Netzwerkport vor unbefugtem Zugriff durch Ferienwohnung absichern

    HI zusammen,

    ich baue mir grade ein neues Netzwerk auf und benötige Hilfe beim Absichern des Netzwerkes gegen Zugriffe aus der Ferienwohnung.

    Zur Hardware:

    • UDM SE
    • Pro Max 24 PoE
    • diverse APs

    Mein eigentliches Netzwerk habe ich soweit segmentiert:

    • Default (privates Netz) (1) | Internal Zone
    • IoT (getrenntes VLAN mit z.T. eingeschränktem Internetzugang) (20) | IoT-Zone (selbst angelegt)
    • FeWo (Netzwerk Ferienwohnung) (50) | Hotspot-Zone
    • Access (Doorhub) | Isolated Networks (eigene Zone, alle Netzwerke als "isolate network) angelegt)
    • Access-Fewo (Doorhub-Fewo) | Isolated Networks
    • Guest (Gästenetzwerk für Freunde/Verwandte) (30)| Isolated Networks

    Soweit funktioniert das alles super und ich bin sehr zufrieden. Allerdings habe ich Probleme bei der Umsetzung des Netzwerkes der Ferienwohnung.

    Die Ferienwohnung hat neben einem eigenen AccessPoint noch 2 RJ-45 Buchsen für TV o.ä.

    Alle Verbindungen der Ferienwohnung sind auf meiner UDM angeschlossen. Von der Ferienwohnung aus sollen keine Verbindungen in meine anderen Netzwerke möglich sein, die Geräte innerhalb des Netzwerks (50) sollen kommunizieren können. Das alles ist ja relativ einfach umzusetzen, indem man das Netzwerk der Hotspot-Zone zuordnet und im Port-Manager die Ports entsprechend dem nativen VLAN der Ferienwohnung (50) zuordnet und alle "Tagged Vlan Management" auf Block-All stellt.

    Leider funktioniert das mit dem angeschlossenen Accesspoint nicht. Stelle ich dessen Port auf das Fewo Netzwerk VLAN (50) aus der Hotspot-Zone entsprechend um, verschwindet der AP und ist nicht mehr online. Auch ein Neustart des APs hilft nicht. Die SSID ist sichtbar, verbinden kann ich mich nicht, da mein Rechner keine IP bekommt.

    Weiße ich dem Port ein anderes VLAN zu z.B. Guest (30) (isoliertes Netzwerk außerhalb der Hotspot-Zone), zieht sich der AP per DHCP eine IP und ist online. Der AP ist nun also an einem Port mit nativem VLAN Guest (30) und hostet das Wifi FeWo (50) aus der Hotspot-Zone. Das funktioniert dann fehlerfrei.

    Soll er ein Wifi hosten, was in das gleiche VLAN Guest (30) zeigt, sehe ich die SSID erneut, erhalte aber wie zuvor keine IP.

    Wo ist mein Denkfehler? Haut mir irgendwo die Firewall dazwischen?

    Gibts möglicherweise eine einfachere Lösung? MAC-Adress-Restriction geht an der UDM leider nicht und kann auch recht einfach umgangen werden.

    Ich bin für alle Tips offen, falls ihr weitere Infos/Screenshots braucht, einfach melden, ich bin heute Abend wieder verfügbar.

    Danke vorab!

    Ok, entweder die Override-Funktion testen oder einfach ein dediziertes, isoliertes (isolate network aktivieren)VLAN für die APs anlegen (und da die APs mit verschiedenen SSIDs in anderen VLANs anlegen. Richtig?

    Edit:

    Danke für den Artikel, der is onpoint. Man erfährt zwar den Grund nicht so richtig, warum das nicht geht, aber man erfährt wenigstens, dass es nicht geht. Lösung mit anbei. Wird gleich zuhause getestet.

    Edited once, last by UbiTim (March 7, 2025 at 9:02 PM).

    Quote from warp760

    Ist in meinen Augen ein Riesen Bug,

    Wie bei ALLEN anderen Herstellern, wer Port Sicherheit will muss TIEF in die Tasche greifen

    und sich AP mit 802.1X besorgen + Surrogate Mac Handling weil sonst die Clients in die Röhre kucken. Gibt bei Cisco, da zahlst du dann die Unifi Anschaffungskosten einmal im Jahr für den

    Software Support um überhaupt Updates zu erhalten

    External Content beta.ubiquiti-networks-forum.de
    Content embedded from external sources will not be displayed without your consent.

    Das ist ist so per Design in der NetzwerkWelt. WLAN is nur Ethernet über Luft.

    Kabel <-> Luft ist nur eine Bridge. Sonst hätten es Broadcast wie ARP / DHCP

    keine Change oder alleine ethernet von A nach B. Mac Filter nur für den AP kann

    daher nicht gehen, weil die Clients ja ihre eigne MAC haben

    Mit den verschieben des AP MGMT Netzwerkes in ein VLAN kann man sich das NATIVE

    VLAN sparen, wenn du aber schon Angst das jemand seine MAC fälscht.. die meisten

    aktuellen Netzwerkkarten können VLAN Tagging noch einfacher als man die MAC verbiegt.

    Wobei man über die FW ja dafür Sorgen kann das das VLAN nur den Controller und

    Internet erreicht.

    Sonst halt mechanisch. Unerreichbar machen, Käfig drum bauen,

    Festkleben, In die abgehängte Decke verstecken. EIGNE Infrastruktur hinstellen.

    N'Abend,

    danke für die Antwort.

    Es muss dennoch eine Lösung geben, ich bin nur noch nicht lange genug im Unifi-System, um das umzusetzen.
    So einfach wie von mir beschrieben war es nicht bzw hat noch nicht funktioniert.

    Der Plan ist eine Art "Blackhole"-VLAN id(99) anzulegen. Dazu muss ich eine Zone bauen, die wirklich nichts darf, außer ins Internet und mit dem Gateway DNS und DHCP zu sprechen... VLAN 99 hänge ich an den Port, an dem der AP angeschlossen ist. Durchleiten darf der Port das VLAN der Ferienwohnung (50). Die SSID der Ferienwohnung landet ebenfalls im VLAN 50. Zieht man dann das Kabel aus dem AP und möchte "einbrechen" landet man im VLAN 99 und darf quasi gar nichts.

    Edit:
    Ich habe mir jetzt nochmal mit einem Port-Scanner angeschaut, was alles auf dem Gateway "exposed" ist.

    80,443,8080 und 8443. Die habe ich jetzt dicht gemacht. D.h. man kann sich im Wifi jetzt im Guest-Hotspot (Hotspot-Zone) aufhalten, Internetdienste nutzen und mit anderen Clients im gleichen Hotspot kommunizieren. Zieht man das Kabel des APs kommt man ins Internet, mehr nicht.

    Ich mach morgen noch ein paar Tests, aber so scheints zu funktionieren.

    Edited once, last by UbiTim (March 8, 2025 at 12:28 AM).

    So das funktioniert tatsächlich so wie ich mir das vorgestellt habe.

    Kleines Manko welches noch gefixt werden muss:

    Port 7 (VLAN Blackhole id 99) <- AP hostet SSID FeWo in VLAN 50 <- Wifi-Clients landen im FeWo-Netz (50)

    Port 8 (VLAN FeWo id 50) <- Rechner angeschlossen -> landet wie erwartet auch im FeWo-Netz (50)

    Clients im Wifi der FeWo, können Sie sich sehen und pingen (icmp). Der Client an Port 8 (gleiches VLAN) wird nicht gesehen und kann auch nicht gepingt werden... Wie bekomme ich das noch hin? Zwischen Wifi-Clients und Ethernet- Wo gehen meine Pakete verloren, wo hab ich einen Denkfehler?

    Feriengäste sollen mit dem Smartphone auf TV und co zugreifen können, streamen usw.

    Edited once, last by UbiTim (March 8, 2025 at 1:00 AM).

    Hi,

    wenn du die Ports absichern willst, wäre 802.1x der richtige Weg. gierig hat's ja schon beschrieben. Allerdings kann Ubiquiti durchaus 802.11x. RADIUS auf der UDM aktivieren, 802.11x aktivieren und dann den einzelnen Ports zuweisesen. Ich hab das nicht getestet, sondern nur in die Einstellungen geschaut. Vielleicht ist der integrierte RADIUS Server nicht so flexbiel, sodass du man da besser was externes einsetzt. Aber grundsätzlich scheint das so zu funktionieren.

    Gruß

Participate now!

Don’t have an account yet? Register yourself now and be a part of our community!

Register Yourself Login