Verständnisfrage zu "Ethernet Port Profiles" und möglichen Sicherheitsoptimierungen

Es gibt 1 Antwort in diesem Thema, welches 166 mal aufgerufen wurde. Der letzte Beitrag () ist von DoPe.

    Hallo,


    ich habe noch ein Verständnisproblem bezüglich der Ethernet Port Profile.

    Ich habe meinen USW-24-PoE über die "Global Switch Settings" 802.1X Control aktiviert, das Radius Profil Default ausgewählt und ein Fallback VLAN angegeben.

    Das Radius Profil ist entsprechend gepflegt und die Fiktionalität an allen Ports gegeben. Scheinbar war der Unifi Controller hier so klug und hat auf alle Switch-Ports die VLANs als Tagged und das Default-LAN als untagged zu verteilen. Somit haben auch die Access Points inkl. VLAN ohne Probleme out of the Box funktioniert.

    Soweit so gut.


    Jetzt gibt es aber noch die "Ethernet Port Profiles" hier könnte man jetzt für jeden Port ein entsprechendes natives VLAN definieren und die tagged VLANs beschränken.

    Hier bin ich mir jetzt unsicher was "richtig" ist.
    Ich sehe das Default VLAN als Management-VLAN und würde es eigentlich ungerne auf jedem Port untagged anliegen haben. Das war allerdings die Standardeinstellung.


    Da ich 802.1X mit Radius und MAC-Authentifizierung nutze, muss ich alle im Radius-Profil genutzten tagged VLANs an jedem Port ausgeben an dem ich das Feature nutzen möchte. Richtig?

    Aus meiner Sicht wäre es sinnvoll ansonsten auf allen Ports z.B. das Guest-VLAN als "Native VLAN / Network" anzugeben und nicht das "Default" (=Management-LAN). Wäre das eine gute Wahl aus sicherheitstechnischer Sicht?
    Oder fange ich mir damit in der Unifi-Welt andere Probleme ein?


    Aktuell sieht die Portverteilung so aus:


    Ist das so in Ordnung oder überhaupt nicht zu empfehlen?

    Wenn Du Radius an hast, kommst Du doch nicht aufs Default, ausser Du hättedt es so im Radius eingestellt, was glaube ich nichtmal geht.


    Nuja im Defaultnetz sind deine Unifi Geräte normalerweise. Und die selbst nutzen per Default das Default Netz fürs Management. Wenn Du da einfach einnanderes VLAN nativ drauf legst, dann ist der AP ganz Offline oder er holt sich eine IP aus dem anderen VLAN und mit Glück, weil erlaubt, verbindet er sich mit dem Controller. Ne Frage von fester oder dynamischer IP.


    Aus genau diesem Grund ist die Default Portkonfig auch nativ = default Netz plus alle anderen VLANS getagged dazu.


    Mit gefummel kann man ein getaggtes VLAN zum Management VLAN machen.