Por que o Wi-Fi de visitantes precisa ficar separado da rede da empresa?
Rede de visitantes não é uma segunda senha no mesmo Wi-Fi: é uma rede isolada, que dá acesso à internet e não enxerga nada da rede interna. Sem esse isolamento, o notebook de um visitante está no mesmo ambiente que o servidor da empresa.
Quase toda empresa que visitamos tem uma senha de Wi-Fi que já foi passada para um número incontável de pessoas: cliente, fornecedor, candidato a vaga, técnico de outra empresa, e a pessoa que veio consertar o ar-condicionado. Separar o Wi-Fi de visitantes da rede da empresa não é desconfiar dessas pessoas — é não colocar o equipamento delas dentro do mesmo ambiente em que estão os seus dados.
O que acontece sem separação
Não é teoria; é o que o equipamento do visitante consegue fazer estando na mesma rede:
- Enxergar pastas compartilhadas e tentar acessá-las.
- Enxergar servidores, impressoras, câmeras, relógio de ponto e o painel do roteador.
- Ser a origem de um problema sem que ninguém saiba: se a máquina dele estiver infectada, a infecção tenta se espalhar pela rede.
- Consumir banda sem limite, atrapalhando a operação.
- Continuar entrando meses depois, porque a senha ficou salva no aparelho dele.
Some a isso o fato de que a senha do Wi-Fi da empresa, uma vez distribuída, nunca mais é recuperável — ela está salva em dezenas de aparelhos.
O que a rede de visitantes precisa ter
Separar de verdade significa cinco coisas:
- Rede isolada da interna. Quem está nela alcança a internet e não alcança nenhum equipamento da empresa.
- Isolamento entre os próprios clientes, para que um aparelho não enxergue outro na mesma rede de visitantes.
- Limite de banda, para que o visitante não consuma a capacidade que a operação precisa.
- Senha própria, trocada periodicamente, ou portal com senha do dia — e nunca a mesma senha da rede interna.
- Registro básico de acesso, na medida do que a empresa decidir, para saber quem esteve conectado se algo acontecer.
O erro mais comum: só criar outra rede
Criar uma segunda rede sem fio com outro nome dá a sensação de separação e não separa nada:
Se as duas redes entregam endereços da mesma faixa e passam pelo mesmo equipamento sem regra de isolamento, o visitante continua enxergando tudo. A separação precisa acontecer na rede, e não apenas no nome da conexão.
A forma correta é ter redes logicamente separadas, com o firewall decidindo o que pode conversar com o quê. Em equipamento doméstico isso costuma não existir de verdade, e é um dos motivos pelos quais empresa com visitantes frequentes precisa de equipamento gerenciável.
Quem mais deveria estar em rede separada
O raciocínio não termina no visitante:
- Câmeras e controle de acesso. Equipamentos que raramente recebem atualização e ficam anos na rede.
- Equipamento de produção e automação, que costuma rodar sistema antigo por exigência do fabricante.
- Celular pessoal da equipe, que na prática é um dispositivo não gerenciado. Muitas empresas o colocam na rede de visitantes.
- Impressoras, dependendo do caso, com acesso liberado apenas a partir da rede interna.
- Terceiros que prestam serviço no local, com acesso temporário e prazo.
Cada separação dessas reduz o alcance de um problema. É o mesmo princípio de ter portas internas num prédio: não impede a entrada, limita o quanto o incêndio se espalha.
Como isso fica no contrato mensal
Segmentação é configuração, e configuração envelhece: equipamento novo entra, regra é afrouxada para resolver um problema pontual e ninguém volta atrás. No contrato mensal, as regras de separação são revisadas, a senha de visitantes é trocada com periodicidade e os equipamentos novos entram na rede certa desde o primeiro dia. Veja Firewall e VPN gerenciados e os planos de suporte mensal.