Τι Είναι τα VLANs Και Γιατί Τα Χρειάζεσαι;

Χρησιμοποιείς Ήδη VLANs Χωρίς να το Γνωρίζεις

Τα VLANs μπορεί να ακούγονται σαν ένας άγνωστος όρος ή ακόμα ένα networking buzzword, όμως τα χρησιμοποιούμε καθημερινά χωρίς να το γνωρίζουμε.

Σε ένα γραφείο, ξενοδοχείο ή πανεπιστήμιο, μπορεί να βλέπεις ξεχωριστά Wi-Fi δίκτυα για εργαζομένους, επισκέπτες και smart συσκευές:

• Company Wi-Fi

• Guest Wi-Fi

• Staff Wi-Fi

• IoT ή Device Wi-Fi

Χρησιμοποιούν το ίδιο router και τηντην ίδια σύνδεση στο internet. Αναρωτήθηκες όμως για ποιο λόγο μπαίνουμε σοτν κόπο να δημιουργήσουμε όλα τα παραπάνω δίκτυα;

Το κάνουμε ώστε οι επισκέπτες να μπορούν να μπουν στο internet, αλλά να μην μπορούν να αποκτήσουν πρόσβαση στους υπολογιστές, στους εκτυπωτές ή στις εσωτερικές υπηρεσίες της εταιρείας.

To ίδιο ζήτημα αντιμετώπισα και εγώ στο σπίτι μου στην προσπάθεια μου να το κάνω έξυπνο.

Γιατί Χρειάστηκα VLANs

Πριν τα VLANs, κάθε συσκευή στο σπίτι μου ήταν στο ίδιο δίκτυο. Το laptop μου, οι κάμερες ασφαλείας, το κινητό του αδερφού μου, τα κινητά των επισκεπτών, τα φτηνά smart plugs — όλα σε ένα subnet, όλα με δυνατότητα να επικοινωνούν το ένα με το άλλο.

Έτσι λειτουργούν τα περισσότερα οικιακά δίκτυα. Ο router του ISP δημιουργεί ένα δίκτυο, τα πάντα συνδέονται σε αυτό, και κανείς δεν το σκέφτεται παραπάνω μέχρι να πάει κάτι στραβά.

Όταν εγκατέστησα το πρώτο μου Shelly και μπήκα στη διαχειριστική του σελίδα στην τοπική IP. Είδα ένα interface χωρίς authentication και συνειδητοποίησα ότι οτιδήποτε σε αυτό το δίκτυο μπορεί να έχει πρόσβαση. Οποιοδήποτε κινητό επισκέπτη. Οποιαδήποτε παραβιασμένη IoT συσκευή. Το Shelly μπορούσε να δει το NAS μου, το laptop μου, το Home Assistant instance μου. Και οι 12 κάμερες ασφαλείας ήταν στο ίδιο ενιαίο δίκτυο με τα RTSP streams ανοιχτά. Έτσι άρχισα να σκέφτομαι σοβαρά για την ασφάλεια του δικτύου μου και αποφάσισα να τα διαχωρίσω με VLANs.

Τι Είναι ένα VLAN;

Ένα VLAN — Virtual Local Area Network — χωρίζει ένα φυσικό δίκτυο σε πολλαπλά απομονωμένα δίκτυα.

Σκέψου το σαν δωμάτια σε ένα σπίτι. Χωρίς VLANs, ολόκληρο το δίκτυό σου είναι ένα μεγάλο ανοιχτό δωμάτιο — όλοι είναι μαζί και μπορούν να επικοινωνήσουν. Με VLANs, βάζεις τοίχους και πόρτες. Οι κάμερες είναι σε ένα δωμάτιο, τα smart plugs σε ένα άλλο, οι προσωπικές σου συσκευές σε ένα τρίτο. Ο μόνος τρόπος να πας από δωμάτιο σε δωμάτιο είναι μέσω του router, που λειτουργεί σαν φρουρός ελέγχοντας αν σου επιτρέπεται η πρόσβαση.

Κάθε VLAN παίρνει το δικό του subnet, το δικό του DHCP, και το δικό του broadcast domain. Η κίνηση μεταξύ VLANs πρέπει να περάσει από τον router όπου οι κανόνες firewall αποφασίζουν τι περνάει.

Τα Cat6 καλώδια μεταφέρουν τα δεδομένα για όλα τα VLANs. Τα switches σημαδεύουν κάθε πακέτο με ένα VLAN ID ώστε να ξέρουν σε ποιο δίκτυο ανήκει. Γι' αυτό χρειάζεσαι managed switches — τα unmanaged δεν μπορούν να σημαδέψουν την κίνηση.

Στο UniFi, η δημιουργία ενός VLAN παίρνει περίπου 30 δευτερόλεπτα. Ορίζεις ένα δίκτυο, του αναθέτεις ένα VLAN ID και ένα subnet, και μετά αναθέτεις switch ports ή Wi-Fi SSIDs σε αυτό το δίκτυο. Το UCG αναλαμβάνει το routing μεταξύ VLANs και τους κανόνες firewall που το ελέγχουν.

Οι Στόχοι μου για το Δίκτυο

Πριν δημιουργήσω VLANs, κατέγραψα τι ήθελα:

1. Οι IoT συσκευές δεν μπορούν να φτάσουν τις προσωπικές μου συσκευές. Ένα παραβιασμένο Shelly δεν θα πρέπει ποτέ να μπορεί να δει το laptop ή το κινητό μου.

2. Οι κάμερες δεν μπορούν να βγουν στο internet και πρέπει να είναι χωριστά από τα IoT. Δεν υπάρχει λόγος τα πλάνα του σπιτιού μου να περνάνε από server κάποιου άλλου. Και ένα παραβιασμένο smart plug δεν πρέπει να μπορεί να δει τα πλάνα των καμερών αποκτώντας πρόσβαση στο RTSP stream.

3. Οι υπηρεσίες πρέπει να είναι προσβάσιμες από τις συσκευές μου αλλά όχι από επισκέπτες ή IoT. Θέλω πρόσβαση στο NAS και στο Home Assistant από το laptop μου, αλλά ένα κινητό επισκέπτη δεν θα πρέπει καν να ξέρει ότι υπάρχουν.

4. Οι επισκέπτες έχουν πρόσβαση στο internet και τίποτα άλλο. Καμία πρόσβαση σε εσωτερική υπηρεσία, κανένα scanning, κανένα discovery και περιορισμός στο bandwidth

5. Ένας DNS server για τα πάντα. Όλα τα VLANs χρησιμοποιούν το Raspberry Pi 5 μου που τρέχει AdGuard Home. Έτσι, όλο το δίκτυο έχει ad blocking και εσωτερικό DNS για τις τοπικές διευθύνσεις.

6. Οι συσκευές management είναι απομονωμένες. Ο router, τα switches, και τα access points δεν πρέπει να είναι προσβάσιμα από τυχαίες συσκευές στο δίκτυο.

Αυτοί οι στόχοι διαμόρφωσαν άμεσα τη διάταξη των VLANs μου.

Η Διάταξη των VLANs μου

Δίκτυο Management

Εδώ ζει η υποδομή του δικτύου. Το UCG Ultra, τα UniFi switches, και τα access points.

Θέλω η υποδομή του δικτύου να είναι χωριστά από τα πάντα. Ένα κινητό επισκέπτη δεν πρέπει να μπορεί να φτάσει στο admin panel του router μου. Μια IoT συσκευή δεν πρέπει να μπορεί να πειράξει το firmware ενός AP.

Στην πράξη, έχω πρόσβαση στο management δίκτυο από τις αξιόπιστες συσκευές μου όταν χρειάζεται να ρυθμίσω κάτι. Η UniFi κονσόλα του UCG είναι διαθέσιμη από το Trusted VLAN, αλλά όχι από το IoT, Guest, ή Surveillance.

Το VLAN 1 είναι το default στον περισσότερο εξοπλισμό δικτύου. Το κράτησα γιατί οι UniFi συσκευές το χρησιμοποιούν out of the box — συνδέεις ένα νέο AP ή switch και εμφανίζεται στον controller αυτόματα.

Δίκτυο Αξιόπιστων Συσκευών

Αυτό είναι το κύριο οικιακό δίκτυο. Το laptop μου, το laptop του αδερφού μου, τα κινητά μας και τα PCs. Αυτές είναι οι συσκευές που χρησιμοποιούμε καθημερινά, και χρειάζονται τη μεγαλύτερη πρόσβαση.

Οι αξιόπιστες συσκευές μπορούν:

• Να έχουν πρόσβαση στο internet ελεύθερα

• Να φτάνουν υπηρεσίες στο Services VLAN (NAS, Home Assistant, dashboard του Pi)

• Να έχουν πρόσβαση στο management δίκτυο για διαμόρφωση

• Να συνδεθούν στις κάμερες μέσω του NVR interface

Οι αξιόπιστες συσκευές δεν μπορούν:

• Να προσπελαστούν από IoT συσκευές

• Να προσπελαστούν από συσκευές επισκεπτών

• Να προσπελαστούν από κάμερες

Δίκτυο Υπηρεσιών

Εδώ τρέχουν οι εσωτερικές μου υπηρεσίες. Δύο συσκευές ζουν εδώ:

Raspberry Pi 5: τρέχει Docker Compose με Home Assistant, AdGuard Home , Nginx Proxy Manager, Portainer, Dozzle, Homepage dashboard, και FreeDNS DDNS updater.

TrueNAS: το NAS που τρέχει σε ένα AOOSTAR mini PC με αποθηκευτικό χώρο για media, οικογενειακά αρχεία, προσωπικά έγγραφα, και backups. Λειτουργεί επίσης ως media server με Jellyfin.

Κρατάω τις υπηρεσίες απομονωμένες ώστε το Pi και το NAS να μην εκτίθενται σε IoT, κάμερες, ή επισκέπτες. Μόνο οι αξιόπιστες συσκευές μου μπορούν να συνδεθούν στο Services VLAN. Οι υπηρεσίες εξακολουθούν να έχουν πρόσβαση στο internet για ενημερώσεις.

Γιατί να μη βάλω το Pi και το NAS στο Trusted VLAN; Γιατί οι υπηρεσίες είναι servers — ακούνε σε ports, δέχονται συνδέσεις, και τρέχουν 24/7. Κρατώντας τες στο δικό τους δίκτυο σημαίνει ότι μπορώ να γράψω κανόνες firewall ειδικά γι' αυτές χωρίς να επηρεάζω τις προσωπικές μου συσκευές.

Το Home Assistant στο Pi είναι η γέφυρα μεταξύ των VLANs. Κάθεται στο Services VLAN αλλά χρειάζεται να επικοινωνεί με IoT συσκευές στο IoT VLAN. Οι κανόνες firewall που το επιτρέπουν είναι συγκεκριμένοι και ελεγχόμενοι — περισσότερα στην [ενότητα firewall](#βασικοί-κανόνες-firewall). Οι τηλεοράσεις στο IoT VLAN έχουν επίσης πρόσβαση στο NAS που τρέχει Jellyfin για media streaming.

Δίκτυο IoT

Κάθε smart home συσκευή ζει εδώ. Shelly relays, κλιματιστικά, αφυγραντήρες, smart plugs, τηλεοράσεις και smart switches.

Μερικές από αυτές είναι φτηνές, το firmware τους είναι συχνά closed-source ανανεώνεται σπάσια και στέλνουν δεδομένα σε cloud servers σε άγνωστες περιοχές.

Στο IoT VLAN, οι συσκευές μπορούν:

• Να μιλούν στο Home Assistant (για να αναφέρουν κατάσταση και να δέχονται εντολές)

• Να φτάνουν τον DNS στο Pi για ανάλυση ονομάτων

• Να βγαίνουν στο internet μόνο όταν είναι απολύτως απαραίτητο

Οι IoT συσκευές δεν μπορούν:

• -Να φτάσουν οποιαδήποτε συσκευή στο Trusted VLAN

• Να φτάσουν το NAS

• Να έχουν πρόσβαση στο management δίκτυο

• Να δουν ή να φτάσουν τις κάμερες

Το Home Assistant λειτουργεί ως controller. Κάθεται στο Services VLAN και συνδέεται σε κάθε smart συσκευή για να στέλνει εντολές. Οι τηλεοράσεις μπορούν επίσης να προσπελάσουν το Jellyfin στο NAS για media streaming.

Αυτοί οι κανόνες firewall είναι τα μόνα επιτρεπόμενα μονοπάτια μεταξύ IoT και Services VLANs.

Το IoT VLAN έχει το δικό του Wi-Fi SSID. Η συχνότητα είναι ρυθμισμένη μόνο σε 2.4 GHz και ο κωδικός είναι IoT friendly. Όταν ρυθμίζω μια νέα συσκευή, τη συνδέω σε αυτό το SSID και πέφτει στο IoT VLAN αυτόματα. Δεν χρειάζεται χειροκίνητη ανάθεση port.

Δίκτυο Ασφαλείας

Κάμερες και ένα NVR. Όλα συνδεδεμένα μέσω PoE μέσα από την Cat6 καλωδίωση. Αυτό το VLAN είναι το πιο κλειδωμένο δίκτυο στο σπίτι μου.

Οι κάμερες δεν μπορούν:

• Να βγουν στο internet (εντελώς μπλοκαρισμένο)

• Να φτάσουν οποιοδήποτε άλλο VLAN

• Να κάνουν resolve εξωτερικά DNS

• Να επικοινωνήσουν με οτιδήποτε εκτός του Surveillance VLAN

Το NVR καταγράφει τα πάντα τοπικά. Οι κάμερες μιλάνε στο NVR. Κανένα cloud. Κανένα εξωτερικό streaming. Κανένας firmware update server.

Γιατί; Οι κάμερες είναι υψηλού κινδύνου συσκευές. Γνωστές ευπάθειες, ελάχιστες ενημερώσεις, και καταγράφουν το σπίτι σου. Αν μία παραβιαστεί και έχει πρόσβαση στο internet, θα μπορούσε να στέλνει streaming τα πλάνα σου σε κάποιον άλλο. Αν έχει πρόσβαση στο LAN, γίνεται πόρτα εισόδου σε άλλες συσκευές.

Μπλοκάροντας εντελώς το internet, ακόμα και μια παραβιασμένη κάμερα δεν μπορεί να στείλει τίποτα προς τα έξω. Μπορεί μόνο να μιλήσει σε άλλες συσκευές στο Surveillance VLAN — που είναι άλλες κάμερες και το NVR.

Όταν θέλω να δω τις κάμερες, έχω τις εξής επιλογές:

1. Μπαίνω στο NVR ή στο Cameras App (που είναι ρυθμισμένο να τρέχει μόνο τοπικά) από μια αξιόπιστη συσκευή στο Trusted VLAN (ένας συγκεκριμένος κανόνας firewall το επιτρέπει)

2. Βλέπω τα feeds μέσω του Home Assistant, που κάνει proxy τα streams.

3. Συνδέομαι μέσω WireGuard VPN όταν είμαι εκτός σπιτιού, που με βάζει στο δίκτυο σαν να ήμουν φυσικά εκεί.

Αναλύω περισσότερα για την τοποθέτηση καμερών, τα cable runs, και τη ρύθμιση του NVR στο άρθρο για τις κάμερες.

Δίκτυο Επισκεπτών

Οι επισκέπτες έχουν μόνο πρόσβαση στο internet. Φίλοι έρχονται συχνα στο σπίτι και χρειάζονται Wi-Fi. Αλλά δεν πρέπει να βλέπουν το NAS μου, τις κάμερές μου, το Home Assistant μου, ή οποιαδήποτε εσωτερική υπηρεσία.

Το Guest VLAN παρέχει ακριβώς αυτό:

• Πρόσβαση στο internet: επιτρέπεται

• Πρόσβαση σε οποιοδήποτε άλλο VLAN: μπλοκαρισμένη

• Ταχύτητα: περιορισμένη με κανόνες QoS ώστε οι επισκέπτες να μην κορεστούν τη σύνδεσή μου

Οι κανόνες QoS περιορίζουν το bandwidth ανά client επισκέπτη. Η σύνδεσή μου είναι 500/250 Mbps. Δεν θέλω ένας επισκέπτης που κατεβάζει ένα μεγάλο αρχείο να χαλάσει το video call που κάνω στον πάνω όροφο. Τα limits είναι αρκετά για κανονική χρήση — browsing, streaming, social media — αλλά αποτρέπουν οποιαδήποτε μεμονωμένη συσκευή να πάρει μεγάλο bandwidth του δικτύου.

DNS Σε Όλα τα VLANs

Κάθε VLAN χρησιμοποιεί το Raspberry Pi 5 μου ως DNS server. Το Pi τρέχει AdGuard Home — ένα DNS-level ad blocker και query logger.

Αυτό σημαίνει ότι κάθε συσκευή σε κάθε δίκτυο — trusted, IoT, κάμερες, επισκέπτες — στέλνει τα DNS queries της στο Pi. Το AdGuard μπλοκάρει διαφημίσεις, trackers, malware domains, και telemetry για ολόκληρο το σπίτι. Καμία ρύθμιση ανά συσκευή. Κανένα browser extension.

Για να δουλέψει αυτό σε όλα τα VLANs, χρειάστηκα έναν κανόνα firewall που επιτρέπει DNS κίνηση από όλα τα VLANs (εκτός κάμερες) στη IP του Pi και τη συγκεκριμένη πόρτα στο Services VLAN. Χωρίς αυτόν τον κανόνα, οι συσκευές σε άλλα VLANs δεν θα μπορούσαν να κάνουν resolve κανένα domain name — το internet θα φαινόταν «χαλασμένο» ακόμα κι αν η σύνδεση είναι μια χαρά.

Η ρύθμιση DHCP για κάθε VLAN δείχνει στην IP του Pi ως DNS server. Όταν μια συσκευή συνδέεται και παίρνει IP μέσω DHCP, παίρνει επίσης το Pi ως DNS.

Το AdGuard μου δίνει επίσης ορατότητα. Μπορώ να δω ποιες συσκευές κάνουν ποια queries. Αν μια Shelly συσκευή ξαφνικά αρχίσει να κάνει resolve ύποπτα domains, θα το δω στα logs.

Βασικοί Κανόνες Firewall

Οι κανόνες firewall είναι αυτό που κάνει τα VLANs χρήσιμα. Χωρίς αυτούς, ο router απλά δρομολογεί κίνηση μεταξύ VLANs ελεύθερα — κανένα νόημα να τα χωρίζεις. Στο UniFi, ορίζεις κανόνες για κίνηση που πάει από μία ζώνη σε μία άλλη. Μπλόκαρε τα πάντα by default, μετά επίτρεψε ό,τι χρειάζεσαι. Αυτοί είναι οι κανόνες μου:

Επιτρέπεται: IoT → Home Assistant Οι IoT συσκευές χρειάζεται να στέλνουν ενημερώσεις κατάστασης στο Home Assistant. Συνδέονται στο Pi στη συγκεκριμένη port (το HA web interface και API). Αυτός ο κανόνας επιτρέπει μόνο αυτή τη συγκεκριμένη port από το IoT VLAN στην IP του Pi στο Services VLAN.

Επιτρέπεται: Home Assistant → Smart συσκευές Το Home Assistant χρειάζεται να στέλνει εντολές στα Shelly relays και να διαβάζει την κατάστασή τους. Μπορεί να συνδεθεί σε οποιαδήποτε συσκευή στο IoT δίκτυο.

Επιτρέπεται: Όλα τα VLANs → Pi DNS Κάθε VLAN (εκτός Surveillance) μπορεί να φτάσει το Pi στην πόρτα του DNS ανάλυση. Χωρίς αυτό, καμία συσκευή δεν μπορεί να πλοηγηθεί στο internet γιατί δεν μπορεί να κάνει resolve domain names.

Επιτρέπεται: Trusted → Services (όλα) Οι προσωπικές μου συσκευές στο Trusted VLAN μπορούν να φτάσουν οτιδήποτε στο Services VLAN. Μπαίνω σε Home Assistant, NAS web interface, Portainer, Nginx, και άλλα dashboards ελεύθερα από το laptop μου.

Επιτρέπεται: Trusted → NVR (συγκεκριμένα ports) Από το Trusted VLAN, μπορώ να μπω στο NVR interface για να δω ζωντανές κάμερες και εγγραφές.

Μπλοκαρισμένο: Surveillance → Internet Όλη η κίνηση από το Surveillance VLAN στο WAN γίνεται drop. Οι κάμερες δεν μιλάνε ποτέ στο internet. Αυτός είναι ένας ρητός deny κανόνας που υπερισχύει του default "allow internet" policy.

Μπλοκαρισμένο: Guest → Όλα τα εσωτερικά Τα πάντα από το Guest VLAN σε οποιαδήποτε άλλη RFC1918 διεύθυνση είναι μπλοκαρισμένα. Οι επισκέπτες μπορούν μόνο να φτάσουν στο internet. Δεν μπορούν να κάνουν ping, scan, ή να προσπελάσουν οτιδήποτε εσωτερικό.

Μπλοκαρισμένο: Απομόνωση IoT Η κίνηση από το VLAN 20 σε οποιοδήποτε άλλο VLAN είναι μπλοκαρισμένη. Οι IoT συσκευές δεν μπορούν να φτάσουν προσωπικές συσκευές. Ακόμα κι αν ένα smart plug παραβιαστεί, δεν μπορεί να σκανάρει για το laptop μου.

Ο default κανόνας By default, αρνούμαι κίνηση μεταξύ VLANs εκτός αν ένας συγκεκριμένος κανόνας το επιτρέπει. Αυτή είναι η zero-trust προσέγγιση — τίποτα δεν μιλάει σε τίποτα εκτός αν το πω εγώ. Μετά προσθέτω allow κανόνες για τα συγκεκριμένα μονοπάτια που χρειάζομαι. Με αυτόν τον τρόπο, αν ξεχάσω να μπλοκάρω κάτι, είναι μπλοκαρισμένο by default.

Established και Related Κίνηση Ένας σημαντικός κανόνας: επιτρέπω established και related connections σε όλες τις κατευθύνσεις. Αυτό σημαίνει ότι αν μια συσκευή στο Trusted VLAN ξεκινήσει μια σύνδεση σε μια υπηρεσία στο Services VLAN, τα πακέτα απάντησης επιτρέπονται πίσω. Χωρίς αυτό, θα έπρεπε να γράψω κανόνες και για τις δύο κατευθύνσεις κάθε επιτρεπόμενης σύνδεσης. Ο κανόνας "established/related" χειρίζεται την κίνηση απάντησης αυτόματα. Επιτρέπει μόνο κίνηση από συνδέσεις που ήδη ξεκίνησαν και επιτράπηκαν. Καμία νέα εισερχόμενη σύνδεση — μόνο κίνηση απάντησης.

Αυτό είναι μέρος της σειράς μου Φτιάχνοντας Ένα Έξυπνο Σπίτι — όπου καταγράφω τα πάντα που έφτιαξα, τι δούλεψε, τι χάλασε και τι έμαθα. Ακολουθήσε με για πρακτικά άρθρα που απευθύνονται σε developers που θέλουν να φτιάξουν πραγματικά συστήματα.