Cherchez-vous un moyen de sécuriser votre maison intelligente contre d’éventuels acteurs malveillants ou intrus ? Un VLAN est l’outil parfait pour ce travail. Voici comment j'ai configuré mon VLAN et comment je prévois de l'utiliser pour sécuriser le réseau de ma maison intelligente.
Peu d’appareils intelligents accordent de l’importance à la cybersécurité
Les entreprises ne se soucient vraiment que de leurs propres intérêts, pas des vôtres
Saviez-vous que vos appareils IoT (Internet des objets) pourraient constituer une faille majeure dans la stratégie de sécurité de votre maison intelligente ? La plupart des gens ne s’en rendent pas compte. Que cela nous plaise ou non, la plupart des appareils IoT téléphonent assez souvent à la maison, même pour les choses les plus simples. Plus tôt cette année, une panne massive d'AWS a montré à quel point cela pouvait être d'une grande portée lorsque les gens ne pouvaient pas contrôler leur litsans parler des interrupteurs ou des prises intelligents.
Cette dépendance à Internet vient du fait que même lorsque vous êtes sur le même réseau que vos appareils IoT, la plupart du temps, toutes les commandes que vous leur envoyez passent par le cloud et redescendent. Cela peut ne pas sembler terrible, mais cela signifie que des données sont envoyées depuis votre réseau vers on ne sait où, dans on ne sait quel pays.
Quelles données sont envoyées à ces serveurs ? Il ne s'agit pas simplement d'« allumer cette lumière ». C'est là qu'interviennent la ségrégation VLAN et réseau.
Comment un VLAN résout-il les problèmes de sécurité de la maison intelligente ?
Un réseau isolé est un réseau sécurisé
Il y a de fortes chances que votre maison ne dispose que d’un seul réseau utilisé pour tout. Cela fonctionne dans la plupart des cas, mais il y a en fait un inconvénient assez important à avoir un seul réseau : tous les appareils du réseau peuvent communiquer entre eux.
Si un appareil, par exemple une imprimante 3D ou une caméra de sécurité, est compromis, alors l’ensemble de votre réseau est compromis. Cet appareil peut accéder à tous les autres appareils de votre réseau, que cela vous plaise ou non.
C'est pourquoi les VLAN, ou réseaux locaux virtuels, sont si importants dans une maison intelligente (ou dans n'importe quelle maison, en réalité). Avec un VLAN, vous pouvez séparer le trafic réseau dans ses propres voies. Pensez-y comme à une autoroute à une ou plusieurs voies, mais avec des murs entre elles.
Avec un VLAN, vous pouvez dire « Le trafic dans le VLAN 1 peut circuler dans n'importe quelle autre voie sans problème, mais le trafic dans le VLAN 2 ne peut accéder qu'au VLAN 2 et à rien d'autre. » Dans ce cas, votre ordinateur peut être sur le VLAN 1 et il est capable de communiquer avec les appareils sur le VLAN 1 et le VLAN 2. Vos appareils IoT peuvent être sur le VLAN 2 et ils ne peuvent communiquer qu'avec les appareils sur le VLAN 2, et non avec le VLAN 1.
Selon le matériel réseau dont vous disposez, cela peut aller aussi loin que vous le souhaitez. J'ai un VLAN qui bloque spécifiquement tous trafic de diaphonie entre les appareils et autorise uniquement l’accès à l’Internet externe. Si je mets deux ordinateurs sur ce VLAN, ils ne sauront pas que l'autre existe, et ils ne savent pas qu'il existe un autre périphérique sur mon réseau : ce VLAN a simplement un accès au réseau externe et rien de plus.
Comment cela résout-il vos problèmes de sécurité IoT ? Eh bien, si vous disposez d'un VLAN IoT distinct dans lequel les appareils ne peuvent pas communiquer entre eux ni avec des appareils en dehors de ce VLAN, alors si cette même imprimante 3D ou caméra de sécurité est piratée, rien d'autre n'est compromis en dehors de cet élément spécifique.
Pour préserver la santé de ma maison intelligente, j'ai séparé mon réseau avec des VLAN
La mise en place d’un réseau domestique intelligent séparé nécessite beaucoup de choses
Mon réseau domestique fonctionne sur Unifi, ce qui facilite la création de VLAN spécifiques à l'IoT. Je travaille toujours sur la configuration parfaite, mais jusqu'à présent, voici ce que j'ai fait.
Pour commencer, j'ai créé le VLAN et je l'ai nommé IoT. C'est assez simple, mais c'est ainsi que je veux l'identifier. J'ai activé IGMP Snooping et mDNS, car ces deux fonctionnalités sont nécessaires pour de nombreux appareils domestiques intelligents. Mon réseau est configuré pour 253 adresses IP, dont 205 se trouvent dans le pool DHCP pour l'attribution automatique. Je peux l'étendre plus tard si nécessaire, mais cela me donne 50 adresses que je peux définir comme statiques si j'en ai besoin et plus de 200 qui sont dynamiques, ce qui est plus que ce dont j'aurai probablement besoin.
J'ai également l'IoT et mon VLAN de confiance principal dans le proxy mDNS, de sorte que les appareils de mon VLAN principal et du VLAN IoT puissent communiquer correctement entre eux. Cependant, c'est là que se termine ma configuration VLAN.
Je suis actuellement en train de remanier complètement mon infrastructure de maison intelligente pour tout déplacer vers une approche locale d'abord. Mon VLAN IoT partage l'accès à mon réseau local et dispose toujours d'un accès externe. C'est quelque chose que je prévois de changer à l'avenir une fois que j'aurai fini de migrer vers des appareils prenant en charge ce type de fonctions.
J'ai déjà Home Assistant sur mon réseau et j'utilise également beaucoup HomeKit d'Apple, qui offrent tous deux une approche locale de la maison intelligente et des appareils IoT. Je suis également en train de construire un grand nombre de mes propres capteurs en utilisant la plateforme ESP32.
À l'avenir, j'élaborerai des règles de pare-feu pour le VLAN IoT afin de ne pas le laisser passer à mon VLAN de confiance, ce qui signifie que les appareils IoT ne pourront pas communiquer avec mon réseau pour la sécurité renforcée dont j'ai parlé. Je vais également créer une bascule simple afin de pouvoir ouvrir ce réseau au monde extérieur lors de l'ajout d'un nouvel appareil, si cela le nécessite, puis le fermer une fois l'appareil configuré.
Le problème pour moi est de configurer le VLAN par étapes. J'ai déjà le VLAN là-bas et j'ai un réseau Wi-Fi connecté au VLAN (qui est réglé sur 2,4 GHz uniquement et un réseau IoT), et la plupart de mes appareils domestiques intelligents sont sur le VLAN. Cela signifie qu'une fois toutes les règles de pare-feu configurées, tous mes appareils seront immédiatement sécurisés puisque je vais d'abord construire le réseau et alors le sécuriser.
Ce dont vous avez besoin pour configurer un réseau domestique intelligent VLAN
C'est plus facile que tu ne le penses
Si vous souhaitez créer votre propre réseau domestique intelligent avec VLAN, vous aurez d'abord besoin d'une forme de réseau géré. Malheureusement, ce n’est pas encore courant sur la plupart des matériels réseau grand public. J'ai opté pour l'utilisation d'Unifi et d'Ubiquiti dans mon réseau domestique, ce qui devient en fait beaucoup plus abordable avec le Dream Router 7.
Cependant, il existe également d’autres options. Vous pouvez créer le vôtre avec quelque chose comme pfSense ou OPNSense, ou vous pouvez simplement acheter un autre matériel réseau géré comme Omada de TP-Link.
Une fois le matériel configuré, il vous suffira de vous assurer que tout est compatible. Parce que j'utilise Unifi, mes points d'accès Wi-Fi et mon commutateur géré communiquent tous entre eux, ce qui me permet de gérer le réseau géré de haut en bas sur tous les appareils.
9/10
- Marque
-
Unifi
- Gamme
-
1 750 pieds carrés
L'Unifi Dream Router 7 est une appliance réseau à part entière offrant des capacités NVR, une commutation entièrement gérée, un pare-feu intégré, des VLAN et bien plus encore. Avec quatre ports Ethernet 2,5G (dont un avec PoE+) et un port SFP+ 10G, l'Unifi Dream Router 7 dispose également de deux capacités WAN si vous disposez de deux connexions FAI. Il comprend une carte microSD de 64 Go pour le stockage de la caméra IP, mais peut être mis à niveau pour plus de stockage si nécessaire. Avec le Wi-Fi 7, vous pourrez atteindre une vitesse de réseau théorique de 5,7 Gbit/s lorsque vous utilisez le port SFP+ 10G, ou de 2,5 Gbit/s lorsque vous utilisez Ethernet.
Mon réseau VLAN n'est pas que du soleil et des arcs-en-ciel
Parfois, ça marche, et d'autres fois…
J'aime avoir un réseau séparé, mais j'ai rencontré pas mal de problèmes lors de la configuration, c'est pourquoi mon VLAN n'est toujours pas complètement verrouillé. Par exemple, lorsque mon iPhone est sur mon réseau de confiance, je ne peux pas ajouter correctement un appareil IoT à HomeKit sur le réseau IoT. J'ai essayé et essayé, mais mettre les informations d'identification du réseau IoT depuis mon iPhone sur mon réseau de confiance ne fonctionne tout simplement pas pour moi. La solution temporaire consiste simplement à connecter mon iPhone au réseau IoT, et cela semble fonctionner.
J'ai également rencontré des problèmes majeurs en essayant d'utiliser Home Assistant sur un VLAN et des appareils dans Home Assistant sur un autre VLAN, avec mes appareils principaux sur un troisième VLAN. Je suis sûr qu'il existe un correctif pour cela, et je travaille à tout configurer, mais c'est toujours un problème que j'ai rencontré.
Ce ne sont là que deux des principaux problèmes que j'ai rencontrés lors de la configuration d'un VLAN IoT. Si vous pensez que ce sera très simple à faire et qu’il n’y aura aucun problème, détrompez-vous. Préparez-vous simplement à quelques maux de tête lors du basculement initial et sachez qu'il y aura certainement un dépannage qui accompagnera la configuration d'un VLAN IoT.
La douleur en vaudra la peine, il faut juste savoir que là, très probablement, volonté être une douleur.
Commencez lentement et progressez vers un réseau ultra-sécurisé
Les VLAN constituent un aspect extrêmement profond des réseaux, et je ne fais qu'effleurer la surface. Avoir un VLAN IoT dédié est cependant l’un des meilleurs moyens de sécuriser votre maison intelligente, et je suis ravi de terminer la configuration de mon pare-feu au cours de la nouvelle année.
Vous pouvez lire l’article original (en Angais) sur le blogwww.howtogeek.com