Wi-Fi aziendale: rete ospiti separata e accessi sotto controllo
Perché clienti e fornitori non vanno sulla rete dell'ufficio, come impostare una rete ospiti separata e come gestire gli accessi del personale.
In questo articolo 6 sezioni
In breve
- Clienti, fornitori e smartphone personali non dovrebbero stare sulla stessa rete dei computer e del server dell’ufficio.
- Una rete ospiti fatta bene è separata davvero dalla rete interna: un nome di rete diverso non basta.
- Per il personale servono credenziali individuali, o almeno una password che non conosce chiunque sia passato in ufficio.
“Qual è la password del Wi-Fi?” In molti uffici la risposta è scritta su un foglio attaccato al muro della sala riunioni, oppure la sa a memoria chi sta all’ingresso e la detta a chiunque la chieda: il cliente in attesa, il tecnico della caldaia, il rappresentante. Spesso è la stessa password che usano i computer dell’amministrazione e che apre la rete dove stanno il server, il NAS con i documenti e la stampante.
Il Wi-Fi si installa una volta, quando si apre l’ufficio o si cambia il contratto internet, e poi nessuno ci mette più mano. Intanto passano gli anni, cambiano i dipendenti e si aggiungono dispositivi.
Perché una sola rete per tutti è un problema
Chi si collega a una rete può vedere gli altri dispositivi collegati. Con una rete unica, lo smartphone di un ospite si trova sullo stesso piano del gestionale, delle cartelle condivise e della pagina di amministrazione del router. L’ospite non deve per forza avere cattive intenzioni: basta un telefono o un portatile infetto che cerca altri dispositivi da raggiungere.
Poi c’è la password condivisa. Se la conoscono tutti, non c’è modo di sapere chi è collegato, e quando un collaboratore lascia l’azienda la password resta salvata nel suo telefono. Cambiarla vuol dire riconfigurare ogni dispositivo dell’ufficio, e così di solito resta quella.
Come deve essere una rete ospiti
Molti router hanno un’opzione “rete ospiti” che crea un secondo nome di rete. Non sempre è sufficiente: su alcuni apparati la separazione dalla rete interna è parziale o va attivata a mano. Una rete ospiti configurata bene:
- sta su una rete separata (di solito una VLAN dedicata) e il firewall blocca il traffico verso la rete interna, così dagli ospiti si raggiunge solo internet;
- ha l’isolamento tra i client attivo, quindi i dispositivi degli ospiti non si vedono tra loro;
- ha un limite di banda, perché un aggiornamento scaricato da un ospite non deve rallentare le videochiamate dell’ufficio;
- usa una password diversa da quella interna e cambiata con regolarità, oppure una pagina di accesso con codici temporanei;
- non permette di aprire la pagina di gestione del router o degli access point.
Se la pagina di accesso chiede nome, email o numero di telefono, si stanno raccogliendo dati personali: servono un’informativa privacy e una regola su quanto tempo conservarli.
Accessi del personale: meglio credenziali individuali
Per la rete interna la soluzione più ordinata è l’accesso con credenziali personali, la modalità che i dispositivi chiamano “Enterprise” (WPA2-Enterprise o WPA3-Enterprise, con un server di autenticazione RADIUS). Ognuno entra con il proprio utente, spesso lo stesso dell’account aziendale. Quando qualcuno lascia l’azienda si disattiva il suo account e il Wi-Fi smette di funzionare per lui, senza toccare gli altri.
Negli uffici piccoli, dove questa configurazione sarebbe sproporzionata, si può tenere una password condivisa: lunga, mai data agli ospiti e cambiata quando esce qualcuno. In ogni caso conviene usare WPA3, o WPA2 con cifratura AES per i dispositivi più vecchi che non supportano WPA3, e disattivare il WPS, la funzione di collegamento con pulsante o PIN, che ha avuto vulnerabilità note.
Stampanti, telecamere, smart TV della sala riunioni e centralini ricevono pochi aggiornamenti e spesso nessuno li controlla. Dove si può, vanno messi in una rete a parte, raggiungibile solo dai computer che li usano davvero, perché un apparecchio vecchio sulla rete principale è un punto d’ingresso facile.
Gli apparati: chi li gestisce e come
Access point e router hanno un software interno che va aggiornato come quello dei computer. Ne abbiamo parlato nell’articolo su perché gli aggiornamenti di sicurezza non vanno rimandati: gli apparati di rete sono spesso i più trascurati. Alcune verifiche da fare:
- la password di amministrazione di router e access point non è più quella di fabbrica;
- il firmware è aggiornato e il modello è ancora supportato dal produttore;
- la gestione da remoto è disattivata o protetta;
- esiste un elenco degli access point, con la loro posizione e il nome di chi ha le credenziali per gestirli.
Quando gli access point sono più di due o tre conviene un sistema con gestione centralizzata, da cui si applicano le stesse regole a tutti e si vede chi è collegato in quel momento.
Da dove partire
Una prima verifica del Wi-Fi risponde a domande semplici: quante reti ci sono, cosa raggiunge chi si collega a ciascuna, chi conosce le password, quanti anni hanno gli apparati. A volte basta configurare meglio l’hardware che c’è già. Altre volte il modem fornito dall’operatore non permette di separare le reti e va affiancato da un apparato adatto.
Per un ente pubblico il discorso è lo stesso, con un’attenzione in più per gli sportelli aperti al pubblico e per le sale dove si tengono incontri con persone esterne.
Se vuoi sapere come è configurata la rete della tua sede, a Potenza o altrove in Basilicata, Puglia e Campania, trovi come lavoriamo nella pagina delle infrastrutture IT e nell’approfondimento su firewall e reti. Puoi scriverci dalla pagina contatti.
