Smart home w jednej sieci z komputerem? To ryzykowne połączenie

Dlaczego warto rozdzielić sprzęty smart home od reszty sieci

Urządzenia z kategorii IoT - inteligentne oświetlenie, kamery monitoringu, oczyszczacze powietrza, gniazdka czy roboty sprzątające - łączą się z domowym Wi-Fi, a przy tym zwykle zależą od własnych aplikacji i chmury producenta. Część z nich rzadko doczekuje się aktualizacji oprogramowania, a mimo to potrafi działać w gospodarstwie domowym znacznie dłużej niż typowy smartfon czy laptop.

Kiedy wszystkie urządzenia działają w jednej, wspólnej sieci, przejęcie kontroli nad słabo zabezpieczonym sprzętem może dać napastnikowi furtkę do pozostałych urządzeń w domu. To nie jest scenariusz pewny, ale rozsądne zabezpieczenia warto stosować prewencyjnie. Rozdzielenie sieci zmniejsza potencjalne ryzyko - kamera czy smart gniazdko potrzebują dostępu do internetu, lecz niekoniecznie muszą swobodnie rozmawiać z komputerem, serwerem NAS czy innym sprzętem z głównej sieci domowej.

Separacja urządzeń IoT od komputerów i innych bardziej zaufanych maszyn to jeden ze sposobów na ograniczenie strat w razie ataku. I właśnie to jest sednem tego artykułu - w warunkach domowych do takiego podziału można wykorzystać funkcje wbudowane w sam router.

Sieć IoT nie zawsze oznacza faktyczną izolację

Spora część dzisiejszych routerów umożliwia utworzenie dodatkowej sieci bezprzewodowej dedykowanej wyłącznie sprzętom IoT, z własną nazwą i hasłem widocznym osobno na liście dostępnych połączeń. Sam fakt istnienia takiej sieci nie gwarantuje jednak, że podłączone do niej urządzenia nie będą mogły swobodnie łączyć się ze sprzętem z sieci głównej.

Przykładem są routery TP-Link Deco, w których funkcja IoT Network pozwala wydzielić osobne Wi-Fi dopasowane do potrzeb urządzeń smart home, lecz sama z siebie nie odcina ich od reszty sieci. Do tego celu służy odrębna opcja Device Isolation.

Podobny mechanizm spotykany jest w niektórych modelach ASUS. Podczas ustawiania sieci IoT opcja współdzielenia tej samej podsieci co sieć główna bywa domyślnie aktywna, a dopiero jej wyłączenie realnie rozdziela obie sieci - stąd warto zwrócić na to szczególną uwagę.

W zależności od producenta funkcja odpowiedzialna za izolację może nazywać się Device Isolation, Client Isolation, Allow Local Access albo Network Isolation. Zanim uznamy sprawę za załatwioną, warto zajrzeć do instrukcji i sprawdzić, co dokładnie dana opcja blokuje - identyczne nazwy nie zawsze oznaczają identyczne działanie, zwłaszcza u różnych producentów.

Jak poprawnie skonfigurować sieć dla urządzeń IoT

Najprostsze podejście zakłada pozostawienie komputerów, smartfonów i serwera NAS w sieci głównej, a przeniesienie sprzętów smart home do osobnej sieci IoT z aktywną izolacją. Taki układ pozwala urządzeniom korzystać z internetu, gdy jest to im potrzebne, bez swobodnego dostępu do pozostałych sprzętów domowych.

Nie wszystkie urządzenia smart home komunikują się jednak identycznie. Wiele robotów sprzątających, kamer czy sprzętu AGD opiera się na serwerach producenta, co umożliwia m.in. sterowanie nimi spoza domu przez aplikację. Inny model przyjmują urządzenia działające lokalnie, np. część sprzętów zgodnych z Matter, które do działania nie wymagają połączenia z internetem. Jeszcze inaczej zachowują się żarówki, czujniki czy przełączniki oparte na Zigbee lub Thread - te nie łączą się bezpośrednio z domowym Wi-Fi, lecz komunikują się z odpowiednią bramką lub innymi elementami systemu smart home. Sposób zabezpieczenia konkretnego urządzenia zależy więc od tego, jak komunikuje się ono z resztą domowej automatyki.

Własna sieć IoT w domu

Gdy router nie ma gotowej opcji tworzenia sieci IoT, alternatywą może być sieć gościnna - pod warunkiem, że faktycznie odcina podłączone urządzenia od sieci głównej. Trzeba jednak upewnić się, czy takie rozwiązanie nie zablokuje lokalnego sterowania sprzętami smart home.

Bardziej zaawansowane routery umożliwiają tworzenie sieci VLAN, czyli logiczne rozdzielenie poszczególnych grup urządzeń. Za pomocą ustawień routera można potem precyzyjnie określić, czy i w jaki sposób te sieci mogą się ze sobą komunikować - przykładowo pozwolić sprzętom IoT na dostęp do internetu, jednocześnie blokując im ścieżkę do komputerów z sieci głównej.

Osobna sieć IoT niesie jeszcze jedną praktyczną korzyść. Wiele starszych i prostszych urządzeń smart home obsługuje wyłącznie pasmo Wi-Fi 2,4 GHz albo gorzej radzi sobie z nowszymi rozwiązaniami sieciowymi. Dzięki wydzielonej sieci IoT można zachować ustawienia kompatybilne ze starszym sprzętem, nie ingerując w konfigurację Wi-Fi używanego przez telefony i komputery.

Nadmierna izolacja też bywa problemem

Blokowanie komunikacji między sieciami da się jednak przesadzić. Dlatego warto wcześniej przemyśleć, które urządzenia faktycznie potrzebują jakiego poziomu odseparowania. Telefon musi od czasu do czasu odnaleźć w sieci lokalnej telewizor, głośnik, drukarkę czy inny sprzęt, a pełna izolacja może utrudnić działanie takich funkcji jak Chromecast, AirPrint czy część opcji AirPlay.

W praktyce może się okazać, że urządzenie wciąż działa przez aplikację łączącą się z chmurą producenta, ale traci możliwość bezpośredniego sterowania w sieci lokalnej. Podobny problem może dotknąć systemy takie jak Matter, które z założenia opierają się na lokalnej komunikacji urządzeń smart home.

Bardziej rozbudowane routery potrafią częściowo rozwiązać ten dylemat bez konieczności łączenia wszystkiego z powrotem w jedną sieć. Jednym z wykorzystywanych mechanizmów jest mDNS, który pomaga urządzeniom odnajdywać dostępne w sieci usługi. Jeśli router potrafi przekazywać takie informacje między wydzielonymi sieciami, smartfon może znaleźć np. kompatybilny głośnik lub odtwarzacz multimedialny znajdujący się w innym segmencie sieci.

Jeżeli router takich możliwości nie oferuje, pozostaje szukać kompromisu między poziomem izolacji a poprawnym działaniem sprzętu. Z tego właśnie powodu przeniesienie całego smart home do zwykłej sieci gościnnej nie zawsze rozwiązuje sprawę do końca. Na tego typu eksperymenty warto zarezerwować sobie cały weekend, bo przy większej liczbie urządzeń smart ustalenie, co działa, a co przestało, może zająć sporo czasu.

Które urządzenia trafić powinny do sieci IoT

Do osobnej sieci IoT warto skierować sprzęty, które nie wymagają bezpośredniej komunikacji z komputerami i innymi urządzeniami domowymi: inteligentne żarówki, gniazdka, roboty sprzątające, oczyszczacze powietrza, termostaty oraz część urządzeń AGD.

Kamery monitoringu również da się odseparować, ale trzeba wziąć pod uwagę sposób ich działania. Jeśli kamera zapisuje nagrania na lokalnym serwerze NAS lub rejestratorze, musi mieć zapewnioną możliwość komunikacji z tym konkretnym urządzeniem.

Inną kategorię stanowią sprzęty, których głównym zadaniem jest współpraca z pozostałymi urządzeniami w sieci lokalnej. Telewizor, Apple TV, Chromecast, bezprzewodowy głośnik czy drukarka mogą wymagać dodatkowej konfiguracji, jeśli odetniemy je od telefonów i komputerów.

Warto pamiętać, że samo rozdzielenie sieci nie zastępuje pozostałych zabezpieczeń. Zarówno urządzenia IoT, jak i router powinny regularnie otrzymywać aktualizacje, a panel administracyjny routera koniecznie zabezpieczyć silnym i unikalnym hasłem.