Умный дом в отдельном VLAN: что нужно Алисе, Matter и HA

Отдельный VLAN для умного дома работает с Алисой, если соблюсти одно правило: Станция или Хаб Яндекса должны находиться в одной сети с Wi-Fi- и Matter-устройствами, которыми они управляют. Изолировать нужно не устройства друг от друга, а весь IoT-сегмент от ваших ноутбуков и телефонов, правилами межсетевого экрана. Гостевая сеть и изоляция клиентов (AP Isolation) ломают работу: Яндекс прямо просит их не использовать. Для Matter в IoT-сегменте нужны mDNS, IGMP и IPv6. Добавлять новые устройства придётся с телефона, временно подключённого к IoT-сети.

Требования Яндекса к сети

Из справки «Настроить сеть и окружение» и «Устройство не подключается»:

Требование	Что это значит для VLAN
Многие устройства работают только на 2,4 ГГц; объединение диапазонов (Smart Connect, Band Steering) отключить, сетям дать разные имена	В IoT-VLAN сделайте отдельный SSID 2,4 ГГц
Колонку, хаб, ноутбуки и ТВ подключать к 5 ГГц, чтобы разгрузить 2,4 ГГц	В том же IoT-VLAN можно поднять и SSID 5 ГГц для Станций
Выключить AP Isolation / Client Isolation	Внутри IoT-сегмента устройства должны видеть друг друга
Не использовать гостевую сеть (Guest Network)	Гостевой режим роутера не годится как «IoT-сеть»
Скрытые сети не поддерживаются	Включите SSID broadcast
Шифрование WPA2-PSK (AES); WPA, WEP и WPA3-Personal поддерживают не все	Не включайте на IoT-SSID только WPA3
Для Matter: mDNS/Bonjour, IGMP Proxy/Snooping, IPv6 на WAN/LAN	Эти функции должны работать именно в IoT-VLAN
Колонка и Matter-устройство в одной локальной Wi-Fi-сети	Станция и Matter-устройства — в одном VLAN
При подключении Matter приложение берёт данные Wi-Fi-сети смартфона	На время добавления подключите телефон к IoT-SSID 2,4 ГГц
Matter over Thread к колонкам и хабу Яндекса сейчас не подключается	Thread-устройства в этой схеме не участвуют

Zigbee-устройства общаются с хабом по радио, а не через ваш Wi-Fi. VLAN их не касается, важно только, где стоит сама Станция или Хаб.

Схема сегментов

Сегмент	Кто там	Доступ
Доверенный	Телефоны, ноутбуки, NAS	В интернет; в IoT-сегмент — по нужным портам
IoT	Станции, Хаб Яндекса, Wi-Fi и Matter-устройства, ESPHome, по возможности сервер Home Assistant	В интернет; к роутеру за DHCP и DNS; в доверенный сегмент новые соединения запрещены
Гостевой	Гости	Только интернет

Home Assistant лучше держать в IoT-сегменте. В документации HA для Matter сказано, что Wi-Fi-устройства Matter должны быть в том же VLAN, что и Home Assistant. Протокол рассчитан на обычные домашние сети и может плохо работать с VLAN, фильтрацией multicast и неисправным IGMP snooping (Matter в HA). Из доверенной сети вы открываете интерфейс HA по его адресу, для этого хватает одного разрешающего правила.

Правила межсетевого экрана

Названия пунктов зависят от роутера. Логика такая:

1. IoT → интернет: разрешить. Станциям интернет нужен для большинства запросов: без него голосом можно запускать сценарии и управлять Zigbee и Matter только на Станции 3 и Станции Миди (сценарии без интернета). Облачные устройства без интернета не работают.
2. IoT → роутер (DHCP, DNS): разрешить.
3. Доверенный → IoT: разрешить нужное. Это веб-интерфейс HA, а если ESPHome Dashboard стоит в доверенной сети, ещё API ESPHome (TCP 6053 по умолчанию, api) и OTA (по умолчанию 3232 для ESP32 и 8266 для ESP8266, ota).
4. IoT → доверенный: запретить новые соединения, ответы на уже установленные пропускать (established/related).
5. mDNS между сегментами: только если сервисы, которые ищут устройства, стоят в доверенной сети. Иначе не нужно.

Отдельного «открыть только UDP 5353, и всё заработает» нет: mDNS отвечает только за обнаружение, а само подключение идёт по своим портам.

Если Home Assistant в другом VLAN

Что ломается	Почему	Решение из документации
ESPHome-устройства offline в Dashboard, не находятся .local	ESPHome использует mDNS, multicast между подсетями не проходит	Статический IP через manual_ip и use_address; либо Avahi на обеих подсетях и разрешение UDP на 224.0.0.251:5353 (ESPHome FAQ)
Интеграция Yandex.Station не видит колонку локально	Локальные колонки ищутся по mDNS (zeroconf)	Закрепить IP колонки на роутере и прописать host в конфигурации (README)
Matter-устройства не добавляются в HA	Нужны локальный IPv6 и mDNS в одном сегменте	Держать HA и Matter-устройства в одном VLAN (Matter в HA)
Обнаружение интеграций в HA	Zeroconf вещает на интерфейсах, выбранных в интеграции Network	Добавить HA интерфейс в IoT-VLAN; проверить Настройки → Система → Сеть → Zeroconf Browser (zeroconf)

Пример для ESPHome со статическим адресом (синтаксис из документации Wi-Fi):

wifi:
  ssid: !secret iot_ssid
  password: !secret iot_password
  manual_ip:
    static_ip: 192.168.20.50
    gateway: 192.168.20.1
    subnet: 255.255.255.0
    dns1: 192.168.20.1

Пример для колонки с закреплённым адресом (из README Yandex.Station; device_id видно в приложении):

yandex_station:
  devices:
    12345678901234567890:
      host: 192.168.20.30
      name: Яндекс Станция

Как закрепить адрес Станции на роутере, описано в «статическом DHCP для Станции».

Передача устройств из HA в Алису через облачное подключение Yandex Smart Home держит постоянное соединение из HA наружу (тип подключения). Входящие правила для неё не нужны. Прямое подключение требует, чтобы HA был доступен из интернета по HTTPS.

Порядок переноса

1. Запишите текущие настройки роутера. Этот совет есть в справке Яндекса, а для VLAN он вдвойне полезен. Убедитесь, что из доверенной сети сохраняется доступ к интерфейсу роутера.
2. Создайте IoT-VLAN с DHCP и два SSID: 2,4 ГГц для устройств и, по желанию, 5 ГГц для Станций. Шифрование WPA2-PSK (AES), имя не скрывать, изоляция клиентов выключена. Для Matter включите mDNS, IGMP Snooping/Proxy и IPv6.
3. Перенесите одно Wi-Fi-устройство. У устройств Яндекса в настройках есть Сменить сеть или Настроить заново (справка). Колонку перенастраивают так: Дом с Алисой → колонка → Настройки → Настроить заново (справка).
4. Проверьте управление голосом, из приложения и из HA, сценарии и обновление состояния в карточке.
5. Переносите Станцию вместе с её Matter-устройствами: справка требует, чтобы колонка и Matter-устройство были в одной локальной сети.
6. Последним шагом включите правило «IoT → доверенный: запретить» и повторите проверку.

Что делать, если перестало работать

Симптом	Причина	Действие
Matter-устройство не добавляется	Телефон в доверенной сети или на 5 ГГц; нет IPv6 или mDNS в IoT-VLAN	Телефон — на IoT-SSID 2,4 ГГц; включить IPv6 и mDNS. Подробнее: «Matter не подключается»
Станция отваливается от Wi-Fi после переноса	Настройки нового SSID расходятся с рекомендациями Яндекса: скрытое имя, WPA3, объединение диапазонов	Вернуть видимый SSID, WPA2-PSK (AES), развести 2,4 и 5 ГГц. См. «Станция теряет Wi-Fi»
Устройства в IoT не видят друг друга	Включена изоляция клиентов или используется гостевая сеть	Выключить AP Isolation, использовать обычный VLAN
Всё работает, кроме обнаружения в HA	mDNS не доходит до HA	Перенести HA в IoT-VLAN или прописать адреса вручную
Локальные сценарии без интернета не работают для Matter и Wi-Fi	Роутер выключен	По справке локальным сценариям с Wi-Fi- и Matter-устройствами нужен включённый роутер, Zigbee работает и без него (сценарии без интернета)

Если что-то не заработало, сначала проверьте устройство на прежней «плоской» сети. Работает там — дело в сегментации, и сбрасывать устройство не нужно.

Источники

• Справка Яндекса: настроить сеть и окружение для умного дома
• Справка Яндекса: устройство не подключается
• Справка Яндекса: настроить колонку заново или изменить сеть
• Справка Яндекса: сценарии без интернета
• Home Assistant: Matter
• Home Assistant: Zeroconf
• ESPHome FAQ
• ESPHome: Wi-Fi
• ESPHome: Native API
• ESPHome: OTA
• Yandex.Station для Home Assistant (README)
• Yandex Smart Home: тип подключения