Sieć firmowa od podstaw jak zaprojektować sieć komputerową w małej i średniej firmie (SMB) w 2026
Sieć komputerowa w małej firmie to nie "router od operatora i WiFi". Większość firm przekonuje się o tym dopiero podczas ataku ransomware, wycieku danych lub awarii paraliżującej produkcję. Ten przewodnik pokazuje, jak krok po kroku zaprojektować i wdrożyć bezpieczną sieć firmową; od segmentacji VLAN, przez konfigurację firewalla i Active Directory, po backup 3‑2‑1 i monitoring. Konkretne decyzje architektoniczne, tabele konfiguracyjne i 32‑punktowa checklista wdrożenia zgodna z CIS Controls i dyrektywą NIS2.
01. Architektura sieci firmowej SMB
Dobra sieć firmowa to nie "router + switch + WiFi". To wielowarstwowa architektura, w ktorej każdy element ma konkretna role i graniczne uprawnienia. Poniżej schemat, ktory należy traktowac jako minimum dla każdej firmy powyżej 10 urządzeń.
Wybierz element sieći
Kliknij dowolny kafelek powyżej, aby zobaczyc szczegółowy opis komponentu: funkcje, protokoły, adresy IP i wskazowki konfiguracyjne.
Kluczowe elementy architektury
Punkt przekazania odpowiedziąlnosci między operatorem a firma. Zwykle ONU/ONT lub modem xDSL. Tu konczy sie sieć operatora, zaczyna twoja.
Mozg sieći. Kontroluje caly ruch wejsciowy i wyjsciowy. Obsługuje NAT, IPS, VPN, polityki ACL. Nigdy nie pomijaj tego elementu.
Centralny punkt sieći. Obsługuje routing między VLAN-ami, QoS oraz uplink do firewalla. Musi byc zarządzalny (managed).
Podłącza urządzenia koncowe (PC, drukarki, AP). Konfiguracja port-based VLAN. Jeden switch = jedna strefa dostępowa.
Dedykowany switch dla serwerów (VLAN 30). Izolacja ruchu serwerówego, bonding NIC, monitoring portów, uplink 10G.
Minimum jeden AP na 20 użytkowników. Kilka SSID na jednym radiu (pracownicy, goscie, IoT) - każdy na osobnym VLAN-ie.
02. Segmentacja VLAN
VLAN (Virtual LAN) to logiczny podział sieći fizycznej na izolowane segmenty. Bez VLAN-ow masz tzw. flat network - jeśli atakujacy dostanie sie do jednego urządzenia, widzi cała sieć. Z VLAN-ami kazda strefa jest odizolowana na poziomie switcha.
Tabela VLAN - kompletna konfiguracja
Przykładowa konfiguracja VLAN na switchu (Cisco IOS)
03. Firewall i zasady bezpieczeństwa
Firewall to nie tylko "blokowanie portów". W nowoczesnej architekturze SMB firewall jest centralnym punktem polityki bezpieczeństwa - kontroluje ruch między VLAN-ami, terminuje VPN, uruchamia IPS i rejestruje wszystkie połączenia.
Porownanie rozwiazan firewall dla SMB
Zasady firewall - inter-VLAN i WAN
VPN i zdalny dostęp
Najszybszy protokół, minimalny kod, latwa konfiguracja. Wbudowany w OPNsense i pfSense. Idealny dla pracowników zdalnych.
Sprawdzony, kompatybilny z wszystkim. Wolniejszy od WireGuard, ale bardziej elastyczny dla site-to-site VPN.
Każde logowanie VPN musi wymagac drugiego skladnika - TOTP (Google Authenticator), YubiKey. Bez tego VPN to iluzja bezpieczeństwa.
Ruch do zasobow firmowych przez VPN, ruch do internetu bezposrednio. Odciaza łącze VPN i poprawia wydajnosc.
Od pazdziernika 2024 dyrektywa NIS2 wymaga od firm w UE wdrożenia minimalnych standardow bezpieczeństwa. Dla SMB kluczowe: firewall z IPS, VPN z MFA, segregacja sieći, regułarne audyty i procedury reagowania na incydenty. Brak wdrożenia to ryzyko kar do 10 mln EUR lub 2% przychodu globalnego.
04. Wi-Fi w firmie - konfiguracja i segmentacja
Jeden SSID dla wszystkich to klasyczny błąd. Goscie w tej samej sieći co ksiegowosc? Kamera IP w tej samej sieći co serwery? To prosta droga do wycieku danych lub incydentu.
Architektura Wi-Fi - trzy SSID na jednym AP
05. Serwery i infrastruktura wewnętrzna
Active Directory - konfiguracja i polityki
Backup - reguła 3-2-1
3 kopie danych · 2 rozne nosniki/media · 1 kopia poza lokalizacja (offsite lub cloud). Bez tej zasady backup nie istnieje - istnieje tylko iluzja backupu.
06. Najczęstsze błędy przy wdrozeniu sieći SMB
Wszystkie urządzenia w jednej sieći /24. Drukarka, kamera i serwer ksiegowy w tej samej rozglosni. Jeden przejety komputer = pełny dostęp do wszystkiego.
Router ISP nie jest firewallem. Nie ma IPS, nie loguje ruchu, nie filtruje C2C. Postaw dedykowany firewall za nim.
60% firm, ktore stracily dane, zamknieto w ciągu roku. Backup ktory nie byl testowany, jest bezuzyteczny przy awarii.
Port 3389 otwarty na WAN to najszybsza droga do ransomware. Nigdy - używaj VPN z MFA jako jedynej bramy dostępu.
Bez logowania ruchu i alertow nie wiesz ze doszlo do ataku. Sredni czas wykrycia wlamania to 207 dni (IBM 2024).
Admin/admin na switchu, AP, kamerze. Skanowanie sieći lokalnej zajmuje sekundy. Zmien hasła przed podłączeniem do sieći.
Switche, AP, firewall - wszystkie maja podatnosci CVE. Ustaw automatyczne aktualizacje lub harmonogram przegladu co miesiac.
Jedno łącze ISP = jeden punkt awarii. Dla firm krytycznych: dwa ISP na failover z load balancing w firewall.
07. Budżet - sieć firmowa minimum vs. optymalny setup
- Firewall pfSense / OPNsense na dedykowanym mini-PC (1 500-3 000 PLN)
- Core switch L3 managed 24-port (2 500-4 000 PLN)
- 2x Access switch managed 24-port (1 000-2 000 PLN / szt)
- 2x AP WiFi 6 (1 200-2 000 PLN / szt)
- NAS 4-bay z RAID jako backup lokalny (2 000-3 500 PLN)
- UPS 1500VA line-interactive (1 200-2 000 PLN)
- Okablowanie strukturalne Cat6 + patch panel (1 500-3 000 PLN)
- Wdrozenie, konfiguracja, dokumentacja (3 000-6 000 PLN)
- NGFW komercyjny FortiGate 60F / Sophos XGS (8 000-14 000 PLN + subskrypcja)
- Core switch L3 stackowalny 48-port (8 000-14 000 PLN)
- 3x Access switch managed 48-port (2 500-4 500 PLN / szt)
- Server switch 10G SFP+ (4 000-7 000 PLN)
- 4x AP WiFi 6E enterprise (2 000-3 500 PLN / szt)
- Serwer rack 1U/2U lub NAS enterprise (8 000-18 000 PLN)
- UPS rack line-interactive 3000VA (4 000-7 000 PLN)
- Okablowanie, szafa rack 12-24U (3 000-6 000 PLN)
- Monitoring PRTG / Zabbix + SIEM podstawowy (2 000-5 000 PLN/rok)
- Wdrozenie, dokumentacja, szkolenie zespolu (8 000-15 000 PLN)
08. Checklist wdrożenia sieći firmowej
- 1Sporzadz inwentaryzacje urządzeń - ile PC, drukarek, kamer, telefonow IP
- 2Zdefiniuj strefy sieći i użytkowników (pracownicy / goscie / serwery / IoT)
- 3Zaprojektuj schemat adresacji IP i przydziel zakresy na VLAN-y
- 4Wybierz i zamow sprzet (firewall, switche, AP) z odpowiednim wyprzedzeniem
- 5Przygotuj dokumentacje wstepna - schemat sieći, tabela VLAN, lista portów
- 6Zamontuj sprzet w szafie rack, poprowadz okablowanie strukturalne Cat6/Cat6A
- 7Oznakuj wszystkie kable i porty (patch panel z opisem, etykiety na kablach)
- 8Podłącz UPS - sprzet siećiowy musi byc zasilany przez UPS
- 9Sprawdz kable testerm lub certyfikatorem (Cat6 do 250 MHz)
- 10Skonfiguruj firewall: strefy, polityki inter-VLAN, NAT, IPS, VPN, logi
- 11Utwórz VLAN-y na core switchu, skonfiguruj inter-VLAN routing lub firewall routing
- 12Skonfiguruj access switche - porty access i trunk, STP portfast
- 13Skonfiguruj AP: SSID per VLAN, WPA3, izolacja klientów, bandwidth limit na guest
- 14Zmien domyślne hasła na WSZYSTKIM sprzecie przed podłączeniem do sieći
- 15Włącz SSH tylko z VLAN management, wyłącz Telnet i HTTP na sprzecie
- 16Skonfiguruj DHCP per VLAN z odpowiednimi zakresami i lease time
- 17Skonfiguruj DNS wewnętrzny i forwarder z filtrowaniem (NextDNS / Pi-hole)
- 18Zainstaluj i skonfiguruj Domain Controller (minimum 2 sztuki - primary + replica)
- 19Wdróz polityki GPO - password policy, security baseline, BitLocker, LAPS
- 20Skonfiguruj RADIUS/NPS dla WiFi corporate (802.1X + certyfikaty)
- 21Skonfiguruj backup: lokalne + offsite, reguła 3-2-1, immutable repository
- 22Wykonaj i udokumentuj test odtworzenia danych z backupu
- 23Włącz logowanie zdarzen na firewall i switchach (syslog na centralny serwer)
- 24Skonfiguruj monitoring dostępnośći urządzeń (Zabbix / PRTG / Uptime Kuma)
- 25Skonfiguruj alerty email/SMS dla krytycznych zdarzen (down urządzenia, high CPU)
- 26Wdróz filtrowanie DNS (blokowanie malware, phishing, C2C)
- 27Przeprowadz scan podatnosci sieći wewnętrznej (Nmap, Nessus Essentials)
- 28Przeszkol użytkowników - phishing, silne hasła, VPN, incydenty bezpieczeństwa
- 29Zaktualizuj schemat sieći - wersja finalna z pełna konfiguracja i IP
- 30Przygotuj runbook: procedury awaryjne, kontakty, lokalizacja backupow konfiguracji
- 31Zaplanuj harmonogram przegladu sieći (co kwartal) i aktualizacji firmware
- 32Podpisz protokół odbioru i przekaz dokumentacje klientówi / działowi IT
09. Podsumowani - sieć firmowa bezpieczna i skalowalna
Dobrze zaprojektowana sieć komputerowa w małej i średniej firmie to nie koszt — to inwestycja chroniąca ciągłość działalności. Firmy z prawidłową segmentacją sieci ograniczają zasięg ataku ransomware z 100% do 12% zasobów (Sophos Threat Report 2024). Kluczowe zasady bezpiecznej sieci firmowej:
- Segmentuj sieć przez VLAN-y - odizoluj pracowników, gosci, serwery i IoT od siebie
- Firewall jako obowiązkowy element - nigdy nie polegaj wyłącznie na routerze ISP
- VPN + MFA dla zdalnego dostępu - zero tolerancji dla RDP wystawionego na internet
- Backup 3-2-1 i regułarny test odtworzenia - backup bez testu to fałszywe poczucie bezpieczeństwa
- Monitoring i logi - nie możesz chronic tego, czego nie widzisz
- Dokumentacja sieći - brak dokumentacji to bomba zegarowa przy każdej awarii lub zmianie administratora
- CIS Controls v8 - Center for Internet Security
- NIS2 Directive - ENISA
- pfSense Documentation - Netgate
- Veeam 3-2-1 Backup Strategy
- IBM Cost of a Data Breach Report 2024
- Cisco VLAN Configuration Guide - IOS 17.x
Chcesz zaprojektować bezpieczną sieć w swojej firmie?
Nasz zespół przeanalizuje Twoją obecną infrastrukturę i zaproponuje optymalne rozwiązanie dopasowane do wielkości firmy, budżetu i wymagań bezpieczeństwa. Wdrożenia realizujemy na terenie całego Podkarpacia i zdalnie.