Сетевая документация в малом офисе: как описать свою инфраструктуру за один рабочий день

Я захожу в новый офис — и первый вопрос всегда один: покажите мне схему сети. В девяти случаях из десяти в ответ разводят руками. Сеть есть, работает, а описания нет — вообще никакого, ни в файле, ни на бумажке. И вот это молчание меня каждый раз пугает больше, чем сама сеть, какой бы кривой она ни была.

Зачем это нужно, если и так всё работает

Логика владельца понятна. Интернет есть, 1С открывается, принтер печатает — чего ещё надо. Документация кажется бумажной волокитой для айтишников, которые любят усложнять простые вещи. Проблема в том, что сеть работает ровно до первого сбоя. А сбой случается не по расписанию.

У одного клиента — торговая компания, 23 рабочих места — уволился системный администратор. Просто написал заявление и ушёл, обиделся на зарплату. Через неделю упал интернет у половины офиса. Новый айтишник два часа искал, через какой роутер идёт резервный канал, потому что старый настроил два провайдера с балансировкой, а куда воткнут второй кабель — не сказал никому. Нашли случайно, дёрнув патч-корд из свича в серверной.

Ещё пример, попроще и обиднее. Пятница, вечер, у бухгалтерии перестаёт открываться клиент-банк. Звонят мне. Спрашиваю: какой у вас шлюз по умолчанию, какая подсеть. Молчание в трубке. Полтора часа ушло на то, чтобы просто понять топологию — где сервер, где свичи, кто за кем стоит. А ведь это пятнадцать минут работы, если бы схема лежала в общей папке.

Что реально нужно задокументировать — и что не нужно

Тут важно не переусердствовать. Я видел проекты сетевой документации на сорок страниц с диаграммами Ганта и таблицами SLA — для офиса на двенадцать человек. Это никто не будет вести, и через месяц документ устареет и превратится в макулатуру. Минимальный рабочий набор — четыре вещи, не больше.

Первое — таблица IP-адресов: кто есть кто в сети, от сервера до принтера. Второе — список оборудования с моделями, серийниками и датами покупки. Третье — схема топологии: как физически соединены устройства, какой кабель куда идёт. Четвёртое — реестр паролей и доступов, отдельно от первых трёх, в защищённом виде.

Всё остальное — журналы изменений, регламенты, диаграммы VLAN на 20 сегментов — это уже для сетей побольше. Для офиса до 50 рабочих мест хватает этих четырёх документов, и держать их актуальными реально силами штатного айтишника или аутсорсера раз в квартал.

Таблица IP-адресов: двадцать минут работы

Открываете Excel или Google Таблицы. Колонки: имя устройства, IP-адрес, MAC-адрес, модель, расположение, кому принадлежит, дата последнего изменения. Дальше — методично, комната за комнатой.

Заходите в личный кабинет роутера (Keenetic, MikroTik, TP-Link — неважно), смотрите список DHCP-клиентов. Там уже половина данных. Остальное добираете руками: сервер, NAS, принтеры, IP-камеры, точки доступа — всё, у чего есть постоянный IP или зарезервированный DHCP.

Отдельно выписываю статические адреса — сервер 1С, контроллер домена, шлюз, DNS. Это критичный список, потому что именно здесь чаще всего конфликты: кто-то подключил новый принтер, а ему автоматом выдался адрес, который уже занят сервером бэкапов. У меня было ровно так на одном производстве — Veeam два дня не мог достучаться до хранилища, а причина оказалась в свежекупленном МФУ с ручной IP-настройкой.

Схема оборудования и топология — от розетки до сервера

Топология — это не произведение искусства, а простой рисунок: провайдер, роутер, свичи, серверная стойка, точки доступа, рабочие места по кабинетам. Можно от руки на листе А3, можно в draw.io — бесплатно и достаточно. Я обычно рисую в draw.io, потому что потом легко редактировать, когда что-то меняется.

Главное — показать физические связи, а не логические красивости. Куда воткнут кабель от провайдера. Какой порт свича идёт в какой кабинет. Где резервный канал и как он переключается — вручную или автоматом. Один раз в медцентре обнаружили, что резервный интернет подключён, но никто никогда не проверял, переключается ли он сам при обрыве основного. Проверили — не переключался. Хорошо, что не в разгар приёма пациентов выяснили.

Отдельно отмечаю на схеме серверную комнату: сервер, NAS, ИБП, коммутатор, роутер — что от чего питается и куда воткнуто. При отключении света именно этот узел спасает или топит весь офис, и без схемы новый человек будет тыкаться в темноте — иногда буквально, если свет вырубило.

Пароли: не в блокноте на столе бухгалтера

Это отдельная больная тема. Я находил пароли от роутера на стикере под клавиатурой, пароль администратора 1С в файле «пароли.txt» на рабочем столе, а мастер-пароль от КриптоПро — на бумажке в ящике стола главного бухгалтера. При текучке кадров или при увольнении не по-хорошему это прямой риск утечки или саботажа.

Реестр доступов должен жить отдельно от общей папки — в менеджере паролей с разграничением прав. Подойдёт KeePass с файлом на защищённом сетевом диске, Bitwarden в самостоятельном или облачном варианте, да хоть зашифрованный архив с сильным паролем, который знают два человека, а не весь отдел. Главное — не Excel-файл открытым текстом в общей папке «Бухгалтерия».

В этом реестре — доступы к роутеру, свичам с управлением, серверу, панели хостинга, admin-аккаунтам 1С, RDP-подключениям, почтовому серверу, антивирусной консоли. Отдельной строкой — кто и когда последний раз менял пароль администратора домена. У меня правило: критичные пароли меняются при увольнении любого сотрудника с доступом к инфраструктуре, без исключений, даже если расстались хорошо.

Как я делаю это за один рабочий день — по шагам

Утро — обход. Физически хожу по офису с ноутбуком, фотографирую серверную, свичи, патч-панели, наклейки с портами (если их нет — самое время наклеить). Заглядываю в кабинет роутера, выгружаю список подключённых устройств. Это часа два-три, в зависимости от размера офиса.

После обеда — сведение данных. Заполняю таблицу IP-адресов, список оборудования (модель, серийник, гарантия, дата покупки — пригодится при поломке для обращения в сервис). Параллельно рисую топологию в draw.io — обычно хватает часа полтора, если данные уже собраны.

К вечеру — реестр паролей и финальная проверка: правда ли резервный канал переключается, правда ли бэкап действительно идёт туда, куда написано в документации, а не в папку, которую уже год как удалили. Именно на этом шаге чаще всего всплывают сюрпризы — то бэкап пишется на диск, который заполнен на 98%, то резервная копия конфигурации свича не делалась вообще.

Что будет, если этого не сделать

Расскажу ещё одну историю. Юридическая фирма, 18 рабочих мест, полностью на удалёнке через RDP к терминальному серверу. Сервер завис в понедельник утром. Позвонили мне, я не их постоянный подрядчик, зашёл разово годом раньше. Пароль администратора сервера — неизвестен, предыдущий айтишник в отпуске и не берёт трубку. Три часа простоя всей компании только из-за того, что нигде не был записан пароль от единственной машины, через которую работает весь бизнес.

Другой пример — производство, где я веду инфраструктуру постоянно. У них случился пожар в щитовой на этаже ниже, обесточило офис на два дня. Мы за двадцать минут подняли резервное подключение через мобильный роутер с сим-картой — потому что в документации была строчка «резервный интернет: роутер Keenetic, сим Т2, IP статический через APN». Без схемы искали бы это до вечера, теряя выручку каждый час.

Разница между этими двумя историями — не в квалификации людей. И там, и там работали нормальные специалисты. Разница — в одном файле, который кто-то один раз потратил день на то, чтобы собрать.

Частые вопросы

Как часто нужно обновлять сетевую документацию?
Я советую раз в квартал сверять таблицу и схему с реальностью, плюс сразу фиксировать любое серьёзное изменение — новый провайдер, новый сервер, смена свича. Пятиминутная правка сейчас экономит часы поиска потом. Если в офисе что-то меняется часто (расширение штата, переезды), проверяйте раз в месяц.

Обязательно ли для этого нанимать штатного системного администратора?
Нет, с этим справится и аутсорсер при разовом визите — как раз то, что мы обычно и делаем для клиентов до 50 рабочих мест. Штатный человек полезен, если инфраструктура сложная и меняется каждую неделю, но для базовой документации хватит одного планового дня специалиста со стороны.

Какой инструмент использовать для схемы сети, если не хочется ничего покупать?
Draw.io (сейчас называется diagrams.net) — бесплатный, работает в браузере, есть готовые шаблоны для сетевых схем с иконками роутеров и свичей. Для таблиц хватит Google Таблиц с ограниченным доступом. Платные инструменты вроде Visio нужны редко, только если сеть действительно большая и сложная.

У нас сеть уже большая и хаотичная, никто давно не разбирался, что к чему подключено. С чего начать?
Начните с физического обхода и серверной комнаты — это самое критичное место, где сбой останавливает весь бизнес. Дальше двигайтесь по этажам, отмечая всё, что находите, даже если непонятно назначение — потом разберётесь. Не пытайтесь сразу сделать идеально, черновая версия документации лучше её полного отсутствия.