潜在的な悪意のある人物や侵入者からスマート ホームを保護する方法をお探しですか? VLAN はこの作業に最適なツールです。ここでは、VLAN を設定する方法と、それを使用してスマート ホームのネットワークを保護する方法を説明します。
サイバーセキュリティを重視するスマートデバイスはほとんどありません
企業は実際に自分たちの利益だけを考えており、あなたの利益は考えていません
IoT (モノのインターネット) デバイスがスマート ホームのセキュリティ戦略にとって大きな穴となる可能性があることをご存知ですか?ほとんどの人はこれに気づいていません。私たちが好むと好まざるにかかわらず、ほとんどの IoT デバイスは、たとえ最も単純な用事であっても、実際に頻繁に自宅に電話をかけてきます。今年初めに発生した AWS の大規模な障害は、人々がスマート スイッチやプラグはおろかベッドを制御することもできず、これがどれほど広範囲に及ぶ可能性があるかを示しました。
このインターネットへの依存は、IoT デバイスと同じネットワーク上にある場合でも、多くの場合、送信したコマンドはクラウドを経由して戻ってくるという事実から来ています。それはひどいことのように聞こえるかもしれませんが、これは、ネットワークから、どこの国の、誰が、どこに、誰に、データが送信されていることを意味します。
それらのサーバーにはどのようなデータが送信されているのでしょうか?それは単に「このライトを点灯する」だけではありません。ここで、VLAN とネットワークの分離が登場します。
VLAN はスマート ホームのセキュリティ問題をどのように解決しますか?
隔離されたネットワークは安全なネットワークです
おそらく、あなたの家にはすべての目的に使用されるネットワークが 1 つしかないでしょう。これはほとんどの場合に機能しますが、実際には 1 つのネットワークを持つことにはかなり大きな欠点があります。それは、ネットワーク上のすべてのデバイスが相互に通信できることです。
3D プリンターやセキュリティ カメラなどの 1 つのデバイスが侵害されると、ネットワーク全体が侵害されます。その 1 台のデバイスは、好むと好まざるにかかわらず、ネットワーク上の他のすべてのデバイスにアクセスできます。
だからこそ、VLAN、つまり仮想ローカル エリア ネットワークがスマート ホーム (実際にはどの家庭でも) において非常に重要なのです。 VLAN を使用すると、ネットワーク トラフィックを独自のレーンに分離できます。これは、1 車線または複数車線の高速道路のようなものだと考えてください。ただし、車線間に壁があります。
VLAN を使用すると、「VLAN 1 のトラフィックは他のレーンに問題なく移動できますが、VLAN 2 のトラフィックは VLAN 2 にのみアクセスでき、他には何もアクセスできません」と言えます。この場合、コンピューターは VLAN 1 上にあり、VLAN 1 と VLAN 2 の両方のデバイスと通信できます。IoT デバイスは VLAN 2 上にあり、VLAN 2 上のデバイスとのみ通信でき、VLAN 1 とは通信できません。
使用しているネットワーク ハードウェアに応じて、これをどこまでも深くすることができます。特にブロックする VLAN があります 全て デバイス間のクロストーク トラフィックを遮断し、外部インターネットへのアクセスのみを許可します。その VLAN に 2 台のコンピュータを配置した場合、それらのコンピュータはもう一方の存在を知りません。また、ネットワーク上に他のデバイスが存在することも知りません。その VLAN には単に外部ネットワーク アクセスがあるだけで、それ以上は何もありません。
これにより、IoT のセキュリティ問題はどのように解決されるのでしょうか?そうですね、デバイスが相互に通信できず、その VLAN 外のデバイスとも通信できない別の IoT VLAN がある場合、その同じ 3D プリンターやセキュリティ カメラがハッキングされても、その特定のアイテム以外ではそれ以上侵害されることはありません。
スマート ホームの健全性を保つために、ネットワークを VLAN で分離しました
分離されたスマート ホーム ネットワークのセットアップには多くの労力がかかります
私のホーム ネットワークは Unifi で実行されているため、IoT 固有の VLAN を非常に簡単に作成できます。私はまだ完璧なセットアップに取り組んでいますが、これまでのところ、私がやったことは次のとおりです。
まず、VLAN を作成し、IoT という名前を付けました。これは非常に単純ですが、私がそれを識別したい方法です。 IGMP スヌーピングと mDNS は多くのスマート ホーム デバイスに必要な機能なので、これらの機能を有効にしました。ネットワークを 253 個の IP アドレスに設定しており、そのうち 205 個のアドレスが自動割り当て用の DHCP プールにあります。必要に応じて後でこれを拡張できますが、必要に応じて静的に設定できる 50 個のアドレスと、動的に設定できる 200 個以上のアドレスが提供されます。これは、おそらく必要になるよりも多いです。
また、IoT とメインの信頼できる VLAN を mDNS プロキシに配置しているため、メイン VLAN と IoT VLAN 上のデバイスは相互に適切に通信できます。ただし、VLAN の設定はこれで終了です。
私は現在、スマート ホーム インフラストラクチャを全面的に見直して、すべてをローカル ファーストのアプローチに移行しているところです。私の IoT VLAN は LAN へのアクセスを共有しますが、外部アクセスも可能です。これは、これらのタイプの機能をサポートするデバイスへの移行が完了したら、将来的に変更する予定です。
私はすでにネットワーク上に Home Assistant を導入しており、Apple の HomeKit も頻繁に使用しています。どちらもスマート ホームと IoT デバイスに対してローカルファーストのアプローチを提供します。また、ESP32 プラットフォームを使用して独自のセンサーを多数構築しているところです。
将来的には、IoT VLAN が信頼できる VLAN を通過できないようにファイアウォール ルールを構築する予定です。つまり、先ほど説明した強化されたセキュリティのために IoT デバイスがネットワークと通信できなくなります。また、新しいデバイスを追加するときに、必要に応じてネットワークを外部に開き、デバイスのセットアップが完了したらネットワークを閉じることができるように、簡単なトグルを構築する予定です。
私にとって重要なのは、VLAN を段階的に設定することです。そこにはすでに VLAN があり、その VLAN に接続された Wi-Fi ネットワーク (2.4 GHz のみと IoT ネットワークに設定されている) があり、スマート ホーム デバイスのほとんどが VLAN 上にあります。つまり、すべてのファイアウォール ルールを設定したら、最初にネットワークを構築し、 それから それを確保すること。
VLAN スマート ホーム ネットワークのセットアップに必要なもの
思ったより簡単です
独自の VLAN を使用したスマート ホーム ネットワークの構築に興味がある場合は、まず何らかの形式の管理されたネットワークが必要になります。残念ながら、これはほとんどの消費者向けネットワーク ハードウェアではまだ一般的ではありません。私はホーム ネットワークで Unifi と Ubiquiti を使用するルートを選択しましたが、Dream Router 7 を使用すると、実際にははるかに手頃な価格になります。
ただし、他のオプションもあります。 pfSense や OPNSense などを使用して独自に構築することも、TP-Link の Omada などの他のマネージド ネットワーキング ハードウェアを購入することもできます。
ハードウェアをセットアップしたら、すべてに互換性があることを確認するだけです。私は Unifi を使用しているため、Wi-Fi アクセス ポイントと管理対象スイッチはすべて相互に通信するため、すべてのデバイスで管理対象ネットワークを上から下まで処理できます。
9/10
ユニフィ
1,750平方フィート
Unifi Dream Router 7 は、NVR 機能、フルマネージド スイッチング、内蔵ファイアウォール、VLAN などを提供する本格的なネットワーク アプライアンスです。 4 つの 2.5G イーサネット ポート (1 つは PoE+ 付き) と 10G SFP+ ポートを備えた Unifi Dream Router 7 は、2 つの ISP 接続がある場合に備えてデュアル WAN 機能も備えています。 IP カメラのストレージ用に 64 GB の microSD カードが含まれていますが、必要に応じてより多くのストレージにアップグレードできます。 Wi-Fi 7 を使用すると、10G SFP+ ポートを使用する場合は理論上 5.7 Gbps のネットワーク速度、イーサネットを使用する場合は 2.5 Gbps に達することができます。
私の VLAN ネットワークは晴天と虹ばかりではありません
うまくいくこともあるし、また…
私は分離されたネットワークが大好きですが、セットアップ中にかなりの問題が発生したため、まだ VLAN を完全にロックできていません。たとえば、iPhone が信頼されたネットワーク上にある場合、IoT ネットワーク上の HomeKit に IoT デバイスを適切に追加できません。何度も試しましたが、信頼できるネットワーク上の iPhone から IoT ネットワークの資格情報を入力するのはうまくいきません。この問題に対する一時的な回避策は、単に iPhone を IoT ネットワークに接続することですが、これはうまくいくようです。
また、ある VLAN でホーム アシスタントを使用し、別の VLAN でホーム アシスタント内のデバイスを使用し、プライマリ デバイスを 3 番目の VLAN 上で使用しようとすると、いくつかの大きな問題が発生しました。この問題は修正されると確信しており、すべてのセットアップに取り組んでいますが、依然として問題が発生しています。
これらは、IoT VLAN を設定するときに私が経験した主な問題のうちの 2 つにすぎません。非常に簡単に実行でき、何も問題はないと考えている場合は、考え直してください。最初の切り替えでは頭の痛い問題が発生することを覚悟し、IoT VLAN のセットアップに伴うトラブルシューティングが必ず必要になることを知っておいてください。
痛みはそれだけの価値がある、ただ知っておく必要があるのは、おそらくそこにあるということだけです。 意思 痛みがあります。
ゆっくりと始めて、超安全なネットワークに到達してください。
VLAN はネットワークの非常に奥深い側面であり、私は実際には表面をなぞっただけです。ただし、専用の IoT VLAN を用意することは、スマート ホームを保護するための最良の方法の 1 つであり、新年にはファイアウォールの設定を完了できることを楽しみにしています。
このテーマについてさらに詳しく知りたい方は以下をご覧ください