In una rete piatta, la lampadina IoT compromessa parla direttamente col NAS dei backup. Le VLAN spezzano questa promiscuità: reti logiche separate sullo stesso hardware, con un firewall che decide chi può parlare con chi.
Uno schema domestico/lab sensato: VLAN per i dispositivi fidati, una per l'IoT (che di default non raggiunge nulla, se non internet dove serve), una per gli ospiti, una per il management (Proxmox, switch, IPMI – raggiungibile solo da postazioni precise) e una per i server. Regola di default-deny tra le VLAN, aperture puntuali e loggate.
Servono switch e access point VLAN-aware (802.1Q) e un router/firewall che faccia da arbitro – OPNsense/pfSense o un Mikrotik. È defense in depth applicata alla LAN: il breach resta confinato nel suo recinto. Nell'homelab con Proxmox, le VLAN si portano fin dentro i bridge delle VM.