VLAN でスマートホームを安全にし、家族のプライバシーを守りましょう

スマートホームは、完全にセットアップが完了すれば、素晴らしい成果となります。ネットワークを構築し、いくつかのデバイスを追加すれば、非常に魅力的なソリューションが完成します。しかし、さらにレベルアップするには、おそらくさらに多くのデバイスを追加する必要があり、スマートホームデバイスをアクティブにすればするほど、ネットワークは混雑します。さらに、スマートホームデバイスへの不正アクセスのリスクもあります。これらはすべて、仮想ローカルエリアネットワーク（VLAN）によって軽減できます。VLANとは、その名の通り、ネットワーク上の仮想ローカルエリアネットワークのことです。

スマートホームデバイスは、照明やコンセントからスピーカーや警報センサーまで、実に多岐にわたります。ワイヤレス機能があれば、スマートホームシステムの一部として活用される可能性が高くなります。これらのデバイスは生活をより豊かにしてくれる素晴らしいものですが、リスクも伴います。まず、ファームウェアの脆弱性、次にデータ収集、そしてボットネットなどの悪意のある第三者がスマートホームを悪用して大混乱を引き起こす可能性があります。だからこそ私はすぐにVLANに切り替えました。あなたもそうすべきです。

スマートホーム構築のリスク

さらにデバイスとセキュリティ侵害のリスク

新しく購入したスマートホームデバイスがすべて本質的に安全ではないと言っているわけではありませんが、攻撃に対して脆弱であり、ブランドによってはファームウェアの脆弱性も存在します。これらのデバイスは、主に手頃な価格の設計、製造、サポートのおかげで、多くの場合低価格で提供されています。テレメトリデータが収集され、メーカーのサーバーに送信される可能性があり、セキュリティパッチやファームウェアのアップデートがリリースされる保証はありません。

自宅ネットワーク上のコンピューターと同様に、これらのスマートホームデバイスはそれぞれ、攻撃者にとって新たな侵入経路となる可能性があります。スマートスピーカー、照明、センサー、プラグなど、ホームアシスタントに組み込まれた完全なアラームシステムを備えたデバイスの数を想像してみてください。それはまさに迷路のようになり、IoT（モノのインターネット）とスマートホームデバイスが抱えるもう一つの問題点となります。これらのデバイスの多くがローカルIPアドレスを必要とする場合、無線ネットワークやDHCPサーバーを巡って激しい競合が発生する可能性があります。

スマートホームのアップグレードを計画する際、この点を考慮しました。ゲストデバイスと同様に、同じローカルネットワーク内でパーティション分割することで、ネットワーク上の他のすべてのデバイスを保護できます。私はすぐにゲスト用VLANを設定し、自宅を訪れる人が外部ネットワークにアクセスできるようにしましたが、許可なくローカルでホストされているサービスに接続できないようにしました。スマートホームデバイスにも同じことが言えるため、専用のVLANを作成しました。皆さんも同じようにすることをお勧めします。

VLANが（ほぼ）すべてを解決する方法

仮想プライベートネットワークの魔法の世界

仮想LAN（VLAN）とは、物理ネットワーク上で動作するLANです。スイッチ、アクセスポイント、ファイアウォール、ルーターなどで構成される物理ネットワークを、複数の独立したインスタンスに論理的に分割する仕組みです。各VLANは独立して動作するように設定できるため、LAN上の特定のデバイスやポイントを相互に分離できます。ただし、VLANが完全に使用できなくなるわけではありません。設定すれば、VLAN間のブリッジングも可能です。

VLANの優れた点は、デバイスがルーターやファイアウォールを介して外部の宛先に直接接続でき、内部ネットワークには接続できないようにできることです。これは、企業、ホテル、さらには自宅内でゲストネットワークを作成するのに最適です。しかし、VLANはスマートホームやIoTデバイスをネットワークの他の部分から分離するのにも役立ちます。私はすでに自宅でいくつかのVLANを使用しています。1つはゲスト用、1つはセキュリティカメラ用、そしてもう1つはすべてのサーバーとネットワークインフラストラクチャ用です。

4つ目のVLANは過剰に思えるかもしれませんが、ローカルネットワークのセキュリティを維持したいのであれば検討する価値はあります。IoTデバイスをゲストネットワークに配置し、特定のルールと条件を適用することで、他のVLAN上のデバイスとの通信をある程度許可することは可能ですが、機能に影響を与えずにIoTデバイスを可能な限り制限することが目標です。これにより、あらゆる機器を安全に追加・使用でき、サポートの期限切れ、マルウェアに感染したファームウェアアップデート、そして複数の企業に製品（およびローカルネットワーク）の保護を委託することへの不安を軽減できます。

すべてはしっかりとした計画から始まります。

ネットワーク全体をマップする

VLAN を使用したり、私のネットワークのように別の VLAN を追加したりする前に、ホーム ローカル エリア ネットワーク (LAN) をマッピングすることが不可欠です。アクセス ポイント、スイッチ、ルーターに接続するすべてのデバイスのリストを作成します。各 VLAN でどのデバイスがカバーされているかを簡単に確認できるように、デバイスのアドレスをメモしておきます。いくつかの要件がありますが、最初にして最も重要なのは、マネージド スイッチを使用することです。必ずしもネットワーク スイッチは必要ありませんが、LAN ですでにネットワーク スイッチを使用している場合は、タグ付けとスプライシングが許可されていない限り、VLAN では動作しません。残念ながら、アンマネージド スイッチではできません。

次に、VLANを扱うためのルーターまたはファイアウォールが必要です。私はOPNsenseを使用しており、強くお勧めします。すべてのアクセスポイントとスイッチの管理インターフェースへのアクセスも利用可能である必要があります。これらをすべて準備すれば、VLANの設定はわずか数分で完了します。まず、OPNsenseファイアウォール上に、専用のサブネット（メインLANで使用されている192.168.20.0/24ではなく、192.168.10.0/24）を持つ新しいVLANを作成する必要がありました。次に、そして最も重要なのは、ファイアウォールルールを作成することです。

これらのルールにより、IoTデバイスとゲストクライアントはインターネットへのアクセスを許可しましたが、ネットワーク上の他の場所へのアクセスは許可しませんでした。また、Home Assistantを実行しているサーバーなどの特定のデバイスが、セキュリティカメラやスマートプラグなど、他のVLAN上の特定のデバイスと通信できるようにVLANを設定することもできました。今回、私が忘れそうになった手順の一つは、スマートホーム製品用のWi-Fi SSDネットワークの設定でした。これはEnGeniusクラウドシステムを使えば簡単に設定できましたが、アクセスポイントやルーターのブランドによって手順が異なる可能性があります。

絶対に忘れてはいけないのが、分離テストです。すべてのVLANを設定・セットアップしたにもかかわらず、動作せず、誰もが自由に通信できてしまうことに気づくほど最悪なことはありません。コンピューターなどのデバイスを使って、動作していることが分かっている他のVLAN上の特定のアドレスにpingを送信してみましょう。すべてがうまくいけば、ルールを適切に適用するだけでpingを実行できるはずです。このテストが完了すれば、真に分離されたLANが再び構築され、安心して利用できるようになります。

すべてのVLAN

仮想ネットワークは、大企業や技術オタクだけのものではありません。適切な知識とハードウェアがあれば、誰でも設定できます。VLAN を実際に運用するには、ある程度の調査と時間がかかります。最初は難しそうに思えるかもしれませんし、途中で失敗することもあるでしょうが、その成果は十分に価値があります。私自身のセットアップでは、来客に Wi-Fi アクセスを提供し、IP カメラのブロードキャストを分離し、IoT デバイスが意図しない場所で通信するのを防ぎ、ネットワーク上で発生する事象をより細かく制御できるようになりました。