Wi-Fi firmowe: osobna nazwa dla gości i dla biura

Wi-Fi w firmie jest radiem do tej samej sieci, do której inni wchodzą kablem. Nazwa, którą ludzie widzą na telefonie, to SSID. Hasło nie jest „hasłem do internetu”. Jest hasłem do środka. Kto je zna, stoi obok księgowości, chyba że goście mają osobną nazwę i ta nazwa nie widzi serwerów. Jedno SSID dla wszystkich, z hasłem na karteczce w kuchni, jest zaproszeniem.

Sieć gości ma wychodzić do internetu i nie ma widzieć drukarek, dysków ani pulpitów. To jest osobny SSID, osobna adresacja i reguła na brzegu, a nie „to samo Wi-Fi, tylko słabsze”. Telefon gościa, który widzi serwer plików, widzi go tak samo jak laptop księgowej. Izolacja gości jest ustawieniem, które da się sprawdzić telefonem z zewnątrz: czy widać tylko internet, czy także nazwy sprzętu w biurze.

Szyfrowanie, którego dziś używamy, to WPA2 albo WPA3. Starsze WEP i pierwsze WPA traktujemy jak brak hasła. Wspólne hasło do sieci pracowników i tak trzeba zmienić, gdy odchodzi osoba, która je znała, albo gdy karteczka wisiała miesiąc. Przy większej liczbie ludzi lepsze jest logowanie kontem, a nie jedno hasło na firmę. Jedno hasło nie da się odebrać jednej osobie bez zmieniania go wszystkim.

Punkt, który nadaje Wi-Fi, nie zastępuje firewalla. Może stać w korytarzu i puszczać fale. Decyzja, dokąd ten ruch idzie, zapada na przełączniku i na brzegu. Dokładanie domowego routera „żeby był zasięg w sali” dokłada drugi DHCP i drugi SSID, którego nikt nie pilnuje. Zasięg dokładamy punktem dostępowym wpiętym w sieć, którą już znamy, a nie drugim internetem z marketu.

Częsty błąd to SSID ukryty zamiast hasła. Ukryta nazwa nie broni, bo telefon i tak ją ogłasza przy łączeniu. Drugi błąd to to samo hasło na sieci gości i na sieci biura. Trzeci błąd to punkt leżący na szafie bez opisu, który SSID nadaje. Awaria „nie ma Wi-Fi w skrzydle” zaczyna się od pytania, który punkt zgasł, a nie od dzwonienia do operatora.

Jak rozprowadzić zasięg i gniazda, jest na stronie sieci firmowej. Odcięcie gości od serwerów jest na stronie bezpiecznej sieci. Sprzęt brzegu, na którym ta reguła u nas często stoi, opisujemy przy Sophosie. Dwie nazwy na telefonie, biuro i goście, są minimum. Jedna nazwa dla wszystkich jest stanem, z którego wychodzimy w pierwszym tygodniu, nie docelowym projektem. Hasło do sieci biura zmieniamy, gdy odchodzi osoba, która je znała, a nie raz na rok „jak będzie czas”. Jednego hasła nie da się odebrać jednej osobie bez zmiany u wszystkich.