Gast-Wi-Fi: waarom scheiden van het bedrijfsnetwerk?

Waarom gasten een eigen netwerk krijgen

Op een bedrijfsnetwerk staan meer apparaten dan alleen computers. Denk aan printers, de kassa, een NAS (een netwerkschijf voor gedeelde bestanden), camera's, de toegangscontrole en de beheerpagina's van de router en de switches. Een switch is het apparaat in de netwerkkast waar de netwerkkabels samenkomen.

Wie op hetzelfde netwerk zit, kan die apparaten in principe zien en proberen te bereiken. Dat geldt ook voor de telefoon of laptop van een bezoeker. Een gescheiden gastnetwerk helpt op drie punten.

• Veiligheid. U weet niet wat er op de apparaten van gasten staat. Sommige schadelijke software zoekt zelf naar andere apparaten in het netwerk. Op een gescheiden gastnetwerk komt die niet verder dan internet.
• Privacy. Klantgegevens, administratie en camerabeelden blijven buiten het bereik van gasten. Met client-isolatie, verderop uitgelegd, zien gasten bovendien elkaars apparaten niet. Dat beschermt ook hun privacy.
• Prestaties. Gasten delen de internetverbinding met uw medewerkers. Kijkt een bezoeker video of haalt hij een grote update binnen, dan merkt u dat aan de snelheid. Op een eigen gastnetwerk kunt u dat verkeer begrenzen.

Privételefoons van medewerkers horen om dezelfde reden niet op het netwerk met de bedrijfsapparatuur. Een eigen gastnetwerk maakt het beheer ook eenvoudiger: het gastwachtwoord wijzigt u zonder dat al uw eigen apparaten opnieuw verbinding moeten maken.

Hoe een gescheiden gastnetwerk werkt

Een gastnetwerk vraagt meestal geen aparte apparatuur. Een access point, het kastje aan wand of plafond dat het draadloze signaal uitzendt, kan meerdere netwerken tegelijk uitzenden. Elk netwerk heeft een eigen naam, de SSID. Die naam is alleen het etiket. De scheiding zit in wat erachter gebeurt.

Een VLAN: een apart netwerk over dezelfde kabels

Een VLAN (virtueel lokaal netwerk) verdeelt één fysiek netwerk in afgescheiden delen. Switches en access points geven het verkeer een label mee, zodat het in het eigen deel blijft. Het gastnetwerk krijgt zo een eigen VLAN, met eigen netwerkadressen.

Bedrijven gebruiken VLAN's ook om bijvoorbeeld kassa's, camera's en telefonie van elkaar te scheiden. Dat werkt volgens hetzelfde principe en staat in een apart artikel over VLAN's.

Firewallregels: alleen de weg naar buiten

Een router of firewall bepaalt welk verkeer tussen de VLAN's en naar internet mag. Voor gasten is de basisregel eenvoudig: internet mag, alles intern niet. Daaronder vallen ook de beheerpagina's van de router, de switches en de access points. Wat gasten nodig hebben om online te komen, zoals een automatisch toegewezen netwerkadres, moet wel blijven werken.

Moet een gast toch iets intern gebruiken, bijvoorbeeld een presentatiescherm in de vergaderruimte? Maak dan een gerichte uitzondering voor dat ene apparaat. Gebruikt uw netwerk ook IPv6, de nieuwere vorm van internetadressen, dan moeten de regels daar ook voor gelden.

Client-isolatie: gasten zien elkaar niet

Met client-isolatie kan het ene apparaat op het gastnetwerk het andere niet bereiken. Een besmette laptop van de ene bezoeker kan dan niet bij de telefoon van een andere. Heeft u meerdere access points, controleer dan of de isolatie ook geldt tussen gasten die op verschillende access points zitten. Niet alle apparatuur doet dat vanzelf.

Bandbreedte begrenzen

U kunt vastleggen hoeveel van de internetverbinding het gastnetwerk mag gebruiken, in totaal of per apparaat. Hoeveel dat moet zijn, hangt af van uw verbinding en van wat gasten doen. Een vaste maat bestaat niet. Sommige apparatuur kan bovendien het verkeer van het bedrijfsnetwerk voorrang geven als het druk is.

Wachtwoord, versleuteling en inlogpagina

Hoe gasten op het netwerk komen, staat los van de scheiding. Ook daar maakt u keuzes.

WPA2 of WPA3

Een gastnetwerk met wachtwoord versleutelt het verkeer tussen het apparaat en het access point. WPA2 en de nieuwere WPA3 zijn daarvoor de gangbare beveiligingsstandaarden. WPA3 beschermt beter tegen het raden van het wachtwoord. Het maakt het ook lastiger dat iemand die het gedeelde wachtwoord kent, het verkeer van andere gasten meeleest.

Niet elk ouder apparaat kent WPA3. Veel netwerken bieden daarom een gemengde instelling, waarmee oudere apparaten via WPA2 verbinden. Gebruik voor gasten in elk geval een ander wachtwoord dan voor het bedrijfsnetwerk.

Een open netwerk zonder wachtwoord is makkelijk voor gasten. Het verkeer door de lucht is dan meestal niet versleuteld. Veel websites en apps versleutelen hun eigen verkeer wel, maar dat geldt niet voor alles.

Een inlogpagina (captive portal)

Een captive portal is de pagina die verschijnt voordat een gast online kan. Daarop accepteert de gast bijvoorbeeld voorwaarden of vult hij een toegangscode in. Zo'n pagina regelt wie toegang krijgt. Het netwerk wordt er niet beter gescheiden of versleuteld door.

Vraagt u op die pagina om gegevens van gasten, zoals een naam of e-mailadres, houd dan rekening met de regels voor privacy. Vraag alleen wat u echt nodig hebt.

Zo controleert u of de scheiding werkt

Veel routers en access points hebben een knop of vinkje voor een gastnetwerk. Wat die precies doet, verschilt per apparaat en per instelling. Soms zijn gasten wel van het bedrijfsnetwerk gescheiden, maar niet van elkaar. Ga er dus niet van uit dat het vanzelf goed zit. Een eerste controle doet u met een laptop en een telefoon.

Een eenvoudige test

1. Verbind een laptop alleen met het gastnetwerk. Haal ook een eventuele netwerkkabel eruit, anders test u via het bedrijfsnetwerk.
2. Zoek naar uw eigen apparaten. Kijk in het printvenster, in de lijst met netwerklocaties en in de lijst met schermen om naar te casten. Bedrijfsprinters, gedeelde mappen en schermen horen daar niet tussen te staan, behalve wat u bewust openzet.
3. Probeer interne adressen te openen. Typ in de browser het adres van een printer, een NAS of de beheerpagina van de router. Uw beheerder weet welke adressen dat zijn. Er hoort niets te openen.
4. Test met twee gastapparaten. Kijk of het ene apparaat het andere kan vinden, bijvoorbeeld bij het delen van bestanden. Doe dat ook met twee apparaten die op verschillende access points zitten.
5. Doe een snelheidstest op het gastnetwerk. Zo ziet u of de grens aan de bandbreedte werkt.
6. Herhaal de test na elke wijziging, zoals nieuwe apparatuur, een software-update of een andere instelling.

Deze test geeft een eerste beeld, geen volledige doorlichting. Een netwerkbeheerder kan met meetsoftware nagaan welke verbindingen de firewall precies doorlaat.

Wat de apparatuur moet kunnen

Een echte scheiding vraagt apparatuur die meewerkt. De router van de internetprovider heeft vaak een gastfunctie, maar die is niet altijd zo in te stellen als hierboven beschreven. In een bedrijfsnetwerk let u op drie onderdelen.

• Access points die meerdere netwerknamen uitzenden en elke naam aan een eigen VLAN koppelen.
• Beheerbare switches die VLAN's doorgeven. Een eenvoudige switch zonder beheer kunt u daarvoor niet instellen.
• Een router of firewall die de regels tussen de VLAN's afdwingt. Client-isolatie en bandbreedtebeperking stelt u meestal in het beheersysteem van de access points of de router in.

Vervangt u daarvoor switches, let dan ook op de voeding van de access points. Die krijgen hun stroom vaak via de netwerkkabel, met PoE (Power over Ethernet). Volgens een overzicht van de Ethernet Alliance levert een switch per poort 15,4 W bij PoE Type 1, oplopend tot 90 W bij Type 4. Bij het access point komt minder aan, bij Type 4 ongeveer 71,3 W. Welk type nodig is, staat in de specificaties van het access point.

Leg ten slotte vast welke netwerknaam bij welk VLAN hoort en welke regels er gelden. Dan ziet ook een volgende beheerder hoe het netwerk in elkaar zit.

Wat een gastnetwerk niet oplost

Een gescheiden gastnetwerk houdt gasten weg van uw bedrijfsapparatuur. Meer doet het niet.

• Het beveiligt uw eigen netwerk niet. Zwakke wachtwoorden, apparaten zonder updates of een besmette laptop van een medewerker blijven een risico.
• Het scheidt uw eigen apparaten niet van elkaar. Kassa, camera's en slimme apparaten krijgen bij voorkeur ook een eigen deel van het netwerk.
• Het maakt slechte Wi-Fi niet beter. Gasten gebruiken dezelfde access points en dezelfde internetverbinding. Is de dekking zwak, dan merken gasten en medewerkers dat allebei.
• Het beschermt gasten niet tegen alles. Client-isolatie houdt andere gasten op afstand. De beveiliging van hun eigen apparaat blijft hun zaak.
• Het bepaalt niet wat gasten online doen. Websites filteren of blokkeren is een aparte keuze, met eigen instellingen.

Veelgemaakte misverstanden

“Het gastnetwerk van de router is automatisch gescheiden.”

Soms wel, soms maar half. Het hangt af van het apparaat en de instelling. Alleen een test laat zien wat gasten echt kunnen bereiken.

“Filteren op MAC-adres houdt ongewenste apparaten buiten.”

Een MAC-adres is het hardwareadres van een netwerkaansluiting. Het is eenvoudig na te bootsen, en veel telefoons gebruiken per netwerk een eigen, willekeurig adres. Als beveiliging stelt het weinig voor.

“Met een inlogpagina is het netwerk beveiligd.”

Een inlogpagina regelt wie toegang krijgt en onder welke voorwaarden. Over de scheiding en de versleuteling zegt ze niets.

Wanneer schakelt u een vakman in?

Schakel een netwerkspecialist in als een van deze situaties bij u speelt.

• Bij de test ziet u vanaf het gastnetwerk printers, gedeelde mappen of beheerpagina's.
• Gasten en medewerkers gebruiken nu hetzelfde netwerk of hetzelfde wachtwoord.
• Uw switches of router kunnen geen VLAN's of firewallregels aan.
• Er komen access points, een kassa, camera's of andere apparaten bij die een eigen deel van het netwerk nodig hebben.
• Niemand weet meer precies hoe het netwerk is ingesteld.

Hoe Eplus Wi-Fi en netwerken in bedrijfspanden aanpakt, leest u op de pagina over zakelijke Wi-Fi en LAN. Meer uitleg over draadloze netwerken en bekabeling vindt u in de Kennisbank over Wi-Fi en netwerken.