Что подключено к сети офиса: карта устройств за 10 минут

Что на самом деле сидит в вашей сети

Попросите администратора магазина или клиники назвать число устройств в локальной сети. Скорее всего, прозвучит цифра из головы: пять компьютеров, касса, принтер, роутер. Потом выясняется, что есть ещё две камеры, которые ставил подрядчик три года назад, сетевое хранилище, бухгалтерский ноутбук с домашним Wi-Fi-репитером и чей-то смартфон, подключённый к рабочей сети.

Пока всё работает, это никого не волнует. Проблемы начинаются в трёх случаях. Старая камера с заводским паролем становится дырой. В сети появляется устройство, которого там быть не должно. Или что-то ломается, и никто не знает, какой из десяти одинаковых адресов принадлежит кассе.

Что такое LAN Orangutan

Это self-hosted инструмент обнаружения устройств на Go от студии 291 Group. Репозиторий: github.com/291-Group/LAN-Orangutan. Лицензия MIT, то есть можно использовать в коммерческой компании без оплаты. Около тысячи звёзд на GitHub, на момент написания последняя версия 3.3.8 вышла 9 августа 2026 года, а релизы шли регулярно все лето.

Внутри работает nmap, обёрнутый в веб-панель и командную строку. Что умеет:

• находить устройства в сети и показывать их списком с IP, именем и статусом онлайн или офлайн;
• давать устройствам понятные названия, раскладывать по группам и оставлять заметки, которые сохраняются между сканированиями;
• работать с несколькими сетями сразу, например с офисной и складской;
• определять тип устройства (телефон, принтер, телевизор, роутер) и показывать иконку;
• помечать сервисы с повышенным риском и отслеживать смену IP-адреса у устройства (по описанию релиза 3.3.8);
• подтягивать список узлов Tailscale, если вы им пользуетесь для удалённого доступа;
• выгружать список в JSON и CSV для таблицы или отчёта.

Как поставить за десять минут

Вариантов два. Первый: скачать бинарник со страницы релизов, установить nmap и запустить командой serve. Есть также пакеты .deb, .rpm и .apk. Второй: Docker. В репозитории лежит готовый docker-compose.yml, достаточно скачать его и выполнить docker compose up -d.

Панель открывается на порту 291. При первом заходе программа просит создать пароль, без него дальше ничего не доступно. Пароль хранится в виде bcrypt-хеша, после пяти неверных попыток адрес блокируется на пятнадцать минут. Настройки можно менять через файл config.ini или переменные окружения, например ORANGUTAN_DATA_DIR задаёт каталог данных.

Дальше нужен один запуск сканирования. В командной строке это sudo orangutan scan для основной сети или orangutan scan с адресом подсети. Через минуту-две в панели появится список. Остаётся пройти по нему, подписать знакомые устройства и отметить незнакомые.

Что делать с найденным

Незнакомое устройство. Найдите, где физически стоит. Сверьтесь с производителем по MAC-адресу, с сотрудниками, с подрядчиками. Если никто не признаётся, смените пароль Wi-Fi.

Камеры и регистраторы. Проверьте, что пароль не заводской, прошивка свежая, а сама камера не открыта в интернет через проброс порта. Для доступа снаружи правильнее VPN, чем открытый порт. Мы писали об этом в материале про удалённый офис с VPN.

Принтеры, МФУ, сетевые хранилища. Это самые забытые устройства. Им нужны отдельные пароли администратора и обновления. Хранилище с бухгалтерией и ячейками клиентов должно быть в списке с пометкой «критично».

Гостевые и личные устройства. Телефоны сотрудников и посетителей лучше вынести в отдельную гостевую сеть на роутере. Тогда они не окажутся рядом с кассой и сервером. В панели для этого пригодятся группы: рабочие, оборудование, гости.

Что важно учесть: честные ограничения

Права. Nmap ставится отдельно. Чтобы увидеть MAC-адреса и производителей, программу нужно запускать с правами администратора (sudo в Linux, запуск от имени администратора в Windows). Без них видны только IP и имена, а различить устройства сложнее.

Docker. Полный режим работает только в Linux с host-сетью. В Docker Desktop на Windows и macOS сеть виртуальная, и сканирование может показывать устройства, которых на самом деле нет. Для офиса лучше отдельный мини-ПК с Linux.

Сегменты. Если в офисе несколько подсетей за маршрутизатором, в результатах для удалённой подсети не будет MAC-адресов и производителей. Эти данные берутся из ARP и работают только в своём сегменте. Держите сканер внутри каждой подсети.

HTTPS. Встроенного шифрования нет. Панель стоит закрыть обратным прокси с сертификатом или открывать через Tailscale. В интернет её выставлять нельзя.

Язык. Интерфейс английский, русской локализации нет. Администратору этого хватит, директору магазина вряд ли. Русский отчёт можно собрать из JSON-выгрузки.

Хранение данных. Метки, группы и заметки хранятся в файлах в каталоге данных на том компьютере, где работает программа. Внешней базы нет. Копируйте этот каталог, иначе после переустановки подписи пропадут.

Масштаб. Это инвентарь, а не система мониторинга. Он не сообщит, что принтер упал. Для этого нужен отдельный мониторинг, про такие связки есть материал о self-hosted инфраструктуре.

Только своя сеть

Это правило важнее любой настройки. Сканировать можно сеть, которой вы владеете, или сеть, где у вас есть письменное разрешение владельца. Чужую сеть, соседский Wi-Fi, гостиничную или кафе-сеть сканировать нельзя. Автор программы тоже прямо пишет, что она предназначена для своих сетей. Если вы администратор по договору, возьмите у клиента короткое письменное согласие на инвентаризацию, где указаны подсети и даты.

Про сам инструмент: он ничего не взламывает. Он показывает, какие устройства откликаются в сети, и всё. Подбирать пароли и обходить защиту здесь нечем и незачем.

Что можно сделать уже сейчас

Шаг первый. Возьмите мини-ПК или старый системный блок под Linux и установите LAN Orangutan с готовым docker-compose.

Шаг второй. Распечатайте список и пройдитесь по офису. Против каждого устройства напишите владельца и место. Незнакомые адреса отметьте красным.

Шаг третий. Разделите сеть на рабочую, гостевую и сеть оборудования. Смените пароли на камерах, принтерах и роутере.

Шаг четвёртый. Включите регулярное сканирование раз в сутки и раз в месяц сверяйте список. Новый адрес в списке повод спросить, что это.

Частые вопросы

Нужен ли системный администратор, чтобы этим пользоваться?

Поставить и запустить сможет любой, кто работал с командной строкой. Разбирать найденное, делить сеть и менять настройки роутера сложнее. Здесь пригодится админ или ИТ-аутсорсинг.

Можно ли сканировать сеть клиента?

Только с письменного разрешения владельца сети и на согласованные подсети. Без разрешения нельзя.

Заменит ли он антивирус и защиту от шифровальщиков?

Нет. Он показывает, что есть в сети. Защита строится отдельно, об этом материал про программы-вымогатели.

Коротко о главном

Карту устройств можно собрать за десять минут и бесплатно. Самое полезное в ней обычно две-три строки, которые никто не узнаёт. С них и стоит начинать наведение порядка.

Мы разворачиваем такие инструменты под ключ: ставим на отдельный мини-сервер, закрываем паролем и HTTPS, настраиваем сети и пароли на оборудовании, делаем русский отчёт для руководителя. Подробности на странице ИТ-инфраструктуры. Напишите мне в Telegram слово «СЕТЬ», и я отвечу, как лучше сделать в вашем офисе.