Co daje VLAN?
VLAN to logiczna grupa urządzeń w sieci: pozwala oddzielić ruch bez budowania osobnego okablowania dla każdej grupy. Goście, pracownicy i kamery mogą korzystać z tych samych przełączników, ale trafiać do różnych stref. VLAN nie szyfruje transmisji. O bezpieczeństwie decydują także zasady dostępu i konfiguracja urządzeń.
Oddzielne strefy. Kontrolowane połączenia.
1. Podziel sieć według potrzeb
Zacznij od listy urządzeń i usług, z których korzystają. W małym biurze można rozważyć osobne strefy dla pracowników, gości, urządzeń takich jak kamery i drukarki oraz administracji. Nie twórz kolejnych VLAN-ów bez określenia celu i opiekuna. Wydzielone serwery oraz kopie zapasowe mogą wymagać dodatkowych ograniczeń.
2. Ustal, kto może z kim rozmawiać
Sam inny numer VLAN nie wystarczy, jeśli router przepuszcza cały ruch między strefami. Administrator powinien domyślnie blokować niepotrzebne połączenia i dopuszczać konkretne usługi. Uwzględnij DNS, DHCP i synchronizację czasu oraz ruch IPv4 i IPv6, jeśli oba są używane. Reguły mają obejmować wszystkie drogi między strefami.
Przykład dla małego biura
Poniższy przykład pokazuje sposób myślenia o dostępie. Zakres dopasuj do używanych aplikacji i urządzeń.
| Strefa | Dopuść | Ogranicz |
|---|---|---|
| Pracownicy | Aplikacje firmowe i wskazane drukarki | Swobodny dostęp do paneli urządzeń |
| Goście | Internet | Sieci wewnętrzne firmy |
| Kamery / IoT | Wskazany rejestrator i wymagane usługi | Dokumenty oraz komputery pracowników |
| Administracja | Zarządzanie z uprawnionych urządzeń | Dostęp z sieci gościnnej |
3. Uporządkuj porty access i trunk
Port access zwykle przypisuje komputer do jednej sieci. Trunk przenosi kilka VLAN-ów, np. między przełącznikami lub do punktu Wi-Fi. Na trunku dopuść tylko potrzebne VLAN-y. Jawnie ustaw role portów; wyłącz zbędne negocjowanie trunku, jeśli sprzęt je obsługuje. Sprawdź zgodność native VLAN, czyli obsługi ruchu bez znacznika, po obu stronach połączenia. Nie zmieniaj go bez planu.
4. Dopilnuj Wi-Fi i dostępu do zarządzania
Przypisz firmowe i gościnne Wi-Fi do właściwych stref. Sama inna nazwa Wi-Fi nie zapewnia separacji. Panele przełączników i punktów dostępowych udostępnij tylko administratorom przez kontrolowany dostęp. Nieużywane porty wyłącz; zgodnie z możliwościami sprzętu przypisz je do nieużywanej sieci. Nie pozostawiaj całej firmy w domyślnym VLAN-ie.
5. Sprawdź działanie i blokady
Po zmianie przetestuj nie tylko internet, ale też drukowanie, aplikacje i połączenia, które mają być zabronione. Użyj zwykłego urządzenia gościa, aby sprawdzić brak dostępu do dokumentów i paneli zarządzania. Przed wdrożeniem zachowaj konfigurację, zaplanuj okno serwisowe i sposób odzyskania dostępu, gdy zmiana odetnie administratora.
6. Zostaw czytelną dokumentację
Zapisz identyfikatory VLAN, podsieci, przypisania portów i Wi-Fi, reguły komunikacji oraz osobę odpowiedzialną. Aktualizuj opis przy dodaniu urządzenia lub usługi. Okresowo usuwaj niepotrzebne wyjątki. Uzgodniona lista dozwolonych połączeń będzie pomocna przy awarii i przekazaniu obsługi innemu administratorowi.