כיצד LAN וירטואלי יכול להגן טוב יותר על הרשת הביתית שלך – והדרך הטובה ביותר להתחיל
עקוב אחר ZDNET: הוסף אותנו כמקור מועדף בגוגל.
מבחר מפתחות של ZDNET
- רשתות LAN וירטואליות מאפשרות לך לבודד מכשירים ברשת שלך.
- שלב זה הוא קריטי מכיוון שחלק מהמכשירים מאובטחים פחות.
- לא כל ספקיות האינטרנט מאפשרות יצירת רשתות VLAN.
תארו לכם את התרחיש הזה: יש לכם רשת מקומית אחת (LAN) בבית. ברשת זו יש לך מחשבים נייחים, מחשבים ניידים, טאבלטים, טלפונים ומכשירי IoT, כגון תרמוסטטים, טלוויזיות חכמות, רמקולים ועוד.
מכשירי ה-IoT שלך יכולים לראות מכשירים אחרים ולהיפך. למרות שלמכשירי ה-IoT יש הרבה פחות אבטחה מהמחשבים השולחניים והמחשבים הניידים שלך, הם רשאים להתחבר לאותה רשת.
כמו כן: נתבי ה-VPN הטובים ביותר: מומחה נבדק ונבדק
ואז, יום גורלי אחד, מכשיר IoT נפרץ. תוכנה זדונית מוזרקת למכשיר, ולאחר מכן מתפשטת למחשבים שולחניים ולניידים שלך. הדבר הבא שאתה יודע, האקר יש את פרטי חשבון הבנק שלך והוא גונב את הכסף שלך.
כל זה קרה בגלל שלתרמוסטט לא מאובטח הייתה גישה למחשב השולחני שלך.
אבל מה אם היית יכול להימנע מהתרחיש הזה? אתה יכול, הודות לרשתות VLAN.
מהו VLAN?
VLAN מייצג רשת תקשורת מקומית וירטואלית. מבלי להיכנס עמוק מדי לתוך הבוץ והבוץ של מינוח הרשת, רשת LAN וירטואלית היא כמו רשת משנית בתוך ה-LAN שלך המבודדת משאר הרשת שלך. לרשת ה-LAN הראשית שלך עשויה להיות סכימת כתובות כמו 192.168.1.x, ו-VLAN שלך עשויה להיות בעלת סכימת כתובות כמו 192.168.2.x.
הדבר המשמעותי בהגדרה זו הוא שבגלל סכימת הכתובות, ה-VLAN אינו יכול לגשת ישירות ל-LAN. ההפרדה הזו חשובה כי היא מבודדת את המכשירים.
בואו נשתמש בדוגמה שלנו למעלה ונמנה את הרשתות שלנו LAN1 ו-LAN2 (LAN1 הוא ה-LAN הראשי ו-LAN2 הוא ה-VLAN).
כמו כן: מהו MoCA 2.5? כיצד הרשת הזולה הזו יכולה להחליף Wi-Fi ולתקן אזורים מתים
ב-LAN1, אתה מחבר את המחשבים הנייחים, המחשבים הניידים, הטאבלטים והטלפונים שלך. ב-LAN2, אתה מחבר את כל מכשירי ה-IoT שלך. אם מכשיר IoT נפרץ, מכיוון שהוא מבודד ב-LAN2, המכשירים היחידים שהוא יכול לגשת אליו הם אלה שנמצאים באותו LAN, מה שאומר שהמחשבים השולחניים, המחשבים הניידים, הטאבלטים והטלפונים שלך בטוחים (עוד על הפרדה זו בהמשך).
אתה יכול לקחת את הגישה הזו צעד אחד קדימה וליצור שני VLAN – אחד לטלפונים וטאבלטים ואחד למכשירי IoT, כך שמבנה הרשת שלך יהיה:
- LAN: מחשבים נייחים ומחשבים ניידים (תוכלו גם להוסיף מדפסות להגדרה זו)
- VLAN1: טלפונים וטאבלטים
- VLAN2: מכשירי IoT
אתה יכול אפילו להגדיר את ה-LAN לגשת לכל דבר ברשת שלו, כמו גם לכל דבר ב-VLAN1 ו-VLAN2, אבל VLAN1 ו-VLAN2 לא יכולים לגשת להתקנים ברשת ה-LAN. אם יש לך את חומרת הרשת הנכונה, תוכל אפילו להגדיר את VLAN2 כך שאף התקנים לא יוכלו לתקשר זה עם זה ויהיה להם גישה רק לעולם החיצון (או לרשת הרחבה, WAN). שלב זה יכול להיות חשוב מכיוון שהוא ימנע ממכשיר IoT אחד לגרום לבעיות עם אחר.
אפשרות נוספת תהיה ליצור VLAN שלישי עבור המכשירים של הילדים שלך. תוכל גם ליצור VLAN3, הכולל בקרת הורים נוספת שתגביל את האתרים שהילדים שלך יכולים להגיע אליהם, אך לא ישפיעו על מכשירים ברשת ה-LAN הראשית.
וגם: אינטרנט איטי בבית? הנה 3 דברים שאני תמיד בודק קודם כדי להחזיר לעצמנו מהירויות Wi-Fi מהירות
למעשה, אתה יכול לקחת את הגישה הזו עוד יותר על ידי יצירת VLAN רביעי לאורחים וחמישי לעבודה מהבית (ייתכן שהרשת הזו מנותבת דרך VPN).
כפי שאתה יכול לראות, מספר ה-VLAN שאתה יוצר מגדיל את המורכבות. הדבר החשוב הוא להכיר את המכשירים ברשת שלך וכיצד לבודד אותם.
כיצד ליצור רשתות VLAN
זה המקום שבו הדברים מסתבכים למדי, שכן כל נתב/מודם/מתג רשת הוא שונה. האופן שבו אתה יוצר VLAN תלוי בחומרה הספציפית שלך.
כמו כן: נמאס לך מפרסומות ועקבים מקוונים? איך אני חוסם אותם בכל הרשת הביתית שלי
למשל, ספק הרשת שלי (ספקטרום) אינו מאפשר ליצור רשתות VLAN דרך החומרה שלו. למעשה, רוב ספקי האינטרנט אינם תומכים ברשתות VLAN בחומרה משלהם.
זה משאיר לי שתי אפשרויות:
- פרוס הפצת לינוקס, כגון OPNsense או IPFire, שיכולה לשמש כנתב.
- רכוש נתב של צד שלישי.
מכיוון שהאפשרות הראשונה עלולה להיות מעט מסובכת עבור רוב האנשים, אני ממליץ לרכוש נתב של צד שלישי. להלן מספר דגמים התומכים ברשתות VLAN:
אם אינך רוכש אחד מהנתבים לעיל, ודא שהנתב שאתה כן בוחר תומך ב-VLAN. שימוש בנתב של צד שלישי מאפשר לך להגדיר מספר רשתות VLAN, אך תרצה לקרוא את התיעוד של הנתב כדי ללמוד כיצד, מכיוון שההגדרה של כל נתב תהיה שונה.
אם התמזל מזלכם והנתב/מודם של ספק האינטרנט שלכם תומך ב-VLAN (שוב, רובם לא), רוב הסיכויים שהם יוגדרו מראש בממשק האינטרנט של הנתב/מודם כרשתות אורחים, מכשירים ניידים, התקני סטרימינג וכו'.
סיבה בונוס ללכת עם נתב של צד שלישי (במיוחד כזה אלחוטי) היא שאתה יכול לקנות אחד עם טווח גדול יותר ממה שכבר יש לך.
מתן שמות ל-VLAN שלך
למרות שציינתי יצירת VLAN1, VLAN2, VLAN3 וכו', אתה יכול במקום זאת ליצור VLAN עם ערכת שמות, כגון IoT, Mobile, Kids ו-אורחים — אבל אני ממליץ נגד זה. הבעיה עם מוסכמות השמות היא שהיא הופכת את הכל לקצת ברור מדי. אם במקרה יש שחקן גרוע נהיגה מלחמה מסביב לשכונה שלך ומזהה VLAN אלחוטי בשם IoT (אם הוא גלוי ל-WAN), הם יכולים להתחבר למכשיר לא מאובטח ו(אם יש להם את הכישורים) לעשות דברים רעים. בגלל הסיכון הזה, אני ממליץ להשתמש בשמות VLAN שמערפלים את מטרותיהם.
האם רשתות VLAN חסינות בפני תקלות?
לא. כפי שאמרתי פעמים רבות, אם מכשיר מחובר לרשת, הוא פגיע. ובכל זאת, הגדרת רשתות VLAN מאובטחת יותר מאשר להטיח הכל ברשת אחת.
עם זאת, יש דבר שנקרא VLAN hopping, המאפשר להאקר לנצל יציאות מתג שגוי או מנגנוני תיוג VLAN כדי לדלג מ-VLAN ל-LAN ראשי (או מ-VLAN ל-VLAN). על ידי נקיטת גישה זו, תוקפים יכולים לקבל גישה לא מורשית לכל מכשיר ברשת שלך.
כמו כן: הדפדפנים המאובטחים הטובים ביותר לפרטיות: מומחה נבדק
לכן, חשוב לוודא שה-VLAN שלך מוגדרים כהלכה (בהתאם לחומרה שנמצאת בשימוש), שקושחת הנתב שלך מעודכנת, ושהמכשירים בכל רשת כוללים גם מערכות הפעלה וגם תוכנות מעודכנות.
למרות שרשתות VLAN אינן פתרון מושלם לאתגרי אבטחה, הם דרך מצוינת לבודד חומרה כדי למנוע ממכשירים פחות מאובטחים, כגון כלי IoT, לגשת למכונות המכילות מידע רגיש.