ホームラボネットワーク準備チェックリスト は何をしますか？
このスキルは、VLAN、Pi-holeまたはその他のローカルDNSリゾルバー、ファイアウォールルール、リモートVPNアクセスが混在する家庭用または小規模ラボネットワークを変更する前に使用します。
これは計画およびレビューのためのスキルです。対象プラットフォーム、現在のトポロジー、ロールバック手順、コンソールへのアクセス方法、メンテナンスウィンドウのすべてが確認されるまでは、これをルーター、ファイアウォール、またはVPNのコピー＆ペースト設定に変換しないでください。
使用すべきタイミング
- フラットネットワークを、信頼済み、IoT、ゲスト、サーバー、管理VLANに分割する準備をするとき。
- DHCPクライアントをPi-hole、AdGuard Home、Unbound、またはその他のローカルDNSリゾルバーに移行するとき。
- WireGuard、Tailscale、ZeroTier、OpenVPN、またはルーター標準のVPNアクセスを追加するとき。
- ホームラボの変更により、オペレーターがゲートウェイ、スイッチ、アクセスポイント、DNSサーバー、VPNサーバーにアクセスできなくなるかどうかを確認するとき。
- 非形式的なホームネットワークのアイデアを、検証証拠を伴う段階的な移行計画に変換するとき。
安全ルール
- 最初の回答は読み取り専用にすること：インベントリ、リスク、段階的計画、検証、ロールバック。
- ゲートウェイ管理パネル、DNSリゾルバー、SSH、NASコンソール、VPN管理UIをパブリックインターネットに直接公開しないでください。
- 確認されたプラットフォームとロールバック手順なしに、ファイアウォール、NAT、VLAN、DHCP、VPNのコマンドを提供しないでください。
- 管理VLAN、トランクポート、ファイアウォールのデフォルトポリシー、またはDHCP/DNS設定を変更する前に、帯域外または同一部屋内のコンソールアクセスを要求してください。
- 新しいDNSリゾルバーまたはVPNルートにネットワーク全体を向ける前に、インターネットに戻る動作可能なパスを維持してください。
- IoT、ゲスト、カメラ、ラボサーバーネットワークは、オペレーターが明示的に別の方法を選択しない限り、異なるトラストゾーンとして扱ってください。
必要なインベントリ
実装手順を提供する前に、以下を収集してください：
| 領域 | 質問 |
|---|---|
| インターネットエッジ | モデムまたはONTは何ですか？ISPルーターはブリッジモードですか、それともまだルーティングしていますか？ |
| ゲートウェイ | ルーティング、ファイアウォール、DHCP処理、VPN終端は何が行っていますか？ |
| スイッチング | どのスイッチポートがアップリンク、アクセスポート、トランク、またはアンマネージドですか？ |
| Wi-Fi | どのSSIDがどのネットワークにマッピングされており、APは有線接続ですか、それともメッシュですか？ |
| アドレッシング | 現在どのサブネットが存在し、どの範囲がVPNサイトと競合していますか？ |
| DNS/DHCP | 現在、リースとリゾルバーアドレスを配布しているサービスはどれですか？ |
| 管理 | 変更後、オペレーターはどのようにゲートウェイ、スイッチ、APにアクセスしますか？ |
| 復旧 | DNS、DHCP、VLAN、またはVPNルートが壊れた場合、ローカルで何を元に戻せますか？ |
VLANとトラストゾーン計画
ベンダー固有の構文ではなく、意図から始めてください。
| ゾーン | 一般的な内容 | デフォルトポリシー |
|---|---|---|
| 信頼済み | ラップトップ、スマートフォン、管理用ワークステーション | 必要な場合のみ、共有サービスと管理にアクセス可能 |
| サーバー | NAS、Home Assistant、ラボホスト、DNSリゾルバー | 信頼済みクライアントからの限定的なインバウンドフローを受け入れる |
| IoT | テレビ、スマートプラグ、カメラ、スピーカー | インターネットアクセスと明示的な例外のみ |
| ゲスト | 訪問者デバイス | インターネットのみ、LANへの到達性なし |
| 管理 | ゲートウェイ、スイッチ、AP、コントローラー | 信頼済み管理デバイスからのみ到達可能 |
| VPN | リモートクライアント | 信頼済みクライアントと同等またはそれ以下のアクセス |
VLAN IDまたはサブネットを推奨する前に、以下を確認してください：
- ゲートウェイがVLAN間ルーティングとファイアウォールルールをサポートしていること。
- スイッチが必要なタグ付きおよびタグなしポート動作をサポートしていること。
- APがSSIDをVLANにマッピングできること。
- オペレーターが変更中にどのポートを介して接続しているかを把握していること。
- 管理ネットワークがトランクおよびSSIDの変更後も到達可能であること。
DNSフィルタリングの準備
Pi-holeまたはその他のローカルリゾルバーは、単一障害点としてではなく、依存関係として導入する必要があります。
- DHCPオプションで使用する前に、リゾルバーに予約アドレスを割り当ててください。
- パブリックDNSおよびローカルの
home.arpa名前を解決できることを確認してください。 - ゲートウェイまたは2番目のリゾルバーを一時的なフォールバックとして利用できるようにしておいてください。
- すべてのDHCPスコープを変更する前に、1台のクライアントまたは1つのVLANでテストしてください。
- フィルタリングをバイパスするネットワークとその理由を文書化してください。
- ブロックルールがキャプティブポータル、仕事用VPN、ファームウェアアップデート、医療/セキュリティデバイスを壊さないことを確認してください。
有用な検証証拠：
クライアントが期待されるDHCPリースを取得する
クライアントが期待されるDNSリゾルバーを受け取る
パブリックDNSルックアップが成功する
ローカルのhome.arpaルックアップが成功する
ブロックされたテストドメインが意図された場所でのみブロックされる
ゲートウェイとDNS管理インターフェースがゲストまたはIoTネットワークから到達可能でないこと
リモートアクセスの準備
WireGuardスタイルのアクセスの場合、キーを生成したりポートを開放したりする前に、VPNが何にアクセスできるかを決定してください。
| モード | 使用するタイミング | リスクに関する注意 |
|---|---|---|
| 1つのサブネットへのスプリットトンネル | NASまたはラボホストへのリモート管理 | ルートリストを狭く保つ |
| 信頼済みサービスへのスプリットトンネル | IPまたはDNSで選択したアプリにアクセス | 正確なファイアウォールルールが必要 |
| フルトンネル | 信頼できないネットワークまたは旅行時 | より多くの帯域幅とDNS責任 |
| オーバーレイVPN | アイデンティティ制御による簡易リモートアクセス | それでもACLのレビューが必要 |
オペレーターが以下を確認するまで、ポートフォワーディングを推奨しないでください：
- VPNエンドポイントがパッチ適用され、積極的に維持管理されていること。
- 転送されたポートが管理UIではなくVPNサービスのみに送られること。
- Dynamic DNS、パブリックIPの動作、ISPのCGNATステータスが理解されていること。
- ネットワーク全体を再構築せずにピアキーを失効させられること。
- ログまたは接続ステータスで、誰がいつ接続したかを確認できること。
変更手順
小さく、元に戻せる変更を優先してください：
- 現在のトポロジー、IP計画、DHCP設定、DNS設定、ファイアウォールルールのスナップショットを取得します。
- ゲートウェイ、DNS、コントローラー、AP、NAS、VPNエンドポイントのインフラストラクチャアドレスを予約します。
- 重要なデバイスを移動せずに、新しいゾーンまたはVLANを作成します。
- 1台のテストクライアントを移動し、DHCP、DNS、ルーティング、インターネット、ブロック動作を検証します。
- 必要なフローに対して狭いファイアウォール例外を追加します。
- リスクの低いデバイスグループを1つ移動します。
- ユースケースを満たす最も狭いルートとファイアウォールポリシーでVPNアクセスを追加します。
- 最終状態、既知の例外、ロールバックコマンドまたはUI手順を文書化します。
レビューチェックリスト
- 各ネットワークには存在理由と明確なトラスト境界があります。
- ゲスト、IoT、パブリックインターネットから管理インターフェースに到達できません。
- DNS障害によってオペレーターがローカルで復旧する能力が損なわれることはありません。
- DHCPスコープの変更は、広範囲に展開する前に1台のクライアントでテストされました。
- VPNクライアントは、必要なルートとDNS設定のみを受け取ります。
- ファイアウォールルールはゾーン間でデフォルト拒否であり、名前付きの例外があります。
- オペレーターはゲートウェイ、スイッチ、AP、DNS、VPNの管理画面に引き続きアクセスできます。
- ロールバック手順は、選択したプラットフォームのUIまたはCLIと同じ用語で文書化されています。
アンチパターン
- どのスイッチポートとSSIDがどのVLANを伝送するかを把握せずにネットワークをセグメント化する。
- 管理ワークステーションを唯一到達可能な管理ネットワークから移動する。
- フォールバックDNSをテストせずにすべてのDHCPスコープをPi-holeに向ける。
- NAS、DNS、ルーター、ハイパーバイザーの管理をインターネットに直接公開する。
- VPNアクセスを完全な信頼済みLANアクセスと同等と見なす。
- 一時的に全許可のファイアウォールルールを追加し、削除するのを忘れる。
- 正確なプラットフォーム構文を確認せずに、別のベンダーまたはファームウェアバージョンからコマンドをコピーする。
関連項目
- スキル:
homelab-network-setup - スキル:
network-config-validation - スキル:
network-interface-health