Réseau local(Vlans) - organisation et "sécurisation"

[R4v3n]

L'intérêt des VLANs, c'est surtout de pouvoir segmenter tes différents réseaux sans investir dans de multiples switchs. En revanche il faut bien segmenter les réseaux et gérer les flux qui passent à travers (firewall), les VLANs seulement séparés par un routeur n'ont aucun intérêt niveau sécurité (éventuellement pour de l'équilibrage de charge, et encore, enfin là c'est moins mon domaine).

Mon Donc je mettrais PC + imprimante + éventuellement Wifi interne dans un VLAN, Wifi guest (si tu en as un) dans un autre, serveurs/NAS dans un 3ème (et encore si tu as plusieurs serveurs, voir s'ils ont tous la même criticité), audio multiroom / tv connectée / harmony / philips hue dans un 4ème et le KNX dans un dernier.
Ne pas trop segmenter sinon c'est un enfer à maintenir, et une usine à gaz n'aide pas trop.

R4v3n : ton Wifi doit offrir les mêmes capacités que ton réseau interne. Il faut surtout lui donner une protection optimale. On ne va pas mettre en place du 802.1x, mais une bonne clé WPA2 est nécessaire. Et éviter le WPS. Pour du résidentiel, c'est à mon sens suffisant. Pour une entreprise, du 802.1X serait préférable.

Pour moi, la zone PC est justement risquée : c'est celle qui risque le plus de se prendre un ranswomare (quoique la TV connectée aussi peut s'en prendre un). Donc aussi risquée que le wifi, même si les risques ne sont pas les mêmes (un wifi bien configuré/sécurisé, il n'y a pas de problèmes, sauf éventuellement des attaques en déconnexion mais ça, segmenter ne sert à rien).

Il peut offrir les capacités que tu lui donneras via ta config firewall, et c'est ça l'important.
Le WPA2 n'a rien d'optimal, et aucune techno sans fil ne sera jamais optimale. Le 802.1x serait au contraire un minimum, avec un RADIUS.

C'est pour ça que pour moi, si l'on souhaite un wifi "main", il doit absolument être sur un VLAN à part, pour en limiter les accès, parce que ça reste une porte ouverte.

Concernant la TV connectée, rien que le fait de lui bloquer l'accès à internet (ou du moins ouvrir ce qui est nécessaire uniquement), c'est la base.

J'ai l'impression que tu vois le wifi comme quelque chose de sécurisé, alors qu'aujourd'hui, aucune techno de "sécurisation" wifi n'est fiable.