Segmentacja VLAN w firmie: po co oddzielać gości, kamery, drukarki i serwery
W płaskiej sieci telefon gościa, kamera, drukarka i komputer księgowości są dla siebie sąsiadami. VLAN-y pozwalają rozdzielić je na tym samym sprzęcie, a reguły między segmentami decydują, kto do czego ma dostęp. Pokazujemy typowy podział sieci w małej firmie, macierz ruchu i najczęstsze błędy.
Przy przejmowaniu sieci w małej firmie najczęściej zastajemy jedną płaską sieć. Komputery, serwer, drukarki, rejestrator kamer, telewizor w sali konferencyjnej i Wi-Fi dla gości korzystają z tej samej puli adresów. Hasło do sieci gościnnej jest inne niż firmowe, więc wszyscy są przekonani, że goście są oddzieleni. Tymczasem obie sieci bezprzewodowe kończą się w tym samym segmencie, a telefon klienta w poczekalni widzi panel rejestratora i udostępniony folder księgowości.
Segmentacja zmienia ten stan. Dzieli sieć na strefy według tego, jak bardzo ufacie urządzeniom, i opisuje, jaki ruch wolno przepuszczać między nimi. Najczęściej realizuje się ją przez VLAN-y na przełącznikach i punktach dostępowych, które firma już ma.
Czym jest VLAN i gdzie powstaje granica
VLAN (Virtual LAN, wirtualna sieć lokalna) to logiczna sieć wydzielona na wspólnym okablowaniu i wspólnych przełącznikach. Mechanizm opisuje standard IEEE 802.1Q, który określa działanie mostów sieciowych, w tym przełączników obsługujących VLAN-y. Ramka wysyłana między przełącznikami dostaje znacznik z numerem sieci wirtualnej, dzięki czemu jeden kabel może przenosić ruch kilku segmentów jednocześnie.
Dwa pojęcia wracają przy każdej konfiguracji:
- Port dostępowy (access) należy do jednego VLAN-u. Wpięte do niego urządzenie, na przykład kamera, nie wie nic o segmentacji.
- Port trunk przenosi kilka VLAN-ów ze znacznikami. Tak łączy się przełączniki ze sobą, z routerem i z punktami dostępowymi Wi-Fi, które rozgłaszają kilka sieci.
Urządzenia w różnych VLAN-ach nie rozmawiają ze sobą bezpośrednio. Ruch między segmentami musi przejść przez router albo zaporę sieciową i właśnie tam powstaje granica bezpieczeństwa. Jeśli brama przepuszcza wszystko między segmentami, VLAN-y porządkują jedynie adresację. Ochronę dają dopiero reguły.
Po co segmentować sieć firmową
Brytyjskie NCSC w wytycznych o ograniczaniu ruchu bocznego (lateral movement, czyli przemieszczania się atakującego po sieci po przejęciu pierwszego urządzenia) zaleca identyfikowanie, grupowanie i izolowanie systemów ważnych dla firmy oraz stosowanie wobec nich odpowiednich zabezpieczeń sieciowych. Logika jest prosta: urządzenie, przez które atakujący wszedł do sieci, nie powinno mieć drogi do serwera z danymi.
Amerykańska CISA w zestawie celów CPG 2.0 idzie w tę samą stronę. Zaleca logiczne dzielenie sieci według granic zaufania i typów urządzeń, wymieniając wprost IT, IoT, urządzenia mobilne i gości, oraz dopuszczanie między segmentami wyłącznie wymaganej komunikacji. CERT Polska w poradniku o ransomware wskazuje, że logiczna albo fizyczna separacja działów firmy, przy odpowiedniej konfiguracji, ogranicza skutki infekcji w sieci.
Segmentacja daje też korzyści poza bezpieczeństwem. Łatwiej diagnozować problemy, bo wiadomo, w którym segmencie stoi urządzenie. Można nadać priorytet telefonii albo systemom produkcyjnym. Nowe urządzenie trafia do właściwej strefy według reguły, bez dyskusji za każdym razem.
Typowy podział sieci w małej firmie
Poniższy podział to punkt wyjścia do rozmowy o Waszej sieci. Dla każdej strzałki między segmentami trzeba odpowiedzieć na pytanie, kto i po co ma tam sięgać.
| Segment | Co w nim jest | Czego zwykle potrzebuje |
|---|---|---|
| Administracja | Panele przełączników, punktów dostępowych, serwera NAS, hiperwizora | Dostęp tylko ze stanowisk administratorów |
| Serwery | ERP, serwer plików, kopie zapasowe | Dostęp ze stanowisk na konkretnych usługach |
| Stanowiska | Komputery i laptopy pracowników | Internet, serwery, drukarki |
| Drukarki | Drukarki, skanery, urządzenia wielofunkcyjne | Ruch ze stanowisk w jedną stronę, skanowanie do wskazanego folderu |
| Monitoring | Kamery i rejestrator | Ruch wewnątrz segmentu, podgląd z wyznaczonych stanowisk |
| IoT i multimedia | Telewizory, sterowniki, czujniki | Zwykle tylko internet |
| Goście | Telefony i laptopy odwiedzających | Wyłącznie internet |
W firmie z produkcją albo magazynem dochodzą zwykle terminale, skanery kodów i maszyny. Liczba segmentów powinna wynikać z liczby realnych granic zaufania, a nie z możliwości sprzętu. Sieć podzielona na kilkanaście VLAN-ów, której nikt nie potrafi utrzymać, jest gorsza od sieci z czterema przemyślanymi strefami.
Sieć gościnna: co realnie izoluje
Samo nazwanie sieci Wi-Fi „Goście” niczego nie oddziela. Izolację dają trzy warstwy, które odpowiadają na trzy różne pytania:
- VLAN: czy segment gości jest logicznie oddzielony od reszty sieci?
- Reguły na bramie: czy ruch z segmentu gości do pozostałych segmentów jest zablokowany?
- Izolacja klientów: czy urządzenia gości widzą się nawzajem w obrębie tego samego segmentu?
Producenci sprzętu dla firm mają na to gotowe mechanizmy. W dokumentacji Zyxel Nebula interfejs oznaczony jako gościnny daje podłączonym urządzeniom dostęp do internetu, ale nie pozwala im komunikować się bezpośrednio ze sobą ani sięgać do sieci za urządzeniem. Osobna funkcja izolacji gości blokuje widoczność między użytkownikami tej samej sieci Wi-Fi. W UniFi konfiguruje się to analogicznie, z jednego panelu: sieć wirtualną przypisuje się do sieci Wi-Fi i do portów przełączników, a następnie włącza izolację.
Tu leży różnica wobec trybu gościa w routerze od operatora. Taki tryb zwykle obejmuje jedną dodatkową sieć bezprzewodową i działa na zasadzie „włącz albo wyłącz”. VLAN obejmuje także porty przewodowe, więc kamera w korytarzu albo drukarka w sekretariacie może należeć do innego segmentu niż komputer obok. Więcej o tym, kiedy router operatora przestaje wystarczać, piszemy we wpisie o routerze od operatora i zarządzanej sieci firmowej, a o projektowaniu samego Wi-Fi w tekście o sieci Wi-Fi w biurze.
Sieć gościnna ma też swoje granice. Nie chroni urządzenia gościa i nie kontroluje, co gość robi w internecie. Ogranicza zasięg tego, do czego ma dostęp w Waszej sieci, i to jest jej jedyne, ale wartościowe zadanie.
Kamery, IoT i drukarki w osobnych segmentach
Gość jest obcy, więc decyzja o jego oddzieleniu jest oczywista. Trudniejsza jest decyzja o urządzeniach, które stoją w firmie na stałe. Kamery, rejestratory, telewizory, sterowniki klimatyzacji i drukarki mają wspólną cechę: ich oprogramowanie aktualizuje się rzadko, a firma ma nad nim ograniczoną kontrolę. CISA w CPG 2.0 wymienia IoT jako osobny typ urządzeń, który powinien trafić do własnego segmentu.
Monitoring. Kamery zapisują obraz na rejestratorze i w wielu instalacjach nie potrzebują dostępu poza swój segment. Podgląd dopuszcza się z wyznaczonych stanowisk, a dostęp zdalny przez VPN zamiast przekierowania portów na routerze. Planowanie samego systemu kamer opisaliśmy we wpisie o monitoringu CCTV dla firmy.
Drukarki. Stanowiska wysyłają zadania do drukarek, ale drukarka nie musi nawiązywać połączeń do komputerów. Wyjątkiem jest skanowanie do folderu, które wymaga jednej, opisanej reguły do konkretnego serwera. Po rozdzieleniu segmentów automatyczne wykrywanie drukarek w systemie operacyjnym często przestaje działać, bo opiera się na rozgłoszeniach, które nie przechodzą między VLAN-ami. Rozwiązaniem jest dodanie drukarki po adresie albo świadome przekazywanie tych rozgłoszeń na bramie.
Administracja. Panele przełączników, punktów dostępowych, serwera NAS i hiperwizora powinny być dostępne tylko z segmentu administracyjnego. NCSC zaleca rozdzielenie kont administracyjnych od codziennych, a tam, gdzie to możliwe, także osobne urządzenia do administrowania.
Reguły między VLAN-ami, czyli macierz ruchu
Najczęstszy błąd przy segmentacji to VLAN-y bez polityki ruchu. Zasadą wyjściową powinien być brak dostępu między segmentami, a każdy wyjątek powinien wynikać z konkretnej potrzeby. Najprościej zapisać to w tabeli, w której każdy wiersz ma źródło, cel, usługę, uzasadnienie i właściciela.
| Z segmentu | Do segmentu | Dozwolony ruch | Uzasadnienie |
|---|---|---|---|
| Stanowiska | Serwery | Udostępnianie plików, port aplikacji ERP | Codzienna praca |
| Stanowiska | Drukarki | Protokoły drukowania | Wydruki |
| Drukarki | Serwery | Zapis do folderu skanów | Skanowanie do folderu |
| Wybrane stanowiska | Monitoring | Podgląd z rejestratora | Ochrona obiektu |
| Administracja | Wszystkie | Panele zarządzania | Administracja siecią |
| Goście, IoT | Pozostałe segmenty | Brak | Tylko internet |
Każda reguła, której nikt nie potrafi uzasadnić, jest kandydatem do usunięcia. NCSC zaleca, by zapory domyślnie blokowały połączenia przychodzące, przepuszczały tylko potrzebne i by reguły regularnie przeglądać pod kątem tych, które przestały być potrzebne.
Najczęstsze błędy przy segmentacji VLAN
- Reguła „wszystko do wszystkiego” dodana w pośpiechu. Coś przestało drukować, ktoś otworzył ruch między segmentami i tak zostało.
- Zarządzanie urządzeniami w domyślnym VLAN-ie. Panele przełączników dostępne z tego samego segmentu co stanowiska i goście.
- Wszystkie VLAN-y na każdym porcie. Trunk ustawiony na gniazdach w biurze pozwala podłączonemu urządzeniu wejść do dowolnego segmentu.
- Zapomniane porty przewodowe. Sieć Wi-Fi dla gości jest oddzielona, ale gniazdo w sali konferencyjnej należy do segmentu stanowisk.
- Brak dokumentacji. Po roku nikt nie wie, dlaczego dana reguła istnieje, więc nikt nie odważy się jej usunąć.
Wdrożenie segmentacji bez zatrzymania pracy
Segmentację wprowadzamy etapami. Najpierw inwentaryzacja przełączników, punktów dostępowych, adresacji i urządzeń wraz z zależnościami: kto drukuje gdzie, co łączy się z serwerem, które urządzenia mają stałe adresy. Potem projekt segmentów, zakresów adresów i macierzy ruchu. Następnie pilotaż na jednej grupie urządzeń, migracja kolejnych segmentów w uzgodnionych oknach i plan cofnięcia na wypadek problemów.
Na końcu test, który potwierdza zarówno ruch dozwolony, jak i zabroniony. Gość ma internet i nie widzi zasobów firmy. Kamera łączy się z rejestratorem i nie dosięga komputera księgowości. Administrator na podstawie dokumentacji potrafi wskazać, w którym segmencie jest urządzenie i która reguła je dotyczy. Szerszy kontekst zabezpieczeń sieci opisaliśmy we wpisie o podstawach bezpieczeństwa sieci firmowej.
Segmentację projektujemy niezależnie od producenta. Pracujemy na sprzęcie Zyxel jako Partner Zyxel Networks i na UniFi, a dobór zależy od skali sieci i tego, kto będzie ją utrzymywał. Projekt, konfigurację i dokumentację segmentów prowadzimy w ramach usługi sieci firmowe.
Źródła
- IEEE Standards Association, IEEE 802.1Q-2022, IEEE Standard for Local and Metropolitan Area Networks. Bridges and Bridged Networks, 22.12.2022, https://standards.ieee.org/ieee/802.1Q/10323/ (dostęp 2.10.2026)
- National Cyber Security Centre, Preventing Lateral Movement, publikacja 8.02.2018, przegląd 10.03.2021, https://www.ncsc.gov.uk/guidance/preventing-lateral-movement (dostęp 2.10.2026)
- CISA, Cross-Sector Cybersecurity Performance Goals, Version 2.0, grudzień 2025, https://www.cisa.gov/cybersecurity-performance-goals-2-0-cpg-2-0 (dostęp 2.10.2026)
- CERT Polska, Poradnik ransomware, https://cert.pl/uploads/docs/CERT_Polska_Poradnik_ransomware.pdf (dostęp 2.10.2026)
- Zyxel Networks, Nebula Control Center User’s Guide, samouczek konfiguracji izolacji gości w sieci Wi-Fi, https://bulletin.nebula.zyxel.com/online-help/nebula-cc/NCC_UG-HTML_v18.10/NCC_V18.10/h_Tutorials_GuestIsolation.html (dostęp 2.10.2026)
Stan na 2 października 2026 r.