Ten tekst jest dla firmy, która ma szafę ze sprzętem Cisco, nie ma do niego dokumentacji i szuka kogoś, dla kogo administracja siecią Cisco to codzienna praca, nie zgadywanka.
Cisco w małej firmie rzadko bywa decyzją, częściej spadkiem po poprzednim wykonawcy. Przejęcie zaczyna się od zrzutu konfiguracji wszystkich urządzeń i spisu numerów seryjnych: bez nich nie sprawdzicie ani stanu wsparcia producenta, ani bezpieczeństwa wersji oprogramowania. Przegląd urządzenia to od 1 000 zł netto, stała opieka od 2 000 zł netto miesięcznie za lokalizację.
Kto pojedzie do szafy, jeśli w piątek o siedemnastej padnie przełącznik, do którego nikt nie zna hasła? Odpowiedź kosztuje konkretne pieniądze i konkretny tydzień pracy. Opisujemy pierwszy tydzień przejęcia, jego cenę, moment, w którym uczciwie doradzamy wymianę sprzętu zamiast kolejnego roku łatania, i to, jak potem wygląda administracja siecią Cisco pod naszą opieką.
Telefon zaczyna się zwykle tak samo: Cisco w firmie działa, tylko nikt nie wie, jak ta sieć jest zbudowana, a człowiek, który ją stawiał, nie odbiera.
Dopóki nic się nie psuje, ta wiedza jest niepotrzebna i nikt za nią nie zapłaci. Rachunek przychodzi w dniu awarii i jest liczony w godzinach przestoju, a nie w cenie usługi. Przełącznik z kopią konfiguracji wymienia się w godzinę, ten sam przełącznik bez kopii odtwarza się dzień albo dłużej, bo ustawienia trzeba zrekonstruować z tego, co widać z drugiej strony kabli. Różnica nie bierze się z klasy sprzętu, tylko z tego, czy ktoś kiedyś zapisał plik poza urządzeniem.
Do tego dochodzą trzy koszty, których firma zwykle nie widzi w zestawieniu:
Sieć nieudokumentowana nie jest tańsza. Jest tak samo droga, tylko płaci się za nią w innym momencie i zwykle w gorszym.
Rozdzielamy dwa pytania, bo klienci mieszają je nagminnie. Pierwsze brzmi: czy kupować Cisco. Drugie: co zrobić ze sprzętem, który już stoi, i kto ma dalej prowadzić administrację siecią Cisco. Odpowiedzi bywają przeciwstawne i to jest w porządku.
Odradzamy kupowanie Cisco firmie, która ma jedno biuro, do 25 stanowisk, jedną szafę i nikogo technicznego na miejscu. W takim układzie płacicie za możliwości, których nikt nie użyje, i za sposób pracy, którego nikt u Was nie zna. Proponujemy wtedy prostszy sprzęt zarządzalny, w klasie MikroTika albo UniFi: segmentacja, sieć dla gości, kontrola nad Wi-Fi i przyzwoity firewall brzegowy są tam osiągalne, a panel obsłuży osoba, która nie pracuje w konsoli codziennie. Mówimy to również wtedy, gdy klient przychodzi z gotową decyzją i wyceną od kogoś innego.
Cisco broni się wyżej. Powyżej mniej więcej 50 stanowisk, przy dwóch lokalizacjach, przy telefonii i kamerach zasilanych po kablu, przy wymaganiu, żeby ruch produkcji był oddzielony od ruchu biurowego, i wszędzie tam, gdzie zespół albo dostawca zna konsolę. Osobnym argumentem bywa obowiązek: firma w łańcuchu dostaw podmiotu objętego dyrektywą NIS 2 dostaje od kontrahenta wymagania dotyczące segmentacji i rozliczalności dostępu, a wtedy liczy się to, czy sprzęt potrafi je udokumentować.
Uczciwie o tych dwóch liczbach, bo między nimi zieje dziura i nie jest to przeoczenie. Stanowiska same z siebie nie decydują o niczym - są tylko skrótem myślowym na trzy rzeczy, które decydują naprawdę. Są to: ile jest szaf z aktywnym sprzętem, ile trzeba utrzymać osobnych segmentów ruchu i czy ktokolwiek u Was albo po stronie dostawcy pracuje w tej konsoli częściej niż raz na rok. Firma na 20 stanowisk z halą produkcyjną, kamerami i telefonią bywa trudniejszą siecią niż biuro na 60 osób w jednym open space. Dlatego przedział od 25 do 50 stanowisk zostawiamy pusty świadomie: w nim rozstrzyga odpowiedź na te trzy pytania, a nie liczba biurek. Kto szuka progu opartego na jednej liczbie, dostanie od nas złą radę w połowie przypadków.
Sprzęt, który już stoi, wymieniamy tylko wtedy, gdy jest po co.
Mogę Ci jakoś pomóc?
Sam fakt, że urządzenie ma pięć albo osiem lat, nie jest powodem do wymiany. Przełącznik dostępowy w szafie na parterze może pracować dalej, o ile ktoś zna jego konfigurację i pilnuje, żeby nie był jednocześnie punktem wejścia do sieci. Inaczej patrzymy na urządzenie brzegowe, czyli to, które widzi internet: tam brak poprawek bezpieczeństwa jest ryzykiem, a nie oszczędnością, i mówimy o tym przed wystawieniem oferty na opiekę, a nie po roku współpracy. Nasze wdrożenia sieci opisaliśmy przy wdrożeniu sieci Cisco , a dobór prostszego sprzętu przy projektowaniu sieci .
Zaczynamy od czytania, nie od poprawiania. Poniżej rzeczy, które wracają najczęściej i których nie widać z panelu ani z tego, że sieć chodzi.
Czas, którego nie ma. Urządzenia bez ustawionego serwera czasu prowadzą własne kalendarze, a każde od momentu ostatniego uruchomienia. Wpis w dzienniku przełącznika z jednej szafy i wpis z sąsiedniej pokazują wtedy dwie różne godziny tego samego zdarzenia. Analiza awarii sprowadza się do zgadywania kolejności, więc synchronizacja czasu jest pierwszą rzeczą, którą włączamy, zanim zaczniemy cokolwiek diagnozować.
Korzeń drzewa wybrany przez przypadek. Najpierw, przed czym ten protokół chroni, bo bez tego cały akapit wisi w powietrzu. Jeśli dwa przełączniki połączyć dwoma kablami zamiast jednym, powstaje pętla, a pętla w sieci działa jak dwa lustra ustawione naprzeciw siebie. Pakiet, który ma trafić „do wszystkich”, wraca drugą drogą, zostaje rozesłany ponownie, wraca znowu i w kilkanaście sekund zapełnia sobą całe łącze. Nie pada wtedy jedno urządzenie, tylko przestaje działać cała sieć naraz, bez żadnej awarii sprzętu. Protokół zapobiega temu, wyłączając nadmiarowe drogi, ale żeby zdecydować, które wyłączyć, musi najpierw wskazać urządzenie centralne, czyli główną klatkę schodową budynku.
I tu jest problem. Przy domyślnych ustawieniach wygrywa urządzenie o najniższym adresie sprzętowym, a te przydzielane są rosnąco, więc statystycznie wybiera się najstarszy sprzęt w budynku. Rolę centralną przejmuje wtedy przełącznik, którego nikt do tego nie przeznaczył, i ruch między szafami zaczyna przechodzić przez najsłabsze urządzenie w firmie. Główną klatką schodową zostaje najwęższa. Objawia się to spadkiem prędkości, którego nikt nie umie powiązać z konfiguracją, bo w żadnym dokumencie ta rola nie jest zapisana.
Protokół rozsyłania listy segmentów zostawiony w trybie nadrzędnym na wszystkich urządzeniach. Przełączniki uzgadniają między sobą wspólną listę segmentów i rozstrzygają spory jedną regułą: wygrywa lista z wyższym numerem wersji, bo protokół zakłada, że wyższy numer znaczy nowszy. Numer rośnie przy każdej zmianie i nie zeruje się przy odłożeniu urządzenia do szafy, więc przełącznik leżący od trzech lat w magazynie potrafi mieć numer wyższy niż sprzęt pracujący dziś. Wpięcie go do sieci nadpisuje wtedy listę segmentów w całym budynku, a segmenty, których nie było na tej starej liście, po prostu znikają. To jest ta awaria, która wygląda na atak, a jest skutkiem podłączenia sprzętu znalezionego w magazynie.
Konfiguracja bieżąca różna od zapisanej. Zmiany wprowadzone i nigdy niezatwierdzone znikają przy pierwszym zaniku zasilania, czyli w momencie, gdy akurat wszystko inne też nie działa. Porównanie obu wersji na każdym urządzeniu zajmuje kilkanaście minut i regularnie jest najtańszą rzeczą, jaką robimy pierwszego dnia.
Trunk przepuszczający wszystko. Łącze między przełącznikami skonfigurowane tak, że przenosi każdy segment, kasuje sens segmentacji, którą ktoś wcześniej zaprojektował. Segmentacja istnieje wtedy w dokumentacji i w opisach portów, a nie w ruchu. Opisaliśmy osobno, po co dzieli się sieć w małej firmie i jak to zacząć .
Zarządzanie po nazwie wspólnoty public. Odczyt po protokole zarządzania z domyślnym hasłem to gotowa mapa sieci dla każdego, kto jest już w środku: nazwy urządzeń, wersje, porty, sąsiedzi. Wyłączenie tego albo ograniczenie do adresu serwera monitoringu jest pracą na kilka minut na urządzenie.
Dzienniki zdarzeń trzymane wyłącznie w pamięci urządzenia. Restart czyści je w całości, więc diagnoza awarii, która sama spowodowała restart, zaczyna się od braku danych.
źródło: pexels.comCzego w tym sprzęcie nie lubimy, powiedziane wprost: producent traktuje zwykłe poprawki oprogramowania jak część kontraktu wsparcia, a nie jak część urządzenia, które już kupiliście. Firma, której kontrakt wygasł trzy lata temu, nie zaloguje się na portal i nie pobierze nowszego wydania, choć sprzęt stoi na brzegu jej sieci.
Jest tu jednak wyjątek, o którym trzeba wiedzieć, bo bywa wart konkretnych pieniędzy i mało kto go zna. Producent zapisał w swojej polityce ujawniania podatności , że przy poważnych lukach udostępnia poprawione oprogramowanie także klientom bez kontraktu. Nie pobierzecie go sami z portalu: trzeba napisać do wsparcia technicznego producenta, podać numer seryjny urządzenia i wskazać konkretny komunikat o podatności jako podstawę. Dostajecie wtedy jedno wydanie do jednej sprawy, a nie prawo do aktualizacji w ogóle.
Mogę Ci jakoś pomóc?
Dwa ograniczenia tego wyjątku trzeba postawić obok siebie, bo bez nich brzmi lepiej, niż działa. Dotyczy poważnych podatności, a nie każdej poprawki, więc błąd psujący Wam jedną funkcję zostaje z Wami. I obowiązuje wyłącznie dopóki model nie minął ostatniej daty wsparcia, bo po niej producent nie wydaje już niczego, ani odpłatnie, ani za darmo. Dlatego przy urządzeniu brzegowym liczy się nie tyle kontrakt, ile to, w którym miejscu cyklu życia jest sam model.
Sprzęt z drugiej ręki dziedziczy ten sam problem, a bywa kupowany właśnie dlatego, że jest tani. Do tego dochodzi model licencji, w którym ta sama funkcja na dwóch generacjach urządzeń nazywa się inaczej i kosztuje inaczej, więc porównanie ofert wymaga czytania not katalogowych, a nie cenników.
Kolejność jest ustalona i nie zmieniamy jej pod presją. Najpierw wiemy, co mamy, potem zabezpieczamy dostęp, dopiero na końcu poprawiamy konfigurację. Odwrotna kolejność kończy się zmianą wprowadzoną w środowisku, którego nikt jeszcze nie rozumie.
Przegląd i uporządkowanie jednego urządzenia to około pół dnia pracy, i to jest liczba z naszego cennika, a nie szacunek. Całość przejęcia zależy od liczby urządzeń aktywnych i od tego, czy w ogóle jest do nich dostęp.
Dokumentacji nie przepisuje się z pamięci klienta. Odczytujemy ją z sieci, a potem konfrontujemy z tym, co ludzie pamiętają, bo te dwie wersje zwykle się różnią.
Punktem wyjścia jest to, co urządzenia wiedzą o sobie nawzajem. Protokół wykrywania sąsiadów mówi, który port łączy się z którym urządzeniem, więc schemat połączeń między szafami powstaje bez wchodzenia po drabinie. Tablica adresów sprzętowych i tablica przypisań adresów pokazują, co realnie odzywa się na każdym porcie i od jak dawna. Zestawienie tego z listą segmentów daje obraz sieci taki, jaki jest, a nie taki, jaki miał być według projektu sprzed lat.
Reszty nie da się odczytać zdalnie i nie udajemy, że się da.
Trzeba przejść po szafach z laptopem, opisać gniazda, sprawdzić, gdzie kończy się kabel z portu, który system pokazuje jako aktywny bez żadnego urządzenia po drugiej stronie. Przy okazji wychodzą rzeczy, których nie widać w konfiguracji: przełącznik biurowy postawiony przez dział na własną rękę, kamera wpięta w segment księgowości, patchcord biegnący przez korytarz do sąsiedniego lokalu. Jeśli okablowanie budzi wątpliwości, robimy pomiary torów LAN , bo część problemów zrzucanych na sprzęt kończy się na jednym torze poza normą.
Efektem jest komplet, który przy następnej awarii skraca diagnozę do minut. Składa się z niego: schemat logiczny i fizyczny, opis każdego portu, lista segmentów z adresacją, spis urządzeń z numerami seryjnymi i stanem wsparcia oraz jedna kartka mówiąca, co zrobić, gdy konkretny przełącznik nie wstanie.
źródło: pexels.comKoniec wsparcia nie jest jedną datą i to jest pierwsza rzecz, którą tłumaczymy, bo z tego nieporozumienia biorą się zarówno panika, jak i zbytni spokój.
Najprościej pomyśleć o tym jak o modelu samochodu. Najpierw producent przestaje go produkować, choć salony jeszcze mają egzemplarze na placu. Potem przestaje wydawać biuletyny serwisowe i aktualizacje, więc auto jeździ na tym, co ma. Na końcu zamyka magazyn części i przestaje odbierać telefony, a wtedy każda usterka kończy się złomowaniem. Cisco nazywa te momenty inaczej, ale schemat jest dokładnie ten sam i między pierwszym a ostatnim mijają lata.
Mogę Ci jakoś pomóc?
Ile dokładnie lat, producent zapisał w swojej polityce i te liczby warto mieć w głowie przy planowaniu budżetu:
Praktyczny wniosek jest taki, że urządzenie wycofane ze sprzedaży ma zwykle jeszcze pięć lat spokojnego życia i wymiana go z tego powodu jest wyrzucaniem pieniędzy. Niepokoić ma dopiero zbliżająca się ostatnia data wsparcia, bo po niej nie ma już ani poprawki, ani części, ani rozmowy, i nie zmieni tego żadna dopłata. Pięć lat to akurat tyle, żeby wymianę rozłożyć na dwa budżety roczne, a nie robić jej w panice.
Sprawdzamy te daty model po modelu, na podstawie spisanych numerów, i dopiero wtedy rozmawiamy o pieniądzach.
Reguła, którą stosujemy przy planowaniu wymiany, jest prosta: najpierw brzeg, potem rdzeń, na końcu warstwa dostępowa. Urządzenie widoczne z internetu bez poprawek bezpieczeństwa jest ryzykiem, które trudno czymkolwiek nadrobić. Przełącznik dostępowy w zamkniętej serwerowni, obsługujący komputery i drukarki, może pracować dalej, o ile ma kopię konfiguracji, zapasową sztukę na półce i nie jest wystawiony na zewnątrz.
Sprzęt z rynku wtórnego traktujemy jako źródło części zamiennych, nie jako sposób na budowę nowej sieci. Kupienie drugiej takiej samej sztuki do szafy kosztuje ułamek ceny nowego modelu i skraca wymianę do godziny, co przy urządzeniach dostępowych bywa rozsądniejsze niż kontrakt. Ta sama decyzja przy firewallu brzegowym jest błędem, bo tam kupujecie nie sprzęt, tylko dopływ poprawek.
Wymiana urządzenia sieciowego jest jedyną pracą IT, którą widzą wszyscy naraz. Cała reszta planowania służy temu, żeby ten moment trwał minuty i wypadł wtedy, gdy nikogo nie ma.
Nowe urządzenie konfigurujemy i sprawdzamy przed przyjazdem, na stole, a nie w szafie. Do obiektu wjeżdżamy z gotowym sprzętem, więc okno serwisowe obejmuje przełożenie kabli i testy, a nie pisanie ustawień z ręki. Przed przełączeniem ustalamy trzy rzeczy: kto z Waszej strony jest pod telefonem, o której godzinie zaczynamy i co dokładnie musi zadziałać, żeby uznać etap za zamknięty.
Kryterium powrotu ustalamy liczbą, nie wrażeniem.
Jeśli po dwudziestu minutach od przełączenia lista testów nie przechodzi w całości, wracamy na stary sprzęt i szukamy przyczyny na spokojnie. Stare urządzenie zostaje w szafie, podłączone i wyłączone z ruchu, aż do odbioru całego etapu. Testy po każdej szafie są zawsze te same i zawsze w tej samej kolejności:
źródło: Pexels, Brett SaylesZasilanie po kablu jest tu pozycją numer jeden nieprzypadkowo. Przełącznik, który zasila telefony i kamery przez ten sam kabel, którym przesyła dane, ma zapisaną w nocie katalogowej łączną moc do rozdania. To budżet w takim samym sensie jak budżet domowy: każde dołożone urządzenie coś z niego bierze, a gdy się skończy, przełącznik po prostu przestaje zasilać kolejne. Nie ostrzega, nie miga, po prostu któreś urządzenie nie wstaje. Dlatego to ono najczęściej przewraca się przy wymianie na model o mniejszej mocy, a objawia się jako telefon, który nie działa po weekendzie, i wygląda przy tym na awarię telefonu. Budżet liczymy przed zakupem, z zapasem, i traktujemy tę liczbę jak twarde ograniczenie doboru modelu.
Firmy z jedną lokalizacją zwykle da się przełączyć w dwóch albo trzech oknach poza godzinami pracy. Firmy produkcyjne dzielimy inaczej: tam oknem bywa przestój technologiczny albo weekend, a nie wieczór, i harmonogram układa się pod produkcję, nie pod nas.
Przejęcie jest projektem, opieka jest rytmem. Ta druga część decyduje o tym, czy za dwa lata ktokolwiek będzie znał tę sieć, więc opisujemy ją klientowi wcześniej, a nie dopiero w umowie.
Codziennie pracuje monitoring i codziennie schodzi kopia konfiguracji do repozytorium. Kopia z historią zmian ma jedną własność, której nie ma kopia nadpisywana: pokazuje, że we wtorek o czternastej ktoś dopisał regułę, i mówi dokładnie jaką. Przy sporze o to, po czym sieć zaczęła się dziwnie zachowywać, zwykle wystarcza spojrzenie w te różnice.
Raz w miesiącu przeglądamy alerty, które przyszły, i te, które przyjść powinny, a nie przyszły. Sprawdzamy zajętość portów, obciążenie łączy między szafami, stan zasilania i temperaturę w szafie, bo to ostatnie zabija sprzęt sieciowy ciszej niż cokolwiek innego. Zapisujemy też, co się zmieniło od poprzedniego miesiąca, żeby dokumentacja nie zestarzała się w tydzień po przekazaniu.
Raz na kwartał wracamy do rzeczy, które zmieniają się wolno.
Wersje oprogramowania i ogłoszenia producenta o końcu życia modeli, przegląd reguł na urządzeniu brzegowym, przegląd kont z dostępem administracyjnym i lista urządzeń, które przybyły w sieci bez naszej wiedzy. Ten ostatni punkt wyłapuje przełączniki dokupione przez dział bez pytania i punkty dostępowe postawione „na chwilę”, czyli dwie rzeczy, które psują segmentację najskuteczniej.
Raz w roku robimy próbę, której nikt nie lubi planować: odtworzenie konfiguracji wybranego urządzenia na sprzęcie zastępczym. Kopia niesprawdzona jest obietnicą, nie zabezpieczeniem, a jedyny moment, w którym można to sprawdzić bez kosztów, to moment, w którym nic się nie pali.
Aktualizacje wchodzą w oknach serwisowych i nigdy hurtem. Najpierw jedno urządzenie dostępowe, potem reszta warstwy, brzeg na końcu i osobno. Ta kolejność wygląda na przesadną, dopóki nie trafi się na wydanie, które psuje jedną konkretną funkcję używaną akurat u Was.
Różnica sprowadza się do jednego pytania: gdzie mieszka konfiguracja. Klasyczne urządzenie Cisco trzyma ją u siebie, w pliku, i pracuje dalej nawet wtedy, gdy firma nie ma z producentem żadnej relacji od pięciu lat. Sprzęt Meraki pobiera ustawienia z chmury producenta i zarządza się nim wyłącznie przez panel, więc prawo do korzystania z tej chmury jest częścią produktu, a nie dodatkiem.
Konsekwencja jest twarda i warto ją usłyszeć przed zakupem, a nie przy pierwszym odnowieniu. Klasyczny sprzęt bez opłaconego wsparcia dalej przekazuje ruch, tylko przestaje dostawać poprawki i nie zostanie wymieniony przy awarii. Sprzęt zarządzany z chmury po wygaśnięciu licencji przestaje przekazywać ruch. To nie jest to samo ryzyko i nie planuje się go tak samo.
Producent opisał ten drugi scenariusz co do dnia, więc nie ma powodu straszyć ani uspokajać na wyczucie. Po wygaśnięciu licencji zaczyna biec trzydzieści dni karencji, przez które nie dzieje się nic, a administratorzy dostają przypomnienia mailem na trzydzieści, dwadzieścia jeden, czternaście, siedem i jeden dzień przed końcem. Po tym terminie urządzenia przestają przepuszczać ruch użytkowników, natomiast nie zamieniają się w cegłę: dalej rozmawiają z chmurą producenta i pilnują, kiedy licencje wrócą, a w chwili opłacenia podnoszą się same. Jest to więc leasing kopiarki, a nie jej konfiskata. Nie zabierają jej z biura, tylko przestaje kopiować do dnia zapłaty.
Ta różnica ma jeden konkretny skutek dla planowania. Ryzyko przy klasycznym sprzęcie rozkłada się w czasie i można je znieść przez rok, godząc się na brak poprawek. Ryzyko przy sprzęcie z chmury jest skokowe i wypada w jednym dniu, za to jest odwracalne w godzinę przelewem. Pierwsze pilnuje się przeglądem, drugie pilnuje się kalendarzem księgowej.
Nasz werdykt jest jednoznaczny i nie zależy od tego, co jest na magazynie u dystrybutora. Jedna lokalizacja, jedna szafa i sprzęt klasyczny, który już działa: zostajecie przy nim, bo migracja nie kupi Wam niczego, czego nie da porządna konfiguracja i dokumentacja. Trzy lokalizacje i więcej, bez własnego działu IT, z potrzebą wprowadzania tej samej zmiany wszędzie naraz: sprzęt zarządzany z chmury zwraca się na samym czasie pracy. Firma, która nie potrafi zagwarantować, że za cztery lata znajdzie w budżecie kwotę na odnowienie: niech go nie kupuje, bo dzień wygaśnięcia licencji jest dniem przestoju całej sieci.
Skąd akurat trzy lokalizacje, bo to jest liczba, którą łatwo napisać i trudno uzasadnić. Wychodzi z porównania dwóch kosztów, które rosną w różnym tempie. Licencja rośnie wprost proporcjonalnie do liczby urządzeń, więc trzecia lokalizacja kosztuje dokładnie tyle samo co pierwsza. Czas na wprowadzenie zmiany w sprzęcie klasycznym rośnie szybciej niż liniowo, ponieważ do pracy w konsoli dochodzi dojazd, ustalanie okna serwisowego z każdym oddziałem osobno i rozjeżdżanie się konfiguracji między lokalizacjami, którego przy jednej szafie nie ma w ogóle.
Przy jednej lokalizacji zmiana to kwadrans, przy dwóch pół dnia z dojazdem, przy trzech robi się z tego stały punkt w miesiącu. Trzy lokalizacje to miejsce, w którym te dwie krzywe się przecinają w firmie bez własnego działu IT. Z własnym działem próg przesuwa się wyżej, bo dojazd i okno serwisowe kosztują wtedy mniej. Szczegóły wdrożenia opisaliśmy przy platformie Meraki, a pracę w konsoli przy konfiguracji urządzeń Cisco.
Stawki netto, stan na sierpień 2026 - administracja siecią Cisco i jednorazowe przejęcie mają osobne cenniki, oba poniżej. Sprzęt i licencje kupujecie bezpośrednio, my nie doliczamy marży, bo wtedy dobór przestałby być niezależny.
Prace jednorazowe wyceniamy zależnie od tego, po co przychodzicie.
Praca jednorazowa | Cena |
|---|---|
Diagnostyka albo przegląd jednego urządzenia, około pół dnia pracy z kopią ustawień i opisem zmian | od 1 000 zł |
Uporządkowanie konfiguracji całej lokalizacji na istniejącym sprzęcie, około półtora dnia | od 2 900 zł |
Wdrożenie nowej sieci na urządzeniach Cisco w jednej lokalizacji, sama robocizna | od 6 500 zł |
Wdrożenie platformy zarządzanej z chmury | od 3 900 zł |
Pomiary torów LAN, gdy podejrzewamy okablowanie, dla maksymalnie 48 torów, razem z protokołami i dojazdem | od 890 zł |
Utrzymanie ma dwa poziomy i celowo nie sprzedajemy ich razem. Sam nadzór nad siecią jednej lokalizacji do 20 urządzeń to od 390 zł miesięcznie: monitoring, alerty i informacja, że coś się dzieje. Pełna administracja siecią firmową to od 2 000 zł miesięcznie za lokalizację do 60 użytkowników i wtedy odpowiadamy za stan sieci, a nie za powiadomienie o jej awarii.
Zegar reakcji biegnie w godzinach pracy helpdesku, czyli od poniedziałku do piątku, 8:00 do 18:00. W cenie jest reakcja do 4 godzin. Skrócenie do 2 godzin kosztuje 1 000 zł miesięcznie, do 1 godziny 2 000 zł miesięcznie, licząc jak w obsłudze informatycznej. Monitoring pracuje całą dobę i to osobna warstwa: alert o północy zobaczymy, ale prace zaczną się rano, o ile nie macie wykupionego dyżuru poza godzinami, który wyceniamy indywidualnie po ustaleniu zakresu.
Pułapki kosztowe, przez które budżet rozjeżdża się najczęściej:
Sprzęt bez aktywnego kontraktu obsługujemy normalnie i mówimy wprost, czego się wtedy nie da. Nie pobierzemy nowszego oprogramowania z portalu i nie wymienimy urządzenia przez producenta. Jedna droga zostaje otwarta i z niej korzystamy: przy poważnej podatności występujemy w Waszym imieniu do wsparcia producenta o poprawione wydanie, powołując się na numer seryjny i na konkretny komunikat o luce. Działa to tylko dla modeli przed ostatnią datą wsparcia i tylko dla spraw bezpieczeństwa, więc nie zastępuje kontraktu, ale kilka razy pozwoliło załatać brzeg sieci bez zakupu. Możemy też uruchomić sprzęt zastępczy z Waszej kopii konfiguracji, o ile taka kopia jest, i o to właśnie chodzi w pierwszym dniu przejęcia.
Błąd | Skutek |
|---|---|
Zmiana wprowadzana zdalnie bez planu powrotu i bez człowieka przy sprzęcie | jedno polecenie odcina zdalne zarządzanie i pracę kończy dojazd do szafy, zwykle w najgorszym możliwym momencie. Kosztuje to godziny, które miały być kwadransem |
Jedno hasło znane wszystkim, łącznie z poprzednim wykonawcą | po rozstaniu nie da się ustalić, kto ma dostęp, ani kto wprowadził zmianę, która wywróciła sieć w środę. Konta imienne rozwiązują oba problemy w jeden wieczór |
Kopia konfiguracji trzymana na dysku administratora albo w skrzynce mailowej | w dniu awarii okazuje się, że kopia jest sprzed dwóch lat albo że nikt nie ma do niej dostępu, i odtworzenie ustawień zajmuje dzień zamiast godziny |
Wpięcie do sieci przełącznika znalezionego w magazynie | pętla albo nadpisanie listy segmentów w całym budynku, czyli kilkanaście minut, w których nie działa nic, i pół dnia szukania przyczyny. Ochrona przed pętlą na portach dostępowych to kilka poleceń i najtańsze zabezpieczenie w tej warstwie sieci |
Zakup sprzętu przed policzeniem portów i budżetu zasilania po kablu | przełącznik zapełniony w dniu uruchomienia albo kamera, która przestaje wstawać po dołożeniu ostatniego punktu dostępowego. Wygląda to na awarię sprzętu, a jest brakiem watów |
Traktowanie firewalla brzegowego jak urządzenia, które raz się ustawia | reguły dopisywane przez lata bez przeglądu przepuszczają rzeczy, o których nikt już nie pamięta, a urządzenie po końcu wsparcia stoi w internecie bez poprawek. Napisaliśmy osobno, czym jest firewall i po co stoi w firmie |
Wspólny mianownik tych sześciu pozycji jest jeden: żadna nie wynika z braku pieniędzy. Wszystkie wynikają z tego, że nikt nie miał tego w zakresie obowiązków.
Lista jest zamknięta i nie zależy od tego, czy administracja siecią Cisco zostanie u nas na stałe. Dokumentacja i hasła są Wasze od pierwszego dnia, także wtedy, gdy skończymy współpracę.
Przejmiecie sieć, do której nikt u nas nie ma haseł? Tak, to jedno z częstszych zleceń. Dostęp odzyskuje się procedurą producenta, przy urządzeniu, i wymaga to restartu, czyli chwili przerwy w pracy. Robimy to poza godzinami pracy i zaczynamy od zabezpieczenia kopii konfiguracji, jeśli w ogóle da się ją odczytać.
Czy musimy mieć aktywny kontrakt wsparcia producenta, żebyście się tym zajęli? Nie. Konfigurujemy, diagnozujemy i prowadzimy sprzęt niezależnie od tego, czy kontrakt istnieje. Kontrakt jest potrzebny do dwóch rzeczy: wymiany uszkodzonego urządzenia przez producenta i swobodnego pobierania nowszego oprogramowania. Poprawki do poważnych podatności to osobna sprawa, bo producent udostępnia je także bez kontraktu, po zgłoszeniu do wsparcia z numerem seryjnym, dopóki model nie minął ostatniej daty wsparcia. Przy urządzeniu brzegowym pilnujemy więc przede wszystkim tej daty, a dopiero potem kontraktu.
Mamy przełączniki po końcu wsparcia. Wymieniać wszystkie naraz? Nie i zwykle odradzamy takie zakupy. Najpierw sprawdźcie, o którą datę chodzi, bo „koniec wsparcia” znaczy u tego producenta trzy różne rzeczy: od zakończenia sprzedaży modelu do ostatniego dnia wsparcia mija zwykle pięć lat i przez ten czas sprzęt ma i poprawki, i części. Wymianę zaczyna się od urządzeń widocznych z internetu, potem idzie rdzeń, a warstwa dostępowa bywa ostatnia albo zostaje, o ile ma kopię konfiguracji i zapasową sztukę na półce. Rozłożenie tego na dwa budżety roczne jest normalne i tańsze.
Ile trwa przejęcie sieci i czy firma będzie przez ten czas stać? Firma nie stoi. Pierwsze dwa dni to czytanie, kopie i zabezpieczenie dostępu, czyli prace niewidoczne dla użytkowników. Zmiany, które mogą przerwać ruch, wchodzą pojedynczo w oknach poza godzinami pracy, zwykle w drugim tygodniu. Przegląd jednego urządzenia to około pół dnia, a długość całości zależy od liczby urządzeń aktywnych.
Czy przechodzić na sprzęt zarządzany z chmury, skoro i tak trzeba coś wymieniać? Przy jednej lokalizacji zwykle nie, bo płacicie licencję za wygodę, której przy jednej szafie nie odczujecie. Przy trzech i więcej lokalizacjach zwykle tak, bo koszt licencji rośnie równo z liczbą urządzeń, a czas na wprowadzenie tej samej zmiany wszędzie rośnie szybciej, przez dojazdy i osobne okna serwisowe. Rachunek liczcie na cały okres licencji, nie na pierwszy rok, bo po jej wygaśnięciu i trzydziestu dniach karencji urządzenia przestają przepuszczać ruch użytkowników. Wracają do pracy same po opłaceniu, ale ten jeden dzień przestoju jest realny i wpisuje się go w ryzyko przed zakupem.
Czy sieć Cisco da się prowadzić bez informatyka na etacie? Da się, pod warunkiem że ktoś za nią odpowiada w umowie. Codzienność to pilnowanie kopii, przeglądy, aktualizacje w oknach serwisowych i reakcja na alert z monitoringu, czyli praca na kilka godzin w miesiącu przy jednej lokalizacji. Firma bez własnego działu zleca to na zewnątrz, tak samo jak zlecała księgowość.
Co zostaje po naszej stronie, jeśli zakończymy współpracę? Wszystko, co powstało w trakcie: dokumentacja, kopie konfiguracji, hasła i konta. Nie trzymamy dostępu, który uniemożliwia przejście do innego dostawcy, i nie zamykamy niczego na nasze narzędzia. Odchodząc, zostawiamy sieć w stanie, w którym kolejna osoba nie musi zaczynać od zgadywania.
Administracja siecią Cisco zaczyna się u nas od jednego urządzenia, nie od umowy. Za 1 000 zł netto robimy przegląd jednego przełącznika albo routera: zrzut konfiguracji poza urządzenie, sprawdzenie wersji oprogramowania i stanu wsparcia producenta oraz lista uwag uszeregowana według ryzyka. Termin ustalamy w ciągu 5 dni roboczych od udostępnienia dostępu, a raport dostajecie w ciągu 2 dni roboczych po zakończeniu prac. Jeżeli po lekturze raportu uznacie, że nie potrzebujecie niczego więcej, to też jest dobry wynik.
Umówienie przeglądu zajmuje jedną rozmowę: napiszcie do nas przez formularz kontaktowy . Biuro główne mamy w Gorzowie Wielkopolskim i stamtąd dojeżdżamy do klientów w regionie , a prace zdalne prowadzimy w całej Polsce.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Amerykańska agencja CISA wpisała lukę CVE-2026-48282 w Adobe ColdFusion do katalogu podatności wykorzystywanych w atakach. Według katalogu termin reakcji wynosił trzy dni, a producent ocenił zagrożenie na dziesięć na dziesięć. Tekst wyjaśnia mechanizm ataku i plan reakcji dla firmy.
Czytaj artykułCISA wpisała podatność CVE-2026-60137 do katalogu luk wykorzystywanych w atakach. Błąd w rdzeniu WordPressa umożliwia wstrzyknięcie SQL, a według opisu agencji w połączeniu z drugą luką pozwala przejąć serwis bez logowania. Poniżej fakty, zagrożone wersje i lista działań.
Czytaj artykułTen wpis tłumaczy, na czym polega błąd oznaczony jako CVE-2026-34909 w urządzeniach Ubiquiti z systemem UniFi OS, dlaczego dostał najwyższą możliwą ocenę zagrożenia, skąd wziął się trzydniowy termin naprawy wyznaczony przez amerykańską agencję bezpieczeństwa i po czym poznać, że sprzęt stojący w
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.