Segmentace firemní sítě přes VLAN: kamery, tiskárny a hosté zvlášť

Odpověď hned: Když jsou kamery, tiskárny, návštěvy i počítač s účetnictvím v jedné síti, stačí prolomit jedno nejslabší zařízení a útočník vidí na všechno ostatní. Řešením je segmentace — rozdělení jedné fyzické sítě na oddělené VLAN (virtuální sítě podle standardu IEEE 802.1Q) plus pravidla, která mezi nimi pouštějí jen to nutné. Techniku, která to umí, dnes používá i pětičlenná firma.

Co je plochá síť a proč je nebezpečná

Plochá síť znamená, že všechna zařízení ve firmě sdílejí jeden rozsah IP adres a jednu broadcastovou doménu. Notebook účetní, NAS se zálohami, tiskárna, osm IP kamer a mobil brigádníka jsou ve stejném prostoru. Kdo se dostane na jedno, prohledává z něj všechna ostatní: vidí otevřené porty, sdílené složky, tiskové fronty, webová rozhraní kamer.

Firewall na hranici s internetem tady nepomůže — řeší provoz zvenčí dovnitř. Jakmile je útočník uvnitř, pohybuje se do stran (lateral movement, postup od zařízení k zařízení) a firewall na okraji o tom neví, protože ten provoz přes něj vůbec neteče.

Nejnázorněji to ukáže ransomware: kompromituje se jedno zařízení, útočník si vypíše, co je v síti vidět, a šifruje včetně NAS připojeného jako síťový disk. Bez segmentace je „co je vidět” totéž jako „všechno”. Jak vypadá první den incidentu popisuje ransomware ve firmě: prvních 24 hodin.

Kudy se do sítě typicky vstupuje

IP kamery a rekordéry

Botnet Mirai z roku 2016 je učebnicový případ. Skenoval internet a hledal zařízení chráněná továrním nebo natvrdo zadrátovaným jménem a heslem, na která se přihlašoval přes Telnet a SSH; rekrutoval routery, IP kamery a videorekordéry. V září 2016 jím poháněný útok odstavil web KrebsOnSecurity provozem o objemu 620 Gb/s, 1. října 2016 byl jeho zdrojový kód zveřejněn na fóru Hackforums. Analýza z konference USENIX Security 2017 uvádí vrchol na zhruba 600 tisících nakažených zařízeních.

Podstatný pro malou firmu není objem toho útoku, ale způsob vstupu: výchozí heslo. Adresáře výchozích přihlašovacích údajů ke kamerám jsou veřejně dostupné a pokrývají desítky výrobců (Axis, Hikvision, Dahua, Bosch, Pelco, Sony). Někteří — Hanwha, Hikvision, Panasonic — dnes při prvním přihlášení vynucují vlastní heslo, jiní na to jen upozorní a jít dál se dá. Typický nález v terénu: šest let starý kamerový systém, firmware nikdy neaktualizovaný, rozhraní dostupné z celé firemní sítě.

Síťové tiskárny

Tiskárny mají otevřený port 9100 pro takzvaný raw print (JetDirect / AppSocket) a ten ze své podstaty nemá žádné přihlášení. Kdo na něj dosáhne, může posílat tiskové úlohy a na většině zařízení i řídicí příkazy PJL: číst a měnit proměnné v NVRAM, sáhnout na souborový systém tiskárny, přepsat displej.

Horší je obsah konfigurace. Multifunkce nastavená na „skenovat do složky” a „skenovat do e-mailu” má uložené přístupové údaje k SMB, LDAP, SMTP nebo FTP — tedy ke sdíleným složkám, adresáři uživatelů a poště. Tiskárna se starým firmwarem není jen tiskárnou, je to sklad servisních účtů. Doporučení je napříč zdroji shodné: port 9100 povolit jen z tiskových serverů nebo z tiskové VLAN a nikdy ho nevystavovat do internetu.

Chytré televize a další IoT

Televize s Androidem v zasedačce, konferenční systém, docházkový terminál, klimatizace s Wi-Fi. Nikdo pro ně nedělá aktualizace, výrobce po pár letech přestane firmware vydávat a zařízení v síti zůstane dalších osm let — s plným přístupem ke všemu ostatnímu, protože je někdo prostě připojil na firemní Wi-Fi.

Jak VLAN funguje

Standard IEEE 802.1Q přidává do ethernetového rámce značku (tag) s číslem VLAN. Switch podle ní rozhoduje, kam rámec smí. V praxi se pracuje se třemi pojmy:

  • Access port (untagged) — port s jedním koncovým zařízením. Má nastavené PVID, tedy číslo VLAN, do níž se zařadí příchozí neoznačený provoz. Kamera v portu s PVID 30 je ve VLAN 30 a sama o tom nic neví; na kameře se nenastavuje nic.
  • Trunk port (tagged) — port mezi switchi nebo mezi switchem a routerem, kterým prochází víc VLAN najednou, každý rámec s vlastní značkou.
  • Brána — router nebo firewall má rozhraní pro každou VLAN, dělá pro ni DHCP a pravidly rozhoduje, kdo s kým smí komunikovat.

Zásadní důsledek: mezi dvěma VLAN se nedá projít jinak než přes router. Pravidla se píšou na jednom místě a výchozí pravidlo má znít „zakázáno” — povolují se konkrétní výjimky, ne naopak.

Tohle je logické oddělení: staví se nad tím, co už fyzicky existuje, a další kabely kvůli němu obvykle tahat nemusíte. Fyzickou stránku sítě — kabeláž, rozvaděč, značení, stav portů — řeší audit počítačové sítě a kabeláže.

Které segmenty oddělit a co kam patří

SegmentCo tam patříVen na internetDo jiných segmentůProč zvlášť
Pracovní stanicenotebooky a PC zaměstnanců, firemní mobilyanojen na konkrétní služby serverů a tiskárenodsud přichází většina infekcí (příloha, web, USB)
Servery a NASdoménový řadič, souborový server, ERP, účetnictvíjen aktualizacežádný odchozí přístup do klientských sítíserver nemá důvod sám navazovat spojení k počítači uživatele
Kamery a IoTIP kamery, rekordér, TV, docházka, čidlazakázat, pokud výrobce nevyžaduje cloudžádnýzařízení bez aktualizací nesmí vidět na data
Tiskárnymultifunkce, tiskové serveryjen aktualizace firmwarejen příjem tisku ze stanicport 9100 je bez přihlášení, konfigurace obsahuje servisní účty
Hosté a BYODnávštěvy, soukromé telefony, technici dodavatelůano, s omezením rychlostižádnýzařízení mimo vaši správu, o jeho stavu nic nevíte
Zálohovací prostředízálohovací server, cílový NAS, páskajen do offsite úložištěspojení iniciuje záloha, ne klientposlední záchranná síť po ransomwaru; žádá to i vyhláška
Správarozhraní switchů, AP, firewallu, IPMInejen z vyhrazené stanice nebo VPNkdo ovládne správu switche, obejde všechna pravidla

Pravidlo, které se vyplatí držet: zálohovací prostředí nesmí být dostupné běžným uživatelským účtem z běžné pracovní stanice.

Wi-Fi: síť pro hosty není jen druhé heslo

Jeden přístupový bod umí vysílat víc SSID (názvů sítě) najednou a každé přiřadit jinou VLAN. Kvůli segmentaci tedy nekupujete dvojnásobek zařízení. Správně nastavená hostovská síť má tři vlastnosti:

  1. Vlastní SSID mapované na guest VLAN — provoz hostů se do firemní VLAN vůbec nedostane, pravidlo na bráně mu povolí jen ven do internetu.
  2. Zapnutou izolaci klientů (client isolation) — zařízení na stejném SSID spolu nemohou komunikovat ani navzájem. Bez toho vidí telefon návštěvy na notebook jiné návštěvy.
  3. Omezenou rychlost — aby jedna návštěva stahující aktualizace nezablokovala linku pro firmu.

Časté nedorozumění: „máme pro hosty jinou Wi-Fi” většinou znamená jen jiné heslo do téže sítě. Rozhoduje, do jaké VLAN je SSID přiřazené a jaká pravidla tam platí. Pokud zároveň řešíte pokrytí nebo výpadky, viz problémy s Wi-Fi: slabý signál a výpadky.

Co na segmentaci říká česká legislativa

Nový kybernetický zákon (účinnost 1. 11. 2025) dělí povinné subjekty na dva režimy a segmentaci sítě požaduje v obou.

  • Vyhláška č. 410/2025 Sb. (režim nižších povinností) v § 11 písm. a) požaduje segmentaci sítě „včetně oddělení provozního a zálohovacího prostředí”.
  • Vyhláška č. 409/2025 Sb. (režim vyšších povinností) v § 26 odst. 5 požaduje oddělení zálohovacího prostředí od jiných prostředí.

NÚKIB k nižšímu režimu vydal manuál s praktickými příklady; oddělení lze podle něj řešit fyzicky i logicky, tedy právě přes VLAN. Jestli povinnosti dopadají na vaši firmu, rozebírá zákon o kybernetické bezpečnosti 264/2025 a koho se týká.

I když na vás zákon nedopadá, stojí za to číst to jako minimální standard. „Oddělení provozního a zálohovacího prostředí” je přesně ta věc, která po ransomwaru rozhoduje o tom, jestli máte kam sáhnout.

Postup zavedení krok za krokem

1. Zjistěte, co v síti vlastně je. Bez inventury nemá smysl kreslit plán: seznam zařízení s MAC adresou, portem ve switchi, účelem a odpovědnou osobou. Skoro vždy se přitom najdou dvě tři zařízení, o kterých nikdo neví, kdo je připojil.

2. Navrhněte VLAN a rozsahy. Číslování ať je čitelné (10 stanice, 20 servery, 30 kamery, 40 tiskárny, 50 hosté, 60 zálohy, 99 správa) a každá VLAN má vlastní IP rozsah. Napište k tomu tabulku povolených toků, ne jen seznam sítí.

3. Zajistěte si zpětnou cestu ke správě. VLAN pro správu musí být dostupná dřív, než začnete filtrovat. U MikroTiku se odříznutí řeší tím, že se management VLAN nastaví na trunk portu ještě před zapnutím vlan-filtering. Konzolový kabel mějte po ruce vždy.

4. Začněte hosty. Nejmenší riziko, okamžitý efekt: nové SSID, guest VLAN, izolace klientů, pravidlo „jen ven”. Když se něco pokazí, nikdo z firmy si toho nevšimne.

5. Pak kamery a IoT. Kamery přehoďte na access porty s PVID kamerové VLAN, ověřte, že se na živý obraz dostane jen vyhrazená stanice, a zrušte port forwardy z internetu na rekordér.

6. Pak tiskárny. Tisková VLAN, povolený tok jen z pracovních stanic na tiskové porty. Přenastavte servisní účty uložené v multifunkci a aktualizujte firmware — segmentace snižuje dopad, neopravuje díru.

7. Nakonec servery a zálohy. Nejcitlivější krok, dělá se mimo provozní dobu a s otestovaným návratem zpět. Zálohovací prostředí oddělte tak, aby spojení navazoval zálohovací systém ke zdroji, ne opačně.

8. Zapište to. Schéma VLAN, tabulka pravidel, kdo má přístup ke správě. Bez dokumentace další technik segmentaci do roka rozpustí zpátky do ploché sítě.

Na čem to postavit

Rozdělit síť nevyžaduje enterprise techniku. 802.1Q umí prakticky všechny současné řízené switche:

  • TP-Link Omada — konfigurace VLAN přes Omada Controller, řady Agile, Access, Access Plus, Access Pro, Access Max, Aggregation a Campus. Uplink do routeru se nastaví jako tagged, klientské porty jako untagged s daným PVID. Router musí VLAN také rozumět a mít pro každou z nich DHCP.
  • Ubiquiti UniFi — sítě se definují v kontroleru, SSID se mapuje na VLAN a izolace klientů se zapíná na úrovni sítě i jednotlivého SSID.
  • MikroTik — VLAN se řeší na bridge přes vlan-filtering, access porty mají pvid, trunk porty jsou tagged. Na zařízeních s vhodným switch čipem běží filtrování v hardwaru, tedy bez ztráty propustnosti.

Nejčastější překážkou nebývá cena switche, ale nespravovaný switch pod stolem, přes který je připojená půlka kanceláře.

Nejčastější chyby

  • VLAN bez pravidel. Sítě jsou rozdělené, brána mezi nimi routuje všechno.
  • Zapomenutá správa. Rozhraní switche nebo AP zůstane v uživatelské VLAN s výchozím heslem. Kdo se na ně dostane, přepíše ostatní pravidla.
  • Zařízení ve dvou sítích. Tiskárna nebo server se dvěma síťovkami v různých VLAN je most mezi nimi.
  • Záloha jako namapovaný disk. Zálohovací NAS dostupný z každé stanice běžným účtem se zašifruje spolu se zbytkem.
  • Hostovské SSID bez izolace klientů. Návštěvy sice nevidí do firemní sítě, ale vidí navzájem na svá zařízení.
  • Port forward na rekordér. Kamerový systém vystavený z internetu kvůli sledování na mobilu je přesně scénář, na kterém vyrostl Mirai. Řešením je VPN, ne přesměrovaný port.

Potřebujete s tím pomoct

Segmentace je práce, kterou stačí udělat jednou pořádně a pak ji jen udržovat. V ITHOPE v Brně děláme firmám návrh rozdělení sítě na míru tomu, co už mají v rozvaděči: VLAN a pravidla na bráně, oddělení hostů, kamer a tiskáren i oddělení zálohovacího prostředí podle vyhlášky — a pak síť průběžně spravujeme, aby se za rok nevrátila do původního stavu. Navazuje na to správa IT a zálohování a další služby v sekci IT pro firmy. Ozvěte se, když chcete vědět, jak na tom vaše síť je, dřív než to zjistíte jinak.

Segment „servery a NAS” má u nás i praktickou obsluhu: servis NAS v Brně — instalace, výměny disků a dohled síťových úložišť tak, aby segmentace dávala smysl i na straně dat.

Zdroje