Tóm tắt nhanh
- Thiết bị smart home và home lab tạo kiểu lưu lượng khác nhau. IoT dựa nhiều vào multicast, broadcast và mDNS, còn home lab liên tục tạo và hủy MAC, IP, VM, container.
- VLAN tách hai nhóm thành hai miền Layer 2. Lưu lượng qua ranh giới phải đi qua router hoặc firewall, nên có chỗ để kiểm soát.
- VLAN không sửa nhiễu sóng, nghẽn WAN, router yếu hay lỗi phần cứng. Các SSID trên cùng một radio vẫn dùng chung kênh.
- Discovery là chỗ dễ hỏng nhất. Casting, AirPlay, Matter và HomeKit cần mDNS được cấu hình có chủ đích hoặc một cổng vào riêng.
Người ta thường nghe chuyện tách thiết bị IoT ra mạng riêng vì bảo mật hoặc độ ổn định. Chiều ngược lại ít được nhắc tới: home lab cũng cần một phân đoạn riêng. Joe Rice-Jones kể rằng anh từng để home lab và smart home chung subnet, rồi các thiết bị nhà thông minh rớt kết nối lúc không rõ nguyên nhân. Sau khi chia thành nhiều phân đoạn, anh thấy mạng dễ quản lý hơn. Đây là quan sát cá nhân, không có số đo đối chứng. Phần đáng giữ lại là cơ chế đằng sau, còn chuyện “ổn định hơn qua một đêm” thì chỉ là lời kể.
Vì sao hai nhóm thiết bị này làm nhiễu nhau
Thiết bị IoT thường được cài một lần rồi để yên nhiều năm, nhưng vẫn liên tục trao đổi multicast, broadcast và unicast. Nhiều thiết bị còn ngủ và chỉ thức dậy khi nhận gói, nên lưu lượng từ những máy khác có thể làm chúng tốn pin hơn và phát thêm gói phản hồi.
Home lab thì ngược lại. VM, container và máy thử nghiệm xuất hiện rồi biến mất, đôi khi quay lại. Mỗi MAC mới cần một địa chỉ IP, nên máy lại gửi yêu cầu DHCP, ARP và neighbor discovery lên mạng. Access point phát các gói này ra sóng, và thiết bị IoT phải thức dậy nhiều hơn mức cần thiết.
Đi theo chiều kia, thiết bị IoT dùng mDNS, SSDP và Matter/HomeKit để tự quảng bá. Mỗi Docker host, mỗi mục tiêu casting và mỗi integration thêm vào mạng đều làm khối lượng này tăng lên. Đặt hai nhóm vào hai VLAN giúp cắt bớt phần broadcast qua lại. Phần giảm được chỉ là một phần, vì các SSID trên cùng một radio vẫn chia sẻ kênh sóng.
VLAN giải quyết được gì, và không giải quyết được gì
Bảng sau cho thấy VLAN đụng được vấn đề nào. Lợi ích chính là giảm nhiễu broadcast và khoanh vùng lỗi. Sóng Wi-Fi và đường truyền thì VLAN không chạm tới.
| Vấn đề | Tách VLAN có giúp không? | Ghi chú |
|---|---|---|
| Broadcast và multicast của home lab làm nhiễu IoT | Có, giảm đáng kể | Vẫn cần mDNS reflector nếu discovery phải đi qua ranh giới |
| Thiết bị lạ cấp DHCP sai gateway hoặc DNS | Có, lỗi bị giới hạn trong một segment | Mỗi VLAN vẫn phải có đúng một nguồn DHCP |
| Nhiễu sóng 2.4 GHz và 5 GHz, vùng sóng yếu | Không | SSID trên cùng một radio vẫn chia sẻ kênh |
| WAN bão hòa, router không theo kịp tải | Không | Các VLAN vẫn đi qua cùng một gateway |
| Bufferbloat, cloud outage, hỏng phần cứng | Không | Giúp xác định thiết bị nào là nguyên nhân nhanh hơn |
Nếu mạng đang chậm vì sóng yếu hoặc đường truyền nghẽn, tách VLAN xong có thể bạn không thấy khác biệt nào. Hãy xem router và Wi-Fi đã ổn chưa trước. Phần còn lại mới là việc của VLAN.
Discovery là chỗ dễ vỡ nhất sau khi tách mạng
Sau khi tách, điện thoại có thể không còn thấy loa AirPlay, thiết bị casting hay cầu nối Matter nằm ở VLAN khác. Lúc này có hai lựa chọn: cho phép mDNS và SSDP đi qua ranh giới với phạm vi hẹp, hoặc đặt một thiết bị làm cổng giữa hai mạng.
Với Home Assistant, cách gọn nhất là gắn hai card mạng, một trên mạng nhà và một trên mạng IoT. Tài liệu của Home Assistant cho biết hệ thống dùng chung một instance python-zeroconf, và các integration nên dùng adapter mạng đã bật trong tích hợp Network. Chạy nhiều bộ mDNS trên cùng một máy không được khuyến nghị, nên đừng cài thêm bản riêng cho từng integration.
Khi cách trên không khả thi, mDNS reflector là lựa chọn thay thế. Điều quan trọng là chỉ mở cho đúng nhóm thiết bị cần. Nếu mở toàn bộ broadcast qua hai chiều, bạn đang dựng lại chính vấn đề ban đầu với nhiều bước trung gian hơn.
Checklist trước khi tách mạng
- Phân loại thiết bị theo việc chúng cần nói chuyện với ai. IoT thường chỉ cần nói với nhau, với hub và với điện thoại. Home lab nên nằm riêng. Từ đây mới viết được rule firewall.
- Kiểm tra switch có hỗ trợ VLAN không. Switch không quản lý có thể không làm được việc này. Tài liệu OPNsense khuyên chỉ cho các port mang đúng VLAN cần dùng, và không trộn tagged với untagged trên cùng một trunk, vì có thể làm rò các gói như Router Advertisement hay DHCP.
- Không bridge nhiều cổng vào cùng một switch. Làm vậy sẽ tạo network loop. Nếu cần dự phòng, dùng LAGG với LACP. Loop trên trunk mang cả hai VLAN có thể làm sập mạng ở cả hai phía, nên cần bật Spanning Tree Protocol trên bridge.
- Chỉ để một nguồn DHCP trên mỗi segment. Router thử nghiệm hay container trả lời DHCP trên mạng chung có thể cấp nhầm gateway và DNS cho thiết bị IoT.
- Chặn liên VLAN theo mặc định, rồi mở từng luồng cần thiết. Lưu lượng qua ranh giới VLAN phải được định tuyến và kiểm soát bằng firewall, theo tài liệu OPNsense.
- Chuyển từng nhóm thiết bị, đừng chuyển cả nhà một lượt. Sau mỗi nhóm, kiểm tra điều khiển từ app. Có thiết bị IoT không tự phục hồi nếu không cắt nguồn, trường hợp nặng hơn phải reset rồi thêm lại vào app.
Nếu smart home đang rớt kết nối, kiểm tra gì trước?
Trước khi tách mạng, nên loại trừ ba nguyên nhân đơn giản hơn: sóng Wi-Fi tại vị trí thiết bị, router có quá tải hay tự treo không, và đường WAN có ổn định không. Có trường hợp router hỏng hẳn giữa đêm, và VLAN không cứu được việc đó. Nếu sau ba bước này vẫn có một nhóm thiết bị rớt liên tục, lúc đó tách VLAN mới đáng làm, vì bạn sẽ thấy rõ nhóm nào gây ra sự cố.
VLAN không làm mạng nhanh hơn, nhưng làm lỗi dễ tìm hơn
Tách home lab khỏi smart home bằng VLAN đáng làm nếu bạn chấp nhận hai điều. Thứ nhất, VLAN không thay được Wi-Fi tốt hay đường truyền ổn. Thứ hai, discovery phải được cấu hình có chủ đích, nếu không Matter, HomeKit hay casting sẽ mất khả năng tìm thấy nhau. Làm đúng hai việc này, phần còn lại là rule firewall và kỷ luật DHCP.
Nguồn tham khảo: XDA Developers, OPNsense Documentation, Home Assistant Developers
