Beiträge von sausi81
-
-
Kurze Frage: Mein UCG Ultra steht hinter einer Fritzbox. Bei den Einstellungen der WAN-Schnittstelle des Unifi Cloud Gateway Ultra gibt es bei DNS die Option "Automatisch". Was verbirgt sich dahinter? Welcher DNS-Server wird dann durch das UCG Ultra befragt? Die Fritzbox? Ich frage das, weil ich in der Fritzbox andere DNS-Server eingetragen habe und nicht die vom Provider zugewiesenen nutzen möchte und nun fürchte, mit "Automatisch" werden die in der Fritzbox eingetragenenen DNS-Server umgangen/ überschrieben.
-
Wie hast Du es festgestellt? Durch ein Gerät im Netzwerk? Dann halte ich es für kein Problem. Teste es mal von außerhalb.
Yup. Hab es aus dem LAN getestet und die WAN-Adresse aufgerufen. Das wird es gewesen sein.
-
Mutiger Schritt, die meisten machen es anders herum
Ich nehme an du bist mit dem internen Netz verbunden?
Teste es mit einem Gerät welches nicht im LAN/Wlan hängt. Solange du nichts weiterleitest sollte da nichts von außen erreichbar sein.
Ja, sehe schon, dass etliche die entgegengesetzte Richtung nehmen. Aber ich wollte einerseits die Komplexität meines Netzwerkes verringern und andererseits vermeiden, dass alles still steht, wenn Proxmox (und damit auch die Opnsense-VM) nicht läuft.
Ich habe es tatsächlich aus dem LAN heraus versucht. Das wirds gewesen sein. Merci!
-
Bin von einer Opnsense in der VM auf das Unifi Cloud Gateway Ultra umgestiegen und ich bereue den Schritt bislang nicht. Heute ist mir allerdings etwas aufgefallen, was mich etwas irritiert. Das Admin-Interface ist über die WAN-Adresse des Gateways erreichbar (steht noch hinter einer Fritzbox, ist also nur ein mittelschweres Drama). Muss das so sein, bzw. kann man das irgendwo abschalten oder brauchts dazu eine extra Firewall-Regel im Gateway? Wenn ja, wie sähe die aus?
-
In der Network-App unter Client-Geräte kannst Du Dir anzeigen, wie die Clients verbunden sind. Dort gibt es einen Reiter "VPN". Wenn sich Dein Gerät erfolgreich von außen mit dem VPN in Deinem Gateway verbunden hat, müsste es dort auftauchen. So kannst Du zumindest prüfen, ob die Einwahl klappt.
-
Hi,
ich habe in meinem Cloud Gateway Max eine WireGuard VPN eingerichtet, und das Verbinden mit den iPhone klappt auch direkt. Aber ich hab dann kein Zugriff auf LAN oder Internet.
Muss ich das WireguardVPN Netz noch irgendwie freischalten oder so?
Mein HauptNetz ist 192.168.1.1 und ist nicht irgendwie isoliert oder so.
Code[Interface] (...) Address = 192.168.2.2/32 DNS = 192.168.2.1 [Peer] (...) AllowedIPs = 192.168.2.1/32,192.168.2.2/32,0.0.0.0/0 (...)
gruß
Fletch
Stimmen eigentlich die Adressbereiche? Hier in Deiner Config läuft der Wireguard-Server im Adressbereich 192.168.2.0/24. In Deinem Screenshot aus der GUI sieht es aber so aus, als laufe Wireguard-Server im Adressbereich 192.168.4.0/24. Kannst Du das mal checken?
In Deiner Config steht auch ein anderer Port (51822) als in den Einstellungen für den Wireguard, die in der GUI zu sehen sind (51820). Standardport ist der 51820.
Wenn das nichts hilft: Schau mal, ob sich der Wireguard-Client überhaupt verbindet. Würde er das tun, müsste er im Unifi Gateway nac erfolgreicher Einwahl unter Client-Geräte auftauchen. Wenn er da nicht aufgeführt wird, klappt schon die Verbindung/ Anmeldung nicht.
-
-
Problem erledigt. Es lag an einer falschen VLAN-Konfiguration.
-
Ich habe folgendes Problem beim Aufbau meines Netzwerkes.
Kurz zum Status quo:
Als Router habe ich eine Fritzbox mit der IP 192.168.1.1. Sie ist nicht im Bridgemodus. In der Fritzbx sind Routen in die "Subnetze" 192.168.100.0/24, 192.168.50.0/24 usw. eingetragen. Sie verweisen auf die WAN-Adresse des Unifi Gateway Ultra mit der IP 192.168.1.2.
Die o.g. Subnetze sind im Unifi Gateway als Netzwerke angelegt, mit der Netzwerkschnittstelle 192.168.X.1 als jeweiliges Gateway und mit aktivem DHCP-Server). Das aktuelle (aber nicht genutzte) Defaultnetz hat die IP 192.168.0.0/24. NAT ist im Unifi Gateway abgeschaltet.
In dem Netzwerkbereich 192.168.1.0, der sich aktuall also gewissermaßen vor dem Gateway befindet, habe ich etliche VMs, die auf einem Proxmox laufen, sowie ein paar PCs und Drucker. Als Gateway dieses Netzes ist die 192.168.1.1 (die Fritzbox) im DHCP-Server eingetragen. DHCP läuft auf einem Linux Domänencontroller (192.168.1.185). Die Subnetze sind als VLANs separiert. Das funktioniert soweit alles. Die Subnetze können jeweils aufeinander zugreifen.
Was will ich?
Mein Ziel war es nun, den Netzbereich 192.168.1.0/24 hinter das Unifi Gateway zu verfrachten. Dazu habe ich die LAN-Adresse der Fritzbox auf 10.0.0.1 und die WAN-Adresse des Unifi Gateways auf 10.0.0.2 geändert. Bei den statischen Routen der Subnetze habe ich in der Fritzbox jeweils das Unifi Gateway mit seiner WAN-Adresse 10.0.0.2 eingetragen. Also z.B. 192.168.50.0/24, Netzmaske 255.255.255.0, GW 10.0.0.2 sowie 192.168.1.0/24, Netzmaske 255.255.255.0, GW 10.0.0.2 usw.
Gleichzeitig habe ich das Defaultnetz des Unifi Gateways auf 192.168.1.0/24 geändert. Den DHCP-Server im Defaultnetz habe ich auf "KEIN" eingestellt, da die IPs über den Domänencontroller 192.168.1.185 verteilt werden. Bei den Firewalleinstellungen des Unifi Gateways habe ich nichts geändert. Da sind nur die Default-Einstellungen des Unifi-Gateways eingetragen. NAT ist im Unif Gateway abgeschaltet. Statische Routen habe ich im Unifi Gateway keine eingetragen, da sie ja in der Fritzbox stehen.
Wo ist das Problem?
Nachdem ich das alles oben wie beschrieben umgestellt habe, funktionieren zentrale Funktionen nicht mehr. Ich komme von den Subnetzen nicht in das Hauptnetz 192.168.1.0/24 und umgekehrt. Vom Hauptnetz komme ich auch nicht auf die Fritzbox (10.0.0.1), merkwürdiger Weise aber aus dem Subnetz 192.168.100.0/24. Beim Testen mittels traceroute hatte ich den Eindruck, dass es sich um ein Routing und kein Firewall-Problem handelt. Dort habe ich ja nichts eingetragen und auch im Vergleich zum Status quo auch nichts verändert. Ich habe versucht, auf dem Unifi Gateway statische Routen einzutragen (die jeweilige Schnittstelle als Gateway für das jeweilige Netzwerk, da gabs aber eine Fehlermeldung. Das ging nicht.
Meine Fragen sind nun:
Stimmen die Netzmasken beim Routing in der Fritzbox?
Muss ich auf dem Unifi Gateway auch noch statische Routen eintragen, wenn ja, wie?
Muss ich den DHCP-Server des Defaultnetzes aktivieren?
Hab ich irgendwas anderes übersehen?
-
-
Kurze Frage: Mit welcher Regel kann ich in der Firewall der UCG-Ultra festlegen, dass Clients aus bestimmten, in der UCG-Ultra definierten Netzwerken keinen Zugriff auf die Admin-Gui der UCG-Ultra haben?
Danke schion mal für Eure Hilfe.
-
Danke für Deine Antwort!
Die in die Windows-Domäne eingebundenen Windows-Clients sind momentan noch im Netzbereich 192.168.1.0. Die bekommen ihre DNS-Einstellungen auch komplett vom DHCP-Server der Windows-Domäne (ist genau genommen ein Samba-Server). Als DNS-Server ist hier natürlich die Adresse des Domänen-Servers eingetragen. Das oben geschilderte Problem besteht nicht bei den Windows-Clients. Die haben mit dem Unifi-Gateway (noch) nichts zu tun. Es besteht nur mit Netzen, die ich im Unifi direkt angelegt habe, die also hinter dem Gateway liegen. Also die WLAN-Netze, (192.168.5.0 usw.) mit denen ich momentan teste. Auch in diesen Netzen stehen die DNS-Server auf "AUTOMATISCH". Die einzige Stelle, wo ich das jetzt heute auf "manuell" umgestellt habe und händisch lokale DNS-Server eingetragen habe , ist bei INTERNET. Nachdem ich das getan habe, sind die Probleme erstmal verschwunden. Ich hoffe, dass das so bleibt. -
Dann sollte die Kommunikation auch da sein. Die Routen für die Unifi Netze sind in der Fritte, mehr muss da auch nicht gemacht werden fürs routing. Firewallregeln im Unifi Gateway angelegt? Wenn nicht blockt da auch nichts in Richtung WAN der Unifi.
Ich habe keine eigenen Firewallregeln angelegt. Da sind nur die generischen von Unifi.
ZitatZum DNS. In welchem lokalen DNS hast Du was genau eingetragen?
Ich habe genau genommen bei zwei lokalen DNS-Servern etwas eingetragen: auf dem Domänenserver sowie zur Sicherheit auch auf dem Unifi-Gateway. Auch dort sind ja Überschreibungen möglich. Die AA-Einträge sind aber identisch.
Zitat
Einmal bitte ein ipconfig /all von so einem Testclient.Das ist jetzt der Eintrag von ifconfig bei einem Mac:
Code(...) en0: flags=8863<UP,BROADCAST,SMART,RUNNING,SIMPLEX,MULTICAST> mtu 1500 options=6460<TSO4,TSO6,CHANNEL_IO,PARTIAL_CSUM,ZEROINVERT_CSUM> ether a8:8f:SCHNIPP inet6 fe80::SCHNIPP prefixlen 64 secured scopeid 0xc inet 192.168.120.65 netmask 0xffffff00 broadcast 192.168.120.255 nd6 options=201<PERFORMNUD,DAD> media: autoselect status: active (...)
Zitat
Einmal bitte die VLAN Konfiguration des Testnetzes mit aufgeklappten DHCP OptionenBenutzerdefinierte DHCP-Optionen habe ich keine.
Nachdem ich bei INTERNET die DNS-Einstellungen von AUTO auf Manuell geändert und dort einen lokalen DNS-Server eingetragen habe, scheint es momentan zu funktionieren. Bin mir aber nicht sicher, ob nicht vielleicht doch noch irgendwelche alten Einstellungen wirken und es über kurz oder lang wieder nicht funktioniert.
P.S. Und danke für Deine Antwort!
-
Danke für Deine rasche Antwort!
Da habe ich mich dann ungenau ausgedrückt. Es ist umgekehrt. Genau genommen möchte ich aus dem Adressbereich eines WLANs (also z.B. 192.168.5.0; liegt hinter dem Gateway) auf den Bereich 192.168.1.0 zugreifen. Das gelingt zumindest auf IP-Ebene schon, aber eben nicht mittels der DNS-Aufflösung. Ping kann ich jetzt aus dem Kopf nicht sagen, traceroute ist sehr langsam. -
Bislang habe ich auf verschiedene Komponenten gesetzt, um mein Netzwerk zu strukturieren und zu administrieren. Insbesondere eine OPNSense mit Segmentierung, DHCP usw. sowie einen VLANfähgen Switch mit mehreren Subnetzen ist im Einsatz. Das Ganze hinter einer Fritzbox. Jetzt wollte ich mit dem Cloud Gateway Ultra eine zentrale Administration (weiterhin hinter einer Fritzbox) ermöglichen. Wichtig finde ich auch die Filter-Funktionen des Gateways, damit Clients besser vor Ads geschützt sind und bestimmte Anwendungen wie Tiktok und dergleichen gesperrt sind. Das Problem ist, dass ich das Netz nur schrittweise umbauen und das Gateway nur langsam in das Netzwerk "einschleichen" wollte und es dann sukzessive immer mehr Aufgaben übernimmt. Das Netz sieht aktuell so aus:
Die rot unterlegten Bereiche sollen im ersten Schritt ersetzt werden durch das Unifi-Gateway (grün hinterlegt). NAT auf dem Gateway ist abgeschaltet, die Routen sind auf der Fritzbox eingetragen.
Ich weiß natürlich, dass zwischen Gateway und Fritzbox allenfalls eine DMZ oder dergleichen sein sollte und kein komplettes Netzwerk mit Anwendungen. Das soll in weiteren Schritten dann sukzessive lehrbuchmäßig umgebaut werden, zum Beispiel indem das Default-Netz des Gateways auf den 192.168.1.0 Bereich umgesetellt wird, die WAN-Adresse des Gateways und die LAN-Adresse der Fritzbox entsprechend angepasst werden.
Worum es mir nun geht: Ich teste momentan, dass das Unifi Cloud Gateway schon für bestimmte Netze (insbesondere die Netze der WLAN-Accesspoints) anstelle der bislang zuständigen OPNSense die Gateway- und DHCP-Funktion übernimmt. Als DNS-Server hab ich dann für diese Netze jeweils die Gateway-Adresse (zum Beispiel 192.168.5.1) oder den DNS-Server 192.168.1.185 eingetragen. Bei DNS für den "Internet"-Anschluss/WAN auf dem Gateway steht momentan "Auto".
In beiden Konstellationen kommt es beim Testen aber dazu, dass die Clients aus diesen Test-Netzen Server aus dem Bereich 192.168.1.0 über die im lokalen DNS eingetragene Adresse nicht erreichen. Ein an ein solches Test-Netz angeschlossener Cleint bekommt auch eine IP-Nummer und den vorher eingetragenen DNS-Server zugewiesen, via "nslookup" wird auch die richtige IP-Adresse für die jeweiligen DNS-Namen angezeigt, aber die eigentliche Verbindung zu den Servern wird nicht aufgebaut und ein kurzes Traceroute über 2 Hops dauert ewig (2-3 Minuten) und gelegentlich wird dabei sogar auf Ergebnisse von DNS aus dem Internet zugegriffen.Auf dem Gateway läuft auch bereits ein VPN-Server. Wenn ich über diesen eine Verbindung aufbaue (sowohl von extern als auch aus den Test-Netzen oder von Lan-Clients aus dem Netz 192.168.1.0, klappt alles.
Ich bin mir bewußt, dass das oben keine lehrbuchmäßige Konstruktion ist, aber hat jemand eine Idee, welche Einstellungen ich vornehmen muss, damit wenigstens erstmal die Test-Netze hinter dem Gateway richtig funktionieren.