Firewall dla firmy Bydgoszcz

Kto ma dziś zdalny dostęp do Waszych maszyn

W zakładzie, który przez dwadzieścia lat kupował kolejne urządzenia, prawie każde z nich przyszło z własnym pomysłem na serwis. Jedna maszyna ma router z kartą komórkową postawiony przez producenta i wpięty prosto do sterownika. Druga jest dostępna przez program do zdalnego pulpitu zainstalowany na komputerze operatora, bo tak było najszybciej. Trzecia korzysta z konta na serwerze, do którego dostęp dał kiedyś informatyk, żeby zamknąć zgłoszenie przed weekendem.

Żadne z tych rozwiązań nie powstało z lekkomyślności. Każde odpowiadało na realny problem: awaria w piątek, technik w Niemczech, linia stojąca do poniedziałku. Kłopot polega na tym, że wszystkie działają dalej, także wtedy, gdy nie są potrzebne, i że nikt w firmie nie potrafi ich wymienić z pamięci. Pierwsze, co robimy przy wdrożeniu brzegu, to spisanie tej listy, i prawie zawsze jest ona dłuższa, niż spodziewa się właściciel.

Jak zwykle jest podłączony teleserwis, a jak powinien być

Rozwiązanie zastane	Co daje serwisowi	Co widzi jeszcze	Jak to przestawiamy
Router producenta z kartą SIM	wejście do sterownika	całą sieć za tym sterownikiem	osobny segment, tylko jedna maszyna
Program do zdalnego pulpitu na komputerze operatora	wejście na stanowisko	wszystko, co widzi ten komputer	tunel z kontem imiennym, bez pulpitu
Wystawiony port na adresie zakładu	wejście z dowolnego miejsca	jest skanowany przez cały czas	publikacja usługi z zawężeniem źródeł
Wspólne konto dostawcy systemu	wejście do serwera aplikacji	brak śladu, kto z niego korzystał	konto na osobę, włączane na zgłoszenie
Łącze zapasowe podpięte obok firewalla	pracę przy awarii głównego	drugą drogę do sieci bez reguł	wpięcie za brzegiem, te same reguły

Trzeci wiersz jest najgroźniejszy i najczęstszy. Wystawiony port jest skanowany w ciągu godzin od uruchomienia, niezależnie od tego, jak mała jest firma i jak nieciekawa wydaje się jej produkcja. Nikt nie wybiera celu, wybiera się otwarte drzwi.

Dostęp na czas naprawy, nie na stałe

Model, który proponujemy, jest prosty do wytłumaczenia dostawcom i nie generuje sporów. Każda firma zewnętrzna ma własne konto i własny zakres: technik od pakowaczki dochodzi do pakowaczki i do niczego więcej. Dostęp włączamy na zgłoszenie, wygaszamy po odbiorze prac, a w rejestrze zostaje zapis, kto był w środku i jak długo.

Ważniejsze od samego ograniczenia jest to, co ten układ zmienia w codziennej pracy. Po awarii da się odpowiedzieć na pytanie, czy ktoś z zewnątrz zmieniał coś w maszynie dzień wcześniej. Przy sporze o gwarancję to bywa jedyny twardy argument, a w zakładzie bez takiego zapisu rozmowa kończy się na wzajemnych przypuszczeniach.

Reguły, które przeżyją tego, kto je napisał

Lista wyjątków na brzegu sieci rośnie sama i nigdy sama nie maleje. Dlatego każdy wpis zapisujemy razem z powodem, nazwą firmy albo systemu, którego dotyczy, oraz datą, w której warto do niego wrócić. Po roku widać wtedy gołym okiem, która reguła miała być tymczasowa.

Przy porządkowaniu zastanej konfiguracji nie kasujemy niczego od razu. Sprawdzamy, czy reguła w ogóle była w ostatnim czasie używana, wyłączamy ją na tydzień i czekamy. Albo nikt nie zauważy, albo zadzwoni ktoś, kto właśnie stracił dostęp do systemu, o którego istnieniu nikt nam nie powiedział. Druga odpowiedź jest cenniejsza od pierwszej, bo dopisuje pozycję do dokumentacji.

Czego to urządzenie nie rozwiąże

Nie ochroni przed pracownikiem, który ma legalny dostęp i wynosi to, do czego ma prawo. Nie zastąpi ochrony stacji roboczych ani kontroli poczty, a większość spraw w firmach produkcyjnych zaczyna się właśnie od załącznika w wiadomości o fakturze. Nie naprawi też sterownika pracującego na systemie, którego producent nie aktualizuje od dziesięciu lat: brzeg sieci może go odciąć od świata, ale nie uczyni go bezpieczniejszym.

Podział ruchu wewnątrz zakładu opisuje konfiguracja sieci firmowej, stały przegląd reguł administracja siecią, a budowę instalacji od zera wdrożenie infrastruktury.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026