Miért fontos a hálózati biztonság?
Az okosotthon eszközök (lámpák, kapcsolók, szenzorok, kamerák) a legtöbb esetben a helyi hálózatra csatlakoznak. Egy rosszul konfigurált IoT eszköz nem csak önmagában sebezheto: belépési pontot adhat a teljes hálózatodhoz.
A legtöbb IoT eszköz gyári firmware-e ritkán kap frissítést, sok közülük gyenge alapértelmezett jelszóval érkezik, és a legtöbb nem támogatja a modern biztonsági protokollokat. Ez nem jelenti azt, hogy nem használhatók biztonságosan, de jelenti azt, hogy néhány alapbeállítás nem opcionális, hanem szükséges.
A jó hír: a leghatásosabb lépések nem drágák és nem bonyolultak. Az alábbi checklist a legtöbb kockázatot kezeli.
10 pontos biztonsági checklist
Ezeket a lépéseket érdemes sorban végigmenni. Mindegyik önmagában is csökkenti a kockázatot, együtt pedig egy jóval ellenállóbb rendszert adnak.
IoT VLAN / külön SSID
A hálózati szegmentálás a leghatásosabb egyetlen lépés, amit megtehetsz. A lényeg: az IoT eszközök egy külön hálózati szegmensbe kerülnek, ahol nem férnek hozzá a személyes eszközeidhez (laptop, telefon, NAS).
Egyszerubb megoldás: külön SSID
A legtöbb modern router lehetové teszi vendég hálózat (Guest Network) létrehozását. Ez a legegyszerubb mód az IoT eszközök elkülönítésére:
- Hozz létre egy külön Wi-Fi hálózatot (pl.
Otthon-IoT) - Engedélyezd a Client Isolation opciót, ha van
- Az IoT eszközöket erre a hálózatra csatlakoztasd
- A Home Assistant maradjon a fo hálózaton, vagy legyen mindkét szegmensben elérheto
Haladó megoldás: VLAN
Ha managed switch-ed és VLAN-képes routered van (pl. UniFi, MikroTik, OpenWrt), VLAN-okkal finomabb szabályozás érheto el:
- VLAN 1 (alapértelmezett): személyes eszközök
- VLAN 10: IoT eszközök (Zigbee bridge, Wi-Fi lámpák, szenzorok)
- VLAN 20: kamerák (opcionálisan teljesen internetmentes)
- Tuzfalszabályok: IoT VLAN nem kezdeményezhet kapcsolatot a fo VLAN felé, de a Home Assistant eléri az IoT VLAN-t
Távoli elérés: VPN vs reverse proxy
Amikor otthonról távol szeretnéd elérni a Home Assistantodat, két fo megközelítés létezik. Mindketto muködik, de más-más biztonsági profiljuk van.
| Szempont | VPN (WireGuard / Tailscale) | Reverse Proxy (Nginx / Cloudflare Tunnel) |
|---|---|---|
| Biztonság | Nagyon magas | Magas (ha jól konfigurált) |
| Beállítás bonyolultsága | Közepes | Közepes-magas |
| Nyitott port szükséges? | 1 port (WireGuard) vagy 0 (Tailscale) | 0 (Cloudflare Tunnel) vagy 443 (Nginx) |
| Teljes hálózat elérheto? | Igen | Csak a konfigurált szolgáltatások |
| Külso függoség | Minimális (Tailscale: felho koordináció) | Cloudflare / domain szükséges |
| Sebesség | WireGuard: gyors | Gyors |
Ajánlás kezdoknek: a Tailscale a legegyszerubb belépési pont. Telepítés után azonnal muködik, nem kell portot nyitni, és ingyenes személyes használatra. Haladóknak a WireGuard ad teljes kontrollt.
DNS és reklámblokkolás
A DNS szintu szurés egy egyszeruen beállítható, mégis hatékony biztonsági réteg. Két népszeru megoldás:
Pi-hole
- Önállóan futtatható Raspberry Pi-n vagy Docker konténerben
- A hálózat összes eszközére alkalmazható (router DNS beállítás)
- Reklámok, trackerek, kártékony domainek blokkolása
- Részletes statisztika arról, melyik eszköz hová csatlakozik
AdGuard Home
- Hasonló a Pi-hole-hoz, modernebb felülettel
- Beépített HTTPS-támogatás és DNS-over-HTTPS
- Home Assistant add-on-ként is telepítheto
- Egyszerubb beállítás, mint a Pi-hole
Mindkét megoldásnál érdemes az IoT eszközökre külön szurolista alkalmazni, ami blokkolja a telemetriát és a felesleges felho kapcsolatokat.