בקצרה: הפרדת רשתות בעסק היא חלוקה של הרשת הפיזית לכמה רשתות לוגיות (VLAN), כך שמחשבי העובדים, המצלמות, רשת האורחים ומכשירי ה-IoT לא רואים זה את זה. העמדה שלנו בדרנט חד משמעית: כל עסק, גם משרד קטן, צריך הפרדה כזו כבר ביום ההקמה. העלות הנוספת קטנה, והנזק מרשת שטוחה אחת יכול להיות גדול מאוד.
במשרדים רבים הרשת נשארת כמו שנבנתה ביום הראשון: נתב אחד, מתג אחד או שניים, וכל מה שמתחבר לחשמל מתחבר גם לאותה רשת. המחשב של מנהלת החשבונות, המדפסת, מקליט המצלמות, הטלוויזיה החכמה בחדר הישיבות, הטלפון של האורח שביקש את הסיסמה, וכל מכשיר "חכם" שמישהו קנה. הכול עובד, אז אף אחד לא נוגע. זו בדיוק הבעיה.
מה זה VLAN ומה זו הפרדת רשתות
VLAN (Virtual LAN) הוא רשת לוגית נפרדת שרצה על אותה תשתית פיזית. אותו מתג ואותם כבלים יכולים לשאת כמה רשתות שאינן מדברות זו עם זו, אלא אם הגדרנו במפורש שמותר להן. הפרדת רשתות (Network Segmentation) היא התכנון שמאחורי זה: אילו קבוצות מכשירים יש בעסק, לאיזו רשת כל קבוצה שייכת, ומה בדיוק מותר לעבור ביניהן. ההחלטות האלה נאכפות בחומת האש או בנתב באמצעות כללי גישה.
העמדה שלנו: רשת שטוחה היא החלטה שאף אחד לא קיבל
אף בעל עסק לא החליט במודע שהמצלמה הזולה בכניסה תוכל לדבר עם שרת הקבצים. זה פשוט קרה, כי ברירת המחדל של רוב הציוד היא רשת אחת. אנחנו חושבים שזו ברירת מחדל שגויה לעסק, משלוש סיבות.
1. המכשיר החלש ביותר קובע את רמת האבטחה של כולם
מכשירי IoT, מצלמות, מדפסות וטלוויזיות חכמות מקבלים בדרך כלל פחות עדכוני אבטחה ממחשבים, ולעיתים קרובות אף אחד לא מעדכן אותם בכלל. ברשת שטוחה, מי שהשתלט על מכשיר כזה נמצא כבר "בפנים", באותה רשת עם המחשבים, עם השרת ועם הגיבויים. הפרדה לא מונעת את הפריצה למכשיר, אבל היא תוחמת אותה: התוקף נשאר ברשת שאין בה שום דבר בעל ערך.
2. אורחים לא צריכים לראות שום דבר
רשת אורחים שמחוברת לאותו VLAN של העובדים היא רק סיסמה נוספת, לא הפרדה. לקוח שמחכה בלובי, ספק שמחבר מחשב נייד או עובד שמביא מכשיר אישי, כולם צריכים אינטרנט ותו לא. רשת אורחים נכונה מקבלת יציאה לאינטרנט בלבד, עם בידוד בין המכשירים שמחוברים אליה.
3. גם ביצועים ותחזוקה מרוויחים
הפרדה מקטינה תעבורה מיותרת בין מכשירים, מאפשרת לתת עדיפות לשיחות ולוידאו, ובעיקר הופכת תקלות לקלות לאבחון. כשמצלמה מתנהגת מוזר, יודעים שהיא נמצאת ברשת המצלמות ואפשר לבדוק אותה בלי לגעת בשאר העסק.
איך נראית חלוקה טיפוסית בעסק
אין תבנית אחת לכל עסק, אבל ברוב המשרדים החלוקה הזו היא נקודת פתיחה טובה:
| רשת (VLAN) | מי נמצא בה | מה מותר לה |
|---|---|---|
| עובדים | מחשבים, מחשבים ניידים של החברה | אינטרנט, שרתים ומדפסות לפי צורך |
| שרתים וגיבוי | NAS, שרת קבצים, מערכות פנימיות | נגישה רק ממה שבאמת צריך אותה |
| מצלמות | מצלמות IP ומקליט NVR | בלי גישה לרשת העובדים; צפייה מרחוק דרך ערוץ מאובטח |
| טלפוניה | טלפוני IP | יציאה לספק הטלפוניה, עם עדיפות לתעבורה קולית |
| IoT | טלוויזיות, מזגנים חכמים, בקרים, מסכי חדרי ישיבות | מה שהמכשיר צריך כדי לעבוד, לא יותר |
| אורחים | מבקרים ומכשירים אישיים | אינטרנט בלבד, עם בידוד בין לקוחות |
החלוקה נאכפת בשלושה מקומות: המתגים מתויגים לפי VLAN, נקודות הגישה של ה-Wi-Fi משדרות רשת (SSID) נפרדת לכל קבוצה שצריכה אלחוט, וחומת האש קובעת מה עובר בין הרשתות. על חומת האש עצמה כתבנו במדריך חומת אש לעסק.
הטענה הנגדית: "אנחנו עסק קטן, אין לנו מה לגנוב"
זו טענה נפוצה, ויש בה היגיון לכאורה: משרד של עשרה עובדים לא נראה כמו יעד. אבל התקפות רבות אינן מכוונות לעסק מסוים. כלים אוטומטיים סורקים את האינטרנט ומחפשים מכשירים חשופים, וכל עסק עם מצלמה, מדפסת ומחשבים הוא חלק מהמאגר. ולעסק קטן יש בדיוק מה לאבד: קבצי לקוחות, הנהלת חשבונות, תיבות דואר, וימים של עבודה עד שהכול חוזר לפעול.
טענה נוספת היא שהפרדה "מסבכת את הרשת". נכון שיש בה יותר הגדרות, ולכן היא צריכה להיעשות פעם אחת, נכון ובתיעוד מסודר. מבחינת העובדים, רשת מופרדת שתוכננה טוב לא מרגישה שונה בכלל. המדפסת מדפיסה, הקבצים נפתחים, והצפייה במצלמות בטלפון עובדת. מה שהשתנה הוא רק מה שלא אמור היה לקרות מלכתחילה.
מתי זה הכי קריטי
- יש מצלמות אבטחה ברשת. מערכת מצלמות היא אחת הסיבות הנפוצות ביותר להפרדה, ואנחנו מתכננים אותה כחלק מכל התקנת מצלמות אבטחה לעסק.
- יש Wi-Fi לאורחים או לקוחות. קליניקות, משרדים עם קבלת קהל, חללי Open Space וחדרי ישיבות.
- יש שרת קבצים או NAS. הגיבוי הוא קו ההגנה האחרון, והוא לא צריך להיות נגיש מכל מכשיר במשרד.
- מעבר משרד או הקמה חדשה. זה הזמן הזול ביותר לעשות את זה נכון. ראו גם את רשימת הבדיקה למעבר משרדים.
מה צריך כדי להפריד רשתות
הדרישה הבסיסית היא ציוד מנוהל: מתגים שתומכים ב-VLAN, נקודות גישה שמשדרות כמה רשתות, וחומת אש או נתב שמסוגלים לאכוף כללים בין הרשתות. במשרדים רבים חלק מהציוד הקיים כבר תומך בזה, ופשוט אף אחד לא הגדיר. במקומות אחרים צריך להחליף מתג לא מנוהל או נתב ביתי. דרנט היא משווק מורשה של Ubiquiti, שהציוד שלה מאפשר לנהל את כל הרשתות ממקום אחד, עם אחריות ושירות למוצרים שאנחנו מוכרים.
ההמלצה של דרנט
אל תחכו לאירוע כדי להפריד רשתות. בהקמה חדשה, הפרדה היא חלק מהתכנון ואינה מוסיפה הרבה עבודה. ברשת קיימת, היא מתחילה במיפוי: אילו מכשירים יש, מי צריך לדבר עם מי, ומה אפשר לעשות עם הציוד שכבר קיים. צוות טכנאי הרשתות לעסקים שלנו עושה את המיפוי הזה בסיור טכני ללא עלות, ושולח הצעת מחיר מפורטת ושקופה תוך 24 שעות, בלי הפתעות. אנחנו עובדים בפריסה ארצית, עם דגש על תל אביב, גבעתיים, הרצליה ורמת גן. אם תרצו שנבחן את הרשת שלכם, דברו איתנו.
שאלות נפוצות על הפרדת רשתות בעסק
האם הפרדת רשתות דורשת להחליף את כל הציוד?
לא בהכרח. חלק מהמתגים ונקודות הגישה בשוק כבר תומכים ב-VLAN. צריך לבדוק את הציוד הקיים, ולעיתים מספיק להחליף רכיב אחד או שניים, בדרך כלל את הנתב או מתג לא מנוהל.
האם רשת אורחים עם סיסמה נפרדת היא הפרדה?
רק אם היא מוגדרת כ-VLAN נפרד עם גישה לאינטרנט בלבד ובידוד בין מכשירים. שם רשת וסיסמה אחרים על אותה רשת פנימית אינם הפרדה.
האם אפשר עדיין לצפות במצלמות מהטלפון אחרי ההפרדה?
כן. ההפרדה קובעת מי יכול לגשת למצלמות מתוך הרשת, והצפייה מרחוק ממשיכה לעבוד דרך ערוץ מאובטח שמוגדר במיוחד לכך.