Thêm an toàn các thiết bị không an toàn vào mạng gia đình của tôi

Tôi có một vài thiết bị kết nối Internet mà tôi không tin tưởng để bảo mật, nhưng dù sao tôi cũng muốn sử dụng (TV thông minh và một số thiết bị tự động hóa gia đình sẵn có). Tôi không muốn chúng trên cùng một mạng với máy tính của tôi.

Giải pháp hiện tại của tôi là cắm modem cáp của tôi vào một công tắc và kết nối hai bộ định tuyến không dây với công tắc. Máy tính của tôi kết nối với bộ định tuyến đầu tiên, mọi thứ khác kết nối với bộ định tuyến thứ hai.

Điều này có đủ để tách biệt hoàn toàn máy tính của tôi với mọi thứ khác không?

Ngoài ra, có một giải pháp đơn giản hơn bằng cách sử dụng một bộ định tuyến duy nhất có hiệu quả làm điều tương tự? Tôi có các bộ định tuyến sau, cả hai đều có DD-WRT :

• Netgear WNDR3700-v3

• Linksys WRT54G-v3

Tất cả các thiết bị (bảo mật và không an toàn) kết nối không dây, ngoại trừ một máy tính duy nhất trên mạng an toàn.

Có, giải pháp của bạn cũng ổn nhưng sẽ tăng một bước chuyển đổi, cộng với chi phí cấu hình, bạn có thể đạt được điều này với một bộ định tuyến bằng cách thực hiện như sau:

• Định cấu hình hai Vlan, kết nối các máy chủ đáng tin cậy với một Vlan và không tin cậy với một Vlan khác.
• Định cấu hình iptables để không cho phép lưu lượng đáng tin cậy đối với lưu lượng không đáng tin cậy (ngược lại).

Hi vọng điêu nay co ich!

Điều đó là hoàn toàn có thể, nhưng tôi muốn giải quyết một vài điều trước tiên.

Giải pháp hiện tại của tôi là cắm modem cáp của tôi vào một công tắc và kết nối hai bộ định tuyến không dây với công tắc. Máy tính của tôi kết nối với bộ định tuyến đầu tiên, mọi thứ khác kết nối với bộ định tuyến thứ hai.

Thật thú vị khi cả hai bộ định tuyến đều có quyền truy cập internet khi modem cáp của bạn dường như chỉ là một modem. ISP của bạn có làm NAT không? Nếu không, tôi khuyên bạn nên rút công tắc ra (nó thực sự là một công tắc hay là công tắc có khả năng NAT?) Và đặt một trong các bộ định tuyến DD-WRT của bạn làm cổng. Thiết lập hiện tại của bạn là như vậy (mà không biết bộ định tuyến được nối với cổng nào), có thể có xung đột địa chỉ IP hoặc đôi khi có thể bị mất kết nối ngẫu nhiên và bất thường trên một hoặc mạng khác.

Có thể phân tách lưu lượng Wi-Fi thành nhiều Vlan trên một điểm truy cập không?

Có, nhưng nó sẽ mất một chút công việc cấu hình và một số thử nghiệm. Tôi sử dụng một thiết lập tương tự cho mình để tách biệt một mạng khách. Phương pháp tôi sẽ mô tả dưới đây không liên quan đến Vlan.

DD-WRT (trong số những người khác) hỗ trợ tạo nhiều SSID trên cùng một AP. Điều duy nhất cần làm là tạo một cây cầu khác, gán nó cho một mạng con khác, sau đó tường lửa nó khỏi phần còn lại của mạng chính.

Đã được một thời gian kể từ lần cuối tôi làm theo cách này nhưng nó sẽ đi đâu đó như thế này (chuẩn bị mất kết nối):

1. Mở trang cấu hình của điểm truy cập
2. Chuyển đến Không dây => Cài đặt cơ bản
3. Trong Giao diện ảo, nhấp vào Thêm [^ virtif]
4. Give mới IOT SSID của bạn một tên và để lại Network Configurationcho Bridged, cho phép AP Isolationtheo ý muốn
5. Chuyển đến tab Bảo mật không dây, đặt mật khẩu của bạn và đặt Chế độ bảo mật thành không có gì ngoài WPA2-Personal-AES nếu có thể [^ nDS]
6. Chuyển đến tab Cài đặt => Mạng
7. Trong phần Bridging, nhấp vào Thêm
8. Đặt cho cây cầu của bạn một tên tùy ý [^ brname], có thể br1?
9. Cung cấp cho cầu của bạn một địa chỉ IP không nằm trên cùng mạng con với mạng chính của bạn [^ ipaddr]
10. (Bạn có thể phải bấm Save sau đó Apply Settings để có được điều này để hiển thị lên) Dưới Assign để Bridge, bấm Add, sau đó gán br1cho giao diện wl.01hoặc những gì tên giao diện của nó đã được đưa ra [^ virtif], tiết kiệm và áp dụng

11. Trong nhiều máy chủ DHCP, bấm Thêm và gán nó cho br1

12. Đi tới Quản trị => Lệnh và dán chúng (bạn có thể phải điều chỉnh tên giao diện) [^ note2]
    iptables -t nat -I POSTROUTING -o `get_wanface` -j MASQUERADE
iptables -I FORWARD -i br1 -m state --state NEW,RELATED -j ACCEPT
iptables -I FORWARD -i br1 -o br0 -j REJECT
    Và nhấp vào Lưu tường lửa

13. Bạn nên thiết lập tất cả, tôi nghĩ

Để biết thêm chi tiết, bạn có thể xem tại http://www.alexlaird.com/2013/03/dd-wrt-guest-w châu /

Một lưu ý cho điều này là thiết lập này chỉ hiệu quả với bộ định tuyến cổng / AP. Nếu bạn muốn thiết lập tương tự hoạt động cho các bộ định tuyến khác, bạn sẽ phải sử dụng Vlan. Thiết lập tương tự, nhưng nó liên quan nhiều hơn một chút. Sự khác biệt ở đây là bạn sẽ phải cấu hình và kết nối Vlan mới với SST IoT và có thể thực hiện một số quy tắc định tuyến.

[^ virtif]: Đầu tiên thường là giao diện vật lý và thường được dán nhãn là wl0. Giao diện ảo của bạn (tối đa ba nếu tôi không nhầm) sẽ được gắn nhãn là wl0.1, wl0.2, v.v.

[^ brname]: Đây sẽ là tên giao diện DD-WRT sẽ đặt cho giao diện cầu nối.

[^ ipaddr]: Giả sử mạng chính của bạn là vào ngày 172.16.1.0/24, hãy cung cấp br1địa chỉ là 172.16.2.0/24.

[^ nDS]: Nếu bạn có Nintendo DS, bạn sẽ phải sử dụng WEP. Ngoài ra, bạn có thể tạo một SSID khác chỉ cho NDS và nó cũng được bắc cầu để br1thuận tiện.

[^ note1]: Tại thời điểm này sau khi áp dụng cài đặt, mọi thứ kết nối với SST IoT giờ sẽ được gán cho một mạng con khác. Tuy nhiên, hai mạng con vẫn có thể giao tiếp với nhau.

[^ note2]: Bit này có thể cần một số công việc.

Điều này có đủ để tách biệt hoàn toàn máy tính của tôi với mọi thứ khác không?

Giả sử kết nối của bạn từ bộ định tuyến 1 đến Bộ chuyển mạch đang sử dụng WANcổng của bộ định tuyến và bạn không chia sẻ mạng LAN và LAN trong OpenWRT (có nghĩa là bạn không thay đổi cài đặt mặc định và thực hiện nối cáp như khi kết nối trực tiếp với modem), bạn chủ yếu là tốt

Tất nhiên, các thiết bị của bạn trên bộ định tuyến 2 có thể gửi lưu lượng đến bất kỳ ai, đây có thể là một vấn đề (chính thống kê sử dụng, hình ảnh camera, âm thanh qua micrô, thông tin về mạng WLAN, máy thu GPS, v.v. tùy thuộc vào thiết bị).

Ngoài ra, có một giải pháp đơn giản hơn bằng cách sử dụng một bộ định tuyến duy nhất có hiệu quả làm điều tương tự? Tôi có các bộ định tuyến sau, cả hai đều có DD-WRT:

Bạn có thể định cấu hình các cổng riêng biệt và định tuyến lưu lượng truy cập xấu riêng biệt với lưu lượng tốt. Từ khóa của bạn sẽ có DMZ, có rất nhiều hướng dẫn có sẵn.

Nếu bạn muốn có độ phức tạp cao hơn, bạn cũng có thể kích hoạt Vlan, bằng cách này bạn có thể đặt các thiết bị nhận biết Vlan bổ sung phía sau bộ định tuyến và kết nối cả hai loại thiết bị với chúng, về cơ bản làm cho toàn bộ ngôi nhà của bạn như thể mọi thiết bị được cắm trực tiếp vào một cổng của một trong cả hai bộ định tuyến, ngay cả khi bạn chỉ có một bộ định tuyến duy nhất và 5 công tắc phía sau nó bị xiềng xích ... nhưng chỉ làm điều này nếu bạn phải, vì khả năng xảy ra lỗi là đáng kể và lợi ích phụ thuộc vào hệ thống cáp của bạn ( hầu như không có khi sử dụng cấu trúc liên kết sao, tuyệt vời khi phải sử dụng cấu trúc liên kết vòng).

Một số bộ định tuyến Wi-Fi cấp độ người tiêu dùng có "Chế độ khách" là mạng được phân vùng khỏi mạng thông thường.

Bạn có thể giới hạn các thiết bị không đáng tin cậy của mình vào AP "Khách" .

Không phải mọi bộ định tuyến có tính năng đó là đặc biệt an toàn.

Mặc dù bài viết Cảnh báo: Chế độ khách Chế độ trực tuyến trên nhiều bộ định tuyến Wi-Fi không an toàn nói về sự không an toàn, lỗ hổng lớn mà họ thảo luận là quyền riêng tư. Nếu bạn không quan tâm nếu TV hỗ trợ mạng của bạn đang gọi điện về nhà để nói với nhà sản xuất những gì bạn đang xem, thì ai quan tâm nếu hàng xóm đang xem nó làm điều đó.

Ngoài ra, có một giải pháp đơn giản hơn bằng cách sử dụng một bộ định tuyến duy nhất có hiệu quả làm điều tương tự? Tôi có các bộ định tuyến sau, cả hai đều có DD-WRT:

Hầu hết các bộ định tuyến WiFi tại nhà cho phép bạn định cấu hình "mạng khách". Mạng LAN không dây này được phép kết nối với Internet, nhưng không được phép kết nối với các thiết bị trên mạng LAN có dây hoặc không dây chính. Vì vậy, bạn có thể đưa các thiết bị IoT lên mạng và chúng sẽ không thể thỏa hiệp với máy tính của bạn.

Tạo một mạng riêng phải là cách tốt nhất để giữ các thiết bị không an toàn khỏi mạng LAN an toàn của bạn để ngăn người dùng / thiết bị độc hại truy cập vào các tệp được chia sẻ hoặc các thiết bị được kết nối mạng của bạn, có thể đạt được bằng cách bật mạng GUEST bằng các tính năng Netgar WNDR3700v3 với một mật khẩu mạnh và khác biệt.

Vô hiệu hóa UPnP

Một virus, ngựa Trojan, sâu hoặc chương trình độc hại khác có thể lây nhiễm máy tính trên mạng cục bộ của bạn có thể sử dụng UPnP, giống như các chương trình hợp pháp có thể. Mặc dù bộ định tuyến thường chặn các kết nối đến, ngăn chặn một số truy cập độc hại, UPnP có thể cho phép một chương trình độc hại vượt qua tường lửa hoàn toàn. Ví dụ, một con ngựa thành Troia có thể cài đặt chương trình điều khiển từ xa trên máy tính của bạn và mở một lỗ hổng cho nó trong tường lửa của bộ định tuyến, cho phép truy cập 24/7 vào máy tính của bạn từ Internet. Nếu UPnP bị vô hiệu hóa, chương trình không thể mở cổng - mặc dù nó có thể vượt qua tường lửa theo những cách khác và gọi điện về nhà

Vô hiệu hóa truy cập từ xa thông qua WIFI đến bộ định tuyến của bạn

hầu hết các bộ định tuyến đều cung cấp tính năng truy cập từ xa trên mạng cho phép bạn truy cập giao diện web này từ mọi nơi trên thế giới. Ngay cả khi bạn đặt tên người dùng và mật khẩu, nếu bạn có bộ định tuyến D-Link bị ảnh hưởng bởi lỗ hổng này, bất kỳ ai cũng có thể đăng nhập mà không cần bất kỳ thông tin đăng nhập nào. Nếu bạn có quyền truy cập từ xa bị vô hiệu hóa, bạn sẽ an toàn khỏi những người truy cập từ xa bộ định tuyến của bạn và giả mạo nó.

Cũng không kết nối các thiết bị không an toàn trừ khi bạn cần.