وای‌فای مهمان شرکت را چطور از شبکه کارکنان جدا کنیم؟

برای یک دفتر معمولی، نقطه شروع مناسب این است که مهمان اینترنت داشته باشد و به فایل‌سرور، نرم‌افزار داخلی، دوربین، چاپگر عمومی شرکت و صفحه مدیریت تجهیزات دسترسی نداشته باشد. اگر نمایشگر اتاق جلسه یا چاپ مهمان لازم است، آن نیاز به‌صورت استثنای مشخص بررسی شود.

گوشی شخصی کارمند لزوماً همان نیاز لپ‌تاپ کاری را ندارد. اگر فقط اینترنت می‌خواهد می‌تواند در گروه محدود قرار بگیرد؛ اگر برنامه داخلی لازم دارد، دسترسی آن باید جدا تصمیم‌گیری شود. دادن رمز کارکنان به مهمان، این مرز را از بین می‌برد.

SSID همان نامی است که کاربر در فهرست وای‌فای می‌بیند. دو نام مختلف ممکن است به یک شبکه داخلی وصل شوند. VLAN بخش منطقی جدا ایجاد می‌کند؛ اجازه ارتباط میان بخش‌ها را سیاست مسیریابی و فایروال یا کنترل دسترسی تعیین می‌کند. راهنمای VLAN تفاوت این نقش‌ها را توضیح می‌دهد.

در طرح مبتنی بر VLAN، اتصال SSID به شبکه مهمان باید از AP و مسیر سوئیچ تا نقطه اجرای سیاست درست باشد. روی یک روتر کوچک هم گزینه Guest Network ممکن است جداسازی را یکجا انجام دهد؛ باید دامنه عملکرد آن در مدل و حالت کاری فعلی بررسی شود، نه اینکه وجود این عنوان را کافی بدانیم.

قواعد مهمان باید سرویس‌های لازم مانند DHCP و DNS تعیین‌شده را در دسترس بگذارند و دسترسی به مدیریت را ببندند. مسدودکردن کورکورانه همه ارتباط‌ها به روتر می‌تواند اتصال مهمان را هم خراب کند. اگر IPv6 در شبکه فعال است، همان هدف جداسازی باید برای آن نیز برقرار باشد.

جداکردن مهمان از کارکنان با جداکردن دو مهمان یکسان نیست. Client Isolation در برخی APها ارتباط دستگاه‌های متصل به همان AP را محدود می‌کند؛ ممکن است برای دستگاه روی AP دیگر یا پورت کابلی، کنترل مکمل لازم باشد. دامنه این قابلیت باید از مستندات تجهیزات و آزمون مسیرهای واقعی مشخص شود.

مثلاً اگر دو مهمان روی دو اکسس‌پوینت مختلف‌اند، روشن‌بودن گزینه جداسازی در یک AP به‌تنهایی نتیجه مسیر بین آن‌ها را ثابت نمی‌کند. همچنین نمایشگر بی‌سیم ممکن است برای کشف‌شدن به سازوکار جدا نیاز داشته باشد؛ بازکردن همه ارتباط‌های محلی برای رفع این مشکل، هدف جداسازی را نقض می‌کند.

برای دفتر با مهمان کم، رمز جدا و قابل تغییر می‌تواند مدیریت ساده‌تری داشته باشد. مسئول ارائه رمز و زمان تغییر آن باید روشن باشد؛ افشای رمز یا پایان رویداد می‌تواند دلیل تغییر باشد. رمز مهمان نباید رمز کارکنان یا مدیریت تجهیزات باشد.

برای رفت‌وآمد بیشتر، کد یا حساب موقت با زمان انقضا، در صورت پشتیبانی تجهیزات، کنترل بیشتری می‌دهد. صفحه ورود یا Captive Portal روش پذیرش و احراز دسترسی است؛ وجود این صفحه به‌تنهایی ثابت نمی‌کند ترافیک رادیویی رمز شده یا دسترسی داخلی بسته است. این موارد باید جدا بررسی شوند.

انتخاب شیوه رمزگذاری وای‌فای و ورود، به دستگاه‌های مهمان و قابلیت تجهیزات وابسته است. پیچیدگی ورود باید با نیاز دفتر تناسب داشته باشد؛ برای یک جلسه ساده، جمع‌آوری اطلاعات شخصی بیشتر لزوماً ارزش عملی ایجاد نمی‌کند. اگر کدهای موقت یا سرویس بیرونی استفاده می‌شوند، مسئول مدیریت و پایان دسترسی مشخص باشد.

سقف مصرف برای هر مهمان با سقف مجموع شبکه مهمان فرق دارد. اگر فقط برای هر دستگاه محدودیت بگذارید، تعداد زیاد مهمان‌ها همچنان می‌تواند مصرف کل بالایی ایجاد کند. مقدار مناسب به ظرفیت اینترنت و کار مهمان بستگی دارد؛ عدد ثابت برای همه دفترها مفید نیست.

جداسازی منطقی، کانال رادیویی یا ظرفیت AP را جدا نمی‌کند. حتی با محدودیت اینترنت، کاربران روی رادیوی مشترک از زمان ارسال مشترک استفاده می‌کنند. جلسه پرتعداد باید از نظر ظرفیت وای‌فای هم دیده شود. راهنمای برنامه‌ریزی اکسس‌پوینت دفتر این بخش را تکمیل می‌کند.

• مهمان از هر AP مربوط، آدرس بگیرد و اینترنت و روش ورود موردنیاز را داشته باشد.
• از دستگاه مهمان، دسترسی به مقصدهای داخلی و مدیریت با سیاست توافق‌شده مطابقت داشته باشد؛ صرفاً بازنشدن یک نام، اثبات جداسازی نیست.
• جداسازی بین دو مهمان روی یک AP، روی APهای مختلف و هر مسیر کابلی مهمانِ موجود بررسی شود.
• استثنای جلسه، محدودیت مصرف و انقضای دسترسی، در صورت تعریف، همان نتیجه موردانتظار را بدهند.
• سیاست مهمان هنگام جابه‌جایی میان APها حفظ شود و دسترسی کارکنان به سرویس‌های مجاز مختل نشود.

این موارد معیار پذیرش طراحی‌اند؛ اجرای آن‌ها به مدل، نسخه و نقشه واقعی شبکه وابسته است. برای یک دفتر با چند مهمان جلسه، طرح می‌تواند با اینترنت محدود و بدون دسترسی داخلی شروع شود و فقط نیاز نمایشگر را جدا حل کند. برای طراحی یا اصلاح همین ساختار، خدمات وای‌فای نت‌مسترز را ببینید.