Гостевая сеть и отдельная сеть для умных устройств

К вам приходят в гости и просят пароль от Wi-Fi. В квартире при этом работают телевизор, который не получал обновлений несколько лет, умные лампы и камера от неизвестного производителя. Каждое такое устройство может оказаться слабым звеном: если его взломают, оно окажется в той же сети, что и ваш компьютер с документами. Лекарство простое: держать их в разных сетях.

Три зоны

Роутер подключён к интернету и раздаёт три отдельные сети: основную, гостевую и сеть умного дома — Три сети от одного роутера: у каждой есть выход в интернет, но друг с другом они не общаются.

Основная сеть: компьютеры, телефоны, домашнее хранилище. Ей доверяете больше всего.
Гостевая сеть: телефоны и ноутбуки гостей. Им нужен интернет, но не нужны ваши файлы и принтер.
Сеть умных устройств: телевизор, лампы, розетки, камеры, пылесос. Они выходят в интернет, а ваши рабочие машины им видеть не нужно.

Как включить гостевую сеть

В большинстве домашних роутеров есть пункт «Гостевая сеть» или «Гостевой Wi-Fi». Включите её и задайте отдельное имя и пароль. Внутри обычно есть два важных параметра: «изоляция клиентов» (гости не видят друг друга) и «доступ к локальной сети» (должен быть запрещён). Если их нет, на таком роутере гостевая сеть может оказаться формальностью, и стоит проверить её так, как описано ниже. Пароль гостевой сети меняйте время от времени, например после больших праздников, и пишите на листочке у входа или показывайте QR-кодом.

Умные устройства

Если в роутере нет отдельной сети для умного дома, подойдёт гостевая: она изолирована от основной. Минус в том, что управление устройствами с телефона из основной сети может перестать работать. Функции обнаружения (Chromecast, AirPlay, многие принтеры) рассчитаны на то, что всё находится в одном сегменте. Что делать:

Для телевизора и колонок, которыми управляете со смартфона, часто проще оставить их в основной сети, но следить за обновлениями.
Камеры, розетки, лампы, пылесос и прочие устройства, работающие через облако производителя, спокойно живут в изолированной сети.
Многие такие устройства поддерживают только диапазон 2,4 ГГц. Выбирайте для них отдельную сеть, где этот диапазон включён.

Что ещё стоит настроить

У гостевой сети часто можно ограничить скорость и время работы: тогда гость не займёт весь канал и не останется в сети навсегда. Запретите в ней управление роутером. Для умных устройств полезно проверять в приложении, какие обновления прошивки доступны, и отключать функции, которыми вы не пользуетесь: удалённый доступ к камере, лишние сервисы телевизора, голосовые помощники в комнатах, где они не нужны.

Для тех, кто хочет большего

Полноценное разделение делается через VLAN: на управляемом коммутаторе и роутере или межсетевом экране создаются отдельные виртуальные сети с правилами между ними. Для дома подходят прошивка OpenWrt на совместимом роутере и система OPNsense. Типичные правила: умные устройства могут выходить в интернет, но не могут обращаться к основной сети; основная сеть может обращаться к умным устройствам. Это уже уровень энтузиаста, и без привычки к настройке сетей его можно пропустить.

Проверка изоляции

Подключите телефон к гостевой сети и выключите на нём мобильный интернет.
Попробуйте открыть адрес административной панели роутера, например 192.168.1.1. Хорошо, если она не откроется. Если откроется, посмотрите, нет ли в настройках запрета доступа гостей к интерфейсу роутера.
Попробуйте открыть адрес домашнего хранилища или принтера из основной сети. Из гостевой они недоступны.
Убедитесь, что интернет из гостевой сети работает.

Проверка занимает пять минут, а убережёт от иллюзии безопасности. Если роутер не умеет нормально изолировать гостей, это повод подумать о его замене, а не о том, чтобы закрыть глаза.