Kennt jemand das unifi Security Gateway?

[MIC778]

Ich bin daran mein ganzes Netzwerk von Asus auf Ubiquity umzurüsten. Die Roaming Funktion finde ich so klasse an den APs und die POE Stromversorgung erlaubt es mir die APs schön an die Decke zu montieren, was ich mit Stromadaptern nicht konnte. Mit den Switches kann jeden einzelnen Port manuell steuern ob 24V, 48V oder ohne POE.

Nachdem ich Switches von Ubiquity bestellt habe ist noch der Router von Asus übrig geblieben. Eigentlich bin ich sehr zufrieden mit ihm, er hat gute Dienste geleistet. Aber wenn ich schon 99% auf Ubiquity umgerüstet habe, dann will ich den Rest auch noch erledigen.

Ich sehe allerdings nicht ein, was dieses Security Gateway alles kann. Es hat kein WLAN, es hat nur ein LAN Anschluss und es hat kein onboard UI. Das heisst ich brauche neben diesem Router noch einen Switch für mehr LAN Ports, einen AP für WLAN und einen UI Controller um den Router in Zukunft verwalten zu können. Schön blöd und ein Gerätechaos pur. Wieso sollte ich mir das antun? Ich versuche mich selber zu überzeugen den zu kaufen, aber ich sehe den Sinn nicht ein. Bei den APs habe ich klare Vorteile, bei dem Router hier finde ich nichts. Kann mir jemand helfen?

 

[Wannabe89]

Wieso kein Nuc mit Sophos UTM Home?
Wäre das nicht die beste Lösung für dich?!

 

[XN04113]

Du hast doch bereits APs und Switche von Ubiquiti, dann brauchst Du nur das USG und ein DSL Modem

 

[MIC778]

@Wannabe89
Das ist etwas zu teuer und ich bin keine KMU

@XN04113
Ich habe ein Kabelmodem. Dann kann ich das USG einfach dahinter anschliessen?

 

[chied]

Ja.

 

[Benji18]

und du hast dann doppelnat was nicht sonderlich empfehlenswert ist es sei den dein kabelmodem kann nicht im singel user modus betrieben werden.

Das USG ist Technisch identisch zum Edge Lite Router von UBNT und bietet im gegensatz dazu die Integration in den Unifi Controller. Es kann halt keinen Schnickschnack wie diese fake eierlegendenwollmilchsau router von Asus und co dafür läuft das teil stabil und die SW ist deutlich besser. Der Router hat 3 Anschlüsse einen voip einen LAN und einen WAN, er kann mit VLANs umgehen daher kannst du da locker einige Netze rüberschicken brauchst halt nen coreswitch.

Ich kann von mir berichten das seit dem ich das USG habe meine pings deutlich stabiler und niedriger sind als mit nem Asus AC88U ...

für statistik fans ist das UBNT unifi system die helle freude ;-) da er DPI kann ( Deep Packet Inspektion) sprich das USG erkennt Applikationen im Trafik.

Aja das USG hat HW NAT und eine rudimentäre FW mit dem letzten Controller update ist APP-ID FW Ruleset möglich was ein deutlicher vorteil gegen über den perimeter Rulesets ist.

 

[MetalForLive]

Ich hab mir das Teil letztens auch zugelegt, hauptsächlich zum rum spielen und testen.
Bei mir hängt es momentan auch hinter einer Fritzbox, da ich diese leider für das Fritz Site to Site VPN benötige.
Das USG ist allerdings etwas mehr als ein 0815 Home-Router, man sollte schon halbwegs wissen was man damit macht, da es sich hier um ein Semiprofessionelles Gerät handelt.

 

[Raijin]

Naja, das USG ist eben ein Router und kein Modem-WLAN-MedienUndDruckerServer-NAS-Router-Mit-Switch. (Semi)Professionelle Hardware zeichnet sich meistens dadurch aus, dass es eben keine eierlegende Wollmilchsau ist, die von allem etwas, aber nichts wirklich gut kann. Auch Fritzboxxen sind bei weitem nicht über jeden Zweifel erhaben. Einige Modelle haben Schwächen beim Modem, andere beim WLAN, VLANs gibt's nicht, und und und...
Ein USG oder eben auch der Non-UniFi-Bruder EdgeRouter sind Router mit entsprechenden Fähigkeiten. In der Theorie und auch in der Praxis kann man damit ruhigen Gewissens ein Firmennetzwerk absichern, mit Fritzbox und Co eher nicht. EdgeRouter/USG sind zumindest einigermaßen mit Cisco-Equipment vergleichbar. Hartgesottene IT-Admins mögen jetzt die Hände überm Kopf zusammenschlagen, aber naja..

Allerdings bedarf der Funktionsumfang solcher Geräte auch ein gewisses KnowHow. Out-of-the-box sind sie nackt, keine Firewall, kein gar nichts. Es gibt allerdings Wizards, die die Ersteinrichtung vereinfachen. Dennoch sollte man sich beim Einsatz von USG bzw. EdgeRouter schon ein wenig mit der Materie befassen, weil man eben durch falsche Einstellungen auch einiges .. kaputt machen kann. Naja, kaputt nicht wirklich, aber man kann eben aus Versehen Löcher in die Firewall reißen, wenn man nicht aufpasst. An die Firewall von Asus, Fritzbox und Co kommt man ja gar nicht ran und kann sie demnach auch nicht verkonfigurieren - mal von gefährlichen Portweiterleitungen wie zB SMB abgesehen.

Man darf auch nicht unerwähnt lassen, dass man beim USG wie auch beim EdgeRouter manchmal durchaus auf die Kommandozeile wechseln muss, wenn man fortgeschrittene Funktionen konfigurieren will. Sofern man nur Standard-Funktionen nutzt - wie zB Portweiterleitungen, etc - reicht die GUI aber vollkommen aus. Die Kommandozeile kommt ins Spiel, wenn man zB eigene Skripte schreibt oder zB aufwändige QoS-Regeln, etc. erstellt. Die meisten Tutorials zu diesen Themens sind nämlich mit Kommandos für die CLI beschrieben, weil die Funktionen in der GUI teilweise gar nicht ausprogrammiert sind, wie zB auch OpenVPN-Verbindungen wohingegen IPsec zumindest im EdgeRouter in der GUI verfügbar ist, beim USG weiß ich es nicht.

 

[MIC778]

Aber kann VLAN nicht auch der Unifi AC AP Pro? Ich habe zwei davon im Einsatz. Ich würde gerne für Gäste ein WLAN errichten, die voll untereinander komunizieren können, aber kein eingeschränktes Gästewlan. Dafür muss ich doch nicht extra ein Security Gateway kaufen?

 

[XN04113]

wird aber erst gescheit wenn Du mit VLAN arbeitest und dazu braucht es Router und Switche die das unterstützen

 

[MIC778]

aber wo nehme ich die Einstellungen vor? Im Controller bei den APs oder beim Security Gateway`?

 

[mensch183]

Schön blöd ... Wieso sollte ich mir das antun? Ich versuche mich selber zu überzeugen den zu kaufen, aber ich sehe den Sinn nicht ein. ... Kann mir jemand helfen?

Die Selbstüberzeugungsversuche einfach einstellen und nicht kaufen. Wenn dies scheitert, dürfte ein Arzt der richtige Ansprechpartner sein.

 

[Raijin]

Für VLANs brauchst du:

- Switches, die die VLANs verteilen können
- APs, die die VLANs ins WLAN bringen
- Router, die die VLANs routen können

Ohne Router, der mit VLANs umgehen kann, hätten die VLANs keinerlei Verbindung untereinander und das Gast-VLAN hätte somit keine Internetverbindung.

Eingestellt werden VLANs in jeder Komponente der Infrastruktur, also dem Switch, der die VLANs an den Ports ausgeben muss, dem AP, der die VLANs aus dem Kabel den SSIDs zuordnet und eben am Router, der ebenfalls in beiden VLANs unterwegs ist und Regeln definiert welche Verbindungen zwischen den VLANs bzw in Richtung www erlaubt sind.

Wenn alles UniFi Geräte sind, passiert das natürlich auch alles im UniFi-Controller.

 

[MIC778]

@Raijin
aha, jetzt ist es mir klarer. Hast du selber Unifi Geräte im Einsatz?

Die Selbstüberzeugungsversuche einfach einstellen und nicht kaufen. Wenn dies scheitert, dürfte ein Arzt der richtige Ansprechpartner sein.

Sag mal geht's dir noch gut? Du wirst mir bestimmt nicht Ratschläge geben, dass ich zum Arzt gehe. Scher dich weg.

 

[Raijin]

Jein. Zur Zeit habe ich einen UAP AC Lite. Darüberhinaus habe ich einen EdgeRouter, also kein USG. Bei Einzelgeräten sind die Vorteile von UniFi prinzipiell überschaubar. UniFi spielt seine Stärken erst dann richtig aus, wenn man mehrere Geräte darüber bedient. In meinem Fall ist es einerlei ob der UAP direkt per eigenem Web interface konfiguriert wird oder über den Controller. Genau genommen wäre mir der direkte Weg sogar lieber, ich hab ja nur ein Gerät. PoE nutze ich nicht wirklich bzw für den einen UAP reicht der Injektor vollkommen aus, ein PoE-Switch wäre daher wenig sinnvoll. Zumal gerade die UniFi-Switches ja auch teurer sind als die 08/15 Konkurrenz.

Allerdings habe ich ein befreundetes Hotel von seinem elendigen Fritz4ever-WLAN erlöst, das einfach nicht für Szenarien mit 50+ Nutzern geeignet war - kein Wunder, ist Fritz doch für Privatanwender gedacht. Statt vorher zig FritzRepeatern und ohne jegliche Absicherung des Büro-Netzwerks werkeln da jetzt 3 UAP AC Pro mit 2 VLANs in 2 SSIDs. Als Router bzw Firewall habe ich allerdings einen EdgeRouter-X verbaut, weil ich persönlich die ERs bevorzuge - nicht zuletzt, weil ich sie beruflich einsetze.

 

[Benji18]

ich hab eine USG im einsatz technisch gesehen ist es ein Edge Router lite allerdings sind einige Features und Funktionen die der Edge Router kann aktuell noch nicht implementiert bzw. nur über die Commandline möglich.

Die Unifi Produkte sind aus meiner sicht für Homeuser genso geeigent ich würde das ganze wieder kaufen, ganz einfach weil es extrem Stabil läuft und deutlich Performanter als die Homeuse dinger die Sich "WLAN Router" schimpfen. Ich kann mit einem AC Lite ca. 120m2 auf zwei Stockwerken abdecken, werde mir aber wohl bald einen zweiten Zulegen da ich die Sendeleistung reduzieren möchte (ist besser wenn man mit vielen Handys bzw. mobile Devices im WLAN unterwegs ist).

Seit 5.6.22 kann die Unifi auch Fast Roaming

bin damit sehr zufrieden, bei den Switches wäre ich etwas vorsichtig da UBNT aktuell das IGMPv3 nicht richtig implementiert hat weshalb z.b. T-Online TV services nicht richtig funktionieren bzw. andere sachen die Multicast auf IGMPv3 basis benutzen.

ich kann z.b. den Netgear GS108T bzw. wennst mehr ports brauchst auch die größeren empfehlen, laufen stabil und bieten Business Features wie LACP, besseren VLAN Support, QoS, IGMPv3 etc.

 

[Raijin]

Die Unifi Produkte sind aus meiner sicht für Homeuser genso geeigent

Das hat auch niemand bezweifelt.

Auch die GUI der EdgeRouter deckt nicht den kompletten Funktionsumfang von EdgeOS ab. OpenVPN muss man zum Beispiel stets per Kommandozeile einrichten. Evtl. zielte dein Kommentar aber auch darauf ab, dass ich erwähnte, dass ein gewisses KnowHow bzw. Interesse an der Materie notwendig ist, wenn man sich einen fortgeschrittenen Router kauft? Das ist nämlich tatsächlich so. Bei Fritzbox und Co kann man die Firewall gar nicht "kaputt" machen, weil man überhaupt nicht rankommt. Das einzige was man bei Consumer-Routern machen kann sind 08/15 Portweiterleitungen nach festgelegtem Schema. Sofern man also nicht so doof ist und zB SMB-Ports blind weiterleitet, kann man wenig falsch machen.

Bei einem USG, EdgeRouter, MikroTik und sonstigen semiprofessionellen Routern sieht das anders aus. Mit wenigen Klicks ist die Firewall komplett abgeschaltet oder durch mangelhafte Regeln wirkungslos. Mit einem Klick ist das Masquerading am WAN-Port weg und plötzlich hat man kein Internet mehr. Das soll nicht heißen, dass solche Router nix für Heimanwender sind, sondern eher, dass man sich mit semiprofessionellen Geräten eben auch etwas beschäftigen muss, weil sie mit dem Grundgedanken entwickelt wurden, dass sie von erfahrenen Anwendern eingesetzt werden. Doppelte und dreifache Nachfragen, Warnungen und dergleichen darf man daher nicht erwarten. Löscht man das Masquerade am WAN-Port sagt ein EdgeRouter einfach nur "OK".

 

[Benji18]

Das man ein grundlegendes verständins für eine USG bzw. andere Semipro Geräte braucht ist klar betrifft aber meistens auch nur die Leute die einfach probleme mit Homeuse devices haben.
Persönlich finde ich die Oberfläche eher "abgespeckt" bin von der Arbeit anderes gewöhnt, aber ja du hast recht die FW ist halt etwas triggi wobei eigentlich die USG am Unifi Controller wenn ich mich recht errinnere eine deny any any rule von extern nach intern hat und eine allow any any von intern nach extern hat und recht viel mehr ist auch bei einem Homerouter der fall, zumindest kannst du bei neueren Geräte durchaus einige FW Rules erstellen und nicht nur Portweiterleitungen.

 

[MIC778]

naja ich kaufe mir die UBNT devices weil ich erstens ein Fan von POE bin, zweitens weil die APs dieses Roaming haben (dreistöckiges Haus, mit Garage und Hof) und drittens möchte ich alles von einem Hersteller.

Ich kenne ich ein wenig mit dem Controller aus. Bisher musste ich ja nur ein Netzwerk und WLAN erstellen. Keine Hexerei. Aber für VLAN und Portforwarding muss ich mich halt etwas schlauer machen. Es ist noch niemand allwissend auf die Welt gekommen. Alles muss gelernt sein

ps: ich möchte meinen AP AC LR wieder los werden. Er und der Lite sind APs mit 24V PoE, der AP Pro ist 48V und die meisten Switches supporten nur 48V, somit müsste ich entweder den Injector benutzen oder mir dann zwei Switches kaufen. Beides ist blöd, darum steige ich komplett auf Pro um.

 

[Benji18]

die neue Revision der Ap lite können auch 48Volt poe zumindest steht das auf der verpackung von meinem Lite

Was willst für deinen Lite haben?