Cómo separar la wifi de invitados del trabajo de la empresa

Dibuja las comunicaciones permitidas

Decide si el visitante necesita únicamente internet o también algún recurso concreto, como una pantalla de reuniones. Anota ese caso como excepción con destino y servicio definidos. Evita convertir una necesidad puntual de presentación en permiso general para descubrir impresoras, servidores o puestos de empleados.

Identifica dónde se aplica la separación: punto de acceso, red virtual, switch y firewall. Si la instalación usa VLAN, comprueba que los enlaces transportan la red correcta y que el enrutamiento aplica las restricciones. El nombre del SSID y una contraseña diferente no sustituyen esa revisión.

Dos aislamientos con objetivos distintos

Bloquear el acceso a la red de empresa y bloquear las comunicaciones entre invitados son decisiones diferentes. La documentación de Meraki describe aislamiento de clientes y límites que dependen de versión; no debes trasladar ese comportamiento a cualquier punto de acceso. Revisa también qué sucede con IPv6 si está disponible.

Mantén fuera del alcance invitado las interfaces de administración. Asegura que la red permite los servicios necesarios para obtener dirección y resolver nombres, sin abrir por comodidad todo el tráfico hacia redes internas. Documenta quién puede autorizar una excepción y cuándo caduca.

Prueba positiva y prueba negativa

Desde un equipo conectado realmente a invitados, navega y verifica la excepción autorizada. Después intenta acceder a destinos internos de prueba previamente acordados: una interfaz de administración, un recurso de archivos y otro cliente invitado cuando deba estar aislado. No uses información sensible para comprobarlo.

Repite desde más de un punto de acceso y conserva fecha, red usada y resultado. Si una prueba falla, distingue un bloqueo correcto de un destino que ya estaba apagado. Guarda una configuración de referencia y repite estas comprobaciones tras cambiar firewall, firmware o enlaces del armario.

Fuentes y documentación

• Cisco Meraki: Wireless Client Isolation — El aislamiento de clientes tiene alcance y límites por versión; no equivale a separar toda la red interna.