Гостьовий Wi-Fi і окрема мережа для камер: як розділити мережу офісу

Для чого і кому

Гостьовий Wi-Fi і окрема мережа для камер потрібні, щоб чужі телефони та недорогі пристрої не бачили робочі комп'ютери й файлові ресурси. Технічно це роблять через VLAN (віртуальні мережі в одній фізичній інфраструктурі), а документація MikroTik про Basic VLAN switching описує базову схему: trunk-порт, access-порти й окрема VLAN керування.

У плоскій мережі, де все підключено до одного сегмента, телефон відвідувача, IP-камера, принтер і ноутбук бухгалтера опиняються поруч. Камери та інше «розумне» обладнання оновлюють рідко, а чужі пристрої ми не контролюємо взагалі. Поділ на сегменти не робить мережу неприступною, але визначає, хто з ким узагалі може спілкуватися.

Інструкція підійде компанії на 10–250 людей, де є гості, переговорна, відеоспостереження або склад із камерами, а мережею керує маршрутизатор чи комутатор з підтримкою VLAN. Якщо ви перебудовуєте мережу офісу чи об'єднуєте філії через VPN, сегменти краще закласти одразу. Не стосується випадку, коли в офісі п'ятеро людей, один побутовий роутер і немає камер: там вистачить вбудованого гостьового режиму. Команди нижче взяті з документації MikroTik; на обладнанні інших виробників логіка та сама, а синтаксис інший.

Що це означає для бізнесу

Наслідки скромні, але прямі. Якщо гість або заражений пристрій опиняється в тій самій мережі, що й файловий сервер, йому не треба долати жодних бар'єрів: достатньо перевірити сусідів. Камери, які роками працюють на старій прошивці, стають зручною точкою входу. Окремі сегменти звужують коло того, що доведеться перевіряти після можливого інциденту.

Є й щоденна користь: гості та відеопотоки не конкурують за канал із роботою бухгалтерії, якщо для сегментів задати обмеження швидкості. Про ширший план дій на випадок атаки читайте в матеріалі як підготуватися до програми-вимагача, сегментація там лише одна зі складових.

Що знадобиться

Спершу переконайтеся, що обладнання вміє VLAN. У MikroTik частина пристроїв має вбудований комутаторний чип, і VLAN на ньому можна обробляти апаратно, на швидкості порту. Але не кожен чип це підтримує: модель показує команда /interface ethernet switch print, а наявність таблиці VLAN означає, що чип підходить.

Для чипів RTL8367, 88E6393X, 88E6191X, 88E6190, MT7621, MT7531 і EN7523 апаратна фільтрація VLAN доступна починаючи з RouterOS v7. Тому до початку робіт запишіть модель пристрою та версію прошивки.

Також потрібні: точка доступу, яка вміє кілька мереж Wi-Fi (SSID) і прив'язує кожну до своєї VLAN; список камер із реєстратором; вікно робіт поза піком; свіжа резервна копія конфігурації маршрутизатора та запасний спосіб підключитися до нього кабелем напряму.

Окремо про документацію: сторінка Basic VLAN switching востаннє оновлена 23 лютого 2026 року, а сайт help.mikrotik.com заморожений. Нова документація RouterOS розміщена на manual.mikrotik.com, тому за потреби звіряйте синтаксис там.

Якщо немає адміністратора

Помилка у VLAN на робочому маршрутизаторі легко відрізає від мережі частину офісу, тому без досвіду краще не експериментувати в робочий час. Якщо у вашій компанії немає людини, яка стежить за мережею офісу, її налаштування та подальше обслуговування можна передати команді TakeIT.

Кроки

Для пояснення візьмемо такий розподіл: VLAN 20 для гостей, VLAN 30 для камер, VLAN 99 для керування, а робочі комп'ютери лишаються в основній мережі. У документації MikroTik для прикладу використано ті самі номери 20, 30 і 99, але ви можете обрати свої.

1. Накресліть схему. Випишіть сегменти (гості, камери, керування, основна мережа), діапазони адрес (наприклад, 192.168.20.0/24, 192.168.30.0/24 і 192.168.99.0/24) та порт, до якого підключений кожен пристрій. Перевірка: у схемі немає порту чи пристрою без сегмента, а діапазони адрес не перетинаються.
2. Налаштуйте bridge і VLAN на маршрутизаторі. Для чипів зі списку вище схема з документації така: bridge із frame-types=admit-only-vlan-tagged; trunk-порт (ether1) приймає лише тегований трафік; порти камер як access отримують pvid=30 і приймають нетегований трафік; у таблиці bridge vlan VLAN 20 і 30 позначені тегованими на trunk-порту, а VLAN 99 ще й на самому bridge; для керування створюється інтерфейс VLAN з адресою 192.168.99.1/24. Параметр vlan-filtering=yes вмикайте останнім. Перевірка: після вмикання ви все ще підключаєтеся до маршрутизатора через VLAN 99, а порти bridge мають очікувані pvid.
3. Підніміть адресацію та DHCP для кожної VLAN. Кожен сегмент отримує власну підмережу, шлюз і діапазон адрес; гостям можна одразу обмежити швидкість. Перевірка: пристрій, увімкнений у порт камер, отримує адресу з діапазону 192.168.30.x.
4. Задайте правила між сегментами. Сама VLAN розділяє трафік на канальному рівні, але маршрутизатор здатен з'єднати підмережі, тому потрібен міжмережевий екран (firewall): гостям лише інтернет, камерам лише реєстратор (і зовнішні адреси, якщо потрібна хмара виробника), співробітникам доступ до перегляду відео, керуванню лише з адміністративних адрес, решта заборонена. Перевірка: список правил читається як перелік дозволів, а останнє правило закриває все інше.
5. Підключіть Wi-Fi. На точці доступу створіть окрему мережу для гостей з власним паролем, прив'яжіть її до VLAN 20, а саму точку підключіть до trunk-порту. Перевірка: телефон у гостьовій мережі отримує адресу 192.168.20.x і відкриває сайти в інтернеті.
6. Перенесіть камери та реєстратор. Робіть це по одній камері, починаючи з тестової; реєстратор розмістіть у VLAN камер або в основній мережі, залежно від ваших правил. Перевірка: у реєстраторі видно всі камери, а запис іде без обривів протягом доби.

Синтаксис залежить від моделі. Документація MikroTik розділяє пристрої на групи: Prestera та чипи зі списку вище; серії CRS1xx і CRS2xx; інші пристрої з вбудованим чипом (RouterBOARD, зокрема hAP, hEX, cAP, RB4xx, RB9xx); пристрої без чипа, де VLAN обробляє процесор. Для останніх документація радить bridge VLAN filtering.

Пріоритет

Сьогодні: перевірте з гостьового Wi-Fi, чи видно внутрішні ресурси; якщо видно, тимчасово обмежте гостьовий доступ. Цього тижня: складіть схему, оберіть вікно робіт і зробіть резервну копію конфігурації. При плановому оновленні мережі: перенесіть камери, закрийте правила й занесіть схему в документацію.

Як перевірити результат

Почніть з боку «чужого». З гостьового Wi-Fi відкрийте сайт в інтернеті (має працювати), а потім спробуйте відкрити адресу файлового сервера, принтера й сторінку керування маршрутизатором. Жоден із цих ресурсів відкриватися не повинен.

Далі перевірте камерний сегмент. З порту камери не повинні бути досяжні робочі комп'ютери, а працівник з основної мережі має бачити відео через реєстратор. Керування маршрутизатором має відкриватися лише з адміністративних адрес у VLAN 99.

Окремо огляньте навантаження. За документацією, на пристроях з кількома комутаторними чипами VLAN фільтруються апаратно лише між портами одного чипа, а режим RSTP на bridge за замовчуванням на деяких чипах вимикає апаратне прискорення. Тому в пікові години порівняйте завантаження процесора маршрутизатора з тим, що було до змін. Наприкінці збережіть резервну копію нової конфігурації та схему поруч із нею.

Типові помилки

Втрата доступу після вмикання фільтрації

У прикладі з документації vlan-filtering=yes стоїть останнім рядком не випадково: якщо ввімкнути його до того, як налаштовано порти й VLAN керування, можна відрізати себе від пристрою. Тримайте запасний кабельний доступ і не працюйте віддалено без нього.

Усі порти в одному bridge на моделях з кількома чипами

Для пристроїв із кількома комутаторними чипами (у документації це RB2011, RB3011, RB1100) кожен чип перемикає VLAN лише між своїми портами. Якщо додати всі порти в один bridge, трафік між чипами не фільтруватиметься. Обхід: з'єднати чипи одним кабелем або використати Bridge VLAN Filtering ціною вимкненого апаратного прискорення та нижчої пропускної здатності.

Синтаксис не для своєї моделі

Приклад для Prestera чи RTL8367 не підійде для CRS1xx/CRS2xx або RouterBOARD, і навпаки. Спершу визначте чип командою print, потім беріть відповідний блок документації.

VLAN без правил екрана

Окрема VLAN без правил між підмережами лише створює нову адресацію. Якщо маршрутизатор з'єднує сегменти, гість усе ще може дістатися внутрішніх адрес, поки ви не заборонили це явно.

Один пароль на все

Гостьова мережа з тим самим паролем, що й корпоративна, зводить поділ нанівець. Задайте окремий пароль і міняйте його за графіком; прочитайте також правила паролів у компанії.

Жодного нагляду після запуску

Налаштували й забули: через рік хтось додасть порт «тимчасово» і не повернеться до нього. Корисно стежити за станом мережі й пристроїв автоматично та раз на пів року переглядати правила й схему.

Висновок

Якщо маршрутизатор і точка доступу вміють VLAN, для поділу мережі зазвичай не потрібне нове обладнання: потрібні схема, одне вікно робіт і кілька чітких правил. Почніть з простого тесту: що бачить гість зі свого телефона. Решту кроків будуйте від цього результату й звіряйте синтаксис із документацією для своєї моделі та версії RouterOS.