Unifi und IoT, Vlan, Firewall Trennung
-
@ple:Nun gut, dann plan ich erstmal die Vlan für die Geräte und dann kommen die da erst mal alle rein, dann sollten die von meinen Hauptnetzwerk getrennt sein. `
Soweit ich weiß aber nur, wenn Du überall die jeweilige VLANs angibst. Ansonsten könne alle Ports alle VLANs (Trunking).Gruß,
Eric
-
Man muss Verkehr zwischen den VLANs über Firewall Rules blockieren, Corporate hat Standard Verbindung mit jedem Corporate.
Nach der deny rule kann man spezifische allow Rules erstellen zB für den Rechner mit ioBroker das diese wohl miteinander reden dürfen
Sent from my iPhone using Tapatalk
-
Wobei, ich glaub ich teil es anders auf.
vlan 0 = Home (Macbooks, Iphones, Unifi Controller, iobroker)
vlan 10 = media (firetv, Vu+ usw.)
Vlan 20 = IoT (Tasmota, XIAOMI usw)
Vlan 50 = Gast
Dann rules erstellen, dass die vlans untereinander getrennt sind.
Danach dann eine rule, dass die einzig auf den iobroker zurgreifen dürfen.
andernfalls müsste ich vlan 10 und 20 zusammenlegen, damit die Kommunikation zwischen iobroker und anderen Geräten funktioniert.
-
Ich habe von unifi nur zwei AP-Pro. Reicht das zum Einrichten von vlans, die Einstellung gibt es jedenfalls. Oder braucht man unbedingt noch einen Router von unifi?
-
Ich habe von unifi nur zwei AP-Pro. Reicht das zum Einrichten von vlans, die Einstellung gibt es jedenfalls. Oder braucht man unbedingt noch einen Router von unifi? `
Dafür benötigt man unbedingt eine USG anders geht es nicht !
Sent from my iPhone using Tapatalk
-
siehe auch hier :
https://help.ubnt.com/hc/en-us/articles … g-Hardware
The USG can be used to manage DHCP server, routing, and VLANs on your network. It would also use the Settings > Networks area to define subnets. A corporate network has no restrictions, whereas a guest network cannot communicate with other subnets on your network. The guest control settings are also applied to guest networks (i.e. wired guest portal). The default physical LAN interface's network is, by default, using untagged VLAN 1\. There can be multiple VIFs (virtual interface/VLANs) per physical LAN interface. You cannot edit the VLAN ID of the untagged subnet (it is 1 or 4010, depending on if it's LAN or VoIP subnet). The settings window looks similar for both corporate and guest networks, so we'll only picture a corporate network. Basically, enter the desired IP with CIDR, and then choose your VLAN ID. -
Ok. Muss mich Mal in das Thema einlesen. Auf Anhieb weiß ich gar nicht was vlan sind, wahrscheinlich virtuelles LAN.
Was jedenfalls schon geht, sind verschiedene WLAN s, dem Gäste WLAN habe ich weniger Bandbreite zur Verfügung gestellt. Funktioniert.
-
Hi,
also es muss nicht unbedingt ein Unifi USG sein. Es geht mit jedem Router, der VLANs beherrscht. Wenn dann noch Switche mit ins Boot kommen, sollten diese auch VLAN-fähig sein (was managed Switche meist sind). Aber zwingen Unifi USG ist nicht nötig.
Bei mir läuft ein Edgerouter 4, 3x Zyxel-Switche und 2 AP AC von Unifi problemlos.
Gruss, Jürgen
-
das stimmt unifi benutzt den algemeinen VLAN standard was bedeutet das jedes geraet mit diesem standard integrierbar ist.
Aber man kan ueber den unifi controller nur netzwerke/vlans einrichten wen eine USG vorhanden ist.
Also wen man andere geraete als eine USG benutzt kan man die netzwerkconfigurationen nicht im controller vornehmen.
MAn muss sich auch im klaren sein das managed switche notwendig sind fuer VLAN's, normale switchen routen diese meist nicht weiter
-
Also ich kann auch ohne USG im Unifi Controller ein neues Wireless LAN einrichten und diesem auch eine VLAN-ID mitgeben. Solange also ein Router im Netzwerk ein LAN mit der passenden VLAN-ID verwaltet und für diese z.B. DHCP bereitstellt und den Adressbereich festlegt, fehlt da nichts, wofür ein USG nötig wäre.
Was ohne USG nicht geht, ist das Anlegen eines neuen LANS, aber genau das macht ja dann auch jeder andere Router genausogut.
Dass es dann nicht über den Unifi Controller geht (das Einrichten des LAN) ist klar, aber zwingend nötig ist ein USG zum Einrichten und Betrieb eines Netzes mit mehreren LAN/VLAN und WLAN-Netzen nicht. Auch nicht, wenn man Unifi-AP verwendet und diese mit dem Unifi Controller verwaltet.
Wenn es nicht geht, hätte ich ein Problem, denn bei mir läuft das so. :mrgreen:
Gruss, Jürgen
-
Ich schaue mal ob ich mein System mal upgrade. Ist halt "nice" wenn alles unter dem unifi-controller läuft.
Noch eine Frage zum unifi-Adapter. Kann man damit auch schalten? Ich habe bisher irgendwie nur Werte rausgelesen, aber es nicht hinbekommen zu schalten.
Ich fände es interessant dann z.B. wenn ich einen Unifi-PoE-switch hätte, zu bestimmten Anlässen den Strom und damit den AP-Pro dahinter abzuschalten. Geht das?
-
Hast Du mal versucht, im Objekt-Tab einen entspr. Wert zu ändern?
Gruß,
Eric
Von unterwegs getippert
-
Ich glaube ändern ist nicht möglich nur Read (Vermutung)
Und zur algemein discussion, ich habe niemals behauptet das VLAN usw nicht mit anderen Geräten als einer USB geht.
Aber die Frage war bezüglich Unifi Infrastruktur und wen man es in diese Ökosystem integrieren möchte (also alles aus Controller bedienen) ist man abhängig von der USG usw
Sent from my iPhone using Tapatalk
-
Ich bezog mich auch nur auf die Aussage von lobomau, ob zwingend zum Einrichten von VLANs alles von Unifi sein muss, und da lautet die Antwort schlicht NEIN.
Klar, wer gerne alles in einer Oberfläche oder gar im ioBroker mit dem Adapter sehen will, kommt dann um komplette Unifi-Hardware nicht rum. Aber, wer ur sein Netzwerk erweitern will, der ist nicht zwingend darauf angewiesen.
Also, alles gut.
Gruss, Jürgen
-
Wenn man bereits Unifi AP's hat und man eh einen VLAN fähigen Router und eventuell Switch anschaffen will, macht eine Erweiterung mit Unifi Hardware ja absolut sinn! Das Zeug funktioniert wie geschnitten Brot!
-
Prinzipiell ja, und ich hatte anfangs auch einen USG. Aber nach und nach stellte sich heraus, dass die Hardware nicht ganz so potent ist, was man bei solchen Dingen merkt, wenn Daten nicht mehr via Hardware offloading sondern durch den Prozessor geleitet werden. Zudem nervte es zunehmend, bei jeder (!) kleinsten Änderung die komplette Neuprovisionierung abzuwarten und bei Änderungen der config.gateway.json, welche leider sehr oft nötig ist, da die Unifi-Controller-GUI viel gar nicht einstellen lässt, zu hoffen, dass der USG die Änderungen auch übernimmt und nicht plötzlich etwas anderes vergisst, was leider immer öfter vorkam.
Deshalb kaufte ich den Edgerouter 4, der muss nicht nach jeder Änderung mehrere Minuten neu provisionieren sondern frisst sie sofort und ist auch vielfach potenter, was die Hardware angeht.
Wie in den meisten Unifi-Tests auch das Fazit: Wem die Settings des Unifi-Controller und die Hardware des USG reichen, der soll das nehmen und sich freuen, dass er alles unter einam Dach hat. Wer mehr will, der sucht sich halt das Passende aus verschiedenen Welten.
BTW, UNMS (Ubiquiti Management-System abseits von Unifi) soll anscheinend Unifi langfristig auch integrieren, so wäre auch mit anderer Ubiquiti-Hardware doch alles unter einem Dach. Aber das nur am Rande…
Ansonsten würde ich den USG dennoch empfehlen, wer ihn nur einmal einrichtet und danach keine Spielchen mehr treiben will, der wird auch damit glücklich werden.
Ich werde meinen demnächst bei Ebay einstellen und gut ist...
Gruss, Jürgen
-
Du vergleichst Apfel mit Birnen…
Und die Provisioning Geschichte, jemals mit Cisco gearbeitet ist genauso.
Und Edge und und die Unify Serie sind auch 2 unterschiedlichen Sachen, Edge ist mehr pro Bereich und Unify SemiPro
Sent from my iPhone using Tapatalk
-
Hallo Leute,
ich plane den Umstieg von FritzBox auf unifi um den Datenverkehr der verschiedenen geräte zu trennen. Allerdings bin ich mir nicht sicher ob ich alles richtig verstanden habe. Hier meine Planung:
-
Internetzugang über FritzBox 6490 (Kabel)
-
FritzBox –> WAN-Port - Unifi USG
-
Console Port - Unifi USG --> Raspi 3 als Controller
-
Lan Port - Unifi USG --> HP 1080-24g Switch
-
HP Switch --> 3 x Unifi AP AC PRO mit PoE Injektoren
Angenommen ich erstelle auf den APs 4 VLANs (Home, Gast, IoT, TV). Dann müssen die Ports an dem die APs hängen in allen 4 VLANs hängen (zb. 0, 10, 20, 20). Die restlichen Ports auf dem HP Switch kann ich dann den verschiedenen VLANS zuweisen.
Miene Fragen:
Ist das soweit richtig?
Ist diese Lösung sinnvoll, oder gibt es einen besseren Ansatz?
Welche Vorteile hätte ein Unifi Switch, bis auf die Ports mit PoE?
Was haltet Ihr davon?
Danke für eure Unterstützung,
a200.
-
-
ich glaub, das ist egal wo die AP´s dranhängen, da die Vlan sich aufs Wlan beziehen.
Der Controller Port muss ein anderes Netz sein, zumindest hatte ich das mal so gelesen. Ich selber hatte den nie im Einsatz. Geplant war mal für oben und für unten in der Wohnung, aber irgendwas ging dann nicht, bin mir aber nicht mehr sicher.
Bei mir bin ich immer noch dran alles umzustellen, die Zeit fehlt halt. Hoffe ich hab es zum Wochenende soweit fertig. Aber dann kommen auch schon die nächsten Probleme, wofür ich gerne diesen Thread missbrauchen würde, da anscheinend hier Leute mitlesen, die Ahnung von Netzwerk, Mapping, Routing haben.
Ich habe noch folgendes Problem. Ich möchte gerne auf meinen Proxmox einen Openvpn laufen lassen. Meine ersten Versuche klappten soweit, nur kam ich nicht auf meine Geräte hinter Debian. Da müssen wohl Route erstellt werden oder so.
Aber das ist noch das kleinste Problem. Mein Provider ist deutsche Glasfaser, daher habe ich DualStack lite mit IPv6 und 56 Präfix. Wenn ich jetzt Openvpn nutzen will aus dem Mobilnetz oder wo ich nur IPv4 habe, brauche ich einen Portmapper. Feste-ip bin ich aktuell aber die Bandbreite ist nicht berauschend. Ist auch schon ne Wunder das ich das überhaupt am laufen bekommen habe.
Also dachte ich an einem Vserver, aber da bin ich mit dem Latein auch schon am Ende, welchen Anbieter, Leistung usw. Ich bräuchte einen der IPv4 öffentlich kann und IPv6. Dann müsste ich den Traffic von IPv4 auf IPv6 umleiten und den nach Hause schicken.
Hatte auch mal was von RED gelesen, aber das versteh ich alles nicht. IPsec kann wohl nur IPv4, fällt also auch raus.
Naja, kurz gesagt, wer hat Ahnung und kann mir ne Tip geben wie ich einen VPN nach Hause aufbauen kann?
Gruß und Danke für das tolle Forum.
-
Hallo Leute,
ich plane den Umstieg von FritzBox auf unifi um den Datenverkehr der verschiedenen geräte zu trennen. Allerdings bin ich mir nicht sicher ob ich alles richtig verstanden habe. Hier meine Planung:
-
Internetzugang über FritzBox 6490 (Kabel)
-
FritzBox –> WAN-Port - Unifi USG
-
Console Port - Unifi USG --> Raspi 3 als Controller
-
Lan Port - Unifi USG --> HP 1080-24g Switch
-
HP Switch --> 3 x Unifi AP AC PRO mit PoE Injektoren
Angenommen ich erstelle auf den APs 4 VLANs (Home, Gast, IoT, TV). Dann müssen die Ports an dem die APs hängen in allen 4 VLANs hängen (zb. 0, 10, 20, 20). Die restlichen Ports auf dem HP Switch kann ich dann den verschiedenen VLANS zuweisen.
Miene Fragen:
Ist das soweit richtig?
Ist diese Lösung sinnvoll, oder gibt es einen besseren Ansatz?
Welche Vorteile hätte ein Unifi Switch, bis auf die Ports mit PoE?
Was haltet Ihr davon?
Danke für eure Unterstützung,
a200. `
Hallo a200,
ich habe meinen Netzwerk Aufbau ähnlich realisiert. Anstatt dem HP Switch läuft bei mir ein Unifi 8-Port Switch.
Der Wlan AP steckt an dem PoE Port des Switch, damit erspare ich mir den PoE Injektor. Dieser Port hat alle Vlans zugeteilt.
Auf den restlichen Ports sind dann meine Vlans (Home, Smart, Medien, IoT und Gast), wobei Gast und IoT nur Wlan und Medien nur LAN Zugang haben. Die Port der Vlans gehen zum Teil noch auf "dumme" Switche, z.B. für Medien, da TV, Dolby-Anlage, Kabel-TV-Box und Blue-Ray-Player örtlich zusammen liegen und alle mit Netzwerkkabel verbunden sind.
Der Raspi mit der Unifi Controller Software steht im Smarthome-Netz, da er gleichzeitig als ioBroker Slave fungiert und die Abdeckung der Bluetooth Anwesenheitserkennung mit dem radar Adapter gewährleistet. Der Unifi Controller kann in jedem x-beliebigen Netzwerk arbeiten, man muss nur den Unifi Geräten per SSh-Konsole die IP-Adresse des Controller-Gerätes mitteilen (set-inform http://ip-of-controller:8080/inform).
Das einzige Problem was ich bei der Konstellation noch habe, ist die Tatsache, dass manche IoT- Geräte, wie z.B. der Broadlink RM pro+, der Xiaomi Vacuum Cleaner, mi-Light Controller, nicht im anderen Vlan (Subnetz) gefunden werden.
Für diese Geräte werde ich mal versuchen einen ioBroker Slave Raspi ins IoT Netz zu stellen und damit die Verbindung zu den Geräten aufbauen.
Oder hat hier jemand schon eine andere Lösung gefunden?
Ich werde weiter berichten!
Gruß Manolo
-
