Како подесити две одвојене мреже на канцеларијском рутеру да бисте спречили клијенте да им приступе

Одвајање канцеларијске мреже од гостујуће или клијентске мреже постало је готово обавезно за свако предузеће, без обзира на његову малу величину. Ово се не односи само на приватност података, већ и на избегавање свакодневних проблема попут комшије која гледа ваше ИП камере или клијената који преоптерећују везу коју запослени користе за посао. Ако треба да побољшате безбедност своје Wi-Fi мреже, погледајте како да заштитите гостујућу или клијентску мрежу.

Подешавање две потпуно одвојене мреже на истом рутеру или инфраструктури може у почетку деловати компликовано, посебно када се у обзир дођу концепти попут VLAN-ова, NAT-а или статичких рута. Међутим, уз добро планирање и разумевање функције сваког елемента (рутер, прекидач, заштитни зид, приступне тачке итд.), могуће је имати безбедну интерну мрежу за компанију и одвојену, изоловану мрежу за клијенте, комшије или мање поуздане уређаје.

Типичан сценарио: две независне мреже деле инфраструктуру

Један од најчешћих сценарија у канцеларијама и малим предузећима јесте поседовање две одвојене логичке мреже које, из различитих разлога, деле део хардвера или чак интернет везу. На пример, компанија која дели своју линију са предузећем на спрату испод или канцеларија која жели да понуди Wi-Fi клијентима без дозвољавања приступа својим серверима или камерама.

Замислите веома чест сценарио из стварног живота : предузеће у приземљу је претплаћено на интернет везу и има свој рутер на мрежи 192.168.1.x. На спрату, друга канцеларија повезује свој рутер са првим и креира сопствену мрежу 192.168.2.x. Проблем настаје када, због инцидента, предузеће у приземљу треба да приступи IP камерама и DVR-у повезаним на мрежу на спрату, али не може да приступи остатку опреме.

У овом контексту, кључно је контролисати који је саобраћај дозвољен између подмрежа , а који је блокиран. Веома специфичан приступ (на пример, порту Reolink DVR) може се отворити коришћењем фино подешених правила заштитног зида, тако да комшије могу да виде камере, али никада не могу да приступе рачунарима, серверима или интерним ресурсима.

Још један типичан сценарио укључује две зграде или два спрата међусобно повезана преко средњег рутера или бежичне везе (на пример, са Ubiquiti антенама), где свака зграда има своју подмрежу (192.168.1.0/24 и 192.168.2.0/24) и заштитни зид или pfSense рутер који управља њеним интернет приступом. Овде већ постоји раздвајање мреже, али морају се донети одлуке о томе шта се може, а шта не може усмеравати између зграда и како управљати WAN приступом када је доступно више веза.

Коришћење више интернет конекција и резервне копије преко мреже

Многе канцеларије комбинују више интернет линија , било да би повећале пропусни опсег или да би обезбедиле редундантност у случају да примарна веза откаже. Уобичајено је видети два независна рутера или заштитне зидове, сваки са својим интернет провајдером, и две одвојене интерне мреже. Ово поставља питање: да ли се интернет провајдер друге мреже може користити као резерва ако моја линија падне?

Када интернет провајдерски модеми користе PPPoE и директно се повезују на сваки заштитни зид (фајервол), није увек изводљиво повезати други заштитни зид директно на исти модем. У том случају, уобичајени приступ је коришћење посредничког уређаја који обавља NAT и дистрибуира везу на оба заштитна зида. Ова идеја је валидна, али уводи већу латенцију, више хардвера и више тачака отказа, па вреди размотрити алтернативе.

Професионална опција је централизација приступа интернету на једном уређају (на пример, моћном заштитном зиду (фајерволу) или пословном рутеру) који има више WAN веза и управља балансирањем оптерећења и резервним решењем. На овај начин, обе интерне мреже (компанија и клијенти) приступају интернету преко истог уређаја, али остају изоловане на нивоу рутирања и заштитног зида (фајервола).

Ако већ постоје два потпуно одвојена заштитна зида (фајервола) или рутера , једно решење је да се међусобно повежу помоћу трећег интерфејса или транзитне подмреже и примене правила која омогућавају да се WAN мрежа једног рутера користи као резервна копија за одређене сегменте друге мреже. Овде је кључно радити са метрикама руте (статичким или динамичким) и, у напреднијим решењима, са протоколима рутирања или скриптама које детектују кварове главне линије.

Изолујте мреже ради безбедности користећи VLAN-ове и подмреже

Када говоримо о одвајању мреже запослених од мреже за госте , то се често не ради са два физичка рутера, већ са једном инфраструктуром која подржава више VLAN-ова и подмрежа. Ово је основа скоро свих модерних корпоративних мрежа, а такође и многих малих и средњих предузећа (МСП) која користе опрему од TP-Link-а, Cisco-а, Mikrotik-а и других.

Уобичајена пракса у пословним мрежама је подела саобраћаја по одељењима: истраживање и развој, маркетинг, производ, администрација итд. Свако одељење има своју подмрежу и VLAN. Ако се користе и управљане приступне тачке (као што је TP-Link-ово CAP/AC решење), сваки Wi-Fi SSID може бити повезан са одређеном VLAN мрежом, тако да гостујући Wi-Fi и корпоративни Wi-Fi путују кроз одвојене логичке „тунеле“ иако деле исту мрежу.

Типична топологија у овој врсти сценарија укључује гејтвеј рутер који врши NAT ка интернету, свич слоја 3 где су дефинисани VLAN-ови и L3 интерфејси (једна IP адреса по VLAN-у/подмрежи) и неколико CAP-ова (управљаних приступних тачака) који емитују различите SSID-ове повезане са одговарајућим VLAN-овима.

Да би све ове мреже могле да приступе интернету , гејтвеј рутер мора да подржава Multi-Net NAT. Свака подмрежа, заједно са својом маском подмреже, је укључена у веб интерфејс рутера, што указује да је LAN саобраћај тај који треба да се преведе на WAN. Истовремено, креирају се статичке руте где је одредиште свака интерна подмрежа, а следећи скок је IP адреса Layer 3 прекидача који делује као „језгро“ мреже.

Ако већ постоје два потпуно одвојена заштитна зида (фајервола) или рутера , једно решење је да се међусобно повежу помоћу трећег интерфејса или транзитне подмреже и примене правила која омогућавају да се WAN мрежа једног рутера користи као резервна копија за одређене сегменте друге мреже. Овде је кључно радити са метрикама руте (статичким или динамичким) и, у напреднијим решењима, са протоколима рутирања или скриптама које детектују кварове главне линије.

Конфигурисање VLAN-ова, портова и рутирања на свичу

Следећи корак у раздвајању мрежа унутар исте физичке инфраструктуре јесте правилно конфигурисање VLAN-ова и улоге сваког порта на свичу. Ово је често језгро мреже када се ради о окружењима са више SSID-ова, више канцеларија или комбинацијом жичних и бежичних мрежа.

У одељку 802.1Q VLAN прекидача, прво се дефинишу портови који ће радити у trunk режиму, обично они који се повезују са CAP-овима или другом дистрибутивном опремом. Trunk порт може истовремено да преноси означени саобраћај из више VLAN мрежа, док приступни портови носе само једну неозначену VLAN, намењену за рачунаре, штампаче или друге крајње уређаје.

Затим се креирају саме VLAN мреже , а портови који би требало да буду чланови се додају свакој од њих. На пример, за VLAN100 и VLAN200, повезане са два различита SSID-а, портови 1/0/37 и 1/0/39 (на које су повезани CAP-ови) су укључени као портови чланови. На овај начин, саобраћај који долази означен са VLAN100 или 200 проћи ће кроз те портове.

Такође је уобичајено дефинисати управљачку VLAN мрежу (на пример, VLAN 10) која групише порт на који су повезани контролер (AC), CAP-ови и одређени порт за управљачки рачунар. Овим портовима је додељен PVID 10 тако да сав неозначени саобраћај пролази кроз управљачку VLAN мрежу, што омогућава само том рачунару да управља Wi-Fi мрежом и остатком бежичне мреже.

Свичеви слоја 3 креирају L3 интерфејсе за сваку VLAN мрежу , додељујући им статичку IP адресу и маску подмреже који ће деловати као гејтвеј за сваку подмрежу. Затим се за сваку VLAN мрежу омогућава DHCP сервер који дистрибуира IP адресе бежичним и жичним клијентима. Овај сервер дефинише опсег IP адреса, гејтвеј (сопствени L3 интерфејс свича) и DNS сервере (обично одлазни рутер или јавни DNS сервери као што је 8.8.8.8).

Важно је запамтити да је DHCP сервер често подразумевано онемогућен на многим комутаторима, тако да након креирања адресних група морате експлицитно да га омогућите. Ако заборавите овај корак, уређаји који се повезују на SSID-ове неће добити IP адресу, а изгледаће као да је Wi-Fi мрежа у квару.

Коначно, на свичу је дефинисана подразумевана статичка рута (0.0.0.0/0), која усмерава ка гејтвеј рутеру. Ово осигурава да се сваки саобраћај намењен неинтерној подмрежи прослеђује ка гејтвеју како би стигао до интернета. Ова рута гарантује екстерну повезаност за све сегменте (VLAN100, VLAN200, VLAN10, итд.), уз поштовање свих правила заштитног зида која се накнадно примене.

Повежите SSID са VLAN-ом да бисте одвојили WiFi мреже запослених и купаца

Једна од главних предности коришћења CAP/AC или других управљаних Wi-Fi решења је могућност креирања више SSID-ова са различитим политикама и њиховог повезивања са различитим VLAN мрежама. То је управо оно што нам је потребно када желимо да одвојимо корпоративни Wi-Fi од Wi-Fi мреже за госте или кориснике.

Општа процедура је обично следећа : прво се покреће контролер (AC) и усвајају се сви CAP-ови. Када се управљање централизује, потребни SSID-ови (на пример, „Канцеларија“ и „Клијенти“) се додају у одељак бежичних услуга са њиховим одговарајућим безбедносним конфигурацијама.

Сваки SSID се затим повезује са радио уређајем на CAP-у (2,4 GHz или 5 GHz, по потреби) и, што је кључно за изолацију, повезан је са VLAN-ом претходно креираним на свичу. Типичан пример би био повезивање SSID-а „v100“ са VLAN100 и SSID-а „v200“ са VLAN200, што узрокује да саобраћај сваке бежичне мреже путује кроз различиту подмрежу и домен емитовања.

Контролер такође обично функционише као DHCP сервер за сегмент управљања (мрежу у којој се налазе CAP-ови), аутоматски им додељујући IP адресе. Обично постоји подразумевани DHCP сервер чији се опсег подудара са IP адресом конфигурисаном на AC интерфејсу, тако да CAP-ови примају конфигурацију без потребе за било каквим додатним променама.

Са овим дизајном, лаптоп који се повезује на SSID запосленог добиће, на пример, IP адресу као што је 172.16.10.x, док ће уређај који се повезује на SSID госта добити IP адресу као што је 172.16.20.x. Оба ће имати приступ интернету без проблема, али ће само корпоративни сегмент имати видљивост интерних сервера, штампача или камера, како дозвољава заштитни зид.

Контролишите који уређаји приступају интернету помоћу правила заштитног зида

Када се мреже раздвоје, следећи корак је одлучивање ко може да приступи интернету и где. Ту до изражаја долази заштитни зид рутера или сам безбедносни уређај (као што је pfSense или заштитни зид интегрисан у Teltonika рутер).

На пример, на Телтоника рутерима, мени Мрежа – Заштитни зид – Правила саобраћаја се користи за креирање правила прослеђивања која дозвољавају или блокирају саобраћај са LAN ка WAN мрежи. У одељку „Додај ново правило прослеђивања“ дефинише се назив за правило, изворна зона (LAN) и одредишна зона (WAN), а затим се додаје да би се започело његово конфигурисање.

Ако желите потпуно да блокирате приступ интернету за све уређаје на локалној мрежи (LAN), једноставно подесите протокол на „Било који“ и акцију на „Одустани“. Од тог тренутка, ниједан уређај на тој локалној мрежи неће моћи да досегне WAN. Ако касније поново будете морали да дозволите интернет саобраћај, можете да избришете или онемогућите правило без потребе да понављате целу конфигурацију.

Такође је могуће бити селективнији и блокирати само једног или више клијената на мрежи. У том случају, одређена IP адреса коју треба блокирати уноси се у поље Изворна адреса (на пример, 192.168.1.100) или чак опсег, користећи CIDR нотацију (на пример, 192.168.1.100/30 да би се покриле адресе од .100 до .103). На овај начин, машина или група машина је одсечена са интернета, док остале остају нетакнуте.

Још једна корисна опција је ограничавање приступа само на одређене јавне IP адресе или мреже . Уместо блокирања на основу извора, циљате одредиште тако што наводите IP адресу или блок IP адреса сервера које треба ограничити у пољу „Адреса одредишта“. Ово је једноставан начин да спречите клијенте да приступају одређеним спољним услугама, а да остатак интернета остане доступан.

У индустријским окружењима, често се жели супротно : блокирати сав приступ интернету осим саобраћаја ка веома специфичном скупу клауд сервера који прикупљају податке са PLC-ова или сензора. Да бисте ревидирали и верификовали ове политике, препоручљиво је да ревидирате безбедност ваше локалне мреже помоћу Nmap-а и Wireshark-а пре примене правила. Ово подразумева креирање два правила: прво дозвољава саобраћај само ка тим одређеним IP адресама на WAN мрежи, а друго блокира сав остали саобраћај. Редослед правила је кључан, јер их рутер процењује од врха до дна и, када пронађе подударање, престаје да проверава наредна правила.

Ово осигурава да производни уређаји комуницирају само са овлашћеним адресама, смањујући површину напада и испуњавајући безбедносне захтеве или интерне прописе без потребе за веома сложеном опремом.

Блокирање одређених веб локација и филтрирање по доменима

Поред блокирања по ИП адреси или подмрежи, многе компаније желе да филтрирају по домену како би спречиле неовлашћени приступ сајтовима за преузимање, садржају за одрасле, стримовању или размени тренутних порука на мрежи за госте или чак корпоративној мрежи.

На Телтоника рутерима, ова врста филтрирања се не врши преко заштитног зида , већ из менија Услуге – Веб филтер. Тамо омогућавате услугу и бирате режим рада: „Црна листа“ да бисте блокирали само одређене домене или „Бела листа“ да бисте дозволили само неколико и блокирали све остало.

Процес подразумева додавање сваког домена на одговарајућу листу једног по једног. Користећи опцију „Прегледај“, додајете сајтове које треба блокирати или дозволити, увек имајући на уму да кликнете на „Додај“, а затим на „Сачувај и примени“ да би промене ступиле на снагу. То је једноставан, али ефикасан систем за контролу типа веб саобраћаја који пролази кроз клијентску мрежу.

Ова врста филтера се веома добро уклапа у концепт двоструке мреже : строже филтрирање може се одржавати на мрежи за госте, док је шири спектар сајтова дозвољен на интерној мрежи компаније, увек поштујући политику организације. Комбинација VLAN-ова и филтрирања домена пружа прилично прецизну контролу над тим шта сваки кориснички профил може да ради.

Случајеви из стварног живота: IP камере, штампачи и проблеми коегзистенције

Потреба за раздвајањем мрежа није само теоретска ; обично се јавља када почну проблеми у стварном свету. Веома чест пример су IP камере и DVR уређаји смештени на канцеларијској мрежи, којима друга компанија или комшија повремено треба да приступе, а да не виде остатак инфраструктуре.

У случају Reolink камере или DVR-а повезаног на мрежу 192.168.2.x, компанија у приземљу (192.168.1.x) може морати да прегледа те камере из безбедносних разлога. Решење није спајање мрежа, већ креирање правила заштитног зида (firewall) која дозвољавају саобраћај само са одређених IP адреса на мрежи 192.168.1.x на IP адресу и портове DVR-а на 192.168.2.x.

Још један чест проблем се јавља са мрежним штампачима када две канцеларије деле исту подмрежу или бежичну мрежну опрему. Задаци штампања послати на један штампач могу на крају бити одштампани на другом, посебно ако су оба истог модела и лоше разликована. Раздвајање мрежа две канцеларије у различите подмреже, свака са својим пролазом и VLAN-ом, спречава „скакање“ редова штампања између њих. Ако наиђете на проблеме са детекцијом штампача на Windows рачунарима, погледајте решења као што је водич за Windows 11 који не детектује штампач.

Ако имате само један интернет провајдерски модем и једну дељену приступну тачку , можете користити додатни рутер (као што је TP-Link) да бисте креирали засебну мрежу за Office 2. Ова нова мрежа ће имати свој IP опсег, свој WiFi кључ и, захваљујући NAT-у, остатак инфраструктуре ће видети све уређаје као да долазе са једне IP адресе на Office 2 рутеру, смањујући видљивост између сегмената.

У свим овим случајевима, принцип је исти : одвојене подмреже, одвојени пролази и заштитни зид (фајервол) који контролише који саобраћај је дозвољен да прелази из једне у другу. На овај начин, клијенти, суседи или мање поуздани уређаји никада немају директан приступ „срцу“ корпоративне мреже.

Креирајте другу WiFi мрежу на рутерима оператера

Многи кућни корисници и мале канцеларије користе рутер оператера (на пример, „Smart WiFi“) и питају се да ли је могуће креирати другу бежичну мрежу како би одвојили своју радну опрему од мобилних телефона, таблета или уређаја посетилаца.

Већина ових рутера нуди опцију гостујуће Wi-Fi мреже , која креира SSID одвојен од главне мреже. Иако интерно може и даље припадати истој подмрежи или одређеној VLAN мрежи опреме интернет провајдера, за корисника то представља логичко раздвајање које спречава, на пример, госте да виде дељене ресурсе или штампаче на главном рачунару.

Подешавање је обично веома једноставно : приступите администраторском интерфејсу рутера, пронађите одељак за гостујућу WiFi мрежу или „другу WiFi мрежу“ и активирајте је, конфигуришући друго име мреже и лозинку. Неки уређаји вам чак омогућавају да ограничите пропусни опсег или време повезивања ове гостујуће мреже.

Ако рутер интернет провајдера не подржава истинско раздвајање саобраћаја (на пример, не изолује саобраћај гостију од главне локалне мреже), можете користити сопствени неутрални рутер повезан са рутером интернет провајдера. Овај рутер креира сопствену подмрежу, па чак и интерне VLAN мреже, остављајући мрежу интернет провајдера само као мост ка интернету.

Филозофија је иста као у канцеларији : једна безбедна мрежа за радне уређаје и друга мрежа, са ограниченијим дозволама, за мобилне телефоне, таблете, IoT уређаје или госте. Ова структура помаже у минимизирању ризика и одржавању минималног нивоа реда када је много различитих уређаја истовремено повезано.

Узете заједно, све ове технике (подмреже, VLAN-ови, NAT, правила заштитног зида и одвојени SSID-ови) омогућавају вам да изградите, чак и са релативно једноставним хардвером, мрежно окружење у којем канцеларија и клијенти коегзистирају без међусобног ометања, саобраћај је контролисан, а критични ресурси (камере, DVR-ови, штампачи, сервери) остају изоловани од нежељеног приступа, побољшавајући и безбедност и свакодневну стабилност у компанији.

Повезани чланак:

Како заштитити WiFi мрежу и спречити уљезе да приступе вашој вези

Исак

Страствени писац о свету бајтова и технологије уопште. Волим да делим своје знање кроз писање, и то је оно што ћу радити на овом блогу, показивати вам све најзанимљивије ствари о гаџетима, софтверу, хардверу, технолошким трендовима и још много тога. Мој циљ је да вам помогнем да се крећете у дигиталном свету на једноставан и забаван начин.