Прежде всего, спасибо за возможность задать здесь свой вопрос. Я с нетерпением жду возможности вскоре переехать в свои первые 4 стены и почувствовал, что сейчас самое время заняться сетевой безопасностью и изоляцией. Как всегда, лучше и проще всего сделать это с самого начала.
Ресурсы, которые я проверил на данный момент:
- вывод: VLAN работают на уровне 2, для повышения безопасности необходимо что-то на уровне 3
- общий обзор беспроводной сети VLAN
- как настроить коммутатор для VLAN
- Думайте о VLAN как о виртуальных коммутаторах
- не усложняй слишком сильно
Есть и другие ресурсы, например, онлайн-курс, который я проверил, но они не дали никаких быстрых обобщающих результатов.
Настройка и проблема:
У меня в квартире будет несколько устройств Интернета вещей — лампочки Philips Hue, Raspberry Pi [вероятно, подключенный через Ethernet], умные розетки, телевизионная приставка Amazon Fire TV Stick и т. д. [все они будут подключены по беспроводной сети], а также два ноутбука [тоже по беспроводной сети] и, возможно, в будущем домашний сервер для хранения фотографий, фильмов или больших объемов данных [если возможно, через Ethernet], которые будут анализироваться.
Я бы хотел поместить ноутбуки в их собственную отдельную VLAN, устройства IoT в другую, сервер в еще одну, и, возможно, Raspberry Pi в четвертую - она будет использоваться для торификации трафика.
Я хочу сделать это, особенно для устройств IoT, из соображений безопасности. Поэтому мне нужно будет правильно настроить свой брандмауэр - любые ресурсы, особенно по этому вопросу, будут высоко оценены.
Что я ищу в этом вопросе
Мне нужны две вещи:
- Я хотел бы иметь маршрутизатор, коммутатор и модем (а также беспроводную точку доступа) в одном устройстве - маршрутизаторе, который я буду использовать. Есть ли (недорогое устройство), которое может настраивать VLAN, также беспроводным способом? Поддерживают ли это большинство современных маршрутизаторов?
- Как узнать из спецификации продукта, может ли устройство делать это или нет? Какие стандарты должны поддерживаться? 802.1Q?
Дополнительный вопрос)
- Насколько мне известно, большинство устройств IoT взаимодействуют локально — это правда? Другими словами, если я хочу выключить умную розетку, мне нужно быть в той же сети (я бы попробовал сам, но у меня пока нет таких устройств...)
- Брандмауэр будет иметь простые правила: Ie IotDevice.VLAN - не разрешено инициировать исходящие соединения.
Однако было бы идеально, если бы некоторые VLAN могли это делать. Например, privateLaptop.VLAN должен иметь возможность подключаться к storageServer.VLAN и raspberryPi.VLAN. В этом контексте целесообразно ли просто отказаться от идеи VLAN и подумать о реализации правил брандмауэра? Или VLAN вместе с правилами брандмауэра - лучшая идея?
Я готов установить кастомную прошивку на маршрутизатор, если это поможет мне достичь этих целей.
Любые другие ресурсы, которые я могу использовать для чтения по этой теме, также высоко ценятся.
Спасибо!
PS: Вот как я себе представляю эту сеть: 
решение1
Я собираюсь описать ваши общие параметры оборудования для такой домашней установки. Подробное описание конфигурации лучше оставить для более конкретных вопросов или даже чата, тем более, что оно будет зависеть от выбранного вами оборудования.
Некоторые заметки о скорости
Я также как бы игнорирую общую пропускную способность сети. Обычно вы должны достичь полной скорости коммутатора в пределах одной VLAN. В пределах VLAN вы будете ограничены вашим маршрутизатором (в зависимости от CPU маршрутизатора и аппаратной разгрузки). В Интернете вы снова будете ограничены вашим маршрутизатором (CPU и разгрузка, включая NAT на этот раз). С маршрутизаторами стоимостью менее 100 долларов не редкость увидеть ограничение около 100-300 Мбит/с через NAT в Интернет. Вам понадобится более мощное оборудование, если у вас более быстрое подключение к Интернету.
Типы продукции
- VLAN довольно стандартны среди сетевого оборудования для бизнеса/предприятий. Хотя они обычно поставляются как отдельные устройства, а не все в одной коробке, они обычно будут делать то, что вам нужно. Лучше всего не просто смотреть на таблицы спецификаций, но и заглянуть в руководство по доступным параметрам конфигурации.
- Пользовательские прошивки для потребительского оборудования также часто поддерживают VLAN, но могут отсутствовать, обычно в зависимости от оборудования, которое вы перепрошиваете. Конечно, есть обычное предостережение об отсутствии поддержки и потенциальной нестабильности с пользовательскими прошивками. Вам нужно будет провести довольно много исследований, почитать заметки разработчиков и темы на форумах, чтобы найти подходящее оборудование для прошивки.
- Чисто программная маршрутизация обычно работает, хотя настройка может быть сложной в зависимости от того, какую прошивку вы прошиваете.
- Коммутатор может работать или не работать в зависимости от оборудования. Некоторые потребительские маршрутизаторы предоставляют каждый порт индивидуально программному обеспечению (так что вы видите eth0 через eth4 в программном обеспечении), что позволяет вам применять теги VLAN на основе портов. Другие будут использовать аппаратный коммутатор (так что вы можете видеть eth0 для порта WAN и агрегированный eth1 для всех портов LAN), что означает, что вы не можете различать порты в пользовательской прошивке, и вам понадобится отдельный (управляемый) коммутатор для применения тегов до того, как они достигнут маршрутизатора.
- Функциональность беспроводной сети также зависит от оборудования и варьируется от нестабильной до стабильной, но без поддержки виртуальной точки доступа, до стабильной с поддержкой виртуальной точки доступа (и тегирования VLAN).
- Любая встроенная функция модема может не работать. Это при условии, что у вас нет отдельного модема.
- Вы можете забыть о маршрутизаторах для потребителей, поддерживающих VLAN в стандартной прошивке. Те немногие, которые это делают, превратят вашу жизнь в ад и, скорее всего, не будут поддерживать расширенную настройку, которую вы себе представляете (лучшее, что я видел, это устройства Billion, которые иногда позволяют вам «группировать» порты в VLAN).
- Один (значительно более сложный) вариант — собрать свой собственный ящик. Можно купить мини-сервер x86 или ARM (похожий на NUC) с несколькими сетевыми картами, на которые затем можно загрузить ОС маршрутизатора (например, pfSense; вы даже можете сделать это с помощью простого Linux) и настроить. Вы также можете установить несколько сетевых карт в стандартный ПК ATX, добавить карты WLAN и т. д. Это самый гибкий вариант, но он требует много работы и исследований — и к тому же не будет дешевым.Эта запись в блоге Coding Horror — хорошее место для начала.
Я разберу несколько случаев в порядке возрастания сложности.
Проводная сеть с отдельными сетевыми устройствами
Это довольно просто, если говорить о сетях VLAN.
Тебе нужно:
- Маршрутизатор. Настоящий маршрутизатор, а не просто потребительский шлюз. Вы смотрите либо на бизнес/корпоративное оборудование, либо на пользовательскую прошивку. Он должен поддерживать VLAN, маршрутизацию между VLAN и шлюз NAT в открытый интернет.
- Управляемый коммутатор, который позволит вам назначить VLAN (тег) портам. Хотя вам нужна поддержка 802.1Q, вы такжедолжениметь интерфейс управления! Будьте осторожны с "умные переключатели" - большинство будет работать, но, например, TP-LinkЛегкийУстройства серии Smart Switch не имеют веб-интерфейса и для управления ими требуется программа Windows.
Это довольно просто. Вы помечаете кадры, когда они поступают в коммутатор, что не позволяет VLAN напрямую общаться друг с другом. Затем вы можете маршрутизировать между VLAN (как если бы они были полностью отдельными сетями — ваш маршрутизатор, вероятно, будет показывать их как отдельные (виртуальные) интерфейсы). Вы можете, в зависимости от вашего маршрутизатора, настроить правила брандмауэра, чтобы разрешить только определенным VLAN доступ в Интернет и разрешить только одной VLAN инициировать соединения с другой (т. е. односторонние).
Кстати, не забудьте запретить сетям VLAN доступ к интерфейсу управления вашего сетевого оборудования!
Беспроводная сеть с отдельными сетевыми устройствами
Что нужно добавить к проводной сети, чтобы сделать ее беспроводной? Беспроводные точки доступа! К сожалению, это немного неясное требование для домашнего использования, поэтому вам придется придерживаться бизнес-оборудования — или просматривать руководства и сообщения на форумах. Пользовательская прошивкамогтакже работаю здесь.
Существует также решение для бедных, когда используются физически отдельные точки доступа, которые просто подключаются к разным портам коммутатора и позволяют коммутатору выполнять маркировку.
С AP, поддерживающей тегирование VLAN, самый простой метод — тегирование по сети (SSID). Возможность иметь несколько беспроводных сетей на одной AP иногда называют виртуальными точками доступа.
Проводная сеть в одном сетевом устройстве
Существуют некоторые бизнес-/корпоративные маршрутизаторы с несколькими портами, которые могут работать как псевдокоммутатор (через мост). Пользовательская прошивка также может работать, с оговоркой, упомянутой выше (ваше оборудование должно предоставлять порты как независимые сетевые карты для программного обеспечения). Если у вас много проводных устройств, вам также может потребоваться добавить дополнительный управляемый коммутатор.
Беспроводная сеть в одном устройстве
Я не знаю ни одного маршрутизатора для бизнеса/предприятий, который также интегрирует точку доступа, поэтому вы застряли с потребительским оборудованием. Такая настройка может быть возможна с пользовательской прошивкой. Поиск оборудования, которое работает с пользовательской прошивкой длякаждыйодновременное выполнение функций может быть затруднено.
Краткая рекомендация
Я бы посоветовал рассмотреть многоустройственную линейку Ubiquiti Unifi как что-то простое, относительно простое в настройке и надежное. Это, конечно, не самый дешевый вариант. Однако он позволяет управлять несколькими устройствами из одного центрального местоположения.
Если это не получится, можно рассмотреть ручную настройку нескольких устройств. Например, я использую (как надежный/дешевый вариант) маршрутизатор Ubiquiti ER-X (не Unifi), управляемый коммутатор TP-Link («Smart Switch»,нет"Easy Smart Switch") и точки доступа Unifi, все управляются независимо. Дешевле, но несколько сложнее.
Самый дешевый вариант — взять потребительское оборудование и прошить его кастомной прошивкой. dd-wrt и OpenWrt — оба варианта, и этоделаетпозволяют вам реализовать вашу цель с одним устройством, но это также самый кропотливый и, вероятно, самый подверженный сбоям метод. Опять же, имейте в виду потребность в независимой сетевой карте и возможность дополнительного коммутатора, если у вас не хватает портов.