IoT-enheter, med og uten nettilgang

[bjwanvik]

Jeg har etter veldig mye om og men kommet så langt med nettverket mitt (mitt er vel å strekke det litt langt, da jeg nå styrer 4 boenheter fra kontrolleren :P) at jeg har et godt fungerende oppsett for "vanlig bruk", og kan begynne å tenke på å sikre ting på et litt annet nivå enn tidligere.

 

Som mange andre, begynner jeg å ha endel IoT-enheter som jeg ikke ser noen som helst grunn til å ha i samme nett som de enhetene jeg aktivt bruker. Noen av enhetene er dessverre avhengig av nettilgang, mens andre klarer seg fint uten.

 

Jeg har i utgangspunktet tenkt å plassere slike ting på to forskjellige VLAN (med og uten tilgang til internett), men om en også drar inn overvåkningskamera i IoT-begrepet snakker vi vel fort ihvertfall tre VLAN.

Med Aruba har jeg mulighet til å kjøre alt via policyer under samme SSID, men jeg kan også lage "uendelig" mange SSID'er om jeg heller ønsker å skille det slik.
Pr. i dag er kapasiteten i nettverket ikke i nærheten av å bli utnyttet, men om en ser noen få år frem i tid kan en vel anta at enda mer går trådløst og krever langt større båndbredde, og da vil en vel fort bli "avkledd" om en har et dårlig oppsett.

Jeg regner med det er flere her som har segmentert nettene sine med mange VLAN, men er det noen her som har erfaringer og/eller tanker rundt hva som vil være den beste løsningen av å gjøre dette med en rollebasert policy eller ta den enklere varianten med flere SSID'er? 
Kan vel nevne at jeg allerede har noen roller satt opp som tildeles basert på autentisering. Dette fungerer veldig fint - det eneste jeg ikke liker er at når jeg gjør dette basert på mac-adresse kan jeg ikke gi enheter et fornuftig navn i databasen til nettverkskontrolleren... Det er igrunnen hovedgrunnen til at jeg ikke allerede har satt opp alle IoT-enhetene som "brukere" også.

[Evelen]

Jeg bumper denne litt da jeg har et litt samme issue

 

Per i dag har jeg flere vlan

bla:

LAN-server

LAN-klient

LAN-begrenset (ment for IoT)

WLAN-server

WLAN-klient

WLAN-begrenset (ment for IoT)

 

hvert WLAN har to SSID-er, en for hver frekvens.

 

Men til saken.

Mange IoT enheter merker jeg har veldig lite innstillings muligheter, samtidig har dem veldig ofte ikke kan kommunisere utad mot andre subnet.

Bla ønsker jeg jo å knytte noen servere opp mot noen IoT-enheter, det samme gjelder av og til klienter.

 

Hva tenker dere om dette? og har dere separerte serer/iot nett

[ZoRaC]

Eget VLAN for servere, eget for IoT og eget for kamera.

I tillegg til egne for klienter, gjester og sånt, så klart.  

[4ndersjensen]

Bumper..

Husk at jo fler SSIDer jo fler management frames og jo dårligere ytelse.

Med Aruba kan du vel kjøre en SSID og flere VLANs basert på rolle. Så hvis dings1 autentiserer og får rolle 1, så plasseres den i vlan10, men hvis dings2 autentiserer og får rollle 2, så plasseres den i VLAN20. Kan se litt på det som 1 swich med flere VLANs = 1 SSID med flere VLANs.

[4ndersjensen]

Men jeg står iøvrig litt i samme situasjon.

Jeg har en Unifi USG, en switch og 2 aksesspunkter.

Jeg har en RPi3B+ som kjører Home Assistant og jeg vil gjerne plassere denne i eget nett. Det har jeg for så vidt gjort, men nå har jeg ikke Sonos og Google Cast integrasjonene lengre. Dette fordi de baserer seg på broadcast traffikk og HA vil følgelig ikke kunne broadcaste over i nettet hvor Sonos og ChromeCast-devicene befinner seg. Alternativet med å plassere disse dingsene i IoT nettet hvor HA står er ikke et alternativ, for da skal jeg åpne opp fra "hjemmenettet" til IoT og er da vel like vidt..?

Jeg har lest lit tom mDNS, men er ikke helt sikker på om dette blir et sikkerhetshull.

Jeg vil jo separere vanlig hjemmedevicer (TV, mobiler, PCer, tablets, ChromeCast, Sonos etc) fra IoT (Home Assistant, de få dingser som kjører wifi/ethernet). Jeg har en del Zigbee og Zwave-devicer, men de lager jo eget nett for kommunikasjon, så wifi her er ikke et issue. Skulle jeg gå til innkjøp av LiFX, Netatmo eller andre dingser som baserer seg på WiFi, så vil jeg at de skal i samme nett som HA men fortsatt med full funksjonalitet, selvsagt.