Šiuolaikiniuose namuose prie interneto prijungiama vis daugiau įrenginių – nuo telefonų ir kompiuterių iki kamerų, televizorių ir išmanių buitinės technikos prietaisų. Tačiau kartu su patogumu atsiranda ir nauji saugumo bei stabilumo iššūkiai, kuriuos galima išspręsti tinkamai suskirstant tinklą į atskirus segmentus.
Daugelis žmonių namuose internetą susijungia labai paprastai: gauna maršrutizatorių iš tiekėjo, prijungia „Wi-Fi“, suveda slaptažodį ir viskas pradeda veikti. Prie to paties tinklo prijungiami telefonai, kompiuteriai, televizoriai, žaidimų konsolės, spausdintuvai, kameros, išmanios lemputės, robotai siurbliai, NAS serveriai ir svečių įrenginiai. Viskas viename tinkle, visi vieni kitus „mato“.
Iš pirmo žvilgsnio tai patogu – nereikia nieko konfigūruoti, visi įrenginiai lengvai randami, galima greitai spausdinti, transliuoti vaizdą į televizorių ar pasiekti failus. Tačiau patogumas dažnai slepia saugumo, privatumo ir stabilumo problemas. Kai visi įrenginiai yra viename tinklo segmente, vieno silpniausio įrenginio problema gali paveikti visus kitus.
Kas yra vienas tinklo segmentas?
Paprastai tariant, tinklo segmentas – tai grupė įrenginių, kurie yra tame pačiame vietiniame tinkle ir gali tiesiogiai bendrauti tarpusavyje.
Pavyzdžiui:
- kompiuteris: 192.168.1.10
- telefonas: 192.168.1.15
- televizorius: 192.168.1.20
- kamera: 192.168.1.25
Jei visi šie įrenginiai tame pačiame tinkle, jie dažnai gali vieni kitus aptikti, siųsti užklausas ir keistis duomenimis.
Kaip elgiasi dauguma naudotojų
Dažniausias scenarijus atrodo taip:
- interneto tiekėjas duoda modemą / maršrutizatorių;
- įjungiamas vienas „Wi-Fi“ pavadinimas;
- prie jo jungiama viskas;
- slaptažodis duodamas šeimai, draugams, svečiams;
- vėliau prijungiami išmanūs įrenginiai iš įvairių gamintojų.
Rezultatas – viename tinkle gali būti 20–50 įrenginių, kurių saugumo lygis labai skirtingas.
Kodėl tai blogai?
1. Vienas nesaugus įrenginys gali tapti vartais į visą tinklą ir įrenginius jame bei duomenis įrenginiuose.
Tarkime, turite pigią IP kamerą ar išmanų lizdą su silpna apsauga. Jei tas įrenginys pažeidžiamas:
- gali būti perimtas valdymas;
- nusikaltėlis gali skenuoti visą jūsų tinklą;
- gali bandyti jungtis prie kompiuterio ar NAS serverio;
- gali stebėti srautą.
Silpniausias grandinės narys tampa rizika visiems.
2. Jūsų kompiuteriai ir failai tampa lengviau pasiekiami
Jei tame pačiame tinkle turite:
užkrėstas, ar nesaugus įrenginys gali bandyti juos rasti ir pasiekti. IoT įrenginiai dažnai yra prasčiau apsaugoti ir neretai turi galimybę jungtis prie gamintojo nurodytų serverių, o ir iš gamintojo tinklo yra galimybė prisijungti prie jų, o tai reiškia ir jūsų kompiuterių esančių tame pačiame tinklo segmente.
3. Svečių įrenginiai tampa papildoma rizika
Kai draugas prisijungia prie jūsų „Wi-Fi“, jo telefonas atsiduria tame pačiame tinkle kaip:
- jūsų kompiuteris,
- televizorius,
- spausdintuvas,
- NAS.
Jei svečio telefonas užkrėstas ar nesaugus – tai papildoma rizika.
4. Išmanūs namai dažnai būna prasčiausiai saugomi
Pigūs IoT[1] įrenginiai (lemputės, jungikliai, kameros, durų skambučiai) dažnai turi:
- retus atnaujinimus,
- silpnus slaptažodžius,
- neaiškią programinę įrangą,
- ryšius su debesijos serveriais ir nežinomais serveriais.
Jie neturėtų būti tame pačiame tinkle kaip jūsų pagrindinis kompiuteris.
5. Tinklas tampa lėtesnis ir triukšmingesnis
Kai visi įrenginiai viename segmente:
- daugiau broadcast[2] užklausų,
- daugiau įrenginių paieškos srauto,
- daugiau konfliktų,
- daugiau apkrovos maršrutizatoriui.
Dideliame, kai kompiuteriniame tinkle pajungta daugiau įrenginių, tai jaučiama.
Kaip reikia daryti teisingiau?
Tinklą verta padalinti į atskirus segmentus - VLAN'us.[3]
Tai reiškia, kad vietoje vieno tinklo sukuriami keli atskiri tinklai.
Pavyzdžiui:
| Tinklas | Kam skirtas | IP segmentas |
|---|---|---|
| Pagrindinis | Kompiuteriai, telefonai | 192.168.20.0/24 |
| IoT | Lemputės, kameros, TV… | 192.168.40.0/24 |
| Svečiai | Svečių telefonai | 192.168.60.0/24 |
| Darbo | Darbo kompiuteriai, telefonai (jei dirbate iš namų ir naudojate darbdavio suteiktą įrangą) | 192.168.80.0/24 |
| Serverių | NAS, atsarginių kopijų stotelės ir panašiai | 192.168.100.0/24 |
Tokiu būdu viename tinkle egzistuojanti problema nepaliečia kitų.
Paprastas pavyzdys
Blogas variantas:
Visi viename tinkle:
- „MacBook“
- „Windows“ PC
- „iPhone“
- TV
- kamera
- spausdintuvas
- robotas siurblys
- svečio telefonas
- išmanūs elektros jungikliai, užuolaidų užtraukėjai
- išmanus šaldytuvas, vyryklė
Geresnis variantas:
Pagrindinis tinklas
- jūsų kompiuteriai
- telefonai
- planšetės
IoT tinklas
- TV
- kamera
- lemputės
- siurblys
- viryklė, šaldytuvas, jungikliai, užuolaidų/žaliuzių ar garažo vartų valdymas
- spausdintuvas
Svečių tinklas
- draugų telefonai
- svečių nešiojami kompiuteriai
Kokios įrangos tam reikia?
1. Geresnio maršrutizatoriaus
Paprastas tiekėjo maršrutizatorius dažnai netiks, nes jis turi tik:
- vieną tinklą
- svečių Wi-Fi
- mažai valdymo galimybių
Patogesni sprendimai būtų:
- TP-Link Omada – geras rinkinys būtų: maršrutizatorius TP-Link ER605, tinklo komutatorius (jei daugiau įrenginių jungiate laidu) TP-Link Omada SG2008P, Wi-Fi prieigos taškas: tvirtinamas prie lubų TP-Link EAP653 AX3000 arba tvirtinamas ant sienos į tinklo rozetės dėžutę: TP-Link EAP655-Wall
- Ubiquiti UniFi, pvz.: UbiQuiti UDM (viskas viename), UbiQuiti UDM-SE ir panašiai...
- MikroTik
- ASUS aukštesnės klasės modeliai
2. VLAN palaikymo
VLAN leidžia vienu fiziniu tinklu sukurti kelis loginius tinklus, todėl reikia įrenginių: maršrutizatoriaus, komutatoriaus (jei reikalingas), Wi-Fi prieigos taško palaikančių kelis VLAN. Tokiu būdu galėsite sukonfigūruoti kelis skirtingus potinklius ir prie jų pajungti atitinkamus įrenginius, pvz.:
- VLAN 20 – namai
- VLAN 40 – IoT
- VLAN 60 – svečiai
3. Valdomo tinklo komutatoriaus (switch)
Jei turite daug laidinių įrenginių, praverčia „managed switch“, kuris supranta VLAN.
Jei jūsų turimas Wi-Fi prieigos taškas palaiko PoE[4] – pasirinkite maršrutizatorių ar komutatorių palaikantį PoE, tai leis atsikratyti papildomo elektros maitinimo šaltinio Wi-Fi prieigos taškui. Tai ypač patogu, kai jis nėra ant stalo, o pritvirtintas ant lubų ar sienos.
Kokius įrenginius būtina atskirti?
Į atskirą IoT segmentą:
- saugos kameros (jas apskritai geriausia atskirti į tik joms skirtą VLAN)
- televizoriai
- media grotuvai
- robotai siurbliai
- lemputės
- elektros lizdai ar jungikliai
- šaldytuvai, viryklės, gartraukiai ir panašiai
- spausdintuvai
Į pagrindinį segmentą:
- asmeniniai kompiuteriai
- telefonai
- planšetės
Į svečių segmentą:
- svečių telefonai
- lankytojų įrenginiai
Į serverių segmentą:
- NAS
- backup serveris
- Home Assistant
- Docker serveriai
Ar tada viskas neveiks?
Veiks – tik reikia taisyklių
Taisyklės turi leisti, pavyzdžiui:
- telefonui iš pagrindinio tinklo valdyti TV IoT tinkle;
- kompiuteris gali pasiekti NAS;
- svečių tinklas negali matyti kitų įranginių nei savo ir nei kituose VLAN, bet turi išėjimą į internetą.
Tai vadinama ugniasienės taisyklėmis arba ACL[5] (Access Control List)
Jei esate paprastas naudotojas – nuo ko pradėti?
Minimalus ir labai geras variantas:
- Pagrindinis Wi-Fi tinklas – šeimai
- Svečių Wi-Fi tinklas – svečiams
- IoT Wi-Fi tinklas – televizoriui, kameroms, lemputėms…
Net toks paprastas padalinimas jau daug saugesnis.
Didžiausia klaida
Žmonės dažnai saugo kompiuterį antivirusine, bet prie to paties tinklo prijungia:
- pigiausią kamerą,
- seną televizorių,
- nežinomo gamintojo lizdą.
Tai tas pats, kas šarvuotos durys name, bet visada atidarytas langas.
Išvada
Vienas bendras namų tinklas yra patogus, bet neprotingas sprendimas augant įrenginių kiekiui. Šiandien namuose jau turime dešimtis išmanių įrenginių, todėl tinklo segmentavimas tampa ne prabanga, o būtinybe.
Net paprastas padalinimas į: pagrindinį, svečių, IoT tinklus jau stipriai pagerina saugumą, privatumą ir tinklo stabilumą.
Jei namuose turite daugiau nei 10 įrenginių, kurie jungiasi prie jūsų tinklo – apie namų tinklo segmentavimą jau verta galvoti rimtai.
-
IoT (angl. „Internet of Things“, liet. daiktų internetas) – prie interneto ar namų kompiuterinio tinklo prijungti išmanūs įrenginiai, tokie kaip kameros, televizoriai, lemputės, termostatai, robotai siurbliai, spynos ar buitinė technika, kurie gali keistis duomenimis ir būti valdomi nuotoliniu būdu.
-
Broadcast – tinklo ryšio būdas, kai vienas įrenginys siunčia pranešimą visiems tame pačiame vietiniame tinkle esantiems įrenginiams vienu metu. Jis dažnai naudojamas įrenginių paieškai, adresų gavimui ar paslaugų aptikimui, tačiau didesniuose tinkluose gali didinti apkrovą ir lėtinti veikimą.
-
VLAN (angl. „Virtual Local Area Network“, liet. virtualus vietinis tinklas) – tai logiškai atskirtas tinklo segmentas, sukuriamas vienoje fizinėje tinklo infrastruktūroje. VLAN leidžia padalinti vieną fizinį tinklą į kelis nepriklausomus tinklus, kad įrenginiai skirtinguose VLAN negalėtų tiesiogiai bendrauti tarpusavyje, nebent tam leidžia tinklo taisyklės (maršrutizavimas ir ugniasienė). Tai naudojama saugumui, tinklo organizavimui ir srauto valdymui pagerinti.
-
PoE (angl. „Power over Ethernet“) – technologija, leidžianti tuo pačiu tinklo (Ethernet) kabeliu perduoti tiek duomenis, tiek elektros maitinimą. Tai reiškia, kad įrenginiai, tokie kaip IP kameros, Wi-Fi prieigos taškai ar VoIP telefonai, gali veikti be atskiro maitinimo adapterio, jei jie yra prijungti prie PoE palaikančio komutatoriaus (switch) ar maršrutizatoriaus.
-
ACL (angl. „Access Control List“, liet. prieigos kontrolės sąrašas) – taisyklių rinkinys, apibrėžiantis, kurie įrenginiai, vartotojai ar tinklo segmentai gali pasiekti tam tikrus resursus tinkle. ACL naudojamas riboti arba leisti srautą tarp įrenginių, pavyzdžiui, uždrausti IoT įrenginiams (kameroms, išmaniems prietaisams) pasiekti kompiuterius ar serverius, bet kompiuteriams, telefonams leidžiant prieiti prie IoT tinkle esančių įrenginių, taip padidinant tinklo saugumą.
