Standortvernetzung mit Ubiquiti UniFi

Es gibt 14 Antworten in diesem Thema, welches 1.907 mal aufgerufen wurde. Der letzte Beitrag () ist von Dor_Chris.

    Hallo Liebe Community,


    seit Donnerstag quälen mich ein paar Fragen zu dem Thema VPN mit mehreren Standorten. Aktuell habe ich nur Erfahrungen mit den UDMs, CloudKeys und der Windows-Software.


    Gegeben ist ein "weißes Blatt Papier", welches sozusagen mir freie Hand in der Planung der Netzwerke lässt.


    Ich habe derzeit einen Interessenten für ein Projekt, bei dem ich gern bei UniFi aufgrund der vielen Vorteile komplett einsetzen würde. Ich habe zirka 8 feste Standorte, sowie vier bis fünf mobile Standorte, auf denen das Kassensystem einmal am Tag Daten abrufen soll.


    Jeder "feste" Standort soll neben dem Internen Netzwerk Kameras und ein Gäste-WiFi anbieten, was ja normal kein Problem darstellen sollte. Nur das "interne" Netzwerk soll hierbei eine VPN zu einem Zentralen Standort erhalten. An diesem soll ein Server stationiert werden, auf dem perspektivisch die Mitarbeiter aus den einzelnen Standorten via RDP zugreifen sollen. Außerdem sollen Daten für das Kassensystem auch hier einmal täglich von der einen DB in die andere DB synchronisiert werden.


    Ich persönlich möchte hier an den einzelnen Standorten UDM-SE setzen, habe aber die Befürchtung, dass die Leistung für den Hauptstandort nicht ausreichen könnte.


    Hat bisher jemand erfahrung in diesen Dimensionen? Reicht die UDM-SE für den Dienst aus? Oder sollte man doch einen VPN-Server am Hauptstandort installieren?

    Zitat von Dor_Chris

    Ich persönlich möchte hier an den einzelnen Standorten UDM-SE setzen, habe aber die Befürchtung, dass die Leistung für den Hauptstandort nicht ausreichen könnte.

    Wenn man glaubt, dass die Leistung der „Zentralen“ zu schwach ist, hat Unifi was neues im Sortiment 😀 😀


    Cloud Key Enterprise - Ubiquiti Store
    A UniFi Network Console platform specifically designed for massive scale.
    eu.store.ui.com


    Dazu das größere Gateway (wird auch von UI so vorgeschlagen)


    Next-Generation Gateway Pro - Ubiquiti Store
    Dual-WAN security gateway designed to protect medium to large-sized networks with enterprise-class firewall configuration and threat management features.
    eu.store.ui.com



    Zur Vernetzung selbst der Standorte könnte das SiteMagic eine Idee sein, hab ich aber selbst noch nicht probiert. Rest per VPN rein

    Hallo Dor_Chris !

    Zitat von Dor_Chris

    Nur das "interne" Netzwerk soll hierbei eine VPN zu einem Zentralen Standort erhalten. An diesem soll ein Server stationiert werden, auf dem perspektivisch die Mitarbeiter aus den einzelnen Standorten via RDP zugreifen sollen. Außerdem sollen Daten für das Kassensystem auch hier einmal täglich von der einen DB in die andere DB synchronisiert werden.

    Das ist so erstmal kein Problem, VPN ist aus Sicht des Controllers ja auch nur ein weiteres Netzwerk, welches sich dann über Firewallregeln steuern lässt.


    In wieweit die VPN-Bandbreite ausreicht, können wir mit den spärlichen Angaben so eher nicht bewerten. RDP ist vernachlässigbar, wenn es nur wenige Verbindungen gleichzeitig sind.

    Welche Datenmenge der DB-Transfer erzeugt, kann hier ja niemand wissen - außerdem ist dann immer noch die Frage, ob der Transfer in 5 Minuten erledigt sein muss oder auch zwei Stunden dauern darf.

    Im offiziellen Forum berichten Nutzer der UDM Pro, dass sie über Wireguard 250-300 Mbps erreichen, sogar bei aktiviertem IPS. Die UDM SE ist ja keinesfalls langsamer.

    Mit welchen Internet-Anbindungen (Technologie und Bandbreite) arbeiten denn die Standorte überhaupt?


    Was möglicherweise derzeit noch ein Stolperstein sein kann: Ich bin mir nicht sicher, ob die Unifi-Wireguard-Implementierung sich schon als SplitTunnel bauen lässt. Dies wäre für Dein Szenario aber zwingende Voraussetzung. Der L2TP-Server in den DreamMachines, den es ja weiterhin gibt, kann dies auf jeden Fall.

    An den festen Standorten sind derzeit leider nur sperrliche Bandbreiten vorhanden. Allerdings haben wir einen möglichen Standort in einem Keller, der tatsächlich Glasfaserverbindung hat. Dort soll der Server stehen, bis der Glasfaser-Ausbau an dem "Bürostandort" erfolgt ist. Dann soll der Server umziehen. (soweit die Vorstellung)



    Meines wissens und der Erfahung her, ist mit Wireguard und UniFi keine Site-to-Site VPN möglich. Oder irre ich mich da?


    Die DB-Verbindung ist vom Datendurchsatz, etc. nicht der rede Wert und wird über Nacht abgeglichen.

    Also der Cloud Key Enterprise scheint mir aufgrund der Useranzahl etwas Overpowered.

    Meine überlegung war fast UXG Pro und die Software auf dem Server... allerdings würde ich die SE bevorzugen.

    Zitat von Dor_Chris

    Also der Cloud Key Enterprise scheint mir aufgrund der Useranzahl etwas Overpowered.

    Meine überlegung war fast UXG Pro und die Software auf dem Server... allerdings würde ich die SE bevorzugen.

    Der Enterprise war auch nicht ganz ernst gemeint, hatte den nur ne Stunde zuvor auf Twitter entdeckt :grinning_squinting_face:

    Was du bei reinen eigenen Software Lösungen bedenken musst, wie dass dann im Zweifelsfall mit Support aussieht. Die Anwendung sieht schon so aus, als ob Support ein Thema wäre.

    Ich würd da wirklich zuerst ne UDM SE testen(evtl mit der UXG Pro in Kombination), eine als "Reserve" im Störfall wirst du ja sowieso brauchen, oder können die Standorte auch mal 2-3 Tage offline sein? Es gibt auch neu beim Kauf auch eine "Premium" Support Option gegen Aufpreis, mit sofort Austausch,....

    Im Falle eines Ausfalls habe ich immer eine SE auf Reserve da... sind halt nur drei Stunden Fahrzeit dazwischen. Ich setze bei allen Kunden mittlerweile auf die SE, um einfach ein System zu etablieren und sich auf eins zu konzentrieren.

    Die Zeiten von bisschen TP-Link hier, bisschen D-Link da und dann so Bastellösungen haben wir schon lange nicht mehr. - Somit kann man halt auch mal se UDM SE auf halte legen.

    Genauso handhabe ich das mit den Accesspoints und Switchen. Ich verbaue aktuell nur die U6-LR und prinzipiell die Pro PoE Switchen. Somit kann man sich auf ein was konzentrieren.


    Deshalb wollte ich wissen, ob die SE dafür ausreichend ist.


    Nebenbei... der CK-Enterprise würde mich aber schon mal interessieren.

    Zitat von Dor_Chris

    Nebenbei... der CK-Enterprise würde mich aber schon mal interessieren

    der braucht halt auch einen 1m tiefen Netzwerkschrank

    wenn am "Hauptstandort" kein Riesen Netzwerk ist, könnte der SE durchaus reichen, das Internet macht ja die UXG Pro da

    Also am Standort wo der Server vorerst ist, steht eigentlich nur ein Server und ein VLAN für den Kunden Privat.


    Später wird er allerdings ins Bürogebäude umziehen mit so 20 Clients, WiFi und Kameras. Allerdings werde ich dort wahrscheinlich auf eine UNVR setzen.

    Zitat von Dor_Chris

    20 Clients, WiFi und Kameras

    wieviel Kameras? so hört sich so an als ob ne SE vollkommen ausreicht. ich hab hier zu Hause 30 Clients, paar Kameras und U6 Enterprise fürs Wifi auf der SE

    - Site-to-Site VPN: Richtig, derzeit nur als L2TP- oder OpenVPN-Verbindung möglich


    - Cloud Key Enterprise (auch wenn es nicht so ernst gemeint war): Das Teil ist ja lediglich ein Controller, vermutlich sogar nur für Unifi Network und nicht die anderen Dienste. Eine Firewall braucht man damit also zusätzlich. Außerdem ist das Ding mit seinem 4 Jahre alten Prozessor und 16 GB RAM gefühlt viel zu teuer.

    Letztlich ist es lediglich ein 1HE-Server mit magerer Hardware und redundantem Netzteil, den kann man sich für deutlich weniger als der Hälfte des Preise auch selbst bauen und den Controller drauf installieren. Aber ja, schon klar: In Umgebungen, in denen dieses Teil eingesetzt wird, baut niemand etwas selbst. :grinning_squinting_face:


    - Werde doch mal etwas konkreter in Sachen Bandbreite, was liegt an an der Glasfaser und mit welchen Bandbreiten sind die "Filialen" angebunden? Nicht, dass da irgendwo noch ADSL im Spiel ist, auf so einer Basis würde ich gar nicht anfangen zu planen.


    - Deine Rechenaufgabe: Wie hoch ist die erzeugte Last auf dem VPN, wenn die höchst anzunehmende Anzahl an gleichzeitigen RDP-Verbindungen offen ist?

    Noch ein Hinweis, weil Du es oben schriebst Dor_Chris : Die U6-LR Access Points bringen in Deutschland meiner Meinung nach gar nichts, weil auch die anderen APs schon mit der gesetzlich zulässigen Sendeleistung funken.

    Du müsstest also illegalerweise eine andere Region im Controller einstellen. um von höherer Reichweite zu profitieren. Das würde ich - erst Recht im gewerblichen Kontext - auf keinen Fall riskieren.

    U6-Pro ist die deutlich bessere Wahl.

    Zitat von Networker

    Noch ein Hinweis, weil Du es oben schriebst Dor_Chris : Die U6-LR Access Points bringen in Deutschland meiner Meinung nach gar nichts, weil auch die anderen APs schon mit der gesetzlich zulässigen Sendeleistung funken.

    Du müsstest also illegalerweise eine andere Region im Controller einstellen. um von höherer Reichweite zu profitieren. Das würde ich - erst Recht im gewerblichen Kontext - auf keinen Fall riskieren.

    U6-Pro ist die deutlich bessere Wahl.

    Hast du den Satz von mir? 😀 😀 😀. Ist genau meine Meinung, die ich schon öfter auch geschrieben habe.


    Vorallem wirds ja auch teuer, wenn man erwischt wird bei der „Manipulation“ . Finde auch, dass der U6pro ein sehr Leistungsfähiger und Preislich Interessanter „Vernunfts“-AP ist

    Zitat von Networker

    Noch ein Hinweis, weil Du es oben schriebst Dor_Chris : Die U6-LR Access Points bringen in Deutschland meiner Meinung nach gar nichts, weil auch die anderen APs schon mit der gesetzlich zulässigen Sendeleistung funken.

    Du müsstest also illegalerweise eine andere Region im Controller einstellen. um von höherer Reichweite zu profitieren. Das würde ich - erst Recht im gewerblichen Kontext - auf keinen Fall riskieren.

    U6-Pro ist die deutlich bessere Wahl.

    Guten Morgen,


    die Punkte sind berechtigt. Allerdings gab es zu dem Zeitpunkt, wo ich bei den Kunden von den AC-Pro auf die U6-Generation umgestiegen bin (angefangen habe, Kunden damit auszurüsten) keine U6-Pros lieferbar. Und da ich wie gesagt gern bei einer sorte Bleibe, werde ich auch weiterhin auf die LR setzen.

    Unterschiede gibt es übrigens doch auch im gesetzlichen Rahmen. Der Datendurchsatz ist nicht nur auf dem Datenblatt zwischen den Pro und LR geräten anders, sondern auch in der Realen Umgebung. Allerdings sind diese wiederum für den Durchschnitts-Endpunkt nicht spürbar...



    Egal, das war allerdings auch nicht das Ursprungsthema...



    Zitat von anton

    wieviel Kameras? so hört sich so an als ob ne SE vollkommen ausreicht. ich hab hier zu Hause 30 Clients, paar Kameras und U6 Enterprise fürs Wifi auf der SE

    Die Anzahl der Kameras ist derzeit noch nicht definierbar. Es kommt darauf an, ob auch G4/G5 Pros verbaut werden sollen. Je nachdem würde ich zwischen der SE und einer zusätzlichen UNVR an diesem Standort evaluieren.




    Wie bereits erwähnt, ist ein Standort mit Glasfaser geplant, der vorab als zentraler Punkt dienen soll. Dort würde dann der Anschluss auf die Maximale bandbreite erhöht werden. Wobei durch Threat Management ja sowieso nur max. 750 Mbit/s möglich sind (soweit ich weiß).


    Bei den anderen Standorten ist derzeit Tatsächlisch ADSL mit im Spiel. Allerdings habe ich bei der Vorabbesprechnung derzeit nur zwei der Standorte anschauen können.



    Bei einem geplanten Bürogebäude ist derzeit nur 16.000 maximal anligend. Allerdings würde ich mir hier vielleicht sogar mit dem Vorhandenem LTE Empfang abhilfe schaffen. Ein Nwk an einen geeigneten Standort ist bereits vorgesehen. Ausgehend von diesem Standort, Reden wir von 9 maximal gleichzeitigen RDP-Verbindungen. Da allerdings weitere Arbeitsplätze geplant sind, kann die Anzahl sich auch auf 15 erhöhen. Außerdem kann ich noch nicht sagen, ob die Wiedergabe pro Client auf zwei Monitoren erfolgen soll.


    Von den anderen Standorten reden wir mit maximal drei gleichzeitigen Verbindungen auf den Zentralserver.

    Also so wie es aussieht, könnte es das erste Projekt mit dem neuen Site-Magic sein.


    Irgendwie Lustig, wenn man bedenkt, das Ubiquiti immer eine Antwort auf meine Ideen parat hat.

    War bei der AI-DSLR schon so... drei Tage zuvor dachte ich noch, dass es ja schade ist, dass keiner einen Großen Kamerasensor in eine Kamera verbaut...