Connecter un appareil UniFi à un contrôleur Cloud via Sophos Firewall

Les points d’accès et switches UniFi ne détectent pas automatiquement un contrôleur au-delà des limites de site. Lorsqu’un appareil se trouve dans un réseau local mais que le contrôleur UniFi est hébergé à l’extérieur ou en mode Cloud Controller, une adoption L3 propre est nécessaire : DNS, règles de firewall sortantes et, si besoin, la commande set-inform.

Ce guide présente la procédure pratique lorsque Sophos Firewall est impliquée en tant que passerelle ou serveur DNS. Pour décider du mode d’exploitation d’un contrôleur UniFi, consultez d’abord UniFi Controller - Gestion des points d’accès & switches. Si des switches UniFi sont utilisés avec des VLANs Sophos Firewall, la ressource Configurer VLAN sur Sophos Firewall et UniFi Switch sera également utile.

Les clients disposant d’un abonnement Sophos Firewall peuvent utiliser gratuitement Avanet Cloud Controller pour jusqu’à cinq appareils UniFi.

Prérequis

Avant l’adoption, il faut s’assurer que :

L’appareil UniFi obtient une adresse IP via DHCP.
Le DNS fonctionne depuis le VLAN de l’appareil.
L’appareil peut atteindre le contrôleur en sortie.
Le FQDN ou l’adresse IP du contrôleur est connu.
L’accès SSH à l’appareil UniFi est possible si l’adoption via DNS échoue.
Des règles de firewall adaptées sont configurées sur la Sophos Firewall pour le réseau des appareils.

Pour la communication sortante vers le UniFi Cloud Controller, les ports suivants sont généralement nécessaires :

TCP port 8080 : pour les tâches de gestion et l’adoption (configuration du contrôleur via la commande set-inform).
UDP port 3478 : pour le protocole STUN, utilisé pour la collecte de données et la détermination de l’adresse IP publique.
TCP port 8443 : pour l’accès à l’interface web du contrôleur et la gestion à distance. Ce port n’est pas toujours nécessaire pour l’adoption des appareils, mais est important pour l’accès administrateur.

Sur la Sophos Firewall, cette ouverture doit être aussi restreinte que possible : la source est le réseau de gestion ou des appareils UniFi, la destination est le Cloud Controller ou son FQDN, et seuls les ports nécessaires sont autorisés. Pour vérifier les règles générales, consultez Tester une règle Sophos Firewall avec Log Viewer et Packet Capture.

Adoption L3 via DNS

Par défaut, les appareils UniFi tentent de résoudre le nom unifi et de se connecter à ce contrôleur. Si ce nom DNS pointe vers le Cloud Controller, les nouveaux appareils peuvent apparaître automatiquement sur le bon contrôleur.

Cela ne fonctionne que si la Sophos Firewall est utilisée comme serveur DNS dans le réseau concerné, ou si le serveur DNS responsable résout correctement le nom unifi. Dans les environnements Sophos Firewall, il faut donc d’abord vérifier quels serveurs DNS sont distribués aux appareils UniFi via DHCP.

Sur une Sophos Firewall, la configuration peut ressembler à ceci :

Paramètres DNS du contrôleur UniFi sur Sophos Firewall

Après avoir configuré l’entrée DNS, il faut tester depuis le même VLAN :

Redémarrer l’appareil UniFi ou renouveler le bail DHCP.
Vérifier que le nom unifi pointe vers le contrôleur attendu.
Contrôler dans le contrôleur UniFi si l’appareil apparaît comme adoptable.
Sur la Sophos Firewall, vérifier dans le Log Viewer que le trafic du réseau des appareils vers le contrôleur est autorisé.

Adoption L3 via CLI

Si l’adoption via DNS ne fonctionne pas ou si un appareil doit être assigné manuellement à un contrôleur, on peut définir le contrôleur via SSH. L’appareil UniFi (switch ou point d’accès) doit être démarré et avoir obtenu une adresse IP.

1. Établir une connexion SSH à l’appareil

Depuis un client administrateur, se connecter en SSH :

ssh ubnt@<device-ip>

Le mot de passe par défaut à la livraison est souvent ubnt. Si l’appareil a déjà été adopté, un autre mot de passe peut avoir été défini. Après une adoption réussie, le mot de passe de l’appareil est automatiquement modifié.

2. Définir le contrôleur UniFi

Après connexion, définir le contrôleur avec la commande set-inform :

set-inform http://<controller-hostname>:8080/inform

On peut aussi utiliser l’adresse IP du contrôleur à la place du nom d’hôte, selon le modèle d’exploitation. Un FQDN est généralement plus facile à maintenir, car l’adresse cible peut changer sans avoir à reconfigurer chaque appareil.

Ensuite, l’appareil se connecte normalement au contrôleur UniFi en quelques secondes sans redémarrage. Il faut ensuite l’adopter dans le contrôleur. Si l’appareil affiche à nouveau « Disconnected » après adoption, exécuter la commande set-inform une seconde fois. Ce comportement est fréquent car le contrôleur écrit de nouvelles données d’accès sur l’appareil après adoption.

Vérifications sur Sophos Firewall

Si un appareil UniFi ne parvient pas à joindre le contrôleur, il ne faut pas réinitialiser immédiatement l’appareil. En général, l’un des points suivants est en cause :

DHCP distribue des serveurs DNS incorrects.
Le nom unifi ne résout pas vers le contrôleur souhaité.
Une règle firewall bloque TCP 8080 ou UDP 3478.
Le VLAN de l’appareil n’a pas d’accès Internet ou de chemin autorisé vers le contrôleur.
Le NAT ou le routage de politique envoie le trafic par la mauvaise interface WAN.
Le contrôleur est accessible, mais l’appareil n’a pas encore été adopté dans le contrôleur.

Sur la Sophos Firewall, Log Viewer, Policy Test et Packet Capture sont utiles. Il est particulièrement important de vérifier que le trafic provient du bon réseau source et que la règle firewall attendue est appliquée. Si des VLANs sont impliqués, il faut aussi vérifier que l’appareil UniFi se trouve bien dans le VLAN de gestion ou des appareils prévu.

Commandes SSH utiles

Lorsqu’on se connecte en SSH à un switch ou point d’accès UniFi, ces commandes sont utiles pour une première analyse.

Afficher les informations de l’appareil :

info

Réinitialiser le contrôleur au nom standard unifi :

set-inform http://unifi:8080/inform

Réinitialiser l’appareil aux paramètres d’usine :

set-default

La commande set-default supprime la configuration existante de l’appareil. Cette étape ne doit être effectuée qu’après avoir vérifié l’adresse IP, le DNS, la règle firewall et la connectivité au contrôleur.

Réinitialisation d’un appareil UniFi

Parfois, une réinitialisation est nécessaire, par exemple si un appareil est encore lié à un ancien contrôleur et que les identifiants d’accès ne sont plus connus.

Redémarrage : appuyer brièvement sur le bouton Reset de l’appareil puis relâcher.
Réinitialisation aux paramètres d’usine : maintenir le bouton Reset enfoncé plus de cinq secondes jusqu’à ce que la LED s’éteigne.

Après une réinitialisation usine, l’appareil doit à nouveau obtenir une adresse IP et pouvoir joindre le contrôleur. Il faut donc vérifier avant la réinitialisation que DHCP, DNS et règles firewall sont correctement configurés. Si l’appareil se retrouve dans un mauvais VLAN ou ne peut pas résoudre le contrôleur, la recherche de panne doit repartir de la configuration réseau et non du contrôleur.

Dépannage

L’appareil n’apparaît pas dans le contrôleur UniFi

Vérifier d’abord que l’appareil a obtenu une adresse IP et peut résoudre le nom du contrôleur. Ensuite, utiliser Log Viewer ou Packet Capture sur la Sophos Firewall pour les ports TCP 8080 et UDP 3478.

L’adoption via DNS ne fonctionne pas

Vérifier quel serveur DNS est distribué via DHCP. Si ce n’est pas la Sophos Firewall mais un serveur DNS interne, le nom unifi doit y être configuré. Avec plusieurs VLANs, il peut y avoir différentes configurations DHCP et DNS.

set-inform fonctionne mais l’adoption reste bloquée

Après le premier set-inform, adopter l’appareil dans le contrôleur puis exécuter la commande à nouveau. Vérifier aussi que le contrôleur reste accessible depuis le réseau des appareils sur TCP 8080.

L’appareil a déjà été adopté par un autre contrôleur

Les identifiants locaux ne correspondent souvent plus à ubnt. Si le mot de passe de l’appareil est inconnu, seule une réinitialisation usine permet généralement de repartir à zéro. Il faut s’assurer avant cela que l’appareil pourra ensuite rejoindre proprement le bon réseau.

Checklist opérationnelle

Les appareils UniFi sont dans un réseau de gestion ou des appareils planifié.
DHCP distribue correctement la passerelle et le DNS.
Le nom DNS unifi pointe vers le contrôleur souhaité si l’adoption DNS est utilisée.
Sophos Firewall autorise uniquement les ports sortants nécessaires vers le contrôleur.
Log Viewer confirme que la règle firewall attendue est appliquée.
Les identifiants d’accès au contrôleur et les mots de passe des appareils sont documentés.
La réinitialisation usine n’est effectuée qu’après vérification du DNS, des ports et des règles.

FAQ

Pourquoi un appareil UniFi ne trouve-t-il pas le Cloud Controller ?

Le plus souvent, la résolution DNS, les règles firewall sortantes ou la bonne Inform URL manquent. Il faut d’abord vérifier que l’appareil reçoit une adresse IP, une passerelle et des DNS, et que TCP 8080 ainsi que UDP 3478 vers le controller sont autorisés.

Quand faut-il utiliser set-inform ?

set-inform est utile lorsque l’adoption DNS ne fonctionne pas ou lorsqu’un appareil UniFi doit être affecté explicitement à un controller. Après l’adoption, la commande doit souvent être exécutée une deuxième fois.

Quel rôle joue Sophos Firewall pendant l'adoption ?

Sophos Firewall est souvent la passerelle, le serveur DNS ou le point de contrôle des connexions sortantes vers le controller. DHCP, DNS, règle firewall, NAT et Log Viewer doivent donc être vérifiés ensemble.

Faut-il réinitialiser immédiatement un appareil UniFi ?

Non. Un factory reset ne doit être effectué qu’après avoir contrôlé l’adresse IP, le DNS, l’accessibilité du controller, la règle firewall et les identifiants connus. Sinon l’appareil risque de retomber dans le même problème réseau après le reset.