Gastnetwerk vs beheersnetwerk: waarom scheiden verplicht is voor hotels en campings

Gastnetwerk vs beheersnetwerk: waarom scheiden verplicht is voor hotels en campings

Je denkt misschien dat één netwerk voor iedereen prima is; het scheelt kosten en gedoe. Dat lijkt aantrekkelijk, maar het is ook vragen om problemen. In de hospitality zijn gasten voldoende bezig met hun verblijf; jij hebt verantwoordelijkheden als netwerkbeheerder en ondernemer. Een gedeeld netwerk brengt risico's die je niet wilt, en vaak ook niet mag nemen.

Wat is het verschil tussen gastnetwerk en beheersnetwerk

Een gastnetwerk is bedoeld voor gasten en bezoekers. Het biedt internettoegang, vaak met captive portal voor inloggen of akkoord gaan met voorwaarden. Het moet eenvoudig werken, snel genoeg zijn voor streaming en betrouwbaar voor mobiele devices. Een beheersnetwerk (ook wel management-, staff- of backofficenetwerk genoemd) is bedoeld voor jouw bedrijfssystemen: kassasystemen, reserveringssoftware, betaalterminals, backoffice-pc's, camera's en IoT-apparaten zoals slimme sloten of thermostaten. Dit netwerk bevat vertrouwelijke data en systemen die beschikbaar moeten blijven.

Belangrijk: gastnetwerk en beheersnetwerk mogen niet dezelfde technische segmenten delen. Dat betekent aparte SSID's, aparte VLANs (virtuele scheiding), en vaak aparte firewallregels. Leg je alles op één netwerk? Dan hebben willekeurige gasten en kwaadwillenden in theorie directe toegang naar je kassasysteem en camera's.

Waarom een gedeeld netwerk een beveiligingsrisico is

Een gedeeld netwerk klinkt logisch voor kostenbesparing, maar de gevolgen zijn fors. Ten eerste: lateral movement. Zodra een aanvaller op jouw netwerk kan komen met een laptop of malware op een telefoon, kan die proberen andere apparaten te bereiken. Zonder scheiding is dat vaak makkelijk. Ten tweede: data-lekken. Betaalgegevens en persoonlijke gastgegevens mogen niet blootstaan aan het gastverkeer. Ten derde: service-onderbreking. Gasten die gigantische downloads doen of een botnet draaien kunnen je bandbreedte opvreten, waardoor je kritische systemen trager worden of uitvallen.

Praktische voorbeelden uit de hospitality:

• Een gast met malware krijgt toegang tot je backoffice-pc en plant een aanval op je reserveringssysteem, met als gevolg dubbele boekingen en omzetverlies. Dat raakt direct je reputatie.
• Een niet-afgeschermd printer- of IoT-device wordt gebruikt als springplank voor DDoS-activiteiten. Jij krijgt de rekening van de provider en ontevreden gasten.
• Een onbeveiligde camera die op hetzelfde netwerk hangt, wordt overgenomen en video’s van het terrein lekken online. Privacywetten zijn streng; dit kost geld en vertrouwen.

Daarnaast geldt wet- en regelgeving. Met de AVG moet je passende technische maatregelen nemen om persoonsgegevens te beschermen. Een simpel gedeeld netwerk is zelden een geschikte maatregel. Voor betaaltransacties zijn er ook normen (zoals PCI-DSS) die netwerksegmentatie en extra beveiliging vereisen.

Wat moet een hotel of camping minimaal hebben

Scheiden hoeft niet ingewikkeld te zijn. Maar het moet wél goed gedaan worden. Minimaal adviseren wij deze opzet:

• Eén gastnetwerk (SSID) met captive portal en bandbreedtebeheer. Zorg dat gasten makkelijk inloggen en dat streaming mogelijk is zonder de boel te verstoren. Gebruik WPA2/3 of minstens een beveiligde captive portal.
• Eén beheersnetwerk exclusief voor personeel en kritieke systemen. Dit netwerk is alleen toegankelijk voor medewerkers en vaste apparatuur. Gebruik sterke authenticatie zoals WPA2-Enterprise of certificaten.
• Eén VLAN voor IoT-apparaten zoals camera's, slimme sloten, thermostaten en printers. IoT-apparaten hebben vaak zwakke beveiliging, dus plaats ze apart met beperkte toegang tot andere netwerken.
• Firewallregels die verkeer tussen deze netwerken blokkeren tenzij expliciet nodig. Bijvoorbeeld: medewerkers mogen het IoT-netwerk beheren, gasten niet.
• Gastisolatie aan: zorg dat gasten elkaar niet kunnen zien. Dat voorkomt dat iemand je gasten target.

Technische opties die je minimaal nodig hebt:

• Managed WiFi access points die VLAN-ondersteuning bieden. Goedkope consumenten-routers volstaan vaak niet. Managed apparatuur maakt beheer, troubleshooting en segmentatie veel eenvoudiger.
• Een goede router/firewall die VLANs en inspectie van verkeer ondersteunt. Zorg dat je firewall regels eenvoudig kunt instellen en logs genereert.
• Een captive portal oplossing die bijhoudt wie wanneer online is geweest. Dit helpt bij beveiliging en bij eventuele incidentonderzoeken.

Concrete inrichting voor verschillende locaties

Klein familiecamping (40-80 plekken): hier werkt een eenvoudige, duidelijke scheiding goed. Gebruik twee SSID's: "Camping-Guest" en "Camping-Staff". Laat gastverkeer limieten hebben (bijvoorbeeld 10 Mbps per device) en activeer gastisolatie. Plaats camera's en betaalautomaten op het staffnetwerk of een apart IoT VLAN.

Middelgroot hotel (50-150 kamers): gebruik drie VLANs: guest, staff, iot. Staff en iot hebben alleen toegang tot noodzakelijke diensten via strikte firewallrules. Gebruik WPA2-Enterprise voor staff zodat medewerkers met hun werkaccount inloggen. Schakel netwerkmonitoring in om abnormaal verkeer te detecteren.

Groot resort (>150 kamers): hier wil je redundantie en meer segmentatie. Reserveer aparte VLANs voor backoffice, betalingsterminals, conference-netwerk (vergaderruimtes), guest en public spaces. Gebruik loadbalancing en meerdere SSIDs per band (2.4/5 GHz) voor performance. Overweeg een professioneel managementplatform voor WiFi, zodat je eenvoudig captive portals, updates en patches centraal regelt.

Veelgemaakte fouten en hoe ze te vermijden

Een klassieke fout is denken dat gastisolatie genoeg is. Gastisolatie voorkomt dat gasten elkaar zien, maar beschermt niet tegen toegang tot je backoffice als alles op hetzelfde VLAN zit. Een andere vergissing is het gebruiken van simpele consumenten-routers. Die missen vaak VLANs of hebben slechte firewallmogelijkheden. Tot slot nog een ding: gemak voor de gast mag niet ten koste gaan van veiligheid. Een captive portal die geen logging doet is leuk, maar helpt niet bij een incident.

Wat je wél moet doen: regelmatige firmware-updates, sterke wachtwoorden voor managementinterfaces, en gescheiden beheeraccounts voor netwerkapparatuur. Zorg dat alleen een paar mensen toegang hebben tot de beheersinterfaces en dat die toegang beschermd is met multifactor.

Kosten versus risico: waarom investering loont

Scheiding van netwerken kost iets meer in apparatuur en beheer. Maar de kosten van een datalek, reputatieschade of uitval van betaalterminals zijn vele malen hoger. Bovendien: gasten verwachten tegenwoordig stabiele en veilige WiFi. Een slechte ervaring vertaalt zich direct naar reviews en boekingen.

Praktisch: investeer in managed WiFi-apparaten en een goede firewall. Kies voor een leverancier die ervaring heeft in hospitality. Dat betaalt zich terug in minder storingen, snellere support en betere beveiliging.

Conclusie en concrete tip

Kort gezegd: een gedeeld netwerk is een veiligheidsrisico en vaak niet voldoende volgens wet- en regelgevingen. Scheiding tussen gast- en beheersnetwerk is dus geen luxe, maar een basisvoorwaarde. Met de juiste VLANs, firewallregels, captive portal en beheerde WiFi-apparatuur ben je al een heel eind.

Concrete tip: begin met een simpele audit van je netwerk. Controleer of je gast-SSID en je backoffice op aparte VLANs zitten. Als dat niet zo is, plan dan direct een upgrade naar managed access points en een firewall met VLAN-ondersteuning. Liever geen tijdverlies? Laat een specialist een korte scan doen; binnen een dag weet je waar de grootste risico's zitten.

Wil je hulp met die audit of meteen een correcte scheiding? SlimmeGast.nl helpt je met WiFi-netwerken die werken voor gasten én veilig zijn voor jouw organisatie.