Misafir ağı ve IoT bölütleme

Bir misafir kablosuz ağı düşünüldüğünde akla önce parolanın ayrı olması gelir. Bu yeterli değildir. Parola ayrı olsa da iki ağ aynı anahtar üstünde, yani aynı VLAN'da çalışıyorsa misafirin cihazı iç sunuculara paket gönderebilir. Gerçek ayrım VLAN etiketiyle kurulur; her VLAN kendi yayın alanına sahiptir ve aralarında geçiş güvenlik duvarından geçer. Misafir VLAN'ı yalnız internete çıkabilir, iç dosya sunucusuna, yazıcıya ya da yönetim paneline erişemez. Ayrıca istemci yalıtımı açılır; bu ayar aynı misafir ağındaki iki cihazın birbirini görmesini de keser, çünkü bir misafirin dizüstü bilgisayarı diğerinin cihazına da saldırabilir. Kurulumu bitirdikten sonra kendi misafir telefonundan iç ağdaki bir cihaza erişmeyi deneyip ayrımı elle doğrulamak iyi bir alışkanlıktır.

IoT cihazı farklı bir risk taşır. Kamera, akıllı priz ya da yazıcı çoğu zaman varsayılan parolayla veya eski, yamasız üretici yazılımıyla çalışır. Cihazın kendisini sıkılaştırmak her zaman mümkün olmaz, çünkü üretici güncelleme çıkarmayı bırakmış olabilir. Bu yüzden savunma cihazın kendisine değil, cihazın çevresine kurulur. IoT cihazları kendi VLAN'ına konur ve bu VLAN yalnız gerektiği kadar dışarı çıkar; kameranın buluta görüntü göndermesi gerekiyorsa yalnız o bulut adresine izin verilir, dosya sunucusuna giden yol baştan kapatılır. Bu yaklaşıma en az ayrıcalık ilkesi denir ve cihazın kendisi zayıf kalsa bile çevresini daraltarak zararı sınırlar.

Şema trafiğin sırayla geçtiği sınırları gösterir. Dış duvar yalnız gerekli portu içeri alır. DMZ, dışarıya açık ama iç ağdan izole servisleri barındırır. Misafir ve IoT VLAN'ları mantık olarak buraya yakın durur: internete çıkabilirler ama iç duvarı aşıp iç ağa geçemezler. İç duvar yalnız izin listesindeki trafiği bırakır, bu yüzden ele geçen bir kamera iç sunucuya doğrudan paket gönderemez. Aynı sınır, misafir VLAN'ından gelen bir isteği de aynı katılıkla durdurur.