mikrotik
routeros
vlan
firewall
MikroTik i VLAN — segmentacja sieci w praktyce
MikroTik jest świetny do segmentacji i kontroli ruchu w MŚP, ale trzeba pamiętać o jednej zasadzie: VLAN-y bez reguł firewall są tylko kolorowymi etykietami. Segmentacja ma sens, gdy ruch między segmentami jest ściśle kontrolowany.
Minimalny schemat VLAN (model biznesowy)
VLAN 10 — ADMIN (zarządzanie, serwery, zarząd)
VLAN 20 — PRACOWNICY (biuro, open space, drukarki)
VLAN 30 — GOŚCIE (tylko Internet)
VLAN 40 — IOT/MONITORING (kamery, TV, sterowniki)
Trunk vs Access — gdzie ludzie najczęściej robią krzywdę
- Trunk (tagged) — do switchy i access pointów, które niosą wiele VLAN-ów.
- Access (untagged) — do końcówek (PC, drukarka) przypisanych do jednego VLAN.
- AP „wpięty jak zwykły kabel” bez trunk/tagowania = VLAN-y nie działają, tworzysz lukę bezpieczeństwa.
Firewall — minimalne zasady
- Goście i IoT: blokada dostępu do sieci wewnętrznej (LAN), dostęp tylko do Internetu.
- Pracownicy: dostęp do usług firmowych (np. serwer plików, ERP), ale brak dostępu do sieci zarządzania.
- Admin: dostęp kontrolowany, najlepiej z ograniczeniem do konkretnych adresów MAC/IP.
- Zarządzanie (Router/Switch): dostępne wyłacznie z VLAN Admin (Management).
Najczęstsze błędy
- Wszystko może „gadać” ze wszystkim („bo tak łatwiej”) → w praktyce to nie segmentacja, tylko iluzja.
- Brak dokumentacji portów i trunków → po zmianie switcha nikt nie wie, co gdzie było.
- DHCP w kilku miejscach → konflikty adresów i losowe awarie sieci.
- Brak automatycznej kopii konfiguracji RouterOS → awaria routera = przestój firmy.
Powiązane: VLAN i segmentacja (teoria) · Backup 3-2-1 · Oferta dla firm