Привет, я пытаюсь изолировать VLAN’ы на USG. У меня USG, подключённый к коммутатору Unifi. Насколько я понимаю, сделать это через контроллер нельзя, поэтому собираюсь попробовать через ssh, хотя, честно говоря, понятия не имею, что делаю!

Следую инструкции на форуме edgemax от UBNT-stig, но хочу убедиться, что всё делаю правильно.

Вот мои VLAN’ы и подсети, настроенные в контроллере:

Интерфейс      IP-адрес                       S/L  Описание  
---------      ----------                     ---  -----------  
eth1           192.168.1.1/24                 u/u  
eth1.5         192.168.5.1/24                 u/u  
eth1.10        192.168.10.1/24                u/u  
eth1.11        192.168.11.1/24                u/u  
eth1.12        192.168.12.1/24                u/u  
eth1.13        192.168.13.1/24                u/u  
eth1.14        192.168.14.1/24                u/u  
eth1.15        192.168.15.1/24                u/u  
eth1.16        192.168.16.1/24                u/u  
eth1.17        192.168.17.1/24                u/u  
eth1.18        192.168.18.1/24                u/u  
eth1.19        192.168.19.1/24                u/u  
eth1.20        192.168.20.1/24                u/u  
eth1.21        192.168.21.1/24                u/u  
eth1.22        192.168.22.1/24                u/u  
eth1.23        192.168.23.1/24                u/u  
eth1.24        192.168.24.1/24                u/u  
eth1.31        192.168.31.1/24                u/u  
eth1.32        192.168.32.1/24                u/u  
eth1.33        192.168.33.1/24                u/u  
eth1.34        192.168.34.1/24                u/u  
eth1.35        192.168.35.1/24                u/u  
eth2           -                              A/D  

Контроллер работает через eth1, подсеть 192.168.1.1. У нас также есть ПК, работающие в этом VLAN/подсети — нужно ли включать 192.168.1.1 в список ниже или это заблокирует контроллер?

eth1.5 — 192.168.1.5 — гостевой VLAN. Предполагаю, что этот VLAN/подсеть включать не нужно, так как он уже изолирован?

Для начала создаём firewall-группу из LAN-сетей, которые нужно заблокировать:

show firewall group network-group VLAN_NETS {  
   network 192.168.10.0/24  
   network 192.168.11.0/24  
   network 192.168.12.0/24  
   network 192.168.13.0/24  
   network 192.168.14.0/24  
   network 192.168.15.0/24  
   network 192.168.16.0/24  
   network 192.168.17.0/24  
   network 192.168.18.0/24  
   network 192.168.19.0/24  
   network 192.168.20.0/24  
   network 192.168.21.0/24  
   network 192.168.22.0/24  
   network 192.168.23.0/24  
   network 192.168.24.0/24  
   network 192.168.31.0/24  
   network 192.168.32.0/24  
   network 192.168.33.0/24  
   network 192.168.34.0/24  
   network 192.168.35.0/24  
}

Далее создаём firewall-группу для адресов роутера, чтобы VLAN’ы могли общаться с USG (192.168.1.1):

show firewall group address-group ROUTER_IP {  
   address 192.168.10.1  
   address 192.168.11.1  
   address 192.168.12.1  
   address 192.168.13.1  
   address 192.168.14.1  
   address 192.168.15.1  
   address 192.168.16.1  
   address 192.168.17.1  
   address 192.168.18.1  
   address 192.168.19.1  
   address 192.168.20.1  
   address 192.168.21.1  
   address 192.168.22.1  
   address 192.168.23.1  
   address 192.168.24.1  
   address 192.168.31.1  
   address 192.168.32.1  
   address 192.168.33.1  
   address 192.168.34.1  
   address 192.168.35.1  
}

Потом создаём набор правил firewall, чтобы разрешить доступ в интернет, разрешить доступ к роутеру и заблокировать сети VLAN:

show firewall name VLAN_IN default-action accept  
rule 10 {  
   action accept  
   destination {  
       group {  
           address-group ROUTER_IP  
       }  
   }  
}  
rule 20 {  
   action drop  
   destination {  
       group {  
           network-group VLAN_NETS  
       }  
   }  
}

Наконец применяем к VLAN-интерфейсам:

show interfaces ethernet eth2  
duplex auto  
vif 10 {  
   address 192.168.10.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 11 {  
   address 192.168.11.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 12 {  
   address 192.168.12.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 13 {  
   address 192.168.13.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 14 {  
   address 192.168.14.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 15 {  
   address 192.168.15.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 16 {  
   address 192.168.16.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 17 {  
   address 192.168.17.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 18 {  
   address 192.168.18.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 19 {  
   address 192.168.19.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 20 {  
   address 192.168.20.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 21 {  
   address 192.168.21.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 22 {  
   address 192.168.22.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 23 {  
   address 192.168.23.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 24 {  
   address 192.168.24.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 31 {  
   address 192.168.31.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 32 {  
   address 192.168.32.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 33 {  
   address 192.168.33.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 34 {  
   address 192.168.34.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}  
vif 35 {  
   address 192.168.35.1/24  
   firewall {  
       in {  
           name VLAN_IN  
       }  
   }  
}

Стоит ли заменить ‘ROUTER_IP’ на 192.168.1.1?  
И вообще, всё остальное будет работать, если просто скопировать и вставить?  

Извиняюсь за отсутствие знаний в этой области — надеюсь, в будущих обновлениях появится возможность сделать это напрямую из контроллера?!

Дэйв