WiFi guest aziendale: come separare la rete ospiti

Offrire WiFi gratuito ai visitatori è ormai uno standard in qualsiasi azienda, ma esporre la rete aziendale a ospiti, clienti, fornitori e candidati senza una corretta segmentazione è un rischio enorme. Vediamo come configurare una rete guest sicura, conforme al GDPR e gestibile senza diventare un'onere amministrativo.

Perché serve una rete guest dedicata

Una rete guest separata serve a impedire l'accesso ai server e PC interni, contenere malware portati dai dispositivi degli ospiti, evitare che il traffico guest saturi la banda dei dipendenti, rispettare il GDPR (gli ospiti non sono autenticati come dipendenti) e tracciare l'uso (Decreto Pisanu non più in vigore ma alcune regioni richiedono ancora policy specifiche).

Le tre architetture tipiche

Le opzioni più diffuse sono: SSID separato + VLAN dedicata con regole firewall che bloccano l'accesso alle subnet interne; WiFi guest con captive portal per richiedere accettazione termini, eventuale registrazione e visualizzare il logo aziendale; WiFi guest tunnel, dove il traffico viene incapsulato direttamente verso l'uscita internet senza nemmeno attraversare la LAN.

Procedura passo-passo

1. Crea una VLAN dedicata, ad esempio VLAN 99 con subnet 10.99.0.0/24.
2. Configura DHCP scope per la VLAN guest con lease corto (2-4 ore).
3. Sui firewall blocca tutto il traffico dalla VLAN guest verso le altre VLAN interne (deny by default).
4. Permetti solo HTTP/HTTPS/DNS verso internet, blocca il resto.
5. Abilita client isolation sull'AP per impedire la comunicazione tra device guest.
6. Limita la banda per utente (es. 5 Mbps) per evitare saturazione.
7. Imposta un captive portal con termini di uso e accettazione GDPR.
8. Cambia la password del SSID guest mensilmente o usa OWE (rete aperta cifrata).

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• Stessa subnet della LAN: il guest vede stampanti e server. Sempre VLAN separata.
• Client isolation disabilitato: due ospiti possono attaccarsi a vicenda. Sempre abilitato.
• Logging eccessivo dei dati personali: tracciare nome, cognome ed email può violare il GDPR se non c'è una base legale. Meglio limitarsi al MAC address con retention breve.
• Password guest scritta sulla bacheca: dopo poche settimane gira tra ex collaboratori. Cambio periodico obbligatorio o codice QR a tempo.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con WiFi guest aziendale, alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per WiFi guest aziendale questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: Devo identificare gli ospiti per legge?
R: In Italia il decreto Pisanu è stato abrogato nel 2013, ma alcune regioni e settori (sanità) richiedono comunque identificazione.

D: Posso usare lo stesso SSID con due password?
R: Tecnicamente no, ma con SSID nascosto+visibile o con un solo SSID e captive portal si ottiene lo stesso risultato.

D: Quanto traffico devo riservare al guest?
R: 20-30% della banda totale è un buon punto di partenza.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.