Firma z kilkoma oddziałami potrzebuje spójnej infrastruktury sieciowej, umożliwiającej bezpieczną komunikację i wymianę danych między lokalizacjami.

Na czym polega ta usługa

Usługa obejmuje konfigurację i bieżące zarządzanie siecią łączącą oddziały firmy, w tym połączeniami VPN typu site-to-site.

Dla kogo ma sens

Usługa jest przydatna dla firm z więcej niż jedną lokalizacją, które potrzebują spójnej, bezpiecznej infrastruktury sieciowej między nimi.

Ile to trwa

Zakres i czas realizacji poszczególnych prac ustalane są indywidualnie w zależności od liczby oddziałów.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Architektura połączeń między lokalizacjami przedsiębiorstwa

Prawidłowe zaprojektowanie sieci łączącej wiele placówek wymaga wyboru odpowiedniego modelu topologii sieciowej, dopasowanego do profilu działalności firmy oraz liczby przesyłanych danych. W środowiskach wielooddziałowych stosuje się najczęściej dwa główne układy połączeń:

Topologia gwiazdy (hub-and-spoke) – centrala firmy pełni rolę głównego węzła (hub), w którym zlokalizowane są główne serwery bazodanowe i aplikacyjne, a wszystkie oddziały (spokes) łączą się bezpośrednio z centralą za pośrednictwem dedykowanych tuneli. Ruch między poszczególnymi oddziałami, jeśli jest wymagany, jest przekierowywany przez centralny router. Układ ten ułatwia centralne zarządzanie bezpieczeństwem oraz tworzenie kopii zapasowych.
Topologia pełnej siatki (full mesh) – każdy oddział posiada bezpośrednie, szyfrowane połączenie z każdym innym oddziałem w organizacji. Rozwiązanie to sprawdza się w strukturach, gdzie oddziały intensywnie wymieniają dane między sobą bez konieczności ciągłego odwoływania się do serwerów w centrali, co redukuje opóźnienia transmisyjne, lecz wymaga bardziej zaawansowanych urządzeń sieciowych.
Model hybrydowy z chmurą – połączenie oddziałów z lokalną centralą oraz równoległe zintegrowanie zasobów z chmurą publiczną lub prywatną (na przykład Microsoft Azure lub serwerami dedykowanymi), co zapewnia elastyczność i redundancję usług.

Do budowy tuneli międzyoddziałowych wykorzystuje się sprawdzone protokoły sieciowe. Najbardziej powszechnym standardem przemysłowym jest IPsec (Internet Protocol Security – zestaw protokołów kryptograficznych zabezpieczających ruch na poziomie pakietów IP), który oferuje silne szyfrowanie AES-256 oraz kompatybilność z urządzeniami różnych producentów. W nowoczesnych wdrożeniach coraz częściej implementuje się także WireGuard (nowoczesny protokół wirtualnych sieci prywatnych charakteryzujący się mniejszym narzutem na procesor routera i bardzo szybkimi czasami zestawiania połączenia) lub OpenVPN.

Planowanie adresacji IP i segmentacja sieci za pomocą VLAN

Kluczowym etapem wdrożenia infrastruktury wielooddziałowej jest stworzenie jednolitego planu adresacji IP (Internet Protocol – protokół komunikacyjny sieci internetowej). Częstym błędem popełnianym podczas łączenia biur jest pozostawienie domyślnych klas adresowych, co prowadzi do konfliktów trasowania i uniemożliwia bezpośrednią komunikację.

W profesjonalnie zarządzanej sieci każdy oddział otrzymuje unikalną podsieć prywatną zgodną ze standardem RFC 1918 (na przykład oddział główny: 10.10.1.0/24, oddział drugi: 10.10.2.0/24, magazyn: 10.10.3.0/24). W ramach każdej lokalizacji wdraża się segmentację ruchu z wykorzystaniem sieci wirtualnych VLAN (Virtual Local Area Network – logiczne odseparowanie podsieci w ramach jednej infrastruktury fizycznej):

VLAN administracyjny i serwerowy – dedykowany dla serwerów Windows Server, maszyn Linux, kontrolerów domeny oraz macierzy dyskowych NAS (Network Attached Storage – sieciowa pamięć masowa). Ruch do tej podsieci jest ściśle kontrolowany regułami zapory ogniowej.
VLAN stacji roboczych – przeznaczony dla komputerów biurowych i laptopów pracowników, z ograniczonym dostępem do portów zarządzania infrastrukturą.
VLAN telefonii VoIP – wyodrębniona podsieć dla aparatów telefonicznych Voice over IP, na której konfigurowany jest mechanizm QoS (Quality of Service – priorytetyzacja ruchu sieciowego wrażliwego na opóźnienia), co zapobiega zrywaniu połączeń głosowych i powstawaniu echa podczas dużego obciążenia łącza.
VLAN urządzeń magazynowych i produkcyjnych – sieć dla kolektorów danych, bezprzewodowych skanerów kodów kreskowych, wag sieciowych oraz drukarek etykiet, odizolowana od pozostałych urządzeń biurowych.
VLAN gościnny (Guest Wi-Fi) – bezpieczna sieć bezprzewodowa dla gości i klientów odwiedzających oddział, całkowicie odcięta od zasobów wewnętrznych firmy i systemów ERP, z dostępem wyłącznie do internetu.

Niezawodność transmisji i redundantne łącza internetowe (Multi-WAN Failover)

Brak dostępu do sieci w oddziale oznacza paraliż sprzedaży, brak możliwości wystawiania dokumentów magazynowych oraz odcięcie pracowników od poczty i bazy danych. Z tego powodu w kluczowych węzłach infrastruktury wdraża się mechanizm Multi-WAN z funkcją automatycznego przełączania awaryjnego (Failover – automatyczne przekierowanie ruchu na łącze zapasowe w przypadku zaniku sygnału na łączu głównym).

Podstawowe łącze światłowodowe lub symetryczne jest dublowane przez drugiego, niezależnego dostawcę usług internetowych ISP (Internet Service Provider – dostawca usług internetowych) lub przez przemysłowy router z modemem LTE/5G. W momencie wykrycia utraty pakietów (Packet Loss – gubienie pakietów danych podczas transmisji) lub całkowitego braku odpowiedzi ze strony węzła nadrzędnego, router brzegowy w ciągu kilku sekund przekierowuje ruch na łącze rezerwowe. Tunele VPN typu site-to-site są automatycznie rekonfigurowane i zestawiane na nowym adresie IP, co pozwala na nieprzerwaną pracę oddziału bez konieczności ręcznej interwencji personelu biurowego.

Współdzielenie systemów ERP, baz danych i zasobów plikowych

Głównym celem łączenia oddziałów firmy jest zapewnienie bezpiecznego i wydajnego dostępu do centralnych aplikacji biznesowych. W zależności od specyfiki oprogramowania stosuje się dwa odmienne podejścia techniczne:

Praca terminalowa (RDP – Remote Desktop Protocol) – w przypadku klasycznych systemów ERP opartych na relacyjnych bazach danych Microsoft SQL Server (takich jak InsERT Subiekt GT, Rewizor GT, Comarch ERP Optima, WAPRO ERP Mag, Sage Symfonia czy RAKS), uruchamianie aplikacji bezpośrednio przez tunel VPN bywa nieoptymalne ze względu na dużą liczbę zapytań przesyłanych do bazy. W takich scenariuszach wdraża się serwer usług pulpitów zdalnych (Remote Desktop Services) w centrali. Pracownicy oddziałów logują się do sesji terminalowej, a przez łącze internetowe przesyłany jest wyłącznie obraz i ruch klawiatury/myszy, co eliminuje ryzyko uszkodzenia tabel w bazie przy nagłym zerwaniu połączenia internetowego.
Aplikacje trójwarstwowe i interfejsy przeglądarkowe – nowocześniejsze systemy (takie jak InsERT nexo, enova365, Comarch ERP XL czy dedykowane panele B2B) działające w architekturze klient-serwer zoptymalizowanej pod kątem sieci WAN, mogą komunikować się bezpośrednio przez szyfrowany tunel IPsec lub WireGuard bez konieczności uruchamiania pełnego pulpitu zdalnego.
Zarządzanie tożsamością przez Active Directory – wdrożenie usługi katalogowej Microsoft Active Directory (centralna baza kont użytkowników i uprawnień) z replikacją kontrolerów domeny (Domain Controller) między oddziałami pozwala na centralne zarządzanie uprawnieniami pracowników, automatyczne mapowanie dysków sieciowych oraz jednolite logowanie (Single Sign-On).
Wymiana plików i macierze NAS – konfiguracja bezpiecznych zasobów sieciowych SMB/NFS na serwerach Windows Server lub macierzach dyskowych Linux/NAS z harmonogramem automatycznej synchronizacji danych poza godzinami szczytu.

Zabezpieczenia brzegowe i polityka zapór ogniowych (Firewall)

Połączenie wielu lokalizacji w jedną sieć logiczną niesie za sobą ryzyko przenoszenia zagrożeń – infekcja złośliwym oprogramowaniem na jednej stacji roboczej w odległym oddziale mogłaby rozprzestrzenić się na całą firmę. Z tego względu na brzegach sieci każdego oddziału stosuje się dedykowane zapory ogniowe (Firewall) oraz urządzenia klasy UTM (Unified Threat Management – zintegrowane systemy bezpieczeństwa łączące zaporę sieciową, antywirus sieciowy oraz filtr treści):

Systemy IDS/IPS (Intrusion Detection/Prevention System) – moduły analizujące pakiety danych w czasie rzeczywistym w celu wykrywania i natychmiastowego blokowania prób skanowania portów oraz ataków sieciowych.
Izolacja ruchu międzyoddziałowego – stacje robocze w oddziale A nie mają bezpośredniego dostępu do komputerów pracowników w oddziale B; dostęp jest przyznawany wyłącznie do wyznaczonych portów centralnego serwera bazodanowego lub terminalowego.
Bezpieczny dostęp dla pracowników mobilnych (Client-to-Site VPN) – handlowcy, serwisanci oraz pracownicy na pracy hybrydowej korzystają z dedykowanych aplikacji klienckich z obowiązkowym uwierzytelnianiem wieloskładnikowym MFA (Multi-Factor Authentication – wymóg podania hasła oraz jednorazowego kodu generowanego w aplikacji), co zabezpiecza firmę przed skutkami przejęcia hasła.

Błędy popełniane przy samodzielnym łączeniu sieci oddziałowych

Próby samodzielnego spinania infrastruktury sieciowej w firmach wielooddziałowych często prowadzą do poważnych problemów ze stabilnością i bezpieczeństwem. Do najczęstszych nieprawidłowości należą:

Używanie domowych routerów konsumenckich – tanie urządzenia dostępowe nie posiadają sprzętowej akceleracji kryptograficznej dla protokołów IPsec/WireGuard, co przy intensywnym transferze danych prowadzi do przegrzewania się routera, drastycznego spadku przepustowości i zawieszania urządzeń.
Przekierowywanie portów publicznych (Port Forwarding) zamiast VPN – wystawianie portu pulpitu zdalnego RDP (port 3389) lub portu serwera baz danych Microsoft SQL Server (port 1433) bezpośrednio do otwartego internetu. Taka konfiguracja niemal natychmiast staje się celem automatycznych ataków typu brute-force (próby odgadnięcia hasła metodą słownikową) oraz ataków ransomware szyfrujących dane firmy.
Brak separacji podsieci – pozostawienie jednakowej adresacji 192.168.1.0/24 w kilku oddziałach wymusza stosowanie skomplikowanego translatora NAT (Network Address Translation – translacja adresów sieciowych) po obu stronach tunelu, co powoduje problemy z rozpoznawaniem nazw urządzeń i błędy w komunikacji z drukarkami sieciowymi.
Brak monitoringu i kopii zapasowych konfiguracji – nieprowadzenie centralnego rejestru zdarzeń (Syslog) oraz brak zarchiwizowanych plików konfiguracyjnych routerów i przełączników powoduje, że w razie awarii sprzętowej odtworzenie sieci trwa wielokrotnie dłużej.

Kiedy usterka nie wynika z problemów w sieci międzyoddziałowej

W codziennej eksploatacji objawy spowolnienia pracy programów biurowych bywają mylnie przypisywane awarii tunelu VPN lub łączności międzyoddziałowej. W ramach diagnostyki weryfikowane są inne potencjalne źródła problemów:

Przeciążenie zasobów serwera centralnego – brak wolnej pamięci operacyjnej RAM, wysokie obciążenie procesora lub zbyt wolny podsystem dyskowy na serwerze z bazą SQL Server powoduje spadek responsywności aplikacji u wszystkich użytkowników, niezależnie od lokalizacji.
Lokalne problemy z siecią LAN w oddziale – uszkodzone gniazdo sieciowe RJ-45, załamany przewód skrętki komputerowej, zablokowany port w przełączniku sieciowym (switch) lub zakłócenia w paśmie radiowym Wi-Fi 2.4/5 GHz w konkretnym pokoju.
Konflikty po stronie oprogramowania zabezpieczającego – nadgorliwe reguły lokalnej zapory Windows Defender Firewall lub pakietu antywirusowego na pojedynczym komputerze pracownika, blokujące komunikację z serwerem licencji ERP.
Awarie na łączach tranzytowych operatora telekomunikacyjnego – wysokie opóźnienia (Ping) lub gubienie pakietów poza infrastrukturą lokalną firmy, leżące po stronie infrastruktury szkieletowej dostawcy internetu.

Pytania i odpowiedzi (FAQ)

Czy do zestawienia tunelu VPN między oddziałami wymagany jest stały publiczny adres IP u każdego dostawcy?

Nie ma konieczności wykupywania stałego publicznego adresu IP we wszystkich oddziałach. Wystarczy, aby stały publiczny adres IP (lub poprawnie skonfigurowana usługa dynamicznego DNS – DDNS) znajdował się w lokalizacji centralnej, gdzie funkcjonuje główny serwer i router brzegowy. Oddziały podrzędne mogą korzystać ze standardowych łącz ze zmiennym adresem IP, inicjując wychodzący tunel VPN w stronę centrali.

Dlaczego uruchamianie programu Subiekt GT lub Comarch Optima bezpośrednio przez VPN bywa powolne?

Programy bazodanowe starszego typu przesyłają tysiące zapytań do bazy danych przy otwieraniu każdego okna lub dokumentu. W sieci lokalnej LAN opóźnienia wynoszą poniżej 1 milisekundy, natomiast przez internet (nawet na szybkim łączu światłowodowym) opóźnienie wynosi z reguły od 10 do 30 milisekund. Przemnożenie tego czasu przez liczbę zapytań powoduje zauważalne spowolnienie. Skutecznym rozwiązaniem jest konfiguracja serwera terminali RDP w centrali, co pozwala na błyskawiczne wykonywanie operacji bezpośrednio na serwerze.

Czy obsługa techniczna obejmuje dojazd do placówek zlokalizowanych poza Warszawą?

Tak, realizujemy wizyty serwisowe na terenie całej Warszawy oraz w promieniu do 40 km od stolicy, obejmując 7 powiatów podwarszawskich: pruszkowski, piaseczyński, legionowski, wołomiński, otwocki, warszawski zachodni oraz grodziski. Dojazd serwisanta do siedziby lub oddziału klienta jest bezpłatny, a rozliczeniu podlega wyłącznie wykonana praca specjalisty.

W jaki sposób chroniona jest poufność danych przesyłanych między oddziałami?

Cały ruch sieciowy przechodzący przez tunele międzyoddziałowe jest szyfrowany zaawansowanymi algorytmami kryptograficznymi (AES-256 z kluczami Diffiego-Hellmana lub protokołem ChaCha20-Poly1305), co uniemożliwia przechwycenie i odczytanie danych przez osoby nieuprawnione. Dodatkowo, na życzenie klienta bezpłatnie podpisujemy umowę o zachowaniu poufności (NDA – Non-Disclosure Agreement) przed przystąpieniem do jakichkolwiek prac na infrastrukturze.

Co dzieje się w przypadku fizycznej awarii routera w jednym z oddziałów?

W przypadku awarii sprzętowej serwisant przyjeżdża na miejsce usterki w celu przeprowadzenia diagnostyki. Jeśli urządzenie uległo uszkodzeniu, instalowany jest nowy, profesjonalny sprzęt sieciowy, a konfiguracja tuneli VPN, podsieci VLAN oraz reguł zapory ogniowej jest błyskawicznie odtwarzana z zabezpieczonej kopii zapasowej. Na czas naprawy laptopów w biurach zapewniamy bezpłatny laptop zastępczy z systemem Windows.

Ciągłość pracy i stabilność infrastruktury wielooddziałowej

Sprawnie zarządzana infrastruktura sieciowa łącząca oddziały firmy eliminuje przestoje w pracy, zabezpiecza krytyczne bazy danych przed uszkodzeniem i atakami z zewnątrz oraz umożliwia płynne skalowanie biznesu o kolejne lokalizacje. Regularny audyt reguł zapór ogniowych, monitorowanie obciążenia łączy transmisyjnych oraz utrzymywanie aktualnych kopii zapasowych konfiguracji urządzeń sieciowych pozwalają zachować pełną ciągłość operacyjną przedsiębiorstwa każdego dnia.

22 378 48 09

Zarządzanie infrastrukturą sieciową wielu oddziałów firmy