El WiFi de los clientes no debería ser el mismo que el de la empresa

En muchos negocios la escena es siempre la misma: entra un cliente, un comercial o el técnico de otra empresa, pide el WiFi y alguien le canta la contraseña de memoria. Es rápido y queda bien. El problema es que esa contraseña suele ser la misma que usan los ordenadores de la empresa, y eso significa que ese móvil desconocido acaba de entrar en la misma red donde están tus archivos compartidos, la impresora, el TPV y, muchas veces, las cámaras.

No hace falta imaginar a un hacker con capucha. Basta con un móvil con malware, un portátil que trae una infección de otro sitio o alguien curioso que abre el navegador y se encuentra el panel del router con la contraseña de fábrica.

Qué significa «separar» redes

Separar no es poner dos routers. Casi cualquier router moderno (y desde luego cualquier equipo profesional) permite crear una red de invitados: un nombre de WiFi distinto, con su propia contraseña, que da acceso a Internet pero no deja ver el resto de dispositivos de la oficina.

La idea es sencilla: quien viene de fuera navega, y poco más. No ve carpetas compartidas, no entra en la impresora, no llega al grabador de las cámaras ni al panel de administración del router.

Cómo montarlo bien

• Red de invitados activada y con aislamiento de clientes. Esa opción (a veces llamada client isolation o AP isolation) impide además que los dispositivos conectados a la red de invitados se vean entre sí. Importante si tienes sala de espera o coworking.
• Contraseña distinta y que puedas cambiar sin dolor. Si la de invitados la conoce medio barrio, la cambias y no pasa nada: nadie de la empresa se queda sin trabajar. Esa es justo la ventaja.
• Nombre de red claro. «NEGOCIO-Invitados» evita que tu gente se conecte por error a la red lenta y limitada.
• Limita la velocidad si puedes. No por tacañería, sino para que una descarga enorme de un visitante no deje la oficina sin ancho de banda.
• Bloquea el acceso al router desde la red de invitados. Es una casilla, y evita el escenario más tonto de todos.
• Sin acceso a impresoras ni a dispositivos internos. Si alguien de fuera necesita imprimir, mejor por correo o con un USB controlado que abriendo un agujero permanente.

Lo que casi nadie separa y debería

Más allá de los invitados, hay un segundo grupo que conviene aislar: los dispositivos «raros». Cámaras, grabadores, televisores de sala, altavoces, básculas, máquinas de vending conectadas... Son aparatos que rara vez se actualizan y que, si alguien los compromete, dan un pie dentro de la red. Tenerlos en su propio segmento, con acceso sólo a lo que necesitan, es una de las medidas que mejor relación esfuerzo/beneficio tiene en una pyme. Lo hacemos de forma habitual cuando montamos o revisamos una instalación dentro de nuestro servicio de gestión de redes, y es especialmente recomendable cuando hay videovigilancia conectada.

Si tienes local de cara al público

Dos apuntes prácticos. Primero: si ofreces WiFi a clientes, deja la red de invitados realmente separada y con una contraseña visible en el local; es más ordenado que ir diciéndola una por una. Segundo: evita dejarla abierta sin contraseña, porque todo lo que haga un usuario sale con tu conexión y con tu IP.

Revisar esto no lleva una mañana entera. En la mayoría de oficinas es cuestión de entrar en el router o en el controlador WiFi, crear la red de invitados, marcar tres casillas y cambiar la contraseña principal por una que no haya oído todo el mundo. Lo complicado es acordarse de hacerlo antes de que haya un susto.

Si quieres que echemos un vistazo a cómo está montada tu red y te digamos qué conviene separar, hablamos.