Локальная вычислительная сеть (ЛВС) — это фундамент современной IT-инфраструктуры любой организации. От стабильности и грамотного проектирования сети зависит бесперебойная работа бизнес-процессов‚ безопасность данных и эффективность сотрудников. Данное пособие систематизирует ключевые аспекты создания‚ настройки и эксплуатации локальных сетей‚ опираясь на актуальные стандарты и лучшие практики.

Основные понятия и модели

Определение и цели ЛВС

Локальная вычислительная сеть (ЛВС), это система взаимосвязанных компьютеров и периферийного оборудования‚ объединенных каналами связи на ограниченной территории (внутри одного здания‚ корпуса или группы зданий) для совместного доступа к ресурсам (файлам‚ принтерам‚ приложениям‚ интернету).

Ключевые цели построения ЛВС:

• Обеспечение совместного доступа к информационным ресурсам и базам данных;
• Централизованное управление программным обеспечением и обновлениями.
• Организация общего доступа к периферии (принтеры‚ сканеры‚ накопители).
• Обеспечение внутренней коммуникации (почта‚ мессенджеры‚ видеосвязь).
• Единая точка выхода в глобальные сети (Интернет) с контролем трафика.

Эталонные модели: OSI и TCP/IP

Понимание сетевых моделей необходимо для диагностики и проектирования.

Модель OSI (7 уровней)

1. Физический (Physical): Кабели‚ разъемы‚ сигналы (биты).
2. Канальный (Data Link): MAC-адресация‚ коммутация (Ethernet‚ Wi-Fi)‚ кадры.
3. Сетевой (Network): IP-адресация‚ маршрутизация (IP‚ ICMP)‚ пакеты.
4. Транспортный (Transport): Доставка данных портам (TCP‚ UDP)‚ сегменты.
5. Сеансовый (Session): Управление сессиями соединений.
6. Представления (Presentation): Шифрование‚ сжатие‚ кодировка (SSL/TLS‚ JPEG).
7. Прикладной (Application): Интерфейс для пользователя (HTTP‚ DNS‚ DHCP‚ SMTP).

Модель TCP/IP (4 уровня) — практический стандарт Интернета

• Сетевой интерфейс (объединяет Физический и Канальный OSI).
• Интернет (Internet) — IP‚ ICMP‚ ARP.
• Транспортный, TCP (надежная)‚ UDP (быстрая).
• Прикладной — HTTP/HTTPS‚ FTP‚ SSH‚ DNS‚ DHCP‚ SNMP.

Физическая топология и кабельная система (СКС)

Топологии сети

Выбор топологии влияет на отказоустойчивость‚ стоимость и сложность монтажа.

• Звезда (Star): Все узлы подключены к центральному коммутатору. Стандарт де-факто для современных ЛВС. Высокая надежность: разрыв кабеля затрагивает только одну станцию.
• Шина (Bus) / Кольцо (Ring): Устарели для медных сред (коаксиальный кабель‚ Token Ring). Используются в специфических промышленных сетях или оптоволоконных кольцах (GPON‚ Metro Ethernet) для резервирования.
• Ячеистая (Mesh): Каждый узел связан со многими другими. Применяется в беспроводных сетях (Wi-Fi Mesh) и магистралях для максимальной отказоустойчивости.
• Дерево (Tree) / Иерархическая: Комбинация «звезд». Основа корпоративных сетей (Ядро -> Распределение -> Доступ).

Структурированная кабельная система (СКС)

СКС — это унифицированная система кабелей‚ разъемов и крепежа‚ обеспечивающая передачу голоса‚ данных‚ видео.

Подсистемы СКС (по ISO/IEC 11801‚ TIA/EIA-568):

• Внешняя (Подземная/Воздушная): Ввод в здание.
• Вводная: Заземление‚ защита от перенапряжений.
• Магистральная (Backbone): Соединяет серверные‚ распределительные шкафы‚ этажи. Требует высокопроизводительного кабеля (оптоволокно OM3/OM4/OS2‚ витая пара Cat.6A/7/8).
• Горизонтальная (Horizontal): От коммутатора этажа до розетки рабочего места (макс. 90 м кабеля + 10 м патч-шнуров). Стандарт — Cat.6A (Class EA) для новых прокладок (поддержка 10GBASE-T до 100 м).
• Рабочая область: Патч-шнуры‚ адаптеры.

Категории витой пары (актуальные):

Активное оборудование

Коммутаторы (Switches) — сердце ЛВС

Выбор зависит от уровня модели OSI и роли в иерархии:

• L2 (Канальный уровень): Коммутация по MAC-адресам. VLAN‚ STP/RSTP/MSTP‚ Link Aggregation (LACP)‚ PoE/PoE+/PoE++ (802.3af/at/bt). Уровень Доступа (Access).
• L3 (Сетевой уровень): Маршрутизация между VLAN (Inter-VLAN Routing)‚ статическая маршрутизация‚ OSPF‚ BGP‚ VRRP/HSRP (резервирование шлюза). Уровень Распределения (Distribution) и Ядро (Core).
• Управляемые (Managed) vs Неуправляемые (Unmanaged): Для бизнеса только управляемые (SNMP‚ Syslog‚ Port Mirroring‚ QoS‚ Security).

Маршрутизаторы и Межсетевые экраны (Firewalls)

• Обеспечивают выход во внешние сети (Интернет‚ VPN филиалов).
• Функции: NAT‚ Stateful Inspection‚ IPS/IDS‚ Application Control‚ SSL Inspection‚ SD-WAN.

Точки доступа (Wireless Access Points)

• Стандарты: Wi-Fi 6 (802.11ax) / Wi-Fi 6E (6 ГГц) / Wi-Fi 7 (802.11be).
• Архитектура: Автономные (Fat AP) или Управляемые (Fit/Thin AP) через контроллер (WLC) или облако (Cloud-managed). Для предприятий — только централизованное управление.
• Расчет покрытия: Site Survey (предварительный и верификационный)‚ учет материалов стен‚ плотности клиентов (High Density).

Проектирование ЛВС: Этапы и Методология

Как отмечается в методических материалах (Васяева Н.С. и др.)‚ проектирование — это создание документа‚ описывающего структуру‚ топологию‚ размещение оборудования и характеристики каналов.

Этап 1: Сбор требований и аудит (Planning)

• Количество пользователей и устройств (текущее + прогноз на 3-5 лет).
• Типы трафика: Данные (файлы‚ БД)‚ Голос (IP-телефония)‚ Видео (конференции‚ видеонаблюдение)‚ Промышленный (IoT‚ SCADA).
• Требования к доступности (SLA): 99.9% / 99.99% / 99.999% (влияет на резервирование).
• Безопасность: Сегментация (PCI DSS‚ 152-ФЗ‚ Гостайна)‚ изоляция гостевой сети‚ NAC (Network Access Control).
• Интеграция: Связь с филиалами (VPN‚ MPLS‚ SD-WAN)‚ облаками‚ ЦОД.

Этап 2: Логическое проектирование

• IP-адресация (IPAM): Планирование подсетей (VLSM)‚ выделение VLAN для отделов‚ серверов‚ управления (Management)‚ DMZ‚ VoIP‚ IoT‚ Guest.
• Стратегия VLAN: 1 VLAN = 1 подсеть IP = 1 broadcast-домен. Использование Private VLAN для изоляции портов доступа.
• Протоколы резервирования: VRRP/HSRP для шлюзов‚ VRRPv3 для IPv6.
• QoS (Quality of Service): Классификация (DSCP/CoS)‚ очереди (Priority Queuing‚ CBWFQ)‚ полисинг/шейпинг для голоса/видео.

Этап 3: Физическое проектирование

• Расстановка серверных и распределительных шкафов (Rack layout).
• Маршрутизация кабельных лотков/труб (Separation: Power vs Data).
• Расчет тепловыделения и вентиляции (BTU)‚ питания (UPS‚ PDU‚ резервирование N+1‚ 2N).
• План маркировки (TIA-606): Кабели‚ патч-панели‚ розетки‚ порты коммутаторов.

Этап 4: Выбор оборудования (BOM, Bill of Materials)

• Сопоставление портов (Access: 24/48 портов PoE+; Aggregation: 10/25/40/100G uplink; Core: 100/400G).
• Лицензирование (DNA Essentials/Advantage‚ Aruba Central‚ Meraki Co-term).
• Сроки поставки (Lead time) и жизненный цикл (EoS/EoL).

Этап 5: Документирование и сдача

• Схемы L1 (физика)‚ L2 (VLAN‚ STP)‚ L3 (IP‚ Routing).
• Журнал кабелей (Cable Schedule)‚ отчеты сертификатора (Fluke DSX/Versiv);
• Конфигурационные файлы (Running-config)‚ инструкции по эксплуатации.

Ключевые сетевые сервисы и протоколы

DHCP (Dynamic Host Configuration Protocol)

• Централизованная раздача IP‚ маски‚ шлюза‚ DNS‚ NTP‚ WPAD.
• Резервирование: DHCP Failover (Hot Standby / Load Balance) или кластер Windows DHCP / Kea / ISC-DHCP.
• Option 82 (Relay Agent Information) для безопасности и учета в коммутаторах.

DNS (Domain Name System)

• Внутренний DNS (AD Integrated / BIND / PowerDNS) для разрешения локальных имен.
• Условная переадресация (Conditional Forwarders) для партнерских доменов.
• DNSSEC‚ DANE‚ Response Policy Zones (RPZ) для блокировки вредоносных доменов.

NTP (Network Time Protocol) / PTP (Precision Time Protocol)

• Синхронизация времени критична для Kerberos‚ логов (SIEM)‚ биллинга‚ торговли.
• Стратум 1 (GPS/GLONASS) -> Стратум 2 (Core) -> Стратум 3 (Access/Clients).
• PTP (IEEE 1588v2) для микросекундной точности (финансы‚ телеком‚ промышленность).

Сетевое управление и мониторинг

• SNMP v3 (AuthPriv) + Telemetry (gNMI‚ NETCONF/YANG‚ Streaming Telemetry) для современного мониторинга.
• Сбор логов: Syslog (RFC 5424) -> SIEM / Log Collector (ELK‚ Splunk‚ Graylog).
• Мониторинг доступности: ICMP‚ SNMP‚ HTTP API (Zabbix‚ Prometheus/Grafana‚ PRTG‚ SolarWinds).
• Автоматизация: Ansible‚ NetBox (IPAM/DCIM)‚ Nautobot‚ Terraform (Network as Code).

Безопасность ЛВС (Network Security)

Безопасность строится по принципу Defense in Depth (Многоуровневая защита) и Zero Trust.

Сегментация и изоляция

• VLAN / VRF / VXLAN / EVPN для разделения трафика арендаторов/отделов.
• ACL (Access Control Lists) на L3-интерфейсах и VLAN ACL (VACL).
• Micro-segmentation (Cisco ACI‚ VMware NSX‚ Illumio), политики доступа до уровня отдельного процесса/VM.

Контроль доступа к сети (NAC / 802.1X)

• Аутентификация: EAP-TLS (сертификаты — золотой стандарт)‚ PEAP-MSCHAPv2 (логин/пароль)‚ MAB (MAC Authentication Bypass) для принтеров/IoT.
• Профили доступа: VLAN Assignment‚ dACL (Downloadable ACL)‚ SGT (Security Group Tags / TrustSec).
• Posture Assessment (проверка антивируса‚ обновлений‚ дискового шифрования) перед выдачей полного доступа.

Защита инфраструктуры (Infrastructure Protection)

• Port Security / Sticky MAC: Ограничение количества MAC на порту.
• DHCP Snooping + DAI (Dynamic ARP Inspection) + IP Source Guard: Защита от MITM‚ DHCP Spoofing‚ ARP Poisoning.
• BPDU Guard / Root Guard / Loop Guard: Защита STP от неавторизованных коммутаторов и петель.
• Control Plane Policing (CoPP): Защита CPU коммутатора от флуда.
• Encrypted Management: Только SSH v2‚ HTTPS (TLS 1.2/1.3)‚ SNMPv3‚ gRPC/TLS. Запрет Telnet‚ HTTP‚ SNMPv1/v2c.

Защита от DDoS и аномалий трафика

• Storm Control (Broadcast/Multicast/Unicast) на портах доступа.
• Flow Monitoring (NetFlow/IPFIX/sFlow) для детектирования аномалий.
• Интеграция с периметровым Anti-DDoS (набор scrubbing-центров).

Беспроводные сети (Wi-Fi) — лучшие практики

• Дизайн: Predictive Design (Ekahau‚ AirMagnet‚ Hamina) -> AP-on-a-stick -> Post-deployment Validation.
• Планирование каналов: Только 20/40/80 МГц каналы в 5/6 ГГц. Избегать 160 МГц в высокой плотности. Отключение 2.4 ГГц там‚ где возможно (IoT оставить на отдельном SSID/VLAN).
• Roaming: 802.11r (FT)‚ 802.11k (Neighbor Report)‚ 802.11v (BSS Transition Management) — обязательно для Voice/Video over Wi-Fi.
• Безопасность: WPA3-Enterprise (SAE / 802.1X). WPA2-Enterprise только для легаси. Отказ от PSK (Pre-Shared Key) в корпоративной среде.
• RF Management: Автоматическая мощность (TPC) и каналы (DCA/RRM)‚ отключение низких скоростей (1‚ 2‚ 5.5‚ 11 Mbps)‚ включение Band Steering / Load Balancing.

Типичные ошибки при проектировании и эксплуатации

1. Игнорирование резервирования: Один коммутатор ядра‚ один линк аплинка‚ один DHCP/DNS сервер. Решение: Dual-homing‚ MC-LAG/vPC/StackWise‚ VRRP‚ Anycast Gateway.
2. Плохая IP-планировка: Использование публичных IP внутри‚ отсутствие суммаризации маршрутов‚ перекрывающиеся подсети при слиянии компаний.
3. Отсутствие управления конфигурациями: Ручная настройка через CLI‚ нет бэкапов‚ нет версионирования (Git). Решение: IaC (Infrastructure as Code)‚ NetBox + Ansible.
4. Недостаточная защита L2: Отсутствие DHCP Snooping‚ DAI‚ Port Security — открывает путь к MITM и DoS.
5. Неучет PoE-бюджета: Покупка коммутаторов без запаса по PoE для точек доступа Wi-Fi 6/7‚ IP-камер‚ панелей управления.
6. Отсутствие документации и маркировки: Увеличивает MTTR (Mean Time To Repair) в разы.
7. Использование потребительского оборудования (SOHO): Домашние роутеры‚ неуправляемые свитчи в серверных/офисах.

Тренды и будущее ЛВС (2024-2026+)

• Wi-Fi 7 (802.11be): 320 МГц каналы‚ MLO (Multi-Link Operation)‚ 4096-QAM — задержки < 1 мс‚ пропускная способность > 30 Гбит/с;
• 2.5G / 5G / 10GBASE-T к рабочему месту: Требования Wi-Fi 7 AP и высокопроизводительных рабочих станций (видеомонтаж‚ CAD‚ AI).
• Intent-Based Networking (IBN) / AI-Driven Operations: Cisco DNA Center / Catalyst Center‚ Juniper Mist AI‚ Aruba Central‚ HPE Aruba Networking Central. Переход от CLI к декларативному описанию «Что нужно»‚ а не «Как настроить».
• Campus Fabric (VXLAN/EVPN): Расширение технологий ЦОД (Leaf-Spine) на кампус для единой политики безопасности и мобильности (L2/L3).
• IoT/OT конвергенция: Перенос промышленных протоколов (PROFINET‚ EtherNet/IP‚ Modbus TCP) в единую корпоративную сеть с жесткой сегментацией (ISA/IEC 62443‚ Purdue Model).
• Устойчивое развитие (Green IT): Energy Efficient Ethernet (EEE)‚ PoE Scheduling (выключение AP/телефонов ночью)‚ оптимизация охлаждения серверных.

Чек-лист приемки готовой ЛВС

Перед подписанием акта сдачи-приемки проверьте:

• [ ] Все кабели пройдены сертификатором (Permanent Link / Channel) по стандарту Cat.6A/Class EA. Отчеты подписаны.
• [ ] Маркировка на обоих концах каждого кабеля‚ патч-панели‚ розеток‚ портов свитчей.
• [ ] Настроены все VLAN‚ IP-подсети‚ DHCP scopes‚ DNS зоны согласно IPAM.
• [ ] Работает резервирование: отключение одного ядра/аплинка/питания не прерывает сервисы (тест Failover).
• [ ] STP/RSTP/MSTP сходится‚ Root Bridge зафиксирован на ядре‚ PortFast/BPDU Guard на доступе.
• [ ] Включены DHCP Snooping‚ DAI‚ IP Source Guard на всех портах доступа.
• [ ] 802.1X (MAB для IoT) работает‚ гостевой доступ изолирован (Captive Portal / Guest VLAN).
• [ ] Wi-Fi: покрытие -67 дБм (Voice) / -65 дБм (Data)‚ Co-Channel Interference (CCI) < -85 дБм‚ SNR > 25 дБ.
• [ ] Мониторинг: все устройства в Zabbix/Prometheus‚ SNMPv3/Telemetry настроены‚ алерты приходят дежурным.
• [ ] Бэкап конфигураций автоматизирован (Git/NetBox/Ansible)‚ есть процедура Disaster Recovery.
• [ ] Проведены нагрузочные тесты (iPerf3‚ TR-398) и тесты безопасности (VAPT, Vulnerability Assessment and Penetration Testing).

Современная ЛВС — это не просто «провода и свитчи»‚ а программно-определяемая‚ безопасная‚ наблюдаемая и автоматизированная платформа для бизнеса. Грамотное проектирование на этапе планирования (учет роста‚ сегментация‚ резервирование) экономит колоссальные средства на переделках и простое в будущем. Непрерывное обучение сетевых инженеров‚ внедрение практик NetDevOps и следование стандартам (ISO/IEC 11801‚ TIA-568‚ IEEE 802.3/802.11/802.1X) — залог надежной инфраструктуры на годы вперед.

Данное пособие носит справочный характер. Для реализации конкретных проектов необходимо обращатся к актуальным нормативным документам (ГОСТ‚ СП‚ ISO/IEC)‚ рекомендациям вендоров (Cisco‚ HPE Aruba‚ Juniper‚ Huawei‚ MikroTik‚ Keenetic и др.) и требованиям регуляторов (ФСТЭК‚ ФСБ‚ 152-ФЗ‚ ГКРЧ).