Segmentacja sieci VLAN na UniFi — po co dzielić sieć firmową

W wielu małych firmach wszystkie urządzenia — komputery pracowników, drukarki, kamery, a nawet WiFi dla gości — siedzą w jednej, płaskiej sieci. Działa to na pierwszy rzut oka bez zarzutu, dopóki ktoś nie podłączy się do sieci gościnnej i nie uzyska dostępu do tych samych zasobów co pracownicy. VLAN rozwiązuje ten problem.

Czym jest VLAN

VLAN (Virtual LAN) pozwala podzielić jedną fizyczną sieć na kilka odseparowanych od siebie sieci logicznych — bez potrzeby prowadzenia osobnego okablowania dla każdej z nich. Ruch między VLAN-ami jest kontrolowany przez reguły na switchu i routerze, więc urządzenia z jednego segmentu domyślnie nie widzą urządzeń z drugiego.

Typowy podział sieci firmowej, który wdrażamy

• VLAN dla pracowników — komputery, drukarki sieciowe, serwery.
• VLAN gościnny — WiFi dla gości i kontrahentów, całkowicie odizolowany od zasobów firmowych.
• VLAN dla urządzeń IoT — kamery, czujniki, smart TV w salach konferencyjnych — urządzenia o niższym poziomie bezpieczeństwa, izolowane od reszty sieci.
• VLAN administracyjny — zarządzanie switchami, access pointami i innym sprzętem sieciowym, niedostępny dla zwykłych użytkowników.

Dlaczego to realnie zwiększa bezpieczeństwo

Gdyby urządzenie IoT (np. kamera) zostało przejęte przez atakującego, segmentacja VLAN ogranicza szkody do tego jednego segmentu sieci — atakujący nie ma bezpośredniego dostępu do stacji roboczych czy serwerów firmowych. To samo dotyczy sieci gościnnej: nawet skompromitowane urządzenie gościa nie zagraża reszcie infrastruktury.

Jak to wygląda na sprzęcie UniFi

Ekosystem Ubiquiti UniFi pozwala skonfigurować VLAN-y centralnie z jednego panelu (UniFi Network) — łącznie z osobnymi sieciami WiFi przypisanymi do konkretnych VLAN-ów oraz regułami zapory (firewall) kontrolującymi ruch między segmentami. Dzięki temu wdrożenie segmentacji nie wymaga wymiany całej infrastruktury sieciowej, a zarządzanie pozostaje proste nawet bez dedykowanego administratora sieci na miejscu.

Case study: dwie lokalizacje, jedna spójna sieć

Dla klienta Exotrade Sp. z o.o. wdrożyliśmy sieć firmową na sprzęcie UniFi w dwóch lokalizacjach z segmentacją VLAN oraz tunelem VPN site-to-site łączącym oba biura w jedną, spójną i zdalnie monitorowaną sieć, z rozdzieloną siecią gościnną.

Chcesz uporządkować sieć firmową w swoim biurze? Zobacz sieci komputerowe dla firm (UniFi) albo poproś o bezpłatną wycenę.