Wi-Fi επισκεπτών για επιχείρηση: πώς στήνεται σωστά

Οι πελάτες σας ζητούν τον κωδικό του Wi-Fi σχεδόν πριν καθίσουν. Σε πολλές επιχειρήσεις, ο κωδικός που δίνεται είναι ο ίδιος με αυτόν που χρησιμοποιούν οι υπολογιστές, το ταμείο και οι κάμερες. Ένα σωστό Wi-Fi επισκεπτών για επιχείρηση λύνει αυτό το πρόβλημα: οι επισκέπτες έχουν γρήγορο internet και τίποτε άλλο.

Σε αυτό τον οδηγό εξηγούμε γιατί το δίκτυο επισκεπτών πρέπει να είναι χωριστό, πώς γίνεται η απομόνωση με VLAN, τι είναι το captive portal, πώς μπαίνουν όρια ταχύτητας, τι ισχύει για τον GDPR αν συλλέγετε email, τι αλλάζει σε ξενοδοχεία, καφέ και ιατρεία, και πώς στήνεται σε UniFi και Omada.

Γιατί το Wi-Fi επισκεπτών πρέπει να είναι χωριστό

Όποιος συνδέεται στο ίδιο δίκτυο με τους υπολογιστές σας μπορεί, θεωρητικά, να τους «δει». Δεν χρειάζεται κακή πρόθεση: αρκεί ένα κινητό με κακόβουλο λογισμικό.

• Ασφάλεια: οι συσκευές των επισκεπτών δεν πρέπει να έχουν πρόσβαση σε υπολογιστές, εκτυπωτές, NAS, ταμειακά συστήματα (POS) και κάμερες.
• Απόδοση: χωρίς όρια, ένας επισκέπτης που κατεβάζει μεγάλα αρχεία μπορεί να καθυστερήσει τις πληρωμές με κάρτα ή τις βιντεοκλήσεις του προσωπικού.
• Έλεγχος κωδικών: ο κωδικός επισκεπτών αλλάζει όσο συχνά θέλετε, χωρίς να ξαναρυθμιστεί καμία συσκευή της επιχείρησης.
• Εικόνα: ένα δίκτυο με το όνομα της επιχείρησης και μια καθαρή σελίδα σύνδεσης δείχνει επαγγελματισμό.

Απομόνωση με VLAN: η βάση

Ένα δεύτερο όνομα δικτύου (SSID) δεν αρκεί από μόνο του. Αν το SSID επισκεπτών καταλήγει στο ίδιο δίκτυο με τα υπόλοιπα, η απομόνωση είναι μόνο στο όνομα. Η σωστή υλοποίηση έχει τρία επίπεδα:

1. Ξεχωριστό VLAN: το SSID επισκεπτών αντιστοιχεί σε δικό του VLAN, με δικό του εύρος διευθύνσεων IP και δικό του DHCP.
2. Κανόνες firewall: οι επισκέπτες έχουν πρόσβαση μόνο στο internet. Μπλοκάρεται η πρόσβαση σε όλα τα εσωτερικά δίκτυα και στη σελίδα διαχείρισης του router, και επιτρέπονται μόνο DHCP και DNS.
3. Απομόνωση συσκευών (client isolation): οι συσκευές των επισκεπτών δεν βλέπουν η μία την άλλη, ακόμη και μέσα στο ίδιο δίκτυο.

Για να λειτουργήσει το VLAN, πρέπει να το υποστηρίζουν όλα στη διαδρομή: access points, switch και router ή firewall. Οι οικιακοί router με λειτουργία «guest» κάνουν κάτι παρόμοιο, αλλά συνήθως με περιορισμένο έλεγχο και χωρίς δυνατότητα επέκτασης σε πολλά access points.

Μετά τη ρύθμιση, συνδεθείτε στο Wi-Fi επισκεπτών με ένα κινητό και δοκιμάστε να ανοίξετε τη διεύθυνση του router, ενός εκτυπωτή ή μιας κάμερας. Αν ανοίγει οτιδήποτε εσωτερικό, η απομόνωση δεν είναι σωστή.

Κωδικός, captive portal ή ανοιχτό δίκτυο;

Υπάρχουν διάφοροι τρόποι για να συνδέονται οι επισκέπτες. Η επιλογή εξαρτάται από τον χώρο και από το πόσο έλεγχο θέλετε.

• Κωδικός WPA2/WPA3: απλός και γνώριμος. Αλλάζετε τον κωδικό τακτικά και τον δίνετε με QR code στο τραπέζι ή στη ρεσεψιόν.
• Captive portal: σελίδα που εμφανίζεται πριν από τη σύνδεση. Μπορεί να ζητά αποδοχή όρων χρήσης, κωδικό, voucher ή στοιχεία επικοινωνίας.
• Vouchers: μοναδικοί κωδικοί με διάρκεια ή όριο δεδομένων, χρήσιμοι σε ξενοδοχεία, χώρους εκπαίδευσης και εκδηλώσεις.
• Ανοιχτό δίκτυο με κρυπτογράφηση (Enhanced Open / OWE): χωρίς κωδικό, αλλά η κίνηση κάθε συσκευής κρυπτογραφείται. Το υποστηρίζουν οι νεότερες συσκευές, γι' αυτό συχνά ενεργοποιείται μαζί με λειτουργία συμβατότητας για τις παλαιότερες.

Ένα εντελώς ανοιχτό δίκτυο, χωρίς κρυπτογράφηση και χωρίς όρους χρήσης, δεν το προτείνουμε. Η κίνηση είναι ορατή σε όποιον βρίσκεται κοντά και δεν έχετε κανέναν έλεγχο στη χρήση.

Όρια ταχύτητας και χρόνου

Τα όρια δεν είναι τσιγκουνιά, είναι προστασία της δικής σας γραμμής. Οι βασικές ρυθμίσεις:

• Όριο ανά συσκευή: για τυπική χρήση, δηλαδή περιήγηση, social media και streaming, αρκούν μερικά Mbps ανά συσκευή. Η ακριβής τιμή εξαρτάται από τη γραμμή σας και τον αριθμό των επισκεπτών.
• Συνολικό όριο για όλο το δίκτυο επισκεπτών: π.χ. ένα ποσοστό της γραμμής, ώστε να μένει πάντα χώρος για την επιχείρηση.
• Προτεραιότητα (QoS): η κίνηση του POS, των τηλεφώνων και των βιντεοκλήσεων προηγείται της κίνησης των επισκεπτών.
• Χρονικά όρια: λήξη της σύνδεσης μετά από κάποιες ώρες στο captive portal, ή ωράριο λειτουργίας για το δίκτυο επισκεπτών.

Αν έχετε δύο γραμμές internet, π.χ. οπτική ίνα και Starlink ως εφεδρεία, μπορείτε να στέλνετε τους επισκέπτες από τη μία και την επιχείρηση από την άλλη, ή να κόβετε το δίκτυο επισκεπτών όσο δουλεύει η εφεδρική γραμμή.

GDPR: αν συλλέγετε email ή στοιχεία επισκεπτών

Πολλές επιχειρήσεις χρησιμοποιούν το captive portal για να συλλέγουν email για newsletter. Αυτό είναι επεξεργασία προσωπικών δεδομένων και ισχύει ο GDPR. Δεν είμαστε νομικοί: τα παρακάτω είναι γενικές αρχές, και για τη δική σας περίπτωση συμβουλευτείτε τον νομικό σας σύμβουλο ή τις οδηγίες της Αρχής Προστασίας Δεδομένων (dpa.gr).

• Ενημέρωση: στη σελίδα σύνδεσης πρέπει να υπάρχει σαφές κείμενο για το ποια στοιχεία συλλέγονται, για ποιο σκοπό, για πόσο διάστημα και πώς ασκεί κανείς τα δικαιώματά του.
• Χωριστή συγκατάθεση για marketing: το κουτάκι για προωθητικά μηνύματα δεν πρέπει να είναι προεπιλεγμένο.
• Η πρόσβαση στο Wi-Fi κατά κανόνα δεν πρέπει να εξαρτάται από τη συγκατάθεση σε marketing. Δώστε επιλογή σύνδεσης χωρίς εγγραφή.
• Ελαχιστοποίηση: ζητήστε μόνο ό,τι πραγματικά χρειάζεστε. Αν δεν θα στείλετε newsletter, μη ζητάτε email.
• Διάρκεια διατήρησης: ορίστε πόσο κρατάτε τα στοιχεία και τα αρχεία συνδέσεων. Και οι διευθύνσεις MAC των συσκευών θεωρούνται προσωπικά δεδομένα.
• Πάροχος της πλατφόρμας: αν το portal φιλοξενείται στο cloud τρίτου, χρειάζεται σύμβαση επεξεργασίας μαζί του.

Το πιο απλό σενάριο είναι portal μόνο με αποδοχή όρων χρήσης ή κωδικό, χωρίς συλλογή στοιχείων. Αν η συλλογή email είναι στόχος σας, σχεδιάστε τη από την αρχή μαζί με τον νομικό σας σύμβουλο.

Wi-Fi επισκεπτών για επιχείρηση ανά κλάδο: ξενοδοχεία, καφέ, ιατρεία

Οι βασικές αρχές είναι ίδιες, αλλά κάθε χώρος έχει τις δικές του ανάγκες.

• Ξενοδοχεία και καταλύματα: κάλυψη σε δωμάτια, κοινόχρηστους και εξωτερικούς χώρους, πολλές συσκευές ανά επισκέπτη, ομαλό roaming. Vouchers ή κωδικός ανά κράτηση, και όρια ανά συσκευή ώστε ένα δωμάτιο να μην «τρώει» τη γραμμή. Χωριστά VLAN για προσωπικό, ρεσεψιόν, κάμερες και ηλεκτρονικές κλειδαριές.
• Καφέ, εστιατόρια και μπαρ: γρήγορη σύνδεση με QR code, κωδικός που αλλάζει τακτικά, όρια ανά συσκευή και χρονικά όρια. Το POS, τα τερματικά παραγγελιοληψίας και οι εκτυπωτές κουζίνας σε δικό τους VLAN, με προτεραιότητα.
• Ιατρεία και κλινικές: αυστηρή απομόνωση, γιατί στο εσωτερικό δίκτυο υπάρχουν δεδομένα υγείας. Ιατρικά μηχανήματα και υπολογιστές σε διαφορετικά VLAN από τους ασθενείς της αίθουσας αναμονής. Απλό portal με όρους χρήσης, χωρίς συλλογή περιττών στοιχείων.
• Γραφεία: δίκτυο επισκεπτών για πελάτες και συνεργάτες στις αίθουσες συσκέψεων, με κωδικό που αλλάζει μηνιαία ή vouchers ημέρας.

Στήσιμο σε Ubiquiti UniFi

Στο UniFi η ρύθμιση γίνεται κεντρικά από την εφαρμογή UniFi Network. Οι ονομασίες των μενού αλλάζουν από έκδοση σε έκδοση, αλλά τα βήματα μένουν ίδια:

1. Δημιουργήστε νέο δίκτυο (virtual network) με δικό του VLAN ID και εύρος IP, και ενεργοποιήστε την απομόνωση δικτύου (network isolation), ώστε να μην επικοινωνεί με τα υπόλοιπα.
2. Δημιουργήστε νέο Wi-Fi για τους επισκέπτες, συνδεδεμένο με αυτό το δίκτυο, και ενεργοποιήστε την απομόνωση συσκευών (client device isolation).
3. Αν θέλετε σελίδα σύνδεσης, ενεργοποιήστε το Hotspot portal και επιλέξτε τρόπο: αποδοχή όρων, κωδικό ή vouchers. Προσαρμόστε τη σελίδα με το λογότυπο και το κείμενο ενημέρωσης.
4. Ορίστε όριο ταχύτητας ανά συσκευή για το δίκτυο επισκεπτών.
5. Ελέγξτε τους κανόνες firewall, ώστε να μην επιτρέπεται πρόσβαση στη διαχείριση των συσκευών UniFi και στα εσωτερικά δίκτυα.
6. Δοκιμάστε από ένα κινητό: internet ναι, εσωτερικές συσκευές όχι.

Στήσιμο σε TP-Link Omada

Στο Omada η λογική είναι παρόμοια, από τον Omada Controller ή την πλατφόρμα cloud:

1. Δημιουργήστε νέο δίκτυο LAN με δικό του VLAN ID και DHCP.
2. Δημιουργήστε SSID για τους επισκέπτες, αντιστοιχίστε το στο VLAN και ενεργοποιήστε την επιλογή Guest Network, που μπλοκάρει την πρόσβαση στα ιδιωτικά δίκτυα και απομονώνει τις συσκευές.
3. Ενεργοποιήστε Portal από τις ρυθμίσεις ελέγχου ταυτότητας (authentication), με απλό κωδικό, vouchers ή σελίδα αποδοχής όρων.
4. Ορίστε όρια ταχύτητας (rate limit) ανά SSID ή ανά συσκευή.
5. Αν το δίκτυο έχει Omada gateway, συμπληρώστε με κανόνες ACL, ώστε να είστε σίγουροι ότι το VLAN επισκεπτών δεν φτάνει στα υπόλοιπα.
6. Κάντε τη δοκιμή από κινητό, όπως και στο UniFi.

Αντίστοιχες ρυθμίσεις γίνονται σε MikroTik ή σε firewall άλλων κατασκευαστών. Σημασία δεν έχει η μάρκα, αλλά να υλοποιηθούν και τα τρία επίπεδα απομόνωσης και να επαληθευτούν στην πράξη.

Συνηθισμένα λάθη στο Wi-Fi επισκεπτών

• Ο ίδιος κωδικός εδώ και χρόνια, γραμμένος σε πινακίδα που έχει φωτογραφηθεί από εκατοντάδες ανθρώπους.
• Δίκτυο επισκεπτών μέσα από φθηνό repeater ή δεύτερο router συνδεδεμένο στο εσωτερικό δίκτυο, χωρίς καμία απομόνωση.
• Κανένα όριο ταχύτητας, με αποτέλεσμα να κολλάει το POS τις ώρες αιχμής.
• Captive portal που ζητά email και τηλέφωνο χωρίς ενημέρωση και χωρίς επιλογή άρνησης.
• Καμία δοκιμή μετά τη ρύθμιση: η απομόνωση θεωρείται δεδομένη, αλλά κανείς δεν την έχει ελέγξει.

Πώς βοηθάμε

Η CyberSpace Dynamics στήνει Wi-Fi επισκεπτών για επιχειρήσεις σε όλη την Αττική: σχεδιασμό access points, VLAN και firewall, captive portal με το λογότυπό σας, όρια ταχύτητας και έλεγχο ότι η απομόνωση δουλεύει. Αν ο υπάρχων εξοπλισμός δεν υποστηρίζει VLAN, προτείνουμε την πιο λογική αναβάθμιση.

Για τον GDPR δεν δίνουμε νομικές συμβουλές, αλλά υλοποιούμε τεχνικά όσα αποφασίσετε με τον νομικό σας σύμβουλο. Κλείστε δωρεάν αυτοψία ή στείλτε μας φωτογραφίες του εξοπλισμού σας για μια πρώτη εκτίμηση.