Cara Menetapkan Guest WiFi untuk Mengasingkan Peranti Smart Home

Smart Plug atau IP Camera di rumah tidak sepatutnya mempunyai akses bebas kepada Laptop, NAS atau Printer anda. Meletakkan IoT Device yang kurang dipercayai pada Guest / IoT Network yang berasingan boleh mengehadkan apa yang boleh dicapai jika peranti tersebut berjaya diceroboh.

Kenapa Smart Home Patut Guna Network Berasingan?

Banyak rumah menggunakan satu network untuk semua benda:

Phone → Laptop → NAS → Printer → Smart TV → IP Camera → Smart Plug

Semua peranti berada dalam LAN yang sama.

Jika salah satu IoT Device mempunyai vulnerability, menggunakan password yang lemah atau berjaya dikawal oleh attacker, aksesnya kepada peranti lain dalam network yang sama boleh meningkatkan risiko serangan secara lateral.

Network Segmentation digunakan untuk memisahkan kumpulan peranti dan mengehadkan pergerakan attacker dari satu peranti ke peranti lain. CISA menyenaraikan network segmentation sebagai salah satu langkah untuk mengurangkan risiko IoT. (CISA)

FTC juga mengesyorkan supaya IP Camera diletakkan pada network yang berasingan daripada komputer dan Printer. (FTC)

Sebab itu Guest / IoT Network bukan hanya untuk tetamu.

Guest WiFi Boleh Digunakan untuk Smart Plug dan Camera

Kebanyakan Home Router mempunyai fungsi Guest Network.

Ia biasanya menghasilkan SSID yang berasingan dan, bergantung kepada Router, memisahkan Guest Client daripada Main LAN.

Contohnya:

Nama “Guest” bukan perkara paling penting.

Perkara yang perlu diperiksa ialah sama ada Router mempunyai setting seperti:

1. Allow Guest to Access My Local Network
2. Local Network Access
3. Guest Network Isolation
4. Client Isolation
5. AP Isolation
6. IoT Network

Sebagai contoh, Guest Network pada TP-Link mempunyai setting untuk menentukan sama ada Guest Client boleh mengakses Local Network. Jika Local Network Access dimatikan, Guest Client tidak boleh mengakses peranti pada Main Network. (TP-Link)

Guest Network dan AP Isolation Bukan Perkara yang Sama

Dua setting ini sering disalah anggap sebagai benda yang sama.

Guest Network: memisahkan Guest / IoT Client daripada Main LAN.

AP / Client Isolation: menghalang Client yang berada pada WiFi Network yang sama daripada berkomunikasi antara satu sama lain.

TP-Link juga membezakan kedua-dua fungsi ini. AP Isolation menghalang peranti pada WiFi yang sama daripada berkomunikasi, manakala Guest Network boleh memisahkan Guest Network daripada Main Network. (TP-Link)

Jadi, jangan anggap menghidupkan AP Isolation sahaja sudah cukup untuk mengasingkan IoT.

Untuk Smart Home, soalan paling penting ialah:

Bolehkah IoT Device mengakses Main LAN?

Struktur Network Rumah yang Mudah

Struktur asas boleh kelihatan seperti ini:

Matlamatnya mudah:

Laptop boleh akses NAS.

Smart Plug tidak perlu akses NAS.

IP Camera tidak perlu akses Laptop.

Guest / IoT Network biasanya hanya memerlukan Internet dan Local Service yang memang dibenarkan.

Ini memberikan security boundary yang lebih jelas berbanding meletakkan semua device dalam satu WiFi Network.

Apa Berlaku Jika IP Camera Berjaya Diceroboh?

Network Isolation tidak menjadikan Camera itu sendiri selamat.

Jika Camera mempunyai vulnerability, password lemah atau software yang tidak lagi dikemas kini, ia masih boleh menjadi sasaran serangan.

Fungsi Isolation ialah mengehadkan blast radius jika peranti tersebut sudah compromised.

Tanpa isolation:

Compromised Camera → Main LAN → Peranti lain

Dengan Guest / IoT Isolation:

Compromised Camera → Guest / IoT Network → Main LAN disekat

CISA menerangkan bahawa kekurangan network segmentation boleh memudahkan lateral movement antara peranti dan network. (CISA)

Jadi matlamatnya bukan untuk mengatakan IoT Device tidak boleh di-hack.

Matlamatnya ialah:

Jika satu device bermasalah, kurangkan peluang masalah itu merebak ke PC, NAS dan peranti lain.

Peranti Mana Patut Masuk Guest / IoT Network?

Utamakan device yang:

1. tidak perlu akses PC
2. tidak perlu akses NAS
3. tidak perlu akses Printer
4. hanya memerlukan Internet
5. datang daripada vendor yang kurang dikenali
6. mempunyai sokongan Firmware yang lemah
7. sukar dipantau

Contohnya:

Smart Plug, Smart Bulb, IP Camera murah, WiFi Switch, Smart Appliance lama dan sesetengah Smart Speaker.

IP Camera patut diberi perhatian khusus. FTC mengesyorkan Home Security Camera diasingkan daripada komputer dan Printer serta menggunakan password yang kuat dan software yang dikemas kini. (FTC)

Tetapi Jangan Masukkan Semua Smart Home Device ke Guest Network

Di sinilah ramai pengguna akan menghadapi masalah.

Sesetengah Smart Home Device perlu berkomunikasi dengan Main LAN, contohnya:

1. Phone mengawal Smart Device secara local
2. Home Assistant berkomunikasi dengan Sensor
3. NVR membaca IP Camera
4. NAS menyimpan rakaman Camera
5. Smart Speaker mencari peranti melalui Local Network

Jika Guest Network menyekat akses kepada Main LAN, fungsi tersebut mungkin tidak lagi berfungsi.

Itu bukan semestinya masalah Router.

Itulah kesan daripada Isolation yang anda tetapkan.

Sebelum pindahkan device, tentukan sama ada ia memerlukan:

Internet Only

atau

Internet + akses kepada Local Network tertentu

Jika hanya Internet diperlukan, Guest Network mudah digunakan.

Jika anda memerlukan kawalan seperti:

Camera → NVR: Allow

Camera → Laptop: Block

IoT → Home Assistant: Allow

IoT → NAS: Block

maka VLAN + Firewall Rules lebih sesuai daripada Guest Network biasa.

Guest Network vs IoT VLAN

Guest Network lebih mudah untuk pengguna rumah.

IoT VLAN memberikan kawalan yang lebih terperinci.

CISA turut menerangkan penggunaan VLAN serta Firewall / ACL untuk mendapatkan network segmentation yang lebih terperinci. (CISA)

Kalau rumah hanya mempunyai beberapa Smart Plug, tidak perlu terus menggunakan VLAN.

Tetapi jika anda mempunyai:

Banyak IP Camera + NVR + NAS + Home Assistant + banyak IoT Device

VLAN menjadi lebih berguna.

Semak Router Sebelum Buat Guest Network

Jangan anggap Guest WiFi secara automatik bermaksud device sudah diasingkan.

Semak setting seperti:

1. Guest Network / IoT Network
2. Local Network Access
3. Client Isolation
4. AP Isolation
5. Internet-only mode
6. Separate Subnet / DHCP Scope

Contohnya, TP-Link menyediakan setting khusus untuk mengawal akses Guest Network kepada Local Network. (TP-Link)

Sesetengah Router yang lebih baru juga menyediakan IoT Network khusus untuk Smart Plug, Camera dan peranti lain. (TP-Link IoT Network)

Jangan hanya lihat nama fungsi.

Periksa apa yang berlaku pada network sebenarnya.

Network Isolation Bukan Pengganti Security Asas

Guest / IoT Network hanya mengehadkan akses antara network. Ia tidak membaiki vulnerability pada device.

Untuk Smart Plug, Camera dan IoT Device lain:

1. tukar Default Password
2. pasang Firmware Update
3. gunakan password yang unik
4. aktifkan MFA jika tersedia
5. matikan Remote Management yang tidak diperlukan
6. gantikan device yang sudah tidak menerima security update

FTC mengesyorkan menukar default credentials, memastikan device sentiasa dikemas kini dan mematikan fungsi yang tidak diperlukan. (FTC)

Untuk IP Camera, FTC juga menyarankan password yang kuat, software terkini dan pemantauan aktiviti akses yang mencurigakan. (FTC)

Setup Praktikal untuk Rumah

Kebanyakan rumah tidak memerlukan Enterprise Firewall untuk bermula.

Struktur yang lebih praktikal:

Jika Router anda hanya mempunyai Guest Network biasa, gunakan fungsi tersebut dahulu.

Jika anda sudah memerlukan rules seperti:

Camera → NVR: Allow

Camera → Laptop: Block

IoT → Home Assistant: Allow

IoT → NAS: Block

barulah masuk akal untuk menggunakan Router / Firewall yang menyokong VLAN dan Firewall Rules.

NetBijak’s Take

Guest WiFi bukan sekadar untuk tetamu. Untuk kebanyakan rumah, ia boleh menjadi network boundary antara IoT Device yang kurang dipercayai dengan Main LAN yang menyimpan data peribadi.

Letakkan Smart Plug, IP Camera murah dan IoT Device yang kurang dipercayai pada Guest / IoT Network, kemudian pastikan akses ke Main LAN disekat. Jika Smart Home anda memerlukan komunikasi khusus antara Camera, NVR, Home Assistant dan NAS, gunakan VLAN + Firewall Rules supaya akses boleh dikawal mengikut device, bukan sekadar membuka seluruh LAN.

🎯Cari Pelan Saya →