Traffic - Regeln by Naichbindas

Moin, dieser Wiki Eintrag stammt noch aus der Zeit wo die Traffic regeln ziemlich frisch waren.

Ausserdem kannst du sehr wohl beides nutzen aber auch das eine oder das andere.

Also Firewall oder Traffic Regeln. Daher ist das mit drinn.

Ich habe dazu auch schon Videos im Youtube gesehen da wurde nur die Traffic Regeln eingesetzt.

Ich glaube das war ein Video von Apfelcast oder so.

Und weil Unifi die Traffic Regeln als Firewall der nächsten Generation angepriesen wurde.

Aber ich will nicht zu weit abschweifen. Diese beiden Wiki Einträge sollten ja auch nur ein mögliches Szenario abbilden.

Entweder aus einer Mischung von Firewall und Traffic Regeln, sowohl als auch jeweils einzeln.

Da sollte sich dann jeder für seine Zwecke das beste dazu raus suchen.

Auch im Netz gibt es Anleitungen dazu wie man spezielle Regeln einrichtet in Traffic Regeln um Netzwerke ab zu schotten.

Ich weiss aber auch das im Forum hier weiterhin viele immer noch drauf schwören, besser vieles in der Firewall zu regeln als bei den Traffic Regeln. Andere wiederum bleiben dabei IP und Port Geschichten in der Firewall zu regeln und den Rest dann in den Trafic Regeln. Das wurde auch spätestens sehr offentsichtlich klar als das Update raus kahm, entweder war es Unifi OS oder eine der Networkversionen, ich glaube aber da war es dann auch drinn, das dann Firewall und Traffic Regeln zusammen als Sicherheitsfeature zusammengelegt wurden, und heissen jetzt Eindach und Erweitert.

Auch das auffinden der Regeln ist jetzt am anderem Ort und Aussehen hatt sich etwas verändert. Hatte leider noch keine Zeit das ins Wiki auf zu nehmen. Um das ganze ab zu schliessen. Habe ich leider keine Allerweltslösung parrat. Aber der Ansatz ist da.

Danke für die ausführliche Antwort.

Also liege ich nicht ganz falsch, dass dies "doppelt gemoppelt" ist und ich unter Traffic eigentlich nur noch die Freigaben regeln müsste, wenn ich es zuvor so abgeschottet hääte wie du. Ich bin eher kein Freund von doppelten Festlegungen. Irgendwann ändert man mal was an Stelle x und wundert sich, dass es nicht geht, weil an Stelle y es nochmals geregelt wurde.

Dein Artikel ist von Dez. 2023. Das fande ich jetzt gar nicht so alt.
Hat sich da schon wieder so viel geändert?

Gruß

Ja wenn du beides so ein zu ein umsetzt dann hast du es doppelt. Ansonsten gildet der Weg auch alleine als erfolgversprechende Regel. Hatte ja auch gerade im Wiki Artikel nach gelesen, das ich dort geschrieben hatte, das mann es der Übersichthalber und der einachheithalber mit Traffic Regeln lösen kann, also doch nicht ganz doppelt, lach.

Ja ein wenig hatt sich da schon geändert. Traffic und Firwallregeln sind jetzt zusammen gewandert. war vorher alles einzeln an verschiedenen Orten zu finden. Sind also jetzt zusamen im einem und Traffic Regeln heissen dort drinnen "EINFACH" und die Firewall Regeln heissen dort jetzt "ERWETERT".

Ein paar Beschreibungen sind umbenannt worden und die Maske sieht etwas anders aus. Also ja ich denke hatt sich schon was verändert. mfg

Moin,

Zitat: "Jetzt sehe ich hier, dass du "Akzeptieren - Alle - LAN In - erlaube lokales DNS" könntest du dazu noch ein Screenshot machen?"

Diese Regel die du wahrscheinlich meinst gehört in den Bereich Firewall. Dort habe ich keine Regel erstellt gehabt kann ich aber ddort gerne nach holen, obwohl ich aber auch sagen muss das bei den beiden anderen Kollegen die Ihre Firewall gepostet und erklärt haben dort auch der selbe Weg drinn steht. Ich hatte da nur drauf verzichtet um ein Grungerüst auf zu zeigen wie mann eine Firewall erstmal einrichtet ohne den anderen Schnickschnack für die weiter versierten Nutzer.

Hier in den Traffic Regeln habe ich dieses Beispiel aus gutem Grund mit rein genommen.

Weil diese Verkehrsregeln hier nur rein für die LAN Schnittstellen funktionieren und man diese nur nutzen kann um den Datenverkehr von ind zu LAN Geräten zu regeln.

Hier musste es nur deswegen als Beispiel mit rein, wenn ich die Traffic Regeln wie zuvor von mir beschrieben, die Netzwerke untereinander abgeschottet haben. Es war dazu gedacht um zu zeigen wie mann eine IP Adresse mit einem Port einträgt das es funktionieren kann, aber bedenke nur als Anwendung nicht zum Blocken eines Gateways.

Und zweitens wie schon gesagt, wenn wir wie hier die Netzwerke abschotten dann würde auch ein DNS Server nicht mehr funktionieren. Und für die die einen DNS Server im Netz haben, würden den dann aussperren.

Daher das zusäztliche Beispiel.

Um das ganze kurz zu machen, wen du einen DNS Server wie Pihole betreibst, dann erstelle zuerst eine Firewall Regel, die lokales DNS erlaubt, mit Portregeln, wenn das funktioniert und du dann diese Regeln hier verwendest um deine Netzwerke ab zu schotten, dann muss ebendfalls wieder eine Regel im Traffic Regeln eingestellt werden die das ganze auf LAN Ebene regelt. Also wieder gestattet. Diesen Weg habe ich aufgezeigt und füge gleich noch einen Screenshot hinzu.

Ich weiss das ist doppelt aber leider lässt einem Unifi dazu im Moment keine Wahl.

Unifi hatt das ganze aber weiter geleitet und vlt setzen sie das noch um. Habe gerade eine Mail dazu erhalten.

Ach nochwas ich habe meinen NS Server im einem eigenen VLAN. Wen du weitere Hilfe brauchst dann wäre ein paar Inffos erforderlich wie deine Infrastrucktur aufgebaut ist.

mfg

Quote

https://ubiquiti-networks-forum.de/attachment/245…-clipboard-png/

Danke dir.

Wären das die korrekten einstellungen für Anschluss Gruppe DNS:

90 | DNS Ports

Port Group

53

443

853

Und für Port Gruppe DNS:

90 | DNS Server

IPv4 Address/Subnet

192.168.9.9

Als DNS Server kommt die IP Adresse deines Pihole, Adgard oder wie auch immer rein richtig.

Bei den Port´s reicht der Port 53 völlig aus, es sei denn du hast andere Ports irgendwie eingerichtet...

PS: Das mit der 90 in der Bezeichnung ist hier bei mir von relevanz, du müsstest dann das für deine Zwecke nur anpassen.

Hallo

Auch hier eine Frage nutzt du ein eigens DNS und nicht das von Unifi?

Die Regeln die ich hier gemacht habe und aufgezeigt habe basieren auf dem Zusammenspiel der zuvor eingestellten Firewallregeln. Die haben soweit mir bekannt eine höhere Priorität.

Aber generell sollte auch mit Traffic Regeln ein blockieren der Netzwerke untereinander möglich sein.

Hast du nochmal deine Einstellungen geprüft, bzw. mal neugestartet?

Damit ein neues Lease gezogen wird und nicht eine schon vorhanden verbindung noch weiter genutzt wird und deine Sperre erst später zum Zuge kommt?

mfg

Hallo

Ich kenne leider deinen Auffbau nicht, daher erstmal eine Vermutung.

Bei mir habe ich diee Erfahrung gemacht, wenn ich solche Sachen eingestellt habe,

das ich dann alles mal neu gestartet habe, auch die Switche, so das dann auch wirklich die Einstellungen umgesetzt werden.

Zweitens wie hast du denn genau das Internet gesperrt für deine Fire TV Sticks.

Hast du nur die entsprechenden Ports gesperrt, oder benutzt du ein DNS Server oder Filter wie Pihole dafür? Oder für das gnaze Netzwerk eine Sperre wo deine Stick´s zu Hause sind.

Leider haben wir da dazu wenige Info´s um dazu was zu sagen zu können.

Aber ich kann dich da verstehen und glaube zu wissen was du da vorhast.

In deinem Fall würde ich dir dazu raten eine Internetsperre für die Fire TV Sticks über die Traffic-Regeeln zu setzen, das ist einfacher zu realisieren.

Wenn ich dich richtig zitiere:

"Wenn ich jetzt Internet Sperre und eine allow Regel für SSL/TLS mache, aktualisiert sich das Widget trotzdem nicht. Auch nicht, wenn die allow Regel vor der block Regel steht."

Dann meinst du eigentlich damit die Firewall Regeln und nicht wie hier beschrieben die Traffic-Regeln.

Denn da gibt es keinen erlauben vor blocken Regel.

mfg

Hi,

Also habe eine UDM Pro und 16 Port unifi Switch.

Ich habe schon bei den Traffic Rules Block Internet eingestellt und dann eine allow für SSL/TLS.

Ich merke ja auch sofort die Auswirkung, wenn ich nach und nach die einzelnen Apps blocke, die ich im Traffic bei den Tablets sehe, sobald ich SSL/TLS blocke, geht das Widget nicht mehr...

Ich habe Mal ein YouTube Video gesehen, da meinte jemand, das wenn man die allow regeln vor den block regeln machty das es dann gehen würde, dem ist aber, zumindest bei mir, nicht so...

Ich muss nochmal betonen, das Traffic-Regeln keine eigene Firewall sind sondern als Kombination als solche anzusehen ist. Und das es nur bei Firewallregeln möglich ist, "Allow" vor "Block" zu setzen.

Hier geht es um Traffic-Regeln und da ist eine solche Reihenfolge nicht vorgesehen.

Wenn du was regeln willst für SSL, dann wirst du das besser über die Firewall machen oder realisieren, in Kombination mit Port´s oder Portgruppen, da kannst du das gezielter regeln. Dort dann auch erlauben vor die blokieren Regeln setzen. Hier in den Traffic-Regeln hatte ich im Forum schon geschrieben, geht das nicht so auf diesem Weg umzusetzen auch aus dem Grund weil Unifi DNS erforderlich ist und wenn Internet gesperrt wird für ein Netzwerk dann kann eine weitere Regel das hier nicht wieder aufheben. Dazu hatte ich aber auch geschrieben das man lieber einzelne Geräte aus sperren sollte, und ja es ist ein wenig Arbeit, auch wenn später weitere Endgeräte dazukommen. Aber Unifi Netzwerke sind halt pflegebedürftig.

Okay alles klar, habs jetzt verstanden...

Ich wollte es mir halt einfach machen...

Hallo

Leider "nein". Im moment meines Wissenstandes nach stehen die Firewallregeln vor dem Trafficregeln.

Du kannst zwar Geräte mit einander reden lassen von einem VLAN zu einem anderen VLAN, aber leider nicht zum MGMT LAN.

Das habe ich so auch noch nicht zum laufen gebracht.

Zumindestens solange nicht, wie du beides verwendest.

Den Zugriff auf MGMT LAN regelst du dann am besten weiterhin über die reguläre Firewall.

ich war noch nicht mutig genug es mal nur mit Traffic-Regeln zu versuchen.

Laut Unifi soll es die Firewall der nächsten Generation werden.

Das heist für mich wohl das diese mal irgendwann die alten Firewallregeln ablösen werden oder sollen.

Ich werde die Tage mal ein wenig mit den Traffic-Regeln experiementieren.

Nach wievor bin ich aber noch nicht ganz von überzeugt diese als Stand Alone zu benutzen eher als zusätzliche Feature´s.

Der Vorteil ist halt mit wenigen Klicks mehr erreichen, der Nachteil ist für mich aber der gravierende Grund, das es nur in Verbindung mit dem DNS von Unifi gehen soll.

Aber die Grundregeln sollten soweit auch gut funktionieren, entweder mit Firewallregeln wie vorher und sowohl als auch mit den Traffic-Regeln.

Da ich hier leider nur ein Produktives Netzwerk im Einsatz habe wollte ich noch nicht so sehr rumexperimentieren. Aber sobald ich es besser weiss werde ich auf jedenfall dazu berichten.

Vlt. steigst du durch diese Aussage etwas mehr da durch:

Häufig gestellte Fragen, bei Unifi-

1. Wie unterscheiden sich Verkehrsregeln von Firewall-Regeln?

Firewall-Regeln werden in der Regel verwendet, um bestimmte Ports und IP-Adressen zu entsprechen.

Traffic Rules kann in Kategorien wie App oder Domain übereinstimmen und Sie können den Verkehr auf intuitive und optimierte Weise filtern.

mfg