MikroTik i VLAN w szkole — schemat, zasady i typowe błędy
MikroTik to jeden z najpopularniejszych wyborów w polskich szkołach — niskie koszty, duże możliwości, RouterOS z firewallową elastycznością. Ale konfiguracja VLAN-ów na MikroTiku ma swoje pułapki. W tym artykule opisuję schemat, który wdrażam najczęściej, i błędy, które najczęściej naprawiam.
Dlaczego MikroTik w szkole
MikroTik łączy funkcje routera, firewalla i switcha zarządzalnego w jednym urządzeniu. Dla szkoły z ograniczonym budżetem to idealne rozwiązanie: zamiast kupować osobny router, firewall i zarządzalny switch za łączną kwotę kilkunastu tysięcy złotych, można wdrożyć MikroTik hEX (router) + CRS326 (switch zarządzalny) za łączny koszt poniżej 2 000 zł.
RouterOS (system operacyjny MikroTika) obsługuje VLAN-y zgodnie ze standardem 802.1Q, ma wbudowany firewall z filtrami L3/L4, DHCP server per VLAN, DNS cache i podstawowy monitoring. Dla sieci do ~200 urządzeń to w zupełności wystarczające.
Schemat VLAN na MikroTiku — podejście bridge
W RouterOS 6.41+ (i w RouterOS 7) zalecanym podejściem jest bridge VLAN filtering. Wszystkie fizyczne porty switcha (ether1-ether24 na CRS) dodajemy do jednego bridge, a VLAN-y konfigurujemy na poziomie bridge. To podejście jest wydajne (hardware offloading) i przejrzyste.
Schemat, który stosuję w szkołach (zgodny z ogólnym schematem VLAN):
Każdy VLAN ma własny interfejs VLAN na routerze, własny zakres DHCP i własne reguły firewall. Router (MikroTik hEX lub RB4011) wykonuje routing między VLAN-ami — ale tylko tam, gdzie firewall na to pozwala.
Firewall — kluczowy element
Bez reguł firewalla VLAN-y to tylko etykiety. MikroTik pozwala na filtrowanie na warstwie L3 (IP) i L4 (porty TCP/UDP). Minimalne reguły, które stosuję:
- GOŚCIE → LAN: DROP. Goście mają dostęp tylko do Internetu. Zero połączeń do jakiejkolwiek sieci wewnętrznej.
- IOT → LAN: DROP. Kamery i czujniki mają Internet (aktualizacje firmware), ale nie łączą się z resztą sieci.
- ADMIN → IOT: ACCEPT. Administracja może oglądać kamery i zarządzać urządzeniami IoT.
- UCZNIOWIE → ADMIN: DROP. Uczniowie nie mają dostępu do sieci administracyjnej.
- UCZNIOWIE → wybrane usługi: ACCEPT. Serwer plików, drukarka — tak. Zarządzanie switchem, routerem — nie.
- Zarządzanie MikroTik: dostępne tylko z VLAN 10 (admin). Blokujemy Winbox/SSH/WebFig z pozostałych VLAN-ów.
DHCP per VLAN
Każdy VLAN powinien mieć własny serwer DHCP z odpowiednim zakresem adresów. Na MikroTiku tworzymy DHCP server per interfejs VLAN:
- VLAN 10 (admin): 10.0.10.100 – 10.0.10.200, DNS: filtr szkolny, lease 8h.
- VLAN 20 (uczniowie): 10.0.20.100 – 10.0.20.250, DNS: filtr szkolny + blokada social media (opcjonalnie), lease 4h.
- VLAN 30 (goście): 10.0.30.100 – 10.0.30.250, DNS: publiczny (np. 1.1.1.1), lease 2h.
- VLAN 40 (IoT): 10.0.40.100 – 10.0.40.200, statyczne rezerwacje dla kamer, lease 24h.
Najczęstsze błędy z MikroTikiem
- Zarządzanie z VLAN 1. Domyślny VLAN 1 jest nieztagowany i często dostępny z każdego portu. Interfejs zarządzania (Winbox, SSH) powinien być tylko na dedykowanym VLAN admin.
- Brak hardware offloading. Na switchach CRS3xx bridge VLAN filtering z HW offload działa na poziomie sprzętowym — bez niego ruch przechodzi przez CPU i wydajność spada dramatycznie. Trzeba włączyć „HW" przy bridge.
- Reguły firewall w złej kolejności. MikroTik przetwarza reguły od góry do dołu. Ogólne „ACCEPT" na górze listy unieważnia wszystkie szczegółowe reguły poniżej.
- Brak zabezpieczenia portu trunk. Port trunk do AP powinien przepuszczać tylko te VLAN-y, których AP potrzebuje — nie wszystkie.
- Backup konfiguracji „raz na rok". Eksport konfiguracji MikroTika (/export) powinien odbywać się po każdej zmianie. Przechowywanie w repozytorium lub na NAS-ie.
- Brak dokumentacji portów. Który port jest access, który trunk, jaki VLAN — to musi być spisane i aktualne. Zmiana fizyczna kabelka wymaga aktualizacji dokumentacji.
Po wdrożeniu — utrzymanie
VLAN-y na MikroTiku to nie „ustaw i zapomnij". Regularnie sprawdzam:
- Czy reguły firewall nadal blokują to, co powinny (test z laptopa w sieci gościnnej).
- Czy pojawiły się nowe urządzenia w nieoczekiwanych VLAN-ach (przegląd DHCP leases).
- Czy konfiguracja jest zbackupowana po ostatnich zmianach.
- Czy firmware RouterOS jest aktualny (poprawki bezpieczeństwa).
Napisz lub zadzwoń — bezpłatna konsultacja. Zobacz też ogólny artykuł o VLAN w szkole i cennik.
Zobacz też: VLAN w szkole · 5 błędów VLAN (blog) · Sieć w pracowni · Oferta dla szkół