Podział sieci na wydzielone segmenty VLAN pozwala oddzielić ruch różnych działów firmy, urządzenia gościnne czy sprzęt wymagający dodatkowej izolacji od pozostałej infrastruktury.

Na czym polega ta usługa

Konfiguracja obejmuje zaplanowanie podziału sieci na logiczne segmenty VLAN odpowiadające strukturze firmy, ustawienie reguł komunikacji między segmentami oraz przetestowanie, czy podział nie zakłóca niezbędnej wymiany danych między działami.

Dla kogo ma sens

Usługa jest wartościowa dla większych biur z kilkoma działami lub grupami urządzeń wymagających odseparowania ruchu sieciowego ze względów organizacyjnych lub bezpieczeństwa.

Ile to trwa

Konfiguracja segmentacji sieci mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne. Dojazd na terenie Warszawy i okolic jest bezpłatny, a usługa objęta jest gwarancją do 12 miesięcy.

Rola segmentacji sieci w nowoczesnym środowisku firmowym

W wielu firmach sieć lokalna funkcjonuje jako tak zwana sieć płaska (struktura, w której wszystkie komputery, serwery, drukarki i telefony znajdują się w jednej wspólnej przestrzeni adresowej). W takim układzie każde urządzenie może bezpośrednio komunikować się z dowolnym innym urządzeniem, a ruch rozgłoszeniowy trafia do wszystkich punktów w biurze. Wraz ze wzrostem liczby podłączonych stacji roboczych i urządzeń sieciowych model ten staje się źródłem problemów wydajnościowych oraz poważnych zagrożeń dla bezpieczeństwa danych.

Wdrożenie wirtualnych sieci lokalnych VLAN (technologii pozwalającej na logiczny podział jednego fizycznego przełącznika sieciowego na kilka odizolowanych domen rozgłoszeniowych) pozwala uporządkować ruch sieciowy bez konieczności kładzenia osobnego okablowania dla każdego działu. Dzięki temu ruch generowany przez gości w biurze, kamery monitoringu czy urządzenia magazynowe nie zakłóca pracy kluczowych systemów biznesowych, takich jak serwery bazodanowe czy stacje robocze księgowości.

Typowe segmenty VLAN wdrażane w biurach

Struktura podziału sieci zależy od profilu działalności przedsiębiorstwa, liczby zatrudnionych osób oraz rodzajów wykorzystywanych urządzeń. W praktyce biurowej najczęściej konfiguruje się kilka standardowych segmentów logicznych:

VLAN dla stacji roboczych pracowników – segment przeznaczony dla komputerów biurowych i laptopów personelu. W większych strukturach tworzy się osobne podsieci dla poszczególnych komórek organizacyjnych, na przykład dla działu handlowego, marketingu czy kadr.
VLAN dla serwerów i zasobów krytycznych – wydzielona strefa przeznaczona dla serwerów plików NAS (sieciowych pamięci masowych) oraz serwerów baz danych Microsoft SQL Server, obsługujących oprogramowanie ERP (systemy do planowania zasobów przedsiębiorstwa), takie jak InsERT Subiekt GT i nexo, Comarch Optima, Symfonia, WAPRO ERP czy enova365. Dostęp do tej podsieci jest ściśle kontrolowany i ograniczony wyłącznie do autoryzowanych portów i aplikacji.
VLAN dla urządzeń peryferyjnych i biurowych – strefa dla drukarek sieciowych, skanerów i urządzeń wielofunkcyjnych. Urządzenia te rzadko otrzymują regularne aktualizacje oprogramowania układowego, dlatego ich izolacja zapobiega wykorzystaniu ich jako punktu wejścia do sieci firmowej.
VLAN dla telefonii VoIP – podsieć dedykowana telefonom internetowym (urządzeniom do przesyłania głosu przez protokół IP). Wydzielenie tego segmentu umożliwia nadanie priorytetu pakietom głosowym poprzez mechanizmy QoS (Quality of Service – mechanizm gwarantowania jakości usług i przepustowości), co eliminuje przerywanie rozmów i opóźnienia dźwięku.
VLAN dla systemów bezpieczeństwa i automatyki – segment obsługujący kamery monitoringu IP, rejestratory NVR (sieciowe rejestratory wideo) oraz kontrolery dostępu do pomieszczeń. Izolacja tego ruchu zapobiega podglądowi obrazu przez osoby niepowołane oraz chroni pasmo sieciowe przed przeciążeniem strumieniami wideo o wysokiej rozdzielczości.
VLAN dla gości (Guest Wi-Fi) – wydzielona sieć bezprzewodowa dla klientów, kurierów i gości odwiedzających biuro. Użytkownicy w tym segmencie mają dostęp wyłącznie do łącza internetowego, bez możliwości skanowania sieci wewnętrznej czy łączenia się z jakimikolwiek zasobami firmowymi.
VLAN do zarządzania infrastrukturą (Management VLAN) – odizolowany segment, do którego przypisane są interfejsy administracyjne routerów, przełączników zarządzalnych oraz punktów dostępowych Wi-Fi. Dostęp do niego posiadają wyłącznie wyznaczeni administratorzy sieci.

Wymagania sprzętowe i przygotowanie infrastruktury

Do prawidłowego uruchomienia segmentacji VLAN niezbędny jest sprzęt sieciowy obsługujący odpowiednie standardy komunikacyjne. W przeciwieństwie do prostych urządzeń domowych infrastruktura firmowa musi zapewniać wsparcie dla protokołów zarządzania ruchem:

Podstawowym elementem są przełączniki zarządzalne (ang. managed switches) działające w warstwie drugiej (L2) lub trzeciej (L3) modelu sieciowego. Urządzenia te muszą obsługiwać standard IEEE 802.1Q (standard definiujący sposób znakowania ramek ethernetowych czterobajtowym tagiem zawierającym numer identyfikacyjny VLAN ID). Dzięki temu przełącznik potrafi rozróżnić, do której podsieci należy dany pakiet danych przesyłany jednym fizycznym przewodem.

Kolejnym elementem jest router lub sprzętowa zapora sieciowa (ang. firewall) z obsługą routingu między podsieciami (ang. inter-VLAN routing) oraz obsługą wirtualnych interfejsów sieciowych (podinterfejsów przypisanych do poszczególnych numerów VLAN). W konfiguracji sieci stosuje się dwa rodzaje portów przełącznika:

Porty dostępowe (Access Ports) – porty, do których podłącza się urządzenia końcowe (komputery stacjonarne, laptopy, drukarki). Pakiety wychodzące z tych urządzeń są nietagowane, a przełącznik przypisuje je automatycznie do określonego VLAN-u na podstawie konfiguracji danego gniazda.
Porty magistralne (Trunk Ports) – łącza łączące ze sobą przełączniki, routery lub zaawansowane punkty dostępowe Wi-Fi. Przesyłają one ruch z wielu różnych sieci VLAN jednocześnie, zachowując znaczniki 802.1Q dla każdego pakietu.

W przypadku sieci bezprzewodowej konieczne jest zastosowanie biznesowych punktów dostępowych Wi-Fi (ang. Access Points) z obsługą mapowania wielu identyfikatorów sieci bezprzewodowej (SSID) na odpowiadające im numery VLAN. Pozwala to na rozgłaszanie z jednego fizycznego nadajnika zarówno bezpiecznej sieci pracowniczej, jak i odseparowanej sieci dla gości.

Etapy realizacji wdrożenia w lokalu klienta

Prace konfiguracyjne realizowane bezpośrednio w biurze klienta przebiegają według usystematyzowanego planu, co minimalizuje ryzyko zakłóceń w bieżącej działalności firmy:

Pierwszym krokiem jest audyt infrastruktury i inwentaryzacja urządzeń. Dokonuje się spisu wszystkich komputerów, serwerów, drukarek, terminali płatniczych oraz urządzeń sieciowych podłączonych do sieci przewodowej i bezprzewodowej. Na tym etapie analizowane są także wymagania wykorzystywanych w firmie aplikacji biznesowych pod kątem niezbędnych portów komunikacyjnych.

Drugim etapem jest przygotowanie projektu adresacji IP oraz matrycy komunikacji. Każdemu segmentowi VLAN przypisuje się unikalną podsieć adresową (na przykład z prywatnej przestrzeni adresowej IPv4) oraz definiuje się zakresy dla serwera DHCP (protokołu automatycznego przydzielania konfiguracji sieciowej i adresów IP urządzeniom końcowym). Następnie powstaje matryca reguł, która precyzuje, które działy mogą komunikować się ze sobą bezpośrednio, a które relacje muszą zostać zablokowane.

Trzeci krok to konfiguracja urządzeń aktywnych. Obejmuje ona utworzenie wirtualnych sieci na przełącznikach, przypisanie odpowiednich portów fizycznych, zestawienie połączeń magistralnych trunk oraz skonfigurowanie routera głównego lub zapory sieciowej. Uruchamiany jest mechanizm DHCP Relay (agent przekazywania zapytań o przydział adresu IP z różnych podsieci do centralnego serwera DHCP).

Czwartym etapem jest wdrożenie list kontroli dostępu (ACL – reguł filtrujących ruch sieciowy na podstawie adresów IP i numerów portów) oraz reguł zapory ogniowej. Definiuje się polityki bezpieczeństwa – na przykład pełną blokadę dostępu z sieci gościnnej do zasobów wewnętrznych, odcięcie kamer monitoringu od bezpośredniego dostępu do internetu czy zezwolenie na ruch ze stacji księgowości do bazy danych SQL na porcie 1433 z jednoczesnym zablokowaniem dostępu z pozostałych podsieci.

Ostatni etap to kompleksowe testy funkcjonalne i wydajnościowe. Weryfikuje się poprawność izolacji poszczególnych stref, stabilność działania programów ERP (takich jak Subiekt, Optima, Symfonia czy WAPRO), możliwość drukowania z uprawnionych stanowisk oraz płynność połączeń głosowych i transmisji wideo.

Błędy popełniane przy samodzielnej konfiguracji VLAN

Samodzielne próby wdrożenia segmentacji sieci bez odpowiedniego przygotowania inżynieryjnego często prowadzą do przestojów w pracy biura lub pozornego poczucia bezpieczeństwa. Do najczęstszych problemów należą:

Brak reguł filtrujących ruch między podsieciami – utworzenie wirtualnych sieci VLAN na przełączniku i podłączenie ich do routera bez zdefiniowania reguł zapory ogniowej lub list ACL sprawia, że router domyślnie przekazuje cały ruch między wszystkimi segmentami. W efekcie podział jest wyłącznie formalny, a urządzenia nadal mogą się bez przeszkód łączyć ze wszystkimi zasobami.
Pozostawienie domyślnego identyfikatora VLAN 1 dla całego ruchu – w wielu urządzeniach sieciowych VLAN o numerze 1 jest domyślną siecią fabryczną. Przesyłanie w niej ruchu produkcyjnego i zarządczego stwarza ryzyko ataków typu VLAN hopping (nieautoryzowanego przeskakiwania pakietów między segmentami logicznymi). Dobrą praktyką inżynieryjną jest przeniesienie całego ruchu firmowego do dedykowanych numerów VLAN oraz wyłączenie lub odizolowanie domyślnego identyfikatora.
Niezgodność konfiguracji portów trunk i brak tagowania ramek – błędne ustawienie natywnego VLAN-u (ang. native VLAN – domyślnego segmentu dla nietagowanego ruchu na łączu trunk) pomiędzy połączonymi przełącznikami prowadzi do pętli sieciowych, mieszania ruchu z różnych działów lub całkowitej utraty łączności między kondygnacjami biura.
Niewłaściwa konfiguracja serwerów DHCP – brak konfiguracji agenta przekazywania (DHCP Relay) powoduje, że komputery przeniesione do nowego segmentu VLAN nie mogą pobrać adresu IP, maski sieciowej ani bramy domyślnej, co objawia się brakiem dostępu do sieci lokalnej i internetu.
Zablokowanie ruchu urządzeń peryferyjnych – zbyt rygorystyczne reguły zapory sieciowej bez uwzględnienia protokołów wykrywania drukarek (takich jak mDNS czy WSD) sprawiają, że pracownicy tracą możliwość wysyłania dokumentów do druku lub odbierania skanów wysyłanych bezpośrednio na foldery sieciowe SMB.

Kiedy segmentacja VLAN to za mało i jakie rozwiązania wdrożyć równolegle

Segmentacja logiczna sieci rozwiązuje problem separacji i kontroli dostępu na poziomie warstwy sieciowej, jednak nie stanowi pełnego zabezpieczenia infrastruktury przed wszystkimi wektorami zagrożeń. Warto wiedzieć, kiedy należy uzupełnić VLAN-y o dodatkowe mechanizmy:

W przypadku zaawansowanych zagrożeń, takich jak złośliwe oprogramowanie przenoszone w załącznikach poczty elektronicznej lub ataki socjotechniczne, sama separacja sieciowa ogranicza rozprzestrzenianie się infekcji, ale nie chroni zainfekowanego segmentu. W takich sytuacjach niezbędne jest wdrożenie urządzeń UTM (Unified Threat Management – zintegrowanych systemów bezpieczeństwa łączących zaporę sieciową, antywirus sieciowy, filtr antyspamowy oraz system wykrywania i blokowania intruzów IPS).

Jeżeli w firmie występują spadki prędkości przesyłania plików spowodowane dużą ilością danych krążących między segmentami, wąskim gardłem może okazać się router programowy lub zbyt niska przepustowość łącza magistralnego. W takich środowiskach optymalnym rozwiązaniem jest zastosowanie przełączników z routingiem sprzętowym L3 (Layer 3 Switch), które realizują przekazywanie pakietów między podsieciami bezpośrednio na poziomie procesora przełącznika (z prędkością łączy kablowych), odciążając router brzegowy.

Należy również pamiętać o stanie fizycznego okablowania strukturalnego. Nawet najlepiej skonfigurowane segmenty VLAN nie zapewnią stabilnej pracy, jeżeli przewody sieciowe kategorii 5e lub 6 są uszkodzone, gniazda RJ-45 w biurkach mają poluzowane styki, a w szafie teleinformatycznej RACK panuje nieład powodujący przypadkowe rozłączanie przewodów krosowych (patchcordów).

Dodatkowe pytania o segmentację sieci w biurze (FAQ)

Czy wdrożenie sieci VLAN wymaga wymiany okablowania w całym lokalu?

Nie, segmentacja logiczna VLAN wykorzystuje istniejące przewody sieciowe kategorii 5e, 6 lub 6A. Cały podział odbywa się na poziomie oprogramowania i konfiguracji przełączników zarządzalnych oraz routera. Jeden fizyczny przewód poprowadzony do biurka może przesyłać ruch z wybranego segmentu, a przewody łączące przełączniki (łącza trunk) przenoszą ruch ze wszystkich podsieci jednocześnie.

Czy po podziale sieci pracownicy nadal będą mogli korzystać ze wspólnej drukarki?

Tak. Prawidłowo zaplanowana segmentacja uwzględnia wydzielenie urządzeń wielofunkcyjnych do osobnego segmentu lub umieszczenie ich w podsieci ogólnobiurowej z jednoczesnym skonfigurowaniem reguł routingu i zapory ogniowej. Dzięki temu komputery z różnych działów (na przykład sprzedaży, logistyki i kadr) mogą bez przeszkód wysyłać zadania drukowania na określonych portach (np. port 9100 RAW lub 631 IPP), podczas gdy bezpośredni dostęp do panelu administracyjnego drukarki pozostaje zablokowany.

Jak podział na segmenty wpływa na oprogramowanie handlowo-magazynowe i księgowe?

Programy bazodanowe, takie jak InsERT Subiekt GT, Subiekt nexo, Comarch ERP Optima, WAPRO Mag czy Symfonia, działają w pełni stabilnie pod warunkiem prawidłowej konfiguracji routingu między stacjami roboczymi a serwerem bazy danych Microsoft SQL Server. Podczas wdrożenia ustawia się reguły zezwalające na ruch na dedykowanych portach bazodanowych (standardowo port TCP 1433 oraz UDP 1434) i blokuje nieautoryzowany ruch administracyjny. Zapobiega to zakłóceniom w pracy personelu i jednocześnie zabezpiecza bazę danych przed niepowołanym dostępem.

Czy goście korzystający z firmowego Wi-Fi mogą mieć dostęp do urządzeń w biurze?

Przy poprawnie skonfigurowanym segmencie gościnnym jest to całkowicie wykluczone. Sieć dla gości posiada osobną podsieć IP, a reguły na zaporze sieciowej blokują wszelki ruch skierowany do innych adresów prywatnych w firmie. Użytkownicy podłączeni do sieci gościnnej otrzymują wyłącznie dostęp do bramy internetowej. Dodatkowo włącza się funkcję izolacji klientów (Client Isolation), która uniemożliwia urządzeniom gości wzajemne skanowanie i komunikację między sobą.

Czy wdrożenie segmentacji wiąże się z przerwą w działaniu firmy?

Większość prac analitycznych, projektowych i wstępnej konfiguracji urządzeń przygotowuje się bez wpływu na bieżącą pracę biura. Sam moment przełączenia portów, zmiany adresacji IP i restartu usług sieciowych planuje się w uzgodnieniu z klientem w dogodnym oknie serwisowym lub po godzinach intensywnej pracy biura, co pozwala uniknąć przestojów w obsłudze klientów i sprzedaży.

Utrzymanie stabilności i dokumentacja posegmentowanej sieci

Wdrożenie podziału na segmenty VLAN przynosi wymierne korzyści tylko wtedy, gdy infrastruktura jest czytelnie udokumentowana i właściwie utrzymywana. Po zakończeniu prac konfiguracyjnych sporządza się kompletną dokumentację sieciową, zawierającą tabelę adresacji IP, przypisanie identyfikatorów VLAN do konkretnych portów na przełącznikach w szafie RACK oraz schemat reguł zapory ogniowej. Ułatwia to bieżące zarządzanie siecią, szybkie podłączanie nowych stanowisk pracy oraz diagnozowanie ewentualnych nieprawidłowości w przyszłości.

Zapewnienie ciągłości działania infrastruktury sieciowej wymaga również okresowej weryfikacji reguł bezpieczeństwa i aktualizacji oprogramowania układowego urządzeń aktywnych. Po wykonaniu konfiguracji oferowane jest wsparcie techniczne do 30 dni, które pozwala na bieżąco doprecyzować reguły komunikacji w miarę pojawiania się nowych potrzeb operacyjnych w biurze. Prawidłowo posegmentowana sieć lokalna stanowi stabilny fundament dla bezpieczeństwa danych firmowych, niezawodnej pracy systemów ERP oraz sprawnej komunikacji całego zespołu.

22 378 48 09

Segmentacja sieci VLAN w biurze