Die Firewallregeln bei Unifi

Es gibt 11 Antworten in diesem Thema, welches 2.108 mal aufgerufen wurde. Der letzte Beitrag () ist von Naichbindas.

    Hallo


    Ich habe ein Problem oder weiss noch nicht ganz warum das so ist.

    Habe mehrere VLANS im meinem System eingerichtet.


    Die da wären:

    1. MGMT LAN
    2. Heimnetzwerk
    3. IOT LAN
    4. Fritzbox LAN
    5. Gäste LAN

    Alles schön und gut. Dazu sind Firewall Regeln eingerichtet.

    Das sind in LAN in:

    1. erlaube etablierte und verbundene Sitzungen
    2. erlaube dem MGMT LAN den Zugriff auf alle VLANs
    3. blokiere die gesammte Kommunikation zwischen den VLANs

    und unter LAN lokal:

    1. Gast für alle GW blockieren
    2. IOT für alle GW blockieren
    3. Fritz für alle GW blockieren


    Eine LAN lokal Regel Heimnetzwerk für alle GW blockieren habe ich nicht eingerichtet, da dann garnix mehr geht.

    Ich denke damit habe ich alles richtig gemacht, oder doch nicht?


    Weil jetzt zu meiner Frage:

    Wie kann das dann aber bitte sein, das sich mein Satreceiver, eine VU Plus, das ist ein Enigma2 Receiver der im Heimnetzwerk ist sich mit anderen VLANs verbindet oder trennt?

    Jetzt sogar angeblich mit dem MGMT LAN verbunden sein soll, aber eine IP Adresse aus dem Heimnetzwerk hat?


    Hier kann man sehen wie sich eine VU aus dem VLAN - Heimnetzwerk versucht in andere VLANs zu verbinden.


    Meine Synology DS1819+ jeweils mit einem LAN Kabel, jeweils im einem VLAN present ist, sich mit einem anderen LAN Anschluss in ein anderes VLAN verbinden will.

    Soll heißen, LAN 4 der DS 1819+ ist im Fritzbox Netzwerk unterwegs und darf nirgendswo anders hin, ist mit dem Gästenetzwerk verbunden, und dann auch wieder getrennt.


    Hier kann man sehen wie sich der eine LAN Anschluss der DS versucht in andere VLANs zu verbinden, was die anderen drei LAN Anschlüsse der DS auch versuchen.


    Das habe ich gefunden, unter Systemprotokoll und dort unter Client.

    Unter Systemprotokolle, dort dann auf Trigger, habe ich folgendes gefunden.


    Hier greift die Regel ja, das die gesamte Kommunikation unter den VLANs verboten ist.


    Soweit so gut, aber wenn doch Blockregeln existieren, wieso versuchen dan die Geräte es dann trotzdem.

    Wird das denn nicht theoretisch nicht schon vorher im Keim erstickt und unterbunden?

    Nach meinen Verständniss dürften doch dann die Endgeräte garnicht erst Kenntnis vvon dem anderen VLAN haben bzw, es versuchen dort eine Verbindung zu erstellen. Denn die Firewall ist ja für solche Sachen eingerichtet.

    Oder muss ich dann tatsächlich nochmal expliziet in LAN IN die Regeln auch nochmal erstellen, zum Blokieren der VLAN´s untereinander, was aber eigentlich doppelt wäre weil diese Regeln ja schon in LAN Lokal definiert wurden sind.

    Weil ich denke mir das so, wenn ich Endgeräte in einem VLAN habe und Regeln sagen, er darf nur dort was tun und verbinden, woanders aber nicht, dann sollte doh auch nur das passieren was ich im erlaubt habe.

    Das entlastet ja auch das Netzwerk, wenn die Engeräte da in den Netzwerken rumfurwerken wollen, oder sollen.

    Denn das Endgerät soll nur seine Welt kennen, sein VLAN und vom dem Rest garnix wissen, das es da draussen noch eine Welt gibt, scherzhaft ausgedrückt.

    Meine DS und meine VUs haben keine Vieren und oder Schadprogramme, die das erklären würden. Sind aber Netwerkfähig und haben Webgui´s und Netzwerkbrowser und können Aufgaben wie Plex, Emby, Mediaserver und solche Sachen ausführen.

    Aber auch das bitte dann nur im eigenen VLAN.

    Habt ihr da vlt, eine Lösung für mich.

    Danke.


    mfg

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Ich habe eine UDM Pro, diese hatt Verbindung zum USW-Amit 10GB, der wieder rum verbunden mit dem US-48-500W, mit 20 GB als LAG.

    Vom US-48-500W gehen die Endgeräte per 1GB LAN Verbindungen weg.

    Nein, kein Layer 3 taugliches Gerät.


    mfg

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Da ist halt das Problem, dass deine Firewall-Regeln halt nur auf/für die UDM Pro gelten. Die verschiedene Switche können deine Regeln gar nicht umsetzen. Zu unterscheiden sind halt FW-Regeln (Layer 3) und VLAN-Regeln (Layer 2).
    Du kannst nur jeden einzelnen Port sagen, dass es / das Gerät dahinter, nur diese eine VLAN kann/darf. Deine FW-Regeln gelten nur über die UDM Pro ins WAN. Was die Geräte untereinander direkt kommunizieren, sieht die UDM gar nicht und kann es deshalb nicht regeln. Und da die Geräte immer wieder Pakete aus anderen Sub-Netze/VLAN sehen, versuchen sie je nach OS sich dort auch umzuschauen.

    Wer oder was ist denn das Gateway für Deine 5 VLANs? Wie sind die konfiguriert?

    Das kannst Du im Controller sehen und gern oben nachtragen.

    phino Dafür werden doch in der Firewall der UDM Pro die Regeln erstellt. Auch der Traffic der VLAN´s, sogenannte VLAN Regeln. Die Switche mache nur das Routing und so weiter. In der regel hat man im Netzwerk eine Firewall, entweder Software oder Hardware basierend. Die Regelt doch alles und mein Switch kümmert sich ums Routing und so weiter. Aber der Traffic wird doch trozdem meines Wissens über die UDM Pro geregelt und dort sollte eigentlich alles richtig sein. An den Port des Switches sollte demnah nur das ankommen was die UDM Pro vorgibt und nicht mehr....


    razor Meine Gateways sind jeweils die auch von den Netzwerken stammen.

    Also:

    1. Netzwerk 1 - 192.168.1.1

    2. Netzwerk 2 - 192.168.2.1

    3. Netzwerk 3 - 192.168.3.1

    4. Netzwerk 4 - 192.168.4.1

    5. Netwzerk 5 - 192.168.5.1


    Diese sind auch so in den Netzwerken eingetragen. So wie man es kennt.

    Ich denke ddu meinst bestimmt ob ich andere Vertrauenwürdige eingtragen habe. Nein stehn keine weiteren drinn.


    mfg

    Mann hat es nicht leicht, aber leicht hat es einen.. :face_with_tongue:

    Zitat von Naichbindas

    phino Dafür werden doch in der Firewall der UDM Pro die Regeln erstellt. Auch der Traffic der VLAN´s, sogenannte VLAN Regeln. Die Switche mache nur das Routing und so weiter. In der regel hat man im Netzwerk eine Firewall, entweder Software oder Hardware basierend. Die Regelt doch alles und mein Switch kümmert sich ums Routing und so weiter. Aber der Traffic wird doch trozdem meines Wissens über die UDM Pro geregelt und dort sollte eigentlich alles richtig sein. An den Port des Switches sollte demnah nur das ankommen was die UDM Pro vorgibt und nicht mehr....

    Ja, deine UDM Pro ist auch FW. Aber dies bezieht sich erst einmal nur auf den Netzwerkverkehr zwischen LAN (alle) und dem WAN in beide Richtungen.

    Layer2-Switche sind nur „Schalter“, die den Netzwerkverkehr basieren auf MAC-Adressen durchschalten. Erst ein Layer3-Switch ist in der Lage, auch zu schauen, was auf IP-Ebene wohin geht. Layer3-Switche sind der verlängerte Arm der FW und können den internen Netzwerkverkehr regeln. Sie sind schon kurz vor Router. :winking_face: übernehmen aber ihre Anweisungen zum Regeln des Netzwerkverkehrs von einer zentralen Stelle.
    Ein Zwischenbereich ist, dass du einen Port fest auf ein VLAN-ID setzt und dieser jede Art von Netzwerkverkehr mit den anderen VLAN fern hält. Damit hat man aber recht statische Einstellungen.

    Hallo Naichbindas ,


    das meinte ich nicht, sondern das:

    Wer oder was ist der Router für die genanntenVLANs?

    Zitat von Naichbindas

    razor Ich habe die UDM Pro mit WAN 1 an einer Fritzbox, die im Bridgemode läuft.

    Das heist dann im umkehrschluss das dann die Gateway Adresse für alle wohl die 192.168.1.1 ist.

    mfg

    Das ist noch immer nicht das, wo ich hin wollte.

    Controller --> Settings --> Networks - egal ob neue oder alte View.

    Zitat von Naichbindas

    Hier kann man sehen wie sich eine VU aus dem VLAN - Heimnetzwerk versucht in andere VLANs zu verbinden.

    Was denn das überhaupt für ein Report ? Diese Meldungen (X hat sich mit y Verbunden, oder getrennt)

    kenne ich Ausschließlich von WLAN Geräten. Kann es das du Verbindungen über WLAN hast

    und die Geräte mehrere Profile haben und die halt nun lustig schauen und sich verbinden ?

    Da hilft auch keine Firewall der Welt... da Hilft nur unnötige WLAN Config löschen auf den Geräten.