Гостевой Wi-Fi и отдельная сеть для камер: как разделить сеть офиса

Зачем и кому это нужно

Гостевой Wi-Fi и отдельная сеть для камер нужны, чтобы чужие телефоны и недорогие устройства не видели рабочие компьютеры и файловые ресурсы. Технически это делают через VLAN (виртуальные сети в одной физической инфраструктуре), а документация MikroTik о Basic VLAN switching описывает базовую схему: trunk-порт, access-порты и отдельная VLAN управления.

В плоской сети, где всё подключено к одному сегменту, телефон посетителя, IP-камера, принтер и ноутбук бухгалтера оказываются рядом. Камеры и другое «умное» оборудование обновляют редко, а чужие устройства мы не контролируем вообще. Разделение на сегменты не делает сеть неприступной, но определяет, кто с кем вообще может общаться.

Инструкция подойдёт компании от 10 до 250 человек, где есть гости, переговорная, видеонаблюдение или склад с камерами, а сетью управляет маршрутизатор или коммутатор с поддержкой VLAN. Если вы перестраиваете сеть офиса или объединяете филиалы через VPN, сегменты лучше заложить сразу. Не касается случая, когда в офисе пять человек, один бытовой роутер и нет камер: там хватит встроенного гостевого режима. Команды ниже взяты из документации MikroTik; на оборудовании других производителей логика та же, а синтаксис другой.

Что это значит для бизнеса

Последствия скромные, но прямые. Если гость или заражённое устройство оказывается в той же сети, что и файловый сервер, ему не нужно преодолевать никаких барьеров: достаточно проверить соседей. Камеры, которые годами работают на старой прошивке, становятся удобной точкой входа. Отдельные сегменты сужают круг того, что придётся проверять после возможного инцидента.

Есть и ежедневная польза: гости и видеопотоки не конкурируют за канал с работой бухгалтерии, если для сегментов задать ограничения скорости. О более широком плане действий на случай атаки читайте в материале как подготовиться к программе-вымогателю, сегментация там лишь одна из составляющих.

Что понадобится

Сначала убедитесь, что оборудование умеет VLAN. У MikroTik часть устройств имеет встроенный коммутаторный чип, и VLAN на нём можно обрабатывать аппаратно, на скорости порта. Но не каждый чип это поддерживает: модель показывает команда /interface ethernet switch print, а наличие таблицы VLAN означает, что чип подходит.

Для чипов RTL8367, 88E6393X, 88E6191X, 88E6190, MT7621, MT7531 и EN7523 аппаратная фильтрация VLAN доступна начиная с RouterOS v7. Поэтому до начала работ запишите модель устройства и версию прошивки.

Также понадобятся: точка доступа, которая умеет несколько сетей Wi-Fi (SSID) и привязывает каждую к своей VLAN; список камер с регистратором; окно работ вне пиковой нагрузки; свежая резервная копия конфигурации маршрутизатора и запасной способ подключиться к нему кабелем напрямую.

Отдельно о документации: страница Basic VLAN switching последний раз обновлялась 23 февраля 2026 года, а сайт help.mikrotik.com заморожен. Новая документация RouterOS размещена на manual.mikrotik.com, поэтому при необходимости сверяйте синтаксис там.

Если нет администратора

Ошибка в VLAN на рабочем маршрутизаторе легко отрезает от сети часть офиса, поэтому без опыта лучше не экспериментировать в рабочее время. Если в вашей компании нет человека, который следит за сетью офиса, её настройку и дальнейшее обслуживание можно передать команде TakeIT.

Шаги

Для объяснения возьмём такое распределение: VLAN 20 для гостей, VLAN 30 для камер, VLAN 99 для управления, а рабочие компьютеры остаются в основной сети. В документации MikroTik для примера используются те же номера 20, 30 и 99, но вы можете выбрать свои.

1. Начертите схему. Выпишите сегменты (гости, камеры, управление, основная сеть), диапазоны адресов (например, 192.168.20.0/24, 192.168.30.0/24 и 192.168.99.0/24) и порт, к которому подключено каждое устройство. Проверка: в схеме нет порта или устройства без сегмента, а диапазоны адресов не пересекаются.
2. Настройте bridge и VLAN на маршрутизаторе. Для чипов из списка выше схема из документации такая: bridge с frame-types=admit-only-vlan-tagged; trunk-порт (ether1) принимает только тегированный трафик; порты камер как access получают pvid=30 и принимают нетегированный трафик; в таблице bridge vlan VLAN 20 и 30 отмечены тегированными на trunk-порту, а VLAN 99 ещё и на самом bridge; для управления создаётся интерфейс VLAN с адресом 192.168.99.1/24. Параметр vlan-filtering=yes включайте последним. Проверка: после включения вы по-прежнему подключаетесь к маршрутизатору через VLAN 99, а порты bridge имеют ожидаемые pvid.
3. Поднимите адресацию и DHCP для каждой VLAN. Каждый сегмент получает собственную подсеть, шлюз и диапазон адресов; гостям можно сразу ограничить скорость. Проверка: устройство, включённое в порт камер, получает адрес из диапазона 192.168.30.x.
4. Задайте правила между сегментами. Сама VLAN разделяет трафик на канальном уровне, но маршрутизатор способен соединить подсети, поэтому нужен межсетевой экран (firewall): гостям только интернет, камерам только регистратор (и внешние адреса, если нужно облако производителя), сотрудникам доступ к просмотру видео, управление только с административных адресов, остальное запрещено. Проверка: список правил читается как перечень разрешений, а последнее правило закрывает всё остальное.
5. Подключите Wi-Fi. На точке доступа создайте отдельную сеть для гостей с собственным паролем, привяжите её к VLAN 20, а саму точку подключите к trunk-порту. Проверка: телефон в гостевой сети получает адрес 192.168.20.x и открывает сайты в интернете.
6. Перенесите камеры и регистратор. Делайте это по одной камере, начиная с тестовой; регистратор разместите в VLAN камер или в основной сети, в зависимости от ваших правил. Проверка: в регистраторе видны все камеры, а запись идёт без обрывов в течение суток.

Синтаксис зависит от модели. Документация MikroTik делит устройства на группы: Prestera и чипы из списка выше; серии CRS1xx и CRS2xx; прочие устройства со встроенным чипом (RouterBOARD, в том числе hAP, hEX, cAP, RB4xx, RB9xx); устройства без чипа, где VLAN обрабатывает процессор. Для последних документация советует bridge VLAN filtering.

Приоритет

Сегодня: проверьте из гостевого Wi-Fi, видны ли внутренние ресурсы; если видны, временно ограничьте гостевой доступ. На этой неделе: составьте схему, выберите окно работ и сделайте резервную копию конфигурации. При плановом обновлении сети: перенесите камеры, закройте правила и занесите схему в документацию.

Как проверить результат

Начните со стороны «чужого». Из гостевого Wi-Fi откройте сайт в интернете (должен работать), а затем попробуйте открыть адрес файлового сервера, принтера и страницу управления маршрутизатором. Ни один из этих ресурсов открываться не должен.

Дальше проверьте камерный сегмент. Из порта камеры не должны быть доступны рабочие компьютеры, а сотрудник из основной сети должен видеть видео через регистратор. Управление маршрутизатором должно открываться только с административных адресов в VLAN 99.

Отдельно посмотрите на нагрузку. По документации, на устройствах с несколькими коммутаторными чипами VLAN фильтруются аппаратно только между портами одного чипа, а режим RSTP на bridge по умолчанию на некоторых чипах отключает аппаратное ускорение. Поэтому в пиковые часы сравните загрузку процессора маршрутизатора с тем, что было до изменений. В конце сохраните резервную копию новой конфигурации и схему рядом с ней.

Типичные ошибки

Потеря доступа после включения фильтрации

В примере из документации vlan-filtering=yes стоит последней строкой не случайно: если включить его до того, как настроены порты и VLAN управления, можно отрезать себя от устройства. Держите запасной кабельный доступ и не работайте удалённо без него.

Все порты в одном bridge на моделях с несколькими чипами

Для устройств с несколькими коммутаторными чипами (в документации это RB2011, RB3011, RB1100) каждый чип переключает VLAN только между своими портами. Если добавить все порты в один bridge, трафик между чипами фильтроваться не будет. Обход: соединить чипы одним кабелем или использовать Bridge VLAN Filtering ценой отключённого аппаратного ускорения и более низкой пропускной способности.

Синтаксис не для своей модели

Пример для Prestera или RTL8367 не подойдёт для CRS1xx/CRS2xx или RouterBOARD, и наоборот. Сначала определите чип командой print, затем берите соответствующий блок документации.

VLAN без правил экрана

Отдельная VLAN без правил между подсетями лишь создаёт новую адресацию. Если маршрутизатор соединяет сегменты, гость всё ещё может добраться до внутренних адресов, пока вы не запретите это явно.

Один пароль на всё

Гостевая сеть с тем же паролем, что и корпоративная, сводит разделение на нет. Задайте отдельный пароль и меняйте его по графику; прочитайте также правила паролей в компании.

Никакого надзора после запуска

Настроили и забыли: через год кто-то добавит порт «временно» и не вернётся к нему. Полезно следить за состоянием сети и устройств автоматически и раз в полгода пересматривать правила и схему.

Вывод

Если маршрутизатор и точка доступа умеют VLAN, для разделения сети обычно не нужно новое оборудование: нужны схема, одно окно работ и несколько чётких правил. Начните с простого теста: что видит гость со своего телефона. Остальные шаги стройте от этого результата и сверяйте синтаксис с документацией для своей модели и версии RouterOS.