Twoja baza danych nie powinna mieć publicznego adresu IP — jak zbudować sieć wewnętrzną między serwerami
W większości firmowych środowisk każdy serwer dostaje publiczny adres IP, bo tak jest najszybciej. Aplikacja, baza danych, serwer plików i host kopii zapasowych widzą się nawzajem przez internet, a jedyną barierą pozostaje firewall skonfigurowany osobno na każdej maszynie. Ten model działa do pierwszej literówki w regule, pierwszej zapomnianej aktualizacji i pierwszego skanu portów, który trafi w niezabezpieczoną usługę.
Sieć wewnętrzna — prywatny, odseparowany kanał łączący wyłącznie Twoje serwery — usuwa ten problem u źródła. W cenniku usług dodatkowych Sprint Data Center sieć wewnętrzna 1 Gb/s kosztuje 25 zł netto miesięcznie, a wariant 10 Gb/s — 250 zł netto miesięcznie (stan na sierpień 2026). Ten pierwszy to mniej niż jedna standardowa godzina pracy technika, wyceniona w tym samym cenniku na 170 zł netto.
Publiczny adres IP na każdym serwerze to nawyk, nie architektura
Porty baz danych — 3306 dla MySQL, 5432 dla PostgreSQL, 1433 dla MS SQL — należą do najczęściej skanowanych w całym internecie. Serwer z publicznym adresem odpowiada na te próby non stop, niezależnie od tego, czy ktoś faktycznie się do niego loguje. Bezpieczeństwo opiera się wtedy na jednym założeniu: że reguła firewalla jest poprawna dziś, była poprawna wczoraj i pozostanie poprawna po najbliższej zmianie konfiguracji.
Problem nie kończy się na bezpieczeństwie. Ruch między aplikacją a bazą danych, który wychodzi na interfejs publiczny, jest ruchem internetowym ze wszystkimi tego konsekwencjami: dłuższą i mniej przewidywalną trasą oraz koniecznością szyfrowania każdej sesji. Serwery dedykowane SDC mają w standardzie 10 TB transferu miesięcznie, ale przy replikacji bazy albo nocnych kopiach liczonych w setkach gigabajtów warto ustalić z dostawcą, jak rozliczany jest ruch w sieci prywatnej, zanim zbudujesz na tym architekturę.
Prywatna sieć zmienia domyślną odpowiedź na pytanie „kto może połączyć się z tą usługą" z „cały internet, o ile firewall zadziała" na „tylko maszyny w tym samym segmencie". To różnica jakościowa, nie kosmetyczna.
Jak wygląda podział na warstwy w praktyce
Typowe środowisko firmowe rozkłada się na cztery warstwy — i tylko jedna z nich musi być widoczna z internetu:
- Warstwa publiczna — serwer www lub reverse proxy z publicznym adresem IP, wystawiający wyłącznie porty 80 i 443. To jedyny element przyjmujący ruch z zewnątrz.
- Warstwa aplikacji — serwery aplikacyjne dostępne wyłącznie z warstwy publicznej, przez adres w sieci wewnętrznej.
- Warstwa danych — serwer bazodanowy bez publicznego adresu, osiągalny tylko z warstwy aplikacji. Jak dobrać pod niego sprzęt i macierz, opisaliśmy we wpisie o serwerze dedykowanym pod bazę danych.
- Warstwa kopii zapasowych — host backupu, który widzi pozostałe serwery, ale sam nie jest widoczny z internetu.
Do tego dochodzi warstwa zarządzania. W serwerach dedykowanych SDC standardem jest konsola IPMI, która pozwala dostać się do maszyny nawet wtedy, gdy system operacyjny nie wstaje — a więc bez potrzeby wystawiania dostępu administracyjnego na świat.
Jeśli budujesz środowisko odporne na awarię pojedynczej maszyny, sieć wewnętrzna jest warunkiem wstępnym, a nie dodatkiem: to przez nią biegnie heartbeat i replikacja. Opisaliśmy ten scenariusz w tekście o architekturze High Availability na dwóch serwerach dedykowanych.
1 Gb/s czy 10 Gb/s — jak dobrać przepustowość
Wybór nie jest kwestią prestiżu, tylko arytmetyki. Łącze 1 Gb/s to teoretycznie 125 MB/s, a w praktyce zwykle 100–110 MB/s po uwzględnieniu narzutów protokołów. Przy takiej przepustowości kopia o rozmiarze 500 GB przechodzi przez sieć w około 80–90 minut — jeśli Twoje okno serwisowe trwa całą noc, to w zupełności wystarczy.
Sieć wewnętrzna 1 Gb/s wystarcza, gdy: masz aplikację webową i bazę danych na dwóch maszynach, replikacja jest asynchroniczna, a nocne kopie mieszczą się w kilkudziesięciu lub kilkuset gigabajtach.
Warto rozważyć 10 Gb/s, gdy: wykonujesz pełne kopie liczone w terabajtach w wąskim oknie czasowym, prowadzisz replikację synchroniczną między węzłami klastra, korzystasz ze storage’u sieciowego albo regularnie migrujesz maszyny wirtualne między hostami. W tych scenariuszach sieć przestaje być kanałem pomocniczym i staje się elementem krytycznym dla wydajności.
Praktyczna wskazówka: policz najpierw największy pojedynczy transfer, który musi zmieścić się w oknie serwisowym, i dopiero z tego wyprowadź wymaganą przepustowość. Zdecydowana większość środowisk MŚP nie potrzebuje 10 Gb/s — potrzebuje natomiast tego, żeby baza danych przestała być widoczna z internetu.
Segmentacja sieci to wymóg regulacyjny, nie fanaberia
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, wymaga od podmiotów kluczowych i ważnych wdrożenia środków zarządzania ryzykiem obejmujących m.in. bezpieczeństwo sieci i systemów informatycznych oraz kontrolę dostępu. Segmentacja i separacja sieci to jeden z podstawowych, powszechnie uznanych sposobów realizacji tych wymagań — a przy tym jeden z najtańszych. Podobnie wygląda to w normie ISO/IEC 27001, której załącznik wymienia bezpieczeństwo sieci oraz separację sieci wśród zabezpieczeń do rozważenia. Więcej o samym systemie zarządzania pisaliśmy we wpisie o ISO 27001 i SZBI w praktyce.
Warstwa infrastruktury ma tu znaczenie. Centrum danych Sprint Data Center w Olsztynie działa w oparciu o systemy zarządzania potwierdzone certyfikatami ISO 27001, ISO 22301 i ISO 9001, a Sprint S.A. posiada certyfikat NATO AQAP 2210 oraz Świadectwo Bezpieczeństwa Przemysłowego pierwszego stopnia wydane przez ABW. Dla audytora oznacza to, że część kontroli środowiskowych i organizacyjnych jest już udokumentowana po stronie operatora — Ty odpowiadasz za to, co zbudujesz powyżej, czyli między innymi za segmentację własnych systemów.
Sieć wewnętrzna w kolokacji i w modelu mieszanym
Jeżeli trzymasz własny sprzęt w kolokacji, ruch między maszynami w jednej szafie zamykasz na własnym przełączniku — to najprostszy możliwy wariant sieci prywatnej. Sytuacja komplikuje się, gdy część środowiska stoi w kolokacji, a część działa na wynajmowanych serwerach dedykowanych: wtedy połączenie tych dwóch światów prywatnym łączem trzeba zaprojektować razem z operatorem. To temat na rozmowę z zespołem technicznym, a nie na zamówienie z koszyka — najprościej zacząć od kontaktu i opisania docelowej architektury.
Czego sieć wewnętrzna nie załatwi
Prywatna sieć to jeden element układanki, nie tarcza na wszystko:
- Nie zastępuje kopii zapasowych. Host backupu w sieci wewnętrznej jest bezpieczniejszy niż wystawiony do internetu, ale nadal wymaga przemyślanej retencji i niezmienialności — pisaliśmy o tym w tekście o backupie odpornym na ransomware.
- Nie chroni warstwy publicznej. Serwer www nadal przyjmuje ruch z internetu i nadal może zostać zaatakowany wolumetrycznie. Tym zajmuje się ochrona anty-DDoS, która w serwerach dedykowanych SDC jest elementem obowiązkowym, a nie opcją.
- Nie zwalnia z higieny administracyjnej. Aktualizacje, przegląd kont i uprawnień oraz kontrola otwartych portów obowiązują tak samo — punkt po punkcie opisuje je nasza checklista audytu bezpieczeństwa serwera.
- Nie znosi potrzeby szyfrowania. Sieć prywatna jest odseparowana, ale w środowiskach przetwarzających dane osobowe lub objętych wymogami branżowymi szyfrowanie połączeń między serwerami nadal bywa oczekiwane.
Podsumowanie
Publiczny adres IP na serwerze bazodanowym rzadko bywa świadomą decyzją architektoniczną — częściej jest efektem ubocznym tego, że nikt nie zadał pytania, czy jest potrzebny. Rozdzielenie środowiska na warstwę publiczną i prywatną to zmiana, którą w większości przypadków da się przeprowadzić w jedno okno serwisowe, a która trwale zmniejsza powierzchnię ataku i porządkuje dokumentację pod audyt.
Jeśli planujesz drugi serwer, klaster bazodanowy albo osobny host na kopie zapasowe, zacznij od sieci. Przejrzyj cennik usług dodatkowych, sprawdź dostępne linie serwerów dedykowanych i skonsultuj docelową architekturę z naszym zespołem, zanim zamówisz sprzęt — dołożenie sieci wewnętrznej do istniejącego środowiska jest łatwe, ale przeprojektowanie adresacji po fakcie już nie.
FAQ – najczęściej zadawane pytania o sieć wewnętrzną między serwerami
Czy sieć wewnętrzna wymaga dodatkowej karty sieciowej w serwerze?
W praktyce ruch prywatny realizuje się albo przez osobny interfejs fizyczny, albo przez wydzielony segment na istniejącym interfejsie. Który wariant zostanie zastosowany, zależy od konfiguracji konkretnego serwera i przełącznika — to element do ustalenia z operatorem przy zamawianiu usługi.
Czy mogę dodać sieć wewnętrzną do serwerów, które już działają?
Tak. Dołożenie prywatnego segmentu do istniejącego środowiska jest zwykle prostsze niż migracja całej infrastruktury. Największą pracą nie jest sama sieć, lecz zmiana adresów w konfiguracji aplikacji, backupu i monitoringu — dlatego warto zaplanować to na okno serwisowe.
Czy sieć wewnętrzna zastępuje VPN dla pracowników?
Nie. Sieć wewnętrzna łączy serwery między sobą wewnątrz centrum danych. Zdalny dostęp administratorów i pracowników do tych systemów to osobne zagadnienie, które realizuje się przez VPN albo bastion host z kontrolą dostępu.
Ile kosztuje sieć wewnętrzna w Sprint Data Center?
Zgodnie z cennikiem usług dodatkowych sieć wewnętrzna 1 Gb/s to 25 zł netto miesięcznie, a wariant 10 Gb/s — 250 zł netto miesięcznie (stan na sierpień 2026). Aktualne stawki i warunki zawsze warto potwierdzić na stronie oferty lub u opiekuna handlowego.
Czy ruch w sieci wewnętrznej wlicza się do limitu transferu?
Limit transferu w ofercie serwerów dedykowanych dotyczy ruchu internetowego. Sposób rozliczania ruchu w sieci prywatnej warto potwierdzić przy zamawianiu usługi, zwłaszcza jeśli planujesz przesyłać przez nią duże kopie zapasowe lub prowadzić stałą replikację bazy danych.
Artykuł powstał z wykorzystaniem narzędzi sztucznej inteligencji (AI) pod nadzorem zespołu Sprint Data Center. Grafika ilustracyjna została wygenerowana przez AI.