Сеть офиса без хаоса: зачем разделять её на сегменты
Зачем делить офисную сеть на сегменты (VLAN): гостевой Wi-Fi, бухгалтерия, камеры, принтеры и серверы отдельно. Что это даёт бизнесу и как выглядит план сети.
Клиент ждёт в переговорной и просит пароль от Wi-Fi. Администратор диктует тот же пароль, которым пользуются сотрудники. Телефон гостя оказывается в одной сети с компьютером бухгалтера, сетевым хранилищем с договорами и регистратором видеонаблюдения. Если на телефоне гостя вирус, он видит всё то же, что видел бы сотрудник.
Большинство небольших офисов работают в одной плоской сети: всё подключено ко всему. Это просто, пока ничего не случилось. Сегментация делит сеть на изолированные части по назначению. Разберём, какие сегменты нужны офису, что это даёт и сколько стоит.
Плоская сеть против сегментированной
| Что важно | Одна общая сеть | Сеть с сегментами |
|---|---|---|
| Гости | Видят компьютеры и серверы офиса | Получают только интернет |
| Вирус на одном компьютере | Может дойти до всех устройств | Остаётся в своём сегменте |
| Камеры и умные устройства | Рядом с бухгалтерией | В отдельном сегменте без выхода к рабочим данным |
| Поиск проблем | Всё смешано | Видно, в каком сегменте сбой |
| Права доступа | Всё открыто всем | Правила между сегментами |
Сегментация не мешает работе. Она просто запрещает устройствам то, что им и так не нужно.
Какие сегменты нужны офису
Шаг 1
Рабочие компьютеры
Сотрудники, доступ к серверам и общим ресурсам по правилам.
Шаг 2
Серверы
Файлы, 1С, почта, облако. Доступ только с рабочих компьютеров и только к нужным службам.
Шаг 3
Гостевой Wi-Fi
Только интернет, без доступа к чему-либо в офисе, с ограничением скорости.
Шаг 4
Камеры и регистраторы
Изолированы: камеры не ходят в интернет и не видят рабочие компьютеры.
Шаг 5
Принтеры и умные устройства
Доступны для печати, но не могут инициировать соединения с рабочими компьютерами.
Шаг 6
Управление
Интерфейсы роутеров, коммутаторов и точек доступа доступны только администратору.
Что нужно из оборудования
Сегменты строятся на технологии VLAN: один кабель и один коммутатор несут несколько изолированных сетей. Нужны управляемые коммутаторы и роутер, который умеет правила между сегментами (firewall). Точки доступа должны поддерживать несколько сетей Wi-Fi с привязкой к сегментам. Часто часть оборудования уже подходит, и менять приходится только неуправляемые коммутаторы. Мы работаем с оборудованием Cisco и MikroTik.
Частые ошибки
- Гостевая сеть на том же пароле. Отдельная сеть с отдельным паролем и сменой раз в месяц.
- Сегменты есть, правил нет. Если между сегментами всё разрешено, сегментация ничего не даёт.
- Камеры с выходом в интернет. Регистраторы часто сами связываются с облаком производителя. Лучше давать удалённый доступ через VPN.
- Нет схемы. Через год никто не помнит, какой порт в каком сегменте.
Пример: офис на двадцать рабочих мест
Условный офис: двадцать компьютеров, сервер с 1С, три принтера, восемь камер, гостевой Wi-Fi в переговорной. После разделения сети гости получают только интернет, камеры изолированы и пишут на регистратор, сервер 1С доступен только с рабочих компьютеров. Коммутаторы пришлось заменить два из пяти, остальное оборудование подошло. Работы по сети оцениваются после осмотра, VPN между площадками стоит от 10 000 ₽.
Сколько стоит
| Позиция | Цена | Что входит |
|---|---|---|
| Офисная сеть: VLAN, маршрутизация, firewall | по расчёту | Зависит от числа устройств и оборудования |
| VPN между двумя площадками | от 10 000 ₽ | Защищённый канал между офисами |
| Резерв интернета | по расчёту | Два оператора с переключением |
| Видеонаблюдение | по запросу | Камеры, запись, архив |
Если у вас несколько офисов, сегменты объединяются защищённым каналом: подробнее в статье «VPN между офисами». Про отказоустойчивый выход в интернет в материале «Резервный интернет в офисе», про камеры в статье «Видеонаблюдение для офиса и магазина».
Как мы делаем
Осматриваем сеть и оборудование, рисуем схему сегментов и правил, согласуем с вами, настраиваем в нерабочее время и проверяем каждый сегмент: что разрешено, работает; что запрещено, закрыто. Схему передаём вам. Подробности на странице сетей и связи, смета в калькуляторе.
Частые вопросы
Остановится ли работа офиса?
Переключение делается вечером или в выходной, днём офис работает как обычно.
Нужно ли менять всё оборудование?
Обычно нет. Меняются неуправляемые коммутаторы и старые точки доступа, если они не умеют несколько сетей.
Замедлит ли сегментация сеть?
Нет, при правильной настройке пользователи разницы не замечают.
Нужно ли это офису на пять человек?
Как минимум гостевой Wi-Fi отдельно и камеры отдельно. Остальное по мере роста.
Коротко
- В плоской сети гость и вирус видят всё, что видит сотрудник.
- Сегменты: рабочие места, серверы, гости, камеры, принтеры, управление.
- Нужны управляемые коммутаторы, роутер с правилами и схема сети.
- Работы по офисной сети по расчёту, VPN между площадками от 10 000 ₽.
Следующий шаг: опишите сеть в калькуляторе или посмотрите все услуги на rktsocial.com.