MikroTik i VLAN — segmentacja sieci w praktyce

MikroTik jest świetny do segmentacji i kontroli ruchu, ale trzeba mieć jedną zasadę: VLAN-y bez reguł firewall są tylko kolorowymi etykietami. Segmentacja ma sens, gdy ruch między segmentami jest kontrolowany.

Minimalny schemat VLAN (praktyka szkolna)

Trunk vs Access — gdzie ludzie najczęściej robią krzywdę

• Trunk (tagged) — do switchy i access pointów, które niosą wiele VLAN-ów.
• Access (untagged) — do końcówek (PC, drukarka) przypisanych do jednego VLAN.
• AP „wpięty jak zwykły kabel” bez trunk/tagowania = VLAN-y nie działają tak jak myślisz.

Firewall — minimalne zasady

• Goście i IoT: blokada dostępu do sieci wewnętrznej, tylko Internet.
• Uczniowie: dostęp do usług szkolnych (np. serwer plików), ale nie do zarządzania.
• Admin: dostęp kontrolowany, najlepiej z ograniczeniem do konkretnych usług/hostów.
• Zarządzanie router/switch/AP: tylko z VLAN admin.

Najczęstsze błędy

• Wszystko może gadać ze wszystkim („bo działa”) → w praktyce to nie segmentacja.
• Brak dokumentacji portów i trunków → po zmianie switcha nikt nie wie, co gdzie było.
• DHCP w kilku miejscach → konflikty i losowe awarie.
• Brak kopii konfiguracji RouterOS → awaria = odtwarzanie z pamięci.

Powiązane: VLAN w organizacji (ogólnie) · Sieć w pracowni · Backup 3-2-1

Powiązane artykuły

• Audyt IT w organizacji — proces i wynik
• Backup 3-2-1 — praktyka i test odtworzenia
• VLAN w organizacji — segmentacja sieci
• MikroTik i VLAN — schemat i błędy
• Proxmox w organizacji — kiedy ma sens
• Proxmox Backup Server — backup VM
• FOG/MDT — wdrożenie obrazów i rollback
• Sieć w pracowni — standard i typowe błędy
• Standard pracowni IT — powtarzalność