Gastnetwerk instellen op kantoor: zo richt je het veilig in

Bijna elk kantoor heeft een gastnetwerk. Bezoekers verwachten het, en het is een kleine moeite. Maar in veel bedrijven is dat gastnetwerk sinds de installatie niet meer aangeraakt: hetzelfde wachtwoord, jarenlang, op een briefje bij de balie of in de handtekening van een oude e-mail. Een gastnetwerk instellen is zo gebeurd; het daarna veilig houden vraagt iets meer.

Dat wachtwoord kent inmiddels iedereen. De schoonmaker, de leverancier die twee jaar geleden een offerte kwam brengen, de sollicitant die het is blijven gebruiken. Erger: als dat gastnetwerk niet echt gescheiden is van je bedrijfsnetwerk, dan zit iedereen met dat wachtwoord in dezelfde ruimte als je server, je printer en de laptop van je administratie.

Het goede nieuws is dat je dit met de apparatuur die je waarschijnlijk al hebt behoorlijk kunt dichtzetten. In dit artikel lopen we door hoe je een gastnetwerk inricht dat niets vertrouwt wat er binnenkomt, zonder dat je bezoekers het gevoel krijgen dat ze door een sluis moeten.

Wat er precies misgaat met één vast wachtwoord

Een gedeeld wachtwoord heeft drie problemen tegelijk. Het eerste is dat je het niet kunt intrekken voor één persoon: wil je iemand de toegang ontnemen, dan moet je het voor iedereen veranderen. Het tweede is dat je niet weet wie er zit. Als er iets vervelends gebeurt vanaf je verbinding, kun je alleen zeggen: iemand die in de buurt was.

Het derde is het meest onderschatte. Een gast heeft niet per se kwade bedoelingen, maar zijn laptop kan wel besmet zijn. Zodra dat apparaat op hetzelfde netwerksegment zit als je bedrijfssystemen, kan malware gaan rondkijken: welke apparaten zijn er, waar staat een netwerkschijf open, welke printer accepteert alles. Dat heet zijwaartse beweging, en het is precies wat je wilt voorkomen.

Veel gastnetwerken zijn overigens alleen in naam gescheiden. Er staat een tweede netwerknaam in de router, met een ander wachtwoord, maar het verkeer komt in hetzelfde netwerk terecht. Dat voelt veilig en is het niet.

Het uitgangspunt: nooit zomaar vertrouwen

De gedachte achter zero trust is simpel: een apparaat krijgt geen vertrouwen omdat het binnen staat, maar alleen op basis van wat het is en wat het mag. Voor je gastnetwerk vertaalt zich dat naar één regel: een gast mag naar het internet, en verder nergens heen.

Laat je niet gek maken door de grote woorden die om dit onderwerp heen hangen. Je hebt hier geen dure enterprise-oplossing voor nodig; wel een paar instellingen die kloppen. Wat zero trust in de praktijk wel en niet oplevert voor een mkb-bedrijf, hebben we uitgewerkt in de valkuilen van zero trust.

Stap 1: echt scheiden, niet alleen een ander wachtwoord

Dit is de belangrijkste stap en tegelijk degene die het vaakst half is gedaan. Zet je gastnetwerk op een eigen VLAN met een eigen IP-reeks, en leg in je firewall expliciet vast dat verkeer vanuit dat gastsegment niets in je bedrijfsnetwerk mag bereiken. Alleen internet, verder niets.

Zet daarnaast apparaatisolatie aan (bij de meeste merken heet dat client isolation of guest isolation). Daarmee kunnen gasten ook elkaar niet zien. Dat is prettig voor je bezoekers en het haalt nog een aanvalsroute weg.

Controleer daarna of het ook echt werkt. Verbind een laptop met het gastnetwerk en probeer een adres in je kantoornetwerk te bereiken, bijvoorbeeld de beheerpagina van je router of een netwerkschijf. Lukt dat, dan is de scheiding niet dicht. Deze test kost vijf minuten en levert opvallend vaak een verrassing op.

Stap 2: van vast wachtwoord naar tijdelijke toegang

Vervang het eeuwige wachtwoord door toegang die vanzelf verloopt. Er zijn een paar werkbare vormen, oplopend in moeite:

• Een wachtwoord dat je periodiek wijzigt. Het minimum. Elk kwartaal een nieuwe code, en meteen na een groot bezoek of evenement.
• Vouchers of dagcodes. De receptie of een collega maakt een code die na 8 of 24 uur vervalt. De meeste zakelijke wifi-apparatuur kan dit standaard.
• Een aanmeldpagina. De bekende pagina die verschijnt als je in een hotel inlogt. Je kunt daar je huisstijl op zetten en per bezoeker toegang uitgeven.

Een aandachtspunt dat vaak wordt vergeten: vraag je naam en e-mailadres op zo’n aanmeldpagina, dan verwerk je persoonsgegevens. Dan moet je kunnen uitleggen waarom je die gegevens nodig hebt, hoe lang je ze bewaart en waar dat staat. Vraag je ze alleen om er later marketingmail naartoe te sturen, dan heb je daar apart toestemming voor nodig. In de praktijk is het meestal verstandiger om helemaal geen gegevens te vragen en met vervallende codes te werken: minder gedoe, minder risico. Meer over dit soort keuzes staat in de dataregels waar je in 2026 mee te maken hebt.

Stap 3: grenzen aan tijd en snelheid

Zet een sessieduur in die past bij een bezoek: acht of twaalf uur is voor de meeste kantoren ruim voldoende. Daarna moet iemand opnieuw inloggen. Dat is geen onvriendelijkheid; het zorgt er alleen voor dat toegang niet ongemerkt maanden doorloopt.

Beperk daarnaast de bandbreedte op het gastsegment. Een bezoeker die zijn mail leest en een presentatie ophaalt heeft weinig nodig. Zonder limiet kan één iemand die zijn volledige fotoarchief synchroniseert je vergaderzaal onbruikbaar maken. Loopt je wifi sowieso stroef, kijk dan ook naar structurele verbetering van je wifi en naar het oplossen van netwerkproblemen.

Een DNS-filter op het gastnetwerk is een kleine toevoeging met veel effect: het blokkeert bekende kwaadaardige domeinen voordat een besmet apparaat contact kan maken. Dat beschermt je bezoeker en houdt jouw IP-adres uit vervelende lijstjes.

Stap 4: wat hoort er nog meer op dat netwerk?

Het gastnetwerk is ook de logische plek voor apparaten die wel internet nodig hebben, maar niets in je bedrijfsnetwerk te zoeken hebben: een vergaderzaalscherm, een slimme thermostaat, een televisie in de kantine. Vaak zijn dat apparaten met verouderde software die je niet kunt bijwerken.

Let wel op de uitzonderingen. Een netwerkprinter hoort niet op je gastnetwerk als je medewerkers erop moeten printen, maar hij hoort ook niet zomaar onbeveiligd in je hoofdnetwerk. Daarover meer in je draadloze printer beveiligen. Over de apparaten die er al hangen zonder dat iemand het weet, lees je in slimme apparaten op kantoor. En de basisgedachte achter een apart netwerk staat in slimme apparaten op een gastnetwerk.

Een voorbeeld uit de praktijk

Een handelsbedrijf met 34 medewerkers had een gastnetwerk met een wachtwoord dat sinds de verhuizing in 2019 hetzelfde was. Bij een controle bleek het gastnetwerk wel een eigen naam te hebben, maar geen eigen segment: vanaf een gastlaptop was de netwerkschijf gewoon zichtbaar en de beheerpagina van de firewall bereikbaar.

Er hingen bovendien elf apparaten op dat gastnetwerk die niemand kon plaatsen. Twee bleken van een leverancier te zijn die er al twee jaar niet meer kwam. Het herstellen kostte een halve dag: een eigen VLAN, een firewallregel, apparaatisolatie aan, dagcodes via de receptie en een bandbreedtelimiet. Sindsdien is het gastnetwerk wat het hoort te zijn: een deur naar buiten, niet naar binnen.

Zo pak je het aan

1. Test of je huidige gastnetwerk echt gescheiden is. Verbind een laptop en probeer iets in je kantoornetwerk te bereiken.
2. Richt een eigen VLAN in met een firewallregel die alleen internet toestaat, en zet apparaatisolatie aan.
3. Vervang het vaste wachtwoord door vervallende codes of een aanmeldpagina.
4. Zet een sessieduur en een bandbreedtelimiet, en zet er een DNS-filter voor.
5. Kijk welke apparaten er nu op hangen en ruim op wat er niet hoort.
6. Zet WPA3 aan als je apparatuur het ondersteunt, en zet een open gastnetwerk zonder wachtwoord helemaal uit.

Veelgestelde vragen

Heb ik hier dure apparatuur voor nodig?

Nee. Zakelijke wifi-apparatuur van de gangbare merken kan VLAN’s, apparaatisolatie, vouchers en bandbreedtelimieten standaard. Draai je nog op een router van je internetprovider, dan zit je aan de grens van wat kan — dat is meestal het moment om naar een echte zakelijke oplossing te kijken.

Moet ik bijhouden wie er op mijn gastnetwerk zit?

Voor een gewoon bedrijf bestaat er geen algemene verplichting om internetverkeer van bezoekers te bewaren. Enige registratie helpt wel als er ooit iets misgaat. Bewaar dan zo min mogelijk, en niet langer dan nodig; alles wat je bewaart valt onder de AVG.

Is een gastnetwerk ook nuttig als er nooit bezoek komt?

Ja, want het is de perfecte plek voor alles wat wel internet nodig heeft maar niets in je bedrijfsnetwerk te zoeken heeft: schermen, sensoren, slimme apparaten en de telefoons van medewerkers die niet zakelijk gebruikt worden.

Mogen medewerkers hun privételefoon op het gastnetwerk?

Dat is juist een prima oplossing. Je houdt privéapparaten uit je bedrijfsnetwerk zonder dat je nee hoeft te verkopen. Gebruiken medewerkers hun eigen apparaat wel voor werk, dan gelden er andere afspraken — zie BYOD soepel en veilig.

Wat is het verschil tussen een tweede SSID en een echt gescheiden gastnetwerk?

Een tweede SSID is alleen een andere netwerknaam. Zit die op hetzelfde netwerk, dan krijgen gasten nog steeds toegang tot je interne servers, printers en gedeelde mappen — en kan een besmet apparaat gewoon malware verspreiden richting je werkplekken. Een veilig gastnetwerk staat apart, in een eigen VLAN, met een captive portal waar bezoekers zich aanmelden. Zo blijft het aantal gebruikers overzichtelijk en raakt het verkeer van gasten en medewerkers elkaar niet. De beveiliging van je bedrijfsnetwerk hangt dus niet af van de netwerknaam, maar van die scheiding.

Weet je niet zeker of je gastnetwerk echt gescheiden is? Dat is in een half uur te testen. We kijken graag een keer mee en zetten het meteen goed neer.