Пытаюсь создать VLAN для управления.

Пытаюсь создать VLAN для управления., UniFi Network

cyberGardener

Guest

20.04.2025 20:17:00

Пытаюсь перенести все мои switch, gateway max и cloud key+ с vlan по умолчанию на отдельную vlan. Но когда я пытаюсь назначить порт для любого из этих компонентов, возникают проблемы. Вот мои шаги:

1. Создал vlan100, назначил диапазон IP-адресов, проверил работу DHCP, подключив к порту vlan100 тестовое устройство.
2. Установил для порта, соединяющего мой switch и gateway, vlan100 в качестве родной (не помогает ни разрешать, ни блокировать тегированные vlans).
3. Когда я настраиваю порт моего switch для cloud key+ с родной vlan100, начинаются проблемы. Gateway max становится "offline", но при этом остается функциональным, так как интернет доступен. Cloud Key+ иногда показывает новый IP-адрес из vlan100, а иногда не получает его.

Все остальные устройства, подключенные к vlan100, не получают IP-адрес, а ранее подключенные устройства перестают общаться друг с другом.

Устройства, подключенные к vlan по умолчанию, по-прежнему могут общаться с интернетом.

Какие есть идеи, что я делаю не так? Нужно ли мне дополнительные правила FW, кроме правил на основе зон "Internal", которые создаются по умолчанию?

gregorio Guest	#2 21.04.2025 02:44:00 Не разрешать подключение пользовательских устройств к VLAN1 обычно достаточно, чтобы остановить их в Unifi, где нет поддержки Dynamic Trunk Ports.

BayAreaRemoteProductions Guest	#3 21.04.2025 01:52:00 И это совершенно нормально, если у вас есть пустой Default (VLAN 1) без клиентов и включена изоляция клиентов на уровне коммутатора для любых устройств, которые каким-то образом туда попадут.

cyberGardener Guest	#4 20.04.2025 22:28:00 Основная цель этого эксперимента – разобраться, что такое VLANы и как они работают. Спасибо за ответ.

cyberGardener Guest	#5 20.04.2025 22:23:00 Спасибо за такой интересный взгляд! Попробую это.

dlow

Guest

20.04.2025 22:14:00

Если это что-то академическое, сначала нужно установить базовый уровень, где продемонстрируешь, что атака с двойным тегом работает. Тогда, когда ты внедришь меры защиты, ты сможешь показать, что атака больше не жизнеспособна. Иначе, слепо менять свою сеть, потому что кто-то так сказал… это всё равно, что переставлять стулья на тонущем "Титанике". Ура! Ты перенес VLAN управления, но ты всё ещё подвержен атаке с двойным тегом! Гораздо полезнее научиться работать с Wireshark и низкоуровневой инъекцией пакетов. А также проводить эксперименты.

cyberGardener Guest	#7 20.04.2025 22:03:00 Один из моих профессоров сказал, что небезопасно использовать дефолтную VLAN из-за атак с двойной маркировкой… Я пытался настроить сценарий, чтобы предотвратить эти самые атаки.

BayAreaRemoteProductions

Guest

20.04.2025 21:10:00

В подавляющем большинстве случаев лучше всего настроить порт подключения к вашему роутеру/гейтвею на Default VLAN (VLAN 1) как untagged VLAN, а VLAN для управления – как tagged VLAN. Затем можно зайти в каждый коммутатор и включить настройку Network Override, указав, какая VLAN используется для управления. И наконец, можно зайти в устройства, не поддерживающие VLAN, например, в ваш Cloud Key, и настроить его порт, чтобы он работал нативно на VLAN для управления. Если делать все в таком порядке, то можно быть уверен, что все устройства останутся онлайн и будут общаться с контроллером, потому что настройки Unifi применяются только после того, как устройство совершит свой "звонок домой".

dlow Guest	#9 20.04.2025 20:21:00 Давай перемотаем назад и ты объяснишь, зачем тебе нужно переносить Management VLAN. Как ты, вероятно, уже заметил, сейчас это очень сложно, а из моего опыта, в будущем будет сложно добавлять новое оборудование Unifi. Может, есть способ лучше достичь твоей общей цели?

Читают тему (гостей: 1)