Khách hàng, đối tác và nhân viên thường cùng cần truy cập Internet khi có mặt tại văn phòng. Nếu tất cả thiết bị kết nối vào một mạng duy nhất, thiết bị cá nhân có thể nhìn thấy máy in, NAS, camera hoặc tài nguyên nội bộ. Vì vậy, tách Wi-Fi khách và Wi-Fi nội bộ là một nguyên tắc cơ bản giúp doanh nghiệp kiểm soát truy cập và giảm phạm vi ảnh hưởng khi có thiết bị không an toàn.
Wi-Fi khách và Wi-Fi nội bộ khác nhau thế nào?
Wi-Fi nội bộ
Dành cho thiết bị do doanh nghiệp quản lý và người dùng đã được cấp quyền. Mạng này có thể truy cập máy in, máy chủ, thư mục dùng chung hoặc ứng dụng nội bộ theo chính sách.
Wi-Fi khách
Dành cho điện thoại, máy tính cá nhân của khách và các thiết bị không thuộc quyền quản lý của doanh nghiệp. Mạng khách chỉ nên truy cập Internet và không được kết nối trực tiếp đến tài nguyên nội bộ.
Rủi ro khi sử dụng chung một mạng
- Thiết bị của khách có thể dò tìm máy in, NAS hoặc dịch vụ nội bộ.
- Mã độc trên thiết bị cá nhân có cơ hội tiếp cận các máy khác trong cùng mạng.
- Khó xác định thiết bị nào thuộc doanh nghiệp và thiết bị nào của khách.
- Người dùng khách có thể chiếm nhiều băng thông, ảnh hưởng họp trực tuyến và phần mềm đám mây.
- Mật khẩu Wi-Fi nội bộ bị chia sẻ rộng và khó kiểm soát khi có nhân sự thay đổi.
Lợi ích khi tách mạng
- Giới hạn khách chỉ được truy cập Internet.
- Bảo vệ tài nguyên nội bộ bằng firewall và chính sách truy cập.
- Áp dụng băng thông, thời gian sử dụng và cổng đăng nhập riêng.
- Theo dõi và xử lý sự cố dễ hơn.
- Có thể thay mật khẩu hoặc chính sách mạng khách mà không ảnh hưởng nhân viên.
Cách triển khai đúng
Việc tạo hai tên Wi-Fi chỉ có ý nghĩa khi lưu lượng phía sau thực sự được phân tách. Doanh nghiệp thường sử dụng VLAN kết hợp switch, Access Point và firewall hoặc router có khả năng quản lý nhiều mạng.
- Tạo SSID riêng cho nhân viên và khách.
- Gán từng SSID vào VLAN phù hợp.
- Chặn mạng khách truy cập các dải IP nội bộ.
- Bật client isolation khi phù hợp.
- Giới hạn băng thông và thời gian truy cập.
- Sử dụng phương thức xác thực mạnh cho mạng nội bộ.
- Định kỳ rà soát tài khoản và mật khẩu.
Không nên quên thiết bị IoT
Camera, máy chấm công, TV, thiết bị trình chiếu và các thiết bị IoT cũng nên được phân loại. Các thiết bị này thường không cần truy cập toàn bộ mạng người dùng và có thể được đặt trong VLAN riêng.
CISA mô tả phân đoạn mạng là cách chia mạng vật lý hoặc ảo thành nhiều phân đoạn hoạt động như các mạng con riêng. Xem hướng dẫn phân đoạn mạng của CISA.
Khi nào cần khảo sát lại hệ thống Wi-Fi?
- Văn phòng có thêm nhiều người dùng hoặc thiết bị.
- Wi-Fi khách thường xuyên làm chậm mạng nội bộ.
- Access Point không hỗ trợ nhiều SSID hoặc VLAN.
- Mật khẩu được dùng chung trong thời gian dài.
- Doanh nghiệp có camera, NAS hoặc máy chủ trong cùng mạng.
- Không có sơ đồ và tài liệu cấu hình.
Câu hỏi thường gặp
Chỉ tạo hai tên Wi-Fi có đủ an toàn không?
Không. Hai SSID cần được gán vào các VLAN hoặc vùng mạng khác nhau và có chính sách firewall chặn truy cập không cần thiết.
Mạng khách có nên đặt mật khẩu không?
Nên có cơ chế kiểm soát phù hợp như mật khẩu thay đổi định kỳ, voucher hoặc cổng đăng nhập. Không nên để mạng hoàn toàn mở nếu không có biện pháp bảo vệ khác.
Có thể dùng chung đường truyền Internet không?
Có. Hai mạng có thể dùng chung đường truyền nhưng phải tách logic và áp dụng giới hạn băng thông để bảo đảm hoạt động của doanh nghiệp.
Liên hệ SMNET
SMNET khảo sát và triển khai hệ thống Wi-Fi doanh nghiệp, VLAN, firewall và mạng khách tách biệt theo mặt bằng và nhu cầu sử dụng thực tế.
Công ty TNHH SMNET
Địa chỉ: Phòng G.01, Tòa nhà The Vital Building, 16 Đặng Tất, Phường Tân Định, TP.HCM
Điện thoại: 028 7301 6068
Email: hello@smnet.vn
Website: https://smnet.vn
