☰

홈 네트워크 분리 | 지침 및 예시

tag-icon • tag-icon networking wireless-networking router firewall vlan
홈 네트워크 분리 | 지침 및 예시

우선, 여기에 질문을 할 수 있게 되어 감사드립니다. 곧 내 첫 번째 4개의 벽으로 이사하게 되어 기쁘고, 지금이 네트워크 보안과 격리를 해결해야 할 적절한 시기라고 느꼈습니다. 언제나 그렇듯이, 처음부터 올바르게 수행하는 것이 가장 좋고 쉬운 방법일 것입니다.

지금까지 확인한 리소스:

온라인 강좌와 같은 다른 리소스도 확인했지만 신속하게 요약할 수 있는 결과가 나오지 않았습니다.

설정 및 문제:

아파트에는 Philips Hue 전구, Raspberry Pi(아마도 이더넷으로 연결됨), 스마트 콘센트, Amazon Fire TV 스틱 등 여러 IoT 장치가 있을 것입니다. [이것들은 모두 무선으로 연결될 것입니다.] 그리고 노트북 두 대도 있습니다. 무선으로], 그리고 미래에는 분석 중인 사진, 영화 또는 빅 데이터[가능한 경우 이더넷]를 저장하기 위한 홈 서버가 될 수도 있습니다.

제가 하고 싶은 것은 랩톱을 별도의 VLAN에 배치하고, IoT 장치를 또 다른 VLAN에, 서버를 또 다른 VLAN에, 아마도 Raspberry Pi를 네 번째 VLAN에 배치하는 것입니다. 이는 트래픽을 증가시키는 데 사용됩니다.
보안 문제 때문에 특히 IoT 장치에 그렇게 하고 싶습니다. 따라서 방화벽을 올바르게 구성해야 합니다. 특히 이와 관련된 리소스는 높이 평가됩니다.

이 질문으로 내가 찾고 있는 것은 무엇인가

저는 두 가지를 찾고 있습니다.
- 하나의 장치에 라우터, 스위치, 모뎀(무선 액세스 포인트도 포함)을 갖고 싶습니다. - 사용할 라우터입니다. 무선으로도 VLAN을 설정할 수 있는 (합리적인 가격의 장치)가 있습니까? 일반적으로 대부분의 최신 라우터가 이를 지원합니까?
- 장치가 이 작업을 수행할 수 있는지 여부를 제품 사양에서 어떻게 읽을 수 있습니까? 어떤 표준을 지원해야 합니까? 802.1Q?

추가 질문

  • 제가 아는 한, 대부분의 IoT 장치는 로컬로 통신합니다. 그게 사실인가요? 즉, 스마트 콘센트를 끄려면 동일한 네트워크에 있어야 합니까? (직접 시도해 보겠지만 아직 이러한 장치가 없습니다...)
  • 방화벽에는 간단한 규칙이 있습니다. 즉, IotDevice.VLAN - 아웃바운드 연결을 시작할 수 없습니다.
    그러나 일부 VLAN이 그렇게 할 수 있다면 완벽할 것입니다. 예를 들어, privateLaptop.VLAN은 StorageServer.VLAN 및 raspberryPi.VLAN에 연결할 수 있어야 합니다. 이러한 맥락에서 단순히 VLAN에 대한 아이디어를 버리고 구현할 방화벽 규칙을 생각하는 것이 바람직합니까? 아니면 방화벽 규칙과 VLAN을 함께 사용하는 것이 더 나은 아이디어입니까?

이러한 목표를 달성하는 데 도움이 된다면 라우터에 사용자 정의 펌웨어를 설치할 의향이 있습니다.
이 주제를 읽는 데 사용할 수 있는 다른 리소스도 높이 평가됩니다.

감사해요!

PS: 제가 상상하는 네트워크는 다음과 같습니다. 불분명한 사항이 있을 경우를 대비해 더 잘 이해할 수 있도록 설정이 어떻게 될지 상상하는 이미지를 추가했습니다.

답변1

집에서 이러한 설정을 위한 일반적인 하드웨어 옵션에 대해 설명하겠습니다. 특히 어떤 하드웨어를 선택하는지에 따라 달라지기 때문에 세부 구성에 들어가는 것은 더 구체적인 질문이나 채팅을 위해 남겨두는 것이 좋습니다.

속도에 관한 몇 가지 참고사항

나는 또한 전반적인 네트워크 처리량을 무시하고 있습니다. 일반적으로 하나의 VLAN 내에서 전체 스위치 속도를 달성해야 합니다. VLAN 전반에 걸쳐 라우터에 의해 제한됩니다(라우터 CPU 및 하드웨어 오프로드에 따라 다름). 인터넷 접속은 라우터(이번에는 NAT를 포함한 CPU 및 오프로드)에 의해 다시 제한됩니다. 100달러 미만의 라우터에서는 NAT를 통해 인터넷으로 연결되는 속도가 약 100~300Mbps로 제한되는 것을 흔히 볼 수 있습니다. 인터넷 연결 속도가 더 빠르면 더 강력한 하드웨어가 필요합니다.

제품 유형

  • VLAN은 비즈니스/기업 네트워킹 장비 사이에서 상당히 표준적인 것입니다. 이러한 장치는 일반적으로 하나의 상자에 모두 포함되지는 않고 별도의 장치로 제공되지만 일반적으로 원하는 작업을 수행합니다. 가장 좋은 방법은 사양 표를 보는 것뿐만 아니라 사용 가능한 구성 옵션에 대한 설명서도 살펴보는 것입니다.
  • 소비자 장비용 맞춤형 펌웨어도 VLAN을 지원하는 경우가 많지만 일반적으로 새로 플래시하는 하드웨어에 따라 부족할 수 있습니다. 물론, 맞춤형 펌웨어에 대한 지원이 불가능하고 불안정할 가능성이 있다는 일반적인 주의 사항이 있습니다. 플래시에 적합한 하드웨어를 찾으려면 상당한 조사를 하고 개발 노트와 포럼 주제를 읽어야 합니다.
    • 플래시하는 펌웨어에 따라 구성이 어려울 수 있지만 순수한 소프트웨어 라우팅은 일반적으로 작동합니다.
    • 하드웨어에 따라 스위치가 작동할 수도 있고 작동하지 않을 수도 있습니다. 일부 소비자 라우터는 각 포트를 개별적으로 소프트웨어에 노출하므로(소프트웨어에서 eth0부터 eth4까지 볼 수 있음) 포트 기반 VLAN 태그를 적용할 수 있습니다. 다른 사람들은 하드웨어 스위치를 사용합니다(따라서 WAN 포트에 대해 eth0이 표시되고 모든 LAN 포트에 대해 집계된 eth1이 표시될 수 있음). 이는 사용자 정의 펌웨어의 포트를 구별할 수 없으며 라우터에 도달하기 전에 태그를 지정합니다.
    • 무선 기능은 하드웨어에 따라 다르며 불안정한 것부터 안정적이지만 가상 AP를 지원하지 않는 것, 가상 AP(및 VLAN 태깅) 지원이 있는 안정적인 것까지 다양합니다.
    • 내장된 모뎀 기능이 작동하지 않을 수 있습니다. 이것은 별도의 모뎀이 없다고 가정합니다.
  • 재고 펌웨어에서 VLAN을 지원하는 소비자 라우터에 대해서는 거의 잊어버릴 수 있습니다. 이를 수행하는 소수는 귀하의 삶을 지옥으로 만들 것이며 귀하가 구상하고 있는 고급 설정을 지원하지 않을 가능성이 높습니다(내가 본 것 중 최고는 때때로 포트를 VLAN으로 "그룹화"할 수 있는 Billion 장치에서입니다).
  • (상당히 더 복잡한) 옵션 중 하나는 자신만의 상자를 만드는 것입니다. 여러 NIC가 포함된 x86 또는 ARM 미니 서버(NUC와 유사)를 구입한 다음 라우터 OS(예: pfSense, 일반 Linux에서도 가능)를 로드하고 구성할 수 있습니다. 표준 ATX PC에 여러 개의 NIC를 설치하고 WLAN 카드를 추가하는 등의 작업을 수행할 수도 있습니다. 이는 가장 유연한 옵션이지만 많은 작업과 연구가 필요하며 비용도 저렴하지 않습니다.이 Coding Horror 블로그 게시물은 시작하기에 좋은 장소입니다.

복잡성이 증가하는 순서대로 몇 가지 사례를 살펴보겠습니다.

별도의 네트워크 장치를 갖춘 유선 네트워크

VLAN 네트워킹에 관한 한 이는 매우 간단합니다.

당신은 다음이 필요합니다

  • 라우터. 단순한 소비자 게이트웨이가 아닌 적절한 라우터입니다. 비즈니스/기업 장비 또는 맞춤형 펌웨어를 보고 계십니다. VLAN, VLAN 간 라우팅, 개방형 인터넷에 대한 NAT 게이트웨이를 지원해야 합니다.
  • 포트에 VLAN(태그)을 할당할 수 있는 관리형 스위치. 802.1Q 지원이 필요하지만,~ 해야 하다관리 인터페이스가 있습니다! "조심하세요.스마트 스위치" - 대부분 작동하지만 예를 들어 TP-Link의 경우쉬운스마트 스위치 제품군에는 웹 UI가 없으며 이를 제어하려면 Windows 프로그램이 필요합니다.

이것은 매우 간단합니다. 프레임이 스위치에 들어갈 때 태그를 지정하면 VLAN이 서로 직접 통신하는 것을 방지할 수 있습니다. 그런 다음 VLAN 간에 라우팅할 수 있습니다(마치 완전히 별도의 네트워크인 것처럼 라우터에서는 이를 별도의 (가상) 인터페이스로 표시할 것입니다). 라우터에 따라 특정 VLAN만 인터넷에 액세스하도록 허용하고 하나의 VLAN만 다른 VLAN에 대한 연결(예: 단방향)을 시작하도록 허용하도록 방화벽 규칙을 설정할 수 있습니다.

여담으로, VLAN이 네트워킹 장비의 관리 인터페이스에 액세스하지 못하도록 방지하는 것을 잊지 마십시오!

별도의 네트워크 장치를 갖춘 무선 네트워크

유선 네트워크를 무선으로 만들기 위해 무엇을 추가합니까? 무선 액세스 포인트! 불행하게도 이는 가정용으로 사용하기에는 다소 모호한 요구 사항이므로 비즈니스 장비를 고수하거나 설명서 및 포럼 게시물을 검색해야 합니다. 맞춤형 펌웨어~할 수 있었다여기서도 일해요.

단순히 스위치의 다른 포트에 연결하고 스위치가 태깅을 처리하도록 하는 물리적으로 별도의 AP를 갖는 가난한 사람을 위한 솔루션도 있습니다.

VLAN 태깅을 지원하는 AP의 경우 가장 간단한 방법은 네트워크별(SSID) 태그를 지정하는 것입니다. 하나의 AP에 여러 무선 네트워크를 보유하는 기능을 가상 액세스 포인트라고도 합니다.

단일 네트워크 장치의 유선 네트워크

브리징을 통해 의사 스위치 역할을 할 수 있는 여러 포트가 있는 일부 비즈니스/기업 라우터가 있습니다. 위에서 언급한 주의 사항(하드웨어는 포트를 소프트웨어에 독립적인 NIC로 노출해야 함)에 따라 맞춤형 펌웨어도 작동할 수 있습니다. 유선 장치가 많은 경우 관리형 스위치를 추가해야 할 수도 있습니다.

단일 장치의 무선 네트워크

액세스 포인트도 통합하는 비즈니스/기업 라우터에 대해 알지 못하므로 소비자 하드웨어에 갇혀 있습니다. 이러한 설정은 사용자 정의 펌웨어를 사용하여 가능할 수 있습니다. 맞춤형 펌웨어와 작동하는 하드웨어 찾기모든한 번에 기능이 어려울 수 있습니다.

빠른 추천

상대적으로 설정이 간단하고 신뢰할 수 있는 다중 장치 Ubiquiti Unifi 제품군을 살펴보는 것이 좋습니다. 물론 이것은 가장 저렴한 옵션은 아닙니다. 그러나 하나의 중앙 위치에서 여러 장치를 관리할 수 있습니다.

실패하면 수동 다중 장치 설정을 고려할 수 있습니다. 예를 들어, 저는 Ubiquiti ER-X(비 Unifi) 라우터, TP-Link 관리형 스위치("Smart Switch",~ 아니다"Easy Smart Switch") 및 Unifi AP는 모두 독립적으로 관리됩니다. 더 저렴하지만 좀 더 복잡합니다.

가장 저렴한 옵션은 소비자 장비를 사용하고 맞춤형 펌웨어로 플래시하는 것입니다. dd-wrt와 OpenWrt는 모두 옵션이며 이는하다단일 장치 목표를 실현할 수 있지만 가장 까다롭고 실패 가능성이 가장 높은 방법이기도 합니다. 다시 말하지만, 독립 NIC 요구 사항과 포트가 부족한 경우 추가 스위치 가능성을 염두에 두십시오.

관련 정보