UniFi-nettverk for hjemmekontor og småbedrift med UniFi Dream Machine Pro

Jeg har satt opp nettverk for alt fra hjemmekontor til små kontorfellesskap, og bruker UniFi fra Ubiquiti. Utstyret har funksjonene fra bedriftsnettverk til en brøkdel av prisen. Her er oppsettet jeg bruker med UniFi Dream Machine Pro (UDMP).

Ruteren fra internettleverandøren mangler vanligvis VLAN-støtte, har begrenset rekkevidde og svak brannmur, og kan ikke administreres sentralt. Jobber du hjemmefra eller driver en liten bedrift, trenger du mer kontroll enn den gir.

Ruter, brannmur og kontroller i én enhet

UDMP er ruter, brannmur, UniFi-kontroller og NVR (nettverksvideoopptaker) i én enhet. Den monteres i et 19-tommer rack og har en 1 Gbps WAN-port (nyere modeller har 10 Gbps SFP+). For de fleste hjemmekontor og småbedrifter er den den eneste sentrale enheten som trengs.

Administrasjonen skjer i et nettgrensesnitt med oversikt over alle enheter, trafikk, klienter og trusler. Kommandolinja er tilgjengelig, men ikke nødvendig.

Skill IoT fra resten med VLAN

Jeg segmenterer nettverket med VLAN (Virtual LAN) i alle oppsett. Et VLAN deler ett fysisk nettverk inn i flere logiske nettverk som er isolert fra hverandre.

Vanligvis bruker jeg fire. VLAN 1 er hovednettverket for PC-er, servere og alt som trenger full tilgang. VLAN 20 er for smarthjem-enheter som lyspærer, sensorer og robotstøvsugere; de har ofte dårlig sikkerhet og skal aldri ha tilgang til hovednettverket. VLAN 30 er gjestenett for besøkende som trenger internett, men ingen tilgang til noe internt. VLAN 40 er for overvåkningskameraer og NVR.

I UniFi setter du opp VLAN under Settings → Networks. For hvert VLAN oppretter du et eget WiFi-nettverk (SSID) eller tilordner en port på switchen. Brannmurregler mellom VLAN-ene settes opp under Settings → Firewall & Security.

Gjestenett med portal

UniFi har innebygd gjesteportal (captive portal). Den som kobler seg på gjestenettet, får en landingsside der vilkårene må aksepteres før tilgang. Du kan også begrense tid og båndbredde, noe som passer på et kontor der kunder eller besøkende trenger midlertidig nett.

Inntrengningsvern og trafikkanalyse

UDMP har innebygd Intrusion Detection and Prevention System (IDS/IPS). Når det er slått på, analyserer det trafikken og blokkerer kjente trusler automatisk. Deep Packet Inspection (DPI) viser hva trafikken brukes til: strømming, sosiale medier, fildeling og så videre.

For hjemmekontor anbefaler jeg IDS/IPS i «prevention»-modus med sensitivitet medium. Det gir god beskyttelse uten merkbart ytelsestap for de fleste.

UniFi mot forbrukerrutere

En Asus- eller TP-Link-ruter fungerer, men mangler sentral administrasjon, skalerbarhet, VLAN-støtte, en skikkelig brannmur og firmwareoppdateringer som faktisk virker.

UniFi-utstyr koster mer enn en forbrukerruter og mindre enn tradisjonelt bedriftsutstyr fra Cisco eller Aruba. En UDMP, en 8-ports PoE-switch og to aksesspunkter koster rundt 10 000–15 000 kroner for et komplett oppsett. Det er en engangskostnad uten lisenser eller abonnement.