Gast-, BYOD- und Auftragnehmerzugang ohne Reue

Gast-Wi-Fi ist der Ort, an dem gute Sicherheitsarchitekturen still und leise untergraben werden. Das Muster ist bekannt: Ein isoliertes Gastnetzwerk bekommt eine kleine Ausnahme für einen Drucker, dann ein gemeinsames Laufwerk, dann den Laptop eines Lieferanten, und achtzehn Monate später ist es ein flaches Netzwerk mit einem freundlichen Namen.

Die Nicht-Verhandelbaren

Der Gastverkehr endet in seinem eigenen VLAN und erreicht nur das Internet. Keine Ausnahmen, keine Drucker, kein „nur diese eine Dateifreigabe“.
Layer-2-Client-Isolation aktiviert, damit sich Gäste nicht gegenseitig sehen können.
Ratenbegrenzung pro Client, so bemessen, dass ein Besucher, der eine Fotobibliothek synchronisiert, nicht den ganzen Raum aushungert.
Separater DHCP-Scope mit kurzer Lease-Zeit, und separates DNS.
Keine Multicast- oder Broadcast-Weiterleitung.

Captive Portals, ehrlich betrachtet

Captive Portals tun drei Dinge: Sie zeigen Nutzungsbedingungen an, sie erfassen eine E-Mail-Adresse, und sie nerven Leute. Sicherheit bieten sie im Wesentlichen keine.

Wenn Sie eines aus rechtlichen oder Marketinggründen benötigen, seien Sie sich der Reibungspunkte bewusst:

MAC-Randomisierung bedeutet, dass wiederkehrende Besucher immer wieder als neue Besucher erscheinen.
Moderne Client-Betriebssysteme nutzen Endpunkte zur Captive-Portal-Erkennung, die nicht blockiert werden dürfen, sonst erscheint das Portal nie.
HSTS und Certificate Pinning brechen naive HTTPS-Interception. Leiten Sie nur bei HTTP um.
6 GHz kann überhaupt kein offenes BSS hosten, sodass ein portalbasiertes Gastnetzwerk ein 2,4/5-GHz-Dienst ist, sofern Sie nicht OWE verwenden.

Eine bessere Standardlösung: OWE

Enhanced Open (OWE) bietet unauthentifizierte Verschlüsselung ohne jede Nutzerinteraktion. Gäste verbinden sich genau wie bei einem offenen Netzwerk, aber ihr Verkehr ist über die Luftschnittstelle verschlüsselt. Wo ein Portal rechtlich nicht erforderlich ist, ist das schlicht besser.

Da ältere Clients OWE nicht unterstützen, setzen Sie es im OWE-Übergangsmodus ein, der sowohl ein offenes als auch ein OWE-BSS ankündigt und fähigen Clients erlaubt, automatisch das verschlüsselte zu nutzen.

BYOD

Die Frage, die Ihre Architektur entscheidet: Wollen Sie private Geräte im Unternehmensnetzwerk, oder in einem getrennten Netzwerk mit Zugriff auf bestimmte Dienste?

Getrennt ist fast immer richtig. Geben Sie BYOD-Geräten eine eigene SSID oder ein eigenes VLAN mit Zugriff auf eine definierte Liste von Diensten – E-Mail, Intranet, einen VDI-Broker – und nichts sonst. Verwenden Sie Pro-Gerät-PSK oder einen schlanken Onboarding-Ablauf, der ein Gerätezertifikat ausstellt.

Wenn Sie BYOD auf der Unternehmens-SSID betreiben müssen, verlangen Sie eine Registrierung mit Gerätezertifikat und eine Posture-Prüfung, und akzeptieren Sie den damit verbundenen Supportaufwand.

Auftragnehmer und Langzeitbesucher

Das unbequeme Mittelfeld. Ein Auftragnehmer für sechs Monate ist kein Gast und kein Mitarbeiter. Gehen Sie damit so um:

Ein Sponsored-Access-Workflow, bei dem ein namentlich benannter Mitarbeiter das Konto genehmigt und verantwortet, mit einem verpflichtenden Ablaufdatum.
Pro-Gerät-PSK oder ein kurzlebiges Zertifikat statt eines gemeinsamen Schlüssels.
Dieselbe Segmentierung wie bei BYOD, plus expliziten Zugriff auf die spezifischen Systeme, die sie benötigen.
Ein automatisches Ablaufdatum, das auch tatsächlich greift. Der häufigste Fehler hier ist ein Konto, das für zwei Wochen gedacht war und drei Jahre später immer noch aktiv ist.

Veranstaltungen und Konferenzräume

Wenn Sie Veranstaltungen ausrichten, dimensionieren Sie bewusst dafür. Eine Betriebsversammlung mit 300 Personen in einem für 40 ausgelegten Raum braucht einen anderen Kanalplan, nicht mehr Leistung. Praktische Maßnahmen:

Vor der Veranstaltung: Kanalbreiten im Raum reduzieren, alle verfügbaren Kanäle aktivieren, DHCP-Pool-Größe prüfen.
Während: Kanalauslastung und Client-Anzahl pro Funkmodul in Echtzeit überwachen.
Erwägen Sie eine temporäre SSID mit aggressiven Ratenbegrenzungen für die Veranstaltung, um die Kapazität der Unternehmens-SSID für die Belegschaft zu erhalten.
Testen Sie den AV- und Streaming-Pfad im selben Netzwerk, zur selben Zeit, vor dem großen Tag.