РЕШЕНО: UDMPro только как LAN-устройство

РЕШЕНО: UDMPro только как LAN-устройство, UniFi Protect

lyledodge

Guest

09.03.2021 04:17:00

Окей, идея в том, что вы не хотите ставить UDMPro на самый край вашей сети, потому что изменения — это сложно, а будущее пугает. Вместо этого вы хотите использовать Protect, Access и, может быть, даже Network или Talk на вашем существующем LAN, где уже могут быть такие крутые штуки, как DHCP, интересные NAT-правила и пикантные правила фильтрации... может, даже какой-то Mangle, не знаю.

Давайте превратим наш UDMPro в скучное LAN-устройство без всяких фантастических функций маршрутизации.

Сброс к заводским настройкам
Подключите WAN-порт UDMPro к существующему LAN
Подключите LAN-порт UDMPro к вашей рабочей станции

Определите WAN IP-адрес https://192.168.1.1/network/site/default/devices/1/50
Кликните на устройство (UDM-Pro...)
Обратите внимание и запомните: IP-адрес (WAN), например 10.1.2.3 (просто пример)

Отключите LAN-кабель UDMPro от рабочей станции
Подключите рабочую станцию к обычному существующему LAN (тот же подсет, что и WAN UDMPro)
Подключитесь к WAN IP, который нашли на предыдущем шаге, например https://10.1.2.3/ (пример)

Вуаля... вы попали в UniFi OS, почти готовы...

Отключите DHCP-сервер на LAN-интерфейсе — безопасность прежде всего
Поменяйте Gateway IP / подсеть на доступный IP в вашей обычной LAN-подсети, например 10.1.2.4 (пример)
Это может показаться глупым или вы можете усомниться, но поверьте... это помогает.

Прорвите огромный виртуальный проход в файрволле, чтобы пропускать весь трафик свободно.

Маршрутизация и файрволл
Firewall
WAN Local+ Создать новое правило
Имя: ALL PORTS OPEN
Применять правило: Перед предустановленными правилами
Действие: Принять
Протокол IPv4: Все
Расширенные настройки — игнорируйте или выбирайте на свой вкус
Источник: оставьте по умолчанию, для ясности: Любой, Любой, [пусто] (максимально разрешено!)
Назначение: то же самое: Любой, Любой, [пусто]

Сохранить!
Выпейте пивка, вы это заслужили.

Подключитесь к IP, который выбрали на шаге 8b, например https://10.1.2.4 (пример)

Скоро ваши камеры, точки доступа и другие устройства начнут появляться в разных контроллерах. Продолжайте использовать https://10.1.2.4/ (пример, обещаю последний раз) для управления, навсегда забудьте про LAN IP и, если хотите жить спокойно, попробуйте подключить LAN UDMPro к votre LAN — ведь DHCP вы же отключили, да?

Ах да, может, и очевидно, но я бы не стал подключать WAN-порт к настоящему фильтру незащищенному интернету. Этот способ обнуляет все защиты... по крайней мере, я так думаю, но не знаю точно, ведь я закончил бизнес-школу и на самом деле не должен говорить вам, насколько этим решением злоупотреблять не стоит.

Ладно, ребята, на сегодня всё. Если что-то где-то зависнет — пишите. Удачи!
— Lyle

ArchitektoR

Guest

14.04.2022 19:53:00

Он ставится в рэковую стойку (да, я знаю про крепление для стойки) и может запускать сетевой контроллер (UNVR не может). А 3,5-дюймовый HDD — это просто находка, особенно золотые WD. Вот только отсутствие PoE — настоящая головная боль!

LLigetfa Guest	#3 14.04.2022 18:32:00 На самом деле это не так. Единственное преимущество перед UCKP — возможность подключения более крупного жесткого диска. Если вам нужен просто более продвинутый Protect NVR, то UNVR гораздо функциональнее UDMP.

ArchitektoR

Guest

14.04.2022 17:34:00

Как и многие здесь, мне просто нужно использовать UDMP за «настоящим» маршрутизатором-брандмауэром (в моём случае pfSense) и пытаться работать в режиме «только LAN». Поэтому я попробовал решение из первого поста — оно работало на прошивке «из коробки», но перестало работать после обновления... Да, выделить отдельный «WAN» от pfSense к UDMP — вариант (у pfSense даже есть 4 физических интерфейса)... Наверное, так и остановлюсь, пока Ubiquiti не добавит режим «Только LAN» в каком-нибудь следующем обновлении (Apple Time Capsule уже много лет поддерживает его, и можно одним кликом просто превратить устройство в NAS+AP)... UDMP — хорошее устройство для управления DVR, но вот заставлять использовать его именно как роутер без вариантов выглядит довольно странно...

_Space Guest	#5 14.04.2022 12:46:00 @ArchitektoR Это легко настроить. WAN и LAN у UDMP должны быть в разных подсетях. Ты настраиваешь WAN на выделенный VLAN (например: 192.168.50.0/24), а LAN — на 192.168.40.0/24. Нельзя, чтобы IP WAN был в той же подсети, что и LAN.

ArchitektoR

Guest

14.04.2022 12:40:00

Решение перестало работать для Protect (WiFi-точки доступа по-прежнему работают с кастомным Adopt URL, указывающим на WAN IP) после обновления UDMP до UniFi OS UDM Pro 1.11.4 и Network до 7.0.25. С LAN IP больше нельзя получить доступ с «WAN»-стороны, а Protect слушает и пытается подключить камеры к LAN IP. Ещё хуже — в веб-консоли теперь нельзя настроить LAN IP в той же подсети, что и WAN, хотя в iOS-приложении это всё ещё работает...

FlaUnifiNet Guest	#7 05.01.2022 17:49:00 К сожалению, это только WAN-порт, и его нельзя изменить на LAN-порт, как, я полагаю, вы хотите.

BlackMoonWolf

Guest

03.01.2022 22:49:00

Итак... Кто-нибудь знает, как использовать "SFP+ 1" (он же "eth9" или "WAN2" — потому что иметь ТРИ разных названия для одного и того же чертового интерфейса — это просто супер логично...🙄) как обычный L3 маршрутизируемый интерфейс без фаервола и NAT? Я только пару дней назад получил это устройство и пытаюсь подключить через этот интерфейс ещё один сегмент своей локалки, чтобы он был доступен через стандартную сеть "LAN". НИЧЕГО не работает, чтобы это сделать, а программный интерфейс просто бесит и не имеет ни малейшего смысла.

RickL66 Guest	#9 03.01.2022 21:03:00 Спасибо за совет. Попробую.

FlaUnifiNet

Guest

#10

03.01.2022 12:28:00

Я недавно с этим столкнулся, и мой UDMP не захотел работать с одинаковой подсетью для LAN и WAN. Вместо того чтобы принудительно это настраивать, я просто создал VLAN «management» с другой подсетью, потом подключился по SSH к устройствам и с помощью команды set-inform указал им новый правильный IP, который находится на WAN-порте моего UDMP. В pfSense я также добавил статическую маршрутизацию на 192.168.1.1 с шлюзом — это WAN-адрес моего UDMP, так как каждое новое устройство ищет именно этот IP. Уже около трёх месяцев работает отлично. Возможно, у кого-то есть другие или более удобные решения, но у меня меньше 10 устройств, и метод с SSH не занял много времени. У каждого свои заморочки. P.S. Статический маршрут я добавил только после использования set-inform через SSH, но, может, тогда бы это и не понадобилось. Просто не захотел всё заново ломать, чтобы проверить.

RickL66

Guest

#11

03.01.2022 02:33:00

Это то, что я хочу сделать. Сейчас мой UDM Pro служит мне файрволом. Я хочу использовать его как контроллер, а файрволом поставить pfSense. У меня примерно 20-25 устройств Ubiquiti. Если я просто сменю WAN/LAN IP-адреса, как описывает Lyle, смогу ли я видеть все свои устройства без необходимости заново их подключать после сброса до заводских настроек?

DGardiner87 Guest	#12 20.10.2021 17:20:00 Кто-нибудь уже выяснил, какие именно порты и URL нужны UDMP для подключения, чтобы он загрузился без сообщения «нет интернета»? Мне не хочется делать полностью открытой эту конфигурацию.

scottkingwalker

Guest

#13

05.10.2021 16:01:00

У меня похожая ситуация. Мой UDM-Pro работает под управлением Peplink Balance 20X, потому что мне нужна была лучшая работа с несколькими интернет-соединениями, которую обеспечивает Peplink. (UDMP поддерживает только аварийное переключение. Peplink предлагает разные виды объединения каналов, а также SpeedFusion.) Очень хотелось бы простой и поддерживаемый способ отключить NAT на UDMP, чтобы Peplink видел конкретный источник исходящего трафика, даже если он находится за UDMP. Каждые несколько месяцев я возвращаюсь сюда и снова пытаюсь понять: «А они уже это добавили?»

jasonsrobbins

Guest

#14

09.09.2021 01:48:00

Я бы хотел сделать что-то похожее. Честно говоря, очень хотелось бы, чтобы была возможность настроить UDM в режиме моста, чтобы убрать NAT, но это так, к слову. Нужно подключить UDM за устройством OPNSense и чтобы все WIFI и LAN сети были направлены на OPNSense, а не на WAN-порт... может, через выделенный LAN-порт? Буду благодарен за любую помощь.

SeaDek_Admin

Guest

#15

08.09.2021 13:50:00

Вчера я целых 8 часов возился с этим. Пытаюсь сделать что-то похожее на твое решение. Пусть мое устройство WatchGuard обрабатывает весь слой 3 и безопасность, Windows AD — DHCP/DNS, а потом перенести мой текущий VM-контроллер сети и новый контроллер доступа на UDM Pro просто как устройство слоя 2 в локальной сети, без WAN-функционала. Кажется, я почти на месте, но не совсем. К слову, у меня прошивка UDM последней версии 1.10.

Я делал примерно так:
- Сброс до заводских настроек
- Подключил WAN-порт в существующую LAN от текущего контроллера
- Подключил LAN-порт в существующую LAN от текущего контроллера
- Адаптировал устройство через Bluetooth в приложении для Android
- Проверил доступность UDM Pro с unifi.ui.com, мобильного приложения и локального IP — все работает
- Настроил LAN-сеть UDM Pro, чтобы совпадала с подсетью существующего контроллера
- ВЫКЛЮЧИЛ DHCP
- Настроил все правила файрвола на полный доступ отовсюду по направлениям «Интернет/LAN» в «входящий/исходящий/локальный»
- И не выпил пива, потому что на работе.

Странно, что когда я открываю приложение Access, оно видит железо. Но когда пытаюсь адаптировать, устройство так и остается постоянно офлайн. К тому же, когда я ковырялся в настройках, мой UDM Pro просто пропал с unifi.ui.com. Локально доступ был, а вот подключиться к облаку не удавалось.

Сегодня пытался начать заново, но сдаюсь. Любые советы приветствуются. Этот UDM Pro был бы просто КРУТЫМ, если бы не нужно было заставлять его работать как устройство третьего слоя. Уверен, тогда бы его покупали гораздо больше.

Спасибо!

LennyM

Guest

#16

05.09.2021 09:53:00

Привет, у меня вопрос. Основная информация: я использую сторонний роутер в качестве DHCP-сервера в моей основной LAN. Хочу запустить UDM-Pro как Network Controller и Protect Controller. Мне удалось запустить UDM-Pro именно так, как описано выше (но не идеально), однако мне пришлось добавить LAN-кабель/интерфейс (порт 8 на UDM-Pro) в основную LAN-сеть, чтобы находить другие устройства в сети. При этом интерфейс WAN (порт 9 на UDM-Pro) тоже подключён к основной LAN-сети — то есть получается, что два интерфейса подключены к одной LAN-сети.

Теперь я получаю такие ошибки, которые, как мне кажется, связаны с двойным подключением LAN к основной сети.

WAN iface [eth9] переключился в состояние [inactive] 11:41 утра 05 сентября 2021
Dream Machine Pro WAN iface [eth8] переключился в состояние [active] 11:41 утра 05 сентября 2021
Dream Machine Pro WAN iface [eth9] переключился в состояние [inactive] 11:40 утра 05 сентября 2021
Dream Machine Pro WAN iface [eth8] переключился в состояние [active] 11:40 утра 05 сентября 2021
Dream Machine Pro WAN iface [eth9] переключился в состояние [inactive] 11:40 утра 05 сентября 2021
Dream Machine Pro WAN iface [eth8] переключился в состояние [active] 11:40 утра 05 сентября 2021

Мои выводы таковы:
- Если я подключаю только WAN к основной LAN, то могу получить доступ к контроллерам, но не вижу никаких устройств основной LAN, и контроллеры не находят устройства UniFi.
- Если я подключаю только LAN (порт 8) к основной LAN, контроллеры вроде работают, но я не могу зайти в GUI.
- Если подключены и WAN, и LAN — возникают описанные выше проблемы с соединением.
Кроме того, не работают тесты скорости и статистика устройств UniFi отображается некорректно.

Кто-нибудь может подсказать, как правильно физически подключить UDM-Pro к моей сети или что изменить в конфигурации UDM-Pro? Похоже, я где-то ошибаюсь в настройках.

С уважением,
Lenny

ZeroFox82

Guest

#17

30.03.2021 17:26:00

@KoSoVaR Я только что сделал то же самое, и единственная проблема была с сетью Unifi Access Control — UA-PRO никак не показывался, хоть убей. Поменял настройку, чтобы UDMP управлял DHCP только в этой сети, и теперь всё нормально.

KoSoVaR Guest	#18 29.03.2021 16:29:00 Подтверждаю — всё работает отлично. Если вы ставите WAN и LAN в одну сеть: Ваш текущий шлюз 192.168.1.1/24 Возможный текущий Cloud Key 192.168.1.2/24 UDM-Pro WAN 192.168.1.3/24 UDM-Pro LAN 192.168.1.4/24 <— обязательно отключите DHCP, как отметил @lyledodge Убедитесь, что правило входящего трафика стоит в WAN LOCAL. Я пошёл дальше и создал отдельную сеть LAN специально для UniFi Access. Моя настройка включает устройство pfSense, полный комплект UniFi с CloudKey и теперь ещё UDM-Pro.

Читают тему (гостей: 1)