Conectar un dispositivo UniFi al Cloud Controller a través de Sophos Firewall

Los UniFi Access Points y switches no encuentran automáticamente un controlador a través de límites de ubicación. Si un dispositivo está en una red local pero el UniFi Controller se ejecuta externamente o como Cloud Controller, se necesita una adopción L3 limpia: DNS, reglas de firewall salientes y, si es necesario, el comando set-inform.

Esta guía muestra el procedimiento práctico cuando una Sophos Firewall actúa como gateway o servidor DNS. Para la decisión fundamental sobre cómo operar un UniFi Controller, primero consulte UniFi Controller - Gestión de Access Points y switches. Si se usan switches UniFi con VLANs en Sophos Firewall, también es útil Configurar VLAN en Sophos Firewall y UniFi Switch.

Los clientes con suscripción a Sophos Firewall pueden usar el Avanet Cloud Controller para hasta cinco dispositivos UniFi de forma gratuita.

Requisitos previos

Antes de la adopción debe estar claro:

El dispositivo UniFi recibe una dirección IP por DHCP.
El DNS funciona desde la VLAN del dispositivo.
El dispositivo puede alcanzar el controlador de forma saliente.
Se conoce el FQDN o la IP del controlador.
Se puede acceder por SSH al dispositivo UniFi, en caso de que la adopción por DNS falle.
En Sophos Firewall existen reglas de firewall adecuadas para la red del dispositivo.

Para la comunicación saliente hacia el UniFi Cloud Controller, típicamente son relevantes estos puertos:

Puerto TCP 8080: Para tareas de gestión y adopción (establecer el parámetro del controlador mediante el comando set-inform).
Puerto UDP 3478: Para el protocolo STUN, que se usa para la recopilación de datos y la detección de la IP pública.
Puerto TCP 8443: Para el acceso a la interfaz web del controlador y la administración remota. Para la adopción pura de dispositivos, este puerto no siempre es el camino de datos decisivo, pero sí para el acceso administrativo al controlador.

En Sophos Firewall esta apertura debe ser lo más restrictiva posible: el origen es la red de gestión o de dispositivos UniFi, el destino es el Cloud Controller o su FQDN, y los servicios son solo los puertos necesarios. Para la comprobación general de reglas, sirve Probar reglas en Sophos Firewall con Log Viewer y Packet Capture.

Adopción L3 vía DNS

Los dispositivos UniFi intentan por defecto resolver el nombre unifi y conectarse a ese controlador. Si este nombre DNS apunta al Cloud Controller, los dispositivos nuevos pueden aparecer automáticamente en el controlador correcto.

Esto solo funciona si la Sophos Firewall en la red afectada también se usa como servidor DNS o si el servidor DNS responsable resuelve correctamente el nombre unifi. En entornos con Sophos Firewall, primero se debe verificar qué servidores DNS se distribuyen por DHCP a los dispositivos UniFi.

En Sophos Firewall, la configuración puede verse así:

Configuración DNS del controlador UniFi en Sophos Firewall

Después de configurar la entrada DNS, se debe probar desde la misma VLAN:

Reiniciar el dispositivo UniFi o renovar el lease DHCP.
Verificar que el nombre unifi apunte al controlador esperado.
Comprobar en el UniFi Controller si el dispositivo aparece como adoptable.
Revisar en Sophos Firewall con Log Viewer si el tráfico desde la red del dispositivo hacia el controlador está permitido.

Adopción L3 vía CLI

Si la adopción por DNS no funciona o se quiere asignar un dispositivo específico a un controlador, se puede configurar el controlador mediante SSH. Primero, el UniFi Switch o Access Point debe estar encendido en la red y haber recibido una dirección IP.

1. Establecer conexión SSH al dispositivo

Desde el cliente administrador, conectarse por SSH:

ssh ubnt@<device-ip>

La contraseña por defecto suele ser ubnt. Si el dispositivo ya fue adoptado, puede tener otra contraseña. Tras la adopción exitosa con el controlador, la contraseña del dispositivo se cambia automáticamente.

2. Definir el UniFi Controller

Después de iniciar sesión, se establece el controlador con set-inform:

set-inform http://<controller-hostname>:8080/inform

Alternativamente, en lugar del nombre de host se puede usar la IP del controlador, si el modelo operativo lo requiere. Un FQDN suele ser más mantenible, porque la dirección de destino puede cambiar después sin tener que modificar cada dispositivo.

Luego, el dispositivo normalmente se conecta al UniFi Controller en segundos sin reiniciarse. En el controlador debe adoptarse el dispositivo. Si después de la adopción el dispositivo vuelve a mostrar Disconnected, ejecutar el comando set-inform una segunda vez. Esto es común en dispositivos UniFi, porque el controlador escribe nuevas credenciales en el dispositivo tras la adopción.

Verificación en Sophos Firewall

Si un dispositivo UniFi no alcanza el controlador, no se debe resetear el dispositivo inmediatamente. Normalmente está involucrado uno de estos puntos:

DHCP distribuye servidores DNS incorrectos.
El nombre unifi no resuelve al controlador deseado.
Una regla de firewall no permite TCP 8080 o UDP 3478.
La VLAN del dispositivo no tiene acceso a Internet o no tiene ruta permitida al controlador.
NAT o Policy Routing envía el tráfico por la ruta WAN incorrecta.
El controlador es accesible, pero el dispositivo aún no fue adoptado en el controlador.

En Sophos Firewall ayudan Log Viewer, Policy Test y Packet Capture. Es especialmente importante que el tráfico provenga de la red origen correcta y que la regla de firewall esperada se aplique. Si hay VLANs involucradas, también se debe verificar que el dispositivo UniFi esté realmente en la VLAN de gestión o de dispositivos planificada.

Comandos SSH útiles

Al conectarse por SSH a un UniFi Switch o Access Point, estos comandos son útiles para un primer análisis.

Mostrar información del dispositivo:

info

Restablecer el controlador al nombre estándar unifi:

set-inform http://unifi:8080/inform

Restablecer dispositivo a configuración de fábrica:

set-default

set-default elimina la configuración existente del dispositivo. Este paso solo debe realizarse después de verificar IP, DNS, reglas de firewall y accesibilidad al controlador.

Resetear dispositivo UniFi

A veces un reset es recomendable, por ejemplo si un dispositivo está vinculado a un controlador antiguo y no se conocen las credenciales.

Reinicio: Pulsar brevemente el botón Reset en el dispositivo y soltar.
Restablecer a configuración de fábrica: Mantener pulsado el botón Reset más de cinco segundos hasta que el LED se apague.

Después del factory reset, el dispositivo debe recibir nuevamente una IP y alcanzar el controlador. Por eso, antes del reset se debe comprobar que DHCP, DNS y reglas de firewall estén correctamente configurados. Si luego el dispositivo queda en la VLAN incorrecta o no puede resolver el controlador, la búsqueda de errores comienza nuevamente en la configuración de red y no en el controlador.

Resolución de problemas

El dispositivo no aparece en el UniFi Controller

Primero verificar que el dispositivo haya recibido una IP y pueda resolver el nombre del controlador. Luego usar en Sophos Firewall Log Viewer o Packet Capture para TCP 8080 y UDP 3478.

La adopción por DNS no funciona

Verificar qué servidor DNS se distribuye por DHCP. Si no es Sophos Firewall sino un servidor DNS interno, el nombre unifi debe estar configurado allí. En entornos con varias VLANs puede haber configuraciones DHCP y DNS diferentes.

set-inform funciona pero la adopción se queda colgada

Después del primer set-inform, adoptar el dispositivo en el controlador y ejecutar el comando nuevamente. Además, verificar que el controlador sea accesible desde la red del dispositivo por TCP 8080.

El dispositivo ya fue adoptado por otro controlador

Entonces las credenciales locales suelen no coincidir con ubnt. Si no se conoce la contraseña del dispositivo, normalmente solo queda un factory reset. Antes debe asegurarse de que el dispositivo vuelva a la red correcta tras el reset.

Lista de verificación operativa

Los dispositivos UniFi están en una red de gestión o de dispositivos planificada conscientemente.
DHCP distribuye gateway y DNS correctamente.
El nombre DNS unifi apunta al controlador deseado si se usa adopción por DNS.
Sophos Firewall solo permite los puertos salientes necesarios hacia el controlador.
Log Viewer muestra la regla de firewall esperada.
Las credenciales de acceso al controlador y las contraseñas de dispositivos están documentadas.
El factory reset se realiza solo después de verificar DNS, puertos y reglas.

FAQ

¿Por qué un dispositivo UniFi no encuentra el Cloud Controller?

Normalmente faltan resolución DNS, reglas firewall salientes o la Inform URL correcta. Primero debe comprobarse si el dispositivo recibe IP, gateway y DNS, y si TCP 8080 y UDP 3478 hacia el controller están permitidos.

¿Cuándo se necesita set-inform?

set-inform es útil cuando la adopción por DNS no funciona o cuando un dispositivo UniFi debe asignarse de forma específica a un controller. Después de la adopción, a menudo hay que ejecutar el comando una segunda vez.

¿Qué papel tiene Sophos Firewall en la adopción?

Sophos Firewall suele ser gateway, servidor DNS o punto de control de las conexiones salientes hacia el controller. Por eso conviene revisar DHCP, DNS, regla firewall, NAT y Log Viewer en conjunto.

¿Debe resetearse inmediatamente un dispositivo UniFi?

No. Un factory reset solo debería hacerse después de comprobar IP, DNS, alcance del controller, regla firewall y credenciales conocidas. De lo contrario, el dispositivo puede volver al mismo problema de red tras el reset.