Wi-Fi aziendale e rete ospiti: come configurarli in sicurezza

In tante aziende la password del Wi-Fi è scritta su un foglio in sala riunioni e viene data a chiunque: clienti, fornitori, tecnici in visita. Il risultato è che dispositivi sconosciuti si collegano alla stessa rete dove ci sono server, gestionale e stampanti. Separare il Wi-Fi aziendale da una rete ospiti è uno degli interventi più semplici e utili per ridurre il rischio.

Perché serve una rete ospiti separata

Un dispositivo di un visitatore non è sotto il tuo controllo: potrebbe essere infetto, non aggiornato o, nel caso peggiore, usato da qualcuno con cattive intenzioni. Se è collegato alla rete aziendale, può:

• vedere e tentare di raggiungere server, nas, stampanti e pc;
• diffondere malware ad altri dispositivi;
• intercettare traffico non protetto.

Una rete ospiti separata offre solo l'accesso a Internet, senza alcuna visibilità sui sistemi interni. È la stessa logica per cui un ospite viene accolto in sala riunioni e non accompagnato nell'archivio.

Come separare davvero le reti

Creare un secondo nome di rete (SSID) non basta: se il traffico finisce nella stessa rete, la separazione è solo apparente. Una configurazione corretta prevede:

• Una VLAN dedicata per gli ospiti, cioè una rete logica distinta. Approfondiamo l'argomento nell'articolo sulla segmentazione della rete con VLAN.
• Regole sul firewall che consentano agli ospiti solo l'uscita verso Internet e blocchino qualsiasi accesso alle reti interne.
• Isolamento tra i client: i dispositivi ospiti non devono potersi vedere tra loro.
• Limitazione della banda, perché un download pesante di un visitatore non rallenti il lavoro dell'azienda.

La rete aziendale: protezioni consigliate

Anche il Wi-Fi interno va configurato con attenzione:

• Crittografia aggiornata: WPA3 dove i dispositivi lo supportano, altrimenti WPA2 con una password lunga e robusta. I protocolli più vecchi vanno disattivati.
• Autenticazione individuale: nelle realtà più strutturate è preferibile che ogni utente acceda con le proprie credenziali aziendali (modalità "Enterprise") invece che con una password condivisa. Quando un dipendente lascia l'azienda, basta disattivare il suo account.
• Reti diverse per esigenze diverse: dispositivi aziendali, telefoni personali dei dipendenti, dispositivi IoT come telecamere o sensori possono stare su reti separate.
• Gestione centralizzata degli access point, con aggiornamenti del firmware regolari.
• Interfaccia di amministrazione protetta: password di default cambiate e accesso consentito solo dalla rete di gestione.

Il Wi-Fi ospiti fatto bene

Una rete ospiti sicura può comunque essere comoda. Alcune buone pratiche:

• Password che cambia periodicamente, comunicata all'occorrenza, oppure un portale di accesso (captive portal) con credenziali temporanee.
• Accettazione di condizioni d'uso se l'azienda vuole chiarire responsabilità e limiti.
• Orari di attivazione: se gli ospiti ci sono solo in orario d'ufficio, la rete può spegnersi di notte.
• Filtri sui contenuti per bloccare siti malevoli noti.
• Nome di rete chiaro, per evitare che i dipendenti si colleghino per errore alla rete sbagliata.

Se si raccolgono dati personali degli ospiti tramite il portale, vanno trattati nel rispetto del GDPR, con un'informativa adeguata.

Errori frequenti da evitare

• Usare la stessa password per anni e condividerla con tutti.
• Lasciare il Wi-Fi dei dipendenti e quello degli ospiti sulla stessa rete.
• Collegare stampanti o telecamere alla rete ospiti "per comodità".
• Non aggiornare mai il firmware degli access point.
• Lasciare attivo il WPS o altre funzioni di configurazione rapida poco sicure.
• Mettere un router domestico in azienda per "estendere" il segnale, creando una rete parallela non gestita.

Checklist di configurazione

• ☐ SSID ospiti su VLAN dedicata
• ☐ Firewall: ospiti solo verso Internet
• ☐ Isolamento tra client attivo
• ☐ WPA3 o WPA2 con password robusta, protocolli obsoleti disattivati
• ☐ Password ospiti cambiata periodicamente o credenziali temporanee
• ☐ Firmware degli access point aggiornato
• ☐ Accesso amministrativo limitato

Come può aiutarti Area GUI

Area GUI progetta e configura reti Wi-Fi aziendali con reti ospiti realmente separate, regole firewall adeguate e gestione centralizzata degli access point. Possiamo partire da una verifica della configurazione esistente. Scopri il nostro servizio reti e Wi-Fi oppure contattaci.