Beiträge von Networker

Moin PauloPinto,

prinzipiell bist Du voll auf dem richtigen Weg - auch wenn Du leider offen lässt, was für Telefone Du nutzt. Eine Einstellung in der Fritzbox ist sehr wichtig, wenn sie im Client-Modus läuft: "Portweiterleitung des Internet-Routers für Telefonie aktiv halten". Stell das auf 30 Sekunden ein, ansonsten kann es sein, dass Du von extern nicht erreichbar bist.

Ansonsten sind die Telefonie-Einstellungen nicht anders, als wann die FB der 1. Router am Anschluss ist.

Richtige VoIP-Telefone kann man übrigens direkt mit SIP-Accounts füttern, da ist dann keine Fritzbox als Mittler mehr nötig. Dies aber nur am Rande, denn durch Deine Alarmanlage kannst Du ja eh nicht auf eine Box verzichten.

Zitat von phino

Dieses mehr mit den Keystone macht in dieser Situation keinen Sinn, ist viel zu teuer.

Naja, teuer...

12 Keystone-Module kosten 30-40 €, das Panel kostet ähnlich einem LSA-Panel, ist eher billiger. Endkundenpreise, Installateure kommen vermutlich für die Hälfte dran.

So eine Installation macht man 1-2 Mal im Leben und nutzt die Infrastruktur Jahrzehnte. Da ist der Aufpreis Keystone vs. LSA aus meiner Sicht total zu vernachlässigen.

Aber klar, wenn man jetzt schon weiß, dass die Installation für die nächsten 20 Jahre nicht mehr angefasst wird, kann man sich den Aufpreis natürlich sparen.

Für IN der Wand, also unterputz, gibt es glaube ich nichts. Zum regulär an die Wand schrauben gibt es z.B. dieses Modell.

Aber was meinst Du mit "vom Verlegekabel weg"? Die Dosen in den einzelnen Räumen Deiner Immobilie werden mit Verlegekabel angebunden, alles andere wäre Pfusch. Dir ging es doch um die frage, wie Du dann die "Übersetzung" vom Verlegekabel auf den Switch gestaltest, wenn ich es richtig verstanden habe.

Die Frage liegt zwar schon zwei Monate zurück, aber vielleicht hilft diese Option ja trotzdem noch jemandem: Stecker direkt auf Verlegekabel würde ich lassen, alleine schon, weil Verlegekabel sehr starr und unflexibel ist. Entweder ein Patchfeld, wie noexpand schon schrieb, oder aber Keystone-Module auf die einzelnen Kabel.

Somit hat man RJ-45-Buchsen auf den Leitungen und kann über normale Patchkabel an die UDW gehen.

EDIT: Auch für ein Patchfeld würde ich grundsätzlich empfehlen, dieses nicht über LSA zu machen, sondern ebenfalls Keystone zu verwenden.

Hallo Fliegerlenker, Rückfrage zur Konzeption: Wäre es vielleicht eine Überlegung, das VPN auf dem oder den Engerät(en) einzurichten, wo die Umgehung des Geoblockings auch wirklich benötigt wird? Dies ist ja in aller regel nur ein Bruchteil der Geräte, die das Netzwerk insgesamt beinhaltet und wenn ich mir vorstelle, dass z.B. all meine Computer Updates, Downloads und Streaming pauschal durch ein VPN machen müssten, wäre dies nicht so ideal für meine Zwecke.

Oder bekommt man das mittlerweile in bezahlbar ohne Trafficlimit und Geschwindigkeitseinbußen?

Wenn ich es richtig verstehe, ist VRRP leider nur eine recht halbgare Angelegenheit und weit entfernt von Konzepten zu High Availibility. Angeblich ist es wirklich nur eine Redundanz im Routing - Dienste wie DHCP, VPN usw. würden also ausfallen, sobald das Hauptgerät nicht mehr erreichbar ist. An Redundanz bei Unifi-Apps wie "Protect" braucht man so wohl gar nicht denken.

Vielleicht hat jemand ja aber auch gegenteilige Erfahrungen gemacht?

Die Möglichkeit für mehrere parallele Router, die automatisch den ausgefallenen Nachbarn ersetzen, steckt bei IPv6 übrigens schon im Protokoll, dafür braucht es VRRP gar nicht.

Zitat von KJL

also 10.0.0.0 /16 macht man heute eigentlich nicht mehr sondern löst das ganze über VLAN´s die dann maximal /24 erhalten

Mal davon abgesehen, dass die native Netzmaske von 10.0.0.0 eigentlich "/8" ist, möchte ich zum 30. Geburtstag von CIDR darauf hinweisen, dass IPv4-Netze glücklicherweise schon lange nicht mehr nur /24, /16 oder /8 sein müssen.

Wenn 256 Adressen im Netz etwas knapp sind, aber 65.000 oder gar 16.700.000 viel zu viel, kann man auch ganz simpel ein /23- oder /22-Netz konfigurieren. Das ergibt dann 512 bzw. 1024 Adressen. Es ist dabei auch egal, ob man 10.X, 172.16.X oder 192.168.X dafür nimmt.

Den von @KJL genannten Ansatz mit "soviel wie nötig, so wenig wie möglich" kannst Du sehr gut auf sämtliche Bereiche Deiner IT-Infrastruktur übertragen.

Zitat von CarMagician

In einem Forum habe ich gelesen auf kurz oder lang sollte man bei einem Ubiquiti System die vorhanden Switche durch U6 Enterprise-In-Wall ersetzten soll, so hätte man Switch und WLAN.

Da weiß ich aber so gar nicht was ich davon halten soll.

So pauschal ist die Aussage totaler Quatsch, denn nicht überall, wo ein Switch benötigt wird, ist auch ein guter Platz oder der Bedarf für einen AP. Andersherum benötigt man nicht an jedem Standort eines APs einen Switch, dann kann man besser den halb so teuren U6-Pro kaufen.

Außerdem: Es werden ja selbst in einer Unterverteilung manchmal mehr als 4 Switchports benötigt.

Mehr als einen AP pro Raum würde ich mir auch nicht aufhängen, so lange der Raum keine riesige Lagerhalle ist. Da wird die WLAN-Qualität eher schlechter als besser.

Nichtsdestotrotz sind die U6 Enterprise-In-Wall schöne Geräte, die je nach Umgebung sehr sinnvoll integriert werden können.

Ehrlicherweise ist auch auch mit finanziellem Mehraufwand verbunden, alles hübsch und gefällig zu gestalten. Die Panels kosten bei Ubiquiti 3-4 Mal so viel wie günstige Teile von Amazon der Qualitätsstufe "OK". Irgendwelche Patchkabel in beliebiger Länge und Farbe haben wir alle zu Hause, genau passende Längen und abgestimmte Farben muss man sich gezielt einkaufen.

Allerdings: Patchkabel (Cat 6/6a S/FTP) bekommt man mit ein wenig Recherche durchaus für 1-2 € das Stück in Wunschfarbe und -länge, das sollte immer drin sein.

Die deutlichen höheren Preise für Panels in passendem Unifi-Silber würde ich allerdings auch nur für meine private Installation nutzen, Kunden kann man rein optische Verbesserungen an dieser Stelle eher selten verkaufen.

Dein Rack sieht doch anständig strukturiert aus, dafür braucht man sich jedenfalls nicht schämen. So in etwa sieht es auch aus, wenn ich Racks bei Kunden plane und bestücke, außer, dass ich Kabel mit genau passender Länge verbaue.

Deine Reihenfolge:

Patchfeld

Kabeldurchführunf

Switch

Kabeldurchführung

Patchfeld

finde ich übrigens sehr sinnvoll - auch wenn Du über die Bürstenleisten vor allem die zu langen Kabel kaschierst.

Du brauchst allerdings dringend mehr Endgeräte, denn Dein 24-Port-Switch fühlt sich vermutlich wie bestellt und nicht abgeholt.

Danke Euch beiden für die ausführlichen Erläuterungen und Einschätzungen. Von dieser Seite hatte ich das Ganze noch nicht betrachtet und es hilft, die Denke dahinter besser zu verstehen.

Ubiquiti selbst bietet ja Patchpanels, Blindpanele (auch mit Lüftungsschlitzen) und Kabeldurchführungen im passenden Design an.

Bei anderen Anbietern ist es sehr schwer, überhaupt etwas zu bekommen, was nicht schwarz oder grau ist.

Hallo Vitrex, wirklich sinnvoll innerhalb eines Gebäudes wären zwei UDM Pros nur dann, wenn Du zwei physisch getrennte Netzwerke betreiben wollen würdest. Dafür gibt es aber im Privathaushalt keinen plausiblen Grund, meiner Meinung nach.

Du kannst aber davon ausgehen, dass Ubiquiti Dir mannigfaltige Angebote unterbreiten wird, wofür Du den Erlös der später überflüssigen UDM reinvestieren kannst (und gerne wirst).

Vielleicht liegt es an mir, aber mich verwirrt dieser Thread.

Ich drücke aber die Daumen, dass mit der neuen UDM SE alles wieder in Ordnung kommt!

Hinweise dazu stehen doch hier im Thread, z.B. auf Seite zwei in den Beiträgen von Kurt-oe1kyw und Naichbindas.

Wie genau man auf falsch anliegende elektrische Potentiale prüft, kann ich Dir leider nicht sagen, bin nicht vom Fach. Es wurde hier im Forum aber schon an mehreren Stellen darüber gesprochen, dass ein Netzwerk durch elektrisch fehlerhafte Geräte ausgeknipst werden kann - und ich selbst habe es es auch schon bei Kunden erlebt.

Hallo CarMagician und willkommen hier!

Ich würde nicht grundsätzlich von einer Ubiquiti-Firewall im Gewerbe abraten, es kommt einfach auf den Anspruch an, den man an das Gerät stellt. Wenn Du bislang nur eine FritzBox nutzt, hast Du ja quasi bislang keine großartigen Ansprüche gehabt.

Unifi bietet z.B. keine ActiveDirectory-Integration, man kann also keine Firewall-Regeln auf Basis einer Windows-Domain bauen. Eine UDM-SE hat zudem "nur" zwei WAN-Anschlüsse, während man bei sehr professionellen Firewalls mehr als zwei Internetanschlüsse gleichzeitig haben kann.

Das Logging ist sicherlich auch in mach anderen Lösungen übersichtlicher, besser zu filtern, aussagekräftiger. Und es gibt keine -ohnehin eher fragwürdigen- Mechanismen wie Man-in-the-middle für SSL-Verbindungen, um Clients zu "beschützen".

Erwähnen sollte man vielleicht auch, dass es keinen telefonischen Support gibt.

Aber für Betriebe mit 20 oder 30 Computern sehe ich keine dramatischen Einschränkungen.

Auf der Vorteils-Seite steht bei Unifi, dass die Lernkurve flacher als bei anderen Firewalls ist und man keine Lizenzgebühren zahlt, wie bei vielen anderen. Außerdem kann man, wenn man alle Komponenten von "Unifi" nutzt, wirklich schön zentral administrieren und muss keine (Sicherheits-)Einstellungen von der Firewall auf Switches und Access Points umschreiben.

Wenn Dein Erfahrungslevel bislang "FritzBox" ist, wirst Du eine Watchguard-Firewall bzw. Dein Netzwerk hinter ihr eher nicht ohne professionelle Hilfe konfiguriert bekommen, fürchte ich.

Ansonsten:

Zitat von CarMagician

Dort sitzen 3 Switche unterschiedlichsten Alters von 10 bis 100 Mbit

Switches, nicht mindestens 100 Mbit/s können, solltest Du schnellstens rauswerfen. Viele moderne Geräte unterstützen 10 Mbit/s nicht mehr.

1000 Mbit/s ist seit Jahren Standard, 2,5 Gbit/s bis 10 Gbit/s ist auch schon recht weit verbreitet.

Zitat von CarMagician

Von da aus würde ich dann eine neue Leitung legen, ein 10 Gbps SFP+

SFP+ beschreibt einen Anschluss, nicht das Kabel bzw. die Leitung. Du brauchst für UDM SE und Switch jeweils einen SFP+-Tranciever - musst Dich dann aber noch für die Übertragungsart entscheiden. Zur Auswahl stehen Kupfer (RJ45-Stecker) oder Glasfaser. Wenn Du die Leitung eh neu legst, ziehe auf jeden fall Glasfaser. Hier gibt es dann auch noch verschiedenste Variationen (Singlemode vs. Multimode und 1001 Steckervarianten). Auf all das musst Du bei den Trancievern achten.

Ausreichend ist Multimode OM4 LC-Duplex. Singlemode-Fasern sind theoretisch "besser", bei einer 10G-Verbindung innerhalb eines Gebäudes spielt es aber keine Rolle - und die Tranciever kosten im Vergleich zu Multimode ca. das Doppelte (zumindest die originalen von Ubiquiti).

Wenn Budget ausreichend vorhanden ist: Nimm Singlemode (auch mit LC-Duplex).

Zitat von CarMagician

Da wir zwar Kameras im Unternehmen haben, diese aber an einem eigenen POE Switch hängen und die Leitung nicht alleine bis zum bisherigen Switch-Rack geht brauche ich ja eigentlich keinen 48-Port PoE, korrekt?

Wenn ansonsten kein Gerät über PoE betrieben werden soll (was ist mit WLAN-APs?), brauchst Du keinen PoE-Switch. Wenn doch mal ein, zwei Geräte später hinzu kommen, kann man diese auch über PoE-Injektoren für 10€ das Stück versorgen. Bei mehreren Geräten wird das aber irgendwann hässlich und man hätte doch besser den PoE-Switch gekauft.

Zitat von CarMagician

Die Dream Machine ist wahrscheinlich ja der Kopf des ganzen System und dort muss ich dann wahrscheinlich ja auch die Einstellungen vornehmen um Subnetting zu betreiben?

Ja, genau richtig. Genauer gesagt in der "Network"-App, die auf der UDM SE läuft.

Zitat von CarMagician

Ich nutze hier einen kleinen Linux-PC auf dem AdGuard-Pro installiert ist und den DNS-Service übernimmt, lässt sich sowas gut bei Ubiquiti integrieren? Oder gibt es für so etwas Add-Ons?

Du kannst für jedes Netz einen eigenen DNS-Server angeben, das ist gar kein Problem. Verwalten lässt sich der Server aber nicht direkt über Unifi, falls Du das meinst.

In Sachen VDSL-Modem hat fred05 ja schon auf die Vigors von Draytek hingewiesen. Mit so einem könntest Du die Fritzbox als Modem ablösen und brauchst sie dann vermutlich gar nicht mehr, wenn Du für die Telefonie eh eine Anlage hast. Die Anlage sollte natürlich VoIP/SIP-fähig sein. Bei einem Uralt-Modell brauchst Du die Fritzbox mit ihrem S0-Port ansonsten ggf. noch als "Terminaladapter" .

Zitat von Carbonide

Welche Vorteile bringt diese Neuerung?

Im Prinzip keine, gehört leider in die Kategorie "etwas gut Funktionierendes ohne Not verändert". Ich fand es jedenfalls vorher wesentlich intuitiver.

Mag sein, dass es irgendwelches Feedback von Leuten gab, die es einfach von der Logik her umgedreht haben wollten, warum auch immer.

Ist ganz normale mit der Abfrage der Seriennummer. Es gibt ja Leute, die missbrauchen das Gewährleistungsrecht und senden ein ganz anderes Gerät gleichen Typs zurück, welches gar nicht bei diesem Händler erworben wurde oder viel älter ist.

Das Thema mit den Leckströmen/Kriechströmen habt Ihr hoffentlich getestet und ausgeschlossen? Ansonsten könnte auch eine getauschte, neue UDM schnell dasselbe Fehlerbild zeigen.

Die UDM SE hat zusätzlich zum PoE noch 120 GB internen SSD-Speicher, ansonsten sind die Geräte fast gleich.

Allerdings wurde die SE zuletzt aktiver gepflegt und erhielt die großen Upgrades auf Firmware 2.X und 3.X deutlich früher als die Pro. Derzeit sind sie allerdings glaube ich wieder mehr oder weniger gleichauf.

Controller sind in den UDMs integriert, CloudKey wird überflüssig. Du kannst hier noch ein paar Zeilen dazu lesen (auch in Sachen UXG).

Gerne. Als Ergänzung: Man kann prinzipiell auch mit MAC-Adress-Filtern arbeiten, Unifi scheint das schon grundsätzlich zu unterstützen - ich habe es allerdings selbst nicht ausprobiert.

Dies würde zunächst einmal verhindern, dass ein anderes Gerät als die angeschlossene Kamera Zugang zum Netzwerk erhält.

Da MAC-Adressen aber gespooft (kopiert) werden können, ist dies wie alle anderen Maßnahmen auch nur ein Baustein auf dem Weg zu einem sichereren Netzwerk. Keinesfalls "sicher".

Wenn sich jemand mit den außenliegenden Netzwerk-Anschlüssen verbindet, bekommt es natürlich dieselbe Konfiguration und dieselben Zugriffsparameter wie die Kamera, die dort eigentlich hängen sollte. Der Angreifer wäre im obigen Szenario also im "Kamera-Netz".

Ich bin bei Ubiquiti-Kameras nicht so tief drin, aber ich glaube, die Kamera selbst kann man vielleicht anpingen, aber sie hat wohl keinen Webserver o.ä. . Daher sehe ich hier keine echte Gefahr.

Den Zugriff auf die UDM kann man recht einfach verhindern, indem man über eine von Dir schon angesprochene LAN Local-Regel einige Ports blockt. Siehe z.B. hier.

Zugriff auf die UDM vollständig zu blocken, wäre keine gute Idee, denn dann könnten die Kameras nicht mehr verwaltet werden.

Als Paranoia-Szenario (welches durchaus sinnvoll ist, nur mehr Arbeit macht) legt man alternativ für jede Kamera ein eigenes Subnetz an. Dadurch kann ein Angreifer sich nur in einem minimalen, isolierten Bereich bewegen, wenn er sich anstelle der Kamera anstöpselt.

Dies ist nur ein Tipp, keine Anleitung (musste oben etwas auswählen).

Bei Tests mit den Speed Limits in der Firewall ist mir aufgefallen, dass diese offenbar nur für IPv4-Verbindungen greifen. Sobald ich eine IPv6-Verbindung ins Internet nutze, zeigen alle Speedtests wieder die volle Bandbreite des Internetanschlusses an.

Vielleicht hilft es ja jemandem, der sich (wie ich mich anfangs) fragt, warum Einstellungen scheinbar nicht funktionieren.

Es bleibt leider zu konstatieren, dass IPv6 an mehreren Stellen noch Baustelle ist im Unifi-Universum.