System kontroli dostępu oparty na kartach lub czytnikach RFID wymaga odpowiednio skonfigurowanej sieci, żeby działał stabilnie w biurze.

Na czym polega ta usługa

Usługa obejmuje skonfigurowanie sieci biurowej pod system kontroli dostępu, w tym podłączenie i konfigurację czytników RFID.

Dla kogo ma sens

Usługa jest przydatna dla firm wdrażających lub rozbudowujących system kontroli dostępu w biurze.

Ile to trwa

Konfiguracja sieci pod system kontroli dostępu mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Rola infrastruktury sieciowej w działaniu kontroli dostępu

Współczesne systemy kontroli dostępu (KD) oraz rejestracji czasu pracy (RCP) opierają się w znacznym stopniu na komunikacji cyfrowej przez sieć komputerową. Urządzenia wykonawcze, takie jak czytniki kart zbliżeniowych RFID (Radio-Frequency Identification – technologia bezprzewodowej identyfikacji radiowej za pomocą fal elektromagnetycznych), nie pracują w izolacji. Przesyłają one odczytane numery identyfikatorów do kontrolerów drzwiowych (elektronicznych sterowników podejmujących decyzję o otwarciu przejścia), a te wymieniają dane z centralnym serwerem bazy danych.

Prawidłowe zaprojektowanie i wdrożenie konfiguracji sieciowej gwarantuje, że komunikacja między elementami systemu odbywa się bez opóźnień, a autoryzacja przejścia następuje natychmiast po przyłożeniu karty lub breloka. Brak odpowiedniej konfiguracji sieci może prowadzić do blokowania przejść, gubienia zdarzeń rejestracji czasu pracy czy nieautoryzowanego dostępu do zasobów firmy.

Architektura logiczna i segmentacja sieci

Podłączenie urządzeń kontroli dostępu do ogólnej sieci komputerowej, z której korzystają stacje robocze pracowników oraz goście biura, stanowi poważne zagrożenie dla stabilności oraz bezpieczeństwa firmy. Z tego względu podstawowym elementem wdrożenia jest właściwa segmentacja logiczna.

W ramach prac konfiguracyjnych tworzone są następujące elementy architektury sieciowej:

Wydzielenie sieci VLAN (Virtual Local Area Network – wirtualna sieć lokalna izolująca ruch urządzeń bezpieczeństwa od pozostałych komputerów w biurze).
Wdrożenie stałej adresacji IP (Internet Protocol – protokół komunikacyjny określający unikalny adres urządzenia w sieci) za pomocą statycznych wpisów lub rezerwacji w usłudze DHCP (Dynamic Host Configuration Protocol – protokół automatycznego przydzielania adresów sieciowych) na podstawie adresów fizycznych MAC (Media Access Control – unikalny adres sprzętowy karty sieciowej).
Konfiguracja reguł na zaporze sieciowej (firewallu – oprogramowaniu lub urządzeniu filtrującym ruch i blokującym nieautoryzowane próby połączeń) w celu ograniczenia dostępu do kontrolerów wyłącznie dla autoryzowanego serwera zarządzającego.
Definiowanie list kontroli dostępu ACL (Access Control List – zestaw reguł określających, które urządzenia mogą przesyłać dane do określonych portów i usług).
Zabezpieczenie przed pętlami sieciowymi za pomocą protokołu STP (Spanning Tree Protocol – standard zapobiegający powstawaniu zapętleń w strukturze przełączników sieciowych).

Warianty technologiczne systemów kontroli dostępu

W zależności od wielkości obiektu, liczby przejść oraz zastosowanego sprzętu, konfiguracja sieciowa różni się pod kątem protokołów komunikacyjnych i sposobu zasilania. Wyróżnia się cztery podstawowe modele współpracy urządzeń z siecią:

Pierwszy wariant to kontrolery z bezpośrednim interfejsem Ethernet (standard przewodowej sieci lokalnej). Każdy kontroler drzwiowy posiada własną kartę sieciową RJ-45 i komunikuje się bezpośrednio z serwerem bazy danych. Jest to rozwiązanie elastyczne, umożliwiające precyzyjną diagnostykę każdego punktu kontrolnego z poziomu panelu zarządzającego.

Drugi wariant wykorzystuje magistralę szeregową RS-485 (standard przemysłowej transmisji danych po parze przewodów) łączącą czytniki z kontrolerem zbiorczym, który dopiero jest wpięty do sieci LAN za pomocą modułu sieciowego lub konwertera protokołów. Taka topologia wymaga odpowiedniego ustawienia parametrów transmisji szeregowej (prędkości w bodach i bitów parzystości) oraz przypisania stałego adresu sieciowego dla konwertera.

Trzeci wariant stanowi zasilanie i transmisja danych za pośrednictwem technologii PoE (Power over Ethernet – przesyłanie energii elektrycznej do urządzeń za pomocą skrętki komputerowej kategorii 5e lub wyższej). Wymaga to precyzyjnego obliczenia bilansu energetycznego przełącznika sieciowego (switcha PoE), aby jednoczesna praca czytników, podświetlenia i zamków nie powodowała spadków napięcia.

Czwarty wariant to systemy rozproszone pomiędzy wieloma oddziałami firmy. W tym przypadku konfiguracja obejmuje zestawienie bezpiecznych, szyfrowanych połączeń tunelowych VPN (Virtual Private Network – wirtualna sieć prywatna łącząca oddziały przez publiczny Internet w sposób zabezpieczony przed podsłuchem). Kontrolery w oddziałach synchronizują zdarzenia i uprawnienia z głównym serwerem w centrali bez wystawiania portów zarządzających na publiczny adres IP.

Zabezpieczenie fizycznych portów sieciowych na korytarzach i zewnątrz budynku

Urządzenia kontroli dostępu, takie jak czytniki RFID, wideodomofony IP czy terminale rejestracji czasu pracy, są montowane przy drzwiach wejściowych, w wiatrołapach lub na zewnętrznych ścianach budynków. Oznacza to, że kabel sieciowy biegnie do strefy ogólnodostępnej, co stwarza ryzyko próby wpięcia obcego urządzenia do sieci firmowej po demontażu obudowy czytnika.

Podczas konfiguracji sieci wdrażane są wielopoziomowe zabezpieczenia portów przełączników:

Mechanizm Port Security – funkcja przełącznika sieciowego, która przypisuje port wyłącznie do jednego adresu fizycznego MAC czytnika; w przypadku wykrycia innego adresu port zostaje natychmiast automatycznie zablokowany.
Uwierzytelnianie w standardzie IEEE 802.1X (protokół kontroli dostępu do portów sieciowych wymagający certyfikatu lub poświadczeń przed przyznaniem dostępu do sieci).
Izolacja portów (Private VLAN – technologia uniemożliwiająca komunikację między urządzeniami w tej samej podsieci, pozwalająca wyłącznie na ruch do bramy domyślnej lub serwera).
Wyłączenie automatycznej negocjacji i ustawienie stałej przepustowości na portach podłączonych do czytników.

Błędy przy próbie samodzielnej konfiguracji sieci pod kontrolę dostępu

Próby samodzielnego podłączania i konfigurowania urządzeń RFID w istniejącej sieci biurowej bez wiedzy administratorskiej często skutkują problemami ze stabilnością oraz lukami w bezpieczeństwie. Najczęściej spotykane błędy to:

Umieszczenie kontrolerów w tej samej przestrzeni adresowej co stacje robocze i sieć bezprzewodowa dla gości. W takiej sytuacji zainfekowany komputer pracownika lub nieautoryzowane urządzenie w sieci Wi-Fi może skanować porty kontrolerów, próbować przejąć nad nimi kontrolę lub zablokować ich pracę atakiem typu DoS (Denial of Service – atak polegający na przeciążeniu urządzenia nadmiarem zapytań).

Pozostawienie domyślnych danych logowania (fabrycznych loginów i haseł) w panelach konfiguracyjnych kontrolerów IP oraz czytników. Umożliwia to zmianę konfiguracji przejść każdemu użytkownikowi znającemu domyślne parametry producenta.

Stosowanie dynamicznej adresacji bez stałych rezerwacji. Po restarcie routera lub wygaśnięciu dzierżawy DHCP kontroler otrzymuje nowy adres IP, przez co oprogramowanie serwerowe traci z nim łączność, a administrator nie może pobrać raportów ani nadać nowych uprawnień.

Niedoszacowanie poboru mocy na przełącznikach PoE. Przełącznik o zbyt małym budżecie mocy w watach (W) działa stabilnie przy samym zasilaniu czytników, jednak w momencie wyzwolenia elektrozaczepu (zwory elektromagnetycznej) następuje skokowy pobór prądu, co powoduje restart portu sieciowego i chwilowe odcięcie czytnika od zasilania.

Brak konfiguracji synchronizacji czasu NTP (Network Time Protocol – protokół sieciowy służący do precyzyjnej synchronizacji zegarów urządzeń). Gdy kontrolery i serwer mają różne czasy systemowe, logi zdarzeń rejestracji czasu pracy zawierają błędne znaczniki godzinowe, co uniemożliwia rzetelne rozliczanie obecności pracowników.

Prowadzenie przewodów sieciowych równolegle z kablami elektroenergetycznymi wysokiego napięcia bez zachowania odpowiedniego odstępu i ekranowania. Powoduje to zakłócenia elektromagnetyczne (EMI), gubienie pakietów w transmisji danych i losowe błędy odczytu kart.

Kiedy problem leży w sieci, a kiedy w samym sprzęcie kontroli dostępu

W przypadku nieprawidłowego działania systemu kluczowa jest prawidłowa diagnoza źródła usterki. Poniższe zestawienie pomaga odróżnić problemy z infrastrukturą sieciową od awarii elementów wykonawczych:

Objawy wskazujące na problem sieciowy:

Czytnik reaguje na kartę (sygnalizuje piknięciem lub zmianą koloru diody), ale drzwi otwierają się z kilkusekundowym opóźnieniem ze względu na kolejkowanie pakietów w przeciążonej sieci.
Oprogramowanie zarządzające na serwerze wskazuje status kontrolera jako rozłączony (offline), mimo że lokalnie kontroler reaguje na karty zapisane w pamięci podręcznej.
Brak możliwości zdalnej aktualizacji uprawnień lub dodania nowej karty do kontrolera przy zachowaniu fizycznego działania dotychczasowych kart.
Błędy synchronizacji zegara i rozbieżności czasowe w raportach rejestracji czasu pracy.
Gubienie pakietów przy testach diagnostycznych ping (narzędzie do sprawdzania dostępności hosta w sieci) wysyłanych z serwera do kontrolera.

Objawy wskazujące na usterkę sprzętową lub problem z okablowaniem niskoprądowym:

Całkowity brak reakcji czytnika na przyłożenie karty (brak sygnału dźwiękowego i optycznego), co wskazuje na uszkodzenie anteny RFID, brak zasilania lub uszkodzenie modułu czytnika.
Czytnik wydaje sygnał dźwiękowy oznaczający przyznanie dostępu, ale elektrozaczep lub zwora elektromagnetyczna nie zwalnia blokady drzwi – świadczy to o uszkodzeniu przekaźnika w kontrolerze, spadku napięcia na linii zasilającej rygiel lub awarii samego rygla.
Uszkodzenie magistrali komunikacyjnej Wiegand (standardowy interfejs przewodowy łączący głowicę czytnika z kontrolerem drzwiowym), objawiające się przekazywaniem zniekształconego kodu karty do kontrolera.
Mechaniczne zużycie przycisku wyjścia (przycisku zwalniającego rygiel od wewnątrz pomieszczenia).

Często zadawane pytania o konfigurację sieci pod kontrolę dostępu

Czy czytniki RFID i kontrolery mogą pracować w sieci bezprzewodowej Wi-Fi?

Choć część kontrolerów posiada wbudowane moduły Wi-Fi (standard bezprzewodowej transmisji danych), w instalacjach profesjonalnych zaleca się stosowanie wyłącznie połączeń przewodowych Ethernet. Sieć bezprzewodowa jest podatna na zakłócenia radiowe, tłumienie sygnału przez ściany nośne oraz celowe próby zagłuszania sygnału. Połączenie kablowe zapewnia stabilność transmisji, niskie opóźnienia oraz możliwość jednoczesnego zasilania urządzeń przez PoE.

Co dzieje się z kontrolą dostępu w przypadku awarii sieci komputerowej lub wyłączenia serwera?

Właściwie skonfigurowane kontrolery drzwiowe pracują w trybie autonomicznym z buforowaniem zdarzeń. Posiadają one własną pamięć nieulotną, w której zapisana jest lista uprawnionych kart oraz harmonogramy czasowe. W przypadku utraty połączenia z siecią lub awarii serwera, kontroler nadal weryfikuje karty i otwiera drzwi dla uprawnionych osób. Po przywróceniu łączności sieciowej kontroler automatycznie przesyła zgromadzone w buforze zdarzenia do bazy danych na serwerze.

Jak zabezpiecza się system kontroli dostępu przed przerwami w dostawie prądu?

Ciągłość działania infrastruktury sieciowej i systemu kontroli dostępu zapewnia się poprzez zastosowanie zasilaczy awaryjnych UPS (Uninterruptible Power Supply – urządzenie podtrzymujące zasilanie sieciowe z akumulatorów) dla przełączników sieciowych i serwera oraz dedykowanych zasilaczy buforowych z akumulatorami AGM (Absorbent Glass Mat – akumulatory kwasowo-ołowiowe z elektrolitem uwięzionym w macie szklanej) dla kontrolerów i rygli elektromagnetycznych.

Czy system kontroli dostępu może być zintegrowany z innymi systemami biurowymi?

Tak, prawidłowo przygotowana infrastruktura sieciowa umożliwia bezpieczną integrację kontroli dostępu z systemami telewizji przemysłowej CCTV (Closed-Circuit Television – monitoring wizyjny), centralami sygnalizacji pożarowej SAP (System Sygnalizacji Pożarowej zwalniający przejścia ewakuacyjne w razie alarmu pożarowego) oraz oprogramowaniem kadrowo-płacowym przetwarzającym dane rejestracji czasu pracy.

Czy do konfiguracji sieci pod kontrolę dostępu konieczne jest podawanie haseł administracyjnych firmy?

Domyślnie prace konfiguracyjne prowadzone są w taki sposób, aby nie wymagać dostępu do poufnych haseł głównych klienta. Specjalista może przygotować wyodrębnioną podsieć, skonfigurować urządzenia na dedykowanych kontach serwisowych lub przekazać wytyczne dotyczące reguł zapory sieciowej administratorowi wewnętrznemu firmy.

Realizacja konfiguracji w modelu dojazdu do klienta

Wszystkie prace związane z analizą, konfiguracją przełączników, routerów, kontrolerów oraz testami przepustowości realizowane są bezpośrednio w siedzibie klienta. Zapewnia to możliwość weryfikacji działania systemu w rzeczywistym środowisku biurowym, przy uwzględnieniu faktycznego rozkładu okablowania strukturalnego oraz parametrów urządzeń wykonawczych.

Obsługa obejmuje całą Warszawę oraz okoliczne miejscowości w promieniu do 40 km, w tym powiaty: grodziski, legionowski, otwocki, piaseczyński, pruszkowski, warszawski zachodni oraz wołomiński. W przypadku konieczności wykonania prac administracyjnych na serwerach zarządzających kontrolą dostępu, na życzenie klienta podpisywana jest bezpłatna umowa o zachowaniu poufności (NDA – Non-Disclosure Agreement), gwarantująca pełne bezpieczeństwo danych firmowych.

Prawidłowe wydzielenie i zabezpieczenie pasma sieciowego dla kontrolerów i czytników RFID eliminuje ryzyko przestojów w pracy biura, zabezpiecza sieć wewnętrzną przed nieautoryzowanym podłączeniem z korytarza oraz zapewnia bezawaryjną rejestrację zdarzeń dostępowych przez całą dobę.

22 378 48 09

Konfiguracja sieci pod system kontroli dostępu (RFID, karty)