В небольшом офисе одна плоская сеть быстро становится источником лишних рисков. Ноутбуки сотрудников, гостевые смартфоны, IP-камеры, принтеры и сетевое оборудование получают адреса из общего пространства и потенциально видят друг друга. VLAN позволяет разделить такую инфраструктуру логически, не прокладывая отдельный кабель для каждого типа устройств.
VLAN для малого офиса: 4 изолированные зоны
Практическая цель не в том, чтобы создать как можно больше виртуальных сетей. Нужно определить, кому разрешено общаться, где проходит маршрутизация и какие сервисы должны оставаться доступными при ограниченном доступе к остальным узлам.
Что VLAN меняет в офисной сети
VLAN — это логический сегмент локальной сети. Один управляемый коммутатор может передавать трафик нескольких VLAN по общей физической инфраструктуре, а устройства в разных сегментах не будут обмениваться данными напрямую без маршрутизации через маршрутизатор, межсетевой экран или коммутатор уровня L3.
Порт коммутатора в режиме access обычно принадлежит одному VLAN и подключает конечное устройство. Trunk-порт переносит трафик нескольких VLAN с помощью тегов 802.1Q; так соединяют коммутатор с маршрутизатором, другой точкой доступа или коммутатором.
- Access — порт для компьютера, принтера, камеры или другого устройства, которое не должно самостоятельно выбирать VLAN.
- Trunk — магистраль между сетевыми устройствами, по которой передаются несколько логических сегментов.
- VLAN ID — идентификатор сегмента, одинаково заданный на совместно работающих устройствах.
- Межсетевой экран — место, где задаются правила доступа между VLAN и в интернет.
Сам по себе VLAN не является полноценной защитой. Если разрешить любой обмен между подсетями, сегментация останется удобным способом организации адресов, но не ограничит движение трафика. За безопасность отвечают правила маршрутизации, ACL и межсетевого экрана.
Главное правило проектирования: сначала описывают разрешённые связи между зонами, а затем назначают VLAN и адресные подсети.
Базовая схема: сотрудники, гости и видеонаблюдение
Для малого офиса обычно достаточно нескольких функциональных зон. Их количество зависит от задач, но разделять сети следует по уровню доверия и характеру трафика, а не по каждому отдельному устройству.
| Зона | Типичные устройства | Что разрешить | Что запретить |
|---|---|---|---|
| Сотрудники | ПК, ноутбуки, рабочие телефоны, принтеры | Интернет, серверы, нужные офисные сервисы | Доступ к управлению сетевыми устройствами без необходимости |
| Гости | Личные смартфоны и ноутбуки посетителей | Только интернет через гостевой Wi-Fi | Офисные подсети, камеры, панели управления |
| Камеры | IP-камеры и иногда другие устройства безопасности | Связь с видеорегистратором и необходимыми службами | Свободный доступ в офисную сеть |
| Управление | Коммутатор, маршрутизатор, точки доступа, NVR | Доступ администраторов и нужных систем | Подключение случайных клиентов |
Камеры лучше помещать в отдельный VLAN, даже если видеорегистратор установлен в той же серверной. Так проще запретить камерам выход в интернет и ограничить просмотр архива только определённым рабочим местам или приложению NVR.
Для гостевого доступа создают отдельный SSID и связывают его с гостевым VLAN. Опция изоляции клиентов на точке доступа дополнительно запрещает гостевым устройствам общаться между собой, но она не заменяет запрет доступа к внутренним подсетям на маршрутизаторе.
Как выбрать оборудование под VLAN
Центром схемы должен быть управляемый коммутатор с поддержкой 802.1Q. Неуправляемая модель может передавать обычный трафик, но не позволит надёжно назначать access-порты, создавать trunk и контролировать параметры VLAN.
При выборе учитывают не только число разъёмов. Полезные критерии подробно разобраны в материале как выбрать управляемый коммутатор для офиса: важны управление, PoE, скорость портов, таблица MAC-адресов, журналирование и возможность резервного доступа к настройкам.
- Поддержка VLAN 802.1Q, access и trunk-портов.
- PoE, если камеры или точки доступа получают питание по Ethernet.
- ACL или совместимость с маршрутизатором, который будет фильтровать межсетевой трафик.
- Резерв портов и подходящий бюджет мощности PoE.
- Возможность сохранить конфигурацию и обновлять программное обеспечение.
- Управление через защищённый протокол, а не только через незащищённый веб-доступ.
Количество портов считают по фактическим подключениям: рабочие места, камеры, точки доступа, принтеры, NVR, uplink и резерв. Методика расчёта с запасом описана в статье о количестве портов коммутатора; важно учитывать не только текущие устройства, но и будущую точку доступа или дополнительную камеру.
В небольшом офисе маршрутизацию между VLAN чаще оставляют на маршрутизаторе или firewall. Коммутатор L3 может выполнять её сам, но тогда правила фильтрации, журналирование и выход в интернет должны быть согласованы с его возможностями; различия между L2 и L3 разобраны в отдельном сравнении коммутаторов L2 и L3.
Настройка: от плана адресов до правил доступа
До подключения клиентов составляют короткую схему: название VLAN, ID, подсеть, DHCP-диапазон, шлюз и список разрешённых направлений. Номера VLAN могут быть выбраны произвольно, но единая таблица параметров должна использоваться на маршрутизаторе, коммутаторе и точках доступа.
- Проведите аудит. Перечислите устройства, их точки подключения, требования к интернету, локальным серверам, печати и видеозаписи.
- Создайте VLAN и подсети. Для сотрудников, гостей, камер и управления задайте отдельные шлюзы и DHCP-пулы, если адреса не назначаются вручную.
- Настройте маршрутизатор. Создайте интерфейсы VLAN на trunk-подключении и задайте правила межсетевого экрана с принципом минимально необходимого доступа.
- Настройте коммутатор. Назначьте access-порты по назначению и trunk для маршрутизатора, точек доступа и связанных коммутаторов.
- Свяжите SSID и VLAN. Служебный или рабочий SSID направьте в сеть сотрудников, гостевой — в гостевой сегмент; управление точками доступа ограничьте отдельно.
- Подключите камеры. Порты камер переведите в камерный VLAN, а NVR оставьте в зоне, где для него можно задать точечные разрешения.
- Проверьте сценарии. Тестируйте не только получение IP-адреса, но и доступ к каждому разрешённому сервису и отказ в запрещённых направлениях.
На trunk-портах лучше явно указать разрешённый список VLAN, а не передавать все доступные сегменты без необходимости. Неиспользуемые порты отключают или помещают в отдельный неиспользуемый VLAN, чтобы случайное подключение не давало доступ к рабочей сети.
Правила доступа и защита камер
Для офисного VLAN обычно разрешают DNS, DHCP, доступ к интернету и необходимые внутренние сервисы. Доступ к управлению коммутатором, маршрутизатором, точками доступа и камерами следует открывать только с администраторских устройств или из отдельного управленческого сегмента.
Гостевой VLAN должен иметь маршрут в интернет, но не в подсети сотрудников, камер и управления. На firewall также проверяют запрет доступа к локальным адресам, чтобы гостевой клиент не обращался к веб-интерфейсам оборудования по известному адресу.
Для камер заранее определяют, где находится видеорегистратор и каким протоколом он получает поток. Часто достаточно разрешить соединение камера — NVR и ограниченный доступ администраторов к NVR; широкое правило «камерам разрешено всё» сводит пользу сегментации к минимуму.
Если NVR должен быть доступен сотрудникам, лучше разрешить конкретные адреса или группы рабочих станций и нужные сервисы. Удалённый просмотр организуют через защищённый механизм доступа, а не прямым пробросом множества портов на камеры.
VLAN отвечает на вопрос «к какой сети относится устройство», а firewall — на вопрос «что этой сети разрешено делать».
Диагностика и типичные ошибки
После настройки проверяют сеть по слоям: физическое соединение, получение адреса, принадлежность порта к VLAN, прохождение trunk, работу шлюза и только затем доступ к приложениям. Полезно вести таблицу тестов с ожидаемым результатом: например, гость получает интернет, но не открывает адрес коммутатора и камеру.
- Неверный trunk. VLAN создан на маршрутизаторе, но не разрешён на uplink-порту коммутатора или точки доступа.
- Ошибка access-порта. Камера подключена к порту сотрудников и получает адрес из неподходящей подсети.
- Несовпадение тегирования. На одном конце VLAN передаётся с тегом, а другое устройство ожидает нетегированный трафик.
- Отсутствие маршрута или DHCP. Клиент видит линк, но не получает адрес либо не знает шлюз своей подсети.
- Слишком широкие правила. Между VLAN разрешён весь трафик, хотя требовались только интернет, печать или доступ к NVR.
- Забытый management-доступ. Администратор изолировал оборудование и потерял возможность безопасно управлять им.
Если камера не отображается в NVR, сначала проверяют адресацию и доступность нужного сервиса внутри разрешённого маршрута, затем настройки ONVIF или другого протокола. Если не работает гостевой Wi-Fi, сравнивают VLAN на SSID, trunk до точки доступа, DHCP-пул и правило выхода в интернет.
После изменений сохраняют резервную копию конфигурации коммутатора, маршрутизатора и точек доступа. Документируют схему портов и адресов: без такой карты последующая замена камеры, точки доступа или сотрудника, отвечающего за сеть, превращается в поиск методом проб и ошибок.
Для малого офиса разумная VLAN-схема должна быть понятной, проверяемой и ограниченной реальными задачами. Разделите доверенные и недоверенные устройства, вынесите камеры из общей сети, настройте правила на границе сегментов и регулярно сверяйте конфигурацию с фактическими подключениями.