Qual è la differenza tra una rete WiFi ospiti e la tua rete principale?

SCRIPT PER PODCAST: "Qual è la differenza tra una rete WiFi ospiti e la rete principale?" DURATA: ~10 minuti | VOCE: inglese britannico, maschile, tono da consulente senior --- [INTRODUZIONE - 1 MINUTO] Bentornati. Oggi andrò dritto al punto, perché questo è uno di quei temi che sembrano ingannevolmente semplici - ma che mettono le organizzazioni in guai seri quando non vengono gestiti correttamente. La domanda è: qual è in realtà la differenza tra una rete WiFi ospiti e la rete aziendale principale, e perché questa distinzione è estremamente importante dal punto di vista della sicurezza, della conformità e dell'operatività? Sia che gestiate una catena alberghiera, un patrimonio immobiliare retail, un centro congressi o una struttura del settore pubblico, nel momento in cui offrite il WiFi ai visitatori, avete introdotto un vettore di rischio nella vostra infrastruttura. Il modo in care gestite questa separazione - a livello di SSID, a livello di VLAN e attraverso la vostra architettura di autenticazione - determinerà se il vostro WiFi ospiti sarà una risorsa aziendale o una minaccia. Entriamo nel dettaglio. --- [APPROFONDIMENTO TECNICO - 5 MINUTI] Partiamo dalle basi. La vostra rete aziendale - quella che chiameremmo la vostra rete principale - è l'ambiente in cui risiedono i sistemi critici per l'azienda. Parliamo di domain controller, file server, terminali POS, infrastruttura di videosorveglianza, sistemi ERP, database delle risorse umane. L'accesso a queste risorse deve essere strettamente controllato, autenticato tramite 802.1X con certificati o credenziali, e limitato a dispositivi noti e gestiti. La vostra rete wireless per gli ospiti, al contrario, è un ambiente condiviso, di solo accesso a internet, destinato a visitatori, clienti e fornitori che hanno bisogno di connettività ma non hanno alcun motivo di accedere alle vostre risorse interne. Nel momento in cui un ospite si connette, dovrebbe atterrare in un segmento di rete completamente isolato, senza visibilità - e senza possibilità di instradamento - verso qualsiasi elemento del lato aziendale. Ora, ecco dove molte organizzazioni sbagliano. Pensano che avere semplicemente un SSID separato - un nome di rete diverso - sia un isolamento sufficiente. Non lo è. Un SSID è solo un'etichetta. Senza un corretto tagging VLAN a livello di switch e access point, il traffico proveniente da entrambi gli SSID può ancora attraversare lo stesso dominio di broadcast Layer 2. Ciò significa che un dispositivo sul vostro SSID "GuestWiFi" potrebbe, in teoria, vedere il traffico del vostro SSID aziendale se l'infrastruttura di switching sottostante non è configurata correttamente. L'architettura corretta prevede la mappatura da SSID a VLAN. Il vostro SSID ospiti si mappa su una VLAN dedicata - ad esempio la VLAN 10 - che viene instradata tramite i vostri switch gestiti e termina su un'interfaccia firewall separata o in una zona DMZ. Quella VLAN ha una rotta verso internet e verso nient'altro. Il vostro SSID aziendale si mappa sulla VLAN 20, che si instrada attraverso il firewall principale con accesso completo alle risorse interne. Le due VLAN non si scambiano mai traffico, a meno che non abbiate configurato esplicitamente il routing inter-VLAN con le opportune ACL - cosa che, per il traffico ospiti, non dovreste fare. Sul lato degli access point, la maggior parte dei controller wireless di livello enterprise - sia che si utilizzi Cisco Meraki, Aruba, Juniper Mist o Ruckus - supporta più SSID per radio con assegnazione della VLAN per ciascun SSID. Questa è una funzionalità standard. Ciò che devi assicurare è che i tuoi access point siano collegati a porte trunk sui tuoi switch, non a porte di accesso, in modo che i tag VLAN vengano preservati lungo tutto il percorso fino al livello di distribuzione. Ora parliamo di autenticazione. Per la tua rete aziendale, lo standard di riferimento è lo standard IEEE 802.1X con un backend RADIUS - idealmente con EAP-TLS basato su certificati piuttosto che con metodi basati su nome utente e password. Questo garantisce che solo i dispositivi associati al dominio o dotati di certificato possano autenticarsi. Se utilizzi un'infrastruttura RADIUS, vale la pena prendere in considerazione RadSec - ovvero RADIUS su TLS - che crittografa il traffico di autenticazione tra i tuoi access point e il tuo server RADIUS. È disponibile una guida dettagliata in merito nella sezione [RadSec: Securing RADIUS Authentication Traffic with TLS](/guides/radsec-radius-over-tls) se desideri approfondire. Per la tua rete ospiti, il modello di autenticazione è fondamentalmente diverso. Non hai a che fare con dispositivi gestiti. Ti trovi a gestire smartphone, tablet e laptop personali appartenenti a persone che non hai mai incontrato. L'approccio standard in questo caso è un Captive Portal - una pagina di accesso basata sul web che intercetta la prima richiesta HTTP o HTTPS dell'ospite e lo reindirizza a una pagina di registrazione o ai termini di servizio. È qui che le piattaforme come la soluzione guest WiFi di Purple aggiungono un valore significativo: invece di presentare semplicemente una pagina iniziale di base, acquisisci dati di prima parte - nome, e-mail, informazioni demografiche - con un consenso esplicito conforme al GDPR, che si integrano direttamente nei flussi di lavoro del tuo CRM e della marketing automation. Sul lato della crittografia, WPA3 è ora lo standard consigliato per entrambe le reti. Per la tua rete ospiti, WPA3-SAE - Simultaneous Authentication of Equals - fornisce la forward secrecy, il che significa che anche se la chiave precondivisa viene compromessa, il traffico delle sessioni passate non può essere decrittografato. Per la tua rete aziendale, WPA3-Enterprise con modalità a 192 bit fornisce il massimo livello di protezione per gli ambienti sensibili. Ancora una cosa sul lato tecnico: l'isolamento dei client. Sulla tua VLAN ospiti, dovresti abilitare l'isolamento dei client wireless - a volte chiamato isolamento AP - che impedisce ai dispositivi degli ospiti di comunicare tra loro sullo stesso SSID. Senza questo accorgimento, un dispositivo ospite potrebbe tentare di sondare o attaccare altri dispositivi ospiti sulla stessa rete. Questo è particolarmente importante in ambienti ad alta densità come hall di hotel, centri congressi e negozi al dettaglio dove possono essere connessi contemporaneamente centinaia di dispositivi. --- [CONSIGLI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE - 2 MINUTI] Bene, parliamo di cosa non funziona nella pratica. L'errore più comune che vedo è la distribuzione di guest WiFi su hardware consumer o non gestito che non supporta il corretto tagging VLAN. Se i tuoi access point non sono in grado di effettuare il trunking delle VLAN, non potrai ottenere una corretta segmentazione di rete. Punto. Questo è un requisito infrastrutturale non negoziabile. Il secondo errore comune è la contesa della larghezza di banda. Senza policy QoS, un singolo ospite che riproduce video in 4K può saturare la tua connessione uplink e compromettere le prestazioni per gli utenti aziendali. Hai bisogno di applicare un rate limiting sulla VLAN guest - in genere un limite di download per client compreso tra 5 e 20 megabit al secondo a seconda della capacità della tua connessione - e una prioritarizzazione del traffico che garantisca che il traffico aziendale abbia sempre la precedenza. Terzo: DNS e DHCP. La tua VLAN guest deve avere un proprio ambito DHCP con un intervallo IP separato - ad esempio 192.168.100.0/24 - e deve utilizzare un risolutore DNS pubblico come 8.8.8.8 o 1.1.1.1, non il tuo server DNS interno. Se gli ospiti risolvono il DNS attraverso il tuo server interno, hai creato un vettore di perdita di informazioni e potenzialmente una superficie di attacco per DNS rebinding. Quarto, e questo è fondamentale per il settore hospitality e retail: conformità PCI-DSS. Se l'infrastruttura delle carte di pagamento - i tuoi terminali POS, i gateway di pagamento - condivide un qualsiasi segmento di rete con il tuo guest WiFi, sei quasi certamente in violazione dei requisiti PCI-DSS. L'ambiente dei dati dei titolari di carta deve essere completamente isolato. Una VLAN guest correttamente segmentata senza instradamento inter-VLAN verso la tua rete POS è un requisito fondamentale per la conformità PCI. Infine, logging e monitoraggio. La tua rete guest dovrebbe avere il proprio feed NetFlow o syslog integrato nel tuo SIEM. Devi essere in grado di dimostrare, ai fini del GDPR e delle intercettazioni legali, chi era connesso, quando e quale traffico ha generato. La piattaforma di analytics di Purple acquisisce eventi di connessione, tempi di permanenza e dati sulla frequenza delle visite che alimentano direttamente questo percorso di audit. - [D&R RAPIDE - 1 MINUTO] Domande rapide che mi vengono poste regolarmente: "Posso usare gli stessi access point fisici per entrambe le reti?" - Sì, assolutamente. È proprio questo lo scopo del multi-SSID con tagging VLAN. Un unico AP, molteplici reti logiche. "Ho bisogno di connessioni internet separate per guest e rete aziendale?" - No, ma sono necessarie policy firewall separate e idealmente interfacce o sub-interfacce WAN separate per applicare il QoS e il traffic shaping in modo indipendente. "E i dispositivi IoT - dove vanno inseriti?" - Devono avere la propria VLAN, separata sia dalla rete guest sia da quella aziendale. L'IoT rappresenta un terzo segmento di rete, non un sottoinsieme delle altre. "Il protocollo WPA2 è ancora accettabile per le reti guest?" - È funzionante ma il WPA3 è fortemente consigliato. Il WPA2 con TKIP è deprecato. Se utilizzi ancora il TKIP in qualsiasi punto della rete, risolvi il problema oggi stesso. - [RIASSUNTO E PROSSIMI PASSI - 1 MINUTO] Per riassumere: la differenza tra una rete WiFi ospiti e la tua rete principale non è solo una questione di una password diversa o di un nome SSID differente. Si tratta di una separazione architetturale fondamentale implementata a livello VLAN, applicata dalla tua infrastruttura di switching e firewall, con modelli di autenticazione, policy QoS e requisiti di monitoraggio distinti per ciascuna. Fallo nel modo giusto e otterrai un'installazione WiFi ospiti sicura, conforme e - con la giusta piattaforma in aggiunta - un vero e proprio asset di dati proprietari per i tuoi team di marketing e operations. Sbaglia e ti ritroverai con un rischio di movimento laterale proprio nella tua reception, che trasmette su frequenze a 2.4 e 5 gigahertz. Se desideri approfondire l'aspetto dell'autenticazione, consulta la guida RadSec. E se stai valutando piattaforme WiFi ospiti, la soluzione di Purple su purple.ai copre l'intero stack - dal Captive Portal e l'acquisizione dati conforme al GDPR fino alla WiFi analytics e alla venue intelligence. Grazie per l'ascolto. Ci vediamo alla prossima. - FINE DELLO SCRIPT