Gastennetwerk instellen: zo doet u het veilig en goed
Een gastennetwerk stelt u in via de beheeromgeving van uw router of accesspoint. U zet de functie gastnetwerk aan, geeft het netwerk een eigen naam en een eigen sterk wachtwoord, kiest WPA2 met AES of WPA3 als beveiliging en zet de toegang tot het interne netwerk uit. Zo kunnen bezoekers, klanten en leveranciers online, terwijl uw computers, printers en bestanden buiten hun bereik blijven. Hieronder leest u per stap hoe dat werkt, welke instellingen voor een bedrijf het verschil maken en wat u doet als het gastennetwerk geen internet geeft.
Kort samengevat
- Een gastennetwerk is een apart wifi-netwerk met een eigen naam en wachtwoord, afgeschermd van uw eigen apparaten.
- U schakelt het in via de webinterface of app van uw router, meestal onder een menu als Draadloos of Netwerk.
- Gebruik een ander wachtwoord dan voor uw hoofdnetwerk, kies WPA2 met AES of WPA3 en zet toegang tot het intranet uit.
- Geeft het gastennetwerk geen internet, kijk dan eerst naar vaste IP-adressen, toegangsprofielen en de DHCP-instellingen.
- Op kantoor met meerdere accesspoints hoort het gastennetwerk in een eigen netwerksegment (VLAN) dat goed beheerd wordt.
Inhoudsopgave
- Wat is een gastennetwerk precies?
- Wat gasten wel en niet kunnen zien
- Voordat u begint: dit heeft u nodig
- Stap voor stap een gastennetwerk instellen
- De beveiligingsinstellingen die ertoe doen
- Gastennetwerk op de router van uw provider
- Een gastennetwerk op kantoor met meerdere accesspoints
- Geen internet op het gastennetwerk? Zo lost u het op
- Onze kijk op gastenwifi voor bedrijven
- Gastenwifi die gewoon werkt, zonder zelf te beheren
- Veelgestelde vragen
- Bronnen
Wat is een gastennetwerk precies?
Een gastennetwerk is een tweede wifi-netwerk dat via dezelfde router of hetzelfde accesspoint loopt als uw gewone wifi, maar daar los van staat. Het heeft een eigen netwerknaam (SSID) en een eigen wachtwoord. Wie erop inlogt, kan internetten, maar ziet de rest van uw netwerk niet.
Het verschil met uw gewone wifi zit in die scheiding. Op uw hoofdnetwerk kunnen apparaten met elkaar praten: een laptop vindt de printer, een telefoon vindt de NAS met gedeelde mappen. Op het gastennetwerk is dat afgeschermd. Bij veel routers krijgt het gastennetwerk ook een eigen adresbereik. ASUS meldt in zijn ondersteuning bijvoorbeeld dat het gastnetwerk een ander subnet krijgt dan het hoofdnetwerk.
Voor een bedrijf is dat precies wat u wilt. Een klant in de wachtruimte, een monteur die even een handleiding moet downloaden of een sollicitant met een presentatie op zijn telefoon: ze hebben internet nodig, niet uw boekhouding. Met een gastennetwerk hoeft u het wachtwoord van uw bedrijfswifi nooit meer te delen, en dat wachtwoord blijft dus ook niet hangen op tientallen telefoons die u niet kent.
Wat gasten wel en niet kunnen zien
De vraag die we het vaakst horen: kan iemand op het gastennetwerk meekijken? Bij een goed ingesteld gastennetwerk is het antwoord: niet in uw interne netwerk. Wat gasten wel en niet bereiken, hangt af van de instellingen die u kiest.
Wat gasten doorgaans wel kunnen:
- Internet gebruiken: websites, e-mail, videobellen, streamen.
- Apparaten gebruiken die u bewust deelt. Google beschrijft voor zijn wifi-systemen dat gasten door u gekozen apparaten kunnen gebruiken, zoals een smart-tv, een draadloze speaker of een printer.
Wat gasten bij een goede instelling niet kunnen:
- Uw computers, servers, NAS of gedeelde mappen benaderen. Apparaten op een gastnetwerk kunnen meestal niet bij apparaten op het hoofdnetwerk, en sommige routers isoleren gasten ook van elkaar.
- De beheeromgeving van uw router bereiken, mits u toegang tot het intranet uitschakelt.
- Uw wifi-wachtwoord van het hoofdnetwerk achterhalen, omdat ze dat nooit krijgen.
Die onderlinge isolatie van gasten is voor een bedrijf de moeite waard. In een wachtruimte of vergaderzaal zitten mensen die elkaar niet kennen. Als hun apparaten elkaar niet kunnen zien, kan een besmette laptop van de ene bezoeker ook de telefoon van de andere niet bereiken. Zoek in uw router naar een optie als client-isolatie of AP-isolatie en zet die aan.
Wat u als beheerder wel ziet: in de meeste routers staat een lijst van verbonden apparaten, ook op het gastennetwerk. Handig om te controleren of er niet ineens twintig onbekende apparaten op uw gastenwifi hangen.
Voordat u begint: dit heeft u nodig
Een gastennetwerk instellen kost meestal een kwartier. Leg vooraf deze zaken klaar, dan loopt het zonder haperen:
- Toegang tot uw router of accesspoint. U heeft het IP-adres van de beheeromgeving nodig (vaak op een sticker op het apparaat of in de handleiding) plus de gebruikersnaam en het beheerwachtwoord. Bij sommige merken gaat het via een app.
- Een router die het ondersteunt. Vrijwel alle moderne routers en zakelijke accesspoints hebben een gastfunctie. Ziet u de optie niet, controleer dan of er een firmware-update klaarstaat.
- Actuele firmware. Werk de firmware bij voordat u gaat instellen. Updates dichten beveiligingslekken en voegen soms opties toe, zoals WPA3.
- Een netwerknaam. Kies een herkenbare naam, bijvoorbeeld de naam van uw bedrijf met “Gast” erachter. Gebruik geen naam die op uw hoofdnetwerk lijkt, zodat medewerkers niet per ongeluk het verkeerde netwerk kiezen.
- Een sterk, apart wachtwoord. Minstens twaalf tekens, geen bedrijfsnaam of postcode, en nooit hetzelfde als uw hoofdnetwerk. Google stelt voor zijn gastenwifi zelfs als eis dat het wachtwoord anders is dan dat van het primaire netwerk.
- Een idee van het gebruik. Hoeveel gasten verwacht u tegelijk? Moeten ze kunnen printen? Wilt u het netwerk buiten kantoortijden uitzetten? Dat bepaalt welke opties u straks kiest.
Stap voor stap een gastennetwerk instellen
De menu’s verschillen per merk, maar de route is bij bijna elke router hetzelfde. De stappen die ASUS beschrijft zijn representatief voor de meeste apparaten.
- Log in op uw router. Open een browser op een computer die met het hoofdnetwerk is verbonden en typ het IP-adres van de router in de adresbalk. Log in met het beheerwachtwoord.
- Zoek het menu voor gasten. Dat heet bijvoorbeeld Gastnetwerk, Gasttoegang of Wifi-gastnetwerk en staat meestal onder Draadloos, Wifi of Netwerk. Bij sommige routers staat het onder geavanceerde instellingen.
- Schakel het gastennetwerk in. Heeft uw router meerdere frequentiebanden, dan kunt u per band kiezen. De 2,4 GHz-band reikt verder, de 5 GHz-band is sneller op korte afstand.
- Geef het netwerk een naam. Vul de SSID in die u eerder heeft bedacht. Sommige routers genereren automatisch een naam en wachtwoord; die kunt u meestal aanpassen.
- Kies de beveiliging. Selecteer WPA3 als al uw gastapparaten dat aankunnen, anders WPA2 met AES of de gemengde stand WPA2/WPA3. Kies nooit een open netwerk en nooit WEP of TKIP.
- Stel het wachtwoord in. Vul het sterke, aparte wachtwoord in.
- Zet toegang tot het intranet uit. Dit is de belangrijkste stap. De optie heet bijvoorbeeld Toegang tot intranet, Lokale toegang of Toegang tot thuisnetwerk. Uit betekent: gasten krijgen alleen internet.
- Zet isolatie tussen gasten aan, als uw router die optie biedt.
- Overweeg extra beperkingen. Denk aan een tijdschema, een maximum aantal gebruikers of een bandbreedtelimiet, zodat één gast die een grote update downloadt uw eigen verbinding niet vertraagt.
- Sla op en test. Verbind een telefoon met het gastennetwerk, controleer of internet werkt en probeer daarna of u een gedeelde map of printer op het hoofdnetwerk kunt vinden. Lukt dat niet, dan is de scheiding in orde.
Tip voor de receptie: veel routers en wifi-apps kunnen een QR-code maken met de inloggegevens. Print die en zet hem op de balie of in de vergaderruimte. Gasten scannen hem met hun camera en zijn verbonden, zonder dat u het wachtwoord hoeft voor te lezen.
De beveiligingsinstellingen die ertoe doen
Voor een gastennetwerk thuis is de stap-voor-stapaanpak hierboven genoeg. Voor een bedrijf loont het om de instellingen bewust te kiezen. Het NCSC adviseert in zijn stappenplan voor draadloze bedrijfsnetwerken WPA2-PSK (WPA2 Personal) met AES als versleuteling, omdat TKIP niet meer veilig genoeg is, en een re-key interval van een uur.
| Instelling | Aanbevolen keuze | Waarom |
|---|---|---|
| Beveiliging | WPA3, of WPA2 Personal met AES | Versleutelt het verkeer; TKIP en WEP zijn verouderd |
| Wachtwoord | Minstens 12 tekens, anders dan het hoofdnetwerk | Wie het gastwachtwoord kent, komt niet op uw bedrijfsnetwerk |
| Toegang tot intranet | Uit | Gasten krijgen alleen internet |
| Isolatie tussen gasten | Aan | Gasten kunnen elkaars apparaten niet zien |
| Re-key interval | Een uur | Sleutels worden regelmatig vernieuwd |
| Beheer via wifi | Uit voor het gastennetwerk | Niemand op de gastenwifi bereikt de routerinstellingen |
| Wachtwoord wisselen | Periodiek, bijvoorbeeld elk kwartaal | Oud-bezoekers en ex-leveranciers raken hun toegang kwijt |
Voor uw eigen medewerkers is een gedeeld wachtwoord op den duur niet de sterkste keuze. Daar werkt u beter met persoonlijke inloggegevens via WPA2-Enterprise met 802.1X. Het gastennetwerk blijft dan het enige netwerk met een gedeeld wachtwoord, en dat netwerk kan bij niets belangrijks. Meer maatregelen voor uw hele draadloze omgeving leest u in onze 8 stappen voor zakelijke wifi-beveiliging.
Gastennetwerk op de router van uw provider
Krijgt u internet via een modem van uw provider, dan zit de gastfunctie vaak in dat modem zelf. U logt dan in via het IP-adres van het modem of via de app van de provider en zoekt naar een menu als Wifi-gastnetwerk. De stappen zijn gelijk aan die hierboven: inschakelen, naam, wachtwoord, opslaan.
Let op twee dingen. Een gastennetwerk dat alleen door het modem wordt uitgezonden, heeft vaak een kleiner bereik dan uw gewone wifi als u daarnaast versterkers of mesh-punten gebruikt. Gasten in de vergaderzaal achterin hebben dan slecht bereik. En gebruikt u achter het providermodem een eigen router of eigen accesspoints, stel het gastennetwerk dan op uw eigen apparatuur in en niet op het modem. Anders heeft u twee netwerken die elkaar in de weg kunnen zitten.
Een gastennetwerk op kantoor met meerdere accesspoints
In een kantoor met meerdere accesspoints werkt de knop gastnetwerk van één router niet meer. Het gastennetwerk moet dan op alle accesspoints uitgezonden worden en overal netjes gescheiden blijven. Dat doet u met een VLAN: een apart, virtueel netwerksegment dat over dezelfde kabels en switches loopt.
Globaal ziet dat er zo uit:
- U maakt op de router of firewall een apart VLAN aan voor gasten, met een eigen adresbereik en een eigen DHCP-server.
- Op de switches stelt u de poorten naar de accesspoints zo in dat dat VLAN wordt doorgegeven.
- Op de accesspoints of de centrale wifi-controller koppelt u de gast-SSID aan dat VLAN.
- Op de firewall stelt u regels in: het gast-VLAN mag naar internet, niet naar de interne VLAN’s.
Hier gaat het in de praktijk het vaakst mis. Een VLAN dat niet op elke switchpoort is doorgegeven, een ontbrekende DHCP-server of een firewallregel die net te ruim staat: het gastennetwerk werkt dan niet of is minder afgeschermd dan u denkt. Valt de wifi op kantoor vaker weg, lees dan ook waarom bedrijfswifi wegvalt, want vaak hebben die storingen dezelfde oorzaak.
Geen internet op het gastennetwerk? Zo lost u het op
Maakt een apparaat wel verbinding met het gastennetwerk maar laadt er niets, loop dan deze punten na.
Vast IP-adres op het apparaat. Heeft een apparaat in het hoofdnetwerk een vast (statisch) IP-adres gekregen, dan kan het op het gastennetwerk geen adres krijgen. Keenetic noemt dit in zijn ondersteuning als bekende oorzaak: verwijder de registratie of schakel het vaste adres uit. Op het apparaat zelf zet u de netwerkinstelling op automatisch (DHCP).
Toegangsprofiel voor nieuwe apparaten. Sommige routers geven onbekende apparaten standaard een profiel zonder internettoegang. Controleer in de router welk profiel gastapparaten krijgen.
DHCP of DNS in het gastsegment. Vooral bij een gastennetwerk op een VLAN: deelt het segment wel adressen uit, en kunnen gasten een DNS-server bereiken? Staat de DNS-server in uw interne netwerk, terwijl gasten daar juist niet bij mogen, dan krijgen ze geen websites te zien. Geef het gastsegment dan een DNS-server die buiten uw interne netwerk ligt.
Accesspoint in de verkeerde modus. Een accesspoint achter een andere router biedt in accesspoint-modus niet altijd een volwaardige gastfunctie. Lokale toegang aanzetten lost het internetprobleem soms op, maar schakelt de scheiding uit. Dan is een VLAN-oplossing de juiste weg.
Apparaten die u niet kunt bedienen. Slimme lampen, speakers of camera’s op het gastennetwerk zijn vaak niet te bedienen vanaf een telefoon op het hoofdnetwerk. Een app of hub moet het apparaat doorgaans op hetzelfde netwerk kunnen vinden. Dat is de isolatie die zijn werk doet. Kies per apparaat bewust: zet een vergaderscherm dat gasten moeten gebruiken op het gastennetwerk, en zet beveiligingscamera’s in een eigen, afgeschermd segment.
Printen lukt niet. Ook dat is de scheiding. Wilt u dat gasten kunnen printen, deel dan alleen die ene printer, als uw systeem dat toestaat, en zet niet de hele intranettoegang open.
Onze kijk op gastenwifi voor bedrijven
Een gastennetwerk aanzetten is zo gebeurd. Het goed houden is het echte werk. We komen bij bedrijven vaak een gastennetwerk tegen dat ooit door iemand is ingesteld, met een wachtwoord dat al jaren op een briefje bij de koffieautomaat hangt en een instelling voor intranettoegang die niemand meer heeft gecontroleerd.
Voor ons hoort de gastenwifi bij de rest van uw netwerk. Hetzelfde beheer, dezelfde updates, dezelfde aandacht. Dan weet u zeker dat bezoekers internet hebben, dat uw eigen systemen afgeschermd blijven en dat een storing niet pas opvalt als er een klant aan tafel zit.
Daarom nemen we het wifi-beheer graag volledig van u over, voor een vast maandbedrag zonder verrassingen. U belt ons direct, u spreekt iemand die uw netwerk kent, en we lossen problemen binnen één dag op. Zo kunt u zich richten op uw bedrijf, en hoeft u nooit meer zelf in de routerinstellingen te duiken.
Ken
Gastenwifi die gewoon werkt, zonder zelf te beheren
Wilt u een gastennetwerk dat overal in het pand bereik heeft, goed is afgeschermd en dat iemand voor u in de gaten houdt? Met ons hosted wifi-netwerk richten we uw zakelijke wifi in, inclusief een apart gastennetwerk, en beheren we het daarna voor u.
U krijgt persoonlijke aandacht, bent direct telefonisch bereikbaar bij ons en we lossen storingen binnen één dag op, tegen een vast maandbedrag. Wilt u eerst weten hoe uw netwerk er nu voor staat? Bekijk onze ICT-diensten voor het mkb of lees hoe wifi-beheer voor het mkb u minder storingen en meer grip oplevert. Neem contact met ons op, dan denken we graag met u mee.
Veelgestelde vragen
Is een gastennetwerk echt veiliger dan mijn wachtwoord delen?
Ja. Wie uw gewone wifi-wachtwoord krijgt, zit op hetzelfde netwerk als uw computers, printers en opslag. Op een goed ingesteld gastennetwerk met intranettoegang uit krijgen gasten alleen internet. Bovendien kunt u het gastwachtwoord wisselen zonder dat uw eigen apparaten opnieuw verbonden moeten worden.
Kan iemand op mijn gastennetwerk meekijken met wat ik doe?
Zit u zelf op het hoofdnetwerk en staat de scheiding goed, dan kunnen gasten uw apparaten niet zien. Met WPA2 met AES of WPA3 is het draadloze verkeer bovendien versleuteld. Zet isolatie tussen gasten aan, zodat gasten ook elkaars apparaten niet kunnen benaderen.
Wordt mijn internet trager door een gastennetwerk?
Het gastennetwerk deelt dezelfde internetverbinding, dus druk gebruik door gasten merkt u wel. Veel routers en zakelijke accesspoints bieden een bandbreedtelimiet voor gasten. Stel die in als u vaak bezoekers heeft, zodat uw eigen werk voorrang houdt.
Hoe vaak moet ik het wachtwoord van het gastennetwerk wijzigen?
Voor een bedrijf is elk kwartaal een goed ritme, en direct na het vertrek van een vaste leverancier of tijdelijke medewerker. Een QR-code op de balie maakt het verspreiden van het nieuwe wachtwoord eenvoudig.
Bronnen
- ASUS: Hoe stel ik een gastnetwerk in op een draadloze router?
- Google Home Help: Een wifi-netwerk voor gasten maken, bewerken en delen
- NCSC: Stappenplan draadloos bedrijfsnetwerk beveiligen
- Keenetic: Geen internet op het gastnetwerk
- SimChoice: Gastnetwerk wifi instellen, waarom en hoe
Reacties0
Nog geen reacties
Deel als eerste uw gedachten.
Meld u aan of registreer u om een reactie te plaatsen.