Во многих небольших офисах все устройства – компьютеры, принтеры, камеры, телефоны гостей – находятся в одной сети. Если одно из них взломают, злоумышленник сразу получит доступ к компьютерам бухгалтерии и серверу. VLAN делят сеть на части, а FortiGate правилами файрвола решает, кто куда имеет доступ.
Зачем сегментировать сеть
- Взломанная IP-камера или смарт-ТВ не видит компьютеры и файлы, потому что из её VLAN туда нет правила.
- Гости получают только интернет и не видят ни одного офисного устройства.
- В плоской сети шифровальщик распространяется быстро; сегментация ограничивает ущерб.
- Трафик становится видимым: FortiGate логирует трафик между VLAN и может проверять его профилями безопасности.
Типовой план VLAN для небольшого офиса
| VLAN ID | Имя | Подсеть (пример) | Для кого | Доступ |
|---|---|---|---|---|
| 10 | STAFF | 10.0.10.0/24 | Компьютеры сотрудников | Интернет, принтеры, серверы |
| 20 | SERVERS | 10.0.20.0/24 | Сервер, NAS | Только нужные порты из STAFF |
| 30 | PRINT-IOT | 10.0.30.0/24 | Принтеры, камеры, экраны | Не инициируют соединения в STAFF |
| 40 | VOICE | 10.0.40.0/24 | IP-телефоны | Интернет, АТС |
| 50 | GUEST | 10.0.50.0/24 | Гости | Только интернет |
Номера и адреса – примеры; важно, чтобы план был задокументирован, а подсети не пересекались с домашними сетями сотрудников и VPN.
Создание VLAN и назначение портов
FortiSwitch подключается к FortiGate через FortiLink и управляется прямо с FortiGate (WiFi & Switch Controller → Managed FortiSwitches).
- Откройте WiFi & Switch Controller → FortiSwitch VLANs и нажмите Create New.
- Укажите имя и VLAN ID; интерфейс – FortiLink.
- Задайте IP-адрес FortiGate в этом VLAN (это шлюз по умолчанию для устройств) и включите DHCP Server.
- В Administrative Access разрешите только необходимое – в гостевом и IoT VLAN не должно быть HTTPS и SSH.
- Повторите для каждого VLAN.
Затем откройте WiFi & Switch Controller → FortiSwitch Ports. У каждого порта два важных поля:
- Native VLAN – нетегированный (untagged) VLAN. На порту обычного ПК, принтера или камеры это VLAN устройства, например PRINT-IOT на порту принтера.
- Allowed VLANs – тегированные (tagged) VLAN. Они нужны, например, на порту FortiAP с несколькими SSID или для IP-телефона, за которым подключён компьютер (телефон – VOICE tagged, ПК – STAFF native).
Добавьте портам описание («Принтер 2 этаж»), чтобы потом было понятно, что куда подключено. Неиспользуемые порты переведите в отдельный пустой VLAN или отключите.
Правила между VLAN
Трафик между VLAN проходит через FortiGate, поэтому он запрещён, пока вы не добавите правило в Policy & Objects → Firewall Policy:
- STAFF → интернет и STAFF → PRINT-IOT (например, только порты печати);
- STAFF → SERVERS только с нужными сервисами (например, SMB, RDP);
- GUEST → интернет, без единого правила во внутреннюю сеть;
- PRINT-IOT → интернет только если устройству это действительно нужно (обновления прошивки, облачный сервис).
Дополнительно можно использовать NAC Policies (WiFi & Switch Controller → NAC Policies), которые автоматически помещают устройство в нужный VLAN, например по производителю или MAC-адресу, и защиту портов через 802.1X, чтобы чужое устройство не попало в сеть.
Типичные ошибки
- Разрешающее правило «all → all» между VLAN – тогда от сегментации нет толку.
- Принтер или сканер перестаёт находиться после переноса в другой VLAN, потому что mDNS/broadcast не проходит между VLAN; добавьте принтер на компьютеры по IP-адресу.
- VLAN для SSID не добавлены в Allowed VLANs на порту FortiAP.
- Административный доступ (HTTPS, SSH) включён в гостевом или IoT VLAN.
- Изменения делаются в рабочее время без плана отката – неправильный native VLAN может мгновенно отключить целый этаж.
Когда обращаться к специалисту
Если в сети есть сервер, IP-телефония или много разных устройств, план VLAN стоит обсудить со специалистом до изменений, а переход делать в нерабочее время. ITABIKS настраивает решения на FortiGate и FortiSwitch; звоните +372 53 888 229.