Indeholder illustrationer skabt med AI
Når I søger efter “gæstenetværk kontor”, er det sjældent selve Wi-Fi-navnet, I mangler. I har brug for en sikker opdeling, så besøgende kan komme på nettet uden at få adgang til medarbejdernes filer, printere eller netværksudstyr.
Et godt gæstenet gør samtidig hverdagen lettere i receptionen. Gæster får en enkel forbindelse, mens virksomhedens arbejdsnetværk forbliver lukket. Løsningen kræver de rigtige firewall-regler, separat netværksstruktur og en plan for adgangskoder.
Gæstenetværk kontor: Hvad skal adskilles?
Et gæstenetværk bør som udgangspunkt kun give adgang til internettet. Det skal ikke kunne se servere, NAS-diske, medarbejdernes computere, netværksprintere, IP-telefoner eller kameraer. Routerens administrationsside og adgangspunktets kontrolpanel skal også være utilgængelige for gæsteenheder.
Et ekstra Wi-Fi-navn skaber dog ikke automatisk en sikker opdeling. Hvis gæste-SSID’et ender i samme lokale netværk som medarbejdernes computere, er forskellen mest kosmetisk. Den reelle adskillelse sker typisk med et separat VLAN eller subnet og en firewall, som afviser trafik fra gæstenettet til virksomhedens interne net.
Et separat Wi-Fi-navn er kun en etiket. VLAN og firewall-regler afgør, om netværket faktisk er adskilt.
Et gæstenet kræver både en tydelig adgang og kontrol over, hvad enhederne må nå.
I en lille virksomhed kan en moderne firewall ofte håndtere opgaven samlet. I større kontorer bør netværket måske opdeles yderligere i medarbejdere, gæster, telefoni og IoT-udstyr. Det begrænser skaden, hvis en enhed bliver kompromitteret, og det gør fejlsøgning lettere.
Ved en ny opsætning kan professionelle netværksløsninger hjælpe med placering af adgangspunkter, VLAN-konfiguration og stabil Wi-Fi-dækning. Et sikkert gæstenetværk på kontoret er en adgang til internet, ikke en ekstra indgang til virksomheden.
Sådan laver I en sikker teknisk opdeling
Den tekniske opsætning skal passe til jeres router, firewall, switch og trådløse adgangspunkter. Derfor bør I dokumentere løsningen, før I ændrer indstillingerne. Det gør det nemmere at genskabe netværket efter en fejl eller udskiftning af udstyr.
Start med et separat SSID
Opret et tydeligt netværksnavn til gæster, som ikke minder om medarbejdernes interne SSID. Brug en stærk adgangskode, der ikke deles med virksomhedens arbejdsnetværk. Hvis gæster kommer ofte, kan receptionen udlevere den aktuelle kode uden at afsløre medarbejdernes adgang.
Brug WPA3, når udstyret understøtter det. Ellers skal I vælge den sikreste fælles indstilling, som jeres telefoner og computere kan bruge. Routerens administratoradgangskode skal være en anden end Wi-Fi-koden.
Gæste-SSID’et skal forbindes med et separat VLAN eller subnet. Hvis I har flere adgangspunkter, skal de bruge samme struktur, så gæster ikke pludselig havner på et forkert netværk, når de flytter sig rundt i bygningen.
Lav firewall-regler med en lukket standard
Firewall’en bør tillade gæster at bruge internetforbindelsen, men afvise forbindelser til virksomhedens interne net. DHCP og DNS skal fungere, så gæsteenhederne kan få en IP-adresse og finde hjemmesider. Adgang til routerens administrationsflade skal derimod blokeres.
Aktivér også klientisolering, hvis jeres udstyr tilbyder det. Funktionen forhindrer gæsteenheder i at kommunikere direkte med hinanden. Det er nyttigt på kontorer, hvor besøgende bruger ukendte computere og telefoner.
Hvis netværket bruger IPv6, skal firewall-reglerne også dække IPv6-trafik. En IPv4-regel alene beskytter ikke nødvendigvis hele forbindelsen. Sikker Digitals råd om sikre trådløse netværk er en god grundliste til router, kryptering og adgangskoder.
Firewall-reglerne skal begrænse gæsters adgang, også når netværket bruger IPv6.
Beskyt administrationen
Administrationssider bør kun være tilgængelige fra et lukket administratornet eller en godkendt kablet forbindelse. Slå fjernadministration fra, hvis I ikke har brug for den. Har I en cloudbaseret netværkscontroller, skal kontoen beskyttes med multifaktorgodkendelse, når funktionen findes.
Opdater routere, firewalls, switches og adgangspunkter løbende. Gem samtidig en sikker kopi af konfigurationen. På den måde kan I hurtigere komme tilbage i drift, hvis en opdatering eller hardwarefejl giver problemer.
Gør gæsteadgangen nem at bruge
Sikkerhed må ikke gøre gæsteadgangen unødigt besværlig. Netværksnavnet skal være let at genkende, og adgangskoden skal kunne indtastes på en telefon uden forveksling mellem store og små bogstaver. Undgå derfor lange koder med tegn, som gæster ofte læser forkert.
Et åbent gæstenet uden kode kan være praktisk, men det giver mindre kontrol. På et almindeligt kontor er WPA2 eller WPA3 med en separat kode ofte et bedre valg. Ved konferencer eller arrangementer kan I skifte koden bagefter, hvis mange ukendte enheder har været tilsluttet.
Nogle løsninger bruger en gæsteportal, hvor brugeren accepterer vilkår eller indtaster en e-mailadresse. Det kan passe til hoteller, uddannelsessteder og større arrangementer, men det skaber også ansvar for oplysningerne. Hvis I indsamler navne, e-mailadresser eller andre data, skal I fortælle, hvorfor oplysningerne indsamles, og hvor længe de gemmes.
Sæt eventuelt en båndbreddegrænse for gæstenettet. En enkelt enhed skal ikke kunne bruge hele internetforbindelsen på videostreaming eller store downloads. Medarbejdernes trafik bør have førsteprioritet, især hvis virksomheden bruger telefoni, videomøder eller cloudsystemer.
Husk også, at medarbejdernes enheder ikke automatisk skal koble på gæste-SSID’et. Gem kun arbejdsnetværket på virksomhedens udstyr, og fjern gamle gæsteadgangskoder fra firmatelefoner og bærbare computere.
De fejl, der ofte åbner netværket
Et gæstenetværk kontor kan se rigtigt ud på skærmen, men stadig være forkert konfigureret. Disse fejl går igen:
- Gæste-SSID’et ligger på samme VLAN som medarbejderne, selv om navnet ser separat ud.
- Firewall’en tillader trafik til hele det lokale netværk, fordi en bred regel står højere end blokeringen.
- Gæster kan åbne routerens administrationsside eller se netværksudstyr, som kun administratorer bør nå.
- Den samme adgangskode bruges i flere år og står synligt på en seddel ved receptionen.
- Et ekstra mesh-system eller adgangspunkt er koblet på uden samme VLAN- og firewall-regler som resten af netværket.
- IPv6, gæste-til-gæste-trafik eller trådløse printerprotokoller er glemt i sikkerhedsdesignet.
Den sidste fejl er nem at overse. En printer kan godt være praktisk for gæster, men åbner I for adgang til den, skal I kun tillade den nødvendige trafik. Det kan kræve en særlig regel til én printer, ikke adgang til hele medarbejdernettet.
Den vigtigste test er ikke, om gæsten kan komme på nettet. Det er, om gæsteenheden bliver afvist, når den prøver at nå virksomhedens interne udstyr.
Udstyr, test og løbende drift
Udstyret skal kunne mere end at udsende trådløst signal. I bør kontrollere, om router eller firewall understøtter VLAN, separate DHCP-puljer, klientisolering og regler mellem netværk. Switchen skal også kunne føre de relevante VLAN videre til adgangspunkterne.
| Kontortype | Typisk opsætning | Vær især opmærksom på |
|---|---|---|
| Mindre kontor | Router eller firewall med gæstefunktion og ét eller flere adgangspunkter | At gæstefunktionen faktisk blokerer lokal adgang |
| Kontor med flere rum | Administrerede adgangspunkter, switch og separat gæste-VLAN | Samme konfiguration på alle adgangspunkter |
| Flere etager eller adresser | Central administration, firewallregler og dokumenteret netværksstruktur | Roaming, kapacitet og ensartede sikkerhedsregler |
Kabler, switchporte og adgangspunkter skal passe sammen. Et forkert kabel eller en port uden korrekt VLAN-konfiguration kan sende gæstetrafik ind på arbejdsnettet.
Photo by panumas nikhomkhai
Test løsningen fra en telefon eller bærbar computer, som ikke er tilknyttet virksomhedens netværk:
- Forbind til gæste-SSID’et og kontrollér, at internetadgangen virker.
- Prøv at åbne en intern serveradresse, en printer og routerens administrationsside.
- Kontrollér, at gæsteenheden ikke kan se andre gæsteenheder.
- Gentag testen ved alle adgangspunkter og på begge relevante frekvensbånd.
- Dokumentér resultatet, og gentag testen efter større ændringer.
Gem en oversigt over VLAN-numre, IP-intervaller, firewallregler, adgangspunkter og ansvarlige personer. Hvis ingen internt har tid til opdateringer og test, kan en IT-serviceaftale til erhverv samle netværk, sikkerhed og løbende hjælp i én aftale.
Et gæstenet skal være en lukket sidevej
Den praktiske betydning af et “gæstenetværk kontor” er enkel: Gæster får internet, mens virksomheden beholder kontrollen over egne systemer. Et separat SSID hjælper brugerne, men VLAN, firewall og klientisolering beskytter netværket.
Når I planlægger gæsteadgang, bør I derfor starte med reglerne for, hvad gæster ikke må nå. Test derefter løsningen med en rigtig telefon, dokumentér opsætningen, og hold udstyret opdateret. Så bliver gæste-Wi-Fi en service for besøgende uden at blive en genvej ind i virksomhedens IT.
