Inteligentna żarówka potrzebuje internetu, ale zwykle nie potrzebuje dostępu do dokumentów na komputerze. Kamera może wysyłać nagrania do rejestratora, lecz nie powinna swobodnie łączyć się z każdym urządzeniem w domu. Wydzielenie sieci IoT polega właśnie na ograniczeniu takich połączeń. Druga nazwa Wi-Fi sama w sobie jeszcze tego nie zapewnia.
Dobrze zaprojektowany podział zmniejsza skutki przejęcia jednego urządzenia i ułatwia kontrolę ruchu. Musi jednak uwzględniać sposób obsługi sprzętu: część urządzeń działa przez chmurę producenta, inne wymagają lokalnego połączenia z telefonem, centralą lub serwerem Home Assistant.
Co naprawdę oddziela urządzenia?
SSID to nazwa sieci bezprzewodowej. Router może nadawać dwa SSID, a mimo to wpuszczać wszystkich klientów do tej samej sieci lokalnej. O bezpieczeństwie decyduje przypisanie do osobnej sieci i reguły ograniczające komunikację, nie nazwa „Smart Home”.
Sieć gościnna jest najprostszym rozwiązaniem w wielu domowych routerach. Może blokować dostęp do LAN i pozwalać wyłącznie na internet. Zakres izolacji zależy jednak od modelu i ustawień. Sprawdź, czy blokada obejmuje zarówno urządzenia przewodowe, jak i główne Wi-Fi, czy goście mogą komunikować się między sobą oraz czy izolacja działa również przez dodatkowy punkt dostępowy.
VLAN umożliwia logiczne rozdzielenie ruchu w infrastrukturze, która go obsługuje. Zwykle potrzebujesz routera z obsługą oddzielnych sieci i zapory, a przy rozbudowanej instalacji także odpowiedniego switcha i punktu dostępowego. Samo przypisanie numeru VLAN nie definiuje jeszcze, które połączenia są dozwolone pomiędzy sieciami. To zadanie reguł zapory.
Wybierz podział pasujący do domowego sprzętu
| Jak działają urządzenia | Rozsądny punkt wyjścia | Co sprawdzić |
|---|---|---|
| Żarówki i gniazdka obsługiwane wyłącznie przez chmurę | Sieć gościnna bez dostępu do LAN | Czy parowanie i późniejsza obsługa działają po przeniesieniu telefonu do głównej sieci |
| Urządzenia sterowane przez lokalną centralę | Osobna sieć IoT z ograniczonym dostępem do centrali | Kierunek komunikacji i porty wymagane przez integrację |
| Kamery i lokalny rejestrator | Wydzielona sieć dla kamer oraz świadomie ustawiony dostęp do rejestratora | Czy kamery rzeczywiście potrzebują internetu i kto może oglądać obraz |
| Sprzęt korzystający z lokalnego wykrywania | Podział z kontrolowaną obsługą wykrywania i odpowiednimi wyjątkami | mDNS, multicast oraz wymagania konkretnego protokołu |
Nie twórz kilkunastu segmentów, jeżeli potem nie będziesz potrafił ich utrzymać. W typowym domu sensowny początek to sieć zaufana dla komputerów, osobna sieć IoT oraz sieć dla gości. Urządzenia służbowe mogą wymagać dodatkowych zasad wynikających z polityki pracodawcy.
Najprostsza konfiguracja: IoT w sieci gościnnej
Zaloguj się do panelu routera z zaufanego urządzenia i znajdź ustawienia sieci gościnnej. Włącz osobną nazwę oraz mocne hasło. Wybierz zabezpieczenie obsługiwane przez urządzenia — starszy sprzęt IoT może wymagać WPA2-Personal z AES. Nie rozwiązuj problemu zgodności przez włączenie WEP, otwartej sieci albo przestarzałego TKIP.
Wyłącz opcję dostępu gości do sieci lokalnej. Jeśli router pozwala również izolować klientów od siebie, zastanów się, czy urządzenia muszą rozmawiać z lokalną centralą lub innymi akcesoriami. Izolacja klientów i izolacja od głównego LAN to różne funkcje. Pierwsza może uniemożliwić działanie instalacji, mimo że dostęp do internetu pozostaje prawidłowy.
Wiele prostych akcesoriów korzysta tylko z 2,4 GHz. Oddzielne SSID dla tego pasma może ułatwić pierwsze parowanie. Nie oznacza to jednak konieczności przenoszenia wszystkich urządzeń domowych na 2,4 GHz. Różnice opisuje poradnik o wyborze pasma Wi-Fi.
Przenoś urządzenia pojedynczo. Po każdym sprawdź sterowanie z telefonu, automatyzacje, działanie po restarcie i dostęp zdalny, jeśli go używasz. Telefon może chwilowo potrzebować tej samej sieci podczas konfiguracji; nie wyciągaj z tego wniosku, że musi pozostać w niej na stałe.
Gdy potrzebujesz VLAN: planuj reguły przed klikaniem
Zapisz, jakie połączenia są potrzebne. Przykładowo telefon w sieci zaufanej ma sterować centralą, centrala ma łączyć się z czujnikami, a żarówki nie mają inicjować połączeń do komputerów. Dla sieci IoT utwórz oddzielną podsieć i usługę DHCP. Upewnij się, że wybrane adresy nie nakładają się na sieć główną lub sieć używanego VPN.
Bezpieczna reguła wyjściowa blokuje nowe połączenia z IoT do sieci zaufanej. Potem dodajesz konkretne wyjątki dla wymaganych adresów i usług. W zaporze stanowej odpowiedzi na dozwolone połączenia muszą działać; nie zastępuj tego szeroką regułą pozwalającą na cały ruch w obu kierunkach. Kolejność reguł zależy od interfejsu routera, więc sprawdzaj dokumentację danego systemu.
Uwzględnij DNS, synchronizację czasu i DHCP, które mogą być świadczone przez sam router. Warto osobno ograniczyć dostęp IoT do panelu administracyjnego. Jeżeli sieć ma IPv6, sprawdź również reguły dla IPv6 — blokada wyłącznie IPv4 nie jest pełnym podziałem.
Port do punktu dostępowego może przenosić kilka VLAN-ów jako połączenie trunk, a port przewodowej kamery zwykle należy do jednego segmentu bez tagowania. Błędne przypisanie portu może odciąć zarządzanie. Konfiguruj z komputera podłączonego do sprawnego, zaufanego portu i zachowaj kopię ustawień routera przed zmianami.
Dlaczego po podziale znika wykrywanie urządzeń?
Lokalne wykrywanie często korzysta z multicastu, w tym mDNS, który nie przechodzi automatycznie pomiędzy podsieciami. Niektóre routery oferują proxy lub reflektor mDNS. Włączenie go może pomóc odnaleźć urządzenie, ale samo wykrycie nie otwiera połączenia sterującego. Potrzebne są jeszcze właściwe reguły zapory dla usług danego urządzenia.
Nie każdy protokół wykrywania to mDNS. Jeśli po włączeniu proxy aplikacja nadal nie działa, sprawdź dokumentację integracji, zamiast wyłączać całą izolację. Dla centrali o stałym adresie pomocna bywa rezerwacja adresu IP, dzięki której wyjątki nie przestają działać po zmianie dzierżawy DHCP.
Potwierdź podział zwykłym testem
Podłącz laptop do sieci IoT i spróbuj otworzyć znaną usługę w sieci głównej, na przykład własny udział plikowy lub panel testowego urządzenia. Powinna być niedostępna, jeżeli reguły ją blokują. Sam brak odpowiedzi na ping nie wystarcza: komputer może ignorować ping niezależnie od segmentacji.
Następnie sprawdź dozwolone funkcje i logi zapory. Jeśli wszystko działa, aktualizuj firmware urządzeń i usuń niepotrzebne przekierowania portów. Wydzielona sieć ogranicza zasięg problemu, lecz nie zastępuje aktualizacji, dobrych haseł ani zabezpieczenia panelu routera.
