Wi-Fi para visitantes sem expor a rede da empresa

Recepção de clínica, sala de espera de hospital, salão de eventos, loja, escritório que recebe clientes: em todos esses lugares alguém vai pedir a senha do Wi-Fi. O jeito mais rápido de atender é passar a mesma senha que os funcionários usam. É também o mais arriscado.

O que acontece quando o visitante entra na rede da empresa

Quem está no mesmo Wi-Fi dos funcionários está, na prática, dentro da rede da empresa. Ali estão:

• os computadores, com pastas compartilhadas que muitas vezes ninguém lembra que estão abertas;
• impressoras, câmeras e gravadores de vídeo, quase sempre com a senha de fábrica;
• o servidor de arquivos e o sistema da empresa;
• a tela de configuração do próprio roteador.

Não é preciso alguém mal-intencionado. Basta o celular ou o notebook de um visitante estar infectado para o vírus tentar se espalhar pela rede. E a senha, depois de passada, circula: ex-funcionários, fornecedores, o vizinho.

Há também o problema de capacidade. Visitantes assistindo vídeo e baixando atualizações disputam o mesmo link com o sistema da empresa e as chamadas do atendimento.

A regra principal: redes separadas

A solução é ter duas redes que compartilham a mesma internet, mas não se enxergam:

Na prática, isso se faz com uma rede Wi-Fi própria para visitantes, ligada a uma rede lógica separada (uma VLAN) e com regras no firewall que liberam só a internet. A rede de visitantes não consegue chegar a nenhum endereço da rede interna.

As cinco camadas de proteção

1. Separação de redes

A rede de visitantes vai para uma VLAN própria, e o firewall bloqueia o acesso dela aos endereços internos da empresa. É a camada mais importante. Sem ela, as outras ajudam pouco.

2. Isolamento entre visitantes

Mesmo dentro da rede de visitantes, um aparelho não deve enxergar o outro. Os access points têm uma opção para isso, chamada isolamento de clientes. Assim, o celular infectado de um visitante não alcança o notebook do visitante ao lado.

3. Limites de uso

Defina uma velocidade máxima por usuário e um teto para a rede de visitantes inteira. Quando possível, dê prioridade ao tráfego da empresa. Limite também o tempo de cada sessão, por exemplo 2 horas numa sala de espera ou o dia inteiro num evento.

4. Filtro de conteúdo

Bloqueie conteúdo adulto, sites com vírus e o que não combina com o ambiente. Isso protege os visitantes e a imagem da empresa: a conexão sai com o endereço de internet dela.

5. Login identificado

Em vez de uma senha que todo mundo conhece, o visitante passa por uma página de entrada, o chamado portal cativo. Os jeitos mais comuns são:

• Cadastro: nome e e-mail ou telefone, preenchidos na hora.
• Rede social: a pessoa entra com uma conta que já tem.
• Voucher: um código entregue na recepção, que vale por um tempo definido. Muito usado em eventos e em hotéis.

Com o login, cada conexão fica associada a uma pessoa e a um horário. Se acontecer algo errado usando a sua internet, você sabe de onde partiu.

E a lei? Registros e LGPD

Dois pontos merecem atenção de quem oferece Wi-Fi ao público:

• Registros de conexão. O Marco Civil da Internet obriga os provedores de conexão a guardar os registros de conexão por 1 ano. Há discussão sobre se uma empresa que oferece Wi-Fi a visitantes se enquadra nessa regra. Muitas guardam os registros por precaução, porque eles também ajudam se a conexão for usada para algo ilegal. Confirme com o seu jurídico.
• Dados pessoais. O cadastro do portal coleta dados pessoais, e a LGPD vale. Mostre um aviso de privacidade na página de entrada, colete só o necessário e defina por quanto tempo guarda. Para usar os contatos em campanhas de marketing, peça o consentimento numa caixa separada, sem marcação automática.

A "rede de convidados" do roteador resolve?

Muitos roteadores têm uma opção de rede de convidados. Para uma sala com poucas visitas, ela já é muito melhor que passar a senha da empresa: costuma separar as redes e isolar os aparelhos.

Para quem recebe muita gente, ela fica curta. Normalmente não tem login identificado, não guarda registros, não tem relatórios e não controla bem o uso por pessoa. Aí entra um hotspot gerenciado.

Lista rápida

1. Wi-Fi de visitantes separado do Wi-Fi da empresa, em outra VLAN.
2. Firewall bloqueando o acesso dos visitantes à rede interna.
3. Isolamento de clientes ligado nos access points.
4. Limite de velocidade por usuário e teto para a rede de visitantes.
5. Filtro de conteúdo.
6. Login por cadastro, rede social ou voucher, com tempo de sessão.
7. Aviso de privacidade na página de entrada e regra de guarda dos dados.
8. Senha do Wi-Fi da empresa trocada e fora da recepção.