VLAN i firewall: strefy zamiast jednej wielkiej sieci.
Gość nie powinien widzieć serwera, kamera nie potrzebuje internetu, a telewizor nie ma czego szukać w księgowości. Wyślij pakiet i sprawdź, co przepuści firewall.
Wyślij pakiet między strefami.
Wybierz źródło i cel. Potem uruchom scenariusz ransomware — najpierw w sieci z VLAN-ami, potem w sieci płaskiej.
| # | skąd → dokąd | akcja |
|---|---|---|
| 1 | Biuro → Serwery | zezwól |
| 2 | Biuro → Kamery | zezwól |
| 3 | Biuro, Serwery → Internet | zezwól |
| 4 | Goście → Internet | zezwól |
| 5 | IoT → Internet | zezwól |
| 6 | Serwery → Biuro | zezwól* |
| 7 | Kamery → Internet | blokuj |
| 8 | Goście → sieci firmy | blokuj |
| 9 | wszystko inne | blokuj |
* odpowiedzi na połączenia zainicjowane z biura
Jak jeden kabel niesie kilka sieci.
- 01 · port access
Laptop wysyła ramkę
Laptop nie wie nic o VLAN-ach. Port przełącznika, do którego jest wpięty, jest przypisany do VLAN 10 — Biuro.
- 02 · 802.1Q
Switch dokleja etykietę
Na łączu do firewalla (trunk) każda ramka dostaje 4-bajtowy znacznik 802.1Q z numerem VLAN. Jeden kabel niesie wiele odseparowanych sieci.
- 03 · reguła
Firewall decyduje
Firewall widzi strefę źródłową i docelową, adresy, porty i stan połączenia. Szuka pierwszej pasującej reguły — domyślnie wszystko jest zablokowane.
- 04 · dostarczenie
Pakiet trafia do serwera
Dozwolony ruch wraca do przełącznika już jako VLAN 20, a port serwera zdejmuje etykietę. Odpowiedź serwera firewall przepuści, bo zna to połączenie.
Od tego zaczynamy w firmie.
Podział dopasowujemy do obiektu — w domu wystarczą zwykle 3–4 strefy, w hotelu czy zakładzie produkcyjnym bywa ich kilkanaście.
| VLAN | Strefa | Co w niej jest | Dokąd ma dostęp |
|---|---|---|---|
| 10 | Biuro | komputery, drukarki, telefony IP | serwery, internet, podgląd kamer |
| 20 | Serwery | serwer plików, ERP, kopie zapasowe | odpowiedzi do biura, aktualizacje |
| 30 | Kamery | kamery IP, rejestrator | brak internetu; podgląd tylko z biura/VPN |
| 40 | IoT | telewizory, klimatyzacja, czujniki | tylko internet, bez dostępu do firmy |
| 50 | Goście | Wi-Fi dla gości, izolacja klientów | tylko internet, limity pasma |
| 99 | Zarządzanie | switche, AP, kontrolery | tylko administrator / VPN |
Segmentacja bez zatrzymania firmy.
- Inwentaryzacja: co jest w sieci i kto z czym rozmawia
- Plan stref i reguł do akceptacji przed zmianami
- Przełączenia etapami, w oknach serwisowych, z planem powrotu
- Dokumentacja reguł i test każdego scenariusza
Czy VLAN wystarczy bez firewalla?
VLAN rozdziela ruch na poziomie przełącznika, ale jeśli router między VLAN-ami przepuszcza wszystko, to separacja jest pozorna. Dopiero reguły na firewallu (lub listy ACL na przełączniku L3) decydują, kto z kim może rozmawiać.
Czy to ma sens w małej firmie albo w domu?
Tak, w uproszczonej formie: osobna sieć dla gości, osobna dla kamer i urządzeń smart. Większość nowoczesnych routerów i systemów UniFi czy MikroTik pozwala to zrobić bez dodatkowego sprzętu.
Czy podział na VLAN spowolni sieć?
Ruch w obrębie strefy idzie przez przełącznik jak dotąd. Ruch między strefami przechodzi przez firewall — dlatego dobieramy jego wydajność do realnego ruchu (np. kopie zapasowe do serwera), żeby nie był wąskim gardłem.
Sprawdźmy, czy Twoja sieć jest płaska.
Bezpłatny przegląd podczas wizji lokalnej: zobaczymy, kto z kim rozmawia w Twojej sieci, i zaproponujemy podział na strefy.
- 01Oddzwaniamy i dopytujemy o szczegóły
- 02Wizja lokalna lub analiza rzutów
- 03Projekt, kosztorys i harmonogram