Passo a passo · Rede de clientes
Como separar Wi-Fi de clientes: passo a passo para empresas
Como separar Wi-Fi de clientes: crie uma rede sem fio própria para eles, ligada a uma rede interna separada, com isolamento entre aparelhos, limite de velocidade e bloqueio de acesso a computadores, câmeras e maquininhas. Num roteador único, a rede de convidados já resolve parte; com vários pontos de acesso, a separação é feita no switch e no firewall.
Resumo
- Nome de rede diferente não basta, porque sem VLAN e regras de bloqueio o cliente continua dentro da rede interna.
- Maquininha, câmeras e computadores ficam numa rede, clientes em outra, e nenhuma regra libera o caminho entre elas.
- Um teto de velocidade por aparelho impede que poucos clientes vendo vídeo deixem o caixa sem internet.
- Um teste de dois minutos com o celular na rede de clientes confirma se a separação funciona de verdade.
Por que separar a rede dos clientes da rede da empresa?
Porque, na mesma rede, o cliente disputa internet com o caixa e consegue enxergar impressoras, câmeras e computadores. Separar resolve as duas coisas de uma vez: desempenho e segurança.
Muita loja, clínica e restaurante começa com uma senha só, colada na parede ou dita no balcão. Ela vai parar no celular de clientes, de ex-funcionários e do técnico da impressora, e cada um desses aparelhos fica ao lado da maquininha e do computador que guarda o cadastro.
O que proteger muda de um negócio para outro: numa loja, o ponto crítico é o caixa; numa clínica, o prontuário; num condomínio, as câmeras e a portaria. Por isso a separação faz parte de todo projeto de Wi-Fi por segmento para negócios, que começa perguntando qual sistema não pode parar.
O que um cliente enxerga numa rede sem separação
Num celular comum, aplicativos de varredura de rede listam em segundos os aparelhos conectados. Não é preciso conhecimento técnico, basta curiosidade.
- Impressoras e TVs: aceitam comandos de qualquer aparelho da mesma rede, inclusive impressão e espelhamento de tela.
- Câmeras e gravador: muitas vezes com senha de fábrica, mostram a imagem da loja a quem estiver conectado.
- Computadores: pastas compartilhadas e sistemas desatualizados ficam ao alcance de qualquer aparelho infectado.
Além do risco, há o peso no tráfego, porque celular de cliente atualiza aplicativos e fotos assim que conecta. Esse efeito aparece no guia sobre rede da empresa lenta, quando visitantes e computadores dividem o mesmo espaço.
Como separar Wi-Fi de clientes: três formas, conforme o equipamento
Há três formas, e a escolha depende do equipamento que você já tem e de quantos pontos de acesso a empresa usa. A tabela compara as três pelo que separam de verdade.
O conceito central é a VLAN, uma rede virtual: no mesmo cabo e no mesmo switch passam várias redes que não se enxergam, cada uma com a sua faixa de endereços. O nome de rede que aparece no celular, chamado SSID, é ligado a uma VLAN, e é essa ligação que separa clientes e equipe.
| Forma | Quando serve | O que separa | Limite |
|---|---|---|---|
| Rede de convidados do roteador | Uma sala, um aparelho, poucos clientes | Clientes dos computadores ligados no mesmo roteador | Costuma não chegar aos repetidores e nem sempre bloqueia tudo |
| Roteador ou firewall com VLAN | Loja ou clínica com um ou dois pontos de acesso | Clientes, equipe e pagamento em faixas diferentes | Exige switch que entenda VLAN no caminho |
| Pontos de acesso gerenciados com firewall | Vários pontos, andares ou filiais | Tudo isso, com limite por aparelho e página de acesso | Pede projeto e alguém que mantenha a configuração |
A rede de convidados do roteador
Boa parte dos roteadores vendidos hoje tem a opção rede de convidados, que cria um segundo nome de rede isolado dos computadores. Para uma sala com um aparelho só, ligar essa opção e dar a senha dela aos clientes já é um avanço grande.
O limite aparece quando a empresa usa repetidor ou mais de um aparelho, porque em muitos modelos a rede de convidados existe só no roteador principal [CONFIRMAR por modelo]. E, se a maquininha for conectada nela por engano, fica justamente do lado dos clientes.
VLAN no roteador ou no firewall
Com VLAN, cada grupo ganha uma rede própria, e o firewall decide o que pode passar de uma para outra. A regra básica é simples: a rede de clientes só sai para a internet, e nada dela entra nas redes da equipe e do caixa.
No caminho entre o firewall e o ponto de acesso, todo switch precisa entender VLAN, o que se chama de switch gerenciável. Um switch simples no meio do caminho mistura as redes de novo, e a separação passa a existir só no papel.
Pontos de acesso gerenciados
Com vários pontos de acesso, a rede de clientes é criada uma vez na gerência central e aparece em todos eles, ligada à mesma VLAN. É nesse nível que entram o teto por aparelho, o horário de funcionamento da rede e o portal cativo, a página de acesso com cadastro e termo de uso.
Para ver o que muda no projeto de cada negócio, compare o Wi-Fi para lojas e o Wi-Fi para clínicas: o primeiro protege o caixa, o segundo o sistema com dados de pacientes.
Como separar Wi-Fi de clientes, passo a passo
Os passos abaixo valem para a forma com VLAN e para a rede gerenciada, que são as que separam de verdade. Faça a mudança fora do horário de movimento, porque alguns aparelhos precisam reconectar.
- Liste os aparelhos: anote computadores, maquininhas, impressoras, câmeras, TVs e sistemas que usam a rede hoje.
- Defina os grupos: em geral equipe, pagamento, câmeras e clientes, cada um com a sua VLAN.
- Confira o caminho: todo switch entre o firewall e os pontos de acesso precisa ser gerenciável.
- Crie as redes: uma faixa de endereços por VLAN, um nome de rede sem fio para a equipe e outro para os clientes.
- Escreva as regras: clientes e pagamento só saem para a internet; câmeras só falam com o gravador.
- Ligue o isolamento: na rede de clientes, um aparelho não enxerga o outro.
- Limite a velocidade: coloque um teto por aparelho na rede de clientes.
- Mude os aparelhos de rede: passe maquininhas e computadores para as redes certas e troque a senha antiga.
Feito isso, a senha antiga, que já circulou por muitos celulares, deixa de dar acesso ao que importa. A nova senha da equipe não vai para a parede, e a de clientes pode mudar com frequência sem atrapalhar ninguém.
Quer a separação feita para o seu tipo de negócio?
No Wi-Fi por segmento, um Especialista separa clientes, equipe, pagamento e câmeras de acordo com o que não pode parar no seu negócio.
Exemplo: plano de redes para uma loja
Um plano de redes é a folha que diz qual grupo fica em qual VLAN, com qual faixa e com quais regras. O exemplo abaixo usa endereços de documentação e serve de referência para conversar com quem vai configurar.
VLAN 10 EQUIPE 192.0.2.0/24 Wi-Fi "Loja-Equipe", senha forte internet, impressora e sistema
VLAN 20 PAGAMENTO 198.51.100.0/26 cabo ou Wi-Fi próprio somente internet
VLAN 30 CAMERAS 198.51.100.64/26 cabo somente o gravador
VLAN 40 CLIENTES 203.0.113.0/24 Wi-Fi "Loja-Clientes", portal somente internet,
isolamento ligado,
teto por aparelho
REGRA FINAL: nada de CLIENTES entra em EQUIPE, PAGAMENTO ou CAMERASOs nomes e números são livres; o que importa é a última linha. Na rede de pagamento, siga também o que a empresa do cartão pede, porque o padrão PCI DSS prevê a rede de cartão separada das demais [CONFIRMAR na norma].
Como testar se a separação funcionou?
O teste leva dois minutos e não precisa de ferramenta paga. Conecte um celular na rede de clientes e tente chegar aos aparelhos internos.
Com o celular na rede de clientes, confira
- A internet abre normalmente.
- A impressora da loja não aparece para imprimir.
- A TV ou o aparelho de espelhamento não aparece na lista.
- O endereço do gravador de câmeras não abre no navegador.
- Um aplicativo de varredura não lista os computadores da equipe.
- Outro celular conectado à mesma rede de clientes também não aparece.
Qualquer item falhando indica regra faltando ou um switch simples no caminho. Corrija antes de divulgar a senha nova aos clientes.
O que separar em cada tipo de negócio
A rede de clientes existe em quase todo negócio, mas o sistema que precisa de proteção muda. A tabela mostra o que costuma ganhar rede própria em cada segmento.
| Negócio | Rede de clientes | O que fica isolado | Cuidado específico |
|---|---|---|---|
| Loja | Clientes com página de cadastro | Caixas, maquininhas e estoque | Rede de cartão separada [CONFIRMAR na norma] |
| Restaurante ou bar | Clientes com teto por aparelho | Comandas, maquininhas e impressora da cozinha | Pico no almoço e no jantar |
| Clínica | Pacientes na sala de espera | Prontuário, agenda e equipamentos de exame | Dados de saúde pela LGPD [CONFIRMAR na norma] |
| Hotel ou pousada | Hóspedes, com acesso por quarto ou voucher | Reservas, recepção, câmeras e fechaduras | Muitos aparelhos à noite |
| Escritório | Visitantes e fornecedores | Computadores, servidor e telefonia | Prestador que volta toda semana |
| Condomínio | Moradores nas áreas comuns | Portaria, câmeras e controle de acesso | Senhas que ficam com o síndico |
Restaurantes têm um detalhe que pesa: a maquininha sem fio costuma ser a primeira a falhar quando a rede aberta lota. O Wi-Fi para restaurantes trata pedidos e pagamento como redes que não disputam espaço com o salão.
Cadastro e registros de acesso
Quem oferece Wi-Fi a clientes precisa decidir se vai pedir cadastro e se vai guardar registros de conexão. O tema envolve o Marco Civil da Internet e a LGPD, e a decisão deve passar pelo jurídico da empresa [CONFIRMAR na norma].
Na parte técnica, o portal cativo mostra o termo de uso, coleta só os dados combinados e guarda o registro pelo tempo definido. Veja o portal cativo para empresas.
Erros comuns ao separar a rede de clientes
O erro mais comum é criar um nome de rede novo sem VLAN e sem regra, o que muda só o que aparece no celular. Outro é deixar um switch simples no caminho, que junta tudo de novo.
Evite
- Criar a rede de clientes só com outro nome e a mesma faixa de endereços da equipe.
- Conectar a maquininha na rede de clientes porque a senha estava mais à mão.
- Deixar um switch não gerenciável entre o firewall e os pontos de acesso.
- Esquecer o isolamento entre aparelhos na rede de clientes.
- Deixar a rede de clientes sem teto de velocidade.
- Manter a senha antiga da equipe depois da separação.
Um erro menos visível é deixar tomadas de rede ativas em áreas de clientes, como a que fica atrás do sofá da recepção. Qualquer aparelho ligado ali cai direto na rede interna, e o guia de configuração de port security mostra como o switch bloqueia aparelhos estranhos.
Outra proteção do switch impede que um roteador trazido por alguém distribua endereços falsos para os outros aparelhos, como explica a configuração de DHCP snooping.
Fazer sozinho ou chamar um Especialista?
Dá para ligar sozinho a rede de convidados num roteador único; com VLAN, switch e firewall, vale ter quem configure e documente. O critério é quantos aparelhos e sistemas dependem da rede.
Separar a rede dos clientes é trabalho de uma tarde para quem conhece o equipamento, mas um erro de regra pode deixar o caixa sem internet num sábado ou abrir a rede interna sem ninguém perceber. Por isso a configuração precisa ficar escrita, com as VLANs, as regras e as senhas guardadas com a empresa.
- Faça sozinho: uma sala, um roteador, rede de convidados ligada e maquininha no cabo ou na rede da equipe.
- Peça ajuda: mais de um ponto de acesso, switches no caminho, câmeras na rede ou dados de clientes e pacientes.
A Táquion Tech configura a separação de redes em lojas, restaurantes, clínicas, hotéis e condomínios do litoral de Santa Catarina, com teste de isolamento na entrega e documentação para o dono [CONFIRMAR área de atendimento]. Se o Wi-Fi também falha por alcance, veja como melhorar o Wi-Fi da empresa.
Perguntas frequentes sobre como separar Wi-Fi de clientes
A rede de convidados do roteador é segura?
Ela isola os clientes dos computadores ligados naquele roteador, o que já ajuda muito numa sala pequena. Não substitui VLAN e firewall quando há repetidores, switches ou câmeras na rede.
Preciso de uma internet separada para os clientes?
Na maioria dos casos, não: a mesma internet atende as duas redes, com teto de velocidade para os clientes. Uma segunda operadora faz sentido quando o pagamento não pode parar nem se o link principal cair.
Esconder o nome da rede da equipe protege?
Protege pouco, porque aplicativos simples mostram redes escondidas. O que protege é senha forte, rede separada e regras que impedem a rede de clientes de chegar à da equipe.
De quanto em quanto tempo trocar a senha dos clientes?
Com a rede separada, trocar a senha de clientes é simples e não afeta a equipe. Muitos negócios trocam por mês ou usam código do dia e voucher, conforme o controle que querem ter.
A maquininha de cartão pode ficar no Wi-Fi?
Pode, desde que numa rede própria, longe da rede de clientes e com sinal bom no balcão. Onde existe tomada de rede perto do caixa, o cabo continua sendo a ligação mais estável.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- VLAN (Wikipédia em inglês): como redes virtuais separam grupos de aparelhos no mesmo switch, conforme o padrão IEEE 802.1Q.
- PCI Security Standards Council: padrão PCI DSS para quem processa pagamentos com cartão, incluindo a separação da rede de pagamento.
