TI para coworking: rede compartilhada sem expor cliente

Por que rede de coworking é um problema diferente

Um escritório tradicional tem uma rede com um único dono. Todos os dispositivos pertencem à mesma empresa, o mesmo departamento de TI define as regras e, se um computador for comprometido, o incidente fica contido dentro de uma única organização. Coworking quebra esse pressuposto na raiz: dezenas de empresas independentes, concorrentes entre si em alguns casos, compartilham o mesmo cabeamento, o mesmo link de internet e o mesmo conjunto de access points. O escritório virou infraestrutura pública com aparência de escritório privado.

O erro mais comum em espaços compartilhados é tratar a rede como um Wi-Fi de café com senha. Um SSID único, uma senha rotativa distribuída no grupo de WhatsApp dos membros e todo mundo na mesma sub-rede. Nessa configuração, qualquer notebook conectado enxerga os demais via ARP, descobre compartilhamentos SMB abertos, impressoras sem autenticação e NAS domésticos que alguém trouxe de casa. Não é preciso nenhum ataque sofisticado — um scan de rede de trinta segundos já mapeia os ativos de todos os inquilinos do andar.

Há ainda o problema inverso, menos discutido: a responsabilidade legal. O link de internet é contratado em CNPJ do coworking. Se um membro cometer um ilícito usando aquela conexão, a ordem judicial chega ao operador do espaço, não ao membro. Sem log de associação entre endereço IP, horário e identidade do usuário, o coworking não tem como individualizar a conduta e acaba respondendo sozinho por algo que não fez.

Isolamento entre empresas: o que realmente funciona

Isolamento de rede em coworking se faz em camadas, e cada camada resolve um problema distinto. Pular etapas cria a ilusão de segurança — o famoso "temos VLAN" que na prática não impede nada porque o roteamento entre VLANs está liberado por padrão.

• VLAN por empresa — cada inquilino recebe uma VLAN dedicada, com sua própria sub-rede e escopo DHCP. É a base de tudo. Empresas com posto fixo e equipamentos próprios (servidor, NAS, impressora) precisam obrigatoriamente disso.
• Regras de firewall inter-VLAN em modo deny by default — VLAN criada sem política de bloqueio explícito continua roteando para as vizinhas. A regra correta é negar todo tráfego entre VLANs de inquilinos e liberar apenas saída para internet e para os serviços comuns do espaço.
• Client isolation no Wi-Fi — também chamado de AP isolation ou peer-to-peer blocking. Impede que dois dispositivos no mesmo SSID conversem diretamente, mesmo estando na mesma VLAN. Essencial na rede de visitantes e nos planos de hot desk, onde não faz sentido criar VLAN individual.
• PSK dinâmico ou WPA2/WPA3-Enterprise — em vez de uma senha única para todos, cada empresa recebe uma chave própria que a coloca automaticamente na VLAN certa. Com RADIUS, cada usuário tem credencial nominal, e o desligamento de um funcionário revoga só aquele acesso, sem trocar a senha do prédio inteiro.
• Segmentação dos serviços do próprio coworking — impressoras, catracas, câmeras, controle de acesso e TVs de sinalização não podem morar na mesma VLAN dos membros. Dispositivos IoT são o elo fraco clássico: firmware desatualizado, senha padrão e nenhuma capacidade de defesa.

Uma decisão de projeto que economiza muita dor: separar claramente três perfis de membro. O hot desk (mesa rotativa, traz o próprio notebook) vai para uma VLAN coletiva com client isolation ativo. A sala privativa ganha VLAN dedicada, porque tende a ter equipamentos fixos e precisa de comunicação interna entre eles. Os visitantes ficam em uma terceira rede, com validade curta, banda reduzida e sem qualquer visibilidade da infraestrutura.

Regra prática de auditoria: conecte um notebook em cada VLAN e rode um scan de descoberta. Se enxergar qualquer dispositivo que não seja o gateway, o isolamento não está aplicado — está apenas documentado.

Portal cativo, identificação e o registro que protege o operador

Portal cativo é a página de autenticação que aparece quando alguém conecta na rede. Em coworking, ele tem duas funções que costumam ser confundidas: controlar quem entra e registrar quem esteve. A segunda é a que importa juridicamente.

O Marco Civil da Internet estabelece que provedores de aplicação e de conexão guardem registros de acesso. Coworkings ocupam uma zona intermediária, mas a orientação prática adotada pelo mercado é conservadora: manter logs de conexão por pelo menos seis meses, contendo data e hora com fuso definido, endereço IP atribuído, endereço MAC do dispositivo e a identidade declarada no portal. Sem NAT logging, o registro perde valor — se cinquenta membros saem pelo mesmo IP público, apenas a tabela de tradução de portas permite apontar qual sessão pertencia a quem em determinado instante.

O portal também é o local certo para apresentar os termos de uso e obter aceite explícito. Esse aceite documenta que o membro foi informado das regras — proibição de uso ilícito, ausência de expectativa de privacidade sobre tráfego não criptografado no segmento compartilhado, responsabilidade sobre os próprios dispositivos. É um documento simples que muda a posição do operador em caso de litígio.

Sobre autenticação, evite dois extremos. Portal sem nenhuma identificação (só clicar em "aceito") não registra nada útil. Já exigir CPF e documentos de todo visitante gera passivo de LGPD desnecessário: dado pessoal coletado precisa de base legal, prazo de retenção e descarte. O ponto de equilíbrio costuma ser identificação por e-mail corporativo validado ou por credencial emitida pelo próprio sistema de gestão do coworking, integrado ao cadastro de membros que já existe.

Banda justa: por que o link "grande" ainda trava

Reclamação recorrente em espaço compartilhado: o coworking contratou um link de 1 Gbps e mesmo assim as videoconferências travam. Quase sempre o problema não é capacidade, é distribuição. Um único usuário sincronizando um backup de 400 GB para a nuvem, ou uma equipe baixando imagens de container, consome toda a banda de subida disponível — e é justamente a subida que sustenta chamadas de vídeo, VoIP e acesso remoto.

A resposta técnica é gestão de tráfego em três frentes:

1. Limite por VLAN ou por plano contratado — cada empresa tem um teto de banda coerente com o que paga. Evita que um inquilino monopolize o link e torna o produto comercialmente justo.
2. Fair queuing por dispositivo dentro de cada VLAN — distribui a banda restante igualmente entre os conectados, em vez de premiar quem abre mais conexões simultâneas. Algoritmos modernos de fila com controle de bufferbloat resolvem a maior parte da latência percebida.
3. Priorização de tráfego sensível a latência — voz, vídeo e sinalização de conferência recebem prioridade sobre downloads em massa. Não é preciso classificar aplicação por aplicação: priorizar pacotes pequenos e interativos já entrega quase todo o benefício.

Vale também dimensionar a rede sem fio corretamente. Densidade alta de pessoas em área pequena é o cenário mais difícil para Wi-Fi. Access points demais no canal errado degradam a rede tanto quanto access points de menos. Projeto correto significa levantamento de cobertura, canais planejados, potência reduzida para favorecer roaming, e cabeamento estruturado até cada AP — não repetidor pendurado em tomada.

Redundância de link merece atenção porque o impacto é coletivo. Quando o link cai em um escritório comum, uma empresa para. Em coworking, dezenas param ao mesmo tempo, e todas ligam para a recepção no mesmo minuto. Dois links de operadoras distintas com failover automático deixaram de ser luxo e viraram requisito básico de contrato de serviço.

Governança, contrato e operação do dia a dia

Infraestrutura bem projetada degrada rápido sem processo. Coworking tem rotatividade alta: membros entram e saem todo mês, salas trocam de ocupante, equipamentos aparecem e somem. Sem disciplina operacional, em um ano a rede vira um emaranhado de exceções que ninguém sabe explicar.

Alguns controles que sustentam o projeto ao longo do tempo:

• Onboarding e offboarding formais — entrada de membro cria VLAN, credencial e registro; saída revoga tudo no mesmo dia. Credencial órfã é porta aberta.
• Inventário vivo de portas e VLANs — qual porta do switch atende qual sala, com qual VLAN. Documento desatualizado causa incidente de vazamento entre inquilinos.
• Monitoramento com alerta — disponibilidade de link, saturação de banda, quantidade de clientes por AP e temperatura do rack. Descobrir o problema pelo cliente é o pior canal de monitoramento possível.
• Atualização de firmware programada — roteador, switches e APs em janela definida. Equipamento de borda desatualizado é alvo preferencial de exploração automatizada.
• Rack fisicamente trancado — em espaço com circulação livre, acesso físico ao equipamento anula qualquer controle lógico.

No contrato com o membro, delimite responsabilidades com clareza. O coworking entrega conectividade, isolamento entre inquilinos e disponibilidade acordada. O membro responde pela segurança dos próprios dispositivos: antivírus, atualizações, criptografia de disco e backup dos seus dados. Deixar isso implícito gera o mal-entendido clássico — o membro perde arquivos e cobra do espaço um backup que nunca foi contratado.

Isolamento entre empresas protege o inquilino. Log de acesso e contrato claro protegem o operador. Um sem o outro deixa metade do risco descoberto.

Como a Duk estrutura esse tipo de ambiente

Projetar rede de coworking é uma combinação de segmentação, identidade, gestão de banda e conformidade — quatro disciplinas que precisam conversar entre si desde o desenho, não serem remendadas depois que o espaço já está cheio. Na prática, a diferença entre um ambiente que escala e um que vira suporte permanente está no que foi decidido antes de passar o primeiro cabo.

A Duk Informática & Cloud atende mais de 550 empresas e acumula 18 anos de experiência em infraestrutura corporativa, com certificação Microsoft Gold Partner. Esse repertório cobre exatamente os pontos críticos de um espaço compartilhado: projeto de rede segmentada com VLANs e políticas de firewall, Wi-Fi de alta densidade com autenticação por credencial, portal cativo com retenção de logs adequada à legislação, controle de banda por plano contratado, redundância de link e monitoramento proativo com SLA definido.

Para operadores de coworking, o modelo mais eficiente costuma ser terceirizar a camada de infraestrutura e governança, mantendo o foco interno na experiência do membro e na ocupação do espaço. Isso inclui suporte 24/7, gestão de mudanças a cada entrada e saída de inquilino, documentação viva do ambiente e revisões periódicas de segurança. Se o seu espaço está crescendo, trocando de endereço ou convivendo com uma rede montada às pressas na inauguração, vale uma conversa técnica para mapear o cenário atual e desenhar a arquitetura correta.