Wi-Fi de visita: rede de convidados isolada em vez de hotspot no notebook

Domingo, almoço de família, e o primo pede a senha do Wi-Fi. Você não quer entregar a senha da casa, então lembra do tutorial que transforma o notebook em ponto de acesso com um comando. Funciona em dois minutos. Só que agora o celular do primo está numa rede em que o seu notebook, com a pasta compartilhada e o backup das fotos, é o próprio roteador.

A resposta curta: use a rede de convidados do roteador, com o acesso à rede local desligado, e confira do celular da visita que ela não enxerga nada da casa. Quase todo roteador doméstico vendido nos últimos anos tem essa opção. Se o seu não tem, há um arranjo com segundo roteador, mas ele precisa ser montado do jeito certo, como você vai ver abaixo.

Por que o hotspot do notebook não isola a visita

Quando o Windows compartilha a conexão (pelo Hotspot Móvel nas configurações ou pelo antigo netsh wlan hostednetwork, que muitos drivers atuais nem suportam mais), o notebook vira o portão daquela rede. A visita recebe um endereço dado pelo notebook e conversa diretamente com ele. Compartilhamentos de arquivo, serviços de desenvolvimento escutando em todas as interfaces e qualquer porta aberta no firewall ficam ao alcance de quem está conectado.

Além disso, o notebook precisa ficar ligado para a visita ter internet, e o comando copiado do tutorial não diz qual adaptador está compartilhando. Com cabo e Wi-Fi ao mesmo tempo, você pode expor uma rede que nem imaginava.

A rede de convidados resolve no lugar certo. O roteador cria um nome de rede separado, entrega endereços para quem entra ali e aplica uma regra simples: daquela rede, só a internet. Os aparelhos de convidados não alcançam os aparelhos da rede principal, e em muitos modelos também não se enxergam entre si (o chamado isolamento de cliente ou de AP).

Como configurar a rede de convidados no roteador

Os nomes dos menus mudam de fabricante para fabricante, mas os passos são os mesmos. O exemplo abaixo usa uma casa com a rede principal Casa-Silva e um roteador que aceita convidados em 2,4 GHz e 5 GHz.

1. Entre no painel do roteador pelo endereço impresso na etiqueta (algo como 192.168.0.1 ou um nome do fabricante) e faça login com a senha de administrador. Se ela ainda for a de fábrica, troque agora: é a senha que manda na rede inteira.
2. Procure Rede de convidados, Guest Network ou Wi-Fi para visitantes. Em roteadores de operadora, costuma ficar em configurações avançadas de Wi-Fi.
3. Crie um nome que deixe claro o propósito, como Casa-Silva-Visita, com segurança WPA2 ou WPA3 e uma senha própria, diferente da principal. Rede de convidados aberta, sem senha, permite que qualquer vizinho use a sua internet e o seu endereço.
4. Desative a opção que permite aos convidados acessar a rede local. Os nomes variam: "permitir acesso à rede local", "permitir que convidados vejam uns aos outros e acessem minha rede", "acesso à intranet". O objetivo é ela ficar desligada.
5. Se houver, ligue o isolamento entre clientes. Assim, o celular de um convidado também não fala com o notebook de outro.
6. Salve, espere o roteador aplicar e conecte um celular na nova rede para o teste da próxima seção.

Entregar a senha sem ditar letra por letra

Celulares Android e iPhone leem um QR code de Wi-Fi pela câmera e conectam direto. O formato é padronizado e cabe numa linha. No Linux ou no macOS, com o pacote qrencode instalado, gere a imagem assim:

qrencode -o visita.png 'WIFI:T:WPA;S:Casa-Silva-Visita;P:Laranja-Mesa-2026;;'

Imprima e cole na parte de dentro do armário, não na porta da rua. Quando trocar a senha, gere o código de novo. Muitos celulares também mostram o QR code da rede atual na opção de compartilhar Wi-Fi.

Como provar que a visita está isolada

Configuração marcada não é prova. O teste leva cinco minutos e você faz com um celular ou notebook conectado em Casa-Silva-Visita.

1. Descubra antes, na rede principal, o endereço de algo que deveria ficar inacessível: o notebook com a pasta compartilhada (por exemplo 192.168.0.15) e a impressora (192.168.0.30).
2. Do aparelho na rede de visita, abra o navegador e tente http://192.168.0.30, que é onde a maioria das impressoras mostra o painel. O esperado é a página não carregar.
3. Num notebook conectado como convidado, rode ping 192.168.0.15. O esperado é tempo esgotado ou destino inacessível.
4. No mesmo notebook, abra o explorador de arquivos e veja se a seção Rede lista os computadores da casa. Não deveria listar nenhum.
5. Tente o painel do roteador pela rede de visita. Vários modelos bloqueiam o acesso administrativo a partir dos convidados. Se o seu não bloqueia, a senha de administrador forte passa a ser a única barreira.
6. Por fim, abra um site qualquer. Internet funcionando e rede local bloqueada é o resultado certo.

Se algum desses testes alcançar um aparelho da casa, a opção de acesso à rede local ficou ligada ou o roteador não isola de verdade. Volte ao passo 4 da configuração antes de entregar a senha a alguém.

Quando o roteador não tem rede de convidados

Roteadores antigos ou de operadora às vezes não oferecem a opção. A saída comum é ligar um segundo roteador barato e chamá-lo de rede de visita. O detalhe que quase todo mundo erra é a ordem.

Se você pendura o segundo roteador atrás do principal e põe a visita nele, ela fica numa rede própria, mas a rede da casa é a "internet" desse segundo roteador. Ou seja, quem está nele consegue iniciar conexões para os aparelhos da casa. O isolamento é ilusório.

O arranjo que isola é o inverso: o roteador principal, ligado à operadora, fica para a visita e para aparelhos de pouca confiança. Seus computadores, a impressora e o servidor de fotos vão para trás do segundo roteador, que faz NAT e bloqueia conexões vindas de fora dele. Se mexer nisso parece demais, a alternativa honesta é um roteador novo com rede de convidados ou um ponto de acesso com suporte a VLAN.

A rede de visita também serve para os aparelhos da casa

Lâmpada inteligente, tomada com Wi-Fi e câmera barata raramente recebem atualização de segurança. Na rede de convidados, se uma delas for comprometida, ela fala com a nuvem do fabricante e não com o seu notebook. Para configurá-las, conecte o celular na mesma rede e depois volte para a principal.

Com TV e Chromecast é o contrário: transmitir exige que os dois estejam na mesma rede. A TV pode morar na rede de visita; o computador com seus documentos, nunca.

Erros comuns

• Ativar o hotspot do notebook "só hoje". O notebook vira roteador da visita, e qualquer compartilhamento ou serviço aberto nele fica acessível para quem conectou.
• Deixar a rede de convidados sem senha. O vizinho passa a usar a sua internet, e o que ele fizer sai com o seu endereço IP.
• Criar a rede e esquecer a opção de acesso à rede local ligada. Fica com cara de isolada e não isola nada.
• Pendurar o segundo roteador atrás do principal e chamar de rede de visita. Os convidados conseguem alcançar a rede da casa, que para esse roteador é só mais um destino.
• Nunca trocar a senha da visita. O ex-inquilino, o técnico de um ano atrás e o amigo do amigo continuam com acesso.
• Manter a senha de fábrica do painel do roteador. Se a rede de visita alcança o painel, qualquer convidado pode desfazer o isolamento.

Checklist

• Rede de convidados criada com nome próprio e WPA2 ou WPA3.
• Senha da visita diferente da senha da rede principal.
• Opção de acesso à rede local desligada e isolamento entre clientes ligado, se existir.
• Teste feito a partir da rede de visita: sem ping, sem painel da impressora, sem computadores na lista de rede.
• Senha de administrador do roteador trocada e diferente das duas senhas de Wi-Fi.
• QR code gerado e guardado onde só quem está dentro de casa vê.
• Data para trocar a senha da visita anotada, por exemplo a cada três meses.

Pegue o celular agora, conecte na rede que você entrega para as visitas e tente abrir o painel da sua impressora pelo navegador. A página carregou? Se carregou, a visita não está isolada, e o seu notebook também não.