Access & Protect in eigenes VLAN / Fragen

Moin zusammen,

habe schon nach meinem Thema gesucht, finde aber nur sehr alte Beiträge, die auch nicht ganz passen…

Vor kurzem habe ich eine G6 Turret (=Protect) und einen G3 Reader Pro (=Access) installiert und beide Kameras einander zugeordnet, da beide im Hauseingang montiert sind.
Nun könnte sich jemand das Kabel zum Reader oder zur G6 schnappenund würde im Grunde im Management-LAN landen, was ich gerne verhindern würde.

Da alle Geräte „adopted“ sind, könnte ich ein neues VLAN erstellen und die Switch-Ports des Reader (also des Door Hubs) und der G6 diesem neunen VLAN zuordnen. Danach könnte ich per ZBF diesem VLAN den external-access blockieren, womit eigentlich alles abgesichert sein müsste.

Aber, können die Access- und die Protect-App diese Geräte dann noch erreichen ? Updaten sich die Geräte dann weiterhin ? Können die Aufnahmen dann noch auf der SSD im UCG-Max gespeichert werden ?

Ubiquiti meint:

„Please note: Once the cameras are adopted, you can move them to the desired VLAN. This setup is possible as long as the cameras and access devices can still communicate with and reach the console (UCG Max).

However, if you block internet access entirely for that VLAN, be aware that the devices will not be able to use UniFi’s cloud-based features. They will function locally and must maintain local network connectivity to the console for proper operation with UniFi Protect and Access.“

Ich packe die Cam & Reader in ein eigenes VLAN und blocke dieses zu allen Zonen außer Gateways. Dann erlaube ich dem Management LAN den Zugriff auf dieses VLAN mit „allow return“. Fraglich ist, ob „devices can still communicate with and reach the console“.

Und, welche cloud-based-features sind dann weg ? AI läuft doch auf der cam.

Wie gewähre ich den Zugriff auf die Konsole aus dem VLAN ? Doch über die Gateway-Zone ? Und Firmware-Updates ?

Quote from Peterfido

Die Firmware Updates führt Protect durch.

MAC Filter, feste IP Adressen vergeben, DHCP auf dem VLAN deaktivieren und Internet verbieten.

Hm, dachte, MAC-Filter kann man nur im WLAN verwenden.

Quote

You're absolutely right — in order for the devices to utilize the SSD storage on the UCG Max console, they need to be able to communicate directly with the console over the local network.

If your network is segmented using VLANs, it's important to ensure that communication between the VLANs is allowed. This way, the devices can properly connect to the console and take advantage of features like local storage access.

When I mention cloud-based features, I'm referring to remote access — for example, being able to manage your devices and console through the UniFi web portal or mobile app from outside your local network. I’ve confirmed with the team that since you can access the console locally, you will also be able to access the devices connected to it through remote access.

Ich habe noch eine Antwort von Ubiquiti dazu erhalten...

Damit die Kameras Daten auf der SSD im Gateway UCG-Max speichern können, müssen diese Zugriff auf das Gateway haben, klar.

Mein Plan - vielleicht könnt Ihr das nochmals abgleiche - ist nun:

G6 Turret, Door Hub und Reader Pro in ein eigenes VLAN in eigener Zone stecken. Innerhalb des VLAN Kommunikation untereinander erlauben (per deafault), den Zugriff dieser Zone auf die Zone "external" unterbinden, den Zugriff dieser Zone auf Gateway aber belassen. Dem Management-VLAN Zugriff auf die Kamera-Zone geben mit "allow return". Anschließend an den Switch Ports des Door Hub und der Kamera die MAC-Filter aktivieren, aber schalte ich hier "tagged VLAN management" auf "block all" ?

Was speziell meint Ubiquiti sonst mit "If your network is segmented using VLANs, it's important to ensure that communication between the VLANs is allowed. This way, the devices can properly connect to the console and take advantage of features like local storage access" ?

Die Kommunikation der Kamera/Door Hub/Reader zum Gateway (zur SSD und für Updates) wäre nicht gesperrt, also müsste normal laufen.

So kommt niemand ins LAN, wenn er sich das LAN-Kabel greifen würde und wenn, dann wäre noch der MAC-Filter aktiv.