Документация · Изоляция критичной сети
Гостевой Wi‑Fi никогда не подбирается к вашей кассе.
Главная тревога любого, кто управляет заведением, — что гостевой Wi‑Fi помешает продажам. Поэтому Tagnect управляет только гостевой сетью: касса, принтеры чеков и фискальные принтеры, платёжные терминалы и внутренние системы остаются в отдельной сети с постоянным ключом, который Tagnect не меняет и от которого не зависит.
Рекомендуемая топология
Отдельные сети, отдельные роли
Операционная сеть (ваша)
Касса, принтеры чеков и фискальные принтеры, платёжные терминалы, камеры и внутренние системы. Постоянный, надёжный, нигде не разглашаемый ключ. Tagnect не управляет этой сетью и не меняет её.
Гостевая сеть (Tagnect)
Только для временных гостей: сменяемый пароль, NFC-метки и OTP. Изолирована от операционной сети, выход только в интернет.
Сеть устройств (по желанию)
Телевизоры, принтеры общего назначения и другие устройства без экрана, с собственным постоянным ключом. Тоже отделена от операционной сети.
Сценарии
Что происходит с вашей работой в каждой ситуации
| Ситуация | Операционная сеть | Гостевая сеть |
|---|---|---|
| Обычная работа | Работает как обычно; Tagnect не участвует | Сменяемый пароль для каждой группы, вход по метке или OTP |
| Автоматическая смена гостевого пароля | Не затрагивается (постоянный ключ, вне ротации) | Новый пароль начинает действовать до удаления старого, с настраиваемым льготным периодом |
| Облако Tagnect недоступно | Не затрагивается | Уже подключённые гости продолжают пользоваться интернетом; новые входы по метке ждут восстановления сервиса |
| Скомпрометированное гостевое устройство | Недосягаема: гости не могут получить доступ к операционной сети | Изоляция клиентов не даёт гостям видеть друг друга |
| Нет интернета в заведении | Зависит от интернет-провайдера, с Tagnect или без него | Зависит от интернет-провайдера, с Tagnect или без него |
По платформам
Как изоляция реализована на вашем оборудовании
На любой платформе у гостевой сети свой SSID, и она не может достичь операционной сети. Детали зависят от производителя.
- Ubiquiti UniFi и TP‑Link OmadaГостевой SSID в собственной VLAN, с изоляцией клиентов и правилами контроллера, блокирующими доступ к операционной локальной сети.
- Cisco MerakiОтдельный гостевой SSID с групповой политикой и блокировкой доступа к локальной сети, заданными в облаке Meraki.
- MikroTik RouterOSУстановщик Tagnect создаёт для гостей отдельный bridge, подсеть и DHCP, а также правила межсетевого экрана, разрешающие выход только в интернет. Существующая сеть заведения не меняется.
- OpenWrtОтдельный интерфейс и зона межсетевого экрана для гостей, без пересылки трафика в операционную локальную сеть.
Контрольный список
Что проверить технику при установке
- Платёжные терминалы и касса вне гостевой сетиВ операционной сети, по кабелю или на собственной 4G-SIM терминала.
- SSID операционной сети с надёжным, нигде не разглашаемым ключомWPA2 или WPA3, постоянный ключ известен только персоналу.
- Отдельная подсеть или VLAN для гостейС включённой изоляцией клиентов.
- Нет маршрута через межсетевой экран от гостей к операционной сетиГости выходят только в интернет.
- Финальный тестС телефона в гостевой сети убедитесь, что вы не можете добраться ни до принтера чеков, ни до компьютера на кассе.
Хотите проверить топологию своей сети?
Сообщите производителя и модель оборудования и то, как подключены касса и платёжные терминалы. Перед установкой мы порекомендуем конфигурацию.