Источник: selfhosting.sh
Быстрая рекомендация
Начните с плоской сети и добавляйте VLAN, когда у вас появится причина. Одна подсеть со всеми устройствами отлично работает для большинства самостоятелей. Когда вы добавляете IoT-устройства, отдельную сеть для ненадежных устройств или открываете услуги для интернета, VLAN добавляют значительную безопасность. Вам нужен управляемый коммутатор ($30-60) и маршрутизатор/брандмауэр, который поддерживает VLAN (OPNsense, pfSense или профессиональный маршрутизатор, такой как MikroTik/Ubiquiti). Потребительские маршрутизаторы от провайдеров обычно не поддерживают VLAN. Получите конфигурации Docker Compose, рекомендации по оборудованию и сокращения по настройке, которые мы не публикуем в статьях. Раз в неделю. Без спама.
Подписаться
Топологии сети
Топология 1: Простая плоская сеть (начните отсюда)
Internet ─── ISP Router/Modem ─── Switch ─┬── Server
├── Desktop
├── Laptop (Wi-Fi)
└── Other devices
Все в одной подсети: 192.168.1.0/24. Все устройства могут видеть все остальные устройства. Просто, ноль конфигурации.
Когда этого достаточно:
* Один домашний сервер, работающий с контейнерами Docker
* Нет ненадежных IoT-устройств
* Нет услуг, открытых в интернете
* Менее 20 устройств в целом
Плюсы: Нулевая сложность. Все просто работает. Минусы: Нет изоляции. Скомпрометированное IoT-устройство может получить доступ к вашему NAS.
Топология 2: Сегментированная с VLAN (рекомендуется)
Internet ─── OPNsense Router ─── Managed Switch ─┬── VLAN 1 (Управление): Router, Switch, APs
├── VLAN 10 (Доверенное): Desktop, Laptop
├── VLAN 20 (Серверы): Home server, NAS
├── VLAN 30 (IoT): Умный дом, камеры
└── VLAN 40 (Гостевой): Гостевая Wi-Fi
Четыре VLAN с правилами брандмауэра, контролирующими трафик между ними:
VLAN| Подсеть| Назначение| Доступно
---|---|---|---
1 (Управление)| 192.168.1.0/24| Сетевая инфраструктура| Все (только администратор)
10 (Доверенное)| 10.0.10.0/24| Ваши персональные устройства| Серверы, Интернет
20 (Серверы)| 10.0.20.0/24| Home server, NAS| Интернет (для обновлений), ограниченно
30 (IoT)| 10.0.30.0/24| Устройства умного дома| Только Home Assistant, Интернет
40 (Гостевой)| 10.0.40.0/24| Гостевые устройства| Только Интернет
Ключевые правила брандмауэра:
* Доверенное → Серверы: Разрешить (вы получаете доступ к своим службам)
* Серверы → Доверенное: Блокировать (сервер не может инициировать соединения с вашим ноутбуком)
* IoT → Серверы: Разрешить только для Home Assistant (порт 8123)
* IoT → Доверенное: Блокировать (IoT не может видеть ваши персональные устройства)
* IoT → Интернет: Разрешить (для IoT-устройств, зависящих от облака) или Блокировать (для полностью локального IoT)
* Гостевой → Все: Блокировать, кроме Интернета
* Управление → Все: Разрешить (администраторский доступ)
Топология 3: DMZ для публичных услуг
Internet ─── OPNsense ─┬── WAN (публичный IP)
├── DMZ (VLAN 50): Обратный прокси, публичные услуги
├── LAN (VLANs 1-40): Внутренняя сеть
└── (брандмауэр между DMZ и LAN)
Добавьте VLAN DMZ, если вы открываете услуги для интернета (через проброс портов или публичный IP). Обратный прокси находится в DMZ, перенаправляя запросы к внутренним серверам через строгие правила брандмауэра.
Правила DMZ:
* Интернет → DMZ: Разрешить только порты 80, 443
* DMZ → Серверы: Разрешить определенные порты для определенных служб
* DMZ → Доверенное/IoT: Блокировать все
* LAN → DMZ: Разрешить (для управления)
Это самая безопасная топология для услуг самозанятых, предназначенных для внешнего доступа. Атакующий, скомпрометировавший обратный прокси, не сможет достичь вашей внутренней сети, не обойдя брандмауэр.
Требуемое оборудование
Маршрутизатор/Брандмауэр
| Устройство | ЦП | ОЗУ | Порты | Пропускная способность VPN | Цена |
|---|---|---|---|---|---|
| Protectli VP2420 | Celeron J6412 | 4–16 GB | 4x 2.5G | ~1 Gbps | $230–350 |
| Qotom Mini PC (OPNsense) | N100 | 8–16 GB | 4x 2.5G | ~2.5 Gbps | $180–250 |
| MikroTik hEX S | MT7621A | 256 MB | 5x 1G + SFP | ~500 Mbps | ~$60 |
| Старый ПК + OPNsense | Любой x86 | 4+ GB | 2+ NICs | Разное | $0 (перепрофилирование) |
| Ubiquiti Dream Machine Pro | ARM Cortex-A57 | 4 GB | 8x 1G + SFP+ | ~800 Mbps | ~$380 |
| Рекомендация: Мини-ПК Qotom или Protectli, работающий под управлением OPNsense. Устройство брандмауэра с 4 NIC, запускает OPNsense или pfSense, обрабатывает VLAN + брандмауэр + VPN. В общей сложности $200–300. | |||||
| Бюджетный вариант: MikroTik hEX S за $60. RouterOS поддерживает VLAN, брандмауэра и большинство функций. Более крутая кривая обучения, чем OPNsense, но невероятно способный за свою цену. | |||||
| ### Управляемый коммутатор | |||||
| Коммутатор | Порты | PoE | Скорость | Поддержка VLAN | Цена |
| --- | --- | --- | --- | --- | --- |
| TP-Link TL-SG108E | 8 | Нет | 1G | Да (802.1Q) | ~$30 |
| TP-Link TL-SG2210MP | 10 | Да (8 PoE+) | 1G | Да | ~$120 |
| MikroTik CSS610-8G-2S+IN | 8+2 SFP+ | Нет | 1G + 10G | Да | ~$80 |
| Ubiquiti USW-24-POE | 24 | Да (16 PoE+) | 1G | Да | ~$300 |
| Netgear MS108EUP | 8 | Да (4 PoE++) | 2.5G | Да | ~$150 |
| Для VLAN: TP-Link TL-SG108E за $30 - самый дешевый управляемый коммутатор, который поддерживает 802.1Q VLAN. Достаточно для большинства домашних лабораторий. | |||||
| Для PoE (точки доступа, камеры): TP-Link TL-SG2210MP за $120 предоставляет 8 PoE+ портов. Питает точки доступа и PoE-камеры без отдельных адаптеров питания. | |||||
| ### Точки доступа | |||||
| Для SSID с тегами VLAN (разные Wi-Fi сети по VLAN): | |||||
| Точка доступа | Wi-Fi | VLAN SSIDs | PoE | Цена | |
| --- | --- | --- | --- | --- | |
| TP-Link EAP245 | Wi-Fi 5 | Да (до 8) | Да | ~$70 | |
| TP-Link EAP670 | Wi-Fi 6 | Да (до 16) | Да | ~$120 | |
| Ubiquiti U6 Lite | Wi-Fi 6 | Да | Да | ~$100 | |
| Ubiquiti U6 Pro | Wi-Fi 6 | Да | Да | ~$150 | |
| SSID с тегами VLAN позволяют вам создать отдельные Wi-Fi сети, которые соответствуют VLAN: | |||||
| * SSID «Home» → VLAN 10 (доверенный) | |||||
| * SSID «IoT» → VLAN 30 (IoT устройства) | |||||
| * SSID «Гостевой» → VLAN 40 (гостевой) |
Настройка VLAN
На OPNsense
- Создайте VLAN интерфейсы: Интерфейсы → Другие типы → VLAN. Создайте VLAN 10, 20, 30, 40 на родительском интерфейсе LAN.
- Назначьте интерфейсы: Интерфейсы → Назначения. Назначьте каждый VLAN как интерфейс OPT.
- Настройте DHCP: Сервисы → DHCPv4 → каждый интерфейс VLAN. Установите подсеть и диапазон.
- Создайте правила брандмауэра: Брандмауэр → Правила → каждый интерфейс VLAN. Определите разрешенный трафик.
На коммутаторе
- Создайте VLAN: Панель администратора → VLAN → 802.1Q. Создайте VLAN 10, 20, 30, 40.
- Тегируйте магистральный порт (uplink к маршрутизатору): Все VLAN тегированы.
- Настройте порты доступа: Каждый порт устройства не тегирован на своем VLAN.
Пример назначения портов:
Порт| Режим| VLAN| Подключено к
---|---|---|---
1| Магистраль| Все тегированы| OPNsense LAN
2| Доступ| 10| Настольный
3| Доступ| 20| Домашний сервер
4| Доступ| 20| NAS
5| Доступ| 30| IoT-центр
6| Магистраль| 10,30,40 тегированы| Точка доступа
7–8| Доступ| 10| Доступно
На точках доступа
Настройте SSID с тегами VLAN:
* SSID «HomeNet» → VLAN 10 (негазированный по умолчанию)
* SSID «IoT» → VLAN 30 (тегированный)
* SSID «Гостевой» → VLAN 40 (тегированный)
Точка доступа отправляет трафик для каждого SSID с соответствующим тегом VLAN на коммутатор через магистральный порт.
DNS для вашей домашней лаборатории
Локальный DNS с Pi-hole или AdGuard Home
Запустите Pi-hole или AdGuard Home в качестве DNS-сервера вашей сети. Преимущества:
* Блокировка рекламы для всех устройств
* Локальные DNS-записи (server.home → 10.0.20.10)
* Журнал запросов DNS
Установите ваш DHCP-сервер (OPNsense или маршрутизатор) для распределения IP-адреса Pi-hole как DNS-сервера для всех VLAN.
Локальные доменные имена
Вместо того чтобы запоминать IP-адреса, создайте локальные DNS-записи:
Имя хоста| IP| Сервис
---|---|---
nas.home| 10.0.20.10| TrueNAS / NAS
docker.home| 10.0.20.11| Хост Docker
ha.home| 10.0.20.12| Home Assistant
plex.home| 10.0.20.11| Plex (тот же хост Docker)
Настройте в Pi-hole: Локальный DNS → DNS-записи. Или в AdGuard Home: Фильтры → Перезаписи DNS.
Планирование IP-адресов
| Подсеть | Диапазон | DHCP пул | Статические резервирования |
|---|---|---|---|
| Управление (VLAN 1) | 192.168.1.0/24 | .100–.200 | .1 маршрутизатор, .2 коммутатор, .3–.10 точки доступа |
| Доверенные (VLAN 10) | 10.0.10.0/24 | .100–.200 | .10–.30 для фиксированных устройств |
| Серверы (VLAN 20) | 10.0.20.0/24 | .100–.200 | .10–.30 для серверов |
| IoT (VLAN 30) | 10.0.30.0/24 | .100–.250 | По мере необходимости |
| Гостевой (VLAN 40) | 10.0.40.0/24 | .100–.250 | Нет (все DHCP) |
| Используйте статические IP для серверов. Либо установите их на самом сервере, либо используйте DHCP-резервирования на вашем маршрутизаторе. Серверы должны иметь предсказуемые IP для записей DNS, правил брандмауэра и конфигураций Docker. |
FAQ
Нужны ли мне VLAN, если у меня нет устройств IoT?
Вероятно, нет. VLAN добавляют сложность. Если ваша сеть состоит только из компьютеров и домашнего сервера, простая сеть с хорошим файрволом (запрет inbound, разрешить outbound) будет в порядке. Добавьте VLAN, когда вы добавите ненадежные устройства или откроете службы для публичного доступа.
Могу ли я использовать VLAN с потребительским роутером?
Большинство потребительских роутеров (Netgear Nighthawk, TP-Link Archer, предоставленные провайдером) не поддерживают 802.1Q VLAN. Вам нужен либо полупрофессиональный роутер (MikroTik, Ubiquiti), либо специализированный файрвол (OPNsense на мини-ПК). Некоторые потребительские роутеры поддерживают «гостевые сети», которые являются упрощенной формой VLAN.
Является ли управляемый коммутатор тем же, что и «умный» коммутатор?
«Умные управляемые» или «легкие умные» коммутаторы (например, TP-Link TL-SG108E) поддерживают базовые VLAN и QoS. «Полностью управляемые» коммутаторы (например, Cisco Catalyst) поддерживают расширенные функции, такие как STP, LACP, ACL. Для VLAN в домашней лаборатории достаточно умного управляемого коммутатора, и он намного дешевле.
Как мне получить доступ к устройствам через VLAN?
Через правила файрвола на вашем роутере. Создайте правила, которые позволяют определенный трафик между VLAN. Например: разрешить VLAN 10 (доверенный) доступ к VLAN 20 (Серверы) на любом порту, но заблокировать VLAN 30 (IoT) от доступа к VLAN 10.
В чем разница между маршрутизацией между VLAN и файрволом?
Маршрутизация между VLAN означает, что роутер пересылает трафик между VLAN. Файрвол добавляет правила о том, какой трафик разрешен. Вам нужно и то, и другое — роутер обрабатывает маршрутизацию, а его файрвол проверяет и разрешает/отказывает в трафике между VLAN в соответствии с вашими правилами.