1 Temat przez tepe (edytowany przez tepe 2022-11-24 21:32:23)

  • tepe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-11-15
  • Posty: 23

Temat: Izolacja smart urządzeń

Po zakupie kolejnych 2 lamp od xiaomi i wpięcie ich do domowego wifi naszła mnie myśl że dobrze by było ograniczyć im pełny dostęp do sieci lokalnej.

Pytanie do dalszej dyskusji: jakie są Wasze doświadczenia w tym temacie? Czy moje obawy są uzasadnione ? Jak to zrobić optymalnie?

Raczej chciałbym uniknąć tworzenia osobnej sieci wifi, jakiś vlan z dopasowaniem po MAC'ach ?

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,528

Odp: Izolacja smart urządzeń

Wydzielasz osobną sieć bez dostępu do internetu (jak nie muszą) i bez możliwości wejścia do lanu. Za grosz nie ufasz producentom iot.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez tepe

  • tepe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-11-15
  • Posty: 23

Odp: Izolacja smart urządzeń

Cezary napisał/a:

Wydzielasz osobną sieć bez dostępu do internetu (jak nie muszą) i bez możliwości wejścia do lanu. Za grosz nie ufasz producentom iot.


Pisząc o osobnej sieci masz na myśli osobne WiFi?  Tego chciałbym uniknąć, bo mam tego trochę i nie uśmiecha mi się ponowna konfiguracja wszystkiego.

Aktualnie u mnie 1 router openwrt + 2 dumb ap openwrt

i około 10 różnych urządzeń które wypadałoby wydzielić osobno.

Da się to zrobić po MAC'ach ?

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,528

Odp: Izolacja smart urządzeń

Co? Wydzielić sieć po macach? Chyba dwa różne tematy. Ja bym wrzucił to do innego sieci. Ty zrób jak uważasz.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez tepe

  • tepe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-11-15
  • Posty: 23

Odp: Izolacja smart urządzeń

Cezary napisał/a:

Co? Wydzielić sieć po macach? Chyba dwa różne tematy. Ja bym wrzucił to do innego sieci. Ty zrób jak uważasz.

Dobra przekonałeś mnie, zrobie osobną siec wifi.
Tak btw: takie tworzenie kilku sieci (IOT, Goscie itp)  nie wpływa na działanie sieci podstawowej? Czy nie ma to znaczenia ?

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,528

Odp: Izolacja smart urządzeń

Jeżeli utworzysz na jednym i tym samym radiu to oczywiście dzieli się pasmo, ale to w sumie tak samo jak byś je podłączyć do podstawowego wifi. Po za tym chyba w sumie nic nieoczywistego nie ma.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez tepe

  • tepe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-11-15
  • Posty: 23

Odp: Izolacja smart urządzeń

Po ponad roku używania dwóch dodatkowych sieci pojawiła się potrzeba rozbudowy systemu. Aktualnie interfejsy i sieci dodatkowe mam dodane tylko na głównym routerze, schemat:

Schemat sieci

Mam dwa problemy z którymi nie mogę sobie poradzić:
1. jak poprawnie skonfigurować sieć IoT, tak aby działała na wszystkich 3 AP
2. na urządzeniu opisanym jako "Serwer" mam postawionego HomeAssistanta, idealnie by było aby to urządzenie mogło łączyć się z siecią IOT.

Jeżeli jakaś dobra dusza będzie miała chwilę czasu aby mnie poprowadzić / nakierować, będę wdzięczny.

8 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,528

Odp: Izolacja smart urządzeń

1. Przez vlany: https://eko.one.pl/?p=openwrt-vlan#siew … ednymkablu
2. j/w

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

9 Odpowiedź przez tepe

  • tepe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-11-15
  • Posty: 23

Odp: Izolacja smart urządzeń

Aktualny stan (coś nakombinowałem i mam problem z połączeniem się z siecią IOT, tak jak by nie przydzielał mi adresu IP). Dobrze kombinuje ?

Router główny:
Network

config interface 'loopback'
        option device 'lo'
        option proto 'static'
        option ipaddr '127.0.0.1'
        option netmask '255.0.0.0'

config device
        option name 'br-lan'
        option type 'bridge'
        list ports 'lan1'
        list ports 'lan2'
        list ports 'lan3'
        list ports 'lan4'

config interface 'lan'
        option device 'br-lan'
        option proto 'static'
        option netmask '255.255.255.0'
        option ip6assign '60'
        option ipaddr '192.168.8.1'


config interface 'IOT'
        option device 'eth0.20'
        option proto 'static'
        option ipaddr '192.168.20.1'
        option netmask '255.255.255.0'

config switch_vlan
        option device 'switch0'
        option vlan '20'
        option ports 'lan2t lan3t'

Wireless

config wifi-iface 'wifinet4'
        option device 'radio0'
        option mode 'ap'
        option ssid 'IoT'
        option encryption 'psk2+ccmp'
        option ieee80211r '1'
        option mobility_domain '1f9f'
        option ft_over_ds '0'
        option ft_psk_generate_local '1'
        option network 'IOT'
        option key ''

Firewall

config zone
        option name 'IOTZone'
        option output 'ACCEPT'
        option forward 'REJECT'
        list network 'IOT'
        option input 'REJECT'

config forwarding
        option src 'lan'
        option dest 'IOTZone'

config forwarding
        option src 'IOTZone'
        option dest 'wan'

W przypadku pierwszego DummyAP zrobiłem:
Network:

config interface 'loopback'
        option device 'lo'
        option proto 'static'
        option ipaddr '127.0.0.1'
        option netmask '255.0.0.0'

config globals 'globals'
        option packet_steering '1'
        option ula_prefix 'fd46:e650:86be::/48'

config device
        option name 'br-lan'
        option type 'bridge'
        list ports 'lan1'
        list ports 'lan2'
        list ports 'lan3'
        list ports 'lan4'
        list ports 'wan'

config interface 'lan'
        option device 'br-lan'
        option proto 'static'
        option netmask '255.255.255.0'
        option ip6assign '60'
        option ipaddr '192.168.8.2'
        option gateway '192.168.8.1'
        list dns '192.168.8.1'

config interface 'IOT'
        option device 'eth0.20'
        option proto 'static'
        option ipaddr '192.168.20.2'
        option netmask '255.255.255.0'
        option type 'bridge'

Wireless

config wifi-iface 'wifinet3'
        option device 'radio0'
        option mode 'ap'
        option ssid 'IoT'
        option encryption 'psk2+ccmp'
        option key ''
        option ieee80211r '1'
        option mobility_domain '1f9f'
        option ft_over_ds '1'
        option ft_psk_generate_local '1'
        option network 'IOT'

10 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,528

Odp: Izolacja smart urządzeń

Nie.... Jeżeli masz router z DSA to nie wolno ci używać eth0 tylko lan1/lan2/lan3/lan4 jeżeli tak masz nazwane porty.

option ports 'lan2t lan3t'

nie istnieje. Jak już to powinno być

lists ports 'lan2:t'
lists ports 'lan3:t'

Zobacz https://eko.one.pl/?p=openwrt-dsa a także https://forum.openwrt.org/t/mini-tutori … nfig/96998

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

11 Odpowiedź przez ad2014

  • ad2014
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-07-04
  • Posty: 1,144

Odp: Izolacja smart urządzeń

idealnie by bylo jakbyś podłaczył ten "sewer"  bezposrednio pod openwrt  router  czy przez kabel czy wifi

12 Odpowiedź przez tepe

  • tepe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-11-15
  • Posty: 23

Odp: Izolacja smart urządzeń

Zacząłem jeszcze raz, czyli dla rutera głównego coś takiego?

config interface 'IOT'
        option device 'br-iot'
        option proto 'static'
        option ipaddr '192.168.20.1'
        option netmask '255.255.255.0'

config device
        option name 'br-iot'
        option type 'bridge'
        list ports lan2.7
        list ports lan3.7


Lan2 - kabel do DummyAP1
Lan3 - kabel do DummyAP2

13 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,528

Odp: Izolacja smart urządzeń

Bridge z vlanów? No zobacz czy ci to zadziała.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

14 Odpowiedź przez tepe

  • tepe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-11-15
  • Posty: 23

Odp: Izolacja smart urządzeń

Działa tylko z głównym routerem, z dodatkowym juz nie jestem w stanie się połączyć.

option type 'bridge' , tak mi wychodziło z tych tutorialów co podesłałeś, ale chyba nie ogarniam.

Podpowiesz jak to zrobić?

15 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,528

Odp: Izolacja smart urządzeń

Opcja jak opcja, definiuje bridge. A teraz pokaż jaką konfigurację zrobiłeś na tych DummyAP1 i DummyAP2, bo tam musisz vlan 7 zrobić.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

16 Odpowiedź przez tepe

  • tepe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-11-15
  • Posty: 23

Odp: Izolacja smart urządzeń

Dałem to samo, bo tak wejście LAN do AP1 z routera głównego mam na LAN3

config interface 'IOT'
        option device 'br-iot'
        option proto 'static'
        option ipaddr '192.168.20.2'
        option netmask '255.255.255.0'

config device
        option name 'br-iot'
        option type 'bridge'
        list ports lan2.7
        list ports lan3.7

17 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,528

Odp: Izolacja smart urządzeń

Nie wiem co zrobiłeś ale to poprostu działa.

Router główny:

config interface 'loopback'
    option device 'lo'
    option proto 'static'
    option ipaddr '127.0.0.1'
    option netmask '255.0.0.0'

config globals 'globals'
    option ula_prefix 'fd8f:3356:3e65::/48'
    option packet_steering '1'

config device
    option name 'br-lan'
    option type 'bridge'
    list ports 'lan1'
    list ports 'lan2'

config interface 'lan'
    option device 'br-lan'
    option proto 'static'
    option ipaddr '192.168.11.1'
    option netmask '255.255.255.0'
    option ip6assign '60'
    option ipv6 '0'

config interface 'wan'
    option ipv6 '0'
    option apn 'internet'
    option device '/dev/cdc-wdm0'
    option proto 'qmi'
    option peerdns '0'
    list dns '1.0.0.1'
    list dns '1.1.1.1'

config interface 'guest'
    option device 'br-guest'
    option proto 'static'
    option ipaddr '172.16.0.1'
    option netmask '255.240.0.0'

config device
    option name 'br-guest'
    option type 'bridge'
    list ports lan1.7

I AP:

config interface 'loopback'
    option device 'lo'
    option proto 'static'
    option ipaddr '127.0.0.1'
    option netmask '255.0.0.0'

config globals 'globals'
    option ula_prefix 'fd9a:961e:37da::/48'

config device
    option name 'br-lan'
    option type 'bridge'
    list ports 'lan1'
    list ports 'lan2'

config interface 'lan'
    option device 'br-lan'
    option proto 'static'
    option ipaddr '192.168.11.2'
    option netmask '255.255.255.0'
    option ip6assign '60'

config interface 'iot'
    option device 'br-iot'
    option proto 'static'
    option ipaddr '172.16.0.2'
    option netmask '255.240.0.0'

config device
    option name 'br-iot'
    option type 'bridge'
    list ports lan2.7

AP (akuart LBR20) dołączony kablem z portu lan2 do głównego na port lan1 (oba mają tylko po dwa porty, dlatego w konfigu jest tylko lan1 i lan2 po obu stronach.)

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

18 Odpowiedź przez tepe (edytowany przez tepe 2024-01-31 01:35:02)

  • tepe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-11-15
  • Posty: 23

Odp: Izolacja smart urządzeń

Mam tak samo, a jak jestem koło AP1, to nie jestem w stanie połączyć się z siecią IoT (nie jest w stanie uzyskać IP).

Podstawowe sieci wifi do głównego Lanu działają poprawnie.

Wireless na AP1: 

config wifi-device 'radio0'
        option type 'mac80211'
        option path '1e140000.pcie/pci0000:00/0000:00:01.0/0000:02:00.0'
        option channel '11'
        option band '2g'
        option htmode 'HE20'
        option country 'PL'
        option cell_density '0'


config wifi-iface 'wifinet3'
        option device 'radio0'
        option mode 'ap'
        option ssid 'IoT'
        option encryption 'psk2+ccmp'
        option key '***]
        option ieee80211r '1'
        option mobility_domain '1f9f'
        option ft_over_ds '0'
        option ft_psk_generate_local '1'
        option network 'IOT'

Co więcej może być nie tak? DHCP przeciez na AP nie ma.

19 Odpowiedź przez mar_w

  • mar_w
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2014-08-16
  • Posty: 2,127

Odp: Izolacja smart urządzeń

Zaraz się okaże że Twój sprzęt nie obsługuje VLAN-ów lub ma z nimi problem sad

Xiaomi AX3000T @ Netgear R6220
* DVBT2 - T230C *

20 Odpowiedź przez tepe

  • tepe
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2017-11-15
  • Posty: 23

Odp: Izolacja smart urządzeń

Wszystkie 3 routery to Totolinki X5000r, jutro spróbuje z drugim AP, może z tym co teraz testuje jest coś nie tak.

21 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,528

Odp: Izolacja smart urządzeń

Zwykły stary mediatek, musi działać.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

22 Odpowiedź przez xury

  • xury
  • xury
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2010-05-19
  • Posty: 505

Odp: Izolacja smart urządzeń

A ja tam każde urządzenie wifi zamieniam na Tasmota lub Openbeken i nie mam problemu z chińskimi chmurami.