Rozumná segmentace domácí sítě

[lojza007]

Momentálně žádný fatální bug v Mikrotiku není a nové verze stačí nasazovat s několika týdenním zpožděním, to obvykle stihnou fatální problémy opravit. Ale to se úplně stejně můžeme bavit o jakýmkoliv zařízení včetně těch v řádu statisíců, chyba se prostě může vyskytnout.
Místo VLAN lze použít a rozdělit jednotlivými porty a samotnými ethernety, ale pak bude dost vysoká spotřeba AP, na každou síť minimálně jeden kus. A osobně bych teda věřil mnohem víc VLANám v Mikrotiku, než různým izolacím a firewallům v různých domácích wifinách. Na druhou stranu to chce počítat i s výměnou AP za takové, aby VLANy zvládalo, cenově přijatelně vyjde zase Mikrotik, stačí si vybrat podle výkonu, ceny a dalších parametrů, dražší je třeba UniFi a navíc je potřeba řídící software, což je dost nesmysl pro jedno zařízení.
Pokud to jde otestovat někde bokem, tak je to ideální stav, člověk se to na tom naučí a pochopí princip, jak to u Mikrotiku funguje. Když bude potřeba, klidně poskytnu detailnější návod, než jsem napsal.

[Reklama]

[FKoudelka]

Zdravím,

řeším vhodné rozdělení domácí sítě (tzn. mix soukromých pc, IoT a zcela nekontrolovatelných zařízení potomků, pracovních pc na HO a návštěv...), má obava spočívá v tom, že část zařízení by (teoreticky) mohla šířit nějaký síťový marast. Aktuálně využívám 1x Mikrotik, LAN je jednoduše rozsegmentovaná pomocí využití horizon parametru na společném bridge + povypínaném default forwading na WLANech.

Co řeším - v síti je i můj desktop (snažím se mít rozumně bezpečný mmj i proto, že z něj konfiguruju ostatní zařízení vč. toho Mikrotiku) a čas od času si hraju s různými Raspberry udělátky, zkouším distribuce na starším HW atp. - jde tedy o zařízení při svém prvním spuštění neaktualizovaná a teoreticky zranitelnější. Dává smysl mít za účelem lepší izolace těchto zařízení za Mikrotikem ještě jeden router (např. něco s OpenWRT) který by blbovzdorně vytvářel další oddělenou sít (fw + NAT) i v případě chyby/chybné konfigurace Mikrotiku? Nebo je to na doma overkill a budu akorát udržovat další krabičku?

Na testovaných zařízeních stejně obvykle hned zapínám sw fw s deny incoming... jenže co (možné) bugy ve starších verzích? Možná už nad tím moc přemejšlim

Co na to odborníci? Díky za názory a váš čas!

ta testovaná zařízení bych určitě dal do izolované VLAN  jménem třeba LAB a přes firewall Mikrotiku otevřel jen přístup z admin PC

[Vít Šesták (v6ak)]

U mě má každé zařízení na Wi-Fi podle MAC přiděleno vlastní PSK a nějakou VLAN. Pokud není na seznamu známých MAC, použije se výchozí PSK a klient se dostane do sítě pro hosty. Toto lze u Mikrotiku nastavit celkem snadno, nové zařízení znamená přidat jeden řádek do konfigurace, pokud ho přidávám do stávající VLAN.

Ve výsledku tak stačí jeden fyzický router a jedno SSID, chová se jako několik oddělených. Něco má přístup jen na Internet, něco jen do lokální sítě (a to ne kamkoliv), něco do obojího. Podle potřeb a víceméně podle principu minimálních oprávnění.

Nejlepší je totiž zálohování.
…
Kromě toho ten sajrajt který přijde do LAN si docela dost pravděpodobně s nějakým takovým to nastavením poradí, když tam samozřejmě bude chyba v nastavení a to je dost pravděpodobné, zálohuj.

Zálohování je fajn, abych se zpátky dostal ke svým datům. (Navíc udělat zálohování tak, aby jej případný ransomware nesmazal, není jednoduché…) Únik dat ale nevyřeší.

A pokud únik dat nevadí, můžete je rovnou vystavit veřejně…

[Vietnamka]

Místo VLAN lze použít a rozdělit jednotlivými porty a samotnými ethernety, ale pak bude dost vysoká spotřeba AP, na každou síť minimálně jeden kus.

Můžeš to vysvětlit,případně nějak přeformulovat?Nepochopil jsem, co myslíš.

[lojza007]

Port 1 WAN, port 2 LAN, port 3 DĚTI, atd. V podstatě to, co dělá VLAN na jednom drátu, tak jde odděleně táhnout jednotlivými porty z routeru. A samozřejmě bez VLAN je potřeba příslušný počet AP, což by mohlo celou akci dost prodražit.
Pokud se bavíme o rozdělení na více než dvě sítě, tak to moc smysl nedává, ale je to mnohem jednodušší, než konfigurovat VLANy v Mikrotiku.

[Reklama]

[Vít Šesták (v6ak)]

No nevím. Než bych vyvalil router z krabice a nastavil na něm základní nastavení, nejspíš bych měl nastavení VLAN na Mikrotiku hotové.