Portweiterleitung trotz VLAN-Isolierung möglich?

Hallo zusammen,

ich steige in der Administration der Unifi-Componenten, insbesondere der Firewallregeln, noch nicht so ganz durch und könnte mal einen einen Anstoß gebrauchen. Ich habe folgende Frage:

Es gibt 4 kleine Firmen, die über die gleiche Netzwerkinfrastruktur laufen (UDM-Pro-Max und zwei Switche USW-Pro-Max-24-Poe) Diese sind über VLANs umgesetzt, die voneinander isoliert sind.Das ist so weit konfiguriert und läuft wie erwartet.

Es soll eine neue VOIP-Telefonanlage in Firma 1 gehostet werden, deren Server zwingend im VLAN der Firma 1 bleiben muss und nicht in eine separates VLAN für die Telefone ausgelagert werden kann. Das wäre auch für Firma 1 alleine kein Thema und würde laufen.

Die Besonderheit ist jedoch, dass die Firmen 2 bis 4 ebenfalls von dieser Telefonanlage bedient werden sollen. Jetzt könnte man die jeweiligen Netzwerkanschlüsse der VOIP-Telefone einfach in das VLAN der Firma 1 integrieren. Ich rede hier nicht vom oft üblichen Durchschleifen des PC-Netzwerkanschlusses über das Telefon. Die Telefone hätten eigene Netzwerkanschlüsse. Ich möchte sicherstellen, dass auch beim Anschließen eines PCs an den Telefon-Netzwerkanschluss nicht plötzlich der PC im "falschen" Netzwerk arbeiten kann. Gäbe es noch eine andere Möglichkeit, als alle VLANs über feste MAC-Adressen abzuriegeln? Das ist für alle 4 Firmen nicht gewünscht.

Folgefrage in diesem Zusammenhang:

Auf den PCs in allen 4 Firmen läuft zusätzlich ein "Softphone". Diese Anwendung muss also zwingend eine Verbindung ins VLAN der Firma 1 zur Telefonanlage herstellen können. Die dafür notwendigen Ports sind bekannt.
Und hier stehe administrativ mit beiden Beinen fest auf dem Schlauch. Wie kann ich diese speziellen Ports aus allen VLANS 2-4 in VLAN 1 erlauben, während sämliche restliche Kommunikation wie oben beschrieben weiterhin isoliert bleibt? Ich habe gerade das Gefühl, ich versuche zu duschen ohne nass zu werden.

Viele Grüße
Tom

Funktioniert dass, wenn ich trotzdem innerhalb der Netzwerkkonfiguration der VLANs das Häkchen gesetzt habe, dass das VLAN isoliert ist? Ab dann habe ich nämlich eine nicht bearbeitbare Regel unter "Sicherheit" stehen, die genau das abbildet. Bisher habe ich das nicht hin bekommen (Oder habe da noch einen Fehlerdrin). Zieht die "Erlaubnis" dann vor der generellen "Isolation"? Die Regeln werden nach meinem Verständnis in einer Prioritätenreihenfolge abgearbeitet. Und da wäre in meinem Kopf die Isolation an oberster Stelle und würde den Datenverkehr sofort blockieren, noch bevor die Prüfung die Stelle erreicht, nach der es dann doch ok wäre.

Oder ziehen erst alle "Zulassen-Regeln" und wenn keine davon zuschlägt, prüft das System die "Blockierregeln"?

Ok. leuchtet ein.

Zur Beantwortung meiner zweiten Frage würde das also bedeuten, das Isolieren führt zwar zu einem Block, neu angelegte Zusassen-Regeln stehen aber automatisch darüber und werden damit vorrangig berücksichtigt.

Damit wäre auch die Fragestellung nach dem Softphone lösbar, trotz der Isolation der VLANs. Korrekt?

Ok. verstanden. Noch eine Frage am Rande zum Einstellen der Regeln.

Wenn ich IPbasierte-Regeln mit einem speziellen Port anlege, gibt es da jeweils ein Häkchen

bei IP: Gegenüberliegende Übereinstimmung (mit dem Hilfetext "Alle Subnetze außer dem ausgewählten abgleichen")
bei Port: Anschluss-Gegenteil abgleichen (mit dem Hilfetext "Alle Anschlüsse außer dem ausgewählten abgleichen")

Das gibt es jeweils bei dem Eintrag für Quellzone und aud bei Zielzone. Anhand der Beschreibungen erschließt sich mit die Auswirkung der Einstellung noch nicht.

Was bewirkt das Häkchen genau?

Lieben Dank! Dann teste ich mich mal durch.