Ağ ve sunucu güvenliği için öneriler

Arkadaşlar merhaba; ağ güvenliği konusunda endişelerim var. Evimde bir homelab barındırıyorum, bunu özellikle kendi yapay zekamı eğitmek için kullanıyorum ama aynı zamanda evimde bir akıllı ev sistemi de var ve bunların bağlı olduğu ağı da OPNsense üzerinden dağıtıyorum. Ama şöyle bir konu var; sunuculara bağlı ve Pi-hole ve Unbound yazılımlarının yüklü olduğu mini PC'de aynı zamanda Docker üzerinde Home Assistant da yüklü ve bunlar doğal olarak aynı VLAN'dalar. Bu yüzden evde kullandığım ana ağ ve akıllı ev ürünleri aynı ağ üzerinde çalışıyorlar ve birbirlerine erişimleri bulunuyor. Ben bu yüzden güvenliği sağlayana kadar OPNsense üzerinden akıllı ev ürünlerimin WAN bağlantılarını engelledim. Bu durumu nasıl çözebilirim? Farklı bir Raspberry Pi veya mini PC almadan yapabilirsem bu durumu tercih ederim. Ayrıca kullandığım switch Layer 2 yönetilebilir ama kullandığım mini PC trunk destekliyor mu bilmiyorum. Aşağıya detaylı şekilde ağ ve sistem topografimi bırakıyorum. Ayrıca akıllı ev ürünlerinin internete çıkmalarına gerek yok, sadece Home Assistant çıksa yeter; zaten evde olmadığım senaryolar için Home Assistant ve diğer sunucularıma Tailscale aracılığıyla erişebiliyorum. Yardımlarınızı bekliyorum.

alon3wolf dedi:

Pi-hole ve Unbound gibi servislerin ise sadece Server/Management VLAN'ında kalmasını sağla.

OPNsense üzerinden tüm wan trafiği kapatmak yerine,
IoT -> Any: Blokla (İnternete çıkamasınlar).
IoT -> Home Assistant IP: İzin ver (Sadece HA ile konuşabilsinler).
Home Assistant -> WAN: İzin ver (HA güncellemeler ve dış bağlantılar için internete çıksın).
Ana Ağ -> IoT: İzin ver (Sen onlara erişebil).

Genişletmek için tıkla...

Küçültmek için tıkla...

Teşekkürler hocam yardımın için, bende en son hemen hemen benzer bir yapıda karar kıldım

edit: Benzer bir sıkıntı çekenler için kısaca kuracağım sistem şu:

1. VLAN10(server managment): wana çıkabilir, diğer vlanlar ile tek yönlü iletişim kurabilir, wifi üzerinden dağıtılmaz
2. VLAN20(misafir ağı): wana çıkabilir diğer vlanlar ile iletişim kuramaz
3. VLAN30(genel kullanım ağı): wana çıkabilir, diğer vlanlara erişemez, istisnai olarak laptop ve arayüz olarak kullandığım win11 pro yüklü gmktec mini pc erişim sağlayabilir
4. VLAN40(iot ağı): wana çıkamaz diğer vlanlara erişemez tek istisna home assistant wana çıkabilir

burada home assistant ve pi-hole yüklü olan minipcye bir port trunk atayacağım ve minipcnin genel işlevleri vlan10 üzerinden geçerken sadece home-assistant tarafı vlan40 üzerinden geçecek