VLAN manajemen sakelar yang duduk di jaringan datar yang sama dengan stopkontak pintar Anda adalah salah satu kesalahan jaringan rumah paling umum — dan paling dapat dieksploitasi. Setelah perangkat IoT dikompromikan, kompromi tersebut menjadi pergerakan lateral ke laptop kerja Anda, NAS Anda, dan ponsel Anda. Mensegmentasikan jaringan rumah Anda ke dalam VLAN (mengisolasi lalu lintas IoT, tamu, kerja, dan manajemen) adalah peningkatan keamanan termurah yang dapat Anda berikan kepada diri sendiri. Ketujuh aplikasi ini untuk segmentasi VLAN jaringan rumah di desktop adalah perangkat toolkit-nya.
Pilihan-pilihan tersebut mencakup tumpukan perutean-firewall (di mana aturan berada), alat pemantauan jaringan (sehingga Anda dapat melihat apakah itu berfungsi), dan alat dokumentasi (sehingga Anda ingat apa yang Anda lakukan).
Apa yang harus dicari dalam kit alat segmentasi VLAN
- Router/firewall yang mendukung VLAN bertag (802.1Q). Ini adalah dasarnya. Router konsumen dari Linksys dan Netgear sering kali tidak mendukung ini, yang merupakan alasan mengapa sebagian besar rumah memiliki jaringan datar.
- Aturan firewall per-VLAN. Tidak cukup untuk memisahkan lalu lintas — Anda perlu memblokir pergerakan lateral antar VLAN.
- Sakelar terkelola yang menghormati VLAN bertag. Perangkat lunak membantu, tetapi Anda memerlukan perangkat keras yang tidak akan menghapus tag.
- Alat visibilitas untuk melihat apa yang sebenarnya ada di setiap VLAN.
- Sistem dokumentasi sehingga Anda tahu untuk apa setiap VLAN enam bulan kemudian.
- Cara menjembatani perangkat terisolasi saat Anda membutuhkannya. (Aplikasi rumah pintar menjangkau IoT dari ponsel Anda.)
Perbandingan cepat
| Aplikasi | Terbaik untuk | Paket gratis | Harga awal | Platform |
|---|---|---|---|---|
| pfSense Community Edition | Router/firewall sumber terbuka | Ya, sepenuhnya | Gratis | PC x86, virtual |
| OPNsense | Fork pfSense sumber terbuka | Ya, sepenuhnya | Gratis | PC x86, virtual |
| UniFi Network | UX terbaik untuk penyiapan VLAN | Ya (dengan perangkat keras) | Perangkat lunak gratis, perangkat keras bervariasi | Klien Web/Mac/Win/Linux |
| OpenWrt | Tujuan ulang router konsumen lama | Ya, sepenuhnya | Gratis | Router yang kompatibel |
| Wireshark | Penangkapan dan analisis paket | Ya, sepenuhnya | Gratis | Win/Mac/Linux |
| Tailscale | Jembatani VLAN terisolasi | Ya (Pribadi) | Sekitar $5/pengguna/bu (Premium) | Win/Mac/Linux/iOS/Android |
| Zabbix | Pantau lalu lintas per-VLAN | Ya (sumber terbuka) | Gratis | Server Linux |
| NetBox | Dokumentasikan alokasi IP/VLAN | Ya (sumber terbuka) | Gratis | Server Linux |
Aplikasi-aplikasi
1. pfSense Community Edition, fondasi
pfSense Community Edition adalah router/firewall berbasis FreeBSD sumber terbuka yang menjalankan sebagian besar jaringan rumah yang layak dibicarakan. Versi CE gratis, berfitur lengkap, dan memiliki dukungan VLAN di mana-mana: antarmuka bertag, aturan firewall per-VLAN, cakupan DHCP per-VLAN, DNS per-VLAN.
Penyihir penyiapan memandu Anda melalui VLAN pertama dengan bersih. UI web sudah ketinggalan zaman tetapi setiap fitur yang Anda butuhkan ada di sana. Perangkat komersial yang dipertahankan Netgate dimulai sekitar $200, tetapi sebagian besar pengguna rumah menjalankan pfSense di mini-PC Protectli atau PC bisnis yang diselamatkan.
Di mana itu jatuh pendek: UI dari tahun 2014 dan terlihat seperti itu. Ekosistem paket menyusut dibandingkan dengan OPNsense. Perubahan lisensi baru-baru ini Netgate di sekitar CE telah membuat beberapa anggota komunitas gugup.
Harga:
- Gratis: Community Edition
- Berbayar: Langganan Netgate Plus mulai sekitar $150/tahun
Platform: PC x86, mesin virtual, perangkat Netgate.
Unduh: pfSense Community Edition di pfsense.org
Garis bawah: Pilih ini jika Anda menginginkan router/firewall rumah yang paling teruji dalam pertempuran dan dapat mentolerir UI era 2014.
2. OPNsense, fork modern
OPNsense bercabang dari pfSense pada tahun 2015 dan celahnya telah melebar sejak saat itu. UI lebih bersih, ritme rilis lebih cepat, dan ekosistem paket sekarang mengungguli pfSense. Penyiapan VLAN adalah area di mana OPNsense paling jelas memimpin: penyihir antarmuka dan aturan adalah salah satu yang paling bersih di router/firewall mana pun.
Sistem plugin membuat penambahan fitur (Wazuh, CrowdSec, Wireguard, AdGuard) hampir sepele. Business Edition dari Deciso menambahkan GeoIP dan fitur enterprise lainnya, tetapi Community Edition memiliki semua yang dibutuhkan pengguna rumah.
Di mana itu jatuh pendek: Beberapa paket pfSense tidak memiliki setara OPNsense. Responsivitas UI web dapat tertinggal pada perangkat keras yang lebih rendah (di bawah 2 GB RAM). Dokumentasi lebih tipis dari pfSense.
Harga:
- Gratis: Community Edition
- Berbayar: Business Edition sekitar €170/tahun
Platform: PC x86, mesin virtual, perangkat Deciso.
Unduh: OPNsense di opnsense.org
Garis bawah: Pilih ini jika Anda menginginkan UX penyiapan VLAN paling bersih di ruang router sumber terbuka.
3. UniFi Network, UX terbaik
UniFi Network adalah manajemen web-dan-aplikasi Ubiquiti untuk perangkat keras mereka. Jika Anda membeli gateway UniFi dan sakelar, penyiapan VLAN adalah klik-dan-klik di UI web: buat jaringan, pilih ID VLAN, pasang titik akses, seret aturan. Tampilan Site Manager menunjukkan kepada Anda perangkat mana yang ada di VLAN mana sekali pandang.
Tangkapannya adalah penguncian perangkat keras. UniFi Network hanya berfungsi dengan perangkat keras UniFi. Penyiapan pemula (Dream Machine + beberapa sakelar dan AP) menjalankan $600 hingga $1000. Di dalam ekosistem itu, pengalamannya adalah yang terbaik di ruang jaringan rumah.
Di mana itu jatuh pendek: Penguncian perangkat keras. Perangkat lunak memiliki gangguan berkala ketika siklus pembaruan Ubiquiti mengirimkan bug. Aturan firewall tingkat lanjut memerlukan CLI, yang sebagian besar pengguna tidak akan sentuh.
Harga:
- Gratis: Perangkat lunak gratis dengan pembelian perangkat keras
- Berbayar: Biaya perangkat keras bervariasi; penyiapan pemula sekitar $400 hingga $1000
Platform: Perangkat keras UniFi diperlukan. UI manajemen berbasis browser dan juga memiliki aplikasi Win/Mac/Linux/iOS/Android.
Unduh: UniFi Network di ui.com
Garis bawah: Pilih ini jika Anda menginginkan UX jaringan rumah terbaik dan tidak keberatan dengan biaya perangkat keras.
4. OpenWrt, tujuan ulang router lama
OpenWrt berflash ke router konsumen dan mengubahnya menjadi kotak Linux dengan dukungan VLAN di mana-mana. Jika Anda memiliki Archer TP-Link atau Linksys WRT yang tidak digunakan, OpenWrt dapat memberikannya kehidupan kedua sebagai sakelar yang mendukung VLAN untuk segmen lab terisolasi.
UI web LuCI menangani konfigurasi VLAN dengan bersih. Daftar router yang didukung komunitas sangat besar. Kelemahan adalah bahwa flashing tidak selalu trivial — beberapa router akan batu bata ketika berflash salah, dan tidak semua perangkat keras konsumen mendukung OpenWrt sama sekali.
Di mana itu jatuh pendek: Kompatibilitas perangkat keras hit-or-miss. Proses flashing dapat bata router untuk urutan yang salah. CPU dan RAM pada router konsumen yang lebih tua membatasi fitur apa yang dapat Anda jalankan.
Harga:
- Gratis: Sepenuhnya open source
Platform: Router yang kompatibel (periksa openwrt.org/toh).
Unduh: OpenWrt di openwrt.org
Garis bawah: Pilih ini jika Anda memiliki router lama yang mendukung OpenWrt dan ingin menggunakannya kembali sebagai jembatan yang mendukung VLAN.
5. Wireshark, penangkapan paket
Wireshark adalah penganalisis paket yang memberitahu Anda apakah segmentasi VLAN Anda benar-benar berfungsi. Atur port cermin di sakelar terkelola Anda, arahkan Wireshark ke dalamnya, dan verifikasi bahwa lalu lintas VLAN tidak kebocoran di antara segmen. Ini adalah langkah “percaya tetapi verifikasi” yang sebagian besar pengguna rumah lewati.
Rilis 4.x meningkatkan cakupan dekoder untuk protokol modern (HTTP/3, Tailscale, WireGuard) dan tampilan Percakapan baru membuat akuntansi lalu lintas per-VLAN jauh lebih mudah.
Di mana itu jatuh pendek: Kurva belajar itu nyata. Wireshark adalah alat untuk orang-orang yang tahu apa yang mereka cari; pengguna baru dapat menghabiskan satu jam tanpa menemukan apa yang mereka butuhkan.
Harga:
- Gratis: Sepenuhnya open source
Platform: Windows, macOS, Linux.
Unduh: Wireshark di wireshark.org
Garis bawah: Pilih ini untuk langkah verifikasi “apakah segmentasi VLAN saya benar-benar berhasil”. Setiap jaringan rumah dengan VLAN mendapat manfaat darinya.
6. Tailscale, jembatani VLAN terisolasi
Tailscale menyelesaikan masalah “Saya mensegmentasikan IoT saya ke VLAN yang tidak dapat menjangkau internet, tetapi sekarang Home Assistant saya di jaringan utama saya tidak dapat menjangkau perangkat”. Mesh VPN Tailscale memberi setiap perangkat IP stabil di seluruh VLAN dan internet, sehingga Anda dapat merutekan lalu lintas tertentu di seluruh segmentasi tanpa menjatuhkannya.
Fitur MagicDNS memungkinkan Anda menjangkau homeassistant.tail-scale.ts.net dari mana saja, pada perangkat apa pun, tanpa membuat lubang di firewall Anda. Peningkatan ACL baru-baru ini menambahkan aturan yang sadar VLAN per-perangkat, yang dulunya hanya CLI.
Di mana itu jatuh pendek: Tingkat gratis murah hati tetapi terbatas pada 100 perangkat, yang rumah pintar dapat mencapai. Beberapa router (terutama tingkat enterprise) memerlukan konfigurasi tambahan untuk mengizinkan UDP Tailscale. Paket gratis mendukung satu pemilik Tailnet, yang baik untuk penggunaan tunggal tetapi membatasi penyiapan keluarga.
Harga:
- Gratis: Paket Pribadi (100 perangkat, satu pengguna)
- Berbayar: Sekitar $6/pengguna/bu (Premium); harga enterprise bervariasi
Platform: Windows, macOS, Linux, iOS, Android, plus dukungan OS router.
Unduh: Tailscale di tailscale.com
Garis bawah: Pilih ini untuk menjembatani akses lintas VLAN tanpa melemahkan aturan firewall Anda.
7. Zabbix, pemantauan per-VLAN
Zabbix memantau antarmuka jaringan, termasuk sub-antarmuka VLAN individual, dengan resolusi per-detik. Setelah Anda memiliki segmentasi VLAN, Zabbix memberi tahu Anda apa yang benar-benar mengalir melalui setiap segmen sehingga Anda dapat mendeteksi lalu lintas lateral yang tidak biasa atau perangkat yang bising.
Rilis 7.x menambahkan UI web yang lebih bersih dan dasbor yang ditingkatkan. Zabbix Agent berjalan di Windows, macOS, dan Linux, jadi Anda dapat memantau perangkat di setiap VLAN secara langsung. Polling SNMPv3 terhadap router atau sakelar Anda memberikan statistik lalu lintas per-VLAN.
Di mana itu jatuh pendek: Penyiapan awal berat — Anda memerlukan server Linux (atau wadah), database, dan satu jam pekerjaan konfigurasi. UI memiliki kurva belajar.
Harga:
- Gratis: Sepenuhnya open source
Platform: Server Linux (dengan agen Windows/Mac/Linux opsional).
Unduh: Zabbix di zabbix.com
Garis bawah: Pilih ini jika Anda menginginkan visibilitas jangka panjang ke dalam pola lalu lintas per-VLAN dan Anda memiliki kotak Linux untuk menjalankannya.
8. NetBox, dokumentasikan alokasi VLAN
NetBox adalah alat IPAM (manajemen alamat IP) dan DCIM (manajemen infrastruktur pusat data) yang digunakan oleh penyedia layanan. Enam bulan setelah Anda menyiapkan VLAN 20 untuk “laptop kantor,” Anda akan lupa port sakelar mana yang ditandai, apa IP gateway, dan cakupan DHCP mana yang melayaninya. NetBox menyelesaikan ini.
Impor CSV memungkinkan Anda memuat jaringan yang ada secara massal. Tampilan grafik menunjukkan tumpang tindih alokasi VLAN dan konflik. Sistem Custom Fields memungkinkan Anda menandai VLAN dengan catatan seperti “penomoran ulang ketika saya memindahkan sakelar IoT.”
Di mana itu jatuh pendek: Berlebihan untuk jaringan rumah VLAN tunggal. Penyiapan adalah yang paling berat di daftar ini — Postgres, Redis, Python, server web. UI memprioritaskan kebenaran atas kecepatan.
Harga:
- Gratis: Sepenuhnya open source (edisi komunitas)
- Berbayar: NetBox Cloud mulai sekitar $300/bulan untuk hosting yang dikelola
Platform: Server Linux (Docker compose bekerja dengan baik).
Unduh: NetBox di netbox.dev
Garis bawah: Pilih ini jika Anda telah menyiapkan empat VLAN atau lebih dan Anda ingin dokumentasi tetap jujur.
Cara memilih yang tepat
Untuk penyiapan rumah dasar dengan dua atau tiga VLAN: OPNsense + sakelar terkelola + Wireshark untuk verifikasi. UI OPNsense memandu Anda melalui penyiapan VLAN; Wireshark memverifikasinya.
Untuk rumah tangga UniFi yang sudah ada: UniFi Network untuk lapisan routing/firewall, ditambah Wireshark untuk verifikasi. UniFi menangani sisanya.
Untuk penyiapan dengan router konsumen lama yang ingin Anda tujuan ulang: OpenWrt pada router sekunder, dihadapkan OPNsense atau pfSense pada Protectli di tepi.
Untuk disiplin dokumentasi: NetBox. Bahkan untuk tiga VLAN, itu membayar sendiri setelah enam bulan.
Untuk akses lintas VLAN tanpa melemahkan firewall Anda: Tailscale. Ini adalah cara paling bersih untuk menjangkau perangkat terisolasi dari ponsel Anda.
FAQ
Apakah saya membutuhkan VLAN di jaringan rumah saya?
Jika Anda memiliki perangkat IoT apa pun (stopkontak pintar, kamera, bel pintu, asisten suara) dan Anda juga memiliki laptop kerja atau NAS, ya. IoT yang dikompromikan adalah titik masuk paling umum untuk serangan jaringan rumah, dan jaringan datar mengubah satu perangkat buruk menjadi risiko pergerakan lateral.
Bisakah saya melakukan VLAN tanpa membeli router baru?
Jika router yang ada kompatibel dengan OpenWrt, ya. Jika tidak, rencanakan untuk mengganti router (dengan pfSense/OPNsense di mini-PC, atau dengan perangkat keras UniFi) atau tambahkan router yang mendukung VLAN terpisah di antara yang ada dan jaringan lainnya.
Apakah OPNsense atau pfSense lebih baik untuk penggunaan rumah?
OPNsense untuk penyiapan baru pada tahun 2026. UI lebih bersih, ritme rilis lebih cepat, dan ekosistem plugin lebih besar. pfSense masih sangat baik dan memiliki lebih banyak dokumentasi, jadi jika Anda menemukan tutorial pfSense lebih mudah diikuti, itu adalah alasan yang valid untuk memilihnya.
Apa cara termurah untuk mendapatkan segmentasi VLAN?
Flash router yang kompatibel dengan OpenWrt (TP-Link Archer C7 bekas berjalan sekitar $40 bekas) dan pasangkan dengan sakelar terkelola TP-Link TL-SG108E (sekitar $30). Total di bawah $70. Tidak begitu bersih seperti OPNsense + Protectli + sakelar UniFi, tetapi berhasil.
Apakah saya memerlukan sakelar pintar untuk VLAN bekerja?
Ya. Tag VLAN membutuhkan sakelar yang menghormati 802.1Q. Sakelar yang tidak dikelola menghapus tag dan merusak segmentasi. TP-Link TL-SG108E dan Netgear GS308E adalah opsi yang paling dapat diandalkan termurah di bawah $40.
