Блог · 9 сентября 2025

Сегментация сети в офисе: зачем делить сеть и как сделать это без перестройки

Как разделение офисной сети на сегменты ограничивает ущерб от инцидентов и с чего начать.

Плоская сеть — удобно, но опасно

В большинстве небольших офисов сеть устроена просто: все устройства — компьютеры, серверы, принтеры, камеры, телевизор в переговорной и телефоны гостей — находятся в одной сети и видят друг друга. Это удобно в настройке, но означает, что заражение одного компьютера открывает злоумышленнику путь ко всем остальным устройствам, включая сервер с бухгалтерской базой.

Сегментация — это разделение сети на несколько изолированных зон с контролем трафика между ними. Идея та же, что и с переборками на корабле: пробоина в одном отсеке не должна топить всё судно.

Какие сегменты нужны

Для типичного офиса достаточно нескольких зон. Рабочие станции сотрудников. Серверы: доступ к ним разрешён только по нужным портам и только из тех сегментов, где это необходимо. Принтеры, камеры, системы контроля доступа и прочие устройства, которые редко обновляются и часто содержат уязвимости. Гостевой Wi-Fi, полностью изолированный от внутренней сети и имеющий доступ только в интернет. Отдельный сегмент для управления сетевым оборудованием, доступный только администраторам.

В компаниях со специфическим оборудованием — медицинским, производственным, кассовым — для него также выделяется собственная зона.

Как это реализуется

Технически сегменты обычно создаются с помощью VLAN — виртуальных локальных сетей, которые поддерживает большинство управляемых коммутаторов. Маршрутизация между сегментами идёт через межсетевой экран, на котором задаются правила: например, рабочие станции могут обращаться к серверу 1С и файловому серверу, но не к камерам; камеры могут отправлять запись на видеорегистратор, но не выходить в интернет.

Если в офисе стоят неуправляемые коммутаторы, на первом этапе можно ограничиться отделением гостевого Wi-Fi и устройств «интернета вещей» средствами роутера, а полную сегментацию запланировать при плановой замене оборудования.

Принцип минимальных разрешений

Правила между сегментами стоит строить по принципу «запрещено всё, что не разрешено явно». Сначала составьте карту потоков: кто к кому и по какому протоколу должен обращаться. Затем разрешите только эти потоки. Поначалу это требует внимательности, но в результате вы получаете не только защиту, но и понятную документацию о том, как устроена ваша сеть.

Типичные ошибки

Гостевой Wi-Fi, подключённый к той же сети, что и бухгалтерия, просто с другим паролем.

Правило «разрешить всё» между сегментами, добавленное «временно» и оставшееся навсегда.

Удалённый доступ подрядчиков сразу во всю сеть вместо доступа только к нужному оборудованию.

Отсутствие журналирования на межсетевом экране — при инциденте невозможно понять, куда пытался обратиться заражённый компьютер.

Удалённые сотрудники и филиалы

Сегментация касается не только офиса. Сотрудники, работающие из дома, и небольшие филиалы тоже подключаются к корпоративным ресурсам, и для них действует тот же принцип: доступ только к тому, что нужно для работы. Удалённому бухгалтеру нужен сервер 1С и файловый ресурс отдела, но не сетевое оборудование и камеры. Настройте правила доступа по группам пользователей, используйте двухфакторную аутентификацию и регулярно пересматривайте список выданных доступов, особенно подрядчикам.

Для филиалов действует похожая логика: каждый филиал получает собственные сегменты, а связь с центральным офисом ограничивается правилами межсетевого экрана. Так проблема в одном филиале не распространится на всю компанию, а подключение новой площадки сводится к копированию проверенного шаблона настроек.

С чего начать

Начните с инвентаризации устройств и с отделения гостевой сети — это даёт заметный эффект при минимальных затратах. Затем выделите серверы и устройства без регулярных обновлений. Каждый шаг уменьшает поверхность атаки, и даже частичная сегментация значительно лучше плоской сети. Важно лишь документировать изменения и пересматривать правила при появлении новых систем.