Wifi-verkot ja laitteiden eristäminen toisistaan

[Rollerix]

Auttakaas nyt tämmöisen ihan perusasian kanssa. Käytössäni on uusi Asus AX59U, ja olin ajatellut tehdä vain yhden tavallisen wifi-verkon (5+2.4 GHz) tietokoneille ja muille "arvokkaammille" laitteille sekä yhden vierasverkon IoT-laitteille ja muille kevyemmille härpäkkeille (esim. Chromecast) ja vieraille. Ja joo, tiedän että VLAN olisi se "oikea" tapa hoitaa tuo eristys mutta kun ko. reititin ei sellaista tue.

Nyt sitten huomasin, että kun vierasverkossa on oletuksena päällä asetus "Access intranet = disabled", eihän siinä sitten toimi mikään myöskään laitteiden välillä. Eli puhelimen Google Home -appi ei saa yhteyttä Chromecastiin, eikä puhelin saa yhteyttä myöskään imuriin.

Jos nyt sitten avaan vierasverkosta pääsyn intranetiin, onko se silloin aivan sama kuin jos liittäisin IoT-laitteet siihen "varsinaiseen" wifi-verkkoon vierasverkon sijaan? Eli näkevätkö laitteet silloin toisensa ihan samalla tavalla? Tai entä jos teen kaksi erillistä tavallista wifi-verkkoa A ja B (ei vierasverkkoja), näkevätkö verkon A laitteet verkossa B olevat laitteet aivan kuten olisivat samassa verkossa ja toisinpäin?

Eli vähän yksinkertaistaen: jos kaikilla wifi-verkoilla on pääsy intranetiin, onko silloin myös pääsy kaikkiin muihin laitteisiin vaikka minkä SSID:n takana?

 

[haller]

Jos sinulla ei ole vlaneja, niin kaikki verkkoon kuuluvat ovat samassa verkossa. Ainut mitä wlan-tukiasema voi vierailijaverkko-leimalla rajoittaa on mahdollisuuksia mihin ko. verkkoon liittynyt asiakas saa ottaa yhteyttä. Eli luotat siihen että wlan-tukiasema osaa rajoittaa liikenteen pelkästään gatewaylle (=reititin). Luultavasti myös esim. broadcast-yhteydet laitetaan kieltolistalle, mutta tää on ihan toteutuksesta kiinni.

Iot-laite toimii vierailijaverkossa jos viestintä kiertää internetissä olevan palvelimen kautta tai jos laite on tyytyväinen siihen että se vain vastailee täysin oikeuksin olevassa verkossa käyttäjän viesteihin. En ole testannut, mutta epäilisin ettei esim. Chromecast tällaiseen alistu. Eli vierailijaverkko on hyvä vierailijaverkkona, mutta ei se iot-verkko ole.

 

[pulatunnus]

Auttakaas nyt tämmöisen ihan perusasian kanssa. Käytössäni on uusi Asus AX59U, ja olin ajatellut tehdä vain yhden tavallisen wifi-verkon (5+2.4 GHz) tietokoneille ja muille "arvokkaammille" laitteille sekä yhden vierasverkon IoT-laitteille ja muille kevyemmille härpäkkeille (esim. Chromecast) ja vieraille. Ja joo, tiedän että VLAN olisi se "oikea" tapa hoitaa tuo eristys mutta kun ko. reititin ei sellaista tue.

Nyt sitten huomasin, että kun vierasverkossa on oletuksena päällä asetus "Access intranet = disabled", eihän siinä sitten toimi mikään myöskään laitteiden välillä. Eli puhelimen Google Home -appi ei saa yhteyttä Chromecastiin, eikä puhelin saa yhteyttä myöskään imuriin.

Jos nyt sitten avaan vierasverkosta pääsyn intranetiin, onko se silloin aivan sama kuin jos liittäisin IoT-laitteet siihen "varsinaiseen" wifi-verkkoon vierasverkon sijaan? Eli näkevätkö laitteet silloin toisensa ihan samalla tavalla? Tai entä jos teen kaksi erillistä tavallista wifi-verkkoa A ja B (ei vierasverkkoja), näkevätkö verkon A laitteet verkossa B olevat laitteet aivan kuten olisivat samassa verkossa ja toisinpäin?

Eli vähän yksinkertaistaen: jos kaikilla wifi-verkoilla on pääsy intranetiin, onko silloin myös pääsy kaikkiin muihin laitteisiin vaikka minkä SSID:n takana?

Koti Wifi Reittimissä on usein ominaisuus jolla voidaan luoda vierasverkko josta ei ole pääsy sisäverkkoon, vain nettiin. Sopii hyvin vieraille laitteille ja käyttäjille. Huomaa että jos lättäset tälläisen Wlan reittimen kotiverkkoon (tukariksi), niin se virasverkko ominaisuus ei estä pääsyä kotiverkkoon.

WiFi tukareissa voi olla myös ominaisuus joka estää liikenteen WiFiin liittyneiden käyttäjien välillä, se onko kotireittimen veirasverkko jutussa molemmat päällä yhtäaikaa vai ei on sitten tapauskohtaista, ja toki kotireittimen kyvykkyyksissä eroja muutenkin.

Jos olet rakentamassa useampaa verkko, mutta haluat verkkojen välillä liikennöidä, niin sitten menee jo isommaksi jumpaksi ja tarvit rautaa millä sen hoidat. tuli mieleen tuosta Chromecastista, haluatko siihen päästävän molemmista veroista ?.

Jos sinulla nettipalvelu operaattorilta jolta saat useamman IPn, niin helpointa tehdä niin että nettiyhtes, kytkin, ja sen perään kaksi reititintä. Toinen kotiverkko ja sen wifi verkko, toinen IoT Vierasverkko, sen WiFi verkko, jos siihen vielä laitat tukevan palomuurireittimen, millä voit oikeasti vähän suojailla ja vaikka laittaa kaistan rajoitusta. Siihen verkkoon voi sitten laittaa eri SSID vierailla, helppo nimi ja helppo salasana. Jos nettioperaattori tarjoilee vain yhden IPn, niin sitten jumpata kehittuneemmällä reittimellä, tai edessä olevan kytkimen tilalle NAT.


Edit:
Vielä yksi. Operaattorin netti, sen perään reititin, jossa tämä epämääräisempi sälä, ja sen perään myös sitten kotiverkonpalomuuri reititin, eli idea se että tuo kotiverkon palomuurireititin suojaa kotiverkkoa, mutta kotiverkosta pääsee myös sinne epämääräiseen verkkoon.

 

[mailman]

Vlanien päälle tajuavaa rautaa. Reititin, kytkin ja APt.
Tällöin selviää ihan yksillä laitteilla ja yhdellä julkisella ipllä. Ja yleensä tarkoittaa ns. yritystason vehkeitä.

 

[pulatunnus]

Vlanien päälle tajuavaa rautaa. Reititin, kytkin ja APt.
Tällöin selviää ihan yksillä laitteilla ja yhdellä julkisella ipllä. Ja yleensä tarkoittaa ns. yritystason vehkeitä.

Kuluttaja, tai no harrastaja kamasta Ubiquit on kovasti täälläkin hehkutttu, mutta muutakin ja halvepaa ehkä helpompaa kytkintä ja tukaria löytyy. Jos hanskaa kytkimet ja tukarit pienellä harrastuneisuudella, yhdellä reittimellä pärjääminen vaatii jo enemmän, ja paketista tulee sitten herkästi sählätty, ja enemmän vain vaikeuttaa omaa käyttöä, ja perus ajatus jää vajaaksi. ei.

Tämä se pohjustus siihen miksi usein tyrkytän erilaitteita, jos piuhat saa oikeaaseen purkkiin kiinni tai yhteyden oikeaan SSID niin on jo aika hyvin saanut perustavoitteen kuntoon. Jos sitten sohlaa palomuurin kanssa, niin vaarassa vain se verkko missä sählää.

 

[Tataz]

Jos nyt sitten avaan vierasverkosta pääsyn intranetiin, onko se silloin aivan sama kuin jos liittäisin IoT-laitteet siihen "varsinaiseen" wifi-verkkoon vierasverkon sijaan? Eli näkevätkö laitteet silloin toisensa ihan samalla tavalla?

Hyvä kysymys. Tämä pitääkin testata miten toimii. Itse haluaisin, että vierasverkon langattomat laitteet eivät näe toisiaan, mutta yhteydet lankaverkkoon toimivat molempiin suuntiin.

Itselläni on tällainen verkko kotona Asus AC66U ja VLAN . Minulla ei ole ollut vierasverkko päällä vaan AP isolation Asuksen RT-AC66U-reitittimessä. Aluksi tämä ominaisuus esti vain yhteydet langattomien laitteiden välillä. Sitten tuli muutos, että myöskään langallisesta verkosta ei yhteydet toimi langattomaan verkkoon ja toisinpäin. Minulla on nyt kaikki IoT-laitteet langattomia ja haluan, että saan langallisesta verkosta suoraan yhteyden esim. valvontakameraan. Tämän vuoksi olen joutunut ottamaan AP isolation -ominaisuuden nyt pois päältä.

 

[Hyrava]

Kuluttaja, tai no harrastaja kamasta Ubiquit on kovasti täälläkin hehkutttu, mutta muutakin ja halvepaa ehkä helpompaa kytkintä ja tukaria löytyy. Jos hanskaa kytkimet ja tukarit pienellä harrastuneisuudella, yhdellä reittimellä pärjääminen vaatii jo enemmän, ja paketista tulee sitten herkästi sählätty, ja enemmän vain vaikeuttaa omaa käyttöä, ja perus ajatus jää vajaaksi. ei.

Tämä se pohjustus siihen miksi usein tyrkytän erilaitteita, jos piuhat saa oikeaaseen purkkiin kiinni tai yhteyden oikeaan SSID niin on jo aika hyvin saanut perustavoitteen kuntoon. Jos sitten sohlaa palomuurin kanssa, niin vaarassa vain se verkko missä sählää.

Itse sanoisin että yksi kunnollinen laite on varmaankin selkeämpi ja helpompi kuin monta erillistä. Kun on monta laitettajoiden läpi reititellään likennettä niin paljon helpommin tulee kämmejä että läpi pääseekn jotain mitä ei ulut ajatelleeksi tai sitten ihmettelee kun jotkut reititykset ei toimi kun joku reitti puuttuu tai on joku kummallinen palomuurisääntö tms.

Itse ainakin pystyn helpommin pitämään ajatuksen kasassa konffaamalla yhteen laitteeseen kaiken kuin tekemällä useasta laitteesta saman toiminnallisuuden, juurikin noiden laitteiden välisten riippuvuuksien takia.

Tuossahan nimenomaan haluttiin että osa laitteista liikennöisi rajoitetun verkon ja kotiverkon välillä mutta ei kaikki, tuollaisten virittely saattaa olla kohtalaisen hankalaa jos on monta laitetta konffattavana.

 

[Rollerix]

Kiitos vastauksista tähän asti! Minulla on hankittuna toinen samanlainen reititin, mutta olin ajatellut käyttää sitä aimeshin osana, siis samana verkkona. Ei vain ole vielä ollut aikaa ottaa käyttöön.

Sen verran rajaisin optioita, että hankin nämä äskettäin enkä ole rautaa vaihtamassa. En vain ostaessa huomannut, että joissain malleissa on kai erikseen vaihtoehdot sille että onko pääsy intranetiin ja näkevätkö laitteet toisensa. Tässä on vierasverkon osalta ainoana vaihtoehtona se intranetiin pääsy (Enable/disable), jolloin ilmeisesti myös laitteet eivät näe toisiaan.

Tuo @pulatunnus ksen ehdottama jälkimmäinen keino, eli (jos oikein ymmärsin) modeemiin kiinni eka reititin (IoT- ja vierasverkko, pääsy intranetin päällä) ja siihen AP:ksi toinen reititin (turvallisempi verkko, pääsy intranetin päällä mutta sehän on eri intranet kuin tuo eka). Mutta onnistuuko tämä siis langattomasti (ei verkkojohtoja käytettävissä) jos s haluan kakkosreitittimen eri aikapisteet paikkaan kuuluvuuden vuoksi ja tulisiko näihin siis molempiin NAT-palomuuri päälle?
Huolettaa vain se että tuleeko siitä esim. Pingiin pelejä haittaavaa viivettä kun menee kahden verkon läpi?

Pitää vielä tutkia myös sitä kytkin + kaksi reititintä -vaihtoehtoa kun en ole ihan varma ip-osoitteista. Siinä ongelmana se että reitittimet pitäisi laittaa aika lähelle toisiaan ja osa talosta jää vähän katveeseen kun mesh-optio menee (ilman uusia laitteita ).

Ja olisko vielä arvausta tai tietoa siitä alkuperäisestä kysymyksestä, siis jos käytän vain yhtä reititintä, onko seuraavilla konfiguraatioilla jotain eroa sen suhteen mitkä laitteet näkevät toisensa:

1) Kaikki samassa wifissä, jossa pääsy intranetiin
2) Kaksi tavallista wifiä A ja B, joissa molemmissa pääsy intranetiin (näkevätkö verkon A laitteet verkon B laitteet ja päinvastoin?)
3) yksi tavallinen wifi A ja yksi vierasverkko C, joissa molemmissa pääsy intranetiin (näkevätkö verkon A laitteet verkon Cm laitteet ja päinvastoin).

Voisihan noita testatakin, mutta juuri nyt ei ole sellaisia laitteita, joilla se kävisi helposti ilman että jotain toimivaa menee sekaisin. Siksi kysyn josko joku olisi jo kokeillut.

 

[pulatunnus]

Itse sanoisin että yksi kunnollinen laite on varmaankin selkeämpi ja helpompi kuin monta erillistä. Kun on monta laitettajoiden läpi reititellään likennettä niin paljon helpommin tulee kämmejä että läpi pääseekn jotain mitä ei ulut ajatelleeksi tai sitten ihmettelee kun jotkut reititykset ei toimi kun joku reitti puuttuu tai on joku kummallinen palomuurisääntö tms.



Itse ainakin pystyn helpommin pitämään ajatuksen kasassa konffaamalla yhteen laitteeseen kaiken kuin tekemällä useasta laitteesta saman toiminnallisuuden, juurikin noiden laitteiden välisten riippuvuuksien takia.



Tuossahan nimenomaan haluttiin että osa laitteista liikennöisi rajoitetun verkon ja kotiverkon välillä mutta ei kaikki, tuollaisten virittely saattaa olla kohtalaisen hankalaa jos on monta laitetta konffattavana.

Lokiikkani oli siinä että jos homman tekee yhdellä laitteella niin se vaatii osaamista, tai en siis tiedä sellaista reititintä jossa se olisi selkeä helppotajuinen, ilman IP osaamista. Jossain WiFI mes reittitin paketissa voisi olla.

Jos piuhaverkkoa ja se kytkin perään, ja jos se kytkinkin pitää itse säätää, niin menee jo työlääksi.

Erillislaitteilla hainsitä yksikertaisuutta että ne laitteet on fyysisesti eripurkkeja, jos vielä teippaa päälle mikä on kotiverkko, mikä Iot, niin viikonpäästäkin silmällä näkee oikeat portit ja niitä ei voi vahingossa asetuksista mokata. SSID voi toki mokata, mutta erilaitteilal sekin moka paljon pienempi.

Mutta olen toki eilin mutun varassa, ja olen kaivannut reititin, kytkin, wifi tukari pakettia joilla nuo hommat sujuisi helposti, tyyliin uusilaite automaattisesti uhka, ja hallinnasta voisi klikata laitteen kuvaketta ja valita mihin sillä pääsee, ja paketissa älykäs palomuuri pilvituella.

 

[pulatunnus]

Tuo @pulatunnus ksen ehdottama jälkimmäinen keino, eli (jos oikein ymmärsin) modeemiin kiinni eka reititin (IoT- ja vierasverkko, pääsy intranetin päällä) ja siihen AP:ksi toinen reititin (turvallisempi verkko, pääsy intranetin päällä mutta sehän on eri intranet kuin tuo eka). Mutta onnistuuko tämä siis langattomasti (ei verkkojohtoja käytettävissä) jos s haluan kakkosreitittimen eri aikapisteet paikkaan kuuluvuuden vuoksi ja tulisiko näihin siis molempiin NAT-palomuuri päälle?

Lähtökohtaisesti ei onnistu langattomasti. Eli ensimmäisestä verkosta piuhalla seuraavan reittimen WAN porttiin, toki voi tehdä langattoman sillan, ja en väitä etteikö jokin 9-in 1 purkki hanskaisi WAN yhteyttä Wifilla ja sen lisäksi kykenisi luomaan oman sisäverkon wifi verkon.

Käytännössä molempiin NAT, ei pakollista, mutta todennäköisesti rautasi on sellaista että tulee.

Huolettaa vain se että tuleeko siitä esim. Pingiin pelejä haittaavaa viivettä kun menee kahden verkon läpi?

Wifi sillat, useampi palomuuri, usemampi NAT jne, ei ainakaan paranna viiveitä.

Ehkä nyt kannattaa listata toiveet, selvittää oman yhteyden tilanne. ja paljonko valmis pistää lisää rahaa. Jos ei harasteneisuutta niin selvittää onko kotinurkilla sopii ATK liikettä josta saisi paketin valmiina ja lupausta tuesta. Kyllä siinä se tuntiainakin tulee lisähintaa, mahdollsiesti enemmänkin, siinä kuitenkin vierähtää useampi minuutti että selviää mitä halutaan ja käydään läpimitä tehty ja alustus miten käytetään.

Lisä rautaa joudut jokatapauksessa hankkii, tuskin tuo ekareititin viiveitä suuresti kasvattaa, jos vielä sieltä osaat laittaa tuon pääverkon prioriteetti ykköseksi, ja DMZ alueekasi, ja ostat sinne MESH paketin, millä saat sen sillan.

***
Vaihtoehto sekin että otat riskin ja tunget kaikki samaan verkkoon, vähän näennäisesti luot sillä toisella purkilla vieras SSID verkon.

 

[timbba80]

Mulla tuota tarvetta toteuttaa Asus Merlin ja siinä lisäosa Yazfi. Iot laitteet on vierasverkossa jossa eivät näe toisiaan ja eivät näe työasemaverkon laitteita mutta pääsevät nettiin. Mm. Chromecastit tuossa toimii ongelmitta. Pall
omuurisäännöillä olen sitten sallinut erikseen iot verkosta jonkun ip:n ja portin avatuksi pääverkkoon.

 

[Rollerix]

Ja olisko vielä arvausta tai tietoa siitä alkuperäisestä kysymyksestä, siis jos käytän vain yhtä reititintä, onko seuraavilla konfiguraatioilla jotain eroa sen suhteen mitkä laitteet näkevät toisensa:

1) Kaikki samassa wifissä, jossa pääsy intranetiin
2) Kaksi tavallista wifiä A ja B, joissa molemmissa pääsy intranetiin (näkevätkö verkon A laitteet verkon B laitteet ja päinvastoin?)
3) yksi tavallinen wifi A ja yksi vierasverkko C, joissa molemmissa pääsy intranetiin (näkevätkö verkon A laitteet verkon Cm laitteet ja päinvastoin).

Pääsin nyt kuitenkin itse kokeilemaan siten että tein vanhan tavallisen verkon A ja vierasverkon B (intranet access disabled) lisäksi toisen vierasverkon C (intranet enabled). Chromecast kiinni A:ssa. Sitä pääsee käyttämään (Netflixin striimaus) kun kännykkä on verkoissa A tai C, mutta kun känny on verkossa B, ei toimi. Eli edellisistä skenarioista testattu 1 ja 3, eikä kai ole mitään syytä olettaa että skenario 2 toimisi oleellisesti eri tavalla kuin skenario 3 (jos mitään eroa on, luulisi että vierasverkko on enemmän eristetty kuin toinen tavallinen).

 

[koppa5]

Lainaan ketjua. Duunailen töihin verkkoa ja meillä käytetään Unifin laitteita (UDM PRO ja nyt toimistossa Unifi Express käytössä). Ongelmana on neuvotteluhuoneen tv, joka on kytketty Wlan Corporatioon ja tarkoitus on, että kyseistä televisiota voisi käyttää myö vierailijat, jotka on Wlan Guestissa. Verkot on eristetty toisistaan VLAN avulla, mutta en keksi, miten saan vain tuon televison myös näkymään Wlan Guest verkosta. Osaisiko joku auttaa tän kanssa?

Express laitteita on yhteensä kolme, joista yksi on Gateway ja loput toimii AP:na jakaen wlania.

 

[Prefect]

En osaa unifistä tarkemmin sanoa mutta minulla on kotona tehty OpenWRT leitteilla vierailijaverkko josta ei pääse kotiverkkoon mutta kotiverkosta pääsee vierailijaverkkoon.
Laittasin siis telkkarin mieluummin vierailija verkon puolelle. Ainakin OpenWRT palomuurista / reititys säännöistä sai laitettua säännön liikenteestä verkkojen välillä "yksisuuntaiseksi", eli liikenteen verkkojen välillä voi aloittaa vain kotiverkon puolelta.

 

[Grizzle]

En osaa unifistä tarkemmin sanoa mutta minulla on kotona tehty OpenWRT leitteilla vierailijaverkko josta ei pääse kotiverkkoon mutta kotiverkosta pääsee vierailijaverkkoon.
Laittasin siis telkkarin mieluummin vierailija verkon puolelle. Ainakin OpenWRT palomuurista / reititys säännöistä sai laitettua säännön liikenteestä verkkojen välillä "yksisuuntaiseksi", eli liikenteen verkkojen välillä voi aloittaa vain kotiverkon puolelta.

Just noin ja onnistuu Unifilla.

Ei mitään IOT-laitteita tuotantoverkkoon ja älytelevisiot ovat sellaisia. Ainakin LG:n töllöjä on jäänyt kiinni verkon nuuskimisesta, esim. verkkoon liitetyt laitteet ja tiedostojaot.

Langattomaan kuvan ja äänen siirtoon on myös omia ratkaisujaan. Esim. Barcolla on laitteita, joihin voi liittää tv:n, webcamin ja kaiuttimet. Koneen kylkeen USB-C mokkula kiinni ja painaa nappia niin kaikki siirtyy kerralla. Pirun kalliita ovat kyllä, joten ihan pieni firma ei välttämättä halua niihin investoida.

 

[pulatunnus]

Ainakin LG:n töllöjä on jäänyt kiinni verkon nuuskimisesta, esim. verkkoon liitetyt laitteet ja tiedostojaot.

Öö, siis kuullostaa ihan normaalitoiminnallisuudelta, jos telkan ei tarvi päästä kotiverkon laitteisiin, niin toki sen eristäminen on perusteltua, tai muutenkin kaikki sellaiset laitteet joilla ei tarvetta.

 

[koppa5]

Just noin ja onnistuu Unifilla.

Ei mitään IOT-laitteita tuotantoverkkoon ja älytelevisiot ovat sellaisia. Ainakin LG:n töllöjä on jäänyt kiinni verkon nuuskimisesta, esim. verkkoon liitetyt laitteet ja tiedostojaot.

Langattomaan kuvan ja äänen siirtoon on myös omia ratkaisujaan. Esim. Barcolla on laitteita, joihin voi liittää tv:n, webcamin ja kaiuttimet. Koneen kylkeen USB-C mokkula kiinni ja painaa nappia niin kaikki siirtyy kerralla. Pirun kalliita ovat kyllä, joten ihan pieni firma ei välttämättä halua niihin investoida.

Mitään kovin kriittistä ei meidän toimistoverkossa ole, lähinnä työkoneet ja kaikki oleellinen data pyörii pilvessä (google, 365). Barcon laitteet on todella hyviä, mutta meidän tarkoitukseen aivan liian kalliita, kyseessä kuitenkin pienehkö yritys. Nyt lähinnä tarvitsisin konkreettisen neuvon, että miten toteutan tän. Toki joo voin heittää nyt television tuonne Guestin puolelle, mutta nyt pitäisi saada joku vlan säätö, verkon välillä.

 

[haller]

Toki joo voin heittää nyt television tuonne Guestin puolelle, mutta nyt pitäisi saada joku vlan säätö, verkon välillä.

Ei riitä pelkkä vlan-sääntö vaan tarvitset lisäksi mDNS-toistimen. Onnistuu näköjään myös Unifi-sarjalla: Reddit - Dive into anything. Lisää esim. porteista netgaten foorumilta: Chromecast audio/video between VLANs .

 

[Grizzle]

Öö, siis kuullostaa ihan normaalitoiminnallisuudelta, jos telkan ei tarvi päästä kotiverkon laitteisiin, niin toki sen eristäminen on perusteltua, tai muutenkin kaikki sellaiset laitteet joilla ei tarvetta.

Unohtui mainita, että soittivat tiedot kotiin, se ei ole asiallista.