Suggesties gescheiden LAN voor IOT devices

[marcel2104]

Ik verwacht dat er meerdere mensen zijn die een dergelijke setup hebben, of willen maken, dus vandaar eens een vraag voor wat ervaringen.

- Ik wil een gescheiden netwerk hebben voor de IOT (achtige) devices. Hierbij denk ik aan:

• Smart TV
• Amazon echo dot
• ESP/Tasmota MQTT devices
• Xiaomi Roborock stofzuiger
• ...

Eigenlijk alles wat geen PC, mobiele telefoon, tablet of printer is.

Qua netwerk infrastructuur heb ik:

• Draytek Vigor 2925 die meerdere VLANS via een trunk aan de switches geeft
• Overal managed switches voorzien van trunk met VLAN voor 'Guest' 'main network' 'IOT'
• WIFI acces points met tagged VLAN ondersteuning (Ubiquity)
• Dedicated Linux embedded PC met Openhab en voorzien van dual network interface (Main LAN/IOT LAN)
  
  Het vervelende bij een dergelijke setup is dat ik veel IOT devices vanaf het lokale netwerk wil kunnen benaderen vanaf telefoons. ( Xiaomi app, OpenHAB, Chromecast naar TV, TV naar uPNP)

Ik ben benieuwd of er tweakers zijn met een dergelijke setup en dan met name hoe jullie omgaan met firewall en routing rules. Bijvoorbeeld alles blokkereren tussen beide netwerken en alleen een paar poorten dooorlaten (heb gezien dat dit soms weer problemen geeft om dat sommige IOT devices soms broadcast of multicast verwachten, of perse ietrs willen zien binnen hetzelfde netwerk (liep hier tegenaan met Alexa)

Wat ervaringen suggesties zijn welkom

[Arthion-nl]

Hier vind je een uitleg van crosstalksolutions hoe dit te doen samen met een edgerouter.
In het kort doet kan het hele IoT netwerk niet met elkaar praten en kunnen devices vanuit de IoT netwerk maar beperkt praten met de "secure" netwerk.
In de secure netwerk kan bijv alleen gepraat worden met pihole op basis van speciefieke ip adres en poort nummer.

Ik heb geen idee wat de draytek van jou kan maar verwacht wel meer beperkingen op dit gebied dan de edgerouter.

[marcel2104]

Hele goede link. Het is een vergelijkbare setup als ik heb. Erg nuttig om te zien hoe iemand anders bepaalde zaken oplost qua firewalling. De Draytek die ik heb is vrij uitgebreid en voor zover ik weet heb ik hier geen beperkingen. We gaan binnenkort eens even stoeien met de configuraties.

[ChaserBoZ_]

Ik heb een accespoint met aparte SSID's die worden uitgekoppeld op een vlan trunk hiervoor. De router/firewall heeft access rules op de vlans staan, waardoor IOT apparaten alleen met het internet kunnen babbelen, nooit richting tablets of NAS etc.