Umstieg von Unifi UDM SE auf CloudKey (genau in diese Richtung ):-) - Fremdfirewall

Der Cloudkey übernimmt die Aufgabe des Controllers und Protect (damit kenne ich mich nicht aus). Mehr nicht... das bedeutet also er stellt die Konfiguration für Switche und Accesspoints bereit. Letzten Endes ist der Cloudkey nur ein Netzwerkclient wie jeder andere PC.

Da kein Unifi Gateway nehr vorhanden sein wird, greift auch alles was das Gateway tut nicht mehr. Sprich DNS, DHCP mit IP Reservierungen sowie die VLANs mit ihren IDs wirst Du händisch ins neue Gateway übernehmen müssen.

Die VLANs in der Unifi Welt müssten dann im Prinzip auch alle auf 3rd Party Gateway.

Manchmal ist es einfach sinnvoll privates Hobby und Arbeit sauber getrennt zu halten, gerade wenn man nur Arbeitnehmer ist. Darfst und kannst Du das Gateway überhaupt konfigurieren wie du möchtest? Wenn ja, verstehe ich allerdings die betrieblichen Anforderungen nicht, zumindest nicht in Puncto Sicherheit.

Ich hatte auch ein Setup mit Cloud Gateway Max -> Unifi Universum. Habe dann auch mein System umgebaut da ich eine Securepoint Firewall davor einsetze. War überhaupt kein Problem die Umstellung. Bin dann vom CGM auf den CloudKey2 wieder zurück. Backup erstellt und im CK eingespielt ein paar Anpassungen noch erledigt bezüglich VLANs etc. und alles lief wie gehabt. Natürlich musst du noch ein paar Regeln auf der FW erstellen damit auch dann Protect etc. alles von extern erreichbar ist aber sonst kein großer Aufwand.

Da musst du dich nicht verrückt machen

Quote from Erbacher

Die neu Firewall wird ja DNS Server (erst einmal) und muss dementsprechend die Reservierungen übernehmen. Auch müssen natürlich die Netzsegment (VLans), VPN Verbindungen usw. neu eingerichtet werden. Mit den "Zuordnungen" meinte ich die Unifi Geräte.

Die neue Firewall muss zwangsläufig alles machen, was Gateway/Router-Funktion bedarf, sprich DNS. DHCP, Routing, Firewalling, VLAN's usw.
Dein Cloudkey verwaltet nur noch die Switch-Konfiguration ( z.b. Zuordnung VLAN zu Switchport ) und alles was WLAN ist.
( plus Protect wenn du nutzt )

Das funktioniert sehr gut, ich mache das schon fast 4 Jahre bei mir und hab das auch bei Bekannten so eingerichtet, Unifi Switche + WLAN und Firewall eines anderen Herstellers.

Funktionieren tut es natürlich 1a. VLANs sind halt Standardzeugs, wo ausnahmsweise mal nicht jeder Hersteller sein eigenes Zeugs frickelt (die eigentliche Konfiguration ist da natürlich wieder herstellerspezifisch). Letzten Ende Interessiert das Gateway nicht was da so dran hängt und was die Geräte mit den Paketen treiben. Das gleiche gilt auch für die Switche und Accesspoints. Jeder macht seinen Job halt für sich und leitet die Pakete so wie es entsprechend der Spezifikation sein soll. Stimmt was nicht ist wohl eher der Faktor Mensch schuld und hat da was mit den VLANs in den Systemen "vergeigt".

Wenn man die Geräte nicht neu anlernen will, ist prinzipiell das wichtigste, dass die Unifi Geräte mit dem Cloudkey kommunizieren können. Die Herausforderung ist also die wechselnde IP und der Umstand, dass der Cloudkey in EINEM VLAN steht und nicht wie vorher der Controller auf dem Gateway praktisch am Zentralen Punkt aller VLANs steht. Du kannst ja mal via ssh schauen, was in den Switchen und APs als inform url drin steht.

Wenn es perfekt läuft, musst Du nur die Unifi Geräte Neustarten und sie sind wieder Online. Das mit dem Verschieben, dürfte wohl die Umzugsfunktion von den Multisite Controllern sein. Die Gateways mit Controller sind Singlesite Controller ... Bei den Multisite Controllern kann man eine Site exportieren, diese wird dann auf dem neuen Controller importiert und anschließend wählt man die umzuziehenden Geräte aus und gibt die neue inform url an. Dann wechseln die Geräte wie von Zauberhand (wenn sie den neuen Controller erreichen). Wichtig ist aber zu prüfen ob es ein inform override gibt, da steht dann ggf. der alte Controller drin (das muss dann raus oder wenigstens angepasst werden) und die Geräte wechseln einmal hin und wieder zurück. Letzten Endes müsste das Mit Backup und Restore und dem händischen setzen der neuen inform url auch klappen.

Quote from Erbacher

DIE Lösung gibt es meiner Ansicht nach nicht (außer getrennter Anschluß und getrennte Geräte)

Wenn das Geld für einen zweiten Internetanschluss da ist, würde ich es so konfigurieren, dass alle Deine Geräte hinter dem Unifi-Router hängen, dieser auf WAN1 dann direkt am privaten Internetanschluss anliegt und auf WAN2 am Firmenrouter hinter dem betrieblichen Internetanschluss.

Somit musst Du auf nichts verzichten, nichts umstellen und kannst über Routing Policies festlegen, welches Deiner Geräte für welche Dienste den Weg ins Firmennetz wählen sollen.