UniFi VLAN – це базова схема сегментації домашньої мережі, коли IoT і гостьові клієнти живуть у власних підмережах і не бачать основну LAN. У такій конфігурації Wi‑Fi лишається зручним, але телевізор, пилосос або випадковий гість не отримують маршрут до NAS, Proxmox, IPMI чи робочих хостів.
Практичний результат тут простий: окремий SSID для IoT, окремий SSID для гостей, окремі VLAN, власні DHCP-мережі й правила міжсегментного доступу. Нижче – робоча логіка налаштування в UniFi, де зазвичай помиляються і як перевірити, що ізоляція справді працює.
Для homelab це майже обов’язковий мінімум. Проблема не тільки в безпеці IoT-пристроїв. Багато з них шумлять broadcast і multicast трафіком, а при великій кількості клієнтів це вже впливає на загальну мережу.
Яка схема вийде в кінці
Фінальна топологія має складатися з трьох логічних зон: основна LAN, VLAN для IoT і VLAN для гостей. Кожен SSID прив’язується до свого VLAN, а між мережами працює правило за замовчуванням: заборонити доступ до локальних підмереж, дозволити тільки інтернет і те, що потрібно явно.
Типовий варіант такий:
- Primary LAN – основні ПК, сервери, NAS, адміністрування
- IoT VLAN – телевізори, камери, лампи, розетки, побутова автоматика
- Guest VLAN – телефони гостей, тимчасові ноутбуки, будь-які сторонні клієнти
Сенс не в тому, щоб наплодити VLAN заради VLAN. Якщо мережа невелика, трьох сегментів зазвичай вистачає. Далі починається складність із правилами, mDNS, локальними сервісами та діагностикою.
Що має бути підготовлено до налаштування
Перед тим як збирати UniFi VLAN, потрібен контролер UniFi, шлюз або маршрутизатор, що маршрутизує між VLAN, і керований комутатор, якщо точки доступу або дротові IoT сидять не напряму в gateway. Усі транкові лінки між gateway, switch і AP мають пропускати потрібні VLAN.
Якщо хоча б один uplink лишився access-портом без потрібного тега, SSID може піднятися, клієнт навіть підключиться, але DHCP не отримає або піде в не ту мережу. Це одна з найчастіших поломок у UniFi-схемах.
Окремо варто продумати, що саме з IoT повинно бачити локальну мережу. Частина пристроїв не потребує нічого, крім виходу в інтернет. Але Chromecast, AirPlay, деякі принтери і локальні контролери автоматизації без міжсегментних винятків працюють погано або не працюють взагалі.
Як налаштувати UniFi VLAN для IoT і гостей
Налаштування UniFi VLAN починається не з Wi‑Fi, а з мереж. Спочатку створюються окремі VLAN і підмережі, потім SSID, і лише після цього – політики доступу. Якщо зробити навпаки, доведеться ловити неочевидні побічні ефекти.
- Створити мережу для IoT. У UniFi Network треба додати нову network з окремим VLAN ID, власною IP-підмережею і DHCP scope.
- Створити мережу для гостей. Логіка та сама: окремий VLAN ID, інша підмережа, окремий DHCP.
- Прив’язати SSID до IoT VLAN. Створюється бездротова мережа для IoT-клієнтів, яка мапиться на потрібний VLAN.
- Прив’язати SSID до Guest VLAN. Для гостей краще робити окремий SSID, а не ділити IoT-сегмент.
- Перевірити профілі портів. Uplink до точок доступу і комутаторів має нести всі VLAN, що використовуються цими SSID.
- Налаштувати правила міжмережевого доступу. Заборонити IoT VLAN і Guest VLAN доступ до основної LAN. Дозволити вихід у WAN.
У UniFi інтерфейс може називати ці об’єкти трохи по-різному залежно від покоління контролера, але механіка не змінюється: VLAN на рівні мережі, тег на рівні SSID, політика на рівні gateway.
Які правила доступу реально потрібні
Щоб UniFi VLAN не перетворився на формальність, недостатньо просто рознести клієнтів по різних підмережах. Потрібно явно закрити доступ з IoT і Guest сегментів до RFC1918-підмереж основної інфраструктури або хоча б до конкретних VLAN, де живуть сервери та робочі машини.
Мінімальна логіка така:
- заборонити IoT VLAN -> Primary LAN
- заборонити Guest VLAN -> Primary LAN
- заборонити Guest VLAN -> IoT VLAN
- дозволити IoT VLAN -> WAN
- дозволити Guest VLAN -> WAN
- додати точкові винятки, якщо потрібні DNS, NTP, Home Assistant, MQTT або локальний медіасервіс
Тонкий момент тут у винятках. Якщо відкрити IoT VLAN доступ до всього сервера Home Assistant, сегментація лишається тільки на папері. Краще дозволяти конкретні IP і порти, а ще краще – винести сервіси інтеграції в окремий сегмент або проксі-шар.
Для гостей оптимальний режим ще жорсткіший: тільки інтернет, DNS, DHCP. Без доступу до будь-яких локальних адрес.
Що часто ламається після ізоляції
Після ввімкнення UniFi VLAN найчастіше відвалюються не самі клієнти, а сервіси виявлення пристроїв. IoT техніка любить multicast, mDNS, SSDP і локальний broadсast. Коли мережі розділені, автоматичне знаходження телевізорів, колонок або стримерів часто зникає.
Саме тут багато хто відкочує сегментацію назад, хоча проблема не в VLAN, а в очікуваннях. Якщо потрібен AirPlay, Chromecast або друк через discovery, доведеться або налаштовувати міжсегментний relay для сервісів виявлення, або миритися з ручним додаванням пристроїв, або тримати окремі типи клієнтів ближче до основної мережі.
Інша типова історія – локальний DNS. Частина IoT-клієнтів поводиться нестабільно, якщо не має доступу до зовнішніх resolver’ів або до того DNS, який віддає DHCP. Тому правила блокування варто писати після того, як зрозуміло, куди саме дивляться DNS-запити.
На практиці жорстка ізоляція добре працює для камер, розеток, ламп, техніки з хмарною моделлю керування. Гірше – для мультимедіа і всього, що залежить від service discovery.
Як перевірити, що сегментація справді працює
Перевірка UniFi VLAN має бути простою: клієнт отримує адресу зі своєї підмережі, виходить в інтернет і не відкриває локальні вузли в інших VLAN. Якщо тестується лише підключення до Wi‑Fi, половина помилок лишається непоміченою.
- Підключити тестовий пристрій до IoT SSID і перевірити, що він отримав IP з IoT-підмережі.
- Повторити те саме для Guest SSID.
- Перевірити доступ у зовнішню мережу.
- Спробувати відкрити web-інтерфейс маршрутизатора, NAS або hypervisor з IoT і Guest сегментів.
- Перевірити ping або TCP-доступ до хостів у Primary LAN.
- Подивитися логи firewall, якщо доступ несподівано проходить або блокується не там.
Якщо гість бачить web-панель NAS, проблема не в SSID, а в політиці маршрутизації між VLAN. Якщо клієнт не отримує IP, майже завжди винен trunk, DHCP relay або невірно прив’язаний SSID.
Для керованого середовища варто ще перевірити дротові порти. Іноді Wi‑Fi сегментація зроблена правильно, а smart TV на access-порту комутатора випадково сидить у основній LAN.
Де UniFi VLAN зазвичай налаштовують неправильно
Найпоширеніша помилка – створити новий SSID без повноцінної мережі під ним. У результаті клієнт асоціюється, але лишається без нормального DHCP або потрапляє не в той сегмент. Друга – забути про tagged VLAN на uplink до AP.
Ще один промах – робити одну спільну мережу для IoT і гостей. Формально основна LAN вже відокремлена, але безпекова модель все одно слабка: тимчасовий гість сидить поряд із камерами, телевізорами та домашньою автоматизацією.
Іноді блокують усе локальне одразу, а потім починають хаотично відкривати великі діапазони назад. Так мережа швидко перетворюється на набір винятків. Краще спочатку визначити сервіси, які справді мають перетинати межу VLAN, і дати їм мінімальний доступ.
Є і менш очевидний момент: надмірна деталізація. Для невеликого homelab п’ять-сім бездротових сегментів створюють більше адміністративного шуму, ніж користі. До певного масштабу краще мати три чисті зони з прогнозованими правилами, ніж десяток VLAN із випадковими винятками.
Коли цього підходу вже мало
Окремі SSID і VLAN закривають базову ізоляцію, але не замінюють повноцінну внутрішню політику доступу. Якщо в мережі є self-hosted сервіси, камери, віртуалізація, кілька адміністраторських хостів і віддалений доступ, одного поділу на LAN, IoT і Guest стає замало.
У такій точці зазвичай додають окремий management VLAN, серверний сегмент і більш точні міжзонні правила. Інакше NAS, Proxmox, UniFi Controller і домашня автоматизація опиняються в одній довіреній площині, де помилка в одному сервісі дає занадто широкий радіус ураження.
Проте для більшості домашніх інсталяцій UniFi VLAN у схемі primary + IoT + guest – нормальна межа розумної складності. Далі вже краще думати не про нові SSID, а про карту довіри між сервісами.
Де дивитися офіційну документацію
Офіційний сайт платформи – Ubiquiti. Для конкретних пунктів меню і поточної логіки UniFi Network варто звірятися з їхньою документацією та knowledge base, тому що інтерфейс контролера періодично змінюється швидше, ніж сама мережна модель.
Коментарі
Коментарів ще немає. Обговорення - у Telegram.