WiFi w biurze krok po kroku
Jak zrobić WiFi w biurze, które działa tak samo przy oknie, w sali konferencyjnej i w kuchni? Zapomnij o jednym mocnym routerze. Zaplanuj kilka access pointów na suficie, zasilanych przez PoE i zarządzanych z jednego kontrolera. Gości i urządzenia IoT wydziel do osobnych sieci. Niżej opisujemy planowanie zasięgu, wybór sprzętu i standardu WiFi oraz ustawienia bezpieczeństwa, które trzeba zrobić przed wpuszczeniem do sieci pierwszego laptopa.
Spis treści
Planowanie zasięgu
WiFi w biurze projektuje się pod liczbę urządzeń, a metraż jest na drugim miejscu. Policz ludzi i pomnóż przez 2–3 urządzenia na osobę: laptop, telefon, czasem tablet. Dolicz drukarki, sprzęt w salach, kamery i telefony gości. Sala, w której dwadzieścia osób siada z laptopami, zwykle potrzebuje własnego access pointu, nawet jeśli sygnał z korytarza do niej dochodzi.
Zanim rozmieścisz sprzęt, weź plan biura i zaznacz na nim:
- ściany nośne, przeszklenia z powłoką metaliczną, szyby wind i klatki schodowe, które mocno tłumią sygnał;
- strefy o dużej gęstości: open space, sale konferencyjne, kuchnię;
- miejsce na szafę sieciową i trasy kabli do każdego planowanego access pointu;
- miejsca, gdzie WiFi nie jest potrzebne, na przykład magazyn.
Zasady, które sprawdzają się w większości biur:
- Montaż na suficie. Access point wisi centralnie nad strefą, którą obsługuje. Nie w szafie, nie nad metalowym sufitem podwieszanym, nie na końcu korytarza.
- Pasma. Sygnał 5 i 6 GHz słabiej przechodzi przez ściany niż 2,4 GHz, ale daje większą przepustowość. Projektuj zasięg pod 5 GHz, a 2,4 GHz traktuj jako uzupełnienie dla starszych urządzeń.
- Kanały. W paśmie 2,4 GHz używaj tylko kanałów 1, 6 i 11 o szerokości 20 MHz. W 5 GHz przy wielu access pointach wybieraj kanały 20 lub 40 MHz zamiast 80 MHz, żeby sąsiednie punkty sobie nie przeszkadzały.
- Moc nadawania. Nie ustawiaj maksimum. Przy zbyt silnym sygnale laptop trzyma się odległego access pointu, zamiast przejść na ten nad głową.
- Poziom sygnału. Dla rozmów wideo i telefonii projektuje się zwykle na co najmniej -67 dBm w każdym miejscu pracy.
W biurowcu z wieloma najemcami pasma są zapchane sieciami sąsiadów. Narzędzia do planowania sieci bezprzewodowych, takie jak Ekahau czy Hamina, albo planery producentów sprzętu szacują liczbę i rozmieszczenie access pointów na podstawie planu. Plan to jednak tylko model. Po montażu zrób albo zleć pomiar w rzeczywistych warunkach i popraw kanały oraz moc.
Access pointy i kontroler: jaki access point do biura
Firmowe access pointy działają jak jedna sieć. Mają tę samą nazwę i wspólne ustawienia, a laptop przechodzi między nimi bez zrywania połączenia.
Przy wyborze access pointu sprawdź:
- Obudowę. Sufitowe do open space i sal. Naścienne do małych pokoi, w których sufit odpada. Zewnętrzne na taras i parking.
- Zasilanie PoE. Sprawdź, jakiej klasy PoE model potrzebuje przy pełnej funkcjonalności: PoE (802.3af), PoE+ (802.3at) czy 802.3bt. Część modeli przy słabszym zasilaniu wyłącza część funkcji, na przykład strumienie radiowe albo dodatkowy port.
- Port uplink. Do WiFi 6 zwykle wystarcza 1GbE. Wydajniejsze modele WiFi 6E i 7 mają port 2,5GbE. Żeby z niego skorzystać, switch też musi mieć porty 2,5GbE.
- Roaming. Obsługa 802.11k, 802.11v i 802.11r przyspiesza przełączanie urządzeń między access pointami. Słychać to na wideorozmowie prowadzonej w drodze z biurka do sali.
Każdy access point podłącz kablem do switcha PoE. Tryb mesh, w którym punkty łączą się ze sobą bezprzewodowo, zjada przepustowość. Zostaw go na miejsca, do których kabla nie da się doprowadzić.
Kontroler to panel, z którego zarządzasz wszystkimi access pointami: nazwami sieci, hasłami, kanałami i aktualizacjami. Zależnie od producenta działa w chmurze, na osobnym urządzeniu, w aplikacji na serwerze albo w firewallu. Przykłady:
| Producent | Gdzie działa kontroler | Dla kogo |
|---|---|---|
| Ubiquiti UniFi | aplikacja UniFi Network na konsoli UniFi lub na własnym serwerze, bez opłat licencyjnych | biura, które chcą prosto zarządzać całą siecią z jednego panelu |
| Fortinet | FortiGate pełni rolę kontrolera dla access pointów FortiAP | firmy, które mają lub planują firewall FortiGate |
| MikroTik | CAPsMAN w systemie RouterOS | administratorzy, którzy dobrze znają sieci |
Najmniej kłopotu daje jeden producent dla access pointów, switchy i firewalla. Całą sieć widzisz wtedy zwykle w jednym panelu i stamtąd puszczasz aktualizacje. Access pointy, switche PoE i firewalle są w dziale sprzęt sieciowy dla firm.
Access pointy, switche PoE i firewalle
Access pointy WiFi 6, 6E i 7, switche PoE, routery i firewalle do biura. Porównaj budżet PoE i porty, zanim wybierzesz switch.
WiFi 6, 6E i 7
Standard wybierasz na kilka lat. Licz więc także laptopy, które firma kupi za rok czy dwa.
| Standard | Pasma | Co daje w biurze | Na co uważać |
|---|---|---|---|
| WiFi 6 (802.11ax) | 2,4 i 5 GHz | OFDMA i MU-MIMO poprawiają obsługę wielu urządzeń naraz | wystarcza w typowym biurze, ale nie korzysta z pasma 6 GHz |
| WiFi 6E | 2,4, 5 i 6 GHz | mniej zatłoczone pasmo 6 GHz dla nowszych urządzeń | pasmo 6 GHz wymaga urządzeń z WiFi 6E lub 7 |
| WiFi 7 (802.11be) | 2,4, 5 i 6 GHz | Multi-Link Operation, czyli praca w kilku pasmach jednocześnie, oraz kanały do 320 MHz | wyższe wymagania co do PoE i portu w switchu |
W Europie WiFi może dziś korzystać tylko z dolnej części pasma 6 GHz, czyli z 480 MHz. Kanały 160 i 320 MHz mają w biurze z wieloma access pointami niewielkie zastosowanie. Realny zysk to samo mniej zatłoczone pasmo i lepsza obsługa wielu urządzeń.
Sprawdź też urządzenia po drugiej stronie. Laptop z Windows korzysta z pasma 6 GHz tylko z Windows 11 i kartą WiFi 6E lub 7. Jeśli szykujesz wymianę sprzętu, przy wyborze laptopów dla firm zwróć uwagę na standard karty sieciowej.
Nasza rekomendacja: przy nowym biurze albo pełnej wymianie sieci bierz WiFi 7 lub WiFi 6E i od razu planuj switch z portami 2,5GbE i zapasem PoE. Przy rozbudowie istniejącej sieci WiFi 6 dalej daje radę w typowej pracy biurowej.
Sieć dla gości
Goście, kontrahenci i prywatne telefony pracowników nie powinni widzieć firmowych zasobów. Sieć dla gości to osobna nazwa WiFi w osobnym VLAN-ie, z dostępem tylko do internetu.
- Osobna nazwa sieci (SSID) dla gości, przypisana do oddzielnego VLAN-u.
- Izolacja klientów: urządzenia gości nie widzą siebie nawzajem.
- Reguła na firewallu: z sieci gości tylko internet, bez dostępu do sieci firmowej, drukarek i panelu administracyjnego.
- Limit przepustowości na urządzenie, żeby jeden gość nie zajął całego łącza.
- Hasło zmieniane regularnie albo portal logowania z jednorazowymi kodami.
- Osobna sieć i VLAN dla drukarek, kamer i urządzeń IoT, które nie potrzebują dostępu do reszty sieci.
Nie mnóż nazw sieci. Trzy lub cztery wystarczą, na przykład pracownicy, goście i urządzenia. Każdy dodatkowy SSID zużywa czas antenowy na rozgłaszanie i spowalnia całe WiFi. W salach konferencyjnych goście często łączą się ze sprzętem do prezentacji. Zaplanuj to razem z wyposażeniem sal konferencyjnych.
Bezpieczeństwo
W małych firmach WiFi rzadko zawodzi przez sprzęt. Zawodzą ustawienia. Podstawy wyglądają tak:
- Szyfrowanie. Używaj WPA3. Jeśli w firmie są starsze urządzenia, włącz tryb mieszany WPA2/WPA3. Wyłącz WEP, TKIP i WPS. Sieć chroniona hasłem w paśmie 6 GHz wymaga WPA3.
- Logowanie pracowników. W większej firmie zamiast wspólnego hasła stosuj WPA3-Enterprise z 802.1X i serwerem RADIUS. Każdy loguje się własnym kontem lub certyfikatem. Gdy ktoś odchodzi, wyłączasz jedno konto, a reszta firmy nie zmienia haseł.
- Wspólne hasło. Jeśli zostajesz przy WPA3-Personal, ustaw długie hasło i zmieniaj je po odejściu pracownika.
- Segmentacja. Oddziel VLAN-ami pracowników, gości, drukarki, kamery i zarządzanie siecią, a ruch między nimi kontroluj na firewallu.
- Administracja. Zmień domyślne hasła, włącz MFA na koncie kontrolera w chmurze i dopuszczaj panel administracyjny tylko z sieci zarządzającej.
- Aktualizacje. Regularnie aktualizuj oprogramowanie access pointów, switchy i firewalla.
- Fałszywe punkty dostępowe. Jeśli kontroler wykrywa obce access pointy podszywające się pod twoją sieć, włącz powiadomienia.
Ukryta nazwa sieci i filtrowanie adresów MAC dają poczucie bezpieczeństwa, ale oba łatwo obejść. Ten czas lepiej poświęcić na szyfrowanie, segmentację i aktualizacje.
Sieć w małym biurze: przykładowy zestaw
Sieć w małym biurze na jednym piętrze, z kilkunastoma osobami i salą konferencyjną, składa się zwykle z pięciu elementów. Liczbę access pointów potwierdzą dopiero plan i pomiar.
| Element | Przykładowa ilość | Na co zwrócić uwagę |
|---|---|---|
| Firewall lub router z funkcjami firewall | 1 | przepustowość z włączonymi funkcjami ochrony, VPN dla pracy zdalnej |
| Switch zarządzalny PoE | 1 | liczba portów PoE+, łączny budżet mocy, porty 2,5GbE dla access pointów |
| Access point sufitowy | 2–3 | WiFi 6 lub nowszy, osobny punkt w sali konferencyjnej |
| Kontroler | 1, w chmurze, na konsoli lub w firewallu | jeden panel dla całej sieci |
| Okablowanie | jeden kabel do każdego access pointu | kategoria kabla dopasowana do planowanej prędkości |
Technocenter dobiera i dostarcza sprzęt sieciowy w konfiguracji fabrycznej. Okablowania, montażu ani konfiguracji sieci nie wykonujemy. Tym zajmuje się twój dział IT albo firma instalacyjna.
Jeśli urządzasz nowe biuro, sprzęt sieciowy możesz zamówić razem z resztą wyposażenia w ramach usługi wyposażenie biura. Za firewall, switch i access pointy dostajesz jedną fakturę VAT, także gdy są różnych marek. Pozycje dostępne od ręki, zamówione do 16:00, dowozimy w Polsce następnego dnia roboczego. Termin pozostałych podajemy w ofercie.
Wyślij plan biura
Załącz rzut pomieszczeń, napisz, ile osób i urządzeń korzysta z sieci, i zaznacz salę konferencyjną. Zaproponujemy liczbę access pointów i switch z odpowiednim budżetem PoE.