Налаштування мережі в офісі: Від проєкту до реалізації

Надійна, безпечна та швидка офісна мережа - це давно не розкіш. Це база. Коли під час пітчу інвесторам «падає» Zoom, або бухгалтерія не може вивантажити звіти через «мертву зону» Wi-Fi, стає зрозуміло: економія на інфраструктурі обходиться надто дорого.

Неправильно спроєктована мережа генерує проблеми щодня. Повільний інтернет, обриви, вразливості. Далі - ніякої води. Лише робочий алгоритм побудови інфраструктури: від вибору «заліза» до налаштування безпеки.

Етап 1. Проєктування та бюджет: рахуємо до того, як купувати

Будь-яка мережа починається з аудиту. Скільки людей працює зараз? А скільки буде через рік?

Рахувати треба все: стаціонарні ПК, ноутбуки, особисті смартфони (BYOD), принтери, камери, IP-телефони. Золоте правило: завжди плануйте резерв у 30-50% портів та пропускної здатності.

Тип трафіку теж має значення. Серфінг та пошта - це одне. Але якщо у вас постійні відеоконференції у високій якості, важкі бази даних або хмарні ERP, вимоги до «заліза» зростають в рази.

Щодо бюджету та брендів:

Загальна вартість володіння (TCO) завжди важливіша за цінник у магазині. Дешевий роутер доведеться перезавантажувати щодня, а дорожчий працюватиме роками.

1. Маршрутизатори та комутатори. Для базових завдань малого офісу вистачить TP-Link або D-Link. Середній бізнес, де потрібна стабільність та гнучкість, зазвичай обирає Ubiquiti чи MikroTik. Корпоративний сегмент - це територія Cisco та Aruba.
2. Пасивне обладнання. Кабель («вита пара»), патч-панелі, розетки, конектори RJ45, лотки та серверна шафа.
3. Резерв. ДБЖ (UPS) для серверної - обов'язково.
4. Роботи. Монтаж, обтиск, пусконалагодження.

Топологія. Для офісу 99% випадків - це класична «зірка». Усі кабелі від робочих місць та точок доступу сходяться в одну точку (серверну шафу) і підключаються до комутаторів. Перевага очевидна: якщо один кабель перебили ніжкою стільця, інтернет зникне лише на одному комп'ютері.

Етап 2. Вибір обладнання: без побутових компромісів

Забудьте про домашні роутери в офісі. Вони не витягнуть кількість одночасних сесій.

Маршрутизатор (роутер)

Мозок мережі. Для офісу на 20-30 осіб з гігабітним каналом шукайте пристрій із NAT-продуктивністю від 900 Мбіт/с. Обов'язкові вимоги:

• Апаратна підтримка VPN (OpenVPN, IPsec) для віддалених працівників.
• Stateful Packet Inspection (SPI) firewall.
• Балансування навантаження (Load Balancing), якщо у вас два провайдери.
• MikroTik (серія RouterBOARD) або Ubiquiti (EdgeRouter, UniFi Security Gateway) закривають більшість потреб. Для більших обсягів - Zyxel або Cisco.

Комутатор (світч) та магія PoE

Світч об'єднує всі пристрої. Рахуємо порти: поточна кількість пристроїв + 20-30% запасу. Купуйте керовані комутатори (L2/L3) - без них ви не налаштуєте VLAN та пріоритезацію трафіку (QoS).

Зверніть увагу на PoE (Power over Ethernet). Це можливість живити точки доступу, камери та IP-телефони тим самим інтернет-кабелем. Не треба тягнути розетку 220В до кожної камери на стелі. Перевіряйте стандарти під ваші пристрої: 802.3af, 802.3at (PoE+) або 802.3bt (PoE++).

Wi-Fi точки доступу

Одна сучасна точка (Wi-Fi 5/802.11ac або Wi-Fi 6/802.11ax) впевнено криє 70-100 квадратів відкритого простору. Бетон і цегла цей показник руйнують. Якщо офіс понад 150 кв.м., потрібна система з єдиним контролером (як Ubiquiti UniFi або TP-Link Omada). Вона забезпечить безшовний роумінг - ви йдете офісом під час відеодзвінка, а смартфон непомітно перемикається між точками.

Кабель

Тільки мідь (CU), ніякого обмідненого алюмінію (CCA) - він крихкий і не надійний.

• Cat5e: Застаріло. Забудьте.
• Cat6: Оптимально. Дає 1 Гбіт/с, а на дистанції до 55 метрів витягне і 10 Гбіт/с.
• Cat6a: Дорожчий і товстіший, але гарантує 10 Гбіт/с на всі 100 метрів. Беріть його, якщо поруч ідуть силові кабелі або будуєте мережу на десятиліття.

Етап 3. Монтаж СКС: щоб не переробляти

Структурована кабельна система (СКС) робиться один раз. Все активне залізо ховаємо в серверну шафу (19 дюймів). Там сухо, працює вентиляція і стоїть безперебійник.

Правила прокладання:

1. Мінімум 10-15 см від силової проводки. Інакше зловите наведення і втрату пакетів.
2. Жодних прямих кутів (радіус вигину - мінімум 4 діаметри кабелю).
3. Не натягуйте кабель.
4. Максимальна довжина траси від шафи до комп'ютера - 90 метрів.
5. Маркуйте кінці кабелів. Це зекономить вам години життя під час пошуку несправностей.

Патч-панелі. Усі кабелі з офісу жорстко розшиваються на задній частині патч-панелі в стійці. А вже спереду, короткими патч-кордами, з'єднуються зі світчем. Це захищає дорогі порти комутатора від розхитування. Змінився кабінет співробітника? Просто переткнули один патч-корд у серверній.

Етап 4. Логіка мережі: IP, DHCP та VLAN

Фізика готова, переходимо до логіки. Використовуємо приватні пули адрес (192.168.x.x, 10.x.x.x). Дробіть простір з розумом:

• 192.168.1.1 - 192.168.1.9: Статика для заліза (роутер, світчі).
• .10 - .49: Статика для серверів та принтерів.
• .50 - .200: Динаміка (DHCP) для ноутбуків і телефонів.

Маршрутизатор зазвичай забирає на себе ролі DHCP (видає адреси) та DNS (перетворює імена сайтів на IP). Для стабільності DNS прописуйте надійні пабліки: Google (8.8.8.8) або Cloudflare (1.1.1.1).

Сегментація (VLAN)

Єдина плоска мережа - це ризик. Вірус на флешці гостя не має покласти сервер бухгалтерії. Ріжемо мережу віртуально на керованому комутаторі:

• VLAN 10: Співробітники (доступ до серверів).
• VLAN 20: Гості (тільки інтернет).
• VLAN 30: IP-телефонія (видаємо пріоритет трафіку - QoS).
• VLAN 40: Бухгалтерія (ізольований периметр).

Етап 5. Бездротовий простір

Точки доступу вішаємо на стелю, ближче до центру зони. Подалі від металу та дзеркал. Якщо точок кілька, їхні канали не мають перетинатися (наприклад, 1, 6 і 11 для частоти 2.4 ГГц). Хоча сучасні контролери непогано розводять їх автоматично. Використовуйте InSSIDer або Ekahau для радіорозвідки.

Безпека Wi-Fi:

Тільки WPA2 або WPA3. Ідеально - стандарт WPA2/WPA3-Enterprise (802.1X). У цьому режимі кожен працівник має власний логін та пароль, які звіряються з RADIUS-сервером. Звільнили людину? В один клік відкликали її доступ. Не треба змінювати пароль від Wi-Fi усьому офісу.

Гостьова мережа. Обов'язково ізольована (окремий SSID + Client Isolation, або краще - окремий VLAN). Гості не повинні бачити ні один одного, ні корпоративні принтери.

Етап 6. Безпека периметра

Фаєрвол налаштовується за параноїдальним принципом: "Заборонено все, що прямо не дозволено". Зовнішній трафік блокується. Потрібен доступ до внутрішнього веб-сервера ззовні? Робимо точкове "прокидання портів" (Port Forwarding).

Для віддаленої роботи розгортаємо VPN-сервер на роутері (OpenVPN або IPsec). Співробітник з дому підключається у зашифрованому тунелі й працює так, ніби сидить за сусіднім столом.

Адміністративні правила:

Техніка не врятує від людського фактору. Впроваджуйте політику: паролі від 12 символів, принцип мінімальних привілеїв, регулярне оновлення прошивок на всьому мережевому залізі.

Етап 7. Підтримка та масштабування

Мережа жива. Її треба моніторити. Для базових потреб вистачить дашборду контролера (на кшталт UniFi). Для серйозної аналітики розгортайте Zabbix, Nagios або PRTG (через протокол SNMP) - система сама надішле алерт, якщо процесор роутера "закипить".

Якщо інтернет гальмує: спочатку заміряйте швидкість кабелю провайдера прямо на вході. Якщо там усе ок - шукайте в себе. Можливо, петля в мережі, конфлікт IP-адрес, згорів порт на світчі, або чийсь комп'ютер спамить мережу вірусним трафіком.

Документуйте все. Схема мережі, таблиця IP-адрес, маркування портів на патч-панелі. Коли через півтора року доведеться розширювати відділ продажів, ця папка збереже вам купу нервів і грошей.

Інфраструктура - це не "айтішні витрати". Це фундамент, який або дозволяє бізнесу швидко бігти вперед, або постійно тягне його на дно.