Et eget Wi-Fi-navn for gjester ser ryddig ut, men navnet alene sier ingenting om hvilke interne systemer en besøkendes enhet kan nå. Et fungerende gjestenett skal gi den tilgangen gjesten trenger, vanligvis internett, uten å åpne bedriftens skrivere, filområder eller administrasjon.
Hvorfor skille gjester fra arbeidsnettet?
Bedriften styrer normalt ikke sikkerhetstilstanden til en besøkendes mobil eller PC. NSMs grunnprinsipper for IKT-sikkerhet anbefaler at ikke-forvaltede enheter bare får tilgang til eget gjestenett eller tilsvarende begrenset område. Det er en god praktisk regel også for små virksomheter: ukjente enheter bør ikke få samme nettverkstilgang som bedriftens forvaltede utstyr.
To ulike spørsmål som ofte blandes
Kan gjesten nå bedriftsnettet? Dette avgjøres av hvordan gjestenettet er koblet til resten av nettverket, og hvilke regler som tillater trafikk mellom nettverkene. Et eget nettverkssegment kan brukes til å skille trafikken, men segmentet må ha riktige tilgangsregler.
Kan to gjester nå hverandre? Dette er et annet spørsmål. Klientisolasjon kan hindre direkte kommunikasjon mellom enheter på samme gjeste-Wi-Fi. Det erstatter ikke nødvendigvis reglene som beskytter resten av bedriftens nett. Leverandørdokumentasjon, blant annet fra TP-Link Omada, beskriver isolasjon mellom klienter på samme trådløse nett. Kontroller funksjonen i akkurat det utstyret dere bruker.
Test fra gjestens side
En innstilling som heter «Guest Network» er ikke bevis på at alt er riktig. Etter oppsett bør dere koble til med en vanlig testenhet på gjestenettet og kontrollere:
- Fungerer internett og de tjenestene gjesten faktisk skal bruke?
- Er interne skrivere, filområder og administrasjon utilgjengelige fra gjestenettet?
- Kan gjesteenheter kommunisere med hverandre, og er det ønsket?
- Fungerer løsningen også fra andre rom og aksesspunkter, ikke bare ved ruteren?
- Er det klart hvem som vedlikeholder tilgangsregler, passord og utstyr?
Dokumenter ønsket resultat med en kort oversikt: «Gjester skal ha internett, men ikke tilgang til interne tjenester». Da har dere noe konkret å teste igjen etter endringer i ruteren, svitsjene eller aksesspunktene. En separat Wi-Fi-tilkobling må dessuten fungere gjennom hele kjeden. I Omadas veiledning beskrives egne gjesteinnstillinger, men menyvalg og virkning varierer med oppsett og versjon.
Ikke gjør gjestenettet mer komplisert enn behovet tilsier
Et lite kontor med noen få besøkende trenger ikke automatisk en portal med registrering eller en lang liste med unntak. Start med å avklare hvilken tilgang gjestene faktisk trenger, sørg for adskillelse og test den. Dersom gjester skal bruke en intern skjerm eller skriver, bør det være et bevisst, avgrenset unntak, ikke en åpen vei til hele arbeidsnettet.
Trenger dere hjelp til å kartlegge og drifte hele oppsettet, beskriver vi også administrert nettverk for små og mellomstore bedrifter. Selve sjekklisten over kan brukes uavhengig av leverandør.
Kilder
