtualną sieć lokalną, która pozwala logicznie podzielić jedną fizyczną sieć na odrębne, odizolowane segmenty). To rozwiązanie stosuje się w biurach wyposażonych w zarządzalne przełączniki sieciowe (switche) oraz rozproszone punkty dostępowe (Access Point). Ruch generowany przez sieć gościnną jest oznaczany osobnym identyfikatorem (tagiem VLAN) i kierowany bezpośrednio do bramy internetowej, z całkowitym zablokowaniem możliwości komunikacji z podsiecią biurową na poziomie przełączników i zapory ogniowej.

Trzecim wariantem jest sieć gościnna zintegrowana z mechanizmem Captive Portal (stroną powitalną wyświetlaną automatycznie w przeglądarce internetowej przed uzyskaniem dostępu do sieci). Rozwiązanie to sprawdza się w biurach o dużym przepływie osób, kancelariach, placówkach medycznych oraz salach konferencyjnych. Portal może wymagać zaakceptowania regulaminu korzystania z łącza, podania jednorazowego kodu dostępu (vouchera) wygenerowanego w recepcji lub prostego zatwierdzenia regulaminu bez konieczności wpisywania skomplikowanych haseł sieciowych.

Czwartym wariantem jest sieć z dynamicznym harmonogramem czasowym oraz automatycznym wygaszaniem sesji. Mechanizm ten automatycznie wyłącza rozgłaszanie sygnału sieci gościnnej po godzinach pracy biura oraz w weekendy, a także ogranicza czas trwania pojedynczego połączenia (na przykład do 2 lub 4 godzin), po upływie którego następuje automatyczne rozłączenie i konieczność ponownej autoryzacji.

Kluczowe mechanizmy bezpieczeństwa i kontroli pasma

Prawidłowe wdrożenie sieci dla gości wymaga zastosowania szeregu funkcji chroniących zarówno infrastrukturę firmową, jak i samych użytkowników zewnętrznych.

Podstawowym elementem jest funkcja AP Client Isolation (izolacja klientów w punkcie dostępowym). Mechanizm ten blokuje bezpośrednią komunikację pomiędzy poszczególnymi urządzeniami podłączonymi do tej samej sieci gościnnej. Dzięki temu laptopy i telefony różnych klientów przebywających jednocześnie w sali spotkań lub poczekalni nie widzą się nawzajem, co uniemożliwia próby wzajemnego skanowania portów, przesyłania zainfekowanych plików czy przechwytywania danych.

Kolejnym filarem jest zarządzanie pasmem za pomocą mechanizmów QoS (Quality of Service, czyli technologii priorytetyzacji i kształtowania ruchu sieciowego). Konfiguracja pozwala na sztywne ograniczenie maksymalnej prędkości pobierania (download) i wysyłania (upload) dla całej podsieci gościnnej lub dla każdego podłączonego urządzenia indywidualnie. Zapobiega to sytuacji, w której jeden użytkownik obciąża całą przepustowość łącza dostarczanego przez operatora telekomunikacyjnego.

W ramach separacji stosuje się również odrębną pulę adresów DHCP (protokołu dynamicznego przydzielania adresacji IP). Urządzenia gości otrzymują adresy z zupełnie innej klasy adresowej niż komputery firmowe. Zapobiega to wyczerpaniu puli adresów IP w sieci głównej, co mogłoby zablokować dołączanie nowych komputerów pracowniczych lub drukarek sieciowych.

Uzupełnieniem ochrony jest filtrowanie zapytań DNS (systemu tłumaczącego nazwy domen internetowych na adresy numeryczne IP) oraz blokowanie niepożądanych protokołów na poziomie zapory sieciowej (firewall). Blokuje się ruch w sieciach wymiany plików P2P (Peer-to-Peer), porty używane przez podejrzane aplikacje oraz dostęp do stron internetowych sklasyfikowanych jako źródła złośliwego oprogramowania.

Błędy popełniane podczas samodzielnej konfiguracji sieci dla gości

Próby samodzielnego uruchomienia sieci dla klientów bez odpowiedniej wiedzy sieciowej często prowadzą do pozornego poczucia bezpieczeństwa, podczas gdy sieć firmowa nadal pozostaje otwarta na zagrożenia.

Najczęstszym błędem jest utworzenie drugiego identyfikatora sieci bezprzewodowej SSID na domowym routerze bez weryfikacji, czy urządzenie faktycznie izoluje ruch pomiędzy sieciami. W wielu tanich routerach utworzenie dodatkowej nazwy Wi-Fi powoduje jedynie rozgłaszanie drugiej nazwy w tej samej podsieci LAN, co oznacza, że goście mają dokładnie taki sam dostęp do zasobów biurowych jak pracownicy.

Drugim błędem jest umieszczanie haseł do sieci na widocznych tabliczkach w recepcji lub salach spotkań przy braku wdrożonej izolacji klientów (AP Isolation). W takim przypadku każdy gość może swobodnie analizować ruch sieciowy innych osób przebywających w tym samym pomieszczeniu.

Kolejną nieprawidłowością jest pozostawienie domyślnych danych logowania do panelu administracyjnego routera lub punktów dostępowych. Osoba podłączona do sieci gościnnej, jeśli zapora nie blokuje dostępu do adresu IP bramy domyślnej, może zalogować się do panelu zarządzania sprzętem sieciowym i zmienić jego konfigurację.

Często spotykanym problemem jest także brak jakichkolwiek limitów transferu danych, co przy intensywnym korzystaniu z internetu przez gości prowadzi do zrywania połączeń w terminalach płatniczych, systemach sprzedaży czy centralach telefonicznych VoIP (telefonii internetowej).

Błędem bywa również błędne skonfigurowanie reguł zapory sieciowej, w wyniku którego zablokowany zostaje ruch do komputerów pracowników, ale nadal możliwy jest dostęp do sieciowych drukarek, dysków NAS lub serwerów bazodanowych podłączonych przewodowo do switcha.

Kiedy standardowa sieć gościnna wymaga rozszerzenia o dodatkowe funkcje

W niektórych środowiskach biurowych prosta sieć gościnna oparta na jednym haśle dostępowym okazuje się niewystarczająca pod względem organizacyjnym i prawnym.

W przestrzeniach coworkingowych, centrach konferencyjnych oraz biurach wielooddziałowych konieczne jest wdrożenie indywidualnych kont dostępowych lub systemu voucherów o określonym czasie ważności. Umożliwia to precyzyjną kontrolę nad tym, kto i w jakim przedziale czasowym korzystał z łącza internetowego.

W przypadku biur o dużej powierzchni, w których zainstalowano wiele punktów dostępowych, kluczowe staje się wdrożenie protokołów szybkiego roamingu (standardów 802.11k, 802.11v oraz 802.11r). Pozwalają one na płynne przełączanie urządzeń użytkowników pomiędzy poszczególnymi nadajnikami bez przerywania transmisji danych i bez konieczności ponownego logowania podczas przemieszczania się po budynku.

W firmach przetwarzających dane o podwyższonym rygorze bezpieczeństwa, takich jak kancelarie prawne, instytucje finansowe czy biura rachunkowe, sieć gościnna musi być w pełni audytowalna. Wymaga to rejestrowania logów systemowych (zdarzeń sieciowych) na zewnętrznym serwerze oraz wdrożenia zaawansowanego uwierzytelniania w oparciu o serwery RADIUS (serwery centralnego zarządzania tożsamością i autoryzacją użytkowników).

Przebieg audytu i wdrożenia podczas bezpośredniej wizyty w biurze

Usługa konfiguracji realizowana jest w formie bezpośredniej wizyty specjalisty w siedzibie firmy na obszarze Warszawy oraz okolicznych powiatów (grodziskiego, legionowskiego, otwockiego, piaseczyńskiego, pruszkowskiego, warszawskiego zachodniego oraz wołomińskiego).

Prace rozpoczynają się od weryfikacji architektury sieciowej oraz audytu posiadanego sprzętu (routerów, przełączników sieciowych, punktów dostępowych i okablowania strukturalnego). Specjalista sprawdza możliwości oprogramowania układowego urządzeń pod kątem obsługi separacji logicznej, podsieci wirtualnych oraz kształtowania pasma.

Następnie tworzony jest schemat adresacji IP oraz definiowane są reguły zapory sieciowej (firewall). Konfiguracja obejmuje uruchomienie odrębnego identyfikatora SSID dla gości, włączenie izolacji klientów, przypisanie odpowiednich pasm radiowych (2.4 GHz oraz 5 GHz) oraz ustawienie limitów prędkości pobierania i wysyłania danych.

Po wdrożeniu ustawień przeprowadzane są testy weryfikacyjne z poziomu podłączonego urządzenia testowego. Sprawdzana jest niemożność uzyskania dostępu do zasobów lokalnych (serwerów plików, baz danych ERP, drukarek sieciowych i paneli konfiguracyjnych urządzeń), a także stabilność limitów pasma i poprawność działania portalu powitalnego lub kodów szybkiego dostępu QR.

Najczęściej zadawane pytania

Czy wdrożenie sieci gościnnej wymaga zakupu nowych urządzeń sieciowych?

W większości przypadków nie ma konieczności wymiany infrastruktury. Współczesne routery i punkty dostępowe marek takich jak MikroTik, Ubiquiti, DrayTek, TP-Link, Asus czy Synology posiadają wbudowaną obsługę sieci gościnnych lub sieci wirtualnych VLAN. W sytuacji, gdy biuro dysponuje wyłącznie podstawowym modemem dostarczonym przez operatora telekomunikacyjnego o zablokowanych funkcjach zaawansowanych, wystarczy dołożenie jednego dedykowanego punktu dostępowego (Access Point), który przejmie obsługę sieci bezprzewodowej i zapewni pełną separację logiczną.

Czy po podłączeniu do sieci gościnnej klient może wydrukować dokument na drukarce biurowej?

Domyślna konfiguracja całkowicie blokuje dostęp do wszystkich urządzeń w sieci lokalnej, w tym drukarek. Jeżeli jednak profil działalności firmy wymaga umożliwienia gościom drukowania dokumentów, konfiguruje się dedykowaną regułę na zaporze sieciowej (firewall). Reguła ta zezwala na ruch wyłącznie na ściśle określonym porcie drukarki (na przykład protokołu IPP lub RAW) do jednego wybranego urządzenia drukującego, uniemożliwiając jednocześnie jakikolwiek dostęp do komputerów pracowników czy serwerów.

W jaki sposób goście mogą łączyć się z siecią bez konieczności wpisywania hasła?

Najwygodniejszą metodą jest przygotowanie dedykowanego kodu QR, który można umieścić w widocznym miejscu w recepcji lub sali konferencyjnej. Użytkownik skanuje kod aparatem w telefonie lub tablecie i uzyskuje natychmiastowe połączenie z siecią gościnną bez konieczności ręcznego przepisywania hasła. Innym rozwiązaniem jest uruchomienie portalu logowania (Captive Portal), w którym dostęp aktywuje się poprzez pojedyncze kliknięcie przycisku akceptacji regulaminu w oknie przeglądarki internetowej.

Czy sieć gościnna może spowolnić działanie systemów księgowych i programów firmowych?

Prawidłowo skonfigurowana usługa całkowicie eliminuje to ryzyko dzięki mechanizmom QoS (Quality of Service). Na routerze ustawia się sztywny limit maksymalnej przepustowości dla podsieci gości, rezerwując niezbędną część pasma internetowego na wyłączny użytek systemów firmowych, baz danych SQL, programów ERP, poczty elektronicznej oraz telefonii VoIP.

Czy przed przystąpieniem do prac w sieci firmowej podpisywana jest umowa o poufności?

Tak, na życzenie klienta przed rozpoczęciem audytu i konfiguracji urządzeń sieciowych podpisywana jest bezpłatna umowa o zachowaniu poufności (NDA). Gwarantuje to pełną ochronę informacji dotyczących infrastruktury teleinformatycznej, schematów adresacji oraz przetwarzanych w firmie danych.

Bezpieczna separacja sieci bezprzewodowej w środowisku biurowym

Prawidłowe odseparowanie ruchu gości od krytycznych zasobów firmowych to podstawowy element bezpieczeństwa teleinformatycznego każdego przedsiębiorstwa przyjmującego klientów, podwykonawców czy partnerów handlowych. Wdrożenie dedykowanej sieci gościnnej eliminuje ryzyko przypadkowego wycieku danych, infekcji złośliwym oprogramowaniem oraz niekontrolowanego przeciążenia łącza internetowego. Wszystkie prace konfiguracyjne realizowane są bezpośrednio w siedzibie firmy na terenie Warszawy i okolicznych powiatów, z precyzyjnym dopasowaniem parametrów bezpieczeństwa do specyfiki infrastruktury i wymogów organizacyjnych.

22 378 48 09

Sieć Wi-Fi gościnna dla klientów odwiedzających biuro