Документація · Ізоляція критичної мережі
Гостьове Wi‑Fi ніколи не наближається до вашої каси.
Головне занепокоєння будь-кого, хто керує закладом, — що гостьове Wi‑Fi завадить продажам. Тому Tagnect керує лише гостьовою мережею: каса, принтери чеків і фіскальні принтери, платіжні термінали та внутрішні системи лишаються в окремій мережі з постійним ключем, який Tagnect не змінює і від якого не залежить.
Рекомендована топологія
Окремі мережі, окремі ролі
Операційна мережа (ваша)
Каса, принтери чеків і фіскальні принтери, платіжні термінали, камери та внутрішні системи. Постійний, надійний, нікому не розголошуваний ключ. Tagnect не керує цією мережею й не змінює її.
Гостьова мережа (Tagnect)
Лише для тимчасових гостей: змінний пароль, NFC-мітки та OTP. Ізольована від операційної мережі, вихід лише в інтернет.
Мережа пристроїв (за бажанням)
Телевізори, принтери загального призначення та інші пристрої без екрана, з власним постійним ключем. Також відокремлена від операційної мережі.
Сценарії
Що відбувається з вашою роботою в кожній ситуації
| Ситуація | Операційна мережа | Гостьова мережа |
|---|---|---|
| Звичайна робота | Працює як завжди; Tagnect не бере участі | Змінний пароль для кожної групи, вхід за міткою чи OTP |
| Автоматична зміна гостьового пароля | Не зачіпається (постійний ключ, поза ротацією) | Новий пароль починає діяти до видалення старого, з налаштовуваним пільговим періодом |
| Хмара Tagnect недоступна | Не зачіпається | Уже підключені гості й далі користуються інтернетом; нові входи за міткою чекають на відновлення сервісу |
| Скомпрометований гостьовий пристрій | Недосяжна: гості не можуть отримати доступ до операційної мережі | Ізоляція клієнтів не дає гостям бачити один одного |
| Немає інтернету в закладі | Залежить від інтернет-провайдера, з Tagnect чи без нього | Залежить від інтернет-провайдера, з Tagnect чи без нього |
За платформами
Як ізоляцію реалізовано на вашому обладнанні
На кожній платформі гостьова мережа має власний SSID і не може досягти операційної мережі. Деталі залежать від виробника.
- Ubiquiti UniFi і TP‑Link OmadaГостьовий SSID у власній VLAN, з ізоляцією клієнтів і правилами контролера, що блокують доступ до операційної локальної мережі.
- Cisco MerakiОкремий гостьовий SSID із груповою політикою та блокуванням доступу до локальної мережі, заданими в хмарі Meraki.
- MikroTik RouterOSІнсталятор Tagnect створює для гостей окремий bridge, підмережу та DHCP, а також правила міжмережевого екрана, що дозволяють вихід лише в інтернет. Наявна мережа закладу не змінюється.
- OpenWrtОкремий інтерфейс і зона міжмережевого екрана для гостей, без пересилання трафіку в операційну локальну мережу.
Контрольний список
Що перевірити технікові під час встановлення
- Платіжні термінали та каса поза гостьовою мережеюВ операційній мережі, по кабелю або на власній 4G-SIM термінала.
- SSID операційної мережі з надійним, нікому не розголошуваним ключемWPA2 або WPA3, постійний ключ відомий лише персоналу.
- Окрема підмережа або VLAN для гостейЗ увімкненою ізоляцією клієнтів.
- Немає маршруту через міжмережевий екран від гостей до операційної мережіГості виходять лише в інтернет.
- Фінальний тестЗ телефона в гостьовій мережі переконайтеся, що ви не можете дістатися ні до принтера чеків, ні до комп'ютера на касі.
Хочете перевірити топологію своєї мережі?
Повідомте виробника й модель обладнання та те, як підключені каса й платіжні термінали. Перед встановленням ми порекомендуємо конфігурацію.