homelab-vlan-segmentation

# 家庭实验室 VLAN 分段 如何将家庭网络分割为隔离的 VLAN，使 IoT 设备、访客和主 PC 无法相互通信。这是家庭网络最有效的安全升级。 此处显示的所有防火墙规则在分段之间添加隔离——它们不会移除现有保护。在维护窗口中应用更改，并在继续之前验证每个步骤后的分段间连接性。 ## 何时使用 - 首次在家庭网络上设置 VLAN - 将 IoT 设备（智能灯泡、摄像头、电视）与可信设备隔离 - 创建无法到达家庭设备的访客 Wi-Fi 网络 - 向不熟悉 VLAN 概念的人解释其工作原理 - 配置中继端口、接入端口和 SSID 到 VLAN 映射 - 排除 pfSense/OPNsense/UniFi 上的 VLAN 间路由或防火墙规则问题 ## 工作原理 ``` 无 VLAN — 扁平网络： 所有设备位于 192.168.1.0/24 智能电视（潜在恶意软件）→ 可以到达您的 NAS、PC、所有设备 使用 VLAN： VLAN 10 — 可信 192.168.10.0/24 (PC、手机、笔记本电脑) VLAN 20 — IoT 192.168.20.0/24 (智能电视、灯泡、摄像头) VLAN 30 — 服务器 192.168.30.0/24 (NAS、Pi、虚拟机) VLAN 40 — 访客 192.168.40.0/24 (访客 Wi-Fi) VLAN 99 — 管理 192.168.99.0/24 (交换机/AP Web UI) 智能电视 → 被阻止到达 192.168.10.0/24 和 192.168.30.0/24 访客 → 仅互联网，无法看到任何家庭设备 ``` ## VLAN 设计模板 ``` VLAN 名称 子网 网关 用途 10 trusted 192.168.10.0/24 192.168.10.1 PC、手机、笔记本电脑 20 iot 192.168.20.0/24 192.168.20.1 智能家居设备 30 servers 192.168.30.0/24 192.168.30.1 NAS、Pi、自托管 40 guest 192.168.40.0/24 192.168.40.1 访客 Wi-Fi 99 management 192.168.99.0/24 192.168.99.1 网络设备 Web UI ``` ## 示例 **带有 UniFi AP 和托管交换机的典型家庭实验室：** ``` 场景：3卧室住宅，UniFi Dream Machine + UniFi 8端口交换机 + 2个 AP VLAN 10 — 可信 192.168.10.0/24 MacBook、iPhone、iPad VLAN 20 — IoT 192.168.20.0/24 Nest 温控器、Philips Hue、Ring 门铃、智能电视 VLAN 30 — 服务器 192.168.30.0/24 Synology NAS (192.168.30.10)、Pi-hole (192.168.30.2) VLAN 40 — 访客 192.168.40.0/24 访客 Wi-Fi — 仅互联网 SSID → VLAN 映射： "Home" → VLAN 10 (WPA2、强密码、仅可信设备) "IoT" → VLAN 20 (WPA2、单独密码、打印在路由器上用于设置) "Guest" → VLAN 40 (WPA2、简单密码、可自由分享) 交换机端口行为： 端口 1 → 路由器中继（标记 VLAN 10,20,30,40,99） 端口 2 → AP 中继（标记 VLAN 10,20,40；AP 处理每个 SSID 标记） 端口 3 → 接入 VLAN 30 (NAS — 未标记，无需 VLAN 感知) 端口 4 → 接入 VLAN 30 (Pi-hole — 未标记) 端口 5–8 → 接入 VLAN 10 (有线工作站) 应用的防火墙规则（所有规则添加隔离，不移除现有保护）： IoT → 可信：阻止 IoT → 服务器：阻止 192.168.30.2:53 例外 (允许 Pi-hole DNS) IoT → 互联网：允许 访客 → 本地网络：阻止 访客 → 互联网：允许 可信 → 所有地方：允许 ``` ## UniFi 配置 ### 在 UniFi 控制器中创建网络 ``` 设置 → 网络 → 创建新网络 对于每个 VLAN： 名称：IoT 用途：企业 (提供 DHCP + 路由) VLAN ID：20 网络：192.168.20.0/24 网关 IP：192.168.20.1 DHCP：启用 DHCP 范围：192.168.20.100 – 192.168.20.254 ``` ### 将 SSID 映射到 VLAN (UniFi) ``` 设置 → WiFi → 创建新 WiFi 名称：IoT-Network 密码：<单独密码> 网络：IoT ← 在此处选择您的 VLAN # 连接到此 SSID 的所有设备都落在 VLAN 20 中 名称：Guest 密码：<访客密码> 网络：Guest 访客策略：启用 ← 也将访客彼此隔离 ``` ### UniFi 防火墙规则（流量规则） ``` 设置 → 流量和安全性 → 流量规则 # 阻止 IoT 到达可信 VLAN 操作：阻止 类别：本地网络 源：IoT (192.168.20.0/24) 目标：可信 (192.168.10.0/24) # 仅允许 IoT 到达互联网 操作：允许 源：IoT 目标：互联网 # 阻止访客访问所有本地网络 操作：阻止 源：访客 目标：本地网络 ``` ## pfSense / OPNsense 配置 ### 创建 VLAN ``` 接口 → 分配 → VLAN → 添加 父接口：em1 (您的 LAN NIC) VLAN 标签：20 描述：IoT # 对每个 VLAN 重复，然后将每个 VLAN 分配给接口： 接口 → 分配 → 添加 选择您创建的 VLAN → 点击添加 启用接口，将 IP 设置为网关地址 (192.168.20.1/24) ``` ### 每个 VLAN 的 DHCP ``` 服务 → DHCP 服务器 → 选择您的 VLAN 接口 启用 DHCP 范围：192.168.20.100 至 192.168.20.254 DNS 服务器：192.168.30.2 ← Pi-hole IP（如果您有） ``` ### 防火墙规则（pfSense/OPNsense） ``` # 规则从上到下处理，首先匹配的获胜。 # 在 IoT 接口 (VLAN 20) 上： 规则 1：允许 IoT → Pi-hole DNS ← 必须在 RFC1918 阻止规则之前 协议：UDP/TCP 源：IoT 网络 目标：192.168.30.2 端口 53 操作：允许 规则 2：阻止 IoT → RFC1918 (所有私有 IP 范围) 协议：任何 源：IoT 网络 目标：RFC1918 (192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12) 操作：阻止 规则 3：允许 IoT → 互联网 协议：任何 源：IoT 网络 目标：任何 操作：允许 # 在可信接口 (VLAN 10) 上： 允许所有 (可信设备可以到达所有地方) 源：可信网络 目标：任何 操作：允许 # 需要特定本地服务的 IoT 设备的额外例外： 在规则 2 (RFC1918 阻止) 之前插入： 协议：TCP 源：IoT 网络 目标：192.168.30.x 端口 8123 ← Home Assistant 操作：允许 ``` ## MikroTik 配置 ``` # 步骤 1：创建启用 VLAN 过滤的网桥 /interface bridge add name=bridge vlan-filtering=yes # 步骤 2：将物理端口添加到网桥 # 到路由器/上行链路的中继端口（所有 VLAN 标记） /interface bridge port add bridge=bridge interface=ether1 frame-types=admit-only-vlan-tagged # 可信设备的接入端口（未标记 VLAN 10） /interface bridge port add bridge=bridge interface=ether2 pvid=10 frame-types=admit-only-untagged-and-priority-tagged # IoT 设备的接入端口（未标记 VLAN 20） /interface bridge port add bridge=bridge interface=ether3 pvid=20 frame-types=admit-only-untagged-and-priority-tagged # 步骤 3：定义哪些端口上允许哪些 VLAN /interface bridge vlan add bridge=bridge tagged=ether1 untagged=ether2 vlan-ids=10 add bridge=bridge tagged=ether1 untagged=ether3 vlan-ids=20 # 步骤 4：在网桥上创建 VLAN 接口（网关 IP） /interface vlan add interface=bridge name=vlan10 vlan-id=10 add interface=bridge name=vlan20 vlan-id=20 # 步骤 5：分配网关 IP /ip address add interface=vlan10 address=192.168.10.1/24 add interface=vlan20 address=192.168.20.1/24 # 步骤 6：DHCP 池和服务器 /ip pool add name=pool-trusted ranges=192.168.10.100-192.168.10.254 add name=pool-iot ranges=192.168.20.100-192.168.20.254 /ip dhcp-server add interface=vlan10 address-pool=pool-trusted name=dhcp-trusted add interface=vlan20 address-pool=pool-iot name=dhcp-iot /ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 add address=192.168.20.0/24 gateway=192.168.20.1 # 步骤 7：防火墙 — 阻止 IoT 到达可信 VLAN /ip firewall filter add chain=forward src-address=192.168.20.0/24 dst-address=192.168.10.0/24 \ action=drop comment="阻止 IoT 到可信" ``` ## 交换机中继与接入端口 ``` # 中继端口：承载多个 VLAN（标记）— 连接交换机到交换机、交换机到路由器、交换机到 AP # 接入端口：承载一个 VLAN（未标记）— 连接到终端设备 (PC、摄像头、NAS) # 连接到路由器的托管交换机端口应该是中继： 允许的 VLAN：10, 20, 30, 40, 99 # 连接到 PC 的端口应该是接入端口： VLAN：10 (可信) 无标记 — PC 不知道或不在乎 VLAN # 连接到 AP 的端口必须是中继： AP 使用正确的 VLAN ID 标记来自每个 SSID 的流量 允许的 VLAN：10, 20, 40 (AP 提供的任何 SSID) ``` ## 反模式 ``` # 错误：创建 VLAN 而不添加防火墙规则 # 没有防火墙规则的 VLAN 不提供安全性 — VLAN 间路由默认开放 # 正确：创建 VLAN 后立即添加显式阻止规则 # 错误：将 Pi-hole 放在 IoT VLAN 中 # IoT 设备可以到达它，但可信设备无法到达（需要额外规则） # 正确：Pi-hole 在服务器 VLAN 中，规则允许所有 VLAN 到达端口 53 # 错误：本机 VLAN 等于管理 VLAN # 未标记流量落在您的管理 VLAN 中启用 VLAN 跳跃攻击 # 正确：使用专用的未使用 VLAN 作为本机 (例如 VLAN 999)，保持管理流量标记 # 错误：IoT SSID 和可信 SSID 使用相同的 Wi-Fi 密码 # 任何学习密码的人都可以将 IoT 设备连接到错误的分段 ``` ## 最佳实践 - 从 4 个 VLAN 开始：可信、IoT、服务器、访客 — 根据需要添加更多 - 将 Pi-hole 放在服务器 VLAN (192.168.30.x) 中 - 添加防火墙规则，允许所有 VLAN 到 Pi-hole IP 的 DNS（端口 53）—— 在任何 RFC1918 阻止规则之前 - 每次规则更改后测试隔离：从 IoT VLAN，尝试 ping 可信设备 — 应该失败 - 为交换机和 AP Web UI 使用管理 VLAN，并限制仅可信 VLAN 访问 - 在表格中记录您的 VLAN 设计 (VLAN ID、名称、子网、用途) ## 相关技能 - homelab-network-setup - homelab-pihole-dns - homelab-wireguard-vpn