Wi-Fi per gli ospiti con MikroTik e FlashStart: un caso pratico per hotel e uffici

Nel settore dell’hospitality è molto comune che un ospite colleghi lo smartphone al Wi-Fi e consulti una prenotazione. In un ufficio, un fornitore usa la rete ospiti per accedere a una presentazione. Sono situazioni quotidiane che condividono un’esigenza: offrire una connessione semplice senza dare accesso ai sistemi interni dell’organizzazione.

Creare una rete chiamata «Ospiti» è solo l’inizio. Bisogna anche decidere quali risorse potranno raggiungere i suoi utenti, come impedire che comunichino con altri dispositivi e quale policy di navigazione applicare. Una password diversa, da sola, non risolve queste questioni.

MikroTik e FlashStart permettono di affrontare queste esigenze in modo complementare. MikroTik organizza l’accesso e le comunicazioni della rete; FlashStart fornisce il filtro DNS per applicare controlli sui domini interrogati. In questo caso pratico vedremo come combinare le due funzioni per una rete ospiti in un hotel e come adattare lo stesso approccio a un ufficio.

Lo scenario: un hotel con reception, amministrazione e ospiti

Immaginiamo un hotel di 30 camere con diversi access point, uno switch gestito e un router MikroTik come uscita verso Internet. Simuleremo questo progetto.

La reception utilizza un gestionale alberghiero, l’amministrazione accede alla documentazione interna e gli ospiti collegano smartphone, portatili e tablet. La direzione vuole offrire Internet mantenendo questi dispositivi separati dalle apparecchiature aziendali.

Per riuscirci proponiamo tre reti:

Gli indirizzi e gli identificativi sono fittizi. Prima di utilizzarli, verifica che non coincidano con altre reti dell’impianto o con sottoreti raggiungibili tramite VPN.

In un ufficio, lo stesso schema permetterebbe di separare i visitatori dai dipendenti e dai server. Cambierebbe la policy di utilizzo, ma il principio resterebbe lo stesso: collegare un visitatore non deve dargli accesso alle risorse di lavoro.

Cosa apporta ciascuna parte della soluzione

regole firewall. Gli access point e gli switch trasportano le VLAN e devono applicare l’isolamento appropriato all’interno della rete wireless.

FlashStart permette di definire policy di filtraggio sui domini interrogati, inclusa la protezione contro i domini identificati come malevoli e i controlli per categorie. Le sue policy prevedono anche eccezioni per consentire o bloccare domini specifici, in base alle esigenze dell’organizzazione. Queste funzioni sono descritte nella documentazione sulle policy di FlashStart.

Per la struttura, questa combinazione permette di costruire un servizio ospiti con controlli definiti e verificabili. Per esempio, mantenere accessibili i servizi di prenotazione, trasporto e videochiamata, limitando al contempo le categorie che la direzione ha deciso di escludere.

Il filtro DNS è complementare alla separazione delle reti. Non sostituisce il firewall né analizza da solo tutti i file scaricati o il contenuto di ogni sessione HTTPS. Allo stesso modo, una VLAN separata non determina quali domini possono visitare i suoi utenti. Ogni componente risolve una parte del problema.

Passo 1. Associare il Wi-Fi ospiti a una VLAN dedicata

Sugli access point, crea un SSID come Hotel-Ospiti e assegnalo alla VLAN 30. I collegamenti tra gli AP, lo switch e il router devono trasportare correttamente questa VLAN.

La configurazione specifica dipende dal produttore dell’AP e, nel caso di MikroTik, dal modello e dal pacchetto wireless utilizzato. Per questo l’esempio parte da un’interfaccia di livello 3 chiamata vlan30-ospiti già creata sul router e da un trasporto VLAN verificato end-to-end.

Verifica che un dispositivo collegato all’SSID ospiti raggiunga solo la VLAN 30 e non riceva un indirizzo della rete del personale. Controlla le VLAN consentite sui collegamenti trunk e sulle porte di accesso: trasmettere due SSID diversi non garantisce che finiscano in reti separate.

Passo 2. Preparare gli indirizzi e il DHCP

Con vlan30-ospiti disponibile, possiamo assegnare al router l’indirizzo 192.168.30.1 e riservare un intervallo per i client.

Il client riceverà un indirizzo dell’intervallo, userà il MikroTik come gateway e gli invierà le proprie query DNS. La durata del lease di quattro ore è indicativa: va adattata alla rotazione degli utenti e al numero di dispositivi previsto.

Una camera può avere diversi dispositivi collegati. Dimensiona l’intervallo in base all’occupazione simultanea prevista, incluse le aree comuni e gli eventi. Se devi ampliarlo, rivedi insieme sottorete, pool, DHCP e le regole che utilizzano quegli indirizzi.

Passo 3. Proteggere il router e separare gli ospiti dalla rete aziendale

Ci sono due destinazioni diverse da controllare. Le query DNS e DHCP vanno al MikroTik stesso; le connessioni verso Internet o verso un’altra sottorete attraversano il router. In RouterOS corrispondono, rispettivamente, alle catene input e forward, come spiega la documentazione del firewall.

I blocchi seguenti sono una base IPv4 per lo scenario descritto, senza HotSpot. Vanno integrati da una connessione di amministrazione affidabile, con un backup e dopo aver rivisto le regole esistenti. La lista WAN deve contenere esclusivamente le interfacce di uscita verso Internet.

Per prima cosa creiamo una catena dedicata all’accesso degli ospiti al router:

/ip firewall filter

add chain=guest-input connection-state=invalid action=drop

add chain=guest-input protocol=udp dst-port=67 action=accept comment="DHCP ospiti"

add chain=guest-input protocol=udp dst-port=53 action=accept comment="DNS UDP ospiti"

add chain=guest-input protocol=tcp dst-port=53 action=accept comment="DNS TCP ospiti"

add chain=guest-input protocol=icmp action=accept comment="Diagnostica ICMP"

add chain=guest-input action=drop comment="Blocca altri servizi del router"

add chain=input in-interface=vlan30-ospiti action=jump jump-target=guest-input place-before=0

Con questo schema, gli ospiti possono richiedere la configurazione di rete e interrogare il DNS, ma non aprire WinBox, SSH o l’amministrazione web del router via IP. Accettare l’ICMP è una scelta di questo esempio per facilitare la diagnostica.

Controlla inoltre i servizi di livello 2, come MAC WinBox e il neighbor discovery, per limitarli alle interfacce di gestione. Il firewall IP non sostituisce questo controllo.

Per il traffico che attraversa il dispositivo, blocchiamo le destinazioni private dell’esempio e poi consentiamo solo l’uscita tramite WAN:

/ip firewall address-list

add list=guest-no-destinazioni address=10.0.0.0/8

add list=guest-no-destinazioni address=172.16.0.0/12

add list=guest-no-destinazioni address=192.168.0.0/16

add list=guest-no-destinazioni address=100.64.0.0/10

/ip firewall filter

add chain=guest-forward connection-state=invalid action=drop

add chain=guest-forward dst-address-list=guest-no-destinazioni action=drop comment="Nessun accesso alle reti private"

add chain=guest-forward out-interface-list=WAN action=accept comment="Ospiti verso Internet"

add chain=guest-forward action=drop comment="Blocca altre destinazioni"

add chain=forward in-interface=vlan30-ospiti action=jump jump-target=guest-forward place-before=0

La lista impedisce anche di raggiungere molti apparati dell’operatore con indirizzi privati attraverso la WAN. Aggiungi qualsiasi altra destinazione sensibile, compresi gli indirizzi pubblici usati per l’amministrazione. Questi quattro intervalli non sono un inventario completo di tutte le possibili destinazioni speciali o interne.

I salti vengono posizionati all’inizio affinché un’eventuale regola di accettazione generale precedente non annulli il controllo. Il firewall generale deve continuare a consentire le risposte alle connessioni autorizzate e a bloccare le connessioni non richieste provenienti da Internet. Quando introduci modifiche, controlla anche FastTrack e le connessioni già esistenti. Non eseguire questi blocchi più volte, perché creeresti regole duplicate.

Passo 4. Impedire le comunicazioni tra ospiti

Separare ospiti e personale non impedisce necessariamente che due ospiti comunichino tra loro. Se entrambi i dispositivi si trovano nella stessa VLAN, parte del loro traffico può passare per l’AP o lo switch senza attraversare il routing IP del MikroTik.

Attiva l’isolamento dei client sugli access point. Nel menu WiFi di MikroTik, la proprietà client-isolation è documentata per isolare i client collegati allo stesso AP. Consulta la documentazione WiFi per il tuo hardware e pacchetto.

Poi fai una prova con due dispositivi collegati ad AP diversi. L’isolamento su un singolo AP non dimostra che l’intera rete impedisca le comunicazioni tra ospiti. Se il traffico attraversa lo switch, servirà un meccanismo di isolamento compatibile con quello schema, come una segmentazione aggiuntiva o un port isolation configurato correttamente.

Per esempio, bloccare l’accesso di un ospite al computer della reception e bloccare l’accesso al portatile di un’altra camera sono verifiche diverse. Entrambe devono far parte della consegna del servizio.

Passo 5. Definire la policy ospiti in FlashStart

Prima di attivare le categorie, concorda quale esperienza vuole offrire la struttura. Per il nostro hotel proponiamo una policy chiamata Ospiti-Hotel: protezione contro i domini malevoli, restrizioni di contenuto selezionate ed eccezioni motivate per i servizi necessari.

Non è consigliabile applicare automaticamente agli ospiti le restrizioni di produttività di un ufficio. Un servizio video o un social network possono far parte dell’uso previsto del Wi-Fi dell’hotel. In una sala riunioni, le esigenze possono essere diverse.

Una proposta iniziale potrebbe essere:

Obiettivo	Criterio di configurazione
Ridurre l’esposizione ai domini pericolosi	Attivare la protezione dalle minacce disponibile nella policy.
Adattare la navigazione alla struttura	Selezionare le categorie che la direzione vuole limitare.
Mantenere i servizi essenziali	Verificare prenotazioni, trasporti, posta elettronica e strumenti per riunioni.
Risolvere i blocchi legittimi	Esaminare il dominio e creare un’eccezione specifica quando opportuno.

FlashStart permette di gestire categorie ed eccezioni; la documentazione sul filtraggio dei contenuti spiega queste opzioni. Per l’integratore, questa fase permette di trasformare una configurazione tecnica in una policy comprensibile per chi gestisce il servizio.

Passo 6. Collegare il MikroTik a FlashStart tramite DoH

Il percorso sarà semplice: l’ospite interroga il MikroTik e il MikroTik interroga FlashStart tramite DNS over HTTPS. La cifratura si applica al tratto tra router e provider; non trasforma automaticamente la comunicazione DNS tra client e router in una connessione cifrata.

La guida ufficiale di FlashStart per MikroTik consultata utilizza questi comandi per il certificato:

/tool fetch url=https://download.fsflt.com/fs_rootca/fs_rootca.pem

/certificate import file-name=fs_rootca.pem passphrase=""

Dopo aver verificato la provenienza e l’affidabilità del certificato, configura l’endpoint del tuo pannello. Il codice seguente contiene un segnaposto da sostituire:

/ip dns set use-doh-server="https://doh.fsflt.com/CODICE_PANNELLO" verify-doh-cert=yes allow-remote-requests=yes

Usa l’URL esatto fornito per la tua installazione e verifica che sia associato alla policy prevista. Mantieni attiva la validazione TLS, l’ora corretta e l’accesso HTTPS dal router al servizio.

Il nome dell’endpoint richiede una risoluzione iniziale. Non eliminare tutti i DNS esistenti senza disporre di un altro meccanismo per risolverlo. Inoltre, blocca TCP e UDP 53 dalle WAN tramite il firewall generale, prima di qualsiasi regola di accettazione che possa esporre il servizio. MikroTik descrive questi requisiti nella sua documentazione DNS.

Una policy ospiti non si seleziona solo perché esiste una VLAN

L’impostazione use-doh-server di questo esempio appartiene al resolver del router. Se personale e ospiti usano lo stesso servizio, non viene scelto automaticamente un URL diverso in base alla VLAN di origine.

Nel nostro schema, il personale mantiene un proprio servizio DNS indipendente; il resolver configurato qui viene usato per gli ospiti e per le query del router stesso. Se il personale dipendeva già da quel resolver, valuta l’impatto prima di modificarlo.

Per offrire policy diverse a più reti, progetta punti di risoluzione o meccanismi di identificazione distinti e compatibili con FlashStart. Creare due nomi di policy nel pannello non basta se tutte le query arrivano dallo stesso endpoint senza un’ulteriore distinzione.

Passo 7. Reindirizzare il DNS tradizionale degli ospiti

Un visitatore può configurare manualmente un altro DNS. Per indirizzare anche queste query tradizionali verso il MikroTik, usa regole limitate all’interfaccia ospiti:

/ip firewall nat

add chain=dstnat in-interface=vlan30-ospiti protocol=udp dst-port=53 action=redirect to-ports=53 comment="DNS UDP ospiti al router"

add chain=dstnat in-interface=vlan30-ospiti protocol=tcp dst-port=53 action=redirect to-ports=53 comment="DNS TCP ospiti al router"

Posizionale prima di altre regole NAT che corrispondono a quel traffico. Usando redirect, la query termina sul router e può seguire il percorso DoH configurato. Reindirizzarla direttamente a un IP pubblico sulla porta 53 sarebbe un’architettura diversa.

Queste regole non intercettano il DoH integrato nei browser, le VPN né tutto il traffico DNS cifrato. Se serve un controllo aggiuntivo, definisci una policy specifica e verificane l’effetto sui dispositivi degli utenti. Bloccare l’HTTPS indiscriminatamente impedirebbe gran parte della navigazione legittima.

Un servizio ospiti che puoi mantenere

Una volta implementato, documenta chi può modificare le categorie, come richiedere un’eccezione e cosa verificare quando un utente segnala un blocco. Per esempio, prima di consentire un’intera categoria, individua il dominio necessario e valuta un’eccezione limitata.

Tieni separati i problemi di copertura, di capacità e di risoluzione DNS. Se un client riceve poco segnale, modificare FlashStart non migliorerà il suo collegamento wireless. Se la query fallisce a causa di un certificato, aumentare la banda non risolverà il problema.

Questa distinzione semplifica l’assistenza e aiuta l’integratore a offrire una manutenzione concreta: rivedere la policy, verificare l’isolamento e validare il servizio dopo modifiche al firmware o alla rete.

Vuoi aggiungere il filtro DNS al Wi-Fi ospiti del tuo hotel o ufficio? Scopri le opzioni di FlashStart per le reti Wi-Fi e pianifica l’integrazione su una rete correttamente segmentata. Con MikroTik che gestisce l’accesso e FlashStart che applica la policy DNS, potrai offrire una connessione ospiti con controlli definiti e test che ne dimostrano il funzionamento.