Guide: Gør dit hjemmenetværk sikkert

Af Torben Okholm, Alt om Data

Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.

Du er måske interesseret i at opdele mellem hjem og arbejde, eller også har du hørt, at man kan forbedre den generelle netværksydelse ved at adskille de enheder, der ofte får sagerne til at gå i stå.

Den potentielle løsning på alle disse problemer er at oprette et VLAN (et virtuelt LAN). Med VLAN-kompatibel hardware kan du dele et enkelt fysisk netværk op i to eller flere separate enheder. De deler din internetforbindelse, men intet andet. Mange mellem-eller topklasseroutere har VLAN-funktioner, mens managed (også kaldet “smarte”) switche tilbyder forskellige grader af VLAN-support.

Hvis din router ikke ser ud til at understøtte VLAN’er, kan du besøge www.dd-wrt.com for at se, om den understøtter DD-WRT-firmware, der er open source. Hvis den gør det, kan du udskifte din standardfirmware med den. Det er ikke en opgave, vi vil anbefale til mindre erfarne brugere (man risikerer at gøre sin router ubrugelig), men det kan give VLAN-funktioner, der svarer til dem, vi nævner i denne artikel.

1 Port-baserede VLAN’er

Routere, der understøtter VLAN’er, gør det muligt at segmentere et hjemmenet ved at tildele separate VLAN’er til individuelle ethernet-porte. Alt, hvad der bliver sluttet til den port (herunder enhver switch, du måtte tilslutte), bliver medlem af dette VLAN. Nogle routere – også den TP-Link Archer VR900, som vi bruger her [Billede A] – kan også tildele trådløse net til specifikke VLAN’er.

Billede A

2 Konfigurer din router

Når du har læst i routerens manual, hvordan du arrangerer portbaserede VLAN’er, logger du på dens konfigurations-funktion via din webbrowser. Brugere af Archer VR900 bør gå til “Advanced > Network > LAN Settings > Interface Grouping” [Billede B]. Klik “Add,” giv din gruppe et navn, og vælg, hvilke porte og trådløse net der skal blive en del af det nye VLAN. Sørg for, at “Enable Group Isolation” er tilvalgt, og klik “OK” – det sikrer, at VR900 blokerer eventuel trafik på tværs af net.

Billede B

>> Hvert nyt VLAN bliver knyttet til et særligt undernet (også kaldet subnet). Hvis du vil se, hvordan disse indstillinger nu ser ud, skal du gå tilbage til “LAN Settings.” Alle enheder, der er knyttet til dette VLAN, og som ikke bruger DHCP til deres netværksindstillinger, skal konfigureres manuelt for at få adgang til det nye undernet.

3 Udvidede VLAN-funktioner

Managed switche såsom TP-Links TL-SG108E har også understøttelse til VLAN’er, og man kan arrangere VLAN’er til forskellige placeringer i hjemmet med smarte switche som det centrale punkt. Det er især nyttigt i et netstrømsbaseret net, hvor man ikke kan koble switchen direkte til routeren.
>> Log ind på din SG108E’s Easy Smart Configuration-funktion.

Gå til fanen “VLAN” tab, hvor du kan se adskillige valgmuligheder. “MTU VLAN” er en grydeklar funktion, der gør det muligt hurtigt at isolere alle portene fra hinanden, samtidig med at enhederne forbliver synlige og tilgængelige for enhver computer, der ikke er forbundet via switchen. Langt den bedste funktion er “802.1Q VLAN”, der tagger netværkstrafik i hvert VLAN-id, så den kan blive korrekt filtreret .

4 Samling af enheder i grupper

Vælg “802.1Q VLAN” sæt dets status til “Enable”, og klik “Apply”. Nu kan du se “VLAN (1-4094)”-feltet, der opfordrer dig til at oprette et nummereret VLAN (du kan bruge tallene 2-4094).

> Feltet “VLAN Name” er valgfrit. Vi antager, at din switch er forbundet med resten af netværket via port 1. Klik “1” under “Tagged Ports.” Porten kan være et medlem af flere VLAN’er og giver mulighed for at levere internetadgang til alle de VLAN’er, du opretter. Klik dernæst “Next”, vælg de porte, du ønsker at isolere fra resten af dit netværk ved ét efter ét at klikke på deres numre under “Untagged Ports”. Klik “Apply”. Vælg nu “802.1Q PVID Setting” i menuen til venstre. Skriv det VLAN-id, du har oprettet, i “PVID”-feltet, og klik dernæst ved alle de porte, du vil isolere. Klik “Apply” [Billede C].

Billede C

>> Virkningen bør kunne ses med det samme. Hvis du prøver at pinge en af enhederne på denne switch fra din pc via en kommandoprompt, får du enten ingen respons eller meddelelsen “destination unreachable” [Billede D]. Til lykke – nu har du isoleret disse enheder fra resten af dit netværk. De vil stadig have internetadgang, så du for eksempel kan få fjernforbindelse til smarthome-udstyr. Du kan tilføje flere VLAN’er, hvis du vil opdele enhederne yderligere.

Billede D

5 Udvid VLAN

Hvis du har to eller flere managed switche, kan du udvide dine VLAN’er fra en switch til den næste. Det giver dig mulighed for at gruppere enheder sammen i det samme VLAN, også selvom de er på forskellige switche. I dette scenario behøver kun én af dine switche være forbundet til din router – den anden er forbundet på daisychain-facon til den første switch. Diagrammet [Billede E] viser, hvordan dette fungerer i praksis – det har vi med held afprøvet ved hjælp af TP-Link SG108E og TP-Link SG2008-switche.

Billede E

>> Først skal du sikre dig, at switchene er forbundet som vist. Åbn så Easy Smart Configuration Utility på din SG108E, og begiv dig til sektionen “802.1Q VLAN”. Følg anvisningen i trin fire, og opret dine to VLAN’er som vist i diagrammet – husk, at port 1 er tilvalgt, og alle andre porte er fravalgt. Glem ikke at indstille dine PVID’er. Klik “Save”, når du er færdig.

6 Arranger den anden switch

Log nu på din anden switch. Når det gælder SG2008, sker det gennem din browsers ip-adresse. Her går du til “VLAN”. Skriv “101” i “VLAN ID”-boksen, og klik “Create”. Gentag processen, og opret VLAN 102.

>> Nu klikker du ud for boksen ved siden af “101” i VLAN-tabellen. Sæt port 1 til fravalgt og port 2 til tilvalgt, begge med et PVID på 1. Sæt portene 3–5 som fravalgte med et PVID på 101 [Billede F]. Klik “Apply”, og vælg “102” i VLAN-tabellen. Indstil portene 1 og 2 som tidligere og portene 6-8 som fravalgte med en PVID på 102. Klik igen “Apply”.

Billede F

Nu bør du erfare, at enhederne kun kan se andre enheder i det samme VLAN ved hjælp af pingtesten. Internetadgang bør være tilgængelig på begge VLAN’er. Enhver enhed, der er forbundet til en af switchene, og som ikke er placeret i et af VLAN’erne, forbliver synlige for VLAN-grupper og resten af dit netværk. Og det var det.