A biztonságos vendég-Wi‑Fi külön hálózatot ad a látogatóknak, letiltja a fő otthoni hálózat elérését, és szükség esetén a vendégeszközöket is elkülöníti egymástól. A „Guest” nevű külön SSID önmagában nem elég: a routerben ellenőrizni kell a helyi hálózati hozzáférés és a klienselkülönítés kapcsolóit, majd két eszközzel ki is kell próbálni az eredményt.
Három külön dolgot kell beállítani
| Beállítás | Mit szabályoz? | Ajánlott alapérték |
|---|---|---|
| Vendéghálózat | Külön Wi‑Fi-nevet és jelszót ad a vendégeknek | Bekapcsolva, egyedi erős jelszóval |
| Helyi hálózat elérése | A vendégek elérhetik-e a fő hálózat gépeit, NAS-át vagy más erőforrásait | Kikapcsolva |
| Klienselkülönítés | A vendéghálózat eszközei kommunikálhatnak-e egymással | Bekapcsolva, ha nincs szükség köztük közvetlen kapcsolatra |
A gyártók eltérően nevezik ezeket. TP-Link felületen például az Allow guests to access my local network és az Allow guests to see each other engedélyek jelenhetnek meg; biztonságos alapállapotban egyik sem szükséges. ASUS routeren az Access Intranet kikapcsolása tiltja a belső hálózat elérését. Mindig a saját modell kézikönyvéből indulj ki, mert az elérhető kapcsolók és a menü útvonala eltérhet.
Beállítási sorrend otthoni routeren
- Frissíts és ments. Ellenőrizd a router firmware-ét, majd ha a készülék támogatja, készíts konfigurációs mentést. Így hibás beállítás esetén vissza tudsz térni a kiinduló állapothoz.
- Hozz létre külön hálózatot. A Guest Network, Guest Wi‑Fi vagy Vendéghálózat menüben adj meg a fő hálózattól eltérő, de személyes adatot nem tartalmazó nevet.
- Kapcsold be a titkosítást. Használj WPA3-Personal védelmet, ha minden vendégeszköz támogatja; egyébként a router korszerű WPA2/WPA3 átmeneti módja lehet célszerű. Nyitott, jelszó nélküli vendéghálózatot otthon se használj.
- Adj külön jelszót. Ne azonosítsd a fő Wi‑Fi jelszavával. Így a vendégjelszó később anélkül cserélhető, hogy az összes saját eszközt újra kellene csatlakoztatni. A biztonságos tároláshoz használható az Wi‑Fi-jelszó megkereséséről és cseréjéről szóló útmutató.
- Tiltsd a belső hálózatot. Az Access local network, Access intranet vagy hasonló engedély legyen kikapcsolva. Az USB-meghajtó, hálózati megosztás és routerkezelés elérését se engedélyezd.
- Dönts a vendégek egymás közötti eléréséről. Ismeretlen vagy IoT-eszközöknél kapcsold be a klienselkülönítést. Családi társasjátéknál vagy közvetlen eszközkapcsolatnál ez akadály lehet, ezért csak indokolt időre oldd fel.
- Mentsd a beállítást. Ha a router újraindul vagy a Wi‑Fi rövid időre eltűnik, várd meg a teljes visszatérést, majd csatlakozz a vendéghálózathoz.
Vendégek és IoT-eszközök nem ugyanazt igénylik
Látogatók telefonjának és laptopjának rendszerint csak internetelérés kell. Okosizzó, hangszóró, tévé vagy nyomtató viszont helyi kommunikációt is használhat: a vezérlőtelefon a hálózaton keresi meg, vagy két eszköz közvetlenül beszél egymással. Az Australian Cyber Security Centre külön hálózatot javasol az IoT-eszközöknek, és klienselkülönítést akkor, ha azoknak nem kell egymással kommunikálniuk.
Ha egy okoseszköz a külön hálózaton nem párosítható, ne kapcsold vissza gondolkodás nélkül a teljes belső hozzáférést. Előbb tedd a beállítást végző telefont ideiglenesen ugyanarra az IoT- vagy vendéghálózatra. Ha ez sem elég, nézd meg, kínál-e a router szabályozott kivételt vagy megosztott eszközt. A Google Nest Wifi például lehetővé teszi kijelölt tévé, hangszóró vagy nyomtató megosztását a vendégekkel, így nem szükséges minden belső erőforrást megnyitni.
Így ellenőrizd az elkülönítést
- Csatlakoztass egy telefont a vendég-Wi‑Fihez, kapcsold ki rajta a mobiladatot, és nyiss meg egy weboldalt. Ezzel igazolod, hogy az internetelérés működik.
- Próbáld meg elérni a saját hálózat egy ártalmatlan, ismert erőforrását, például egy helyi nyomtató kezelőoldalát vagy egy tesztmegosztást. Ha nincs kifejezetten engedélyezve, nem szabad elérhetőnek lennie.
- Ellenőrizd, hogy a vendégeszközről nem nyílik meg a router adminisztrációs felülete. A router alkalmazása se adjon adminisztrátori hozzáférést pusztán a vendéghálózati csatlakozás miatt.
- A klienselkülönítés vizsgálatához csatlakoztass két saját teszteszközt a vendéghálózathoz. Ha a funkció aktív, ne lássák egymás megosztásait, és a közvetlen helyi kapcsolat se működjön.
Egy sikertelen elérési próba önmagában nem mindig bizonyít routeres elkülönítést, mert a céleszköz saját tűzfala is blokkolhat. A megbízható eredményhez nézd meg a router klienslistáját és szabályait is. Fordítva viszont egyetlen elérhető, nem engedélyezett belső erőforrás elég jel arra, hogy a konfigurációt újra kell vizsgálni.
Gyakori okok, ha az elkülönítés nem működik
- A router hozzáférési pont módban üzemel. Egyes modellek vendégfunkciói ilyenkor korlátozottak, mert a forgalom szabályozását egy másik router végzi. Az ASUS is külön jelzi, hogy a funkciók modellenként és üzemmódonként eltérhetnek.
- Csak külön SSID készült. Ettől a hálózat még ugyanabba a helyi tartományba kerülhet. Keresd meg a helyi hálózati hozzáférés külön engedélyét.
- Mesh vagy több hozzáférési pont beállítása nem egységes. Ellenőrizd minden csomóponton vagy a központi vezérlőben a vendéghálózat terjesztését és szabályait.
- A sávszélességkorlát túl szigorú. A vendéginternet ilyenkor biztonsági hiba nélkül is használhatatlannak tűnhet. A lassú Wi‑Fi mérésével különítsd el a rádiós problémát a korlátozástól.
A vendéghálózat csökkenti a helyi eszközök kitettségét, de nem teszi automatikusan biztonságossá a vendég böngészését és nem pótolja a frissítéseket. A látogatói oldal kockázatairól a nyilvános Wi‑Fi biztonságos használata ad további gyakorlati támpontot.
Érdemes a vendéghálózat életciklusát is kezelni. Alkalmi használat után kikapcsolhatod, rendszeres használatnál pedig időnként cseréld a jelszót, különösen akkor, ha már nem tudod, kik kapták meg. A sávszélességkorlát kényelmi funkció: megakadályozhatja, hogy egy nagy letöltés lefoglalja a teljes kapcsolatot, de nem helyettesíti az elkülönítést. A hálózatnévbe ne írj lakásszámot, vezetéknevet vagy más személyes adatot. Végül nézd át a csatlakozott eszközök listáját; az ismeretlen kliens nem biztosan támadó, mert a telefonok véletlenszerű hardvercímet használhatnak, ezért előbb azonosítsd saját készülékeidet.
A témához kapcsolódó további gyakorlati útmutatókat az Internet és weboldalak kategóriaoldalon találod.
Felhasznált források
- Internet of Things devices – Australian Cyber Security Centre
- How to Configure Guest Network on xDSL Modem Router – TP-Link Support
- How to configure the guest network to deny access to the internal network – ASUS Support
- Create, edit & share a Guest Wi-Fi network – Google Home and Nest Help
- Recommended settings for Wi-Fi routers and access points – Apple Support