5 błędów w konfiguracji VLAN, które widzimy w każdej szkole
Segmentacja sieci brzmi prosto. W praktyce — te same błędy powtarzają się niemal w każdej szkole, którą audytujemy.
Błąd #1: Flat network — „jedna sieć na wszystko"
Najpopularniejszy wariant: jeden switch, jeden zakres IP, wszyscy w jednym segmencie. Nauczyciele, uczniowie, drukarki, kamery, serwer — wszystko widzi wszystko. Wystarczy jeden zainfekowany pendrive, żeby problem rozlał się po całej sieci. To nie jest kwestia „czy", tylko „kiedy".
Błąd #2: VLAN-y są, ale bez reguł firewall
Ktoś kiedyś skonfigurował VLAN-y na switchu, ale ruch między nimi jest otwarty. Efekt: iluzja bezpieczeństwa. VLAN bez reguł firewall to jak drzwi z zamkiem, których nikt nie zamknął. Segmenty istnieją „na papierze", ale w praktyce każdy VLAN ma dostęp do każdego.
Błąd #3: Zarządzanie z domyślnego VLAN (VLAN 1)
Interfejs zarządzania switchem, routerem, AP — dostępny z VLAN 1, do którego podłączeni są uczniowie. Sprytny uczeń + 10 minut = dostęp do panelu admina. Zarządzanie powinno być wyłącznie z dedykowanego VLAN Admin, do którego mają dostęp tylko uprawnione osoby.
Błąd #4: WiFi bez rozdziału na role
Jedna sieć WiFi, jedno hasło, wszyscy na jednym SSID. Nauczyciel z laptopem służbowym i uczeń z telefonem — w tym samym segmencie. Minimum: osobne SSID dla nauczycieli (VLAN Admin), uczniów (VLAN Uczniowie) i gości (VLAN Goście, izolacja klient-klient).
Błąd #5: Brak dokumentacji sieci
VLAN-y skonfigurowane, ale nikt nie wie jaki zakres IP jest gdzie, który port switcha jest w jakim VLAN-ie, jakie są reguły. Gdy „pan informatyk" odejdzie — zostaje zagadka. Minimum: tabela VLAN-ów (ID, nazwa, zakres IP, przeznaczenie), schemat fizyczny sieci, lista reguł firewall.
Jak to powinno wyglądać
Minimum dla szkoły to 4 segmenty: Admin (zarządzanie, serwery, nauczyciele), Uczniowie (pracownie, ograniczony dostęp), Goście (WiFi, tylko internet), IoT (kamery, monitoring, drukarki sieciowe). Plus reguły firewall, plus dokumentacja, plus procedura zmian.
Jeśli rozpoznajesz swoją szkołę w powyższych błędach — to dobry moment na audyt. Nie musi boleć.
Czytaj więcej: VLAN w szkole MikroTik + VLAN 📞 Zadzwoń