Гостевой Wi-Fi открывает LAN: типичная дыра в офисной сети

В переговорке гостям дают пароль от Wi-Fi — тот же, что у сотрудников, или «гостевой», который чудом сидит в той же сети, что принтеры, файловый сервер и бухгалтерия. Удобно: работает сразу. Опасно: чужой телефон оказывается в одном broadcast-домене с внутренними ресурсами.

Дальше достаточно одного заражённого устройства или любопытного скрипта сканирования. Lateral movement по офисной сети не требует киношного хакера — часто хватает открытых шар, принтеров с дефолтными паролями и отсутствие сегментации.

Гостевой доступ должен означать интернет для гостя, а не ключ от LAN.

Как это выглядит в реальных офисах

Маленькая компания включает «гостевой» SSID на том же контроллере без VLAN. Точка пускает всех в одну подсеть. IT радуется, что «гости в интернете», не замечая, что пингуется и 1С.

Другой вариант: пароль гостевой сети не меняли два года, его знают курьеры, подрядчики и бывшие сотрудники. Это уже не гостевой доступ, а общая дыра с человеческой памятью.

Третий — BYOD сотрудников без политики: личные телефоны в корпоративной сети «чтобы печать работала». Печать работает. Контроля устройств — нет.

Ошибки проектирования

Считать NAT в интернет достаточной изоляцией. Гостю нужен запрет на доступ к корпоративным подсетям, а не только «выход в веб».

Держать принтеры и IoT в той же сети, что рабочие станции. Компрометация «умной» розетки или МФУ становится плацдармом.

Не логировать и не ограничивать DHCP. В инциденте невозможно понять, чей клиент сканировал сеть.

Путать удобство и безопасность на ресепшене: один пароль на стикере против выдачи временного доступа на визит.

Практичная схема

Минимум: отдельный SSID для гостей, отдельный VLAN, ACL или файрвол-правила, которые разрешают только интернет (и при необходимости captive portal), но режут доступ к LAN, RDP, МСБ, внутренним HTTP.

Корпоративный Wi-Fi — отдельно, лучше с 802.1X или хотя бы с паролем, который не пишут на ресепшене. Гостевой пароль ротируют или заменяют на временные учётки/QR на день.

Принтеры и «умный» офис выносят в IoT-сегмент с жёсткими правилами: откуда можно печатать, куда устройству нельзя ходить.

Для гостей с потребностью «показать презентацию с ноутбука» делают контролируемый сценарий (гость → экран), а не полный доступ к файловому серверу.

• карта SSID → VLAN → что разрешено;
• тест с телефона гостя: виден ли МСБ, пингуются ли серверы;
• срок жизни гостевых учёток;
• журнал подключений на случай разбора.

Если сеть уже «плоская»

Не обязательно перестраивать всё за выходные. Начните с изоляции гостевого SSID и закрытия лишних портов между VLAN. Затем вынесите принтеры. Потом усиливайте корпоративный Wi-Fi. Каждый шаг уменьшает blast radius без остановки офиса.

Проверка изоляции без большого проекта

Возьмите гостевой телефон, подключитесь и попробуйте достучаться до файлового сервера, RDP, панелей камер, принтеров по адресам из корпоративной подсети. Всё, что отвечает, — ваш реальный периметр, а не тот, что нарисован на слайде.

Проверьте срок жизни пароля и кто его знает. Если пароль в чате ресепшена без ротации, считайте его публичным. Временные учётки или регулярная смена ключа закрывают этот человеческий фактор.

Сегментируйте хотя бы гостей и IoT в первую очередь: там максимум чужих устройств и минимум контроля. Рабочие станции можно улучшать вторым этапом.

Зафиксируйте правило для подрядчиков: отдельный доступ, отдельный срок, отдельный отзыв. Подрядчик с вечным гостевым паролем — частый герой разбора инцидентов.

Политика для людей, не только для VLAN

Техническая изоляция не сработает, если ресепшен раздаёт корпоративный пароль «потому что гостевой тормозит». Нужна простая инструкция для администраторов офиса: какой SSID давать гостям, как выдать временный доступ, куда эскалировать проблему.

Для мероприятий заранее готовьте отдельный профиль нагрузки: больше клиентов, короче срок жизни сессий, жёстче правила. Разовый форум в офисе — частый день, когда « Panика» ломает изоляцию.

Логируйте подключения достаточно, чтобы разобрать инцидент, но не превращайте сбор в бессмысленное хранилище. Главное — возможность ответить, какое устройство было в сети в нужный час.

Раз в квартал повторяйте тест с гостевого телефона. Сети меняются, исключения накапливаются, и изоляция имеет свойство «случайно открыться».

Если в офисе есть гостевые проводные порты в переговорках, их тоже сегментируйте. Люди вставляют кабель «чтобы стабильнее» и обходят красивый гостевой Wi-Fi. Изоляция должна быть на уровне сети, а не только эфира.

Для печати гостям лучше отдельный сценарий: гостевой портал печати или выделенный принтер, а не доступ ко всем очередям. Печать — классический предлог открыть лишнее.

Зафиксируйте в политике BYOD, какие устройства сотрудников допускаются в корпоративный SSID и какие остаются в гостевом. Без этого граница снова размоется за квартал.

И не оставляйте «временные» исключения на файрволе без срока. Временное разрешение гостю до внутреннего ресурса через полгода становится постоянной дырой, о которой все забыли.

После сегментации обновите инструкцию для офис-менеджера и поддержку одной страницей. Техническая схема без человеческой инструкции снова закончится выдачей корпоративного пароля «чтобы точно работало».

Если сомневаетесь, начните с одного теста гостевого телефона сегодня — это займёт десять минут и сразу покажет цену текущей схемы.

Итог

Гостевой Wi-Fi в одной сети с бухгалтерией — удобная привычка с ценой бокового движения по LAN. Изоляция VLAN и запрет доступа к внутренним ресурсам закрывают эту дыру быстрее, чем любой «дорогой» buzzword.

Проверьте с гостевого телефона, что видно в сети. Если видны шары и серверы — у вас не гостевой доступ, а открытая дверь. Закройте её до первого чужого устройства в переговорке.