Изоляция умных устройств IoT на TP-Link в отдельную сеть в офисе

Главная мысль: изоляция умных устройств IoT в отдельную сеть на TP-Link — это не «фишка для галочки», а базовая гигиена офиса: камера или лампа с устаревшей прошивкой не должна видеть бухгалтерию, принтеры и ноутбуки. Правильная схема — отдельный SSID/влан для IoT, строгие ACL-правила «только наружу», при необходимости точечные исключения (NTP/DNS/облака вендора), плюс удобный поток онбординга для сотрудников.

1. Что именно изолируем и зачем

К IoT относим камеры, домофоны, датчики, плееры, ТВ-панели, принтеры с Wi-Fi, медиаприставки, проекторы, колонки, лампы и розетки. Их уязвимости — типовой вектор атаки.

Изоляция решает три задачи:

1. ограничить видимость корпоративных ресурсов (NAS, ПК, серверов);
   
2. уменьшить влияние IoT-трафика на рабочую сеть;
   
3. упростить мониторинг и аудит (видно, кто и куда ходит).
   

2. Выбор архитектуры TP-Link под офис

Вариант A — Omada SDN (рекомендуется для офиса): шлюз ER605/ER7206, управляемый коммутатор TL-SG2xxx, точки EAP (EAP610/650/670), контроллер OC200/OC300 или ПО. Даёт VLAN, ACL, маппинг SSID→VLAN, mDNS/Bonjour-помощник (в новых версиях), отчёты.

Вариант B — Archer + EAP (Standalone): роутер Archer с базовым гостевым SSID и изоляцией клиентов, плюс одна-две точки EAP с ручной настройкой VLAN. Подходит для небольшого офиса.

Вариант C — Deco (малый офис): отдельный SSID для IoT с изоляцией от LAN. VLAN-гранулярности меньше, зато настройка проще. Для сетей 20–40 устройств — рабочий компромисс.

3. План сегментации и адресации

Пример плана (подстроите под свою сеть):

• Core (офис): VLAN 10, 192.168.10.0/24, шлюз 192.168.10.1
• Guest (гости): VLAN 20, 192.168.20.0/24, шлюз 192.168.20.1
• IoT (умные устройства): VLAN 30, 192.168.30.0/24, шлюз 192.168.30.1
• Mgmt (админ/контроллеры): VLAN 99, 192.168.99.0/24

Имена SSID:

• Office_5G/6G — корпоративный
• Guest_5G — гостевой, изолированный
• IoT_24 — IoT-сеть (чаще 2,4 ГГц для совместимости)

4. Быстрый чек-лист политики безопасности IoT-сегмента

• Доступ IoT к корпоративной LAN — запрещён.
• Доступ IoT в Интернет — разрешён, но только через NAT шлюза.
• Разрешены сервисы: DNS (53/udp,tcp) к адресам шлюза/корп-DNS, NTP (123/udp), HTTPS (443/tcp).
• IGMP snooping включён на коммутаторе и точках, чтобы мультикаст не «топил» эфир.
• mDNS/AirPlay/AirPrint — по необходимости через Bonjour-шлюз или прокси, строго ограниченный.
• Rate Limit/Client Limit включён для IoT-SSID, чтобы плееры/камеры не забивали канал.

5. Omada SDN: пошаговая настройка изоляции IoT

5.1. Создаём VLAN и DHCP на шлюзе ER605/ER7206

1. Controller → Settings → Wired Networks → LAN → Add.
   
2. VLAN ID = 30, Name = IoT, Subnet 192.168.30.1/24, DHCP Server = On (Pool 192.168.30.100–199).
   
3. VLAN 10, 20, 99 — аналогично (если их ещё нет).
   

5.2. Профили портов коммутатора

1. Switch → Profiles → Port Profiles:
   Trunk: Tagged 10/20/30/99 (магистраль к точкам EAP и к шлюзу).
   Access_IoT: Untagged VLAN 30 (для проводных камер/панелей).
   
2. Примените профили к портам:
   Порт к EAP → Trunk.
   Порт к ER605 → Trunk.
   Порты к IoT-устройствам → Access_IoT.
   

5.3. Создаём IoT-SSID и вешаем VLAN

1. Wireless Networks → Create:
   SSID: IoT_24, Security: WPA2/WPA3-Personal, Band: 2.4 GHz.
   VLAN ID: 30.
   Client Isolation: On (запрещает IoT-клиентам «видеть» друг друга — особенно важно для камер).
   Rate Limit: 10–20 Мбит/с на клиента (при необходимости).
   Schedule: круглосуточно либо рабочие часы.
   

5.4. ACL — правила межсегментного доступа

Controller → Settings → Security → ACL → Add.

• Правило 1 (deny): Src = VLAN 30 (IoT), Dst = VLAN 10 (Office), Any → Deny.
• Правило 2 (allow): Src = VLAN 30, Dst = Internet (WAN), Any → Allow.
• Правило 3 (allow DNS): Src = VLAN 30, Dst = 192.168.30.1 (или 10.х DNS), Port 53 tcp/udp → Allow.
• Правило 4 (allow NTP): Src = VLAN 30, Dst = 192.168.30.1 или pool.ntp.org, Port 123/udp → Allow.
• Правило 5 (опционально для облаков вендора): Src = VLAN 30 → Domains/IPs вендора → Allow.

Порядок важен: сначала deny на LAN, затем точечные allow, затем общий allow на WAN.

5.5. Bonjour/mDNS и AirPlay/печать (по необходимости)

Если телевизорам/панелям нужно видеть медиасервер в основной сети, а принтерам — AirPrint:

• Включите Bonjour-шлюз/мост (если доступно в версии контроллера): разрешите только нужные сервисы (AirPrint, AirPlay), и только между IoT (VLAN 30) и Office (VLAN 10).
• Альтернатива: mDNS-ретранслятор на отдельном хосте в VLAN 99; в ACL откройте только mDNS-порт 5353/udp строго между конкретными адресами.

5.6. IGMP Snooping и мультикаст

Switch → Settings → IGMP Snooping: On для VLAN 30 и 10. На EAP включите блокировку неизбирательного мультикаста (если опция есть). Это спасает эфир от IPTV/медиапотоков.

5.7. Мониторинг и уведомления

• Controller → Alerts: включите почтовые/Push-оповещения о новых клиентах в IoT-SSID.
• Insight → Clients: следите за топ-говорящими устройствами.
• Syslog: шлюз и коммутатор шлют логи на ваш SIEM/Graylog.

6. Archer + EAP (без полного SDN)

1. На Archer включите Guest Network: запрет доступа к локальной сети, при возможности — лимит скорости.
   
2. На точке EAP (в веб-GUI) создайте SSID IoT_24 с включённой изоляцией клиентов.
   
3. Если нужен VLAN — задайте на EAP VLAN ID 30 для SSID и сконфигурируйте управляемый коммутатор (Trunk к EAP, Access к проводным IoT).
   
4. Межвлан-правила придётся делать на роутере, который умеет L3 ACL. Если Archer этого не даёт — используйте ER605 как шлюз.
   

7. Deco (малый офис)

1. Создайте дополнительный SSID IoT_24: включите Изоляцию от локальной сети (Guest/IoT isolation).
   
2. Перенесите все лампы/колонки/экраны в этот SSID.
   
3. Включите HomeShield: блок вредоносных доменов и авто-карантин подозрительных IoT.
   
4. Ограничьте скорость IoT-сети (если поддерживается), чтобы стриминговый ТВ не забивал канал.
   

Ограничение: детальные ACL и маппинг VLAN у Deco проще, чем у Omada; для сложной схемы лучше SDN.

8. Онбординг IoT в офисе: как сделать без хаоса

• Введите процесс: сотрудник подаёт заявку, админ добавляет устройство в Whitelist (MAC), резервирует IP (Static DHCP).
• На время подключения поднимайте временный SSID IoT_Onboard (открыт только в рабочие часы), с доступом к Интернету и к адресам контроллера/облака вендора. После онбординга устройство автомигрирует в IoT_24 (по MAC-политике или вручную).

Документация: памятка с QR-кодом на IoT_24, регламент смены паролей, порядок отклонения подозрительных устройств.

9. Минимальный набор «жёстких» правил безопасности

• Отключить UPnP на шлюзе.
• Запретить Remote Management с WAN.
• Закрыть DMZ.
• Пароли разных уровней: админ контроллера/шлюза, Wi-Fi, IoT-облака — все разные и длинные; включить 2FA на TP-Link ID.
• Автообновление прошивок EAP/шлюза/коммутатора ночью; для IoT — ежеквартальный «патч-день».
• Вести инвентаризацию: что за устройство, серийник, MAC, ответственный.

10. Тест-план после внедрения

1. Подключите IoT-клиент к SSID IoT_24. Он должен получить IP из VLAN 30 и выйти в Интернет.
   
2. С ноутбука в Office-VLAN попробуйте пинговать IoT-клиент: по умолчанию — нельзя (если клиентская изоляция On).
   
3. С IoT-клиента попытайтесь пинговать ПК/принтер в VLAN 10 — должно быть запрещено (ACL работает).
   
4. DNS/NTP проходят? Стримы камер идут к облаку/в NVR? Если нужно локально — добавьте точечные allow-правила.
   
5. Мультикаст/каст: если требуются AirPlay/AirPrint — проверьте Bonjour-шлюз.
   
6. Нагрузочный тест: включите обзор камер/воспроизведение; CPU шлюза/точек не должен «упираться» в 100%.
   

11. Частые ошибки и быстрый фикс

12. Эксплуатация: что делать дальше

• Раз в неделю — обзор инцидентов (логи ACL, блокировки HomeShield).
• Раз в месяц — ревизия белых списков и неиспользуемых устройств.
• Раз в квартал — обновление прошивок IoT и точки восстановления конфигураций Omada/шлюза/свитчей.
• При масштабировании — добавляйте EAP в коридорах и переговорных, сохраняя ту же политику SSID→VLAN и ACL-шаблоны.

Краткая памятка настройки (сводка шагов)

1. Спланируйте VLAN и адресацию (10 — офис, 20 — гости, 30 — IoT, 99 — mgmt).
   
2. На шлюзе создайте интерфейсы VLAN и DHCP.
   
3. На свичах назначьте Trunk к EAP/шлюзу, Access к проводным IoT.
   
4. На EAP поднимите SSID IoT_24 (2,4 ГГц) с VLAN 30 и Client Isolation.
   
5. Включите IGMP Snooping.
   
6. Настройте ACL: deny IoT→Office; allow DNS/NTP/HTTPS; при необходимости — Bonjour-мост строго по сервисам.
   
7. Настройте онбординг (временный SSID, whitelist, резервирование IP).
   
8. Отключите UPnP/DMZ/Remote Admin; включите 2FA и автообновления.
   
9. Проверка по тест-плану и фиксация конфигурации (бэкап).
   

Если всё выполнено, IoT-контур отделён, риски снижаются, а офисная сеть остаётся быстрой и предсказуемой.