O Wi-Fi de convidados deve permitir acesso à internet sem liberar, por padrão, os computadores, arquivos e outros recursos privados da casa. Mas um nome de rede diferente não comprova isolamento. É necessário conferir as opções de acesso à rede local, a comunicação entre clientes e o modo de funcionamento do roteador, e depois testar o resultado.
Dispositivos inteligentes também podem usar uma rede separada, desde que ela ofereça os acessos de que precisam. Uma TV que depende do celular para receber transmissão, por exemplo, pode parar de ser encontrada quando os dois ficam isolados. Separar os equipamentos é uma decisão de permissões, não apenas de escolher outro SSID.
Três separações que não são equivalentes
O primeiro controle é o acesso à rede principal. Com ele bloqueado, um visitante não deve alcançar os recursos privados que a configuração protege. Isso é diferente de simplesmente impedir a abertura da página de administração do roteador.
O segundo é o isolamento entre clientes da rede de convidados. Ele procura impedir que dois aparelhos conectados como visitantes se comuniquem diretamente. É útil quando as pessoas precisam apenas navegar, mas pode atrapalhar jogos locais ou outros usos compartilhados.
O terceiro é a separação entre grupos de dispositivos, como visitantes e equipamentos inteligentes. Se ambos usam a mesma rede com comunicação entre clientes liberada, a segmentação em relação à rede principal não necessariamente separa um visitante de uma câmera ou tomada inteligente.
A documentação da TP-Link para roteadores apresenta controles distintos para acesso local e comunicação entre convidados. Essa página, atualizada em 2020, serve para explicar a diferença entre as permissões; seus exemplos antigos de segurança não devem ser usados como padrão atual de criptografia.
Antes de alterar o roteador
Identifique modelo, revisão de hardware e versão do firmware. Localize no manual a área de rede de convidados e confira se o equipamento atua como roteador ou ponto de acesso, também chamado de AP. Em uma rede com modem da operadora, roteador próprio e repetidores, essa distinção pode mudar quais recursos realmente estão disponíveis.
Salve uma cópia da configuração quando o equipamento oferecer essa função e mantenha um caminho para recuperar o acesso administrativo. Faça mudanças de forma que seja possível reconectar um aparelho à rede principal e desfazer o ajuste se necessário.
Firmware atualizado e senha administrativa forte continuam importantes, mas não comprovam isolamento. A existência de um botão “Convidados” também não demonstra que a mesma função estará ativa em todos os nós de um mesh ou em um repetidor de outra marca. O alcance deve ser conferido na documentação do conjunto usado.
O guia sobre quando trocar o roteador doméstico trata de suporte e desempenho. A configuração de convidados exige outra conferência: quais destinos cada aparelho pode alcançar depois de conectado.
Como configurar o Wi-Fi de convidados
Os nomes dos menus variam, mas a sequência de decisões pode ser organizada assim:
- Ative a rede de convidados nas bandas necessárias aos aparelhos que vão usá-la.
- Escolha um nome identificável e uma senha diferente da rede principal.
- Selecione a segurança compatível mais forte oferecida pelo equipamento.
- Desative o acesso dos convidados à rede local ou intranet.
- Se a intenção for oferecer apenas internet, ative também o isolamento entre convidados, quando disponível.
- Defina prazo de validade ou limite de banda se essas funções forem úteis e suportadas.
- Salve, reconecte um aparelho de teste e confira as permissões na prática.
Limitar a banda não substitui isolar a rede. Um visitante com velocidade reduzida ainda pode alcançar um recurso local se essa permissão continuar aberta. Da mesma forma, ocultar o nome da rede não cria uma barreira equivalente às regras de acesso.
Para criptografia, a orientação atual da Apple para roteadores e pontos de acesso prioriza WPA3 Pessoal ou o modo de transição WPA2/WPA3. Quando os dispositivos não comportarem essas opções, WPA2 Pessoal com AES é a alternativa indicada. WEP, WPA antigo, TKIP e rede aberta não são substitutos adequados, inclusive para visitantes.
Em equipamentos inteligentes antigos, a compatibilidade merece um teste separado. Uma tomada que só funciona em 2,4 GHz não exige, por esse motivo, que a rede fique sem senha. Frequência de rádio e mecanismo de autenticação são características diferentes.
Modo roteador e ponto de acesso podem mudar o isolamento
No TP-Link Deco, a documentação informa que as redes principal e de convidados ficam isoladas no modo roteador. No modo ponto de acesso, a separação depende das opções de acesso local oferecidas pelo modelo e pelo firmware. Não é seguro transportar a conclusão de um modo para o outro.
A orientação da ASUS para redes de convidados também vincula o bloqueio de intranet e determinadas funções ao modo de operação. O controle Access Intranet desligado restringe o acesso à LAN na configuração descrita; o manual ressalva a disponibilidade do recurso em modo AP.
Na prática, dois aparelhos visualmente iguais podem apresentar menus diferentes por revisão ou versão de software. Se a função necessária não aparece, procure a documentação específica antes de concluir que uma rede com outro nome oferece a mesma proteção.
Como testar sem confundir falta de descoberta com bloqueio
Escolha um recurso local que você controla, como uma página de um equipamento doméstico ou um compartilhamento de teste sem conteúdo sensível. Primeiro confirme, na rede principal, que ele está acessível e anote seu endereço IP. Se o recurso não funciona no teste de referência, sua falha na rede de convidados não prova isolamento.
Depois conecte o aparelho de teste ao Wi-Fi de convidados. Para essa comparação controlada, desative temporariamente os dados móveis e qualquer VPN que altere as rotas. Confirme que a internet funciona e tente acessar o mesmo recurso pelo IP, não apenas pela lista automática de dispositivos.
Verifique separadamente a interface administrativa do roteador e, se for parte do requisito, a comunicação com outro cliente convidado. Mantenha os firewalls dos equipamentos ativos. Não é necessário enfraquecer a proteção para executar a comparação.
Um ping sem resposta é inconclusivo: o destino pode simplesmente ignorar esse tipo de mensagem. A ausência de uma impressora na lista também não basta, porque descoberta e acesso direto são operações diferentes. O teste mais útil compara um serviço que funcionava na rede principal com o mesmo serviço e endereço a partir da rede isolada.
Repita a verificação pelos pontos de acesso utilizados na casa. Se a rede usa IPv6 e o recurso de isolamento tem requisitos específicos para ele, confira essa cobertura no manual e no teste; um resultado obtido só com IPv4 não demonstra todas as rotas possíveis.
Onde entram TVs, impressoras e dispositivos inteligentes
Redes separadas podem impedir descoberta local, transmissão para a TV e controle direto de equipamentos. Antes de mover todos os dispositivos, faça um piloto com um deles: instalação, atualização, comando pelo celular e funcionamento sem acesso à rede principal.
| Necessidade do aparelho | O que conferir |
|---|---|
| Apenas acesso ao serviço do fabricante pela internet | Se funciona sem comunicação com a LAN |
| Receber transmissão do celular | Se descoberta e comunicação entre as redes são suportadas |
| Impressão local | Se o acesso previsto exige uma regra específica ou a mesma rede |
| Controle por um hub doméstico | Quais conexões precisam existir entre hub e dispositivo |
| Compartilhar a rede com visitantes | Se os clientes podem alcançar os equipamentos inteligentes |
Alguns roteadores oferecem redes IoT ou VLANs para separar grupos com políticas próprias. A documentação de VLAN da ASUS descreve essa possibilidade em equipamentos compatíveis; isso não significa que qualquer roteador doméstico disponha das mesmas funções.
Não libere toda a intranet apenas para fazer um aparelho aparecer. Quando o equipamento não oferece uma exceção específica, as opções podem ser manter aquele dispositivo em outro segmento, mudar o modo de uso ou adotar infraestrutura com controle mais detalhado. Compartilhar a senha da rede principal com visitas não é uma consequência obrigatória dessa limitação.
Como manter a configuração depois do primeiro teste
Guarde um registro simples do modelo, modo de operação, opções habilitadas e resultados. Troque a senha de convidados quando o grupo de pessoas com acesso mudar e desative a rede se ela não tiver uso contínuo.
Depois de atualizar firmware, restaurar o roteador ou adicionar um repetidor, refaça a comparação com o recurso local conhecido. O resultado esperado deve continuar o mesmo: internet disponível, recursos privados inacessíveis e comunicação entre convidados apenas quando tiver sido intencionalmente permitida.
