Сеть и доступы в гостинице: ресепшен, служба и гостевой Wi-Fi

Гостиница — это два разных мира в одном здании

Гостевой Wi-Fi и служебная инфраструктура решают разные задачи. Гостю нужен удобный интернет. Персоналу — стабильный ресепшен, бронирование, касса/эквайринг, СКУД, камеры, телефония и доступ к внутренним ресурсам. Если эти контуры смешаны, компрометация гостевой сети становится путём к рабочим системам.

Простой на ресепшене виден сразу: очередь, сбой заселения, невозможность выдать ключ или пробить оплату. Поэтому приоритеты IT отличаются от обычного офиса: сначала непрерывность стойки и каналов, затем удобство гостевого доступа и уже потом вторичные улучшения.

До настройки оборудования описывают зоны: ресепшен, бэк-офис, инженерия, кухня/ресторан при наличии, камеры, гостевые этажи. Для каждой зоны фиксируют устройства и недопустимые пересечения трафика.

• Служебная сеть не должна быть доступна с гостевого SSID.
• Админ-интерфейсы точек доступа и роутеров закрыты от гостей.
• Ресепшен имеет резервный сценарий при падении интернета.
• Учётки персонала персональные, без общего логина «reception».

Сегментация и гостевой Wi-Fi

Гостевую сеть выносят в отдельный VLAN/SSID с изоляцией клиентов, если это поддерживается и не ломает нужные сценарии. Гость получает NAT в интернет и ничего больше. Служебный Wi-Fi для горничных или менеджеров — отдельный SSID с другими политиками и учётом устройств.

На шлюзе запрещают маршрутизацию из гостевой зоны в LAN ресепшена, серверы и камеры. Исключения делают точечно и документируют. «Временно разрешили для настройщика» без срока превращается в постоянную дыру.

Портал авторизации, ограничение скорости и фильтрация полезны, но вторичны относительно изоляции. Красивая splash-страница не компенсирует гостевой доступ к SMB-шаре бухгалтерии.

Рабочие места ресепшена и бэк-офиса

Компьютеры стойки стандартизируют: набор ПО, автозапуск нужных клиентов, периферия принтеров и энкодеров ключей, политика обновлений вне пика заезда. Общая учётка «админ» на стойке мешает аудиту и безопасному увольнению сотрудника.

Критичные облачные сервисы бронирования защищают MFA и контролем восстановления доступа. Если единственный пароль знает один менеджер, отпуск или болезнь становятся операционным риском.

Поддержка должна различать инцидент «не работает интернет у гостей» и «не работает заселение». Это разные приоритеты и разные контуры диагностики.

1. Описать эталонное рабочее место ресепшена и запасной ПК.
2. Разделить учётки персонала и права на кассовые/бронирующие системы.
3. Проверить печать, энкодер ключей и резервный сценарий.
4. Включить мониторинг канала и доступности ключевых сервисов.
5. Назначить владельца гостевого Wi-Fi и служебной сети.

Каналы связи, VPN и мониторинг

Гостиница чувствительна к качеству канала: отзывы гостей о Wi-Fi появляются быстрее, чем внутренний тикет. Резервный интернет полезен и для гостевого контура, и для облачного бронирования, но его нужно тестировать.

VPN нужен удалённым менеджерам, бухгалтерии управляющей компании и подрядчикам. Маршруты ограничивают. Камеры и СКУД не публикуют напрямую в интернет «по белому IP» без крайней необходимости и защиты.

Мониторинг смотрит шлюз, загрузку каналов, состояние VPN, доступность сервера/облачного кабинета и свободное место регистратора. Алерт ночью должен быть actionable, а не потоком ложных тревог.

• Гостевая и служебная сети разделены правилами, а не только названием SSID.
• Есть схема оборудования и актуальные конфигурации шлюза.
• Подрядчики получают временный доступ с датой отзыва.
• Резервный канал проверен на работе ресепшена и гостевого Wi-Fi.

Порядок внедрения

Начинают с обследования: что уже смешано, какие SSID существуют, куда ходят камеры и кто администрирует роутер. Затем закрывают опасные пересечения гостевой и служебной сети.

После сегментации наводят порядок в учётках, мониторинге и регламенте поддержки. Обновление «красивого» портала авторизации без изоляции зон — неправильный порядок работ.

Изменения на стойке делают вне пика заезда/выезда. Перед переключением VLAN проверяют запасной ПК ресепшена, печать и доступ к системе бронирования. Откат должен быть заранее понятен дежурному администратору, а не собираться из памяти ночью.

После внедрения проводят короткие учения: отключить гостевой SSID и убедиться, что ресепшен жив; перейти на резервный канал и проверить облачное бронирование; отозвать тестовую учётку сотрудника и подтвердить закрытие сессий. Без этих проверок схема остаётся теоретической.

Для сети отелей дополнительно фиксируют, какие политики задаёт управляющая компания, а что остаётся на локальном объекте. Иначе центральный стандарт и «временные» исключения администратора гостиницы снова смешают гостевой и служебный трафик.

Регламент поддержки описывает ночные и праздничные эскалации: кто принимает звонок ресепшена, как отличить проблему этажа от падения канала, когда допустим выезд. Без этого инцидент превращается в переписку без владельца.

1. Снять схему SSID/VLAN и правила межсетевого доступа.
2. Закрыть маршруты из гостевой сети в служебную LAN.
3. Стандартизировать ПК ресепшена и персональные учётки.
4. Включить мониторинг каналов и критичных сервисов.
5. Провести контрольные сценарии отказа и отзыва доступа.

Если гостиницей управляет сеть отелей, политики центрального офиса и локального объекта нужно согласовать заранее: иначе локальные «временные» правила снова смешают контуры.

Что проверить перед высоким сезоном

Перед высоким сезоном гостиница проверяет канал и резерв, загрузку гостевого Wi-Fi, эталонный ПК ресепшена, печать и энкодер ключей, а также актуальность учёток персонала. Это дешевле, чем выяснять узкое место в день массового заезда.

Полезно заранее согласовать с подрядчиком режим реакции на инциденты ресепшена и гостевой сети. Разные приоритеты должны быть записаны, а не подразумеваться.

Если в корпусе недавно меняли точки доступа или коммутацию этажей, отдельно подтверждают, что камеры, СКУД и служебный Wi-Fi не оказались в гостевом VLAN после «временной» перестановки кабелей.

• Резервный канал проверен на бронировании и почте.
• Гостевой SSID не маршрутизируется в служебную LAN.
• Есть запасной ПК стойки с тем же набором ПО.
• Список сотрудников с доступом к PMS актуален.