Jak spravujete UniFi jednotky na více sajtech?

svestka

Máme pár klientů, každý má jednotky až desítky UniFi jednotek. Někteří jsou ale mimo naši síť a není možnost ani procpat porty ... 🙁
Chtěli bychom jejich správu nějak "centralizovat", ideálně mít "cestovní" Unifi Key ...

Jak to děláte vy? Máte nějakou osvědčenou metodu?

Díky

jcltm

svestka Jedu všechny menší instalace s Controllerem na vlastním serveru + set-inform a jednotlivé sajty. S DHCP option se podle mě nemá cenu patlat, ne všude je to vůbec možné. Kde jsou 3 a více AP už dávám všude CloudKey.

theitman

svestka já vytvářím VPN Tunel do naší sítě, a routuju tam pouze unifi controller, případně DNS Servery pokud používají naše servery. do unifi pak vnutím adresu pomocí DHCP, nebo tam zadávám DNS název a na hlavním router pak statický překlad pro ip našeho controlleru 😉 Už jsem ale viděl tlačit data z unifi do controlleru přímo na veřejku controlleru a to si myslím, že je cesta do pekel 😉

plazer

Zdravim,
je mozne do UniFicka nahrat cez konzolu link aby sa pripojil na tvoj controller. Alebo mu ho podsunuc cez dhcp option.

https://nickschick.com/info/unifi-controller-cli-inform

Dhcp-option je lepsi - ak sa nejakym zazrakom APcko zresetuje, nie je potrebne nanovo rucne nastavit "Inform" prikaz

pedro4444

plazer ten dhcp-option skus prosim rozpisat?

pouzivame len dns preklad ale nie vzdy to ide na prvy krat tak mozno sa rad priucim ak sa to da lepsie..

plazer

Tu je navod na vytvorenie DHCP option pre mikrotik server :

https://serversideup.net/automatic-controller-assignment-unifi-dhcp-option-43-mikrotik-routers/

je to tam pekne popisane, farebne vyznacene. (Samozrejme pocita sa so zakladnou znalostou spustenia dhcp-servra na Mikrotiku)

hocimin1

Mám naistalovaný unifi cloud key na serveru x86, mám to posazené na veřekju. A všechny unifi klientů ať jsou v jakékoliv síti se k tomu připojují. Každý má svuj SITE a v něm svoje nastavení, je možné mů zřídit i přístup a může si to nastavovat sám. Mám tam něco málo pres 20 site a v každém saitu od 1 až po 10tky unifiček jednotek. Normálně to šlape. Znám víc lidi co to tak má. Centrální správa v pohodě.

Podobně jsem to mám i na mikrotikách. Mám jeden stroj na kterém běží VPN a všem lidem se k tomu jejich mikrotik AP připojí VPNkou. Pak jsem schopen to spravovat z jednoho místa.

pedro4444

hocimin1 a to unifi uplne nove musis najprv nieco v nom nastavit alebo zapojis u zakaznika mimo tvojej sieti tam mas dns upravene aby hladalo tvoje unifi na verejne a tak sa ti to napoji alebo?

hocimin1

theitman Proč myslíš, že na veřejku je to cesta do pokel. Teda pokud se nebavíme, že mám pro tu veřejku DNS záznam. Takže zadávám set-inform http://unifi.nekdevnetu.cz:8080/inform

theitman

pedro4444 Prázdné unifi má nastavenou pevnou IP 192.168.1.20 a zároveň vyhledává na DHCP kde mu přes dhcp option 43 můžeš vnutit adresu controlleru a tma ho donastavíš, nebo to hold děláš ručně...

hocimin1

pedro4444 2 možnosti: připojím si unifi , připojím sshčkem na něj a kopnu tam set-inform http://192.168.1.1:8080/inform a místo Ipčka doplním adresu controleru. nebo druhou adoptnu ho přímo přes telefon s apkou unifi. Podle toho kde jsem

pgb

hocimin1 protože na ipv4 když otevřeš takhle obecný port, jak je 8080, tak do něj začne nudit během chvíle bušit spousta automatů. Pak stačí nějaký tebou nestihnutý update, průšvih typu j4log nebo jen už nevydaná aktualizace. Druhá věc je, jak je na tom stroji nastavený firewall atd .... VPN je taková jistota, boti buší do VPN a aplikace mají klid.

hocimin1

pgb Firewall nastaven jen na 6 portu co potřebuje unifi. Na druhou stranu, nebyl by problém povolit pouze IPčka s unifkama odkud se hlásí. Když by se jim IPčko změnilo, tak si ponechají poslední nastavení a přesto by to šlo donastavit, ale byl by to opruz.

ALe i tento port se dá změnit na jiný, méně známy

Akorat netuším, jak nastavit UNIFI jednotku, aby se připojovala napřímo do VPN. Teda zdali to vůbec umí. Bez jakéhokoliv dalšího prvku

jenda_master

Provozujem to úplně stejně, proto by mě taky zajímalo proč je to cesta do pekel?
Controler na veřejce s DNS záznamem.
Původně jsme to řešili pomocí VPN, ale nakonec jsme od toho upustili, protože ne všude bylo komfortní řešit tunel.

theitman

vpn přímo z unifi není řešení navíc pochybuju že to nějak kloudně půjde, i když je to jakýsi linux , my to řešíme vpnkou na hlavní router sítě nebo router který obsluhuje ty unifi ... K tomu co o bezpečnosti napsal pgb doplním jeden dotaz. Když odchytneš komunikaci mezi tím AP a CON co uvidíš? Jsou ty informace šifrované nebo ne ? Je ta komunikace bezpečná pro vystavení do internetu, myslím tím z pohledu kontrolleru ?

pgb

theitman primárně nejde o ochranu komunikace jako takové, ta je předpokládám šifrovaná. Jestli si to člověk zabezpečí firewallem nebo VPN je jedno. Jde o to, nenechat tu aplikaci vystavenou do netu nechráněnou, protože v čase těch bezpečnostních problémů je dost. Zkuste se podívat kolik bylo kritických remote chyb v OpenSSH a kolik v projektech používajících neaktualizovaný javu. Následně dojde ke kompromitaci interního systému.

jcltm

Mně to přijde jako paranoia a nesmysl cpát unifi controller do VPN, pokud tedy ta VPN neslouží ještě něčemu dalšímu. Já mám server s kontrolerem za pfSense firewallem, kde mám whitelist na konkrétní IP, resp. někde menší rozsahy. Když by se IP náhodou změnila, prostě jenom přepíšu pravidlo ve FW. Nikdo mi do toho nebuší a mám klid. VPN je na spoustě míst jednoduše neřešitelné.

jcltm

pgb Zeptám se jinak - je tu někdo, komu už Unifi controller někdo úspěšně napadl nebo je znám takový případ? Ono totiž díra se může vyskytnout naprosto v čemkoli, i třeba v obyčejném webserveru. A firemní web si taky nedáš za VPN nebo whitelist firewall, že. Nehledě na to, že přemapovat si porty na jiné než defaultní je to nejjednodušší a nejúčinnější.

pgb

jcltm web 🙂 .... To je kapitola sama za sebe. Já měl třeba 2x kompromitovanej Drupal. Tak jsem se na to vyprdl a nasadil "staticky" generovaný web - Hugo (a je po problému).

Mikrotiky byly děravý na remote exploit několikrát včetně takovýho průšvihu že z něj šly dostat hesla v plaintextu. UBNT mělo chyby klientských jednotkách a šlo se na ně dostat taky bez problémů. Oběma těmhle problémům jsem se vyhnul díky dalšímu zabezpečení.

UBNT v kontroléru mělo naposledy log4j remote exploit na přelomu roku. Já nechci pořád něco opravovat.

jcltm

pgb Jasné, ale na tohle obyčejný IP whitelist + případná změna čísel portů podle mě fakt stačí.

pgb

jcltm jasný, to od začátku nerozporuji. Jen jsem pro to mít tam druhou vrstvu zabezpečení. Jestli je to firewall nebo VPN je jedno, jen bych to nenechával sedět na veřejné IP jen tak.

Další stránka »