it-craft.net
Меню
Wi-Fi и сигнал

Настройка гостевой сети Wi-Fi с изоляцией клиентов от основной локальной сети

craft

Изоляция гостевого Wi-Fi от основной LAN строится на разделении широковещательных доменов через отдельный SSID, привязанный к изолированному VLAN или бриджу, с запретом межсегментной маршрутизации на уровне firewall. Типовая причина утечки трафика — гостевой интерфейс находится в том же br-lan (OpenWrt) или в той же подсети 192.168.1.0/24, что и доверенные устройства, а правила FORWARD разрешают трафик по умолчанию. Дополнительные риски создают включённый WPS, отсутствие AP Isolation и IGMP/LLMNR-прокси, транслирующие служебный мультикаст между сегментами. Ниже — пошаговая методика от быстрой диагностики до настройки конкретных прошивок и разбора нестандартных сценариев.

Экспресс-проверка перед настройкой

  • Проверить индикацию портов LAN/WAN на роутере: активность Link/Act, отсутствие мигания на порту, куда включён uplink провайдера.
  • Убедиться, что клиент гостевой сети получает адрес из отдельного пула: ipconfig /all в cmd — сравнить Default Gateway и Subnet Mask с основной сетью.
  • Проверить доступность шлюза и запрет на основную подсеть: ping 192.168.1.1 и ping 192.168.0.1 с гостевого клиента — оба должны либо таймаутить, либо возвращать Destination host unreachable.
  • Перезапустить сетевые службы на роутере через веб-интерфейс или reboot по SSH; на Windows-клиенте — net stop dnscache && net start dnscache и ipconfig /release && ipconfig /renew.
  • Сбросить ARP-кэш и таблицу маршрутов клиента: arp -d * и route print для проверки отсутствия статических маршрутов в основную LAN.

Пошаговые методы настройки изоляции

  1. Базовая проверка текущей топологии и подсетей.Определить адрес шлюза основной сети: ipconfig на проводном клиенте. Зафиксировать маску — типично 255.255.255.0 для 192.168.1.0/24 или 192.168.0.0/24. Гостевая сеть должна получить принципиально другой диапазон, например 192.168.10.0/24 с шлюзом 192.168.10.1. Если оба SSID выдают адреса из одного пула — изоляция не работает на уровне L2/L3.
  2. KeeneticOS (Keenetic, Zyxel Keenetic).Веб-интерфейс http://192.168.1.1 → Мои сети и Wi-Fi → Домашняя сеть. Создать отдельный сегмент: Гостевая сеть → Включить гостевую сеть. Указать SSID, тип защиты WPA2-PSK или WPA3-SAE, пароль не короче 12 символов. В разделе Параметры IP задать подсеть 192.168.10.1/24, пул DHCP 192.168.10.100–192.168.10.200. Активировать чекбокс Изолировать гостевую сеть от домашней / Isolate guest network from home. Дополнительно: Дополнительные настройки → Разрешить доступ к роутеру — снять; Разрешить доступ к локальным ресурсам — снять. Проверить IGMP Proxy — для гостевого сегмента отключить.
  3. TP-Link (веб-интерфейс и приложение Tether).Вход http://192.168.0.1 или http://tplinkwifi.net. Путь: Дополнительные настройки → Беспроводной режим → Гостевая сеть / Advanced → Wireless → Guest Network. Включить гостевую сеть для диапазона 2.4 ГГц и 5 ГГц отдельно. Установить Разрешить гостям доступ к локальной сети / Allow Guests to Access Local Network — выключено. Установить Изоляция клиентов / Client Isolation — включено. Для моделей с поддержкой VLAN (Archer AX серии): Advanced → VLAN → 802.1Q VLAN, назначить гостевому SSID VLAN ID 20, основной — 1. Проверить, что порт коммутатора с uplink помечен как Tagged для VLAN 20.
  4. OpenWrt (LuCI и консоль).Создать интерфейс: Network → Interfaces → Add new interface, имя guest, протокол Static address, адрес 192.168.10.1, маска 255.255.255.0. В Physical Settings привязать к br-guest или к eth0.20 (VLAN 20). Включить DHCP-сервер с диапазоном 192.168.10.100–192.168.10.200. В Network → Wireless создать SSID GUEST, в Interface Configuration → Network выбрать guest. Firewall: Network → Firewall → Zones, создать зону guest, Input REJECT, Output ACCEPT, Forward REJECT, Masquerading on, MSS clamping on. В Inter-Zone Forwarding разрешить guest → wan и запретить guest → lan. Через SSH применить: 
    uci add firewall rule
uci set firewall.@rule[-1].name='Block-Guest-to-LAN'
uci set firewall.@rule[-1].src='guest'
uci set firewall.@rule[-1].dest='lan'
uci set firewall.@rule[-1].proto='all'
uci set firewall.@rule[-1].target='REJECT'
uci commit firewall
/etc/init.d/firewall restart

    Отключить WPS: uci set wireless.@wifi-iface[1].wps_pushbutton='0'. Отключить LLMNR/mDNS-репитер между зонами: в /etc/config/umdns убрать интерфейс guest.

  5. Windows 10/11 — проверка и правка клиентских настроек.Открыть Win + R, ввести services.msc. Убедиться, что службы DHCP Client, DNS Client, Network Location Awareness в состоянии Выполняется и тип запуска Автоматически. Проверить профиль сети: Параметры → Сеть и Интернет → Wi-Fi → Управление известными сетями → GUEST → Тип профиля сети — должно быть Общедоступная / Public. В Панель управления → Центр управления сетями → Изменить дополнительные параметры общего доступа для профиля «Общедоступная» отключить Сетевое обнаружение и Общий доступ к файлам и принтерам. Сбросить кэш: ipconfig /flushdns, netsh winsock reset, netsh int ip reset. Проверить таблицу маршрутов: route print -4 — не должно быть маршрута в 192.168.1.0/24 через гостевой шлюз.
  6. Android / MIUI / HyperOS.Подключиться к гостевому SSID. Проверить: Настройки → Wi-Fi → GUEST → Изменить сеть → Дополнительные параметры → Настройки IP — DHCP, не Статический. В Настройки → Подключения → Wi-Fi → Дополнительно → MAC-адрес выбрать Случайный MAC / Randomized MAC для гостевого профиля. Отключить Wi-Fi Assistant / Помощник Wi-Fi и Переключаться на мобильные данные при слабом сигнале — иначе тест изоляции будет искажён. Проверить через Terminal или Termux: ping -c 3 192.168.1.1 — должен быть 100% packet loss.
  7. Изоляция клиентов внутри гостевой сети (L2).На точке доступа включить AP Isolation / Client Isolation / P2P Blocking. В OpenWrt: uci set wireless.@wifi-iface[1].isolate='1'. В Keenetic: Мои сети и Wi-Fi → Гостевая сеть → Изолировать клиентов друг от друга. В TP-Link: Wireless → Guest Network → Client Isolation. Это блокирует прямой обмен кадрами между гостями на одном BSSID.
  8. Проверка правил firewall и NAT.На роутере по SSH: iptables -L FORWARD -v -n --line-numbers. Убедиться, что цепочка zone_guest_forward содержит REJECT для zone_lan и ACCEPT для zone_wan. Проверить iptables -t nat -L POSTROUTING -v -n — masquerade должен применяться к 192.168.10.0/24. На Windows-клиенте проверить трассировку: tracert -d 8.8.8.8 — первый хоп 192.168.10.1, второй — WAN-шлюз провайдера, промежуточных адресов 192.168.1.x быть не должно.

Сводная таблица параметров и ошибок

Параметр / Ошибка Значение Назначение
Основная подсеть 192.168.1.0/24, маска 255.255.255.0 Доверенные устройства
Гостевая подсеть 192.168.10.0/24, маска 255.255.255.0 Изолированный сегмент
Шлюз гостевой сети 192.168.10.1 Интерфейс роутера в гостевой зоне
DHCP-пул гостей 192.168.10.100–192.168.10.200 Лимит аренды 60–120 мин
VLAN ID гостевой 20 (802.1Q) Тегирование на trunk-порту
VLAN ID основной 1 (native) Untagged на access-портах
Порты DHCP UDP 67 (сервер), UDP 68 (клиент) Раздача адресов
Порты DNS UDP/TCP 53 Резолвинг в гостевой зоне
WPA2/WPA3 WPA2-PSK (AES) / WPA3-SAE Шифрование гостевого SSID
Ошибка Destination host unreachable ICMP type 3 code 1 Корректная изоляция L3
Ошибка Request timed out ICMP timeout Firewall дропает пакеты (REJECT/DROP)
169.254.x.x на клиенте APIPA DHCP-сервер недоступен, VLAN не проброшен
Код 0x80070035 (Windows) NetBIOS/SMB недоступен Ожидаемое поведение в гостевой сети

Нестандартные причины и альтернативные решения

Провайдер блокирует множественный NAT / CGNAT. Если WAN-адрес из диапазона 100.64.0.0/10, двойной NAT гостевой сети всё равно работает, но некоторые сервисы (VoIP, IPTV) могут не проходить. Решение — запросить у провайдера публичный IPv4 или перейти на IPv6-only с NAT64, где гостевая зона получает отдельный префикс /64.

Аппаратные ограничения SoC. На роутерах с Broadcom (старые Asus, Netgear) программный VLAN через swconfig не работает — только аппаратный. Проверить: swconfig dev switch0 show. Если VLAN не поддерживается, использовать второй физический роутер в режиме точки доступа с отдельным WAN-портом, подключённым к DMZ основной сети.

Конфликт IP-адресации с VPN-клиентом. Если на роутере поднят WireGuard/OpenVPN с подсетью 192.168.10.0/24, гостевая зона не поднимется. Сменить пул гостей на 10.20.30.0/24 и прописать uci set network.guest.ipaddr='10.20.30.1'.

Mesh-системы (Keenetic, TP-Link Deco, Asus AiMesh). Гостевой SSID транслируется всеми узлами, но VLAN-теги между узлами идут через backhaul. Убедиться, что backhaul — проводной или выделенный 5 ГГц, иначе теги могут срезаться. В Deco: Advanced → VLAN/IPTV — включить 802.1Q и указать VLAN 20 для гостевой.

Утечка через IPv6. Даже при изолированном IPv4 гостевые клиенты могут получить глобальный IPv6 через SLAAC и достучаться до LAN по link-local fe80::/10. Отключить IPv6 на гостевом интерфейсе: в OpenWrt uci set network.guest.ip6assign='', в Keenetic — IPv6 → Отключить для гостевой сети. Заблокировать ff02::1 и ff02::2 в firewall гостевой зоны.

mDNS/Bonjour-утечка. Chromecast, AirPlay и принтеры анонсируются через 224.0.0.251:5353. В OpenWrt отключить avahi-daemon и umdns на интерфейсе guest: uci delete umdns.@umdns[0].network с последующим добавлением только lan. В Keenetic — Дополнительные настройки → IGMP Proxy выключить для гостевой.

Проверка утечки через ARP-спуфинг. Если гость вручную прописал статический IP из основной подсети и маску /24, он не получит доступ к LAN, но может отравить ARP-кэш. Включить ARP Inspection / Dynamic ARP Inspection на коммутаторе, если он управляемый: ip arp inspection vlan 1,20. На роутере — ebtables -A FORWARD -p ARP -s ! 192.168.10.0/24 -j DROP.

Диагностика через tcpdump. На роутере запустить tcpdump -i br-guest -n -e 'arp or icmp' и с гостевого клиента выполнить ping 192.168.1.1. Если пакеты видны на br-lan — изоляция не работает на L2, проблема в bridge-настройках или VLAN-тегах. Если видны только на br-guest и дропаются на firewall — изоляция корректна.

IT CRAFT / Wi-Fi и сигналДругие материалы рубрики →

Оставить комментарий