Как настроить отдельную гостевую сеть Wi-Fi в офисе

Короткий ответ

Правильная гостевая сеть — это отдельный SSID в собственном VLAN с тремя правилами: гости попадают только в интернет, гости не видят друг друга и гости не могут занять весь канал. Добавьте регулярно меняемый пароль — и посетители получат удобный доступ, не касаясь ваших компьютеров, принтеров и файлов.

Почему сеть сотрудников не для гостей

Ноутбук или телефон посетителя — устройство, о котором вы ничего не знаете. В сети сотрудников он может:

• видеть общие папки, принтеры, NAS и камеры;
• сканировать сеть и подбирать слабые пароли;
• распространять вредоносное ПО, если уже заражён;
• забивать канал крупными загрузками и обновлениями.

Кроме того, пароль от основного Wi-Fi со временем утекает, а сменить его трудно без перенастройки всех рабочих устройств.

Шаг 1. Отделите гостевую сеть от внутренней

Есть два распространённых способа:

• Встроенная функция «гостевая сеть» в роутере или точке доступа. Просто, но проверьте, что она реально изолирует: на некоторых устройствах она лишь скрывает сеть, а не блокирует доступ.
• Отдельный VLAN (рекомендуется). Создайте гостевой VLAN, привяжите к нему гостевой SSID на точках доступа и выделите отдельный пул DHCP.

Затем добавьте правила файрвола на роутере:

• Разрешить гостевой VLAN → интернет.
• Запретить гостевой VLAN → все частные диапазоны (сотрудники, принтеры, серверы, управление).
• Запретить гостевой VLAN → веб-интерфейс роутера.
• Разрешить DNS и DHCP, чтобы устройства могли подключиться.

Шаг 2. Включите изоляцию клиентов

Изоляция клиентов (client isolation, AP isolation) не даёт гостевым устройствам общаться друг с другом. Без неё один заражённый телефон может атаковать все ноутбуки гостей в переговорной.

• Включите её для гостевого SSID на каждой точке доступа.
• Если точек несколько, проверьте, что изоляция работает и между точками, а не только внутри одной.

Шаг 3. Ограничьте скорость

Один гость, скачивающий большой файл, может замедлить видеозвонки всего офиса. Варианты:

• Лимит на клиента — потолок для каждого гостевого устройства.
• Общий лимит на гостевой VLAN — гости делят фиксированную часть канала.
• Приоритет трафика (QoS) — при загрузке канала трафик сотрудников идёт первым.

Подберите лимиты так, чтобы гостям было комфортно открывать сайты и созваниваться, а основная часть канала оставалась офису.

Шаг 4. Управляйте доступом: пароль, QR-код или портал

Практические советы:

• Меняйте гостевой пароль по расписанию, например раз в месяц, и после мероприятий с большим числом посетителей.
• Печатайте QR-код в рамке, которую легко заменить.
• Используйте шифрование WPA2 или WPA3 даже для гостей. В открытой сети любой поблизости может читать незашифрованный трафик.
• Задайте тайм-аут сессии, если оборудование это поддерживает.

QR-код для Wi-Fi использует стандартный текстовый формат, который понимают камеры телефонов:

WIFI:T:WPA;S:Office-Guest;P:YourGuestPassword;;

Шаг 5. Проверьте

После настройки подключите телефон к гостевой сети и проверьте:

• Интернет работает.
• Внутренние адреса (принтер, NAS, страница роутера) не открываются.
• Другое гостевое устройство не пингуется.
• Скорость не выходит за установленный лимит.

Повторяйте проверку после обновлений прошивки и изменений конфигурации.

Частые ошибки

• Гостевой SSID в той же подсети, что и сотрудники: имя другое, а доступ тот же.
• Страница управления роутером доступна из гостевой сети.
• Открытая сеть без пароля — нет шифрования и контроля над тем, кто подключается.
• Пароль никогда не меняется — бывшие сотрудники и давние посетители годами сохраняют доступ.
• Нет лимита скорости — один гость влияет на звонки всех.
• Сотрудники сидят в гостевой сети, чтобы обойти ограничения, и их устройства оказываются вне ваших политик.