Een gast die via uw wifi een presentatie opent, een patiënt die wacht op zijn afspraak of een leverancier die tijdelijk internet nodig heeft: gastwifi is een normale service. Maar zonder goede scheiding kan een gastapparaat onbedoeld op hetzelfde netwerk terechtkomen als werkplekken, printers, telefonie of praktijksoftware. Netwerksegmentatie voor gastwifi instellen voorkomt dat risico zonder dat het gebruik voor bezoekers ingewikkeld wordt.
Voor organisaties en mondzorgpraktijken is dit geen detail in de netwerkconfiguratie. Het is een praktische beveiligingsmaatregel die bijdraagt aan continuïteit, privacy en controle over uw ICT-omgeving.
Waarom gastwifi gescheiden moet zijn van uw bedrijfsnetwerk
Een wifi-wachtwoord is niet hetzelfde als netwerkbeveiliging. Wanneer medewerkers, gasten en apparaten op hetzelfde netwerk werken, kunnen zij elkaar in principe zien. Dat is onwenselijk als iemand met een niet-beheerde laptop, telefoon of tablet verbinding maakt. U weet immers niet of dat apparaat goed is bijgewerkt, beveiligd is of mogelijk al besmet is met schadelijke software.
De gevolgen zijn niet altijd direct zichtbaar. Een onveilig apparaat kan netwerkverkeer verstoren, proberen andere apparaten te vinden of toegang krijgen tot gedeelde voorzieningen. Denk aan een printer, een vergaderscherm, een NAS of een systeem waarop bedrijfsdocumenten staan. In een mondzorgpraktijk kan het zelfs raken aan systemen die nodig zijn voor planning, beeldvorming of patiëntadministratie.
Door gastwifi apart in te richten, krijgen bezoekers wel internet, maar geen route naar uw interne systemen. Dat is precies de bedoeling: gastvrij voor bezoekers, afgeschermd voor uw organisatie.
Wat netwerksegmentatie in de praktijk betekent
Netwerksegmentatie deelt één fysieke netwerkomgeving op in afzonderlijke, digitale delen. Vaak gebeurt dat met VLANs. Een VLAN is een logisch, afgescheiden netwerk binnen dezelfde bekabeling, switches en wifi-apparatuur. Apparaten in het gastnetwerk kunnen daardoor niet zomaar communiceren met apparaten op het bedrijfsnetwerk.
Een veilige inrichting bestaat uit meer dan een aparte netwerknaam. De gastwifi krijgt een eigen VLAN, eigen IP-adresreeks en eigen regels in de firewall. De firewall bepaalt vervolgens dat gasten alleen naar internet mogen. Verkeer naar interne apparaten, gedeelde mappen, beheersoftware en andere bedrijfsnetwerken wordt geblokkeerd.
Dat klinkt technisch, maar het uitgangspunt is eenvoudig: geef een netwerk alleen toegang tot wat daadwerkelijk nodig is. Een gast hoeft niet bij een printer of patiëntdossier te kunnen. Een printer hoeft niet op dezelfde plek te staan als een werkplek. En apparatuur die een specifieke taak uitvoert, hoeft niet vrij met alle andere apparaten te communiceren.
Netwerksegmentatie voor gastwifi instellen: eerst het ontwerp
Een goede configuratie begint met overzicht. Maak daarom eerst duidelijk welke apparaten en diensten nu op uw netwerk aanwezig zijn. In een kantooromgeving gaat het bijvoorbeeld om werkplekken, telefoons, printers, vergaderruimteapparatuur, servers en wifi-punten. In een praktijk komen daar vaak medische apparatuur, röntgensystemen, praktijksoftware en leveranciersverbindingen bij.
Bepaal vervolgens welke groepen daadwerkelijk met elkaar moeten kunnen communiceren. Medewerkers moeten meestal bij bedrijfsapplicaties en printers kunnen. Gasten hebben alleen internet nodig. Apparaten voor beheer kunnen juist een apart beheernetwerk verdienen, zodat netwerkbeheer niet vanaf iedere werkplek mogelijk is.
Leg deze keuzes vooraf vast. Dat voorkomt een veelvoorkomend probleem: een netwerk dat technisch gescheiden is, maar waarin later toch uitzonderingen worden toegevoegd omdat een apparaat niet meer werkt. Soms is zo'n uitzondering nodig, bijvoorbeeld wanneer een specifiek apparaat gegevens naar een werkstation moet sturen. Dan richt u die toegang gericht in, in plaats van een volledig netwerk weer open te zetten.
Kies een duidelijke indeling
Voor veel mkb-organisaties is een verdeling in minimaal drie netwerken logisch: een bedrijfsnetwerk voor medewerkers en systemen, een gastnetwerk voor bezoekers en een beheernetwerk voor netwerkapparatuur. Afhankelijk van uw situatie kan een extra segment voor telefonie, camera's, IoT-apparatuur of medische apparatuur verstandig zijn.
Meer segmenten geven meer controle, maar brengen ook beheer met zich mee. Een kleine organisatie heeft niet altijd baat bij een zeer fijnmazige indeling met tien afzonderlijke netwerken. De juiste keuze hangt af van het aantal apparaten, de gevoeligheid van gegevens, gebruikte toepassingen en de mate waarin het netwerk centraal wordt beheerd.
Zo richt u gastwifi veilig in
Maak een aparte wifi-naam voor gasten, bijvoorbeeld Bedrijfsnaam-Gast. Koppel deze naam niet aan hetzelfde netwerk als de interne wifi, maar aan het gast-VLAN. Geef het gastnetwerk een eigen adresbereik, zodat apparaten van bezoekers geen intern adres krijgen.
Daarna stelt u firewallregels in. De belangrijkste regel is dat verkeer vanaf het gastnetwerk naar interne netwerken wordt geweigerd. Alleen toegang tot internet is toegestaan. Blokkeer ook toegang tussen gastapparaten onderling wanneer uw wifi-apparatuur dat ondersteunt. Dit heet client isolation. Het verkleint de kans dat bezoekers elkaars apparaten kunnen benaderen.
Gebruik daarnaast een apart en voldoende sterk wachtwoord. Een welkomstportaal kan prettig zijn voor locaties met veel wisselende bezoekers, maar is niet automatisch veiliger dan een goed beveiligde wifi-verbinding. De beveiligingswinst zit vooral in de scheiding en de firewallregels. Voor zakelijke wifi is moderne versleuteling, zoals WPA2 of WPA3, de aangewezen basis.
Beperk ook het beschikbare verkeer als dat nodig is. Gastwifi mag de bedrijfsvoering niet hinderen doordat iemand grote bestanden downloadt of langdurig video streamt. Met bandbreedtebeperking geeft u gasten een bruikbare verbinding, terwijl telefonie, cloudapplicaties en werkplekken voorrang houden.
Vergeet de bekabelde aansluitingen niet
Gasttoegang loopt niet alleen via wifi. In vergaderruimtes, wachtruimtes of flexplekken zijn soms netwerkaansluitingen beschikbaar. Als zo'n poort direct op het bedrijfsnetwerk uitkomt, omzeilt u de beveiliging van uw gastwifi volledig.
Controleer daarom op welk VLAN iedere switchpoort staat ingesteld. Ongebruikte poorten kunt u uitschakelen. Poorten voor bezoekers of externe partijen wijst u toe aan het gastnetwerk of activeert u alleen wanneer dat nodig is. Dit is vooral relevant in praktijken en kantoren waar ruimtes geregeld anders worden gebruikt.
Test niet alleen of internet werkt
Na de inrichting is een korte test noodzakelijk. Verbind met een telefoon of laptop met het gastnetwerk en controleer of internet beschikbaar is. Probeer daarna bewust een interne printer, een gedeelde map, een lokaal apparaat of een beheerpagina te bereiken. Dat moet niet lukken.
Test ook wat er gebeurt bij veranderingen. Een nieuwe printer, extra wifi-punt of vervanging van een firewall kan bestaande segmentatie beïnvloeden. Zeker wanneer meerdere partijen aan een netwerk werken, kan een ogenschijnlijk kleine wijziging regels overschrijven of een apparaat in het verkeerde netwerk plaatsen.
Documentatie helpt hierbij. Noteer welke VLANs bestaan, waarvoor ze dienen, welke wifi-namen eraan gekoppeld zijn en welke firewallregels gelden. Zo hoeft u bij een storing niet te gokken en kan een beheerder snel beoordelen waar een afwijking zit.
Veelgemaakte fouten bij gastwifi
De meest voorkomende fout is een gastnetwerk dat alleen een andere naam heeft, maar technisch nog steeds in hetzelfde netwerk staat als de werkplekken. Bezoekers zien dan mogelijk interne apparaten, ook al gebruiken zij een apart wachtwoord.
Een tweede fout is een te brede uitzonderingsregel in de firewall. Bijvoorbeeld: gastverkeer wordt geblokkeerd, behalve naar het volledige interne netwerk. Daarmee is de scheiding in feite verdwenen. Sta alleen een specifiek apparaat of een noodzakelijke dienst toe als daar een duidelijke reden voor is.
Ook verouderde apparatuur verdient aandacht. Niet iedere router, switch of access point ondersteunt VLANs, meerdere SSIDs of goede firewallregels. Soms is vervanging de verstandigste keuze. Dat is geen doel op zich, maar wel nodig wanneer huidige apparatuur de gewenste beveiliging niet betrouwbaar kan uitvoeren.
Beheer houdt de scheiding betrouwbaar
Eenmalig instellen is niet genoeg. Wifi-apparatuur en firewalls ontvangen updates, wachtwoorden worden gedeeld en uw organisatie verandert. Regelmatige controle houdt gastwifi afgescheiden wanneer medewerkers wisselen, apparaten worden toegevoegd of de inrichting van uw locatie wijzigt.
Voor mondzorgpraktijken geldt dat extra sterk. De beschikbaarheid van praktijksoftware en apparatuur is direct verbonden met de dagelijkse zorgverlening. Een netwerkstoring of onbevoegde toegang komt dan niet alleen ongelegen, maar kan afspraken en processen verstoren. Professioneel beheer combineert daarom beveiliging met het bewaken van prestaties, updates en herstelmogelijkheden.
TéGéTèl helpt organisaties in de regio met een netwerkontwerp dat past bij de dagelijkse praktijk, inclusief inrichting, beheer en controle. Het doel is niet een ingewikkeld netwerk om het netwerk, maar een omgeving waarin medewerkers veilig kunnen werken en gasten gewoon online kunnen.
Een goed gastnetwerk merkt u meestal niet op. Bezoekers krijgen snel internet, uw medewerkers kunnen ongestoord doorwerken en uw interne systemen blijven buiten bereik. Juist die rust is het resultaat van een netwerk dat vooraf zorgvuldig is ingericht.