Как защитить Wi-Fi в офисе: гостевая сеть, пароли, разделение

Офисный Wi-Fi — это дверь в сеть компании. Кто подключился, тот оказывается рядом с компьютерами бухгалтерии, сервером 1С, принтерами и видеорегистратором. А пароль от этой двери часто знают бывшие сотрудники, курьеры и соседи по этажу. Защита Wi-Fi сети не требует дорогого оборудования: большая часть дела — правильные настройки и порядок с паролями.

Ниже — какое шифрование выбрать, зачем нужен гостевой Wi-Fi, что делать с паролем при увольнении, как работает вход по личному логину и почему офис, камеры и гости должны быть в разных сетях. В конце — чек-лист для самопроверки.

Чем опасна слабая защита Wi-Fi сети

Взлом Wi-Fi редко выглядит как в кино. Чаще всё проще:

• Посторонний в сети. Гость, которому дали офисный пароль, видит общие папки, принтеры и всё, что открыто без пароля. Видеорегистратор с заводским паролем в той же сети — открытая книга.
• Заражённое устройство. Личный ноутбук или телефон с вирусом попадает в офисную сеть, и вредоносная программа ищет, куда распространиться дальше. Так шифровальщики добираются до сервера — что делать в этом случае, описано в статье «Вирус зашифровал файлы».
• Чужие действия через ваш интернет. Если через вашу сеть кто-то сделает что-то противоправное, вопросы зададут владельцу подключения.
• Подбор пароля. Короткий или словарный пароль подбирают по перехваченным данным — уже не у офиса, а на своём компьютере.
• Поддельная точка. Тот, кто знает пароль, может поднять рядом с офисом сеть с тем же именем и паролем. Телефоны сотрудников подключатся к ней сами, а их трафик пойдёт через чужое устройство.

Шифрование: WPA2 или WPA3

Шифрование защищает данные в эфире и не пускает в сеть без пароля. Режимы, которые встречаются в настройках роутера:

Главное отличие WPA3 — защита от подбора пароля. В WPA2 достаточно перехватить момент подключения любого устройства, а дальше перебирать пароли на своём компьютере сколько угодно. В WPA3 так не получится: каждую попытку приходится проверять на самой точке доступа, а это медленно и заметно.

Минус WPA3 — старые устройства. Принтеры, камеры и терминалы, выпущенные несколько лет назад, могут его не поддерживать. Проверьте парк техники, прежде чем переключать сеть.

Если остаётесь на WPA2, всё решает длина пароля: не меньше 12 символов, лучше фраза из нескольких случайных слов. Название компании, номер телефона и «12345678» попадают в словари для подбора первыми.

Гостевой Wi-Fi: отдельная сеть только в интернет

Гостевой Wi-Fi — отдельная сеть для посетителей, курьеров, подрядчиков и личных телефонов сотрудников. Её задача — дать интернет и ничего больше. Правильная гостевая сеть:

• имеет своё имя и свой пароль, не похожий на офисный;
• работает в отдельной подсети, из которой закрыт доступ к офисным компьютерам, серверу и принтерам;
• включает изоляцию клиентов — гости не видят устройства друг друга;
• ограничена по скорости, чтобы чьё-то обновление телефона не забрало весь канал;
• не даёт доступа к настройкам роутера и точек.

Пароль гостевой сети можно менять раз в месяц и держать на ресепшене. Если Wi-Fi открыт для всех посетителей — например, в зале ожидания или магазине, — учтите: по закону пользователей общедоступного Wi-Fi нужно идентифицировать, обычно по номеру телефона через страницу входа.

Частая ошибка — гостевая сеть, сделанная галочкой на втором роутере, который подключён к офисной сети. Имя другое, а доступ к папкам и принтерам тот же. Проверить просто: подключитесь к гостевой сети с телефона или ноутбука и попробуйте открыть общую папку или адрес принтера.

Пароли и увольнения

Общий пароль со временем знают все: действующие сотрудники, уволенные, их телефоны и ноутбуки, которые запомнили сеть навсегда. Простые правила:

• меняйте пароль офисной сети, когда уходит сотрудник, который его знал, — а при большой текучке хотя бы по графику;
• не давайте офисный пароль гостям и на личные телефоны — для этого есть гостевая сеть;
• пароль администратора роутера и точек — отдельный, длинный, не заводской и не совпадающий с паролем Wi-Fi;
• храните пароли в одном месте с ограниченным доступом, а не на стикере под монитором.

Неудобство общего пароля в том, что после смены его нужно заново ввести на всех устройствах. Когда сотрудников больше двух десятков или они часто меняются, это становится обузой — и тогда переходят на вход по личному логину.

WPA2-Enterprise: вход по личному логину

В режиме WPA2-Enterprise (или WPA3-Enterprise) общего пароля нет. Каждый сотрудник подключается под своей учётной записью — логином и паролем или сертификатом, установленным на устройство. Проверяет его RADIUS-сервер — служба, которая получает от точки доступа логин и отвечает «пускать» или «не пускать». Часто её связывают с учётными записями Windows, и тогда для Wi-Fi подходит тот же логин, что и для входа в компьютер.

Что это даёт компании:

• уволили сотрудника — отключили его учётную запись, доступ пропал, остальным ничего перенастраивать не нужно;
• видно, кто и когда подключался;
• разных людей можно отправлять в разные сегменты: бухгалтерию — в одну сеть, склад — в другую;
• утёкший пароль одного человека не открывает сеть всем.

Минусы: нужен сервер или контроллер с RADIUS и аккуратная настройка, а принтеры, камеры и часть терминалов так подключаться не умеют. Для них делают отдельную сеть с паролем и закрытым доступом. Ещё одна деталь: устройства сотрудников должны проверять сертификат сервера, иначе поддельная точка сможет выманить у них логин и пароль.

Разделение сети: офис, камеры, гости

Даже с хорошим паролем держать всё в одной сети — ошибка. Камеры, принтеры и «умные» устройства редко обновляются и часто имеют уязвимости. Если такое устройство взломают, из общей сети откроется путь к серверу 1С.

Решение — разделить сеть на сегменты с помощью VLAN. VLAN — виртуальная сеть: на одних и тех же кабелях, коммутаторах и точках доступа работают несколько изолированных сетей, а правила между ними задаются на роутере.

Начать можно с двух шагов: вынести в свои сегменты гостей и камеры. Это уже закрывает самые частые пути атаки. Для разделения нужны роутер и коммутаторы с поддержкой VLAN — у профессионального оборудования она есть почти всегда.

WPS, прошивки и другие настройки

• Отключите WPS. Это функция быстрого подключения по кнопке или PIN-коду. Режим с PIN-кодом давно известен уязвимостью к подбору, а кнопку может нажать любой, кто проходит мимо роутера.
• Обновляйте прошивки. Уязвимости в роутерах и точках находят регулярно и закрывают обновлениями. Устройство, для которого производитель больше не выпускает обновлений, лучше заменить.
• Закройте управление снаружи. Настройки роутера должны открываться только из офисной сети, а не из интернета и не из гостевой сети.
• Ищите чужие точки. Сотрудник, принёсший свой роутер, «чтобы лучше ловило», создаёт сеть в обход всех правил. Контроллер Wi-Fi часто умеет показывать посторонние точки в эфире.
• Не полагайтесь на скрытое имя сети и фильтр по MAC-адресам. Скрытое имя видно, когда к сети подключаются устройства, а MAC-адрес легко подменить. Это неудобство для своих, а не защита от чужих.

Чек-лист: как защитить Wi-Fi от взлома

1. Офисная сеть работает на WPA3 или на WPA2 с паролем от 12 символов; WEP и открытых сетей нет.
2. Для гостей — отдельная сеть с изоляцией и без доступа к офисным ресурсам, и вы это проверили.
3. Пароль офисной сети меняется при увольнении сотрудников, которые его знали.
4. Пароль администратора роутера и точек — свой, длинный, не заводской.
5. WPS выключен.
6. Прошивки обновлены, устройства без поддержки производителя заменены.
7. Офис, камеры и гости разнесены по разным сегментам.
8. Управление роутером закрыто из интернета и из гостевой сети.
9. Если сотрудников много или они часто меняются, рассмотрен вход по личному логину.
10. Есть актуальная схема сети и список, у кого какие пароли.

Часть пунктов закрывается за час настройками существующего оборудования. Для сегментов и входа по логину может понадобиться оборудование посерьёзнее домашнего роутера.

Если не хотите разбираться сами, настроим защищённый Wi-Fi с гостевой сетью и разделением на сегменты, а схему сети и все доступы передадим вам. Если сеть ещё и рвётся при переходе между кабинетами, пригодится статья о бесшовном Wi-Fi.

Безопасность Wi-Fi в офисе держится на простых вещах: современное шифрование, отдельная сеть для гостей, своевременная смена паролей и разделение устройств по сегментам. Сделайте это один раз, проверяйте сеть по чек-листу раз в полгода — и Wi-Fi перестанет быть самым простым входом в вашу сеть.