MikroTik для офиса и склада: VLAN, оптика и выбор CCR

Сеть «офис + склад» проектируют как два интернета в одном шкафу: бухгалтерия в 1С, Wi-Fi гостям в переговорке, на складе — ТСД по Wi-Fi, камеры на PoE, а между корпусами — оптика, которую режет один broadcast шторм от дешёвого свитча в ангаре. Потом главбух жалуется на обрывы RDP, а начальник склада — что терминалы «висят», хотя канал 500 Мбит «никто не грузит».

Ниже — как собрать ядро MikroTik для объекта офис + склад: разделение VLAN, маршрутизация между корпусами, firewall между учёткой и цехом, выбор CCR под медь и под оптику. Модели — в наличии на AFOX.SU. Сравнение CCR1009 и CCR2004 по железу — в отдельном материале; PoE на складе — в гайде по PoE; здесь — топология двух зданий.

Типовая топология: что где висит

Ядро — один маршрутизатор с firewall, не «склад в том же L2, что офис, потому что так проще». Принципы VLAN — в гайде по сегментации.

CCR1009 — офис и склад на одной площадке

7× Gigabit RJ45, 1× SFP/RJ45 combo, 2 ГБ RAM, Rack 19″ — ≈ 68 000 ₽, 24 шт. в наличии. Удобен, когда аплинк и пользователи на меди: офисный коммутатор в порт 2–6, складской линк в SFP combo, интернет на ether1.

Плюсы: много RJ45 без SFP-зоопарка; хватает RAM под firewall rules, NAT, WireGuard для удалённого доступа директора; PoE-out на порт (для одной AP — мелочь, но приятно).

Минусы: нет нативных 10G SFP+ — межкорпусная оптика 10G упрётся в 1G SFP; CPU слабее CCR2004 под сотни тысяч conntrack при агрессивном торрент-трафике в гостевой VLAN (гостей режьте политиками).

Кому: SMB офис + склад в радиусе одного ЛЭП, до 100–150 пользователей и ТСД, канал до 500 Мбит.

CCR2004 — два корпуса, 10G и запас роста

1× Gigabit + 12× SFP+ + 2× 25G SFP28, 4 ГБ RAM, AL32400 4-core — 10 шт. в наличии. Логика обратная CCR1009: медь — минимум, оптика — основа.

Плюсы: 10G линк на складской коммутатор без узкого горлышка; 4 ГБ RAM — запас под BGP (если появится), тяжёлый VPN, несколько сотен правил firewall; CPU тянет шейпинг и очереди при пике WMS.

Минусы: один RJ45 — офис без свитча не подключить; нужны SFP+ модули и навык RouterOS; цена входа выше, окупается на объекте с оптикой, а не с «пятью патч-кордами в роутер».

Кому: логистический хаб, производство + административный корпус, интегратор с фиксированной схемой «оптика между зданиями».

Коммутатор доступа: UniFi Switch Pro 24

На MikroTik CRS в текущей поставке AFOX.SU выбор ограничен — для офисного L2 с 24 медными портами и 2× 10G uplink к CCR2004 подойдёт UniFi Switch Pro 24 (без PoE, 5 шт.). PoE-камеры склада — на отдельном USW-Pro-24-POE в VLAN 40.

Плюсы: 10G SFP+ к ядру; VLAN 802.1Q; не смешиваете пользовательский трафик и PoE-бюджет в одном устройстве.

Минусы: второй вендор в схеме; контроллер UniFi — отдельная точка администрирования.

Firewall: минимальные правила между офисом и складом

На RouterOS (упрощённо):

• VLAN 10 → VLAN 20: разрешить 1С-порты, RDP к терминалу, DNS/NTP;
• VLAN 30 (ТСД) → VLAN 20: только WMS/API, не весь SMB;
• VLAN 40 (видео): изоляция — нет входящих из VLAN 10/30; просмотр NVR — через VPN или проброс только к NVR;
• VLAN 50 (гости): masquerade в WAN, drop к RFC1918;
• Склад → интернет: обновления ТСД по расписанию, не полный доступ в VLAN 10.

Логируйте drop на правилах между VLAN 10 и 30 первые две недели — найдёте «забытый» старый сервер печати в складе.

Межкорпусная связь

Расстояние 200–800 м — одномодовая оптика в гофре/кабельной канализации, не Wi-Fi мост «пока сработает». На CCR2004 — SFP+ 10G; на CCR1009 — 1G combo SFP достаточно для 4–8 камер и 20 ТСД, если видео не гоните через тот же туннель без приоритизации.

Резерв: второй линк LTE/4G на отдельном интерфейсе только для VPN админа, не как основной канал склада.

Типичные ошибки «офис + склад»

• Один L2 на 500 портов — шторм с ангара валит 1С в офисе;
• CCR2004 без свитчей — некуда подключить медь;
• CCR1009 как «10G ядро» — SFP только 1G;
• Камеры и ТСД в одной Wi-Fi сети — конфликты и дыры;
• Нет документации VLAN — через год «никто не знает, зачем VLAN 30».

Матрица выбора

Итог

Объект «офис + склад» держится на сегментации и правильном ядре, а не на «одном мощном роутере». CCR1009 — медь и компактная площадка; CCR2004 — оптика между корпусами и запас по CPU/RAM. Коммутаторы доступа (в т.ч. UniFi Pro 24 / Pro 24 PoE) разделяют пользователей, ТСД и камеры. Спроектируйте VLAN до прокладки кабеля — переделка дешевле только в презентации подрядчика.