Dream Machine — помощь с настройкой IoT-сети

Dream Machine — помощь с настройкой IoT-сети, UniFi Network

dirtyduckuk

Guest

10.06.2021 11:10:00

Привет! Очень нужна помощь с настройкой сети, чтобы отделить мои IoT-устройства от основной сети. В IoT входят: Sonos, Alexa, Philips Hue и Hive. У меня есть Dream Machine, я смотрел кучу видео и читал много материалов, но всё равно не получается настроить нормально, так что действительно нужна помощь!

Моя конфигурация VLAN:
Я создал VLAN для IoT Lan с ID 50 и также сеть IoT Wifi, связал её с IoT Lan. Правильно ли я привязал IoT Wifi к нужной сети?

Я настроил правила брандмауэра как на скриншоте.

Проблема в том, что я могу подключиться к IoT wifi и всё равно пинговать основную сеть (10.10.0.1), хотя думал, что созданное правило должно это запрещать. Что я сделал не так, почему это не работает? Нужно ли создавать правило брандмауэра для каждой VLAN или только для основной сети, которая называется dream wifi? Возможно, моя изначальная настройка неверна?

Извиняюсь за вопросы, просто не могу разобраться! Спасибо, Ричард.

mcburnside Guest	#2 22.07.2021 14:10:00 Нет, то, что ты делаешь, — хорошая идея. Нашёл для тебя это видео, посмотри его. Там почти всё, о чём я говорил. https://youtu.be/UGBobTInIBc

dirtyduckuk Guest	#3 22.07.2021 14:28:00 Спасибо, ребята, очень полезная информация.

Satsh

Guest

22.07.2021 12:28:00

Вы всегда можете получить доступ к IP-шлюзу UDM откуда угодно, и, насколько я знаю, этого нельзя запретить. Это реализовано через интерфейс, так что вы не сможете заблокировать себя ошибочным правилом. Хотя, возможно, это касается только VLAN по умолчанию — сам я этого не проверял. Вопрос в том, сможете ли вы пинговать _сеть_ за ним.

Правила выглядят нормально и должны работать.

Но я поддерживаю мнение @mcburnside — стоит настроить правило по умолчанию с блокировкой для сетей RFC1918 и разрешить только то, что нужно.

И да, вы, возможно, перестарались, создавая отдельный VLAN для каждого коммутатора или комнаты — это не основное назначение VLAN. Их используют для разделения сетей с разными типами клиентов, которые не должны видеть друг друга, или для сокращения широковещательных штормов (если у вас несколько тысяч устройств), или если есть необходимость изолировать что-то конкретное, например сеть вашего ребёнка, который известен тем, что скачивает всё подряд и может угрожать вашей локальной сети

Например, у меня организовано так:
IoT LAN / WiFi (умный дом, Echo, HUE, AppleTV, SmartTV и прочее)
Trusted LAN / WiFi (личные ноутбуки, телефоны, несколько устройств)
Guest LAN / WiFi (гости, рабочий ноутбук и т.п.)
DMZ LAN (серверы, доступные из интернета)

dirtyduckuk Guest	#5 22.07.2021 08:21:00 Спасибо за видео, @jetlagalex. Я их посмотрю. @mcburnside, не буду скрывать — то, что ты сказал, полностью меня запутало! Ты хочешь сказать, что мне не нужны все эти VLANы, и я сильно всё усложняю?

mcburnside

Guest

21.07.2021 15:12:00

Не могу поручиться за видео @jetlagalex, но я смотрел несколько роликов на Macktelecom, и он в целом объясняет хорошо. То, как у тебя всё настроено, не совсем идеально. На самом деле стоит создать группу адресов, включающую все приватные диапазоны RFC1918 (локальные IP-адреса), а потом сделать правила LAN IN, где и источник, и назначение — эта группа. Затем выше этого правила добавить доступ основного LAN к всем группам RFC1918.

Что касается ping — да кому он вообще нужен. Лично я люблю иметь возможность пинговать локальный шлюз своей VLAN. При этом я блокирую доступ к шлюзам других VLAN и для конкретного шлюза блокирую порты 80, 443 и 22 (http/https/ssh), но при этом оставляю пинг, чтобы можно было тестировать разные штуки.

Всё это делается в разделе LAN LOCAL.

Удачи!

jetlagalex Guest	#7 21.07.2021 14:53:00 @dirtyduckuk Я следовал этим видео, и они помогли мне настроить все мои IoT и правила файервола... В принципе, во всех видео примерно одни и те же правила, но в некоторых есть свои мелкие нюансы. Надеюсь, тебе тоже поможет.

Читают тему (гостей: 1)