Как изменить VLAN для управления UCG-Ultra?

Как изменить VLAN для управления UCG-Ultra?, UniFi Network

TCDC

Guest

17.01.2025 15:48:00

У меня новая конфигурация UniFi устройств. Я могу назначить VLAN 100 как VLAN управления для USW свитчей и U6 AP. Хотелось бы также добавить IP-адрес управления 192.168.100.1 (VLAN 100) к интерфейсу UCG Port 1, например. Хочу отказаться от использования Default 192.168.1.1 (VLAN 1) на UCG.

athurdent

Guest

27.01.2025 12:02:00

Портал точки доступа работает напрямую на UCG, а на каком именно IP он слушает, с точки зрения безопасности, особого значения не имеет. Думаю, портал предназначен для авторизации гостей, поэтому его нужно разрабатывать с учетом безопасности, независимо от того, где он ожидает подключений, правда?

b.knodel

Guest

27.01.2025 11:39:00

Гостевые клиенты находятся в vlan 30 / 192.168.30.x, управление — в vlan 15 / 192.168.15.x.

Заметил в браузере/dev-console при подключении к captive portal:

До миграции клиенты подключались к linux-controller / 192.168.15.100.
После миграции клиенты подключались к ucg в 192.168.1.1.
После перестройки гостевой vlan/ssid они теперь подключаются к 192.168.15.1...

Если я правильно понимаю, они должны подключаться к 192.168.30.1, но это не так, или, по крайней мере, у меня так.

Если посмотреть на мои "default firewall rules", то есть только правило на IP в vlan 1... Почему нет правила на IP captive portal в vlan 30?

Я также пытался добавлять firewall-rules для 8880, 8843 на IP в VLAN30 вручную, но клиент по-прежнему не мог достучаться до портала. После добавления правил для 8880, 8443 на 192.168.15.1 (это то, что браузер клиента отображал / пытался подключиться) всё заработало.

Может быть, вы и правы, и у меня ошибка в настройке, но это то, что я видел на своей стороне.

athurdent Guest	#4 27.01.2025 11:18:00 Портал аутентификации размещён на UCG, а не в конкретной VLAN. Какую бы сеть вы ни определили как точку доступа (hotspot), именно через неё гости будут получать доступ к порталу.

b.knodel

Guest

27.01.2025 10:05:00

Что я заметил: Я перешёл с linux-unifi-controller+USG на UCG Max, потому что USG вышел из поддержки... Но я его обожал :-D

Linux-контроллер и все unifi-устройства, такие как коммутаторы, точки доступа, находились в отдельной управленческой VLAN 15 (я использовал опцию переопределения управленческой VLAN для коммутаторов и точек доступа, контроллер был не помечен в VLAN 15, а USG был помечен на несколько VLAN) -> идеально для меня.

До миграции, когда я использовал Wi-Fi captive portal: гостевые клиенты подключались к captive portal linux-unifi-controller в VLAN 15. Это было совершенно нормально и именно то, что я хотел тогда.

После миграции (коммутаторы и точки доступа по-прежнему находятся в управленческой VLAN 15 через переопределение...) Wi-Fi гостевые клиенты подключаются к captive portal UCG, IP которого находится в VLAN 1 (его управленческая VLAN). И это то, что мне сейчас не нравится. Я бы предпочёл, чтобы гостевые клиенты подключались к captive portal на другой (управленческой)-VLAN / управленческий IP и не к VLAN 1 по умолчанию.

Постскриптум: Не знаю почему, но после пересоздания гостевой SSID и гостевой VLAN с теми же настройками, теперь гостевые клиенты подключаются к captive portal с IP в VLAN 15. До пересоздания гостевые клиенты подключались к IP в VLAN 1, как я написал в начале моего наблюдения…
IDK, возможно, во время миграции что-то пошло не так… *чешу голову :-D

gregorio

Guest

25.01.2025 16:35:00

Правильно! @TCDC Management существует на всех VLAN-шлюзах, поскольку все они находятся на UCG. Если вы хотите иметь возможность управлять им только с одного, нужно заблокировать 22, 80, 443 на LAN LOCAL, идущие со всех остальных. Будьте осторожны и не заблокируйте себя, поэтому сделайте бэкап перед этим.

athurdent

Guest

25.01.2025 07:32:00

Ваш UCG будет управлять UniFi-устройствами через VLAN, в который вы их поместите. Сам UCG не нуждается и не использует VLAN для управления собой. Он уже является управляющим устройством, и будет достаточно использовать локальный loopback трафик, чтобы "разговаривать с самим собой".

b.knodel

Guest

24.01.2025 15:46:00

UCG [VLAN100 tagged] —> VLAN100 tagged —> Devices [VLAN100 tagged]
Хм… если у меня несколько VLAN, например, 100, 110, 120, и они помечены как tagged между UCG и устройствами… как UCG должен понять, что для управления использовать именно VLAN 100, а не, скажем, 110? Думаю, должна быть возможность указать UCG, какой VLAN использовать для управления, как, например, функция network/vlan-override в коммутаторах, точках доступа и т.д.

b.knodel

Guest

24.01.2025 15:10:00

Я тоже столкнулся с той же проблемой… Общался с техподдержкой, он говорит, что перенести management VLAN на UCG можно только на 1, и придется переносить все в 1 и менять IP-адресную подсеть под себя… Чат позже выложу. Еще спросил GPT, он говорит, что это возможно, но не могу найти меню :-D

… если это всего лишь означает "убрать тег с портов на UCG и коммутаторе", то это не решение.

TCDC Guest	#10 17.01.2025 16:23:00 Ты прав. Я решил попробовать управление из VLAN 100, и это работает. Контроллер показывает настройки по умолчанию.

its3am

Guest

#11

17.01.2025 16:11:00

Похоже, вполне безопасно предположить, что Site Manager сообщит IP-адрес, связанный с VLAN по умолчанию, так что избежать этого не получится. Удалить сеть по умолчанию нельзя. Лично я не рекомендую отказываться от VLAN по умолчанию в качестве сети управления для устройств UniFi.

TCDC Guest	#12 17.01.2025 15:56:00 Привет, спасибо за ответ. Я пробовал это несколько раз. Но UCG IP всё равно остаётся Default IP. Вот как настроен мой UCG порт Надеюсь, мне не придётся менять Default VLAN 1 IP как решение.

its3am Guest	#13 17.01.2025 15:50:00 Потом переведи порты коммутатора на этот VLAN, а не в сеть по умолчанию.

Читают тему (гостей: 1)