Como separar o Wi-Fi de visitantes da rede da empresa

Por que separar os visitantes

Numa rede única, todo aparelho conectado consegue, em princípio, "conversar" com todos os outros. O celular de um cliente fica na mesma rede que o computador do escritório, a impressora e o sistema do caixa. Ninguém precisa ter má intenção para dar problema: um celular com vírus, um notebook procurando impressoras ou alguém curioso já bastam.

Separar cria duas redes, cada uma com sua faixa de IP. Para um aparelho de uma rede chegar à outra, o tráfego passa pelo roteador, e é ali que se decide o que pode passar. No caso dos visitantes, a resposta costuma ser: só internet, mais nada.

Há outra vantagem, menos óbvia: o número de clientes do dia deixa de tirar vaga da equipe. Se a rede lota, quem fica sem IP é um visitante, e não a maquininha do caixa.

Passo 1: contar a equipe

Comece pela rede que você conhece. No café do exemplo:

Com 20 aparelhos, a calculadora indica a /27, com 30 vagas. Com 30% de folga (26), a /27. Nada de especial aqui; é a mesma conta do guia Qual máscara usar para 70 aparelhos.

Passo 2: contar os visitantes do jeito certo

Aqui está um erro frequente. O dono pensa "cabem uns 40 clientes sentados" e escolhe uma rede para 40. Só que a rede de visitantes não guarda pessoas sentadas: guarda endereços emprestados.

Quem entrega o IP para os celulares é o DHCP do roteador. A RFC 2131, que define o DHCP, chama de lease (empréstimo) o período em que um endereço fica com um aparelho. No modo dinâmico, o endereço só volta para o estoque quando o empréstimo termina ou quando o aparelho o devolve. Um celular que saiu do alcance do Wi-Fi sem devolver o endereço continua ocupando a vaga até o empréstimo acabar.

Então a conta não é "quantos clientes cabem no salão", e sim:

Com 120 endereços ocupados no pico, a rede precisa de 122 contando a rede e o broadcast, e a máscara é a /25 (255.255.255.128), com 126 vagas.

O tempo de empréstimo muda a máscara

O tempo do empréstimo é uma configuração do roteador. Quanto mais curto, mais rápido os endereços de quem foi embora voltam para o estoque. Com os mesmos 60 aparelhos por hora:

Com 1 hora de empréstimo, 60 endereços bastam e a /26 resolve. Com um dia inteiro, a conta explode. Para uma rede de visitantes, empréstimos curtos fazem sentido; para a rede da equipe, que tem sempre os mesmos aparelhos, empréstimos longos não atrapalham.

Esses números de clientes por hora são do exemplo. Para o seu caso, olhe a lista de clientes do DHCP do roteador num dia cheio: ela mostra quantos endereços estão emprestados de verdade.

Passo 3: escolher as faixas

Há dois jeitos de montar as duas redes, ambos com endereços privados da faixa 192.168.0.0/16 da RFC 1918.

Opção A: uma /24 para cada rede

É o jeito mais simples e o que muitos roteadores fazem sozinhos ao criar a rede de visitantes:

Sobra espaço nas duas, e o terceiro número do IP já diz de qual rede é o aparelho: .10. é equipe, .20. é visitante.

Opção B: dividir uma /24 só

Se você precisa economizar faixas, por exemplo porque a empresa tem outras unidades com redes próprias, dá para dividir 192.168.10.0/24 em duas, colocando o bloco maior primeiro:

Ficam 96 endereços livres a partir de 192.168.10.160. A opção B funciona, mas deixa os visitantes sem a folga de 30%: com 156 aparelhos eles já não caberiam na /25. Para um café, a opção A costuma ser a melhor escolha.

Passo 4: isolar de verdade

Ter faixas diferentes não basta se o roteador deixar tudo passar entre elas. O isolamento acontece na configuração do roteador ou do access point.

Muitos roteadores domésticos e de pequenas empresas têm uma função pronta de rede de visitantes (guest network). No manual do Archer AX10 da TP-Link, por exemplo, a rede de visitantes tem opções para permitir ou não que os convidados se vejam e que acessem a rede local (TP-Link). Os nomes mudam de modelo para modelo, então confira o manual do seu. Para um Wi-Fi de clientes, o normal é deixar as duas desligadas: visitante só chega à internet.

Em equipamentos de empresa, o mesmo resultado sai de uma regra no firewall ou de uma lista de acesso que bloqueia a faixa dos visitantes indo para a faixa da equipe. A lista usa a máscara wildcard, que é a máscara ao contrário; para a /24, é 0.0.0.255. Veja como ler essas regras no guia Como ler uma máscara wildcard em uma ACL.

Passo 5: testar com um celular

Depois de configurar, faça o teste que um cliente faria, com um celular conectado só na rede de visitantes:

1. Confira o IP recebido. Nas configurações do Wi-Fi do celular, o endereço precisa estar na faixa dos visitantes, entre 192.168.20.1 e 192.168.20.254. Se aparecer um endereço 192.168.10.x, o celular entrou na rede errada.
2. Abra um site qualquer. A internet precisa funcionar normalmente.
3. Tente abrir a página do roteador da equipe (192.168.10.1) e procure a impressora do escritório. Nenhum dos dois deve aparecer.
4. Repita com um notebook. Notebooks costumam procurar impressoras e pastas compartilhadas sozinhos; se ele não achar nada da equipe, o isolamento está funcionando.
5. Volte ao roteador num dia cheio e veja quantos endereços estão emprestados na rede de visitantes. Se o número chegar perto das 254 vagas, encurte o empréstimo ou aumente a máscara.

Esse teste leva poucos minutos e evita a pior surpresa: descobrir, meses depois, que a rede "separada" deixava os clientes enxergarem o computador do caixa.

Erros comuns

1. Dimensionar pela lotação do salão. A rede guarda empréstimos, não pessoas. Conte aparelhos por hora vezes o tempo do empréstimo.
2. Usar empréstimo de um dia na rede de visitantes. Com 60 aparelhos por hora, isso pediria 1.440 endereços.
3. Separar as faixas e esquecer o isolamento. Duas faixas com o roteador liberando tudo entre elas é quase uma rede só.
4. Deixar a impressora da equipe "aberta" para os visitantes. Se o cliente precisa imprimir, é melhor uma solução própria do que abrir a rede da equipe.
5. Usar a mesma senha nas duas redes. Aí qualquer cliente pode entrar na rede da equipe.

Perguntas frequentes

A rede de visitantes deixa a internet mais lenta?

A separação em si não. As duas redes continuam dividindo o mesmo plano de internet.

Preciso de dois roteadores?

Não necessariamente. Muitos roteadores criam a rede de visitantes sozinhos. Em redes maiores, os access points e o firewall cuidam das duas redes, cada uma numa VLAN.

Qual o tempo de empréstimo ideal?

Depende do movimento. A conta acima mostra o efeito: com 60 aparelhos por hora, 1 hora pede a /26 e 2 horas pedem a /25. Escolha um tempo que cubra uma visita típica e confira a lista de clientes do DHCP depois de alguns dias.

Os visitantes podem usar a impressora do café?

Podem, mas abrir a rede da equipe para isso desfaz a separação. Se imprimir para clientes for importante, procure no manual da impressora e do roteador uma forma de liberar só esse aparelho, e nada mais.

E se a rede de visitantes lotar?

Os aparelhos novos ficam conectados ao Wi-Fi mas sem IP, e portanto sem internet. A saída é aumentar a máscara (por exemplo, de /25 para /24) ou encurtar o empréstimo.

Teste a quantidade de endereços da sua rede de visitantes na calculadora Qual máscara usar, que já vem preenchida com 120 logo abaixo.

Leia também: Rede lotou e o celular pegou IP 169.254? Faça a conta