Un cliente che si collega alla rete dell’ufficio per una riunione, un corriere che attende in reception, un consulente esterno con il proprio notebook: sono situazioni normali, ma non devono trasformarsi in un accesso alla rete aziendale. Capire come configurare wifi ospiti aziendale significa offrire connettività a visitatori e collaboratori temporanei senza esporre computer, stampanti, NAS, gestionali o dati riservati.
Una rete guest ben progettata non è semplicemente un secondo nome Wi-Fi con una password diversa. Deve essere una rete separata, con regole di accesso precise, limiti adeguati e controllo centralizzato. Per uno studio professionale, un negozio, un ambulatorio o una PMI, questa separazione riduce il rischio di incidenti e rende più ordinata la gestione quotidiana della connettività.
Perché il Wi-Fi ospiti non deve usare la rete interna
Condividere la password del Wi-Fi aziendale principale è una scorciatoia diffusa, soprattutto negli uffici piccoli. Il problema è che un dispositivo esterno, una volta connesso, può potenzialmente individuare risorse presenti nella stessa rete: PC, stampanti di rete, cartelle condivise, telecamere IP, NAS QNAP e altri apparati. Molto dipende dalla configurazione esistente, ma affidarsi al caso non è una misura di sicurezza.
La rete per gli ospiti deve quindi avere un obiettivo semplice: consentire l’accesso a Internet, impedendo l’accesso alle risorse interne. Questo principio vale anche quando l’ospite è una persona conosciuta o un fornitore abituale. La sicurezza non riguarda la fiducia personale, ma il controllo tecnico dei dispositivi che entrano in rete.
Separare gli accessi offre anche un vantaggio operativo. Se la connessione viene usata intensamente da visitatori, la navigazione aziendale, le videoconferenze e i servizi cloud possono essere protetti con regole di priorità e limiti di banda. In questo modo il Wi-Fi per il pubblico non rallenta il lavoro di chi deve usare applicativi gestionali o lavorare da remoto.
Come configurare WiFi ospiti aziendale in modo corretto
Il punto di partenza è verificare se il firewall, il router, gli switch e gli access point in uso supportano le funzioni necessarie. Apparati professionali Zyxel, Netgear o equivalenti permettono normalmente di creare più reti wireless, assegnarle a VLAN distinte e applicare policy specifiche. Un router domestico, invece, può offrire una modalità guest molto semplificata oppure non garantire un isolamento sufficiente.
Creare un SSID dedicato agli ospiti
Il primo intervento consiste nel creare un SSID distinto, cioè il nome della rete che vedranno gli utenti. Un nome come “Azienda-Guest” o “Studio-Ospiti” è chiaro e non rivela informazioni inutili sull’infrastruttura interna. Evitare nomi come “WiFi-Privato”, “Rete-Ufficio” o riferimenti al modello dell’apparato.
La rete guest deve usare una password diversa da quella aziendale, lunga e non facilmente intuibile. WPA3 è la scelta preferibile quando tutti gli apparati e i dispositivi la supportano; WPA2-AES resta compatibile con molti ambienti ed è accettabile se configurato correttamente. Sono da evitare protocolli datati e password riutilizzate su altri servizi.
La password può essere aggiornata con una frequenza ragionevole, ad esempio dopo eventi, cambi di personale esterno o quando è stata condivisa con un numero elevato di persone. In contesti con ospiti frequenti, un portale di accesso è spesso più pratico della gestione manuale di una password unica.
Separare la rete con VLAN e regole firewall
Il passaggio decisivo è associare il Wi-Fi ospiti a una VLAN dedicata. Una VLAN è una rete logica separata che può condividere gli stessi apparati fisici della rete aziendale, mantenendo però il traffico distinto. Per esempio, la rete interna può utilizzare una subnet dedicata ai computer e ai server, mentre gli ospiti ricevono indirizzi IP su una subnet differente.
La sola VLAN non basta. Sul firewall devono essere create regole esplicite che consentano alla rete guest di uscire su Internet e blocchino tutte le comunicazioni verso le reti interne. Questo blocco deve includere, quando presenti, le VLAN di server, telefonia VoIP, videosorveglianza, dispositivi IoT e gestione degli apparati.
È utile verificare anche l’isolamento tra client ospiti. Questa funzione impedisce a due dispositivi collegati allo stesso Wi-Fi guest di comunicare tra loro. Riduce il rischio che un computer compromesso tenti di raggiungere lo smartphone o il notebook di un altro visitatore. Non è sempre necessaria: può essere disattivata, ad esempio, se un gruppo di relatori deve condividere una stampante temporanea. In quel caso, però, conviene creare una rete dedicata e limitata all’evento, non aprire la rete guest standard.
Configurare DHCP, DNS e accesso a Internet
La VLAN ospiti deve avere un proprio servizio DHCP, incaricato di distribuire automaticamente indirizzi IP, gateway e DNS ai dispositivi connessi. È preferibile riservare un intervallo dimensionato sull’affluenza reale: una sala d’attesa con poche persone ha esigenze diverse da un centro di formazione o da un’attività commerciale aperta al pubblico.
Il firewall deve consentire i servizi indispensabili, come DNS, navigazione web e traffico necessario alle applicazioni di videoconferenza. Tutto il resto va valutato. Bloccare in uscita protocolli non necessari può ridurre usi impropri, ma regole troppo rigide possono creare problemi a ospiti che devono lavorare con servizi legittimi. La configurazione va quindi calibrata sul tipo di attività e non applicata in modo identico a ogni azienda.
Password o captive portal: quale soluzione scegliere
Per un ufficio con pochi ospiti occasionali, una password dedicata comunicata dalla reception può essere sufficiente. È semplice da gestire, richiede pochi passaggi e funziona bene quando il numero di accessi è limitato.
Un captive portal aggiunge una schermata di autenticazione prima della navigazione. Può richiedere l’accettazione delle condizioni d’uso, fornire credenziali temporanee, applicare scadenze automatiche e, in alcune soluzioni, usare codici voucher. È indicato per showroom, sedi con corsi, sale riunioni, strutture ricettive o negozi con molti visitatori.
La raccolta dei dati tramite portale deve essere valutata con attenzione sotto il profilo GDPR. Se non è necessario acquisire nome, email o numero di telefono, è preferibile non farlo. Se vengono trattati dati personali o registri di accesso, occorre definire finalità, tempi di conservazione, misure di protezione e informativa adeguata. Conservare dati “per sicurezza” senza una regola chiara può creare un problema anziché risolverlo.
Limitare banda e durata delle connessioni
Un Wi-Fi ospiti ben configurato deve preservare la continuità operativa dell’azienda. Per questo è consigliabile impostare limiti di banda per singolo dispositivo o per l’intera rete guest. Il valore corretto dipende dalla linea disponibile e dai servizi aziendali: su una connessione veloce si può concedere una navigazione confortevole, mentre su linee più limitate la priorità va a videoconferenze, VPN e servizi cloud usati dal personale.
Può essere utile impostare anche un limite al numero massimo di dispositivi collegabili e un tempo di disconnessione automatica per gli utenti inattivi. Queste regole evitano che accessi lasciati aperti occupino inutilmente risorse. In ambienti pubblici è opportuno valutare filtri contro traffico anomalo, peer-to-peer e attività che possono saturare la connessione, verificando sempre l’impatto sulle esigenze reali degli utenti.
I test da fare prima di attivare la rete
Dopo la configurazione, il lavoro non è finito. Serve un collaudo eseguito da un dispositivo collegato al Wi-Fi guest. La prova più importante è tentare di raggiungere indirizzi di PC, NAS, stampanti e pannelli di gestione presenti nella rete interna: questi accessi devono essere negati. Occorre poi verificare che la navigazione Internet, i DNS e le applicazioni comuni funzionino correttamente.
Va testata anche la copertura radio nelle aree destinate agli ospiti. Una rete ben segmentata ma con segnale debole in sala riunioni genera comunque un disservizio. La posizione degli access point, la presenza di pareti, interferenze e densità di dispositivi incidono sulla qualità più della sola velocità dichiarata della linea.
Infine, documentare SSID, VLAN, subnet, regole firewall e credenziali amministrative permette di intervenire rapidamente in caso di modifica o guasto. La documentazione deve restare aggiornata e accessibile solo alle persone autorizzate.
Quando serve un intervento tecnico
La configurazione può essere semplice in una sede con un solo access point professionale e una rete lineare. Diventa più delicata quando sono presenti più piani, switch gestiti, NAS, VPN, telefoni IP, telecamere, sedi collegate o sistemi misti Apple e Windows. In questi casi una regola firewall errata può isolare per errore servizi essenziali oppure lasciare varchi non visibili agli utenti.
MacWin 2005 supporta aziende e studi di Roma e provincia nella progettazione e gestione di reti Wi-Fi separate, firewall, switch, access point e policy di sicurezza. L’obiettivo non è aggiungere complessità, ma rendere la rete più controllabile e pronta a sostenere il lavoro quotidiano.
Un ospite deve poter aprire una pagina web o partecipare a una riunione senza chiedere la password della rete interna. Quando questo avviene, e le risorse aziendali restano davvero separate, il Wi-Fi guest sta facendo esattamente il suo lavoro.
