VLAN w szkole — segmentacja sieci admin / uczniowie / goście / IoT
Najszybsza droga do spokoju w szkolnej sieci to segmentacja. Nie dlatego, że to „enterprise". Tylko dlatego, że jeden zainfekowany komputer ucznia nie powinien „widzieć" serwera z dziennikiem elektronicznym, kamer monitoringu ani drukarki w sekretariacie.
Dlaczego szkoła potrzebuje VLAN-ów
W typowej szkole bez segmentacji cały ruch sieciowy — od komputerów administracji, przez pracownie uczniowskie, po kamery monitoringu i Wi-Fi gościnne — płynie jedną „rurą". To tzw. flat network. Problem jest prosty: uczeń z laptopem w pracowni widzi to samo, co dyrekcja. Skanery sieciowe, sniffery, przypadkowe infekcje wirusowe — wszystko to może dotknąć zasobów, które powinny być izolowane.
Segmentacja VLAN rozwiązuje ten problem na poziomie sprzętowym. Każdy segment sieci (VLAN) to osobna „wyspa", między którymi ruch jest kontrolowany przez router lub firewall. Nie wymaga to wymiany okablowania ani drogiego sprzętu — większość switchy zarządzalnych (nawet te za 300–500 zł) obsługuje VLAN-y. Kluczem jest prawidłowa konfiguracja i konsekwentna dokumentacja.
Minimalny schemat VLAN — co sprawdza się w praktyce
Poniższy podział działa w 90% szkół, z którymi współpracuję. Nie jest nadmiernie skomplikowany, a jednocześnie skutecznie separuje ruch:
VLAN 50 to opcja, którą polecam szkołom technicznym przygotowującym się do egzaminów zawodowych (INF.03, INF.04). Izolowane środowisko egzaminacyjne eliminuje ryzyko, że uczniowie przypadkowo — lub celowo — dostaną się do zasobów spoza pracowni podczas sesji.
Zasady ruchu między segmentami
Same VLAN-y to za mało. Bez reguł firewalla segmenty mogą nadal komunikować się ze sobą przez router (tzw. inter-VLAN routing). Dlatego fundamentem jest określenie, co może rozmawiać z czym:
- Goście (VLAN 30): tylko Internet. Brak dostępu do jakiejkolwiek sieci wewnętrznej. DNS przez filtr.
- IoT/monitoring (VLAN 40): Internet dla aktualizacji firmware. Dostęp z VLAN admin do podglądu kamer. Zero inicjacji połączeń do innych VLAN-ów.
- Uczniowie (VLAN 20): Internet + wybrane usługi szkolne (np. serwer plików, drukarka). Brak dostępu do zarządzania i do VLAN admin.
- Admin (VLAN 10): pełny dostęp do zarządzania urządzeniami sieciowymi. Dostęp do serwera, drukarek, kamer. Ograniczony z zewnątrz.
- Zarządzanie switchy/AP: wyłącznie z VLAN admin. Brak interfejsu zarządzania na innych VLAN-ach.
Trunk i access — jak podłączyć urządzenia
Porty na switchu dzielą się na dwa tryby. Port access jest przypisany do jednego VLAN-a — podłącza się do niego końcowe urządzenie (komputer, kamera, drukarka). Port trunk przenosi ruch z wielu VLAN-ów jednocześnie — łączy switch ze switchem, switch z routerem lub switch z access pointem.
Typowy błąd: podłączenie access pointa jako zwykłego urządzenia (port access) zamiast przez trunk. Efekt? AP widzi tylko jeden VLAN i nie jest w stanie serwować osobnych sieci Wi-Fi dla nauczycieli (VLAN 10), uczniów (VLAN 20) i gości (VLAN 30).
Wi-Fi a VLAN — jak to połączyć
Nowoczesne access pointy (UniFi, MikroTik, TP-Link Omada) obsługują wiele SSID-ów, każdy mapowany na inny VLAN. W praktyce oznacza to, że z jednego fizycznego AP można serwować trzy sieci bezprzewodowe:
- SzkolaNauczyciele → VLAN 10 (lub dedykowany VLAN 15 dla Wi-Fi kadry)
- SzkolaUczniowie → VLAN 20
- SzkolaGoscie → VLAN 30 (captive portal lub hasło zmieniane co tydzień)
Klucz: AP musi być wpięty w port trunk z odpowiednimi tagami VLAN. Brak tagu = brak sieci.
Najczęstsze błędy VLAN w szkołach
Na podstawie dziesiątek audytów — oto co widuję najczęściej:
- „Zrobiliśmy VLAN-y, ale wszystko się widzi" — brak reguł firewall na routerze. Same VLAN-y bez firewalla to tylko etykiety, nie bariera.
- AP wpięty jak zwykły komputer — port access zamiast trunk. AP serwuje tylko jedną sieć zamiast trzech.
- IoT i monitoring w sieci admin — kamery IP z domyślnym hasłem „admin/admin" podłączone do tego samego segmentu co serwer z dziennikiem. To proszenie się o kłopoty.
- Zarządzanie switchem z domyślnego VLAN 1 — interfejs zarządzania dostępny z sieci uczniowskiej. Wystarczy skaner i domyślne hasło.
- Brak dokumentacji — po miesiącu nikt nie wie, który port jest w jakim VLAN-ie. Zmiana czegokolwiek to loteria.
- Brak native VLAN na trunku — ruch untagged trafia do domyślnego VLAN-a, powodując wycieki między segmentami.
Jak zacząć — minimalny plan wdrożenia
Nie musisz wymieniać całej infrastruktury. Wdrożenie VLAN-ów w typowej szkole to projekt na kilka dni roboczych (nie tygodni). Oto uproszczony plan:
- Krok 1: Inwentaryzacja — ile switchy, ile portów, jakie urządzenia, co z czym komunikuje.
- Krok 2: Zaprojektowanie schematu VLAN — podział na segmenty, adresacja IP, zasady ruchu.
- Krok 3: Konfiguracja switchy (VLAN, trunk/access) i routera/firewalla (reguły inter-VLAN).
- Krok 4: Konfiguracja AP — mapowanie SSID na VLAN-y.
- Krok 5: Testy — weryfikacja izolacji między segmentami, testy wydajności, testy failover.
- Krok 6: Dokumentacja — schemat sieci, lista portów, tabela VLAN, procedura zmian.
Zaczynamy od audytu obecnej sieci. Napisz lub zadzwoń — pierwsza konsultacja jest bezpłatna. Sprawdź też cennik i artykuł o MikroTik i VLAN.
Zobacz też: MikroTik i VLAN — schemat i błędy · Sieć w pracowni · 5 błędów VLAN w szkołach (blog) · Oferta dla szkół