Infrastruktura → Sieci

Segmentacja sieci VLAN — po co, jak i od czego zacząć

Segmentacja sieci to podział jednej fizycznej sieci na kilka logicznych segmentów (VLAN-ów), z których każdy ma własną adresację IP i reguły dostępu. To fundament bezpieczeństwa sieciowego — zarówno w szkole, jak i w firmie. Bez segmentacji jedno zainfekowane urządzenie widzi (i potencjalnie atakuje) wszystkie pozostałe.

Dlaczego flat network to problem?

W sieci bez segmentacji (tzw. flat network) wszystkie urządzenia — komputery uczniów, serwery, drukarki, kamery, telefony VoIP, prywatne smartfony — są w jednym segmencie. Każde urządzenie widzi ruch broadcastowy wszystkich pozostałych. Konsekwencje to zwiększone ryzyko propagacji złośliwego oprogramowania, brak izolacji między ruchem administracyjnym a uczniowskim, problemy wydajnościowe przy dużej liczbie urządzeń oraz brak możliwości egzekwowania polityk dostępu.

Typowy schemat segmentacji

W szkole lub firmie minimalny zestaw VLAN-ów zazwyczaj obejmuje cztery segmenty. VLAN zarządzania (VLAN 10) to sieć dla administratora, switch-y, routera, konsoli Proxmox — dostęp tylko dla uprawnionych. VLAN administracyjny (VLAN 20) to sekretariat, dyrekcja, księgowość — dostęp do drukarek, serwera plików, internetu. VLAN dydaktyczny (VLAN 30) obejmuje pracownie komputerowe, dostęp do serwera egzaminacyjnego i internetu, bez dostępu do VLAN administracyjnego. VLAN gości/IoT (VLAN 40) to WiFi dla gości, kamery, czujniki — tylko internet, zero dostępu do zasobów wewnętrznych.

Między VLAN-ami ruch przechodzi przez router (np. MikroTik) z regułami firewall. Domyślna reguła: blokuj wszystko, potem otwieraj tylko to, co potrzebne.

Co potrzeba do wdrożenia?

Minimalny zestaw to zarządzalny switch (managed) obsługujący 802.1Q — np. MikroTik CRS326 lub TP-Link TL-SG3428. Do routingu między VLAN-ami potrzebny router z obsługą VLAN (MikroTik RB4011, hAP ax³ lub dedykowany router). Access pointy WiFi powinny obsługiwać multiple SSID z tagowaniem VLAN (np. MikroTik cAP, Ubiquiti UniFi).

Koszt sprzętu dla typowej szkoły (2-3 pracownie, sekretariat, WiFi): od ok. 3 000 zł. Koszt wdrożenia (konfiguracja + dokumentacja): od 4 500 zł.

Od czego zacząć?

Pierwszy krok to inwentaryzacja: jakie urządzenia są w sieci, kto z czego korzysta, jakie są wymagania dostępowe. Drugi krok to projekt segmentacji — podział na VLAN-y, adresacja IP, reguły firewall. Trzeci — wdrożenie i testy. Czwarty — dokumentacja i procedury na wypadek awarii.

Jeśli chcesz zobaczyć, jak wygląda to w praktyce, przeczytaj VLAN w szkole — schemat, błędy i checklista lub MikroTik i VLAN w szkole. Jeśli nie wiesz, od czego zacząć — audyt IT pokaże stan obecny i priorytety.