Как разделить домашнюю сеть на гостей и умные устройства с помощью VLAN

У тебя есть умный дом: камеры на двери, термостат, умные лампы, датчики воды, а ещё гости приходят — и каждый хочет подключиться к Wi-Fi. Ты даёшь им пароль от основной сети, а потом вспоминаешь, что твоя камера на кухне тоже подключена к той же сети. И если кто-то взломает гостевой доступ — он может получить доступ к камерам, датчикам, даже к умному замку. Это не теория. Это уже случалось.

Решение — VLAN. Не страшное слово из учебника по сетям. Просто способ разделить твою домашнюю сеть на отдельные «зоны» — как разные комнаты в доме. Одна зона — для гостей. Другая — для умных устройств. Третья — для твоих телефонов и ноутбуков. И они не видят друг друга. Ни один гость не сможет «заглянуть» в твою камеру. Ни один взломанный умный светильник не сможет атаковать твой ноутбук.

Сейчас я покажу, как это сделать на практике — без панелей управления Cisco, без 10-часовых гайдов. Только то, что реально работает в домашней сети.

Почему тебе это нужно — не просто «безопасность»

Многие думают: «А зачем мне VLAN? У меня пароль от Wi-Fi, и всё ок». Но давай разберёмся, что на самом деле происходит, когда ты даёшь гостям доступ к основной сети.

• Твоя умная лампочка — это маленький компьютер с операционной системой, открытым портом и уязвимостями. Её взломали в 2023 году — и она стала частью ботнета.
• Гость заходит на Wi-Fi, открывает сайт с вредоносным скриптом — и его устройство начинает сканировать сеть. Находит твою камеру, которая использует стандартный пароль «admin».
• Ты даже не знаешь, что камера теперь доступна из интернета — и кто-то с другого конца страны смотрит, как ты спишь.

А теперь представь, что гостевая сеть — это отдельный «помещение» с отдельной дверью. Ты не можешь пройти из гостевой зоны в зону умных устройств. Даже если гость взломает свой телефон — он не увидит твоих датчиков, розеток, умного замка. Он увидит только интернет. И всё.

Это не «надо». Это — обязательно, если у тебя больше трёх умных устройств. Особенно если они подключены к одному шлюзу (например, к роутеру с Wi-Fi 6).

Что тебе понадобится — реальные требования

Ты не можешь сделать VLAN на роутере от Tele2 или на бюджетном Xiaomi. Это не про «хочу», это про «есть ли функция».

Вот что нужно:

1. Роутер с поддержкой VLAN — не все поддерживают. Подходят: Ubiquiti UniFi (любая модель с прошивкой UDM, UDM-Pro, USG), OpenWrt (на совместимых роутерах вроде TP-Link Archer C7, Netgear R7800), ASUS RT-AX86U (с прошивкой Merlin), Netgear Orbi RBK752 (с VLAN в настройках).
2. Понимание, что VLAN — это не Wi-Fi-сети — это уровень сети. Ты создаёшь виртуальные локальные сети внутри одной физической. Wi-Fi-сети — это просто «точки доступа» к этим VLAN.
3. План: какие устройства куда идёт. Пример:
   • Гости — 192.168.2.0/24
   • Умные устройства — 192.168.3.0/24
   • Твои устройства — 192.168.1.0/24
4. Время — 1–2 часа. Не 10 минут. Но это один раз. После — всё работает само.

Если у тебя роутер из магазина за 3000 рублей — не пытайся. Купи UniFi Dream Machine (около 15 000–20 000 рублей). Это не дороговато — это инвестиция в безопасность. Альтернатива — поставить OpenWrt на старый роутер (если он поддерживается). Но это требует навыков.

Как настроить VLAN — пошагово (на UniFi Dream Machine)

Я выбирал UniFi, потому что это самый простой способ для домашнего использования. Если у тебя другой роутер — принцип тот же, интерфейс отличается.

1. Зайди в интерфейс UniFi Network (через браузер: https://unifi.yourdomain.local или IP роутера).
2. Перейди в Settings → Networks.
3. Нажми Create New Network.
4. Заполни:
   • Name: Guest
   • Subnet: 192.168.2.0/24
   • Gateway: 192.168.2.1
   • DHCP: включено
   • Firewall Policy: Default — Block inter-VLAN traffic
5. Создай ещё одну сеть: SmartHome, subnet 192.168.3.0/24, gateway 192.168.3.1, тот же firewall policy.
6. Теперь иди в Settings → Networks → Default — это твоя основная сеть. Убедись, что там 192.168.1.0/24.
7. Перейди в Settings → WiFi.
8. Создай три отдельные Wi-Fi сети:
   • MyHome — для твоих устройств → привязана к сети Default
   • Guest — для гостей → привязана к сети Guest
   • SmartHome — для умных устройств → привязана к сети SmartHome
9. Для Guest и SmartHome включи Isolation — чтобы устройства внутри сети не видели друг друга. Это важно. Иначе гость может атаковать другого гостя — а умная лампа может атаковать умный термостат.
10. Сохрани и перезагрузи роутер.

Теперь:

• Ты подключаешь телефон к MyHome — видишь все устройства в своей сети.
• Гость подключается к Guest — видит только интернет, не видит ни твоего ноутбука, ни камеры.
• Умная лампа подключается к SmartHome — она может общаться с шлюзом (чтобы обновляться), но не может достучаться до твоего ПК или телефона.

И да — твои умные устройства (например, Philips Hue Bridge) должны быть подключены к сети SmartHome. Ты не можешь подключить их к гостевой — они не смогут работать с приложением, потому что приложение на твоём телефоне в сети MyHome не видит их.

Как умные устройства получают доступ к интернету и приложениям?

Важный момент: умные устройства (камеры, термостаты, розетки) должны «видеть» интернет, чтобы обновляться и работать с облачными сервисами (например, Google Home, Apple HomeKit, Alexa).

Но они не должны видеть твои устройства. Это решается простым правилом:

Умные устройства — в отдельной VLAN. Они могут выходить в интернет, но не могут обращаться к другой VLAN. Твои устройства — в другой VLAN. Они могут обращаться к умным устройствам, но только через приложение.

Как это работает на практике?

• Ты включаешь камеру. Она подключается к сети SmartHome.
• Ты открываешь приложение на телефоне — телефон в сети MyHome.
• Приложение обращается к облаку (например, к серверу Ring или Arlo).
• Камера тоже обращается к тому же облаку.
• Облако — посредник. Оно получает видео от камеры и передаёт его тебе.

Никто никуда не «заглядывает» напрямую. VLAN не блокирует интернет — он блокирует прямой доступ между сетями. Это безопасно.

Таблица: что выбрать — роутеры для VLAN

Не все роутеры подходят. Вот что реально работает в домашней сети — без сложных настроек и с поддержкой VLAN.

Модель	Поддержка VLAN	Сложность настройки	Цена (руб.)	Плюсы	Минусы
Ubiquiti UniFi Dream Machine	Да, встроенная	Низкая (интерфейс понятный)	15 000–20 000	Простая настройка, надёжность, поддержка 5G, Wi-Fi 6	Дороговато для маленькой квартиры
ASUS RT-AX86U (с Merlin)	Да (через OpenWrt или Merlin)	Средняя (нужно включить VLAN вручную)	25 000–30 000	Мощный, поддержка QoS, отличный Wi-Fi	Требует ручной настройки, не для новичков
TP-Link Archer C7 (с OpenWrt)	Да (после прошивки)	Высокая	4 000–6 000	Дешёво, можно поставить OpenWrt	Требует технических навыков, старая модель
Netgear Orbi RBK752	Да (ограниченная)	Средняя	35 000–40 000	Хорошее покрытие, поддержка VLAN в настройках	Ограниченные возможности, сложнее настраивать VLAN, чем на UniFi
TP-Link Archer C50	Нет	—	3 000–4 000	Дешёвый, простой	Не подходит. Не делай так.

Если ты не технарь — берёшь UniFi Dream Machine. Это единственный вариант, где ты можешь настроить VLAN за 30 минут, не рискуя потерять доступ к сети.

Частые ошибки — что ломает всё

Люди настраивают VLAN — и потом всё работает не так. Вот почему:

• Ошибка 1: Подключают умные устройства к гостевой сети. Результат: приложение не видит устройства, потому что твой телефон и умная лампа — в разных сетях, и между ними нет маршрута. Решение: умные устройства — только в своей VLAN, а не в гостевой.
• Ошибка 2: Не включают «Isolation» внутри VLAN. Результат: гость №1 может атаковать гость №2, если оба подключены к одной гостевой сети. Решение: всегда включай «Client Isolation» на гостевой и SmartHome сетях.
• Ошибка 3: Пытается сделать VLAN на роутере без поддержки. Результат: настройки не сохраняются, или роутер перезагружается. Решение: не трать время. Проверь список совместимых моделей до покупки.
• Ошибка 4: Забывают, что умные камеры и датчики требуют статического IP. Результат: устройство меняет IP, и приложение теряет связь. Решение: в настройках DHCP роутера зарезервируй IP для каждого умного устройства (например, камера — 192.168.3.10, термостат — 192.168.3.11).
• Ошибка 5: Думают, что VLAN — это «дополнительная сеть Wi-Fi». Результат: настраивают три Wi-Fi, но не настраивают VLAN — и всё остаётся в одной сети. Решение: VLAN — это уровень L2/L3. Wi-Fi — это просто точка доступа. Без VLAN — Wi-Fi не разделит сеть.

Что выбрать — сценарии

Ты не один. У всех разные ситуации. Вот как действовать:

• Ситуация 1: У тебя квартира, 5 умных устройств, редкие гости, бюджет до 10 000 руб. → Не делай VLAN. Используй «гостевой Wi-Fi» в роутере — он есть почти везде. Он не идеален, но лучше, чем ничего. Не подключай умные устройства к гостевому Wi-Fi.
• Ситуация 2: У тебя дом, 15+ умных устройств, гости приходят раз в неделю, ты не боишься настроек → Бери UniFi Dream Machine. Настрой три сети: MyHome, SmartHome, Guest. Включи Isolation. Зарезервируй IP для камер и датчиков. Готово.
• Ситуация 3: У тебя старый роутер, но ты хочешь сделать VLAN за копейки → Проверь, поддерживает ли твой роутер OpenWrt (сайт openwrt.org). Если да — прошей его. Настрой VLAN вручную. Это займёт 2–3 часа. Будет работать, но не так надёжно, как UniFi.
• Ситуация 4: У тебя умный дом, но ты не знаешь, что такое IP-адрес → Не трогай сеть. Купи роутер с встроенной поддержкой VLAN (UniFi) и доверь настройку специалисту. Это стоит 2–3 тыс. руб. — дешевле, чем последствия взлома.

Как лучше сделать — практические рекомендации

Вот что реально работает:

• Используй статические IP для умных устройств. Не полагайся на DHCP. Устройство с IP 192.168.3.10 — всегда 192.168.3.10. Это упрощает диагностику.
• Отключи UPnP на роутере. Он открывает порты автоматически — и это опасно, даже в VLAN.
• Обновляй прошивку умных устройств. Камеры и термостаты часто имеют уязвимости. Если они в изолированной сети — риск ниже, но не ноль.
• Не используй Wi-Fi 5 для умных устройств. Если у тебя роутер Wi-Fi 6 — используй его. Умные устройства не требуют скорости, но Wi-Fi 6 лучше справляется с множеством подключений и меньше глючит.
• Сделай резервную копию настроек в UniFi. Нажми «Export Configuration» — и сохрани файл. Если роутер сдохнет — загрузишь настройки за 5 минут.
• Не давай гостям доступ к SmartHome. Даже если ты доверяешь. Один раз — и всё. Лучше пусть гость пользуется гостевой сетью, а ты — своей.

Итог: что делать прямо сейчас

Ты не должен быть сетевым инженером, чтобы защитить свой дом.

Вот твой план на завтра:

1. Проверь, какой у тебя роутер. Если это TP-Link Archer C50, Xiaomi, Huawei — ты не можешь сделать VLAN. Не трать время.
2. Если у тебя роутер с поддержкой VLAN (UniFi, ASUS с Merlin, Orbi) — зайди в интерфейс. Найди раздел «Networks» и «WiFi».
3. Создай две новые сети: Guest (192.168.2.0/24) и SmartHome (192.168.3.0/24).
4. Создай две новые Wi-Fi сети — привяжи их к этим VLAN.
5. Включи «Client Isolation» на обеих новых сетях.
6. Переведи все умные устройства на сеть SmartHome.
7. Дай гостям пароль от Guest.
8. Подключи свой телефон к MyHome.

Через час всё будет работать. Ты не услышишь разницы — но твоя камера, замок и термостат теперь защищены.

Это не «дополнительная функция». Это — базовая защита. Как замок на двери. Ты не спрашиваешь: «А зачем мне замок, если я не живу в бедном районе?» — потому что знаешь: если не поставишь — однажды придётся платить дороже.

Сделай это. Не завтра. Сейчас.

Информация в статье носит ознакомительный характер. Настройка сетей может повлиять на работу устройств. Перед изменениями сделай резервную копию настроек. Если не уверены — обратитесь к специалисту по домашним сетям.