W większości małych i średnich obiektów Wi-Fi wygląda tak: jeden router, jedna sieć, jedno hasło. Podłączony jest do niej laptop właściciela, komputer recepcji z systemem rezerwacyjnym, terminal płatniczy, drukarka, kamery, czasem sterownik zamków — i telefony wszystkich gości. Działa. Do momentu, w którym przestaje.
Rozdzielenie ruchu gości od ruchu operacyjnego to nie jest luksus dla dużych sieci hotelowych. To podstawowa higiena, której brak potrafi kosztować znacznie więcej niż konfiguracja.
Co siedzi w twojej sieci operacyjnej
Zanim przejdziemy do rozwiązań, warto zobaczyć, co realnie wisi na tym samym kablu:
- System PMS z danymi rezerwacji, danymi osobowymi gości i historią pobytów.
- Terminale płatnicze i komputer, na którym odbywa się rozliczanie.
- Sterowniki zamków elektronicznych i systemy kontroli dostępu.
- Monitoring wizyjny — rejestrator i kamery, często z domyślnym hasłem administratora.
- Urządzenia IoT: termostaty, oświetlenie, telewizory z dostępem do sieci, automatyka basenu.
- Drukarki i skanery, na których lądują skany dowodów i faktury.
Wspólna sieć oznacza, że dowolne urządzenie gościa — także zainfekowane, o czym gość nie ma pojęcia — znajduje się w tej samej przestrzeni adresowej co powyższa lista i może ją skanować.
Co konkretnie może pójść nie tak
Abstrakcyjne "zagrożenie bezpieczeństwa" słabo przemawia do wyobraźni, więc trzy realne scenariusze, które wynikają wprost z braku podziału:
- Panel administracyjny na wyciągnięcie ręki. Wpisanie adresu routera w przeglądarce z sieci gościnnej otwiera stronę logowania. Jeśli hasło administratora nie zostało zmienione z fabrycznego, osoba z zewnątrz przejmuje kontrolę nad całą siecią, w tym nad tym, dokąd kierowany jest ruch.
- Rejestrator monitoringu widoczny dla wszystkich. Kamery i rejestratory to urządzenia rzadko aktualizowane, często z prostymi hasłami. W jednej sieci z gośćmi obraz z korytarzy i recepcji staje się dostępny dla każdego, kto potrafi wpisać adres IP.
- Automatyczne rozprzestrzenianie się złośliwego oprogramowania. Część rodzin oprogramowania szyfrującego dane skanuje sieć lokalną i próbuje przenieść się na sąsiednie maszyny bez udziału użytkownika. Komputer recepcji z systemem rezerwacyjnym jest w takiej sieci celem tak samo dostępnym jak każdy inny.
Żaden z tych scenariuszy nie wymaga, żeby ktokolwiek celowo atakował akurat twój obiekt. Wystarczy jedno zainfekowane urządzenie, które ktoś przywiózł ze sobą.
Co mówią o tym wytyczne
Amerykańska agencja CISA w materiałach o zabezpieczaniu sieci bezprzewodowych w organizacjach zaleca wprost wdrożenie osobnej sieci gościnnej, odseparowanej od sieci głównej, z wykorzystaniem routerów obsługujących wiele identyfikatorów SSID lub innych mechanizmów izolacji bezprzewodowej, tak aby informacje organizacji nie były dostępne z poziomu ruchu gości.
Jeśli w obiekcie przyjmujesz płatności kartą, dochodzi drugi wątek. Wytyczne PCI Security Standards Council dotyczące zakresu i segmentacji wskazują, że wszystkie komponenty sieci traktuje się jako część środowiska danych posiadaczy kart, chyba że wdrożono odpowiednią segmentację izolującą systemy przetwarzające dane kartowe od pozostałych. Ten sam materiał zawiera istotne zastrzeżenie: samo oparcie segmentacji na sieciach VLAN nie wystarcza — umieszczenie środowiska kartowego na jednym VLAN-ie, a sieci bezprzewodowej na drugim, nie wyprowadza jeszcze tej drugiej poza zakres wymagań. Potrzebna jest kontrola ruchu między segmentami, nie tylko ich formalne rozdzielenie.
Jak wygląda poprawne rozdzielenie
W praktyce, w obiekcie do kilkudziesięciu pokoi, sensowny podział to co najmniej trzy strefy:
- Sieć gościnna. Osobny SSID, osobny VLAN, dostęp wyłącznie do internetu. Bez widoczności jakichkolwiek zasobów lokalnych.
- Sieć operacyjna. PMS, recepcja, terminale, drukarki. Ukryta albo przynajmniej niedostępna z sieci gościnnej, z własnym, mocnym hasłem znanym tylko personelowi.
- Sieć urządzeń. Monitoring, zamki, IoT, automatyka. To urządzenia rzadko aktualizowane i często z fabrycznymi hasłami, więc powinny mieć własny segment z ograniczonym ruchem wychodzącym.
Do tego dochodzi izolacja klientów wewnątrz sieci gościnnej (w interfejsach sprzętu opisana zwykle jako client isolation, AP isolation albo guest isolation). Bez niej telefon gościa z pokoju 12 widzi laptop gościa z pokoju 24 i jego udostępnione foldery. Włączenie tej opcji to zwykle jeden przełącznik w konfiguracji punktu dostępowego.
Typowe wymówki i dlaczego nie działają
- "U nas nic się nie dzieje, mały obiekt." Skanowanie sieci to działanie automatyczne, wykonywane przez oprogramowanie na zainfekowanych urządzeniach. Nie wybiera po wielkości firmy.
- "Mamy hasło, więc jest bezpiecznie." Hasło do sieci znane wszystkim gościom to nie kontrola dostępu, tylko drobna niedogodność. Każdy, kto je zna, jest w środku sieci.
- "Router ma tryb gościa, wystarczy." Często wystarczy — ale trzeba sprawdzić, co ten tryb faktycznie robi. W tanich urządzeniach potrafi jedynie odciąć dostęp do panelu routera, zostawiając widoczność pozostałych urządzeń w sieci.
- "Nie mamy budżetu." Konfiguracja osobnego SSID i VLAN-u na sprzęcie, który już masz, zwykle nie wymaga zakupów. Wymaga godziny pracy kogoś, kto wie, co robi.
Jak sprawdzić, czy u ciebie jest to zrobione
Nie musisz być administratorem, żeby wykonać podstawowy test. Podłącz telefon do sieci gościnnej i sprawdź, czy:
- Widzisz w otoczeniu sieciowym drukarkę, dysk sieciowy albo komputer recepcji. Jeśli tak — segmentacji nie ma.
- Otwiera się panel administracyjny routera po wpisaniu jego adresu w przeglądarce. Jeśli tak — sieć gościnna ma dostęp do infrastruktury.
- Aplikacja do monitoringu łączy się z rejestratorem bez VPN-a. Jeśli tak — kamery są w tym samym segmencie.
Jeżeli którykolwiek punkt wypadł twierdząco, warto porozmawiać z osobą obsługującą sieć. Przy okazji sprawdź też pozostałe klasyki — zebraliśmy je w tekście o najczęstszych błędach w hotelowym Wi-Fi.
Kolejność działań
Gdyby ustawić to w plan na najbliższy miesiąc:
- Spisz wszystkie urządzenia podłączone do sieci. Bez tej listy nie da się nic zaplanować.
- Wydziel sieć gościnną z własnym SSID i włącz izolację klientów.
- Wyprowadź monitoring i zamki do osobnego segmentu, ze zmienionymi hasłami domyślnymi.
- Zmień hasło do sieci operacyjnej i ogranicz jego znajomość do personelu, który go faktycznie potrzebuje.
- Ustal, jak goście będą dostawać dostęp do nowej sieci gościnnej — zanim wprowadzisz zmianę, nie po niej.
- Domknij konfigurację punktów dostępowych według listy kontrolnej dla małego hotelu.
Punkt piąty jest tym, który najczęściej się rozjeżdża: nowa sieć powstaje, ale nikt nie pomyślał, jak gość ma do niej trafić, więc recepcja wraca do dyktowania hasła. Warto od razu przewidzieć stały punkt informacyjny — stand z nieścieralnym kodem QR i programowalnym chipem NFC, ustawiony przy recepcji albo w pokoju, utrzymuje nową sieć w użyciu bez obciążania personelu; wykonujemy je na bazie z PETG z wypukłym nadrukiem UV, sprzedaż B2B na fakturę, wycena indywidualna.