Dare la password del Wi-Fi a chi viene a cena è un gesto di cortesia, ma significa far entrare un dispositivo sconosciuto nella stessa rete del NAS, delle stampanti e dei computer di lavoro. Quasi tutti i router domestici offrono una rete ospiti: è una funzione semplice, spesso trascurata, che risolve il problema con pochi clic.
Cosa fa una rete ospiti
La rete ospiti è un secondo nome di rete Wi-Fi, con password propria, che il router tiene separato da quello principale. A seconda del modello, le protezioni sono diverse:
- separazione dalla rete principale: i dispositivi ospiti escono su Internet ma non vedono quelli di casa;
- isolamento tra client: anche i dispositivi ospiti non si vedono tra loro;
- blocco dell'accesso al router: l'interfaccia di amministrazione non è raggiungibile dalla rete ospiti;
- limitazioni di banda o di orario: opzionali, utili in alcune situazioni.
Non tutti i router attivano queste protezioni in modo predefinito. Vale la pena controllare ogni voce nelle impostazioni, perché in alcuni modelli la rete ospiti è solo un secondo SSID sulla stessa rete, senza alcuna separazione.
L'isolamento dei client
L'isolamento dei client, a volte chiamato "AP isolation" o "isolamento wireless", impedisce ai dispositivi collegati allo stesso access point di comunicare direttamente. Ogni dispositivo può parlare solo con il router e quindi con Internet.
È utile perché un telefono ospite infetto non può sondare gli altri dispositivi ospiti. Ha però un effetto collaterale: blocca anche funzioni legittime come lo streaming verso una TV o la stampa su una stampante Wi-Fi collegata alla stessa rete.
| Situazione | Isolamento client |
|---|---|
| Rete per visitatori | Attivo |
| Rete per un affittacamere o B&B | Attivo |
| Rete principale di famiglia | Disattivato |
| Rete dedicata ai dispositivi IoT | Valutare caso per caso |
Configurazione consigliata
- Attiva la rete ospiti solo sulla banda o sulle bande che servono. Spesso la sola banda a 5 GHz basta, ma per i dispositivi vecchi può servire anche la 2,4 GHz.
- Scegli un nome riconoscibile, senza riferimenti a cognomi o numeri civici.
- Usa WPA2 o WPA3 con una password diversa da quella principale. Una rete ospiti aperta, senza password, permette a chiunque nei dintorni di usare la tua connessione.
- Verifica la separazione: con un telefono collegato agli ospiti prova ad aprire l'interfaccia del router o una cartella del NAS. Non deve funzionare.
- Disattiva il WPS sulla rete ospiti, se il router lo consente separatamente.
Condividere la password con un QR code
Per evitare di dettare password lunghe, molti router mostrano un QR code della rete ospiti. In alternativa se ne può generare uno con il formato standard riconosciuto dalle fotocamere dei telefoni:
WIFI:T:WPA;S:Ospiti-Casa;P:una-password-lunga;;
Stampato e appeso all'ingresso o vicino al divano, permette agli ospiti di collegarsi inquadrandolo. Quando la password cambia, basta ristampare il foglio.
Ruotare la password
La rete ospiti è pensata per persone che passano. Cambiare la password periodicamente, per esempio ogni pochi mesi o dopo un evento con molte persone, evita che decine di telefoni ricordino l'accesso per sempre. Alcuni router permettono anche di impostare una durata, dopo la quale la rete si spegne da sola.
I limiti della rete ospiti
La rete ospiti è un'ottima misura di base, ma ha dei confini precisi:
- non controlla cosa fanno gli ospiti su Internet, che esce comunque con il tuo indirizzo pubblico;
- non sostituisce una segmentazione completa con VLAN e regole firewall, se hai molti dispositivi diversi da separare;
- i router di fascia bassa a volte offrono un isolamento parziale, documentato in modo vago.
Nel mio lavoro la uso spesso anche per scopi diversi dagli ospiti: ci collego il portatile aziendale di un familiare, che così non vede i dispositivi personali, o un apparecchio nuovo di cui non conosco ancora il comportamento, in attesa di capire cosa contatta.
In sintesi
- La rete ospiti separa i visitatori dai dispositivi di casa.
- Controlla che separazione, isolamento e blocco dell'amministrazione siano attivi.
- Usa sempre una password, diversa da quella principale, e cambiala ogni tanto.
- Un QR code all'ingresso semplifica l'accesso senza dettare password.
- Per esigenze più complesse servono VLAN e regole firewall dedicate.
