Sieć w biurze i open space dla 30-200 osób: Wi-Fi, VLAN-y i okablowanie w UniFi

Sieć dla biura na 30-200 osób to już nie rozbudowana sieć domowa. Pracują tu telefony IP, drukarki, sale spotkań z ekranami, goście, serwery, kamery i kontrola dostępu, a przerwa w działaniu kosztuje realne pieniądze. UniFi dobrze nadaje się do takiego zadania, ale o sukcesie decydują rzeczy wykonane przed zakupem sprzętu: okablowanie, plan pokrycia i podział na sieci logiczne.

Ten poradnik opisuje architekturę dla typowego biura: jedno lub dwa piętra, open space plus sale, szafa w serwerowni lub węźle piętrowym. To punkt wyjścia, nie projekt wykonawczy. Dla budynków o skomplikowanej geometrii, z betonowymi przegrodami lub powyżej około 100-150 urządzeń na piętro warto zlecić projekt integratorowi (więcej w sekcji o granicach tego poradnika). Podobne zagadnienia w innych obiektach opisują poradniki o sieci w hotelu i sieci w centrum konferencyjnym.

UDM Pro MaxBrama, zapora i kontroler w szafieUSW Pro Max 24 PoESwitch dostępowy PoE dla biurek i APU7 ProPunkt dostępowy do sufitu open spaceU7 Pro WallPunkt dostępowy do sal i pokoi

Krótko: architektura referencyjna

• Brama i zapora w szafie (klasa UDM-Pro-Max lub mocniejsza), dwa łącza WAN.
• Switch dostępowy PoE w każdej szafie piętrowej, z łączem 10G do rdzenia.
• Punkty dostępowe Wi-Fi na suficie, zasilane PoE, gęstość liczona na osoby i metry.
• VLAN-y per funkcja: pracownicy, goście, VoIP, drukarki, serwery, kamery, kontrola dostępu, zarządzanie.
• RADIUS do logowania pracowników na Wi-Fi kontem firmowym zamiast wspólnego hasła.
• UPS na całą szafę i monitoring konfiguracji z kopią zapasową.

Okablowanie: 80% jakości sieci

Wi-Fi jest tak dobre, jak kabel za nim. Zasady, które sprawdzają się w biurach:

• Biurko: minimum dwa punkty RJ45 na stanowisko (komputer plus telefon lub drugie urządzenie). Dołożenie gniazda w trakcie budowy kosztuje niewiele, po wprowadzeniu się firmy znacznie więcej.
• Punkt dostępowy: osobny kabel na każdy AP, prowadzony do sufitu. Dla Wi-Fi 7 zaplanuj kabel Cat6A, bo część AP ma port 2.5G, a okablowanie układa się raz na kilkanaście lat. Szczegóły w poradniku okablowanie Cat6 i Cat6A pod PoE.
• Kable zapasowe: jeden dodatkowy kabel w miejscach, gdzie później może przybyć punkt dostępowy lub kamera.
• Długość: limit 90 m w ciągu stałym plus 10 m na patchcordy.
• Dokumentacja: każde gniazdo i każdy port panelu numerowane tak samo. Bez tego pierwsza awaria zamienia się w poszukiwanie kabla.

Panel krosowy w szafie ułatwia porządek i późniejsze zmiany; więcej akcesoriów w kategorii szafy rack.

Wi-Fi: gęstość AP i plan kanałów

Liczba punktów dostępowych wynika z dwóch ograniczeń: zasięgu i pojemności. Pierwsze liczy się w metrach, drugie w osobach.

Reguła kciuka dla open space: jeden AP na około 50-70 m2 przy typowej pracy biurowej i nie więcej niż 25-40 aktywnych urządzeń na jeden AP. Jedna osoba ma zwykle 2-3 urządzenia (laptop, telefon, czasem tablet), więc 100 osób to realnie 200-300 klientów Wi-Fi, czyli kilkanaście punktów dostępowych, nie trzy. Wartości katalogowe (np. 115 m2 dla U7 Lite lub 140 m2 dla U7 Pro) to zasięg w warunkach idealnych, nie plan dla biura z przegrodami i wideokonferencjami. To szacunek wyjściowy: ostateczną liczbę potwierdza site survey.

Co ma znaczenie dla dobrego planu:

1. Mniejsza moc, więcej AP. W gęstym biurze lepiej zmniejszyć moc nadawania i dodać AP, niż mieć mało punktów na maksymalnej mocy. Unika się wtedy zakłóceń między sąsiadami.
2. Pasmo 2.4 GHz ma tylko trzy niezachodzące kanały (1, 6, 11), więc w open space często wyłącza się je na części AP lub dla pracowników w całości. Zostaje dla urządzeń, które innego pasma nie obsługują.
3. Pasmo 5 GHz z szerokością kanału 40 MHz (czasem 20 MHz) przy gęstym rozmieszczeniu daje stabilniejsze wyniki niż 80 MHz, które szybko się wyczerpuje.
4. Pasmo 6 GHz ma dużo szerokich kanałów i mało zakłóceń, ale korzystają z niego tylko nowsze urządzenia. U7 Pro je obsługuje, więc to dobry wybór do sufitu open space.
5. Sale spotkań to osobny problem: kilkanaście osób na wideokonferencji w jednym pokoju obciąża AP bardziej niż cały open space. Daj tam własny punkt, a w mniejszych pomieszczeniach rozważ model ścienny.

Dobór kanałów i szerokości omawia poradnik planowanie kanałów Wi-Fi, a projekt pokrycia w praktyce projekt Wi-Fi i site survey w biurze. Przy kilkudziesięciu urządzeniach na piętro zrób site survey zamiast zgadywać. O wyborze między generacjami Wi-Fi pisze Wi-Fi 6, 6E czy Wi-Fi 7.

Roaming w praktyce

Pracownicy chodzą z telefonem i laptopem po piętrze, więc przełączanie między AP powinno być niezauważalne. W ustawieniach sieci Wi-Fi (nazwy zależą od wersji aplikacji UniFi Network) sprawdź opcje szybkiego roamingu: 802.11r, 802.11k i 802.11v. Trzy zastrzeżenia:

• 802.11r bywa problematyczne ze starszymi urządzeniami. Włącz, przetestuj na reprezentatywnych klientach, a w razie kłopotów wyłącz.
• Wspólne SSID na wszystkich AP w obrębie piętra to warunek płynnego roamingu. Nie dubluj nazw SSID z różnymi hasłami.
• Funkcje typu band steering i minimalna szybkość pomagają odciągać klientów od odległych AP, ale zbyt agresywne ustawienia powodują rozłączenia. Zmieniaj po jednej opcji i obserwuj.

Szczegóły ustawień: roaming 802.11r, k i v w biurze.

VLAN-y i strefy zapory

W biurze segmentacja to podstawa bezpieczeństwa i porządku. Przykładowy podział:

Zasada: domyślnie blokuj ruch między strefami, a dopuszczaj tylko to, co potrzebne. UniFi pozwala grupować sieci w strefy (zależnie od wersji Network: Zone-Based Firewall) i pisać reguły między strefami zamiast między pojedynczymi sieciami. Przykłady reguł: zone-based firewall, przykłady reguł. Podstawy VLAN-ów opisuje VLAN-y w UniFi, a telefony IP VLAN dla telefonii VoIP.

Częste potknięcia: drukarki w innej podsieci niż użytkownicy bez reguły dla mDNS lub bez wpisu IP, telefony VoIP bez priorytetu QoS oraz kamery z dostępem do internetu tylko dlatego, że tak było domyślnie.

RADIUS i WPA-Enterprise

Jedno wspólne hasło do Wi-Fi w firmie ma wady: pracownik odchodzi, hasło zostaje, a zmiana oznacza ponowne logowanie wszystkich urządzeń. WPA-Enterprise (802.1X) zastępuje je logowaniem kontem użytkownika.

• Potrzebny jest serwer RADIUS: wbudowany w UniFi (do mniejszych wdrożeń) albo zewnętrzny (FreeRADIUS, NPS w Windows Server, usługi chmurowe powiązane z katalogiem użytkowników).
• Przy kilkudziesięciu osobach i więcej, z Active Directory lub Entra ID, zewnętrzny RADIUS powiązany z katalogiem jest wygodniejszy: konto wyłączone w katalogu traci dostęp do Wi-Fi.
• Certyfikat serwera RADIUS musi być zaufany na urządzeniach, inaczej użytkownicy zobaczą ostrzeżenia lub zaakceptują fałszywą sieć.

Wdrożenie krok po kroku: RADIUS i WPA-Enterprise w UniFi. Konfiguracja certyfikatów i katalogu to zadanie dla administratora IT lub integratora.

Switch dostępowy, budżet PoE i backbone 10G

W biurze PoE zasila punkty dostępowe, telefony IP, kamery i czytniki. Policz sumę poboru, nie tylko liczbę portów: budżet PoE switcha to limit dla wszystkich urządzeń razem. Metoda w poradniku budżet PoE.

Typowy układ dla biura 30-200 osób: switch dostępowy PoE w każdej szafie piętrowej, rdzeń w serwerowni, łącza 10G między piętrami. Przykładowo USW-Pro-Max-24-PoE obsłuży biurka i AP jednego piętra, a USW-Pro-XG-8-PoE sprawdzi się tam, gdzie potrzebne są porty 10G z PoE. Przed zakupem sprawdź budżet i liczbę portów na karcie producenta (techspecs.ui.com). Wybór wśród switchy: switche 24 porty PoE, wersje zwykła, Pro i Pro Max.

Łącza między piętrami to najczęściej światłowód wielomodowy, a w obrębie jednej szafy kabel DAC. Do spinania wielu switchy piętrowych w rdzeń służy switch agregacyjny SFP+:

Więcej o 10G: sieć 10G w UniFi: SFP, DAC i światłowód. Przy kilku piętrach zadbaj o redundancję: dwa łącza w LAG i poprawnie ustawiony STP, żeby awaria jednego kabla nie wyłączyła piętra (LAG i STP w UniFi).

Zapora, VPN i dwa łącza WAN

Brama klasy UDM-Pro-Max obsługuje sieć dla kilkudziesięciu do kilkuset osób, zależnie od włączonych funkcji.

• IDS/IPS i filtrowanie obciążają procesor. Włączenie ich przy szybkim łączu potrafi obniżyć przepustowość, więc sprawdź dane producenta i przetestuj na własnym ruchu. Przy bardzo szybkich łączach i dużej liczbie użytkowników lepiej wziąć mocniejszą bramę lub dedykowany firewall.
• VPN dla pracowników zdalnych: WireGuard lub OpenVPN na bramie. Dla większej liczby zdalnych użytkowników rozważ rozwiązanie z centralnym zarządzaniem tożsamością. Opis: VPN w UniFi: WireGuard, Teleport i site-to-site.
• Multi-WAN: dwa łącza od różnych operatorów z failoverem lub podziałem ruchu. Dobrym łączem zapasowym bywa LTE lub 5G: multi-WAN i failover LTE.

Kiedy zapora zarządzana (dedykowany firewall innego producenta lub usługa zarządzana) jest sensowniejsza: gdy masz wymagania zgodności (audyt, certyfikacje), potrzebujesz inspekcji TLS na dużą skalę, klastra wysokiej dostępności albo przepływu powyżej możliwości bramy. UniFi jest bardzo dobre jako sieć dostępowa, a w tych przypadkach warto zapytać integratora.

Access i Protect w biurze

Kontrola dostępu i monitoring często dochodzą do projektu w trakcie. Zaplanuj je od początku, bo wymagają kabli i zasilania.

• UniFi Access: UA-HUB steruje zamkami i czytnikami, UA-G2 to czytnik. Drzwi wejściowe i serwerownia to typowe początki. Zasilanie zamków i zachowanie po zaniku prądu to decyzja projektowa, nie ustawienie w aplikacji.
• UniFi Protect: rejestrator w serwerowni (np. UNVR-Pro), kamery w osobnym VLAN-ie. Dobór kamer: kamery UniFi G5, retencja: Protect, retencja nagrań i dobór dysku. Ten sam rejestrator opisuje poradnik o sieci na stadionie i monitoringu.

Uwaga w skrócie: kamery kieruj tylko na własny teren, a pracowników informuj o monitoringu zgodnie z obowiązującymi przepisami. W razie wątpliwości skonsultuj się z prawnikiem.

Szafa, zasilanie awaryjne i UPS

Szafa to serce sieci: brama, switche, rejestrator, panel krosowy i listwa zasilająca. UPS powinien utrzymać co najmniej bramę, rdzeń i switche zasilające telefony i AP przez czas, który uznasz za potrzebny (od kilkunastu minut do godziny). Dobierz moc UPS do sumy poboru razem z PoE, nie tylko do sprzętu w szafie. Pamiętaj, że UPS w szafie nie zasila komputerów na biurkach, więc o czasie podtrzymania decyduje to, co realnie musi działać podczas awarii.

Redundantne zasilanie bramy zapewnia moduł USP-RPS:

Planowanie szafy: szafa rack dla UniFi. Gdzie szukać urządzeń: switche PoE, bramy UDM, Wi-Fi 7.

Monitoring, kopie i plan rozwoju

• Monitoring: aplikacja UniFi Network pokazuje klientów, obciążenie AP i błędy. Dla większej firmy dodaj powiadomienia i zewnętrzny monitoring (SNMP, syslog): monitorowanie UniFi, SNMP i syslog.
• Kopie konfiguracji: automatyczny backup na zewnętrzny nośnik lub do chmury oraz eksport po każdej większej zmianie. Przetestuj odtworzenie przynajmniej raz: backup i przywracanie konfiguracji UniFi.
• Aktualizacje: okno serwisowe poza godzinami pracy i plan wycofania zmian.
• Rozwój: zostaw wolne porty (20-30% zapasu w switchach), wolne miejsce w szafie, zapas PoE i adresów IP w podsieciach. Biuro rośnie szybciej, niż zakłada pierwszy projekt.

Gdzie kończy się ten poradnik

To ogólne zasady, nie projekt. Zalecamy konsultację z integratorem, gdy:

• budynek ma kilka pięter i skomplikowany układ przegród,
• potrzebujesz certyfikacji lub zgodności (np. regulacje branżowe),
• planujesz kilkaset urządzeń na jedno piętro,
• wymagana jest wysoka dostępność (klaster, dwa niezależne rdzenie),
• brakuje w firmie osoby, która utrzyma sieć po wdrożeniu.

Dane techniczne zawsze weryfikuj w kartach producenta (techspecs.ui.com), bo możliwości zależą od modelu i wersji oprogramowania.

Najczęstsze błędy

1. Za mało AP, ustawionych na maksymalną moc i szerokie kanały.
2. Brak zapasowych kabli i gniazd na biurkach.
3. Jedno hasło Wi-Fi dla wszystkich pracowników na lata.
4. Brak segmentacji: kamery i drukarki w tej samej sieci co serwery.
5. Brak UPS lub UPS za mały na zasilanie z PoE.
6. Brak kopii konfiguracji.

Jeśli planujesz sieć dla biura i chcesz skonsultować dobór sprzętu, napisz do nas. Mniejsze biuro opisuje zestaw UniFi dla biura na 10 osób, a o przemysłowym otoczeniu pisze sieć w hali produkcyjnej.

Przygotowane przez AI, zredagowane przez człowieka