Dokumentation · Isolation des kritischen Netzwerks
Gäste-Wi‑Fi kommt Ihrer Kasse nie in die Quere.
Die größte Sorge aller, die einen Betrieb führen, ist, dass das Gäste-Wi‑Fi den Verkauf stört. Deshalb verwaltet Tagnect ausschließlich das Gästenetzwerk: Kasse, Beleg- und Fiskaldrucker, Kartenterminals und interne Systeme bleiben in einem separaten Netzwerk mit festem Schlüssel, das Tagnect weder ändert noch voraussetzt.
Empfohlene Topologie
Getrennte Netzwerke, getrennte Rollen
Betriebsnetzwerk (Ihres)
Kasse, Beleg- und Fiskaldrucker, Kartenterminals, Kameras und interne Systeme. Fester, starker, nicht weitergegebener Schlüssel. Tagnect verwaltet dieses Netzwerk nicht und ändert es nicht.
Gästenetzwerk (Tagnect)
Nur für Gäste auf der Durchreise: rotierendes Passwort, NFC-Tags und OTP. Vom Betriebsnetzwerk isoliert, mit Zugang ausschließlich zum Internet.
Gerätenetzwerk (optional)
Fernseher, Mehrzweckdrucker und andere Geräte ohne Display, mit eigenem festem Schlüssel. Ebenfalls vom Betriebsnetzwerk getrennt.
Szenarien
Was in jeder Situation mit Ihrem Geschäftsbetrieb geschieht
| Situation | Betriebsnetzwerk | Gästenetzwerk |
|---|---|---|
| Normalbetrieb | Funktioniert wie gewohnt; Tagnect ist nicht beteiligt | Rotierendes Passwort pro Gruppe, Anmeldung per Tag oder OTP |
| Automatische Rotation des Gästepassworts | Nicht betroffen (fester Schlüssel, außerhalb der Rotation) | Das neue Passwort ist aktiv, bevor das alte entfernt wird, mit konfigurierbarer Kulanzzeit |
| Tagnect-Cloud nicht erreichbar | Nicht betroffen | Bereits verbundene Gäste surfen weiter; neue Tag-Anmeldungen warten, bis der Dienst wieder verfügbar ist |
| Kompromittiertes Gästegerät | Außer Reichweite: Gäste haben keinen Zugriff auf das Betriebsnetzwerk | Die Client-Isolation verhindert, dass Gäste einander sehen |
| Internetanschluss des Betriebs gestört | Hängt vom Internetanbieter ab, mit oder ohne Tagnect | Hängt vom Internetanbieter ab, mit oder ohne Tagnect |
Nach Plattform
Wie die Isolation auf Ihrer Hardware umgesetzt wird
Auf jeder Plattform hat das Gästenetzwerk eine eigene SSID und erreicht das Betriebsnetzwerk nicht. Die Details unterscheiden sich je nach Hersteller.
- Ubiquiti UniFi und TP‑Link OmadaGäste-SSID in einem eigenen VLAN, mit Client-Isolation und Controller-Regeln, die den Zugriff auf das LAN des Betriebs sperren.
- Cisco MerakiSeparate Gäste-SSID, mit einer Gruppenrichtlinie und einer in der Meraki-Cloud eingerichteten Sperre des LAN-Zugriffs.
- MikroTik RouterOSDas Tagnect-Installationsprogramm legt für Gäste eine eigene Bridge, ein eigenes Subnetz und einen eigenen DHCP-Server an, dazu Firewall-Regeln, die nur den Weg ins Internet erlauben. Das bestehende Netzwerk des Betriebs wird nicht verändert.
- OpenWrtEigene Schnittstelle und eigene Firewall-Zone für Gäste, ohne Weiterleitung ins LAN des Betriebs.
Checkliste
Zur Prüfung durch Ihren Techniker bei der Installation
- Kartenterminals und Kasse nicht im GästenetzwerkIm Betriebsnetzwerk, per Kabel oder über die eigene 4G-SIM des Terminals.
- Betriebs-SSID mit starkem, nicht weitergegebenem SchlüsselWPA2 oder WPA3, ein fester Schlüssel, den nur das Personal kennt.
- Separates Subnetz oder VLAN für GästeMit aktivierter Client-Isolation.
- Keine Firewall-Route von den Gästen zum BetriebGäste gelangen ausschließlich ins Internet.
- AbschlusstestPrüfen Sie mit einem Smartphone im Gästenetzwerk, dass weder der Belegdrucker noch der Kassenrechner erreichbar ist.
Möchten Sie Ihre Netzwerktopologie prüfen lassen?
Senden Sie uns Hersteller und Modell Ihrer Hardware und teilen Sie uns mit, wie Kasse und Kartenterminals angebunden sind. Wir empfehlen die Konfiguration vor der Installation.