ホームラボネットワーク準備チェックリスト は何をしますか？
このスキルは、VLAN、Pi-holeまたは他のローカルDNSリゾルバ、ファイアウォールルール、リモートVPNアクセスが混在する家庭または小規模ラボネットワークを変更する前に使用します。
これは計画およびレビュースキルです。ターゲットプラットフォーム、現在のトポロジ、ロールバックパス、コンソールアクセス、メンテナンスウィンドウがすべて確認されていない限り、ルーター、ファイアウォール、またはVPN設定のコピー＆ペーストにしないでください。
使用するタイミング
- フラットネットワークを信頼済み、IoT、ゲスト、サーバー、管理VLANに分割する準備をする場合。
- DHCPクライアントをPi-hole、AdGuard Home、Unbound、または他のローカルDNSリゾルバに移行する場合。
- WireGuard、Tailscale、ZeroTier、OpenVPN、またはルーターネイティブVPNアクセスを追加する場合。
- ホームラボの変更により、オペレーターがゲートウェイ、スイッチ、アクセスポイント、DNSサーバー、VPNサーバーにアクセスできなくなる可能性があるかどうかを確認する場合。
- 非公式のホームネットワークアイデアを、検証エビデンス付きの段階的移行計画に変換する場合。
安全規則
- 最初の回答は読み取り専用（インベントリ、リスク、段階的計画、検証、ロールバック）にすること。
- ゲートウェイ管理パネル、DNSリゾルバ、SSH、NASコンソール、VPN管理UIをパブリックインターネットに直接公開しないこと。
- 確認済みのプラットフォームとロールバック手順がない限り、ファイアウォール、NAT、VLAN、DHCP、VPNのコマンドを提供しないこと。
- 管理VLAN、トランクポート、ファイアウォールデフォルトポリシー、DHCP/DNS設定を変更する前に、帯域外または同室のコンソールアクセスを必須とすること。
- ネットワーク全体を新しいDNSリゾルバやVPNルートに向ける前に、インターネットに戻る動作可能な経路を維持すること。
- オペレーターが明示的に別の選択をしない限り、IoT、ゲスト、カメラ、ラボサーバーネットワークを異なるトラストゾーンとして扱うこと。
必要なインベントリ
実装手順を提供する前に、以下を収集します。
| エリア | 質問 |
|---|---|
| インターネットエッジ | モデムまたはONTは何ですか？ISPルーターはブリッジモードですか、それともルーティングしていますか？ |
| ゲートウェイ | どの機器がルーティング、ファイアウォール、DHCP処理、VPN終端を行いますか？ |
| スイッチング | どのスイッチポートがアップリンク、アクセスポート、トランク、またはアンマネージドですか？ |
| Wi-Fi | どのSSIDがどのネットワークにマッピングされており、APは有線接続ですかメッシュですか？ |
| アドレッシング | 現在どのサブネットが存在し、どの範囲がVPNサイトと競合しますか？ |
| DNS/DHCP | 現在どのサービスがリースとリゾルバアドレスを配布していますか？ |
| 管理 | 変更後、オペレーターはどのようにゲートウェイ、スイッチ、APにアクセスしますか？ |
| 復旧 | DNS、DHCP、VLAN、VPNルートが壊れた場合、ローカルで何を元に戻せますか？ |
VLANとトラストゾーンの計画
ベンダー固有の構文ではなく、意図から始めます。
| ゾーン | 一般的な内容 | デフォルトポリシー |
|---|---|---|
| 信頼済み | ラップトップ、スマートフォン、管理用ワークステーション | 必要な場合にのみ共有サービスと管理にアクセス可能 |
| サーバー | NAS、Home Assistant、ラボホスト、DNSリゾルバ | 信頼済みクライアントからの狭いインバウンドフローを受け入れる |
| IoT | テレビ、スマートプラグ、カメラ、スピーカー | インターネットアクセス＋明示的な例外のみ |
| ゲスト | 訪問者デバイス | インターネットのみ、LAN到達不可 |
| 管理 | ゲートウェイ、スイッチ、AP、コントローラー | 信頼済み管理デバイスからのみ到達可能 |
| VPN | リモートクライアント | 信頼済みクライアントと同等かそれより狭いアクセス |
VLAN IDまたはサブネットを推奨する前に、以下を確認します。
- ゲートウェイがVLAN間ルーティングとファイアウォールルールをサポートしていること。
- スイッチが必要なタグ付きおよびタグなしポート動作をサポートしていること。
- APがSSIDをVLANにマッピングできること。
- オペレーターが変更中に自分がどのポートに接続しているかを把握していること。
- トランクとSSIDの変更後も管理ネットワークが到達可能であること。
DNSフィルタリングの準備
Pi-holeまたは他のローカルリゾルバは、単一障害点ではなく、依存関係として導入する必要があります。
- DHCPオプションで使用する前に、リゾルバに予約アドレスを割り当てます。
- パブリックDNSとローカルの
home.arpa名を解決できることを確認します。 - ゲートウェイまたはセカンダリリゾルバを一時的なフォールバックとして利用可能にしておきます。
- すべてのDHCPスコープを変更する前に、1つのクライアントまたは1つのVLANでテストします。
- どのネットワークがフィルタリングをバイパスする可能性があるか、その理由を文書化します。
- ブロックルールがキャプティブポータル、仕事用VPN、ファームウェアアップデート、医療/セキュリティデバイスを壊さないことを確認します。
役立つ検証エビデンス：
クライアントが期待されるDHCPリースを取得する
クライアントが期待されるDNSリゾルバを受信する
パブリックDNSルックアップが成功する
ローカルhome.arpaルックアップが成功する
ブロック済みテストドメインが意図された場所でのみブロックされる
ゲートウェイとDNS管理インターフェースがゲストまたはIoTネットワークから到達不可である
リモートアクセスの準備
WireGuardスタイルのアクセスの場合、キーを生成したりポートを開放したりする前に、VPNが到達できる範囲を決定します。
| モード | 使用するタイミング | リスクに関する注意事項 |
|---|---|---|
| 分割トンネル（1サブネットへ） | NASまたはラボホストへのリモート管理 | ルートリストを狭く保つ |
| 分割トンネル（信頼済みサービスへ） | IPまたはDNSで選択したアプリにアクセス | 正確なファイアウォールルールが必要 |
| フルトンネル | 信頼できないネットワークや出張時 | より多くの帯域幅とDNS責任が発生 |
| オーバーレイVPN | ID管理による簡易リモートアクセス | それでもACLレビューが必要 |
オペレーターが以下を確認するまで、ポート転送を推奨しないでください。
- VPNエンドポイントにパッチが適用され、積極的にメンテナンスされていること。
- 転送されたポートが管理UIではなくVPNサービスのみに向かっていること。
- ダイナミックDNS、パブリックIPの動作、ISPのCGNATステータスが理解されていること。
- ネットワーク全体を再構築せずにピアキーを失効させられること。
- ログまたは接続ステータスで誰がいつ接続したかを確認できること。
変更手順
小さく、元に戻せる変更を好みます。
- 現在のトポロジ、IP計画、DHCP設定、DNS設定、ファイアウォールルールのスナップショットを取得します。
- ゲートウェイ、DNS、コントローラー、AP、NAS、VPNエンドポイントのインフラストラクチャアドレスを予約します。
- 重要なデバイスを移動せずに、新しいゾーンまたはVLANを作成します。
- 1つのテストクライアントを移動し、DHCP、DNS、ルーティング、インターネット、ブロック動作を検証します。
- 必要なフローに対して狭いファイアウォール例外を追加します。
- 低リスクのデバイスグループを1つ移動します。
- ユースケースを満たす最も狭いルートとファイアウォールポリシーでVPNアクセスを追加します。
- 最終状態、既知の例外、ロールバックコマンドまたはUI手順を文書化します。
レビューチェックリスト
- 各ネットワークに存在理由と明確なトラストバウンダリがあること。
- 管理インターフェースがゲスト、IoT、またはパブリックインターネットから到達可能でないこと。
- DNS障害によってオペレーターのローカル復旧能力が損なわれないこと。
- DHCPスコープの変更は、広く展開する前に1つのクライアントでテストされたこと。
- VPNクライアントが必要なルートとDNS設定のみを受け取ること。
- ファイアウォールルールはゾーン間でデフォルト拒否であり、名前付き例外があること。
- オペレーターがゲートウェイ、スイッチ、AP、DNS、VPNの管理面に引き続きアクセスできること。
- ロールバックが選択されたプラットフォームのUIまたはCLIと同じ語彙で文書化されていること。
アンチパターン
- どのスイッチポートとSSIDがどのVLANを伝送するかを把握する前にネットワークをセグメント化する。
- 管理ワークステーションを唯一到達可能な管理ネットワークから移動する。
- フォールバックDNSをテストせずにすべてのDHCPスコープをPi-holeに向ける。
- NAS、DNS、ルーター、ハイパーバイザーの管理をインターネットに直接公開する。
- VPNアクセスを完全な信頼済みLANアクセスと同等と見なす。
- 一時的に全許可ファイアウォールルールを追加し、削除するのを忘れる。
- 正確なプラットフォーム構文を確認せずに、別のベンダーやファームウェアバージョンのコマンドをコピーする。
関連情報
- スキル:
homelab-network-setup - スキル:
network-config-validation - スキル:
network-interface-health