Гостевой Wi-Fi отдельно от рабочей сети: схема с VLAN

Что именно отделяет гостевая сеть

Гостевая сеть — это не про удобство гостей, а про границы доверия. В рабочей сети находятся ресурсы, доступ к которым чужому устройству не нужен ни в одном сценарии: учётная система, общие диски, сетевые принтеры, видеорегистратор, телефония. Ноутбук подрядчика с устаревшей системой защиты, телефон гостя с сомнительным приложением — все они в рабочей сети становятся частью её поверхности атаки, без всякой пользы для бизнеса.

Вторая, менее очевидная причина — собственные сотрудники. Личный телефон, подключённый к рабочей сети, — такое же недоверенное устройство, как ноутбук курьера. Для телефонов гостевая сеть — нормальное постоянное место: интернет там есть, внутренних ресурсов — нет, и никто не обязан отдавать личное устройство под корпоративные правила.

Честная граница метода: гостевая сеть защищает рабочую сеть от гостевых устройств. Она не защищает гостей друг от друга автоматически (это отдельная настройка изоляции) и не заменяет базовую гигиену рабочей сети — обновления, пароли, резервные копии. Но как одно решение, закрывающее целый класс проблем, она — самая выгодная перестройка сети в небольшом офисе.

Пример на RouterOS v7

На MikroTik (RouterOS v7) вся схема собирается несколькими командами. На других роутерах и в управляемых коммутаторах шаги те же — отличаются только меню. Первый шаг — VLAN и адрес:

/interface vlan add interface=bridge vlan-id=30 name=vlan30-guest
/ip address add address=192.168.30.1/24 interface=vlan30-guest

Второй — DHCP для гостей: пул адресов и сервер на гостевом интерфейсе. Шлюз для гостей — тот же роутер, DNS — тоже:

/ip pool add name=pool-guest ranges=192.168.30.100-192.168.30.200
/ip dhcp-server add name=dhcp-guest interface=vlan30-guest \
    address-pool=pool-guest disabled=no

Третий — беспроводная сеть. Создаётся отдельный виртуальный интерфейс со своим SSID и паролем, и он привязывается к гостевому VLAN. На устройствах с классическим беспроводным стеком это виртуальный AP в разделе /interface wireless, на новых Wi-Fi-устройствах — отдельный интерфейс в /interface wifi с параметром vlan-id: оба варианта описаны в документации MikroTik к соответствующему семейству, и здесь важна не команда, а связка «свой SSID — свой VLAN».

Отдельная оговорка про оборудование: для схемы нужен роутер, умеющий VLAN, или связка «роутер + управляемый коммутатор + точки доступа с поддержкой VLAN». Домашние роутеры без VLAN иногда предлагают «гостевую сеть» кнопкой — на них схема ниже собирается из той же логики, но с ограничениями такого встроенного режима: свой диапазон там обычно есть, а гибкие правила — нет.

Как убедиться, что гости отделены

Проверка занимает пять минут с телефона. Подключаемся к гостевому SSID и убеждаемся: интернет открывается; адрес получен из гостевого диапазона; файловая шара и учётная система по внутренним адресам недостижимы; принтер не находится; сам роутер по адресу управления не открывается. Симметричная проверка с рабочей сети: внутренние ресурсы открываются, как и раньше — схема не задела работу.

Полезно повторять проверку после крупных обновлений роутера: обновления иногда сбрасывают порядок правил файрвола. Пятиминутный ритуал после обновления дешевле сюрприза, когда однажды выяснится, что гости видят рабочие ресурсы, а никто не заметил, с какого дня.

Две настройки, которые стоит сделать сразу и которые не видны в схеме. Первая — полоса: гостевому сегменту часто выделяют ограничение скорости, чтобы совещание в переговорной не зависело от того, что кто-то в холле обновляет телефон. Вторая — срок аренды адреса: день-два для гостей достаточно, чтобы диапазон 192.168.30.x не забивался устройствами, которые подключались один раз месяц назад.

И организационная мелочь: пароль гостевой сети — это витрина, а не секрет, но и у него есть владелец. Пароль, который не менялся с открытия офиса и висит на доске в переговорной, — нормальная практика; пароль, совпадающий с рабочим, — нет.