Wi‑Fi للضيوف: كيف تحميه

تمت ترجمة هذا المقال آليًا من الفرنسية وهو قيد المراجعة. الأسعار بالدينار الجزائري دون ضريبة.

يتيح Wi‑Fi الضيف لزوارك (عملاء، مقدمو خدمات) الوصول إلى الإنترنت دون الدخول على شبكتك الداخلية. لكي يكون ذلك صحيحًا، يجب فصل حقيقي: اسم شبكة Wi‑Fi (SSID) منفصل مرتبط بـ VLAN وشبكة فرعية مخصصة، وقواعد جدار الحماية تمنع أي وصول إلى الشبكة الداخلية. بدون ذلك، فإن «شبكة الضيف» هي مجرد اسم Wi‑Fi ثانٍ على نفس الشبكة. إليك كيفية تنفيذ ذلك.

لماذا عزل Wi‑Fi للضيوف؟

بدون عزل، تكون أجهزة الضيوف على نفس شبكة ما لديك. يمكن للضيف أن:

• يرى الطابعات، الخوادم والسجّالين في شبكتك.
• يحاول الاتصال بها, ما ينجح إذا كانت كلمة المرور ضعيفة أو خدمة غير محدثة.
• يُدخل جهازًا مصابًا بجوار محطاتك.
• يستهلك كل عرض النطاق الترددي في التنزيل أو البث.

مع SSID و VLAN منفصلين والقواعد الصحيحة، لا يصل الضيف إلا إلى الإنترنت. هذا لا يحمي جهاز الضيف نفسه، لكنه يمنع وصوله إلى مواردك.

بنية شبكة Wi‑Fi للضيوف الآمنة

`` الإنترنت | جدار الحماية: عنوان بوابة لكل VLAN | trunk 802.1Q (VLAN 10, 20, 30, 40) Switch قابل للإدارة |-- منافذ وصول: محطات (VLAN 10), خادم (VLAN 20), كاميرات (VLAN 30) '-- trunk: نقطة وصول Wi‑Fi SSID « MaSociete » -> VLAN 10 (الشبكة الداخلية) SSID « MaSociete-Invites » -> VLAN 40 (الضيوف) ``

يُصدر نقطة الوصول SSIDين، كل منهما مرتبط بـ VLAN. لكل SSID كلمة مرور خاصة به وشبكة فرعية خاصة. يُفصل مخطط العنوان الكامل في VLAN: تقسيم شبكتك.

الإعداد خطوة بخطوة

الخطوة 1 : التحقق من المعدات

• المنفذ يجب أن يدير عدة SSID ويربط كل منها بـ VLAN. كثير من أجهزة التوجيه Wi‑Fi للمستهلك لا توفر سوى خيار «شبكة الضيوف» معزولة عن الشبكة الرئيسية، دون VLAN أو إعدادات دقيقة. قد يكفي ذلك لمكان صغير جدًا، لكنه غير كافٍ لشركة صغيرة ومتوسطة لديها خادم أو كاميرات.
• المفتاح يجب أن يكون قابلًا للإدارة ويقدم منفذ trunk إلى الجهاز. جدار الحماية يجب أن يدير VLAN ويحدد قواعد لكل VLAN.
• إذا كان الجهاز يدعم SSID واحد فقط، أضف جهازًا ثانيًا مخصصًا للضيوف، موصولًا بمنفذ وصول في VLAN 40.
• لعدد نقاط الوصول، راجع كم عدد نقاط Wi‑Fi التي يجب توفيرها. يتم توصيل كل نقطة عبر الشبكة وتغذيتها غالباً عبر PoE: راجع Cat6 أو Cat6A وسعر نقطة RJ45 واحدة.

الخطوة 2 : إنشاء VLAN الضيوف

1. أنشئ VLAN 40.
2. عيّنه بشبكة فرعية، على سبيل المثال 192.168.40.0/24، مع البوابة 192.168.40.1 التي يديرها جدار الحماية.
3. فعِّل خادم DHCP على جدار الحماية لهذا VLAN. يوزع العنوان، البوابة وDNS: DNS لجدار الحماية أو محلل عام، لا خادم DNS داخلي.
4. اضبط منفذ المنقطة على trunk، مع وضع علامة VLAN 40.

الخطوة 3 : تكوين SSID الضيوف

على المنقطة، أنشئ SSID:

• الاسم : مميز ومحدد، على سبيل المثال « MaSociete-Invites ».
• أمان : WPA3-Personal (SAE) إذا كانت أجهزة الضيوف تدعمها، وإلا استخدم الوضع المختلط WPA2/WPA3 أو WPA2-Personal مع تشفير AES. لا تستخدم WEP ولا WPA مع TKIP. يُعد WPA3 إلزاميًا للأجهزة المعتمدة من Wi‑Fi منذ يوليو 2020؛ العديد من الأجهزة الأقدم تدعم فقط WPA2.
• بدون كلمة مرور : وضع Enhanced Open (OWE) يُشفّر كل عميل بشكل منفصل دون كلمة مرور، إذا كانت البوابة والأجهزة تدعم ذلك. SSID مفتوح بدون OWE غير مشفّر: يُفضَّل تجنبه.
• كلمة المرور : على الأقل 12 حرفًا (يقبل WPA2 وWPA3 من 8 إلى 63 حرفًا). غيّرها عندما تنقلب خارج الدائرة المطلوبة.
• عزل العملاء (client isolation) : مفعّل. لا يرى الضيفان بعضهما البعض بعد الآن.
• Bandes : 2,4 GHz و5 GHz، حسب الأجهزة التي ستخدمها.

الخطوة 4 : كتابة قواعد جدار الحماية

هناك نوعان من الحركة المرورية يجب التحكم فيهما: تلك التي تعبر جدار الحماية (من VLAN 40 إلى الشبكات الأخرى) وتلك الموجهة إليه (الإدارة، DNS، DHCP). تُقرأ القواعد بالترتيب.

تُطبق هذه القواعد على جدار الحماية، مثلاً MikroTik أو Fortinet FortiGate، العلامتين اللتان نوفرهما ونركّبانها. تُرجع الردود على الاتصالات المصرح بها من نفسها (جدار حماية ذو حالة). لا تُسمح فقط بالمنافذ 80 و443: بدون DNS لا يعمل أي شيء، وكثير من التطبيقات (الرسائل الفورية، مؤتمرات الفيديو) تستخدم منافذ أخرى. القاعدة 2 غالباً ما تُنسى: حظر الحركة إلى VLANs الأخرى لا يحمي واجهة إدارة جدار الحماية نفسه. القاعدة 4 تمنع جهازًا مصاباً من أن يكون وسيطًا للبريد غير المرغوب فيه.

الخطوة 5: تحديد السرعة

حدّ سرعة VLAN الضيف بحد أقصى إجمالي، وإذا سمح الجهاز، حد لكل عميل. الحد الإجمالي يُحسب كأعلى قيمة: يضمن جزءاً من الخط لفرقكم. مثال، على خط 20 ميغابت/ثانية، حد إجمالي 5 ميغابت للضيوف يترك 20−5=15 ميغابت للشبكات الأخرى، حتى لو كان عدة ضيوف يحملون في نفس الوقت. يوزّع الحد لكل عميل هذه الـ5 ميغابت بينه. قيّم أولاً السرعة الفعلية لخطك: هو الذي يحدد القيم.

الخطوة 6: بوابة احتجاز (اختياري)

بوابة احتجاز هي صفحة ويب تُعرض عند أول اتصال. يوافق الضيف على شروط الاستخدام أو يُدخل رمزاً أو تذكرة. قبل التحقق، يُسمح فقط بالحركة الضرورية للبوابة (DHCP، DNS، صفحة البوابة).

المزايا

• يمكن أن يكون للرمز أو التذكرة مدة محدودة، دون تغيير عبارة المرور لـ Wi‑Fi.
• تُعرض شروط الاستخدام.
• لديك سجل للاتصالات.

الحدود

• بوابة الاحتجاز لا تشفر Wi‑Fi: ربطها بعبارة مرور WPA2/WPA3 أو OWE، واختبر هذا التكوين على أجهزتك.
• يجب أن يكون هناك جهاز يقدمه: على سبيل المثال، Hotspot من RouterOS (MikroTik)، بوابة احتجاز pfSense أو OPNsense، أو نقطة وصول مع بوابة مدمجة. لا يُستَخدَم خادم RADIUS إلا لإدارة حسابات محددة في دليل خارجي.
• إذا كان البوابة تجمع رسائل بريد إلكتروني أو أرقام هواتف، أو إذا احتفظت بسجلات الدخول، فهذه بيانات شخصية، مغطاة بالقانون رقم 18-07: اجمع الحد الأدنى وحمِها. يمكن لـ AsloTech مساعدتك في إعداد الإجراءات لدى ANPDP؛ هذا الدعم لا يُعَدّ استشارة قانونية.

المشاكل الشائعة والحلول

لا تُظهر صفحة البوابة

يكتشف الهواتف بوابة احتجاز عبر اختبار عنوان HTTP عادي. إذا كان DNS محظوراً قبل الاتصال، يفشل الكشف. إذا أدخل الضيف عنواناً HTTPS مباشرةً، لا يمكن للمتصفح أن يُعاد توجيهه. اسمح بـ DNS قبل الاتصال، وتحقق من صلاحية شهادة البوابة إذا كانت تُقدَّم عبر HTTPS، ونصح بفتح عنوان HTTP بسيط.

يتصل الضيوف بشبكة Wi‑Fi خاطئة

إنه خطر إنساني. أعطِ أسماء واضحة وأظهر رمز QR يحتوي على اسم الشبكة وكلمة المرور للـ Wi‑Fi الضيف. لا تخفي SSID: هذا لا يضيف أمانًا ويزعج بعض الأجهزة.

كثرة العملاء يبطئ الـ Wi‑Fi

لكل نقطة وصول قدرة محدودة، حسب النموذج والفرقة المستخدمة والاستخدامات. إذا كان Wi‑Fi الضيف مستخدمًا بكثرة، أضف نقطة وصول بدلاً من خفض الحدود: راجع كم عدد نقاط الوصول Wi‑Fi التي يجب توفيرها.

لا يرى الضيوف الطابعة

هذا هو هدف العزل. لكي يطبع الزائر، استخدم وسيلة أخرى (إرسال ملف عبر البريد الإلكتروني مثلاً) بدلاً من فتح الشبكة الداخلية.

غيّر كلمة المرور

عدّلها في واجهة إدارة نقطة الوصول أو جهاز التحكم Wi‑Fi، ثم حدّث رمز QR والعرض. احتفظ ببرمجية الجهاز (firmware) محدثة: عقد صيانة يساعدك على عدم نسيان ذلك.

الأمان مقابل الراحة

Wi‑Fi ضيف آمن يتطلب توازنًا:

• مشدّد جدًا: كلمة مرور غير قابلة للقراءة، بوابة معقدة، سرعة منخفضة جدًا. يترك الضيوف.
• مسموح جدًا: كلمة مرور قصيرة، سرعة غير محدودة، لا عزل. تعود المخاطر.

توصيتنا لشركة صغيرة ومتوسطة:

• SSID مميز، بكلمة مرور لا تقل عن 12 حرفًا، أو OWE، أو بوابة قابحة.
• VLAN معزول، مع قواعد تمنع الوصول إلى الشبكة الداخلية وإدارة الجدار الناري.
• حد أقصى للسرعة الإجمالية لـ VLAN الضيف.
• تم تفعيل عزل العملاء.
• يتم تشغيل المعدات (جدار الحماية، المبدّل، نقطة الوصول) بواسطة onduleur حتى يبقى Wi‑Fi على قيد الحياة أثناء الانقطاعات الصغيرة.

الخطوات التالية

استعرض صفحة الأمان الشبكي وجدار الحماية لدراسة إعدادات Wi‑Fi الحالية، وصفحة الشبكات الحاسوبية لتوصيل الأسلاك ونقاط الوصول. يمكنك أيضاً قراءة كيفية تقسيم شبكتك باستخدام VLAN لتطبيق العزل، أو كيفية ربط مواقعك عبر VPN إذا عملت فرقك عن بُعد. لتخزين المعدات، راجع خزانة الشبكات.

الأسئلة المتكررة

يُقرأ أيضًا