Если у вас дома есть умные лампочки, камеры, розетки и при этом вы раздаёте Wi-Fi друзьям и соседям — рано или поздно возникнет вопрос: а безопасно ли всё это висит в одной сети? Ответ — нет. И самый рабочий способ это исправить — настроить VLAN. Без сложных серверов и корпоративного оборудования. В этой статье разберём, как это сделать на обычном домашнем уровне, зачем это нужно и какие подводные камни вас ждут.
Почему нельзя держать всё в одной сети
Представьте, что ваш умный дом — это квартира, где все комнаты соединены без дверей. Гость, зашедший в прихожую, может спокойно дойти до спальни, кабинета и детской. Примерно так работает обычная домашняя сеть: все устройства видят друг друга.
Что это значит на практике:
- Гостевой ноутбук с вирусом может попробовать подключиться к вашему NAS или камере.
- Умная лампочка за 200 рублей с прошивкой 2019 года становится точкой входа в сеть.
- Ребёнок, скачавший что-то не то, оказывается в одной сети с рабочим компьютером.
- Устройства умного дома начинают «болтать» в сеть, и весь этот трафик смешивается с вашим.
VLAN — это виртуальные сети внутри одного физического оборудования. Вы как бы ставите виртуальные стены между группами устройств. Кабель один, коммутатор один, но трафик изолирован.
Что вам понадобится
Не пугайтесь списка — речь не о серверной стойке. Для домашней настройки хватит вполне бюджетного оборудования.
Обязательно:
- Роутер с поддержкой VLAN. Это ключевой момент. Обычный роутер от провайдера не подойдёт. Нужен тот, где в настройках есть раздел VLAN или хотя бы возможность создавать подсети с изоляцией.
- Управляемый коммутатор (managed switch), если у вас есть проводные устройства в разных VLAN. Неуправляемый коммутатор — это как тройник: он просто раздаёт сигнал и не понимает VLAN-теги.
- Точка доступа Wi-Fi с поддержкой нескольких SSID и VLAN. Иначе вы не сможете раздать разные сети для гостей и умного дома по воздуху.
Желательно:
- Понимание того, какие устройства у вас есть и к какой группе они относятся. Составьте список — это сэкономит время.
- Доступ к веб-интерфейсу роутера. Иногда придётся покопаться в настройках.
Как подумать о структуре сети до настройки
Прежде чем лезть в настройки, определитесь, сколько зон вам нужно. Минимальная схема для дома выглядит так:
VLAN Назначение Примеры устройств Доступ в интернет Друг к другу 1 (основной) Ваши личные устройства ПК, ноутбук, телефон, NAS Да Да 10 Умный дом Лампочки, розетки, камеры, колонки Ограничен Нет 20 Гостевая сеть Телефоны друзей, ноутбуки гостей Да Нет 30 Камеры и изолированные устройства IP-камеры, старые устройства Нет или ограничен Нет
Почему именно так? Личные устройства должны видеть друг друга — вам нужно печатать на общем принтере, обращаться к NAS. Умный дом не должен видеть ничего, кроме контроллера (если он есть) и интернета — ему больше ничего не нужно. Гостям нужен только интернет. Камеры — вообще отдельная история: им интернет часто не нужен, а доступ извне должен быть строго через ваш основной VLAN.
Пошаговая настройка на примере
Точные названия пунктов меню зависят от производителя роутера. Но логика везде одинаковая. Разберём на общих шагах.
Шаг 1. Заходим в настройки роутера и находим раздел VLAN
Обычно это в разделе LAN, Network или Advanced. Если такого раздела нет — ваш роутер не поддерживает VLAN, и придётся менять оборудование. Не пытайтесь обойтись без этого: настройка «гостевой сети» в дешёвых роутерах часто не даёт реальной изоляции на уровне пакетов.
Шаг 2. Создаём VLAN и назначаем им номера
Каждой виртуальной сети даёте числовой идентификатор. Я рекомендую не использовать VLAN 1 для чего-то кроме управления оборудованием — это стандартный номер, и многие устройства по умолчанию работают именно в нём. Лучше начать с 10, 20, 30 — так понятнее, где что.
Шаг 3. Настраиваем подсети и DHCP
Каждому VLAN нужна своя подсеть. Например:
- VLAN 10 (умный дом): 192.168.10.0/24
- VLAN 20 (гости): 192.168.20.0/24
- VLAN 30 (камеры): 192.168.30.0/24
Для каждого VLAN включаете свой DHCP-сервер, чтобы устройства автоматически получали адреса. Если не включить — придётся прописывать вручную, что для умного дома сомнительное удовольствие.
Шаг 4. Настраиваем Wi-Fi с привязкой к VLAN
Здесь нужна точка доступа, которая умеет создавать несколько сетей (SSID) и вешать каждую на свой VLAN. Создаёте три сети:
- «Home» — ваша основная, без тега VLAN или с тегом 1.
- «Home-IoT» — для умного дома, тег 10.
- «Guest» — для гостей, тег 20.
Ключевой момент: гостевая сеть должна иметь client isolation или peer-to-peer blocking. Иначе гости смогут видеть друг друга, что тоже не очень приятно.
Шаг 5. Настраиваем межсетевые правила (firewall)
Это самое важное. По умолчанию роутер может маршрутизировать трафик между VLAN — а вам это не нужно. Создаёте правила:
- Запретить трафик из VLAN 20 (гости) в VLAN 1 и VLAN 10.
- Запретить трафик из VLAN 10 (умный дом) в VLAN 1, но разрешить доступ к контроллеру умного дома (если он в VLAN 1).
- Разрешить всем VLAN выход в интернет (WAN).
- Запретить VLAN 30 (камеры) выход в интернет совсем, если не нужен облачный доступ.
Порядок правил имеет значение: сначала запреты, потом разрешения. Или наоборот — зависит от логики вашего роутера. Главное — проверить, что правила работают.
Шаг 6. Проверяем
Подключите ноутбук к гостевой сети и попробуйте пропинговать устройство из основной сети. Не должно работать. Подключите умную лампочку к сети IoT и проверьте, что она доступна с телефона (если телефон в основной сети — убедитесь, что правило разрешает доступ к контроллеру, а не к каждой лампочке напрямую).
Как быть с умным домом, который не хочет работать через VLAN
Это реальная боль. Многие устройства умного дома используют широковещательное обнаружение (mDNS, UPnP) и отказываются работать, если контроллер и устройство в разных подсетях. Что делать:
Вариант 1: mDNS repeater
Некоторые роутеры и точки доступа умеют пробрасывать mDNS-пакеты между VLAN. Включаете эту функцию — и устройства снова видят друг друга. Минус: это частично разрушает изоляцию, потому что широковещательный трафик проходит между сетями.
Вариант 2: Контроллер в том же VLAN
Поставьте хаб умного дома (Home Assistant, Яндекс Станция, что у вас там) в тот же VLAN, что и устройства. Тогда всё работает локально, а вы управляете через веб-интерфейс или приложение, которое обращается к контроллеру по его IP. Это самый чистый вариант.
Вариант 3: Точечные разрешения в firewall
Разрешите доступ из VLAN 1 в VLAN 10 только к конкретному IP-адресу контроллера и только на нужные порты. Не красиво, но работает и сохраняет изоляцию.
Типичные ошибки, которые превращают настройку в хаос
Ошибка 1: Настроили VLAN, но запретили интернет всем
Бывает: человек создал VLAN, настроил запреты, забыл разрешить выход в WAN. Устройства без интернета — это нормально для камер, но не для умного дома и уж точно не для гостей. Проверяйте каждый VLAN отдельно.
Ошибка 2: Один Wi-Fi для всего
Если у вас одна точка доступа и она не поддерживает несколько SSID с VLAN — вы не сможете разделить трафик по воздуху. Придётся ставить вторую точку доступа или менять на поддерживающую. Два роутера в режиме точки доступа — тоже вариант, но менее красивый.
Ошибка 3: Забыли про проводные устройства
NAS, Apple TV, дешётый телевизор с проводом — всё это тоже нужно распределить по VLAN. Если подключить NAS в основной VLAN, а телевизор в гостевой — они не увидят друг друга. Продумайте каждую розетку.
Ошибка 4: Нет документации
Через месяц вы забудете, какой VLAN за что отвечает. Запишите. Простая таблица в заметках сэкономит часы при следующей перенастройке.
Ошибка 5: Слишком мелкое дробление
Не создавайте VLAN для каждого устройства. Три-четыре зоны — это нормально. Десяток VLAN дома — это не безопасность, это инженерное самоудовлетворение, которое потом невозможно поддерживать.
Что выбрать в зависимости от вашей ситуации
Если у вас простая квартира и пара умных лампочек
Хватит гостевой сети на роутере с реальной изоляцией (проверьте, что гости не видят ваши проводные устройства). Умные лампочки можно оставить в основной сети, если их мало. Не усложняйте.
Если у вас полноценный умный дом и много гостей
Настраивайте три VLAN: основной, IoT, гостевой. Роутер уровня MikroTik hAP, Ubiquiti UniFi или что-то на OpenWrt. Точка доступа с поддержкой VLAN. Контроллер умного дома — в IoT-сети или с двойным доступом.
Если у вас загородный дом с камерами
Добавляйте четвёртый VLAN для камер. Камерам интернет не нужен — запись идёт на локальный NVR. Доступ к камерам только из основной VLAN по расписанию или через VPN. Это реально снижает поверхность атаки.
Как проверить, что изоляция реально работает
Не верьте на слово. Проверьте:
- С гостевого устройства попробуйте открыть веб-интерфейс роутера по адресу основной подсети (192.168.1.1). Не должно открыться.
- С гостевого устройства пропишите IP из основной подсети вручную и попробуйте пропинговать что-то. Не должно быть пинга.
- С устройства умного дома попробуйте достучаться до вашего компьютера. Не должно получиться.
- Проверьте, что ваш телефон в основной сети видит контроллер умного дома (если это нужно).
Если всё работает как описано — вы молодец. Если что-то проскакивает — пересмотрите правила firewall.
Итог: с чего начать прямо сейчас
Если вы дочитали до сюда и хотите что-то сделать — вот план на ближайшие выходные:
- Проверьте, поддерживает ли ваш роутер VLAN. Если нет — выберите новый. Для начала хватит чего-то на OpenWrt или MikroTik.
- Составьте список устройств и распределите их по трём группам: личные, умный дом, гости.
- Настройте гостевую сеть с изоляцией — это самый простой и быстрый шаг, который уже даёт пользу.
- Когда разберётесь — добавьте VLAN для умного дома.
- Запишите схему и правила. Будете благодарить себя через полгода.
VLAN в домашней сети — это не корпоративная прихоть, а базовая гигиена. Один раз настроив, вы забудете о проблемах с утечками трафика, чужими устройствами в вашей сети и странным поведением умных лампочек. И да — гости по-прежнему смогут залить фото в Instagram, не получив доступ к вашему NAS.