Osobna sieć Wi-Fi dla gości i osobna dla smart home: jak to zrobić i co się przy tym psuje

Kupujesz tanią wtyczkę Wi-Fi za trzydzieści złotych i wpuszczasz ją do tej samej sieci, w której stoi twój laptop z dokumentami, dysk NAS i drukarka. Producent wtyczki przestanie wydawać aktualizacje za dwa lata, a ty się o tym nie dowiesz. Ten poradnik pokazuje, jak rozdzielić domowe Wi-Fi na trzy strefy, co realnie potrafią routery polskich operatorów, i co się przy okazji zepsuje w Chromecaście, AirPlayu i Home Assistancie.

Po co w ogóle dzielić sieć

Domowa sieć jest płaska. Wszystko, co się z nią połączy, może próbować gadać ze wszystkim innym: telefon z drukarką, robot sprzątający z dyskiem sieciowym. Dopóki wszystkie urządzenia są twoje i zadbane, to wygodne. Kłopot robią dwie kategorie sprzętu.

Pierwsza to urządzenia gości. Nie wiesz, co ma na telefonie kolega, który wpadł na weekend, i nie chcesz mu dawać hasła, które będzie mu wisieć w telefonie przez kolejne pięć lat. Druga to smart home: żarówki, wtyczki, kamery, odkurzacze, klimatyzatory. Tanie urządzenia IoT bywają porzucane przez producentów, mają otwarte usługi zarządzające i lubią wysyłać dane w świat. Jeśli takie coś zostanie przejęte, izolacja decyduje o tym, czy skończy się na jednej żarówce, czy napastnik dostanie ruch startowy do skanowania reszty domu.

Ta sama logika działa w drugą stronę. Zainfekowany laptop w płaskiej sieci widzi wszystkie kamery. W sieci podzielonej widzi tylko to, na co mu pozwolisz.

Tylko bez złudzeń. Podział sieci nie jest wyłącznikiem ryzyka. Przed przejęciem konta w chmurze producenta żarówek nie ochroni, bo tam ruch idzie przez internet, a nie przez twój LAN, i nie naprawi urządzenia z dziurą, które samo dzwoni na zewnątrz. Ogranicza jeden scenariusz: rozprzestrzenianie się z urządzenia na urządzenie wewnątrz domu.

Jeśli dopiero ogarniasz podstawy domowego Wi-Fi, zacznij od diagnostyki sieci - dzielenie sieci, która i tak się tnie, tylko utrudni szukanie przyczyny.

Co potrzebujesz

Router z funkcją sieci dla gości (albo dla IoT) - sprawdzisz to w jego panelu lub w aplikacji operatora.
Dostęp administratora do routera: adres panelu z naklejki na spodzie urządzenia, zwykle 192.168.1.1 lub 192.168.0.1, plus hasło. To inne hasło niż to do Wi-Fi. Adresu nie zgaduj: 192.168.100.1 to zwykle strona statusu modemu kablowego, na której ustawień Wi-Fi w ogóle nie ma.
Lista urządzeń w domu, spisana na kartce. Serio, spisz. Bez niej po godzinie nie będziesz pamiętać, czy pralka jest już przełączona.
Godzina do dwóch, najlepiej wtedy, gdy nikt w domu nie ma spotkania online.
Menedżer haseł albo kartka, żeby zapisać nowe hasła sieci.

Ostrzeżenie przed startem: każda zmiana nazwy sieci lub hasła rozłącza wszystkie urządzenia, które z niej korzystały. Telewizor, drukarka, wtyczki, ekspres, termostat, opaska. Część trzeba będzie konfigurować od zera, a niektóre urządzenia IoT wymagają do tego resetu i ponownego parowania w aplikacji producenta. Zaplanuj to na spokojne popołudnie, nie na piętnaście minut przed filmem.

Sieć gościnna a VLAN: to nie to samo

Te dwa pojęcia często lądują w jednym worku, choć działają na innym poziomie. Sieć gościnna to funkcja routera: dodatkowe SSID (nazwa sieci Wi-Fi), własne hasło, i reguła w routerze, która mówi "klienci tej sieci mają dostęp tylko do internetu". Włączasz ją jednym przełącznikiem, nie musisz nic rozumieć z adresacji. Wadą jest to, że dostajesz gotowca: producent zdecydował, co jest odcięte, a ty co najwyżej możesz to włączyć albo wyłączyć.

VLAN to podział na poziomie sieci przewodowej i portów. Jedna fizyczna infrastruktura, kilka logicznych sieci, każda z własną adresacją, i firewall między nimi, w którym sam piszesz reguły: "telefony mogą inicjować połączenia do IoT, IoT do telefonów nie". To daje kontrolę nad kierunkiem ruchu, którą sieć gościnna zwykle chowa przed użytkownikiem. Kosztuje własny router z obsługą VLAN-ów, przełącznik zarządzalny, punkty dostępowe z wieloma SSID i sporo czytania.

T-Mobile w swoim poradniku o Wi-Fi dla gości opisuje dokładnie to rozróżnienie: sieć gościnna może być oparta o VLAN albo o funkcję w routerze, przy czym ta druga jest opisana jako najprostsze rozwiązanie, bo wymaga tylko osobnego SSID i ustawień w panelu (T-Mobile, Guest Wi-Fi w firmie).

Dla przeciętnego mieszkania sieć gościnna wystarcza. VLAN-y mają sens, gdy chcesz precyzyjnie sterować kierunkiem ruchu, masz urządzenia po kablu, które też trzeba odseparować, albo bawisz się w to dla przyjemności.

Docelowy podział: trzy strefy

W mieszkaniu sprawdza się taki podział:

Sieć prywatna - laptopy, telefony domowników, NAS, drukarka, Home Assistant. Najmocniejsze hasło, pełne zaufanie.
Sieć dla urządzeń smart home - żarówki, wtyczki, kamery, telewizor, odkurzacz. Osobne hasło, ograniczony dostęp do sieci prywatnej.
Sieć dla gości - telefony odwiedzających. Tylko internet, zero dostępu do czegokolwiek w domu, hasło, które można zmieniać bez konsekwencji.

Jeżeli router daje tylko dwie sieci (prywatną i gościnną), masz wybór: wrzucić smart home do gościnnej albo zostawić go w prywatnej. Wrzucenie do gościnnej daje lepszą izolację, ale zwykle odcina sterowanie z telefonu przez sieć lokalną, bo telefon siedzi w innej sieci. Sieć gościnna ma też zwykle włączoną izolację klientów, która blokuje komunikację między samymi urządzeniami w tej sieci. Uderza to w sprzęt rozmawiający ze sobą po Wi-Fi, na przykład w grupowanie głośników Sonos. Mostków radiowych nie dotyczy: Hue Bridge steruje żarówkami przez Zigbee i do routera wpina się kablem (nowszy Hue Bridge Pro potrafi też po Wi-Fi, choć Philips i tak zaleca kabel), więc same żarówki działają dalej, a odetniesz sobie tylko dostęp do mostka z telefonu. Urządzenia Shelly Wi-Fi mostka nie mają w ogóle i tam tracisz sterowanie lokalne, zarówno z telefonu, jak i z Home Assistanta; linie Shelly BLU i Shelly Wave to inna historia, bo działają przez bramkę Bluetooth albo kontroler Z-Wave, więc zachowują się jak Hue. Wrócę do tego przy mDNS.

Co potrafią routery polskich operatorów

Zajrzałem na strony pomocy i do poradników Orange, Play, Netii i T-Mobile. Podaję tylko to, co da się u nich przeczytać czarno na białym.

Orange (Funbox)

Orange ma dla Funboxa 6 publiczną instrukcję krok po kroku. Z całej stawki to najlepiej udokumentowany przypadek. W poradniku o nowościach w Funboksie 6 operator opisuje obie sieci: wchodzisz na 192.168.1.1 albo http://funbox, logujesz się, a potem w menu "Sieć" wybierasz "Sieć gości" (można też przez zakładkę "Wi-Fi" i "Wi-Fi dla Gości"). Tam ustawiasz nazwę, rodzaj zabezpieczeń, hasło i okres ważności sieci (1, 2, 4, 24 lub 48 godzin albo bez ograniczeń), zaznaczasz "Aktywuj Wi-Fi dla gości" i klikasz "Zapisz". Sieć IoT działa tak samo: menu "Sieć" > "IoT Wi-Fi" (albo "Wi-Fi" > "Wi-Fi dla IoT"), nazwa, zabezpieczenia, hasło, poziom izolacji, "Aktywuj IoT Wi-Fi", "Zapisz". Obie sieci da się też włączyć jednym suwakiem OFF/ON w menu "Wi-Fi" (Orange, Nowości w Funbox 6).

Poziomy izolacji sieci IoT są trzy i Orange opisuje je wprost: pełna (sieć IoT niedostępna z żadnej innej sieci), częściowa (dostępna tylko z sieci prywatnej Wi-Fi i ETH) oraz wyłączona (dostęp w obie strony między IoT a siecią prywatną). Operator zaleca pełną izolację dla urządzeń sterowanych przez chmurę, a częściową wtedy, gdy urządzenia muszą się komunikować lokalnie. Zarządzanie tymi sieciami jest dostępne także w aplikacji Mój Orange, do której Orange przeniosło funkcje wycofywanej aplikacji Mój FunBox (orange.pl, Aplikacja Mój FunBox).

Play

Play w kartach swoich routerów wymienia sieć dla gości wprost w spisie funkcji panelu użytkownika. Dla Play BOX NET router FTTH i wersji HFC w polu "Panel użytkownika" jest "sieć Wi-Fi dla gości". Dla routera Wi-Fi/MESH doprecyzowano: "sieć Wi-Fi dla gości 2,4 i 5 GHz". Czyli funkcja jest, ale Play w tych kartach nie opisuje, jak ją włączyć ani jaki dokładnie zakres izolacji obejmuje. Osobnej instrukcji konfiguracji sieci gościnnej na stronach pomocy Play nie znalazłem. Klienci dawnego UPC są dziś obsługiwani przez Play, więc dla sprzętu HFC punktem wyjścia jest karta routera HFC.

Netia

Netia na swoim blogu wymienia stworzenie odrębnej sieci Wi-Fi dla gości jako jeden z kroków poprawnej konfiguracji routera. Powody podaje takie: nie musisz udostępniać prywatnego hasła, gość nie dostaje dostępu do plików i ustawień, a złośliwe oprogramowanie z jego zainfekowanego sprzętu zostaje odcięte. Ścieżkę opisuje ogólnie: panel administracyjny, zakładka Sieć lokalna, dalej Sieć bezprzewodowa (Netia, Jak poprawnie skonfigurować router Wi-Fi). To poradnik uniwersalny, nie instrukcja konkretnego modelu, a Netia dostarcza różne urządzenia (od Huawei HG8245 po nowsze modele Wi-Fi 7). Instrukcji sieci gościnnej dla konkretnego modelu Netii nie znalazłem na jej stronach pomocy.

T-Mobile

Znalazłem tylko wspomniany wyżej poradnik ogólny, adresowany do firm. Instrukcji sieci gościnnej dla routera Home Box na stronach pomocy technicznej T-Mobile nie znalazłem, ale T-Mobile publikuje podręczniki użytkownika swoich routerów w plikach PDF i tam szukaj opisu dla konkretnego modelu. Zanim uznasz, że funkcji nie ma, sprawdź podręcznik swojego urządzenia, panel routera i aplikację operatora.

Sieć dla gości jest w tej klasie sprzętu standardem, ale poza Orange operatorzy praktycznie nie publikują instrukcji krok po kroku na stronach pomocy. Nazwy zakładek, dostępne opcje i poziom izolacji zależą od modelu i wersji firmware'u, a przy routerach zarządzanych zdalnie część ustawień może zostać nadpisana po aktualizacji. Dokładnych etykiet przycisków w kolejnych krokach nie znajdziesz, bo w twoim panelu i tak będą brzmiały inaczej.

Krok 1. Zajrzyj do panelu i sprawdź, co masz

Połącz laptopa z siecią domową, najlepiej kablem.
Otwórz przeglądarkę i wpisz adres panelu z naklejki na routerze. Zaloguj się hasłem administratora, też z naklejki, chyba że zostało zmienione.
Poszukaj sekcji o nazwie w rodzaju "Wi-Fi", "Sieć bezprzewodowa", "WLAN", a w niej podsekcji "Sieć dla gości", "Guest Wi-Fi" albo "IoT".
Zanim cokolwiek zmienisz, poszukaj opcji zapisu konfiguracji do pliku i zrób kopię. Nie każdy router to ma, ale jeśli ma - skorzystaj.
Przy okazji sprawdź hasło administratora. Jeśli nadal jest to fabryczne hasło z naklejki albo to samo, co hasło do Wi-Fi, zmień je teraz na osobne i zapisz razem z pozostałymi. Ustawienie jest zwykle w sekcji o nazwie w rodzaju "Administracja", "System" albo "Zarządzanie".

Jeśli w panelu nic takiego nie ma, sprawdź jeszcze aplikację operatora na telefonie. W Funboksie 6 obie sieci znajdziesz w menu modemu pod 192.168.1.1 lub http://funbox, w sekcji "Sieć" ("Sieć gości", "IoT Wi-Fi") albo w zakładce "Wi-Fi"; aplikacja Mój Orange jest drogą alternatywną, nie jedyną. U innych operatorów bywa odwrotnie i funkcja siedzi tylko w aplikacji.

Gdy nie ma jej nigdzie, zostają dwie drogi: własny router za sprzętem operatora (wtedy dostajesz podwójny NAT i drugą sieć, co dla urządzeń IoT jest akceptowalne, a dla gier i serwerów już mniej wygodne) albo wymiana routera operatora na własny, o ile operator na to pozwala. To osobny temat i nie każdy operator daje taką możliwość.

Krok 2. Nazwy i hasła

Nazwij sieci tak, żeby po pół roku wiedzieć, co jest czym. "Dom", "Dom-IoT", "Dom-Goscie" wystarczą. Nie wstawiaj do nazwy numeru mieszkania, nazwiska ani modelu routera - to podpowiedź dla kogoś, kto skanuje sieci w bloku.

Hasła zrób trzy różne. Powód jest praktyczny: hasło do sieci gościnnej podajesz obcym ludziom i chcesz móc je zmienić bez rekonfigurowania osiemnastu żarówek. Hasło do sieci IoT wpisujesz raz przy parowaniu każdego urządzenia i potem o nim zapominasz, więc może być długie i brzydkie. Zapisz je w menedżerze haseł, razem z datą ustawienia.

Klasyczna sieć otwarta bez hasła to zły pomysł nawet przy włączonej izolacji: ruch jest wtedy nieszyfrowany i widoczny dla każdego w zasięgu, a za to, co przez to łącze przejdzie, odpowiadasz ty. Wyjątkiem jest tryb Enhanced Open (OWE), który szyfruje ruch bez hasła, ale obsługuje go niewiele routerów operatorskich i niewiele telefonów gości. Wi-Fi Alliance prowadzi go jako osobny program certyfikacji obok WPA3, a nie jako tryb WPA3 (Wi-Fi Alliance, Security).

Krok 3. WPA2, WPA3 i pułapka trybu przejściowego

Wybór szyfrowania to miejsce, w którym łatwo zrobić sobie krzywdę na sieci IoT.

Wi-Fi Alliance definiuje kilka trybów WPA3-Personal. W trybie WPA3-Personal Only punkt dostępowy nie włącza starych mechanizmów PSK, przez co urządzenie umiejące tylko WPA2 po prostu się nie połączy. W trybie przejściowym (WPA3-Personal Transition Mode) punkt dostępowy udostępnia jednocześnie stary PSK i nowe SAE, dzięki czemu łączą się i stare, i nowe urządzenia. Specyfikacja dorzuca przy tym zastrzeżenie, o którym łatwo zapomnieć: w paśmie 6 GHz tryb przejściowy nie działa, tam obowiązuje WPA3 (Cisco, WPA3 Deployment Guide: "broadcasting a WLAN in the 6-GHz band is not allowed when configured with WPA2 security (applies to both WPA2 only and WPA2+WPA3 WLAN)"). Źródłem normatywnym jest tu specyfikacja Wi-Fi Alliance WPA3, ale Wi-Fi Alliance udostępnia ten plik wyłącznie po zalogowaniu do serwisu dla członków, więc czytelnik zweryfikuje zakaz w dokumencie Cisco.

W praktyce dla każdej z sieci wybierzesz co innego:

Sieć prywatna: WPA3 albo tryb mieszany WPA2/WPA3, zależnie od tego, jak stare są twoje laptopy.
Sieć dla gości: tryb mieszany. Nie wiesz, z czym przyjdzie gość.
Sieć dla IoT: tu najczęściej wylądujesz na WPA2. Duża część tanich urządzeń smart home obsługuje wyłącznie 2,4 GHz i wyłącznie WPA2, a niektóre potrafią się wysypać nawet przy trybie mieszanym. Jeśli wtyczka uparcie nie chce się sparować, ustawienie sieci IoT na czyste WPA2 jest jedną z pierwszych rzeczy do sprawdzenia.

Z tego samego powodu sieć IoT musi się rozgłaszać w paśmie 2,4 GHz, i to w sposób, który telefon widzi osobno. Najwygodniej dać temu pasmu własne SSID, na przykład "Dom-IoT". Jeśli twój router łączy 2,4 i 5 GHz pod jedną nazwą (band steering, czasem opisany jako "Smart Connect" albo "jedna nazwa dla obu pasm"), wyłącz tę funkcję na czas parowania albo rozdziel pasma na stałe. Bez tego telefon może siedzieć na 5 GHz, a wtyczka nie ma jak dołączyć do sieci, której nie widzi.

To dokładnie ten kompromis, dla którego osobne SSID dla IoT ma sens: obniżasz zabezpieczenia tylko w sieci ze śmieciowymi urządzeniami, a nie w tej, w której trzymasz laptopa.

Netia w swoim poradniku wskazuje WPA2-Personal AES oraz WPA3 z protokołem SAE jako skuteczne metody szyfrowania i zaleca regularne aktualizacje firmware'u routera. To drugie jest ważniejsze, niż wygląda: router bez aktualizacji jest najsłabszym elementem całego podziału, bo to on wymusza izolację.

Krok 4. Przenoszenie urządzeń, po kolei

Nie przełączaj wszystkiego naraz. Zanim zaczniesz, sprawdź jedną rzecz, na której wykłada się większość pierwszych prób: podczas parowania telefon musi być podłączony do tej samej sieci, do której dołączasz urządzenie, i to do jej rozgłoszenia 2,4 GHz. Aplikacja producenta przekazuje wtyczce nazwę i hasło sieci, z którą sama jest połączona. Telefon zostawiony w sieci prywatnej albo przerzucony przez router na 5 GHz to najczęstszy powód komunikatu, że urządzenie "nie widzi sieci".

Rób to w tej kolejności:

Włącz nową sieć IoT, ale jeszcze niczego nie przenoś. Sprawdź telefonem, że w ogóle widać SSID i da się połączyć.
Przenieś jedno najprostsze urządzenie, na przykład wtyczkę. Wiele urządzeń IoT nie ma opcji "zmień sieć" - trzeba je zresetować i sparować od nowa w aplikacji producenta. Sprawdź instrukcję konkretnego modelu, zanim je zresetujesz.
Sprawdź, czy działa sterowanie z telefonu. Jeżeli telefon jest w sieci prywatnej, a wtyczka w IoT, sterowanie przez chmurę producenta zwykle zadziała, a sterowanie lokalne niekoniecznie. To normalne: sterowanie lokalne opiera się na mDNS, a ten nie przechodzi między sieciami.
Dopiero potem przenieś resztę, notując na kartce, co już zrobione.
Kamery i urządzenia, których nie umiesz łatwo sparować od nowa, zostaw na koniec.

Home Assistanta zostaw w sieci prywatnej razem z telefonami. Wrzucenie go do sieci IoT wygląda logicznie, ale przy pełnej izolacji kończy się tym, że nie dostaniesz się do jego interfejsu z telefonu. Przy izolacji częściowej (dostęp z sieci prywatnej do IoT, jak w Funboksie 6) interfejs otworzysz, tylko i tak wygodniej trzymać Home Assistanta po stronie prywatnej, bo to on inicjuje połączenia do urządzeń.

Dlaczego Chromecast i AirPlay przestają działać

To najczęstsza niespodzianka po podzieleniu sieci. Wykrywanie urządzeń w domu opiera się na mDNS (multicast DNS). To protokół, który pozwala pytać o nazwy w sieci lokalnej bez żadnego serwera DNS: urządzenie wysyła zapytanie na adres grupowy, a to, które zna odpowiedź, odpowiada wszystkim. Standard opisuje to jako zapytania DNS wysyłane multicastem na port UDP 5353 (RFC 6762, Multicast DNS). Adresy grupowe to 224.0.0.251 dla IPv4 i FF02::FB dla IPv6.

Sedno tkwi w samych adresach. 224.0.0.251 leży w bloku 224.0.0.0/24, czyli wśród adresów multicastowych zarezerwowanych dla ruchu w obrębie jednego łącza, a FF02::FB ma zasięg link-local wpisany wprost w adres. Routery takiego ruchu nie przekazują dalej z definicji, niezależnie od tego, jaki TTL wpiszesz w nagłówek. Sam RFC 6762 nazywa oba te adresy link-local i w sekcji 11 (Source Address Check) zaleca (poziom SHOULD, nie bezwzględny wymóg) wysyłanie odpowiedzi mDNS z IP TTL ustawionym na 255 - dokładnie odwrotnie, niż podpowiada intuicja. Powód jest historyczny: starsze implementacje sprawdzały TTL przy odbiorze i odrzucały wszystko, co miało wartość inną niż 255, bo pakiet z pełnym TTL po drodze przez router zostałby zdekrementowany, a więc zdemaskowany jako zdalny (RFC 6762, sekcja 11).

Skutek praktyczny jest taki, jak opisują producenci rozwiązań AirPlay: nadajnik i odbiornik muszą być w tej samej podsieci lub VLAN-ie, bo AirPlay natywnie nie przechodzi przez granice podsieci (AirSquirrels, Reflector 4 Networking Requirements). Ta sama dokumentacja tłumaczy blokadę "TTL równym 1" - to skrót myślowy producenta, a nie mechanizm ze standardu. Przy diagnozowaniu własnej sieci kieruj się zakresem adresu, nie licznikiem skoków.

Google Cast działa na tej samej zasadzie. Dokumentacja integracji Google Cast w Home Assistancie mówi wprost, że obsługa mDNS w sieci lokalnej jest obowiązkowa dla automatycznego wykrywania, a urządzenia Cast mogą być wykryte automatycznie tylko wtedy, gdy są w tej samej podsieci co Home Assistant, bo pakiety mDNS nie są routowane między podsieciami. Konfiguracja z urządzeniami Cast w innej podsieci jest tam opisana jako niezalecana i niewspierana (Home Assistant, Google Cast).

Home Assistant ma z tym problem szerzej niż tylko przy Chromecaście. Integracja Zeroconf skanuje sieć w poszukiwaniu urządzeń i sama ogłasza w niej Home Assistanta (Home Assistant, Zeroconf). Lista integracji wykrywanych tą drogą jest długa: Shelly, ESPHome, WLED, Sonos, Philips Hue, Apple TV, drukarki Brother, HomeKit i dziesiątki innych. Automatyczne wykrywanie w Home Assistancie opiera się poza mDNS także na SSDP i na DHCP (Home Assistant Developer Docs, Networking and discovery). Pierwsze dwa to protokoły multicastowe, które w domyślnej konfiguracji routera nie przechodzą między podsieciami, choć z różnych powodów: mDNS dlatego, że jego adresy są link-local, a SSDP dlatego, że jego adres 239.255.255.250 należy do zakresu administracyjnie ograniczonego i router nie przekazuje go dalej bez świadomej konfiguracji.

Po rozdzieleniu sieci telefon w sieci prywatnej przestanie widzieć Chromecasta w sieci IoT, Home Assistant przestanie sam znajdować nowe urządzenia w tamtej sieci, a "przesyłaj obraz" zniknie z aplikacji. To nie jest awaria - taki jest skutek rozdzielenia sieci i bez dodatkowej konfiguracji nie da się go obejść.

Co z tym zrobić

Każde wyjście ma swoją cenę.

Najprostsze wyjście to nie ruszać castowania w ogóle. Telewizor, Chromecast i głośniki trzymasz w sieci prywatnej razem z telefonami, a do IoT wrzucasz tylko sprzęt sterowany przez chmurę albo przez Zigbee. Zyskujesz izolację tam, gdzie ryzyko jest największe, i nie tracisz castowania. Dla większości mieszkań to najrozsądniejszy wybór.

Adresy można też wpisać ręcznie. Home Assistant przewiduje sytuację, w której mDNS nie działa. W integracji Google Cast jest opcja "Known hosts": lista nazw lub adresów IP urządzeń Cast, oddzielona przecinkami, do użycia właśnie wtedy, gdy wykrywanie przez mDNS nie działa. Dokumentacja zaleca w takim przypadku przypisanie urządzeniom stałych adresów IP i skonfigurowanie listy znanych hostów. Wiele innych integracji też pozwala dodać urządzenie ręcznie przez podanie adresu, zamiast czekać na wykrycie. Wada: to działa dla sterowania z Home Assistanta, a nie dla castowania z telefonu, i wymaga, żeby firewall przepuszczał ruch unicast w odpowiednim kierunku.

Reflektor mDNS to router lub firewall przekazujący pakiety mDNS między wybranymi sieciami. Robią to niektóre systemy operacyjne routerów i część sprzętu klasy wyższej niż typowy router operatora. Rozwiązanie jest realne, ale wymaga własnego sprzętu i świadomości, że każda sieć włączona do reflektora widzi ogłoszenia z pozostałych. Sieci gościnnej do reflektora nie włączaj - straciłaby dokładnie to, po co powstała. Na routerze operatora zwykle takiej opcji po prostu nie ma.

Można wreszcie zrezygnować z dzielenia akurat w tym miejscu. Jeśli twój smart home stoi głównie na Home Assistancie i lokalnych integracjach, trzymanie Home Assistanta i urządzeń w jednej sieci, a gości i reszty świata w drugiej, jest sensownym kompromisem. Lepiej mieć jedną granicę, którą naprawdę pilnujesz, niż trzy podziurawione wyjątkami, bo coś przestało działać.

Przy okazji dwa drobiazgi z dokumentacji, które oszczędzą ci wieczoru szukania. Home Assistant wybiera interfejs sieciowy na podstawie tego, którędy system wysyła ruch na adres mDNS 224.0.0.251 (Home Assistant, Network Configuration) - przy kilku interfejsach potrafi wybrać nie ten, o który ci chodzi, i wtedy ustawia się to ręcznie w Ustawienia > System > Sieć. Chromecasty z kolei zwykle ignorują serwery DNS z DHCP i korzystają z publicznych serwerów Google (8.8.8.8 i 8.8.4.4), więc adresy lokalne w rodzaju homeassistant.local im nie zadziałają - trzeba podawać adres IP albo nazwę rozwiązywalną publicznie. Jeśli budujesz automatyzacje z castowaniem, sprawdź to od razu. Więcej o samym Home Assistancie w poradniku o pierwszej automatyzacji.

Test izolacji: sprawdź, czy to w ogóle działa

Nie zakładaj, że przełącznik w routerze robi to, co obiecuje jego nazwa. Sprawdź to na własnej sieci; zajmie dziesięć minut.

Potrzebujesz telefonu i komputera. Jeśli masz pod ręką tylko telefon, zrób sam punkt 3 - to wersja minimalna i już ona potrafi zdyskwalifikować sieć gościnną.

Ustal adres IP komputera w sieci prywatnej. W Windows otwórz wiersz polecenia i wpisz ipconfig, odczytaj "Adres IPv4" karty, przez którą jesteś połączony.
Połącz telefon z siecią dla gości.
Sprawdź w telefonie, jaki adres bramy dostałeś w sieci gościnnej (Android: szczegóły sieci Wi-Fi; iPhone: Ustawienia > Wi-Fi > przycisk "i" > Router). Spróbuj w przeglądarce otworzyć zarówno ten adres, jak i adres panelu z naklejki, na przykład http://192.168.1.1 - sieć gościnna zwykle ma własną adresację, więc sam brak odpowiedzi spod adresu z naklejki niczego nie dowodzi. Przy poprawnej izolacji żaden z tych adresów nie pokaże ekranu logowania, a przeglądarka zgłosi brak połączenia lub przekroczenie czasu. Jeśli zobaczysz ekran logowania do routera, twoja sieć gościnna nie odcina panelu administracyjnego i to jest konkretny problem do zgłoszenia operatorowi.
Spróbuj otworzyć adres IP komputera z kroku 1, jeśli działa na nim cokolwiek po HTTP (interfejs NAS, drukarki, Home Assistanta pod portem 8123). Nie powinno się otworzyć.
Sprawdź udostępnianie: w aplikacji plikowej telefonu spróbuj znaleźć zasoby sieciowe. W sieci gościnnej nie powinno być widać niczego.
Powtórz punkty 3-5 z telefonem połączonym do sieci IoT, jeśli ją masz. Tu wynik zależy od ustawionego poziomu separacji i możesz świadomie chcieć, żeby część rzeczy była widoczna.

Otwarcie panelu routera z sieci gościnnej jest wystarczającym powodem, żeby jej w tej formie nie używać.

Miej przy tym świadomość, czego ten test nie sprawdza. Patrzy wyłącznie na to, czy z innej sieci da się otworzyć panel routera, usługi po HTTP i zasoby sieciowe. Nie wykrywa przecieków na poziomie warstwy 2, ruchu ARP ani błędów w implementacji izolacji przez producenta. Przejście testu znaczy więc tyle, że najprostsza droga jest zamknięta, a nie że sieć jest bezpieczna.

Sprawdź też, czy w sieci gościnnej jest włączona izolacja klientów - opcja, która blokuje komunikację między samymi gośćmi. T-Mobile wymienia jej włączenie jako jeden z kroków konfiguracji Wi-Fi dla gości. W panelu bywa opisana jako "Izolacja klientów" albo "Client Isolation".

Jak to bezpiecznie cofnąć

Nie każdy podział się przyjmuje. Jeśli po tygodniu okaże się, że połowa domu nie działa, powrót wygląda tak:

Przełącz urządzenia z powrotem do sieci prywatnej, pojedynczo, zaczynając od tych, które da się przepiąć z poziomu aplikacji bez resetu. Reset fabryczny kasuje ustawienia urządzenia w aplikacji producenta: harmonogramy, sceny, przypisanie do pomieszczenia.
Dopiero gdy sieć IoT jest pusta, wyłącz ją w panelu routera. Sieć prywatna i gościnna zostają.
Jeśli masz kopię konfiguracji sprzed zmian, możesz ją odtworzyć, ale wtedy wrócą też wszystkie inne ustawienia z tamtego momentu.

Osobny scenariusz to sytuacja, w której po zmianach panel routera przestaje odpowiadać. Zanim sięgniesz po przycisk resetu w otworku, spróbuj podłączyć laptopa kablem i wejść na adres z naklejki oraz zrestartować router z gniazdka. Reset fabryczny zostaw na koniec, bo na sprzęcie operatorskim kasuje konfigurację wgraną przez operatora, a przy routerach zarządzanych zdalnie odtworzenie jej potrafi wymagać telefonu na infolinię.

Sieć gościnną zostaw włączoną nawet wtedy, gdy rezygnujesz z reszty. Ona niczego nie psuje, a jest najtańszym zyskiem z całej tej operacji.

Lista kontrolna

Czy masz spisaną listę urządzeń i wiesz, które są już przeniesione?
Czy każda z sieci ma inne hasło i czy wszystkie trzy są zapisane w menedżerze haseł?
Czy hasło administratora do routera jest inne niż hasło do Wi-Fi?
Czy panel routera na pewno się nie otwiera z telefonu podłączonego do sieci gościnnej?
Czy sieć IoT ma szyfrowanie, które faktycznie akceptują twoje urządzenia, a sieć prywatna mocniejsze?
Czy sieć IoT jest widoczna w paśmie 2,4 GHz jako osobne SSID (albo czy band steering jest wyłączony na czas parowania)?
Czy Home Assistant został w sieci prywatnej razem z telefonami?
Czy wiesz, które funkcje przestały działać (castowanie, automatyczne wykrywanie) i czy to akceptujesz?
Czy router ma aktualny firmware i włączone automatyczne aktualizacje, jeśli je oferuje?
Czy każdą wprowadzoną zmianę da się cofnąć?

Źródła

orange.pl, Nowości w Funbox 6 - oficjalna instrukcja Orange: włączanie sieci Wi-Fi dla gości i sieci Wi-Fi dla IoT z menu modemu (192.168.1.1 lub http://funbox, menu "Sieć"), okres ważności sieci gościnnej oraz trzy poziomy izolacji sieci IoT (pełna, częściowa, wyłączona) wraz z zaleceniami Orange.
orange.pl, Aplikacja Mój FunBox - potwierdzenie, że zarządzanie siecią dla gości i siecią IoT dla modemów Funbox jest dostępne także w aplikacji Mój Orange.
Nasz Orange, wątek "IoT i sieć gościa w FB6" - wątek na forum operatora, w treści niewykorzystany; te same trzy poziomy izolacji IoT są udokumentowane w oficjalnym poradniku Orange powyżej.
Play, Play BOX NET router FTTH oraz router HFC i router Wi-Fi/MESH - sieć Wi-Fi dla gości wymieniona w funkcjach panelu użytkownika, w wersji mesh z dopiskiem o pasmach 2,4 i 5 GHz.
Netia, Jak poprawnie skonfigurować router Wi-Fi - odrębna sieć dla gości jako krok konfiguracji, ścieżka Sieć lokalna > Sieć bezprzewodowa, WPA2-Personal AES i WPA3 z SAE, znaczenie aktualizacji firmware'u.
T-Mobile, Guest Wi-Fi w firmie - rozróżnienie sieci gościnnej opartej o VLAN i o funkcję routera, izolacja klientów, kroki konfiguracji.
Wi-Fi Alliance, Security - WPA3, Wi-Fi Enhanced Open i Protected Management Frames jako trzy odrębne technologie bezpieczeństwa; Enhanced Open jako szyfrowanie bez uwierzytelniania w sieciach otwartych.
Wi-Fi Alliance, WPA3 Specification v3.4 - tryby WPA3-Personal Only, Transition i Compatibility, wymóg PMF, brak trybu przejściowego w paśmie 6 GHz. Plik jest dziś udostępniany za logowaniem do serwisu Wi-Fi Alliance dla członków.
RFC 6762, Multicast DNS - definicja mDNS jako zapytań DNS wysyłanych multicastem na port UDP 5353; sekcja 11 (Source Address Check) - 224.0.0.251 i FF02::FB jako adresy link-local oraz zalecenie wysyłania odpowiedzi mDNS z IP TTL równym 255.
AirSquirrels, Reflector 4 Networking Requirements - adresy grupowe Bonjour 224.0.0.251 i FF02::FB, brak natywnego przechodzenia AirPlay między podsieciami i VLAN-ami, rola bramy Bonjour. Tłumaczenie blokady "TTL równym 1" to skrót producenta, niezgodny z sekcją 11 RFC 6762.
Cisco, WPA3 Deployment Guide (Catalyst 9800) - otwarte źródło formułujące zakaz wprost: rozgłaszanie sieci w paśmie 6 GHz nie jest dozwolone przy konfiguracji WPA2, co dotyczy zarówno samego WPA2, jak i sieci WPA2+WPA3. Dokument potwierdza też, że WPA3 i PMF są w 6 GHz obowiązkowe.
Home Assistant, Google Cast - obowiązkowe mDNS przy automatycznym wykrywaniu, brak routowania mDNS między podsieciami, opcja Known hosts, korzystanie Chromecastów z publicznych serwerów DNS Google.
Home Assistant, Zeroconf - skanowanie sieci i ogłaszanie się Home Assistanta, lista integracji wykrywanych przez mDNS.
Home Assistant, Network Configuration - automatyczny wybór interfejsu na podstawie trasy do adresu 224.0.0.251, ustawienia w Ustawienia > System > Sieć.
Home Assistant Developer Docs, Networking and discovery - mDNS/Zeroconf, SSDP i DHCP jako metody wykrywania urządzeń.