Co to jest sieć VLAN i jak stworzyć bezpieczną podsieć dla urządzeń Smart Home?

Sieć VLAN Virtual Local Area Network to logicznie wyodrębniona sieć lokalna w obrębie jednej fizycznej infrastruktury sieciowej, która izoluje ruch sieciowy pomiędzy urządzeniami. Zastosowanie VLAN dla urządzeń Smart Home blokuje nieautoryzowane próby dostępu z podatnych urządzeń IoT do prywatnych komputerów, dysków NAS oraz smartfonów w sieci domowej.

Spis treści

• Czym jest sieć VLAN IEEE 802.1Q?
• Dlaczego urządzenia Smart Home wymagają osobnej sieci VLAN?
• Jakie urządzenia są potrzebne do skonfigurowania sieci VLAN w domu?
• Jak zaplanować adresację IP i identyfikatory VLAN dla sieci domowej?
• Jak krok po kroku skonfigurować bezpieczną podsieć VLAN dla Smart Home?
• Jak skonfigurować reguły Firewall dla pełnego bezpieczeństwa podsieci IoT?
• Jak umożliwić wykrywanie urządzeń mDNS/UPnP między siecią LAN a VLAN Smart Home?

Czym jest sieć VLAN IEEE 802.1Q?

Sieć VLAN w standardzie IEEE 802.1Q to technologia umożliwiająca podział jednej fizycznej sieci przełączanej na wiele niezależnych domen rozgłoszeniowych za pomocą dodania 4-bajtowego taga do ramki Ethernet. Tag VLAN zawiera 12-bitowy identyfikator VLAN ID, który determinuje przynależność pakiety do konkretnej podsieci logicznej.

Mechanizm działania izolacji w standardzie IEEE 802.1Q opiera się na dwóch typach portów na przełącznikach sieciowych oraz routerach:

• Porty dostępowe: Przypisane do jednego, konkretnego VLAN ID. Przesyłają wyłącznie nietagowane ramki Ethernet, które po wejściu na port otrzymują wewnętrzny identyfikator VLAN. Urządzenie końcowe np. telewizor, żarówka smart nie musi obsługiwać standardu IEEE 802.1Q.
• Porty magistralne: Przesyłają ruch z wielu sieci VLAN jednocześnie przez jedno fizyczne łącze kablowe. Każda ramka przechodząca przez port Trunk posiada nagłówek z unikalnym identyfikatorem VLAN ID, co pozwala urządzeniom sieciowym na precyzyjne kierowanie pakietów.

Izolacja w warstwie L2 modelu ISO/OSI uniemożliwia bezpośrednią komunikację pakietów broadcast i multicast pomiędzy różnymi identyfikatorami VLAN ID. Ruch pomiędzy odrębnymi sieciami VLAN wymaga przełączenia do warstwy L3 i musi zostać przeprocesowany przez router oraz zaporę sieciową.

Dlaczego urządzenia Smart Home wymagają osobnej sieci VLAN?

Urządzenia Smart Home wymagają osobnej sieci VLAN, ponieważ sprzęt IoT często nie posiada regularnych aktualizacji bezpieczeństwa i stanowi główny punkt wejścia dla cyberataków do sieci domowej. W przypadku przejęcia kontroli nad podatną kamerą IP lub inteligentną wtyczką w segmentowanej sieci, napastnik zostaje odizolowany wewnątrz dedykowanego VLAN ID i nie może uzyskać dostępu do zasobów przechowywanych na komputerach osobistych czy dyskach sieciowych NAS.

Główne zagrożenia wynikające z umieszczenia urządzeń Smart Home w tej samej sieci co urządzenia prywatne:

• Pozioma ekspansja ataku: Złośliwe oprogramowanie zainstalowane na urządzeniu IoT automatycznie skanuje lokalny zakres IP (np. 192.168.1.0/24) w poszukiwaniu otwartych portów SMB, SSH lub RDP na laptopach i telefonach domowników.
• Przejęcie ruchu transmisji: Zainfekowane urządzenie Smart Home może wysyłać fałszywe pakiety ARP, podszywając się pod bramę domyślną i przechwytując niezaszyfrowany ruch sieciowy z innych urządzeń.
• Udział w sieciach botnet: Słabo zabezpieczone rejestratory wideo i żarówki Wi-Fi są masowo dołączane do botnetów (np. Mirai) wywołujących ataki odmowy usługi, generując priorytetowy ruch wychodzący i zapychając łącze internetowe.
• Brak szyfrowania w protokołach IoT: Część tanich czujników Smart Home komunikuje się z chmurą producenta za pomocą niezaszyfrowanego protokołu HTTP lub MQTT bez autoryzacji, co umożliwia podsłuch danych wewnątrz wspólnej domeny rozgłoszeniowej.

Jakie urządzenia są potrzebne do skonfigurowania sieci VLAN w domu?

Do skonfigurowana sieci VLAN w domu potrzebny jest router z obsługą trasowania inter-VLAN oraz oprogramowania zapory sieciowej np. z systemem RouterOS, OpenWrt, OPNsense lub Unifi OS, przełącznik zarządzalny L2/L3 ze wsparciem IEEE 802.1Q oraz punkt dostępowy Wi-Fi obsługujący wiele identyfikatorów SSID z mapowaniem na VLAN ID. Standardowy router dostarczany domyślnie przez dostawców internetu bez zaawansowanego oprogramowania nie posiada funkcji tworzenia wirtualnych interfejsów sieciowych.

Wymagane komponenty sprzętowe i programowe:

1. Router z obsługą vLAN i Firewall: Urządzenie brzegowe musi tworzyć wirtualne interfejsy dla każdego VLAN ID, przydzielać adresację IP z osobnych pul DHCP oraz filtrować ruch za pomocą reguł ACL.
2. Przełącznik: Przełącznik sieciowy pozwalający na definiowanie portów typu Access i Trunk oraz obsługujący tablicę 802.1Q. Przełączniki niezarządzalne odrzucają ramki z tagami VLAN lub przesyłają je niepoprawnie.
3. Punkt dostępowy Wi-Fi: Urządzenie nadawcze zdolne do wyemitowania co najmniej dwóch osobnych sieci Wi-Fi np. "Dom_Priv" oraz "Dom_IoT" i przypisania ich do odpowiednich tagów VLAN na porcie Trunk.
4. Okablowanie strukturalne: Kable sieciowe Ethernet kategorii minimum Cat 5e lub Cat 6, zapewniające stabilną przepustowość do 1 Gb/s lub 10 Gb/s na magistralnych łączach Trunk.

Jak zaplanować adresację IP i identyfikatory VLAN dla sieci domowej?

Planowanie adresacji IP i identyfikatorów VLAN polega na przypisaniu unikalnych wartości VLAN ID oraz osobnych podsieci IPv4 z zakresu prywatnego do konkretnych grup urządzeń. Spójny schemat adresacji ułatwia pisanie reguł zapory sieciowej oraz szybką identyfikację urządzeń po ich adresie IP.

Jak krok po kroku skonfigurować bezpieczną podsieć VLAN dla Smart Home?

Konfiguracja podsieci VLAN polega na utworzeniu wirtualnego interfejsu na routerze, skonfigurowaniu serwera DHCP dla nowej podsieci, przypisaniu taga 802.1Q na przełączniku oraz wyemitowaniu dedykowanej sieci SSID na punkcie dostępowym Wi-Fi. Wszystkie kroki muszą zostać wykonane w ściśle określonej kolejności, aby zapobiec utracie łączności z urządzeniami zarządzającymi.

Utwórz interfejs VLAN na routerze:
Zdefiniuj identyfikator VLAN ID i adresację IP.
W panelu zarządzania routerem przejdź do sekcji interfejsów sieciowych. Dodaj nowy interfejs wirtualny VLAN, przypisz mu nazwę "VLAN20_IoT", ustaw parametr VLAN ID na wartość 20 i wskaż fizyczny port LAN, do którego podłączony jest przełącznik. Przypisz interfejsowi statyczny adres IP bramy domyślnej: 192.168.20.1 z maską 255.255.255.0 (/24).

Skonfiguruj serwer DHCP dla VLAN Smart Home:
Zapewnij automatyczne przydzielanie adresów IP.
Uruchom nową instancję serwera DHCP przypisaną do interfejsu "VLAN20_IoT". Skonfiguruj zakres przydzielanych adresów IP od 192.168.20.100 do 192.168.20.250. Jako adres bramy sieciowej wpisz 192.168.20.1, a jako serwery DNS wskaż bezpieczne adresy resolverów z filtrowaniem malware np. 1.1.1.2 lub lokalny serwer Pi-hole.

Ustaw porty na przełączniku zarządzalnym:
Skonfiguruj porty typu Trunk i Access w standardzie 802.1Q.
Zaloguj się do przełącznika. Port połączony z routerem ustaw jako port typu Trunk i zezwól na nim na przesyłanie tagów VLAN 10, 20, 30, 40. Port połączony z punktem dostępowym Wi-Fi również ustaw jako Trunk. Wszelkie porty kablowe, do których będą podłączone stacjonarne urządzenia Smart Home np. mostki Philips Hue, centralki, ustaw jako Access z przypisanym unikalnym tagem PVID = 20.

Skonfiguruj sieć bezprzewodową SSID w Access Point:
Zmapuj nazwę sieci Wi-Fi na właściwy tag VLAN.
W panelu zarządzania punktem dostępowym Wi-Fi utwórz nową sieć bezprzewodową o nazwie SSID "SmartHome_IoT". W ustawieniach zaawansowanych tej sieci włącz tagowanie VLAN i wpisz wartość VLAN ID = 20. Zabezpiecz sieć protokołem WPA3-Personal lub WPA2-Enterprise.

Wdróż reguły izolacji na zaporze sieciowej:
Zablokuj inicjowanie połączeń z VLAN IoT do sieci prywatnej.
Przejdź do reguł zapory sieciowej na routerze. Utwórz regułę DROP/REJECT dla ruchu wychodzącego z podsieci 192.168.20.0/24 kierowanego do podsieci prywatnej 192.168.10.0/24. Dodaj regułę ACCEPT pozwalającą na nawiązywanie połączeń z podsieci prywatnej 192.168.10.0/24 do podsieci 192.168.20.0/24 oraz regułę ESTABLISHED, RELATED zezwalającą na ruch powrotny.

Jak skonfigurować reguły Firewall dla pełnego bezpieczeństwa podsieci IoT?

Konfiguracja reguł Firewall dla podsieci IoT wymaga wdrożenia polityki "Default Deny" domyślne blokowanie całego ruchu, z wyznaczeniem jawnych wyjątków dla niezbędnych uslug sieciowych. Taka struktura zapobiega komunikacji urządzeń Smart Home z siecią prywatną LAN oraz uniemożliwia im skanowanie infrastruktury domowej.

Zalecana kolejność przetwarzania reguł na zaporze sieciowej:

1. ALLOW: Ruch z podsieci VLAN 10 (LAN) do VLAN 20 (Smart Home) – umożliwia sterowanie urządzeniami IoT z poziomu prywatnego telefonu lub komputera.
2. ALLOW: Ruch stanowy typu ESTABLISHED, RELATED z VLAN 20 (Smart Home) do VLAN 10 (LAN) – pozwala na odpowiedź urządzenia IoT na zapytanie zainicjowane z sieci prywatnej.
3. ALLOW: Ruch z VLAN 20 do routera (192.168.20.1) wyłącznie na porty UDP 53 (DNS) oraz UDP 67/68 (DHCP) – zapewnia niezbędne działanie sieciowe.
4. DROP: Całkowity ruch z VLAN 20 (Smart Home) do podsieci VLAN 10 (LAN) oraz VLAN 100 (Panel Zarządzania Routerem).
5. DROP: Całkowity ruch z VLAN 30 (Kamery CCTV) do interfejsu WAN (Internet) – uniemożliwia wyciek strumienia wideo poza sieć lokalną.
6. ALLOW / DROP: Ogranicz ruch z VLAN 20 do Internetu (WAN) wyłącznie do zdefiniowanych portów TCP 443 (HTTPS) i TCP 8883 (MQTT TLS), blokując pozostałe porty wyjściowe.

Jak umożliwić wykrywanie urządzeń mDNS/UPnP między siecią LAN a VLAN Smart Home?

Umożliwienie wykrywania urządzeń Smart Home z poziomu prywatnej sieci LAN wymaga uruchomienia na routerze usługi mDNS Repeater lub Multicast Relay, która przekazuje pakiety rozgłoszeniowe z adresu 224.0.0.251 pomiędzy różnymi identyfikatorami VLAN ID. Domyślnie router odrzuca ruch multicastowy pomiędzy odrębnymi domenami rozgłoszeniowymi, co powoduje brak widoczności urządzeń takich jak Google Chromecast, Apple TV czy drukarki sieciowe w aplikacjach sterujących.

Procedura wdrożenia mDNS Repeater:

• Aktywacja wtyczki mDNS: W systemie routera np. OPNsense, OpenWrt, UniFi włącz usługę mDNS Repeater lub Avahi daemon.
• Wskazanie interfejsów: W konfiguracji usługi wybierz interfejsy, między którymi ma zachodzić translacja pakietów rozgłoszeniowych np. VLAN10_LAN oraz VLAN20_IoT.
• Konfiguracja portu UDP 5353 w Firewall: Dodaj regułę zapory zezwalającą na ruch multicast na porcie UDP 5353 przesyłany na adres 224.0.0.251 pomiędzy podsieciami.

Dzięki prawidłowej konfiguracji mDNS Repeater, użytkownik połączony z siecią "Dom_Priv" automatycznie wykryje odtwarzacze i czujniki w sieci "SmartHome_IoT", podczas gdy urządzenia Smart Home wciąż nie będą mogły inicjować nieautoryzowanych połączeń sieciowych z komputerami domowników.

Autor: M. Czajek