Vai al contenuto
Avanet

Collegare un dispositivo UniFi al Cloud Controller tramite Sophos Firewall

UniFi Sophos Firewall

Se un UniFi Access Point o switch si trova dietro una Sophos Firewall e la UniFi Network Application è in un’altra sede, il dispositivo necessita di un percorso Inform raggiungibile verso il controller. Sono essenziali una regola firewall restrittiva per TCP 8080 e una Inform URL fornita tramite DNS, SSH o DHCP Option 43.

Questa guida si applica soprattutto a Official UniFi Hosting, CloudKey e server UniFi Network in self-hosting al di fuori della VLAN dei dispositivi. Gli UniFi Cloud Gateway possono in alcuni casi rilevare direttamente i dispositivi nel proprio ambiente instradato. Per scegliere il modello operativo, consultare UniFi Controller – Gestione di Access Point e switch.

I clienti con un abbonamento Sophos Firewall possono utilizzare gratuitamente Avanet Cloud Controller per un massimo di cinque dispositivi UniFi.

Verificare i requisiti e scegliere il metodo adatto

Prima dell’adozione devono essere soddisfatti i seguenti requisiti:

  • Il dispositivo UniFi riceve tramite DHCP un indirizzo IP, un gateway e un server DNS funzionante.
  • Sono noti il FQDN o l’IP del controller e la Inform URL corretta. Con Official UniFi Hosting utilizzare Copy Inform URL.
  • La rete dei dispositivi dispone di un percorso consentito verso la UniFi Network Application su TCP 8080.
  • Per il metodo SSH, TCP 22 è necessario solo dal client amministrativo al dispositivo UniFi.

Il metodo adatto dipende dall’ambiente:

  • Voce DNS unifi: utile quando più dispositivi nuovi nella stessa rete devono trovare automaticamente il controller corretto.
  • SSH con set-inform: metodo manuale mirato per un singolo dispositivo con indirizzo IP noto.
  • DHCP Option 43: adatta quando lo scope DHCP deve distribuire centralmente l’indirizzo del controller a più dispositivi.
  • UniFi Mobile App: un’alternativa quando lo smartphone si trova nella stessa VLAN dei dispositivi.
  • Zero-Touch Provisioning: per dispositivi e modelli operativi supportati; la compatibilità attuale è indicata nella documentazione Ubiquiti ZTP.

Se Sophos Firewall e gli switch UniFi forniscono insieme le VLAN, verificare prima l’assegnazione descritta in Configurare una VLAN su Sophos Firewall e uno switch UniFi.

Creare la regola Sophos Firewall per l’adozione

Per un controller esterno, la regola dalla rete dei dispositivi UniFi al controller deve essere il più restrittiva possibile. Un esempio concreto:

  1. In Hosts and services > FQDN host, creare un oggetto come UniFi_Controller con il FQDN controller.example.com. Utilizzare correttamente gli host FQDN su Sophos Firewall spiega il funzionamento della risoluzione DNS.
  2. In Rules and policies > Firewall rules, creare una regola denominata UniFi devices to controller.
  3. In Source zones, selezionare la zona effettiva della VLAN dei dispositivi e, in Source networks and devices, ad esempio l’oggetto UniFi_Devices per 192.168.10.0/24.
  4. Per un cloud controller, selezionare WAN come Destination zone e UniFi_Controller come Destination networks. Per un controller locale in un’altra VLAN, selezionare la relativa zona interna.
  5. In Services, consentire TCP 8080 e attivare Log firewall traffic.
  6. Consentire inoltre UDP 3478 se l’ambiente UniFi utilizza STUN per l’adozione e la comunicazione dei dispositivi.

TCP 8080 è il percorso essenziale per i dispositivi e Inform. TCP 443, oppure TCP 8443 per un UniFi Network Server in self-hosting, serve per l’accesso amministrativo e non deve essere aggiunto indiscriminatamente alla regola dalla VLAN dei dispositivi al controller. UDP 10001 serve per il rilevamento L2 locale e non deve essere aperto verso la WAN per un’adozione L3 tra sedi.

Il dispositivo deve poter raggiungere anche DNS e NTP, ma queste connessioni appartengono ai server DNS e di riferimento orario previsti e non automaticamente alla regola del controller. Se un controller in self-hosting si trova dietro un gateway remoto, TCP 8080 deve essere inoltrato verso il controller o reso raggiungibile tramite VPN. Double NAT senza un percorso raggiungibile non funziona.

Adottare tramite il nome DNS unifi

Gli UniFi Network Devices tentano di risolvere il nome unifi per l’adozione L3. Se Sophos Firewall funge da server DNS nella rete dei dispositivi, creare la voce come segue:

  1. Aprire Network > DNS.
  2. Scorrere fino a DNS host entry e selezionare Add.
  3. Inserire unifi come Host/Domain name.
  4. Inserire l’IP raggiungibile del controller come IP address e salvare.
  5. In Administration > Device access, verificare che DNS sia consentito solo per la zona dei dispositivi necessaria. Configurare Device Access su Sophos Firewall spiega come limitarlo in modo sicuro.

Configurare e testare le DNS Host Entry su Sophos Firewall spiega come creare una voce statica con TTL, un test dal client e un limite chiaro rispetto alle DNS Request Route.

Sophos Firewall Network > DNS con DNS Host Entry unifi
DNS Host Entry unifi punta all’indirizzo IP del controller UniFi esterno e consente l’adozione L3.

Un client di test nella stessa VLAN dovrebbe quindi restituire l’IP previsto del controller. In questo esempio, 192.168.10.1 è la Sophos Firewall:

nslookup unifi 192.168.10.1

Riavviare quindi il dispositivo UniFi o rinnovarne il lease DHCP. Il dispositivo dovrebbe apparire come pronto per l’adozione in UniFi Network. Se rimane invisibile, verificare in Sophos Firewall Log Viewer se la connessione dalla rete dei dispositivi al controller su TCP 8080 è consentita.

Se le risposte vengono fornite da un server DNS interno anziché da Sophos Firewall, la voce unifi deve essere creata su tale server. Una voce sul firewall non è utile se i dispositivi utilizzano un altro server DNS.

Adottare tramite SSH e set-inform

SSH è adatto quando un singolo dispositivo deve essere assegnato a un controller specifico. Il dispositivo deve già disporre di un indirizzo IP ed essere raggiungibile dal client amministrativo.

Gli UniFi Network Devices attuali che non sono ancora stati adottati utilizzano per impostazione predefinita ui come nome utente e password. I dispositivi meno recenti possono ancora utilizzare ubnt/ubnt. Se il dispositivo era già stato adottato, valgono esclusivamente le credenziali memorizzate in UniFi Network in Device SSH Authentication.

Con l’indirizzo di esempio 192.168.10.20, il comando di accesso è:

ssh ui@192.168.10.20

Dopo l’accesso, impostare la Inform URL:

set-inform http://controller.example.com:8080/inform

Il dispositivo dovrebbe quindi apparire in UniFi Network e può essere adottato. Se l’adozione non viene completata o il dispositivo mostra successivamente Disconnected, eseguire nuovamente lo stesso comando set-inform. Ubiquiti documenta che questa ripetizione può essere necessaria; non è un motivo per ampliare la regola firewall.

Se si utilizza il metodo DNS con il nome breve unifi, il comando può anche essere:

set-inform http://unifi:8080/inform

Sui classici UniFi Access Point e switch, il comando seguente mostra spesso la Inform URL attuale e lo stato della connessione:

info

Questo comando diagnostico dipende dal modello e dal firmware. Verificare prima con help se è disponibile sul dispositivo. In caso contrario, lo stato del dispositivo in UniFi Network e i log del firewall sono controlli più affidabili.

Utilizzare DHCP Option 43 come alternativa

DHCP Option 43 è utile quando più dispositivi nello stesso scope devono ricevere l’indirizzo del controller e non si utilizza il nome DNS unifi. Se Sophos Firewall assegna direttamente i lease, modificare il server DHCPv4 interessato in Network > DHCP e creare un’opzione personalizzata in DHCP options:

  • Code: 43
  • Type: string
  • Value: valore esadecimale dell’IP del controller

Per l’IP del controller 192.168.3.10, il valore utilizzato da Ubiquiti è:

0104c0a8030a

Dopo il salvataggio, il dispositivo di test deve rinnovare il proprio lease. Con DHCP Relay, l’opzione deve essere configurata sul server che assegna effettivamente il lease. Una Inform URL basata su FQDN utilizza un formato diverso con il prefisso 02, un byte di lunghezza e l’URL codificato in esadecimale; un nome host in testo semplice nel campo non è equivalente.

Configurare DHCP Options su Sophos Firewall spiega la procedura generale, i tipi di dati e i fallback CLI.

Risolvere i problemi di adozione

La risoluzione dei problemi deve iniziare dal primo stato diverso da quello previsto:

  • Nessun indirizzo IP: verificare lo scope DHCP, l’assegnazione VLAN e la porta dello switch.
  • unifi non viene risolto: verificare quale server DNS viene distribuito da DHCP e se DNS è consentito per la zona dei dispositivi in Administration > Device access.
  • Nessuna connessione a TCP 8080: verificare la zona di origine, la rete di origine, il FQDN di destinazione, l’ordine delle regole, NAT e, se presenti, SD-WAN o Policy Routing.
  • Il dispositivo appare, ma l’adozione si blocca: eseguire nuovamente lo stesso comando set-inform e assicurarsi che TCP 8080 rimanga raggiungibile.
  • Server Reject o Managed by Other: il dispositivo potrebbe essere ancora assegnato a un altro UniFi Host. Se possibile, ripristinare il controller precedente o rimuovere correttamente il dispositivo da tale controller.
  • Controller dietro un gateway remoto: verificare il port forwarding di TCP 8080, il percorso VPN e Double NAT.

Log Viewer e Packet Capture mostrano il Rule ID, l’IP di destinazione e il servizio effettivamente utilizzati. La procedura è descritta in Testare le regole Sophos Firewall con Log Viewer e Packet Capture.

Ripristinare solo come ultima opzione

Se la precedente applicazione UniFi è accessibile, Manage > Forget è il metodo più pulito: il dispositivo viene rimosso dall’applicazione e ripristinato alle impostazioni di fabbrica. Un reset fisico da solo non rimuove la vecchia voce da tale applicazione.

Senza accesso all’host precedente, può essere necessario un Factory Reset. Il dispositivo deve rimanere acceso. A seconda del modello, tenere premuto il pulsante Reset per circa 5-10 secondi o finché il LED non conferma il ripristino. Una pressione troppo breve potrebbe soltanto riavviare il dispositivo; una pressione troppo lunga può attivare TFTP Recovery Mode.

I runbook meno recenti citano a questo scopo il comando SSH set-default. Le attuali istruzioni generali di reset non lo documentano come standard valido per tutti i dispositivi, quindi non è consigliato qui come comando universale sicuro.

Dopo il reset, l’adozione riparte da DHCP, DNS e TCP 8080. Se questi prerequisiti sono errati, nemmeno un Factory Reset risolverà il problema di rete sottostante.