بیشتر افراد یکبار شبکهٔ مهمان وایفای را راهاندازی میکنند، رمز عبور را به بازدیدکنندگان میدهند و سپس فراموش میکنند که کاربرد دیگری هم دارد. نام آن چنین القا میکند، اما شبکهٔ مهمان میتواند بسیار فراتر از این باشد؛ حتی شاید امنترین جای ممکن برای نیمی از دستگاههای متصل به وایفای شما باشد.
شبکهٔ مهمان، فضایی آماده برای جدا کردن هر لامپ هوشمند، دوربین و حسگر ارزانقیمتی است که شبکهٔ اصلی شما را شلوغ میکنند؛ فضایی که باید بسیار بیشتر از آن استفاده کنید.
چرا شبکهٔ اصلی شما بیش از آنچه فکر میکنید در معرض خطر است
پریز هوشمند و NAS شما با یکدیگر در ارتباطاند
هر دستگاه روی شبکهٔ اصلی وایفای شما میتواند سایر دستگاهها را ببیند و با آنها ارتباط برقرار کند. اشتراکگذاری فایل، شناسایی چاپگر و پخش محتوا به همین شکل کار میکنند. اما این یعنی یک گجت آلوده نیز میتواند به سکوی پرتابی برای حمله به بقیه تبدیل شود.
ترموستاتهای هوشمند، دوربینهای زنگ در و گجتهای ارزان IoT معمولاً از لپتاپ یا تلفن شما امنیت کمتری دارند و اغلب از firmware قدیمی استفاده میکنند که هرگز بهروزرسانی نمیشود. اگر یکی از این دستگاهها آلوده شود، شبکهٔ مهمان آن را در ناحیهای قرنطینه میکند و مانع دسترسیاش به دستگاههای حساس روی شبکهٔ اصلی میشود. بدافزاری که روی یک پریز هوشمند آلوده نصب شده است، نباید راهی به NAS، لپتاپ کاری یا عکسهای خانوادگی شما داشته باشد. اما در شبکهای بدون جداسازی، اغلب چنین راهی پیدا میکند.
شبکهٔ مهمان واقعاً چه چیزهایی را مسدود میکند
مهمانها اینترنت میگیرند، نه مجوز دسترسی به فایلهای شما
شبکهٔ مهمان وایفای روی SSID مخصوص خود کار میکند و میان دستگاههای متصل به آن و همهٔ دستگاههای شبکهٔ اصلی، دیواری منطقی میسازد. دستگاههای روی این SSID به اینترنت دسترسی دارند، اما نمیتوانند لپتاپها، چاپگرها، بلندگوهای هوشمند یا درایوهای اشتراکی شما را شناسایی، مرور یا با آنها ارتباط برقرار کنند.
و این دقیقاً هدف اصلی است. مهمانها اتصال دارند، اما زیرساخت شما نامرئی میماند. حتی تولیدکنندگان روتر نیز این نکته را مزیت اصلی میدانند و شبکهٔ مهمان را سدی میان ترافیک بازدیدکنندگان و دستگاههای حاوی دادههای واقعی توصیف میکنند. راهنماهای امنیتی دولتی هم این موضوع را تأیید میکنند: وایفای مهمان در خانه، دستگاههای هوشمند و سختافزارهایی را که احتمالاً بهروز نشدهاند، از شبکهٔ اصلی جدا میکند.
تبدیل شبکهٔ مهمان به زندان IoT
این راهبرد مهار، به بازدیدکننده نیاز ندارد
لازم نیست شبکهٔ مهمان فقط برای مهمانها باشد. میتوانید همهٔ لامپهای هوشمند، پریزها و دوربینها را به آن منتقل کنید و همان مزیت جداسازی را، بدون ایجاد دردسر برای بازدیدکنندگان، به دست آورید. اگر خانهتان پر از گجتهای ارزان IoT است، این یکی از ارزشمندترین کنترلهای امنیتی در اختیار شماست. منطق کار همان چیزی است که تیمهای IT سازمانی هنگام تقسیم شبکه به نواحی بر پایهٔ سطح اعتماد به کار میبرند: دوربینهای امنیتی، هابها و دستیارهای صوتی را از تلفنها و رایانههایی که دادههای حساس دارند جدا میکنند.
اگر روتر شما از جداسازی کلاینت یا جداسازی AP پشتیبانی میکند، آن را فعال کنید؛ زیرا این تنظیم باعث میشود دستگاههای روی شبکهٔ مهمان حتی به یکدیگر نیز دسترسی نداشته باشند. در نتیجه، یک دوربین آلوده نمیتواند دوربینهای مجاور را اسکن کند. به این ترتیب، دستگاهها میتوانند به سرورهای موردنیازشان متصل شوند، بیآنکه بدانند در شبکهٔ محلی چه میگذرد.
یک گام فراتر با VLANها
رد کردن پیشفرض، سپس اجازهٔ دسترسی
اگر در تنظیمات روتر عمیقتر میشوید، شبکهٔ مهمان در واقع تمرینی برای جداسازی درست شبکه با VLANهاست. پیکربندی دقیقتر، خانه را به چند شبکهٔ مجازی تقسیم میکند: شبکهٔ مدیریت برای روتر و نقاط دسترسی، ناحیهٔ قابلاعتماد برای دستگاههای شخصی، ناحیهٔ IoT برای تجهیزات هوشمند خانه و ناحیهٔ مهمان برای بازدیدکنندگان؛ هرکدام نیز قوانین فایروال مخصوص خود را دارند.
رویکرد پیشفرض در یک پیکربندی خوب، رد کردن همهٔ ترافیک و سپس باز کردن فقط موارد ضروری است. بنابراین، دستگاه IoT که به اینترنت نیاز ندارد، اصولاً به آن دسترسی نخواهد داشت. این کار نسبت به فعال کردن گزینهٔ شبکهٔ مهمان زمان بیشتری میگیرد، اما منطق پایه یکسان است: فرض کنید چیزی سرانجام آلوده میشود و مطمئن شوید این آلودگی جایی برای گسترش ندارد.
مزایای پهنای باند و رمز عبوری که کسی به آن اشاره نمیکند
دو دردسر، ناخواسته حل میشوند
فراتر از امنیت، شبکهٔ مهمان دو دردسر کمتر شناختهشده را هم برطرف میکند. نخست، میتوانید گذرواژهٔ مهمان را هر زمان تغییر دهید، بدون آنکه دستگاههای اصلی شما دچار اختلال شوند؛ بنابراین دیگر لازم نیست رمزها را در چندین دستگاه هوشمندِ بدون صفحهنمایش یا رابط کاربری مناسب وارد کنید.
دوم، بیشتر روترها اجازه میدهند پهنای باند را محدود کنید یا قوانین کیفیت سرویس (QoS) را فقط برای SSID مهمان اعمال کنید. این ویژگی زمانی مفید است که پروژهای ارزانقیمت با ESP32 یا حسگری دارید که با درخواستهای پینگ پیوسته، شبکه را شلوغ میکند. اینها دلیل اصلی راهاندازی شبکهٔ مهمان نیستند، اما پس از فعالسازی، مزیتهای خوشایندی به شمار میآیند.
شبکههای مهمان ضروریاند
این ارتقا از قبل در منوی تنظیمات شما بوده است
احتمالاً زیرساخت یک شبکهٔ خانگی امنتر، همین حالا در منوی تنظیمات روتر شما وجود دارد، اما از آن استفاده نشده است. برای رسیدن به ارتقای امنیتی معنادار، به سوئیچ مدیریتشده، نمودار VLAN یا صرف یک آخر هفته برای نوشتن قوانین فایروال نیاز ندارید.
فقط باید دست از نگاه کردن به شبکهٔ مهمان بهعنوان قابلیتی صرفاً برای دیگران بردارید. این شبکه میتواند همان لایهٔ ایزولاسیونی باشد که خانهٔ هوشمند شما از ابتدا به آن نیاز داشته است.
منبع: این مطلب ترجمه و بومیسازی مقالهای از MakeUseOf به قلم Yadullah Abidi است. مشاهده مقاله اصلی