Kebanyakan kantor menjalankan satu jaringan datar: laptop, printer, kamera, terminal pembayaran, dan perangkat tamu semuanya berbagi broadcast domain yang sama. Berjalan baik — sampai tidak lagi. Ponsel tamu yang tersusupi bisa menjangkau kamera IP, printer yang bermasalah bisa membanjiri switch, dan satu kesalahan konfigurasi bisa melumpuhkan seluruh departemen sekaligus.
VLAN (Virtual Local Area Network) mengatasi hal ini dengan membagi satu fabric switch fisik menjadi beberapa jaringan logis. Trafik antar-VLAN harus melewati router atau firewall, dan di situlah Anda bisa menerapkan kebijakan, monitoring, serta kontrol akses.
Tanda bisnis Anda benar-benar membutuhkan VLAN
- → Wi-Fi tamu berada pada jaringan yang sama dengan workstation keuangan dan server file.
- → Kamera IP, kontrol akses, dan manajemen gedung dialamatkan pada LAN bawaan.
- → Trafik broadcast dari satu departemen menurunkan performa departemen lain.
- → Persyaratan PCI atau kepatuhan menuntut isolasi untuk terminal pembayaran.
- → Anda tidak bisa menjelaskan, hanya dari dokumentasi, perangkat mana berada di segmen mana.
Jika dua pernyataan di atas benar untuk kantor Anda, segmentasi bukan lagi best practice opsional. Ia menjadi kontrol termurah yang bisa Anda tambahkan: tidak memerlukan kabel baru, hanya perencanaan, konfigurasi switch, dan set aturan firewall yang benar-benar Anda rawat.
Pembagian praktis untuk kantor berukuran menengah
Pola yang paling sering kami pasang menggunakan empat segmen. Cukup kecil untuk dikelola dan cukup luas untuk menutup permukaan risiko satu lantai kantor.
- → Korporat — workstation, printer, aplikasi internal, layanan file.
- → Suara dan video — telepon IP dan sistem konferensi dengan QoS ketat.
- → IoT dan gedung — kamera, kontrol akses, kontrol HVAC, sensor.
- → Tamu — hanya akses internet, terisolasi dari setiap segmen internal.
Aturan praktis: jika sebuah perangkat tidak perlu membuka koneksi ke server Anda, ia tidak berhak berada di VLAN korporat.
Tiga jebakan yang menggagalkan desain
Pertama, lupa uplink. Trunk antar switch dan firewall harus membawa setiap VLAN yang ingin dipakai, dengan VLAN native diatur ke yang tidak dipakai dan terdokumentasi. Kedua, wireless datar: access point yang menyiarkan satu SSID untuk segalanya diam-diam meruntuhkan segmentasi Anda di lapisan radio.
Ketiga, dokumentasi yang menyimpang. ID VLAN, subnet, dan alamat gateway hidup di dokumen yang selalu diperbarui — sebuah diagram, rencana IP, dan log perubahan. Jaringan jarang gagal karena desainnya salah; ia gagal karena tidak ada yang bisa merekonstruksi desain itu enam bulan kemudian.
“Segmentasi bukan produk yang Anda beli. Ia kebiasaan yang Anda jaga: rencanakan segmennya, beri nama, dokumentasikan, dan tolak pengecualian.”
— Zathco Network Engineering
Dari mana mulai kuartal ini
Inventarisasi apa yang terhubung, kelompokkan perangkat berdasarkan risiko bukan berdasarkan lantai, dan pindahkan satu kelompok setiap waktu. Mulai dari Wi-Fi tamu: kemenangan termudah, paling tidak mengganggu, dan langsung mengurangi jumlah perangkat yang bisa menyentuh sistem internal Anda.
