modernizaciya_setevoi_infrastruktury1

1.

Модернизация
сетевой инфраструктуры
Предложение по замене текущей схемы на управляемую
архитектуру с маршрутизатором, ядром сети, PoEкоммутатором, VLAN и мониторингом
серверная · маршрутизация · безопасность · администрирование
Оптимальный комплект MikroTik
CCR2004 + CRS354 + CRS328 PoE
2026

2.

Текущая схема: работает, но усложняет
эксплуатацию
Сеть построена из разнородного оборудования, а роль основного шлюза выполняет обычный ПК с Debian 10
ES3528M
Zyxel GS1900-48
D-Link 1024C
Debian 10 PC
Вероятно оборудование
провайдера или старый
управляемый коммутатор
Управляемый коммутатор,
можно оставить для рабочих
мест
Неуправляемый коммутатор, нет
нормальной диагностики и VLAN
Обычный ПК выполняет
функции шлюза, NAT и
маршрутов
⚠ не использовать как ядро
✅
⛔
оставить как access
Основные риски текущей схемы
сложная диагностика при сбоях и петлях в сети
нет единой логики VLAN и централизованных правил доступа
шлюз зависит от обычного ПК: диск, ОС, ручные настройки
труднее быстро восстановить работу после отказа
Модернизация сетевой инфраструктуры · 2
убрать из критичной части
⚠ заменить на appliance

3.

Целевая архитектура
Провайдер → маршрутизатор/фаервол → центральный управляемый коммутатор → отдельные сегменты сети
Серверы
Proxmox / NAS
Интернет /
провайдер
MikroTik CCR2004
маршрутизатор + firewall
MikroTik CRS354
ядро сети
Рабочие места
через Zyxel
PoE: камеры /
Wi‑Fi / СКУД
Management
UPS / коммутаторы
1. Управляемый шлюз
2. Управляемое ядро
3. Изоляция сегментов
Правила доступа, NAT, VPN, резервные
копии конфигурации
VLAN, диагностика портов, 10G uplink
для серверов
Гости, камеры, принтеры и
серверы — отдельно
Модернизация сетевой инфраструктуры · 3

4.

Оптимальный комплект оборудования
Комплект закрывает роли шлюза, ядра сети и PoE-сегмента
MikroTik CCR2004-16G-2S+
MikroTik CRS354-48G4S+2Q+RM
MikroTik CRS328-24P-4S+RM
Маршрутизатор / межсетевой экран
Центральный коммутатор ядра
PoE-коммутатор
16×1G Ethernet
2×10G SFP+
RouterOS, firewall, VPN
48×1G Ethernet
4×10G SFP+
2×40G QSFP+
24×1G PoE
4×10G SFP+
PoE-бюджет до 450 Вт
Идея комплекта: маршрутизация и безопасность — отдельно; коммутация и VLAN — отдельно; PoE-оборудование — отдельно.
Модернизация сетевой инфраструктуры · 4

5.

MikroTik CCR2004 — замена ПК-шлюза на
appliance
Единая точка управления интернет-доступом, NAT, firewall, VPN и межсетевой маршрутизацией
Что меняется
шлюз перестаёт зависеть от обычного ПК и ручных
iptables-правил
конфигурацию можно экспортировать и быстро
восстановить
firewall и маршруты находятся в понятной
управляемой системе
можно централизованно строить VPN и правила
между VLAN
Ключевые характеристики
16×1G Ethernet · 2×10G SFP+ · RouterOS v7 · два
AC-входа питания · форм-фактор 1U
Роль в проекте: основной маршрутизатор и межсетевой экран
учреждения.
Модернизация сетевой инфраструктуры · 5

6.

CRS354 + CRS328 — управляемая коммутация и
PoE
Ядро сети и отдельный PoE-сегмент для камер, Wi ‑Fi, домофонии и СКУД
CRS354-48G-4S+2Q+RM
CRS328-24P-4S+RM
центральный коммутатор серверной
48 гигабитных портов для рабочих сегментов
4×10G SFP+ для серверов, NAS и uplink’ов
2×40G QSFP+ как резерв на будущее
24 гигабитных PoE-порта
поддержка 802.3af/at и Passive PoE
до 450 Вт гарантированного PoE-бюджета
удалённый перезапуск PoE-портов
Итог: оборудование в серверной становится управляемым, диагностируемым и готовым к 10G-подключениям.
Модернизация сетевой инфраструктуры · 6

7.

Разделение сети на VLAN
Изоляция повышает безопасность и упрощает поиск неисправностей
VLAN 10 · Серверы
VLAN 20 · Рабочие ПК
VLAN 30 · Принтеры
VLAN 40 · Камеры / СКУД
Proxmox, NAS, служебные системы
компьютеры сотрудников
МФУ и сетевые принтеры
видеонаблюдение, домофония
VLAN 50 · Wi‑Fi сотрудники
VLAN 60 · Гостевой Wi‑Fi
VLAN 70 · Management
VLAN 80 · VPN / тест
беспроводная сеть
только интернет, без доступа к LAN
коммутаторы, UPS, NAS, IPMI
отдельные эксперименты и сервисы
Пример правил доступа
Практический эффект
гостевой Wi‑Fi — только интернет
камеры и СКУД не имеют прямого доступа к рабочим ПК
администрирование оборудования — только из managementсегмента
доступ к серверам — только по необходимым портам
меньше широковещательного шума
проще найти проблемный сегмент
сбой камеры/принтера не затрагивает серверы
понятные правила безопасности между зонами
Модернизация сетевой инфраструктуры · 7

8.

Ожидаемый результат для эксплуатации
Сеть становится не просто “работающей”, а управляемой и восстановимой