Documentatie · Isolatie van het kritieke netwerk
Gasten-Wi‑Fi komt nooit in de buurt van uw kassa.
De grootste zorg van iedereen die een locatie runt, is dat gasten-Wi‑Fi de verkoop in de weg zit. Daarom beheert Tagnect alleen het gastennetwerk: kassa, bonnen- en fiscale printers, betaalterminals en interne systemen blijven op een apart netwerk met een vaste sleutel, die Tagnect niet wijzigt en waarvan het niet afhankelijk is.
Aanbevolen topologie
Gescheiden netwerken, gescheiden rollen
Bedrijfsnetwerk (van u)
Kassa, bonnen- en fiscale printers, betaalterminals, camera's en interne systemen. Vaste, sterke, niet gedeelde sleutel. Tagnect beheert dit netwerk niet en wijzigt het niet.
Gastennetwerk (Tagnect)
Alleen voor tijdelijke gasten: roterend wachtwoord, NFC-tags en OTP. Geïsoleerd van het bedrijfsnetwerk, met uitsluitend toegang tot internet.
Apparatennetwerk (optioneel)
Tv's, algemene printers en andere apparaten zonder scherm, met een eigen vaste sleutel. Ook gescheiden van het bedrijfsnetwerk.
Scenario's
Wat er in elke situatie met uw bedrijfsvoering gebeurt
| Situatie | Bedrijfsnetwerk | Gastennetwerk |
|---|---|---|
| Normaal bedrijf | Werkt zoals gewoonlijk; Tagnect is er niet bij betrokken | Roterend wachtwoord per groep, aanmelden via tag of OTP |
| Automatische rotatie van het gastenwachtwoord | Niet beïnvloed (vaste sleutel, buiten de rotatie) | Het nieuwe wachtwoord is actief voordat het oude wordt verwijderd, met een instelbare respijtperiode |
| Tagnect-cloud niet beschikbaar | Niet beïnvloed | Reeds verbonden gasten blijven surfen; nieuwe tag-aanmeldingen wachten tot de dienst terug is |
| Gecompromitteerd gastenapparaat | Buiten bereik: gasten hebben geen toegang tot het bedrijfsnetwerk | Clientisolatie voorkomt dat gasten elkaar zien |
| Internetverbinding van de locatie uitgevallen | Hangt af van de internetprovider, met of zonder Tagnect | Hangt af van de internetprovider, met of zonder Tagnect |
Per platform
Hoe isolatie op uw apparatuur wordt gerealiseerd
Op elk platform heeft het gastennetwerk een eigen SSID en kan het het bedrijfsnetwerk niet bereiken. De details verschillen per fabrikant.
- Ubiquiti UniFi en TP‑Link OmadaGasten-SSID op een eigen VLAN, met clientisolatie en controllerregels die de toegang tot het LAN van de locatie blokkeren.
- Cisco MerakiAparte gasten-SSID, met een groepsbeleid en blokkering van LAN-toegang, ingesteld in de Meraki-cloud.
- MikroTik RouterOSHet Tagnect-installatieprogramma maakt voor gasten een eigen bridge, subnet en DHCP aan, plus firewallregels die alleen uitgaand internetverkeer toestaan. Het bestaande netwerk van de locatie wordt niet gewijzigd.
- OpenWrtEigen interface en firewallzone voor gasten, zonder doorsturing naar het LAN van de locatie.
Checklist
Voor uw technicus om bij de installatie te controleren
- Betaalterminals en kassa niet op het gastennetwerkOp het bedrijfsnetwerk, via kabel of op de eigen 4G-simkaart van de terminal.
- Bedrijfs-SSID met een sterke, niet gedeelde sleutelWPA2 of WPA3, een vaste sleutel die alleen het personeel kent.
- Apart subnet of VLAN voor gastenMet clientisolatie ingeschakeld.
- Geen firewallroute van gasten naar het bedrijfsnetwerkGasten gaan alleen naar internet.
- EindtestControleer met een telefoon op het gastennetwerk dat u de bonnenprinter of de kassacomputer niet kunt bereiken.
Wilt u uw netwerktopologie laten valideren?
Stuur ons de fabrikant en het model van uw apparatuur en hoe de kassa en betaalterminals zijn aangesloten. Wij adviseren de configuratie vóór de installatie.