W wielu firmach komputery księgowości, drukarki, kamery, telewizor w sali konferencyjnej i Wi-Fi dla gości pracują w jednej sieci. To wygodne, dopóki nic się nie dzieje. Wystarczy jednak jedna zainfekowana kamera albo laptop gościa, żeby atakujący widział wszystkie urządzenia w firmie – łącznie z serwerem plików.
Rozwiązaniem jest segmentacja sieci: podział na kilka odizolowanych sieci, między którymi ruch przechodzi tylko tam, gdzie na to pozwolisz. W pfSense robi się to za pomocą VLAN-ów – wirtualnych sieci, które działają na tym samym okablowaniu i tych samych przełącznikach. W tym poradniku krok po kroku utworzymy trzy takie sieci: dla gości, dla kamer i dla urządzeń IoT.
Plan sieci
Zanim cokolwiek klikniesz, zapisz plan. W przykładzie użyjemy takiego podziału:
| Sieć | VLAN | Adresacja | Co wolno |
|---|---|---|---|
| LAN firmowy | bez tagu | 192.168.1.0/24 | wszystko, jak dotychczas |
| Goście (Wi-Fi) | 10 | 192.168.10.0/24 | tylko internet |
| Kamery | 20 | 192.168.20.0/24 | tylko rejestrator, bez internetu |
| IoT | 30 | 192.168.30.0/24 | internet, bez dostępu do LAN |
Numer VLAN-u to liczba od 1 do 4094. Warto, żeby trzeci oktet adresu był taki sam jak numer VLAN-u – łatwiej się potem w tym odnaleźć.
Czego potrzebujesz
- pfSense – dowolne urządzenie Netgate lub instalacja na własnym sprzęcie.
- Przełącznik zarządzalny z obsługą 802.1Q (VLAN-ów). Zwykły, niezarządzalny przełącznik nie rozróżnia VLAN-ów.
- Punkt dostępowy Wi-Fi z obsługą wielu sieci (SSID) i VLAN-ów – jeśli sieć dla gości ma być bezprzewodowa.
Krok 1. Utwórz VLAN-y
- Wejdź w Interfaces > Assignments i otwórz zakładkę VLANs.
- Kliknij Add i uzupełnij pola:
- Parent Interface – port fizyczny, do którego podłączony jest przełącznik (zwykle ten sam co LAN),
- VLAN Tag – numer, np.
10, - Description – opis, np.
GOSCIE.
- Kliknij Save i powtórz dla VLAN-ów 20 (KAMERY) i 30 (IOT).
Pole VLAN Tag Type zostaw domyślne (C-Tag), a VLAN Priority puste.
Krok 2. Przypisz i włącz interfejsy
- Wróć do zakładki Interface Assignments. Na liście Available Network Ports wybierz VLAN 10 i kliknij Add. Zrób to samo dla 20 i 30.
- Kliknij nazwę nowego interfejsu (np. OPT1) i ustaw:
- Enable interface – zaznaczone,
- Description –
GOSCIE, - IPv4 Configuration Type – Static IPv4,
- IPv4 Address –
192.168.10.1/24.
- Zapisz, kliknij Apply Changes i powtórz dla pozostałych sieci.
Krok 3. Włącz DHCP w nowych sieciach
Wejdź w Services > DHCP Server, wybierz zakładkę nowej sieci, zaznacz Enable i ustaw zakres adresów, np. 192.168.10.100–192.168.10.199. Kamerom warto nadać stałe adresy – albo statycznie w samych kamerach, albo przez rezerwacje DHCP (Static Mappings) w tym samym miejscu.
Krok 4. Reguły firewalla – najważniejsza część
Nowe interfejsy w pfSense domyślnie blokują cały ruch. To dobrze – dopuszczamy tylko to, co potrzebne. Reguły sprawdzane są od góry do dołu i obowiązuje pierwsza pasująca.
Alias z sieciami prywatnymi
Najpierw w Firewall > Aliases utwórz alias typu Network(s) o nazwie SIECI_PRYWATNE, zawierający 10.0.0.0/8, 172.16.0.0/12 i 192.168.0.0/16. Dzięki niemu jedną regułą zablokujesz dostęp do wszystkich sieci lokalnych – także tych, które dodasz w przyszłości.
Sieć dla gości (VLAN 10)
W Firewall > Rules, zakładka GOSCIE, dodaj w tej kolejności:
| # | Akcja | Protokół | Cel | Po co |
|---|---|---|---|---|
| 1 | Pass | TCP/UDP, port 53 | This Firewall | DNS dla gości |
| 2 | Block | dowolny | This Firewall | brak dostępu do panelu pfSense |
| 3 | Block | dowolny | SIECI_PRYWATNE | brak dostępu do sieci firmowych |
| 4 | Pass | dowolny | any | internet |
Sieć IoT (VLAN 30)
Takie same reguły jak dla gości. Jeśli z komputerów w LAN trzeba sterować urządzeniami IoT (np. wyświetlić obraz na telewizorze), dodaj regułę w zakładce LAN, która pozwala na ruch z LAN do IoT. Odpowiedzi wrócą automatycznie, a urządzenia IoT nadal nie zainicjują połączenia do LAN.
Kamery (VLAN 20)
Kamery zwykle nie potrzebują internetu – a wiele z nich próbuje łączyć się z chmurą producenta. Zostaw w zakładce KAMERY tylko reguły, które pozwalają na kontakt z rejestratorem (NVR) i ewentualnie z serwerem czasu (NTP na pfSense). Cała reszta jest blokowana domyślnie. Jeśli rejestrator stoi w LAN, dostęp do kamer dajesz regułą w zakładce LAN: źródło – adres rejestratora, cel – sieć KAMERY.
Krok 5. Skonfiguruj przełącznik i Wi-Fi
- Port do pfSense – ustaw jako trunk: VLAN-y 10, 20 i 30 tagowane, LAN firmowy bez tagu.
- Porty kamer – tryb access, VLAN 20 bez tagu. Kamera nie musi nic wiedzieć o VLAN-ach.
- Port punktu dostępowego – trunk z VLAN-ami 10 i 30. W punkcie dostępowym przypisz sieć „Goście” do VLAN-u 10, a sieć dla urządzeń IoT do VLAN-u 30.
Nazwy opcji różnią się w zależności od producenta przełącznika, ale zasada jest wszędzie taka sama: tagowane tam, gdzie kablem idzie kilka sieci, bez tagu tam, gdzie do portu podłączone jest jedno urządzenie z jednej sieci.
Netgate 1100 i 2100: porty LAN w tych modelach to wbudowany przełącznik. Żeby VLAN-y działały na tych portach, trzeba je dodatkowo skonfigurować w Interfaces > Switches. Opis krok po kroku znajdziesz w dokumentacji Netgate.
Krok 6. Sprawdź, czy izolacja działa
- Połącz telefon z siecią dla gości i otwórz dowolną stronę – internet powinien działać.
- Spróbuj z tego samego telefonu otworzyć panel pfSense (
https://192.168.10.1) lub adres komputera w LAN – połączenie powinno się nie udać. - W Status > System Logs > Firewall zobaczysz zablokowane próby. Jeśli coś potrzebnego jest blokowane, właśnie tu znajdziesz odpowiedź, dlaczego.
Najczęstsze błędy
- Brak reguły DNS dla nowej sieci. Objaw: urządzenia dostają adres, ale strony się nie otwierają. Reguła nr 1 z tabeli rozwiązuje problem.
- Zła kolejność reguł. Reguła „Pass any” powyżej blokad sprawia, że blokady nigdy nie zadziałają.
- Port do pfSense nie jest trunkiem. Objaw: VLAN-y nie dostają adresów z DHCP. Sprawdź tagowanie na przełączniku.
- Odcięcie się od panelu. Zmieniając ustawienia LAN-u, zawsze miej dostęp z innej sieci albo przez konsolę – i rób kopię konfiguracji przed zmianami (Diagnostics > Backup & Restore).
VLAN-y a NIS2
Segmentacja sieci to jedno z podstawowych zabezpieczeń technicznych, o które pytają audytorzy w ramach NIS2 i nowej ustawy o KSC. Oddzielenie gości, kamer i IoT od systemów firmy ogranicza skutki ataku i łatwo je udokumentować. Więcej o obowiązkach przeczytasz w artykule NIS2 i KSC: co musi zrobić firma.
Potrzebujesz pomocy?
Zaprojektujemy podział sieci, skonfigurujemy VLAN-y w pfSense, przełącznikach i punktach dostępowych, a na koniec przekażemy dokumentację – przydatną także przy audycie. Jeśli dopiero wybierasz urządzenie, zajrzyj do przewodnika po modelach Netgate.
Masz pytania? Napisz do nas: kontakt@itessential.pl