Гостевой Wi‑Fi и сегментация сети в офисе, клинике и магазине: как отделить гостей, кассы и камеры

Признаки неразделённой сети: чем грозит и что сделать

Что проверить сначала, ничего не меняя

1. Сколько сетей и кто в какойВыпишите имена Wi‑Fi сетей и кабельные розетки по кабинетам: где сидят сотрудники, где кассы, терминалы, камеры, домофон, принтеры, гости. Если всё в одной сети — дальше можно не проверять, ответ уже есть.
2. Что видно гостюПодключите телефон к гостевой сети и попробуйте открыть веб-интерфейс принтера, камеры или роутера по адресу из рабочей сети. Открылось — гости не отделены.
3. Какая защита у сетейВ настройках точки: открытая сеть, WPA2 или WPA3; меняли ли пароль администратора роутера с заводского. CISA называет смену паролей по умолчанию и шифрование первыми мерами, а WPA3 — самым стойким.
4. Какие устройства в сетиСписок выданных адресов на роутере: сколько там неизвестных телефонов, старых ноутбуков, камер и «умных» колонок.
5. Есть ли схема и доступыКто знает пароли от роутера, коммутатора и точек, есть ли схема сети и план адресов, или всё настраивал прошлый подрядчик.

Четыре сегмента для небольшой компании

1. Рабочий сегмент

Компьютеры и ноутбуки сотрудников, сервер, принтеры и общие папки. Из него разрешён доступ к серверу, принтерам и интернету; входящие соединения из гостевого сегмента и от инженерных систем запрещены. Удалённые сотрудники попадают сюда только через VPN с личной учётной записью, которую отзывают при увольнении, — не через проброс портов.

Как проверить: с гостевого телефона рабочие адреса недоступны; VPN поднимается под личным логином.

2. Гостевой сегмент

Отдельное имя сети, отдельный пароль или портал, изоляция клиентов (гости не видят друг друга), ограничение полосы и выход только в интернет. Для открытых сетей Wi‑Fi Alliance предлагает Enhanced Open — шифрование без пароля, а для защищённых — WPA3 с обязательными защищёнными управляющими кадрами. Если Wi‑Fi предоставляется посетителям как публичный доступ, правила оказания телематических услуг связи требуют идентификации пользователей в пунктах коллективного доступа — обычно это реализуют провайдер или сервис авторизации по номеру телефона; как именно оформить это в вашем случае, уточняйте у провайдера и юриста.

Как проверить: два гостевых телефона не видят друг друга; принтер и камеры с гостевой сети не открываются.

3. Кассы, терминалы и медицинская система

Кассы, платёжные терминалы, рабочее место регистратуры и сервер медицинской системы — в своём сегменте, куда запрещены входящие соединения из гостевого и рабочего сегментов, кроме явно разрешённых. Для торговли ориентир — руководство PCI SSC по сегментации: в «плоской» сети, где всё в одном сегменте, вся сеть попадает в область требований стандарта, а сегментация не обязательна, но настойчиво рекомендуется как способ сократить и область, и риск. Для клиники сегментирование информационной системы и защита периметров сегментов — одна из технических мер защиты персональных данных в приказе ФСТЭК № 21 (ЗИС.17), а обязанность оператора принимать такие меры закреплена статьёй 19 закона 152-ФЗ.

Как проверить: касса получает адрес из своего пула; с рабочего ноутбука порты кассы и медсервера закрыты, кроме разрешённых.

4. Инженерные системы: камеры, домофоны, СКУД

Камеры, регистратор, контроллеры СКУД и вызывные панели домофона питаются по PoE от коммутатора и живут в своём сегменте без выхода в интернет, кроме того, что нужно облачному сервису домофона или удалённому просмотру через VPN. Доступ к ним — с поста охраны и сервера видеонаблюдения, а не с каждого ноутбука. Это защищает и офис от камер с заводскими паролями, и камеры от офиса.

Как проверить: веб-интерфейс камеры открывается только с поста охраны; у камер нет прямого выхода в интернет.

Как это делается на оборудовании

Сегменты строятся на VLAN по стандарту IEEE 802.1Q: одна физическая сеть делится на несколько виртуальных, каждому сегменту присваивается свой номер, а между коммутаторами и к роутеру идёт «транк» — линия, по которой кадры разных сегментов ходят с метками. На точках доступа каждому имени Wi‑Fi сети назначается свой VLAN, на коммутаторе порты касс и камер закрепляются за своими сегментами, а роутер или межсетевой экран выдаёт адреса каждому сегменту отдельно и пропускает между ними только разрешённые соединения. Домашний роутер с «гостевой» галочкой этого не умеет: нужны управляемый коммутатор, точки с поддержкой нескольких сетей и VLAN и маршрутизатор с правилами фильтрации.

Правил между сегментами в небольшой компании получается немного: рабочим — к серверу, принтерам, интернету и VPN; гостям — только в интернет; кассам и медсистеме — к своим серверам и платёжному шлюзу; камерам — к регистратору и посту охраны; всё остальное — запрещено. Схема сети с номерами VLAN, планом адресов и правилами хранится у компании вместе с паролями от оборудования.

Безопасный порядок внедрения

1. Нарисуйте текущую схему: устройства, розетки, точки, роутер, кто куда подключён.
2. Разделите устройства на четыре списка: рабочие, гости, кассы или медсистема, инженерные системы.
3. Проверьте оборудование: поддерживает ли коммутатор VLAN, точки — несколько сетей, роутер — правила между сегментами; чего не хватает — в смету.
4. Снимите резервные копии конфигураций и убедитесь, что есть доступ к консоли коммутатора и роутера.
5. Создайте сегменты и пулы адресов, пока ничего не переключая, — в окно вне рабочих часов.
6. Переведите первым гостевой сегмент: новое имя сети, изоляция клиентов, выход только в интернет. Проверьте с телефона.
7. Переведите инженерные системы: порты камер и домофона в свой сегмент, доступ с поста охраны. Проверьте запись и вызов.
8. Переведите кассы и медсистему в согласованное с их поставщиком время; проверьте оплату и приём.
9. Включите правила «запрещено всё, кроме разрешённого» и закройте пробросы портов; удалёнку — через VPN.
10. Обновите схему, план адресов и пароли в документах компании; если на любом шаге нет доступа или схема не сходится — инженер.

Когда остановиться и вызвать инженера

• всё в одной сети, а оборудование — роутер провайдера и неуправляемые коммутаторы;
• кассы, медсистема или камеры нельзя остановить для перенастройки без согласованного окна;
• схемы сети и паролей от коммутатора и точек нет, оборудование настраивал прошлый подрядчик;
• нужен VPN для удалённых сотрудников вместо проброса портов;
• для гостевого Wi‑Fi нужна авторизация посетителей, и непонятно, кто и как её обеспечивает;
• камеры, домофоны и СКУД нужно вынести в отдельные сегменты вместе с их обслуживанием;
• сеть нужно не только разделить, но и дотянуть кабель до касс и точек — это монтаж.

Что подготовить перед обращением

• что стоит сейчас: роутер, коммутаторы, точки, их модели;
• список устройств по группам: сотрудники, гости, кассы или медсистема, камеры и домофоны;
• есть ли схема сети и доступы к оборудованию;
• требования поставщиков кассовой или медицинской системы к сети, если они есть;
• кто обслуживает сеть сейчас.

Мы обслуживаем сети организаций в Санкт-Петербурге и Ленинградской области: выделяем сегменты для офиса, гостей, камер, СКУД и телефонии, настраиваем правила между ними, гостевой доступ и VPN для удалённых сотрудников, ведём схему сети и план адресов, которые остаются у компании. Камеры, регистраторы, контроллеры и домофоны на той же сети — наша основная специализация, поэтому сеть под них обслуживаем вместе с офисной. Заявки принимаем в будни с 10:00 до 19:00, реагируем в течение 30 минут, настройки меняем удалённо; при аварии с оборудованием выезжаем в течение рабочего дня — как правило, за 2–4 часа. Перед договором — обследование с инвентаризацией и сменой паролей, если сеть досталась от другого подрядчика.