Главная›Информационная безопасность›Гостевой Wi-Fi: как отделить от корпоративной сети

Гостевой Wi-Fi: как отделить от корпоративной сети

Svictor

14.10.2026

Обложка статьи: Гостевой Wi-Fi: как отделить от корпоративной сети

Вынесите гостевой Wi-Fi в отдельную сеть: интернет есть, адресов офиса и серверов нет. Зона «Гости» в общей сегментации уже названа — здесь доведите SSID до VLAN, DHCP и правил. Матрица зон: сегментация сети. Личный телефон сотрудника с почтой компании — не гость, это BYOD: мобильные и BYOD.

Статья опирается на логику направления «Сетевая безопасность» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 12 требует управлять сетевыми устройствами и точками доступа: cisecurity.org/controls. Это не российский закон. Перед сменой nftables — nft -c и консоль.

Три условия, без которых SSID бесполезен

Условие	Как выглядит
Свой VLAN и своя подсеть	Документационный пример: `203.0.113.0/24` на vlan50, не тот же L2, что `198.51.100.0/24` серверов
Нет маршрута внутрь	С гостя не открываются 22, 445, 3389, веб-панели, «сосед по IP»
Свой DNS, не корпоративный	Иначе гость резолвит внутренние имена. Резолвер офиса — исходящий DNS

На точке доступа включите изоляцию клиентов (client isolation / AP isolation): гости не видят друг друга в том же SSID. Это настройка контроллера, не «проверка соседа сканером». Пароль гостевой сети не равен корпоративному. SSID управления оборудованием в эфир не вешайте: консоли — в сегменте администрирования.

Правило на экране

Добавьте в ту же цепочку forward, что общая сегментация, или отдельной таблицей с policy accept. Таблица с policy drop на весь forward отрежет офис, если рядом уже есть рабочий набор.

table inet guestwifi {
  chain forward {
    type filter hook forward priority -10; policy accept;
    iifname "vlan50" oifname "wan0" ct state established,related,new accept
    iifname "vlan50" drop
  }
}

sudo nft -c -f /etc/nftables.d/guestwifi.nft

Ожидаемо: тишина без ошибки синтаксиса. Применяйте из консоли или второй сессии. Нет строк vlan50 на внутренние интерфейсы. Подробнее инструмент: nftables и firewalld. Подпишите vlan50 на схеме сети.

Проверка со своего телефона в гостевом SSID: сайт в интернете открывается; адрес сервера из офисной подсети не отвечает. Сканировать чужие сети нельзя. Риск: правило «гости в интернет» написали шире и открыли весь forward — смотрите nft list ruleset на vlan50.

Диагностика

Симптом	Причина и что делать
Гость пингует принтер	Один VLAN. Вынесите SSID
Гость видит внутренний портал по имени	Ему отдали корпоративный DNS. Дайте отдельный резолвер
Один пароль на «Office» и «Guest»	Смените гостевой, не пишите его на рецепции рядом с админским
Личные телефоны сотрудников в Guest	Им нужен BYOD или корпоративный SSID, не эта сеть

Где это в модели зрелости

Материал относится к направлению «Сетевая безопасность» (хаб: сеть, карта: карта зрелости). Сегментация называет зону «Гости». Без отдельного VLAN зона — подпись на схеме. Прокси выхода пользователей — другая тема: гостю он не нужен, если политика «только интернет».