Połączenie urządzenia UniFi z Cloud Controller przez Sophos Firewall

UniFi Access Pointy i przełączniki nie znajdują kontrolera automatycznie poza granicami lokalnej sieci. Jeśli urządzenie znajduje się w sieci lokalnej, a UniFi Controller działa zdalnie lub jako Cloud Controller, potrzebna jest poprawna adopcja L3: DNS, reguły wychodzące na firewallu oraz w razie potrzeby polecenie set-inform.

Ten przewodnik pokazuje praktyczny przebieg, gdy Sophos Firewall pełni rolę bramy lub serwera DNS. Aby podjąć zasadniczą decyzję, jak uruchomić UniFi Controller, najpierw warto zapoznać się z UniFi Controller – zarządzanie Access Pointami i przełącznikami. Jeśli używane są przełączniki UniFi z VLAN-ami Sophos Firewall, pomocny będzie także artykuł Konfiguracja VLAN na Sophos Firewall i UniFi Switch.

Klienci z subskrypcją Sophos Firewall mogą bezpłatnie korzystać z Avanet Cloud Controller dla maksymalnie pięciu urządzeń UniFi.

Wymagania wstępne

Przed adopcją należy upewnić się, że:

• Urządzenie UniFi otrzymuje adres IP przez DHCP.
• DNS działa poprawnie w VLAN-ie urządzenia.
• Urządzenie może nawiązać połączenie z kontrolerem wychodzącym.
• Znany jest FQDN lub adres IP kontrolera.
• Dostęp SSH do urządzenia UniFi jest możliwy, jeśli adopcja przez DNS nie zadziała.
• Na Sophos Firewall istnieją odpowiednie reguły firewall dla sieci urządzeń.

Do komunikacji wychodzącej z UniFi Cloud Controller zwykle potrzebne są następujące porty:

• TCP port 8080: do zadań zarządzania i adopcji (ustawianie kontrolera przez polecenie set-inform).
• UDP port 3478: dla protokołu STUN, służącego do zbierania danych i ustalania publicznego adresu IP.
• TCP port 8443: dostęp do interfejsu webowego kontrolera i zdalne zarządzanie. Dla samej adopcji urządzenia ten port nie zawsze jest kluczowy, ale jest istotny dla dostępu administratora.

Na Sophos Firewall reguła powinna być możliwie restrykcyjna: źródłem jest sieć zarządzania lub urządzeń UniFi, celem Cloud Controller lub jego FQDN, a usługami tylko wymagane porty. Do ogólnej weryfikacji reguł przydaje się testowanie reguł Sophos Firewall za pomocą Log Viewer i Packet Capture.

Adopcja L3 przez DNS

Urządzenia UniFi domyślnie próbują rozwiązać nazwę unifi i połączyć się z tym kontrolerem. Jeśli ten wpis DNS wskazuje na Cloud Controller, nowe urządzenia mogą automatycznie pojawić się u właściwego kontrolera.

Działa to tylko wtedy, gdy Sophos Firewall w danej sieci pełni rolę serwera DNS lub odpowiedni serwer DNS poprawnie rozwiązuje nazwę unifi. W środowiskach Sophos Firewall należy najpierw sprawdzić, jakie serwery DNS są przydzielane urządzeniom UniFi przez DHCP.

Na Sophos Firewall ustawienie może wyglądać na przykład tak:

Po dodaniu wpisu DNS należy przetestować z tego samego VLAN-u:

1. Zrestartować urządzenie UniFi lub odnowić dzierżawę DHCP.
2. Sprawdzić, czy nazwa unifi wskazuje na oczekiwany kontroler.
3. W UniFi Controller zweryfikować, czy urządzenie jest widoczne jako gotowe do adopcji.
4. W Sophos Firewall w Log Viewer sprawdzić, czy ruch z sieci urządzeń do kontrolera jest dozwolony.

Adopcja L3 przez CLI

Jeśli adopcja przez DNS nie działa lub pojedyncze urządzenie ma być przypisane do kontrolera ręcznie, można ustawić kontroler przez SSH. Najpierw UniFi Switch lub Access Point musi być uruchomiony w sieci i mieć przydzielony adres IP.

1. Nawiązanie połączenia SSH z urządzeniem

Z klienta administratora połączyć się przez SSH:

ssh ubnt@<adres-ip-urzadzenia>

Domyślne hasło fabryczne to często ubnt. Jeśli urządzenie było już adoptowane, może mieć ustawione inne hasło. Po pomyślnej adopcji kontroler automatycznie zmienia hasło urządzenia.

2. Definiowanie UniFi Controller

Po zalogowaniu ustawić kontroler poleceniem set-inform:

set-inform http://<nazwa-host>:8080/inform

Alternatywnie zamiast nazwy hosta można użyć adresu IP kontrolera, jeśli taki model działania jest preferowany. FQDN jest zwykle łatwiejszy w utrzymaniu, ponieważ adres docelowy można później zmienić bez konieczności modyfikowania każdego urządzenia.

Po tym urządzenie zwykle bez restartu w ciągu kilku sekund łączy się z UniFi Controller. Następnie w kontrolerze należy je adoptować. Jeśli po adopcji urządzenie ponownie pokazuje status Disconnected, polecenie set-inform należy wykonać ponownie. Jest to częsty przebieg w urządzeniach UniFi, ponieważ kontroler po adopcji zapisuje nowe dane dostępowe na urządzeniu.

Sprawdzanie na Sophos Firewall

Jeśli urządzenie UniFi nie może połączyć się z kontrolerem, nie należy od razu resetować urządzenia. Najczęściej problem leży w jednym z poniższych punktów:

• DHCP przydziela błędne serwery DNS.
• Nazwa unifi nie rozwiązuje się na oczekiwany kontroler.
• Reguła firewall nie zezwala na TCP 8080 lub UDP 3478.
• VLAN urządzenia nie ma dostępu do internetu lub dozwolonej ścieżki do kontrolera.
• NAT lub policy routing kieruje ruch przez niewłaściwą ścieżkę WAN.
• Kontroler jest dostępny, ale urządzenie nie zostało jeszcze adoptowane w kontrolerze.

Na Sophos Firewall pomocne są Log Viewer, Policy Test i Packet Capture. Szczególnie ważne jest, czy ruch pochodzi z właściwej sieci źródłowej i czy działa oczekiwana reguła firewall. Jeśli w grę wchodzą VLAN-y, należy dodatkowo sprawdzić, czy urządzenie UniFi faktycznie znajduje się w planowanym VLAN-ie zarządzania lub urządzeń.

Przydatne polecenia SSH

Po połączeniu się z UniFi Switch lub Access Point przez SSH, poniższe polecenia są pomocne do pierwszej analizy.

Wyświetlenie informacji o urządzeniu:

info

Ponowne ustawienie kontrolera na domyślną nazwę unifi:

set-inform http://unifi:8080/inform

Przywrócenie ustawień fabrycznych urządzenia:

set-default

set-default usuwa istniejącą konfigurację urządzenia. Ten krok należy wykonać dopiero po sprawdzeniu adresu IP, DNS, reguł firewall i dostępności kontrolera.

Reset urządzenia UniFi

Reset bywa potrzebny, np. gdy urządzenie jest nadal powiązane ze starym kontrolerem i nie znamy już danych dostępowych.

• Restart: krótko nacisnąć i puścić przycisk Reset na urządzeniu.
• Przywrócenie ustawień fabrycznych: przytrzymać przycisk Reset dłużej niż pięć sekund, aż zgaśnie dioda LED.

Po przywróceniu ustawień fabrycznych urządzenie musi ponownie otrzymać adres IP i połączyć się z kontrolerem. Dlatego przed resetem należy zweryfikować, czy DHCP, DNS i reguły firewall są poprawne. Jeśli urządzenie po restarcie trafi do niewłaściwego VLAN-u lub nie rozwiązuje kontrolera, rozwiązywanie problemów zaczyna się od konfiguracji sieci, a nie od kontrolera.

Rozwiązywanie problemów

Urządzenie nie pojawia się w UniFi Controller

Najpierw sprawdzić, czy urządzenie otrzymało adres IP i czy potrafi rozwiązać nazwę kontrolera. Następnie na Sophos Firewall użyć Log Viewer lub Packet Capture dla portów TCP 8080 i UDP 3478.

Adopcja przez DNS nie działa

Sprawdzić, jaki serwer DNS jest przydzielany przez DHCP. Jeśli nie jest to Sophos Firewall, lecz wewnętrzny serwer DNS, nazwa unifi musi być tam poprawnie skonfigurowana. W środowiskach z wieloma VLAN-ami mogą występować różne konfiguracje DHCP i DNS.

set-inform działa, ale adopcja utknęła

Po pierwszym set-inform adoptować urządzenie w kontrolerze i wykonać polecenie ponownie. Dodatkowo sprawdzić, czy kontroler jest dostępny z sieci urządzeń przez TCP 8080.

Urządzenie było wcześniej adoptowane przez inny kontroler

Wtedy lokalne dane dostępowe często nie zgadzają się z domyślnym ubnt. Jeśli nie znamy hasła urządzenia, zwykle pozostaje tylko reset do ustawień fabrycznych. Przed tym należy upewnić się, że urządzenie po resecie poprawnie trafi do właściwej sieci.

Lista kontrolna przed uruchomieniem

• Urządzenia UniFi znajdują się w świadomie zaplanowanej sieci zarządzania lub urządzeń.
• DHCP poprawnie przydziela bramę i DNS.
• Nazwa DNS unifi wskazuje na właściwy kontroler, jeśli używana jest adopcja przez DNS.
• Sophos Firewall zezwala tylko na niezbędne porty wychodzące do kontrolera.
• Log Viewer potwierdza działanie oczekiwanej reguły firewall.
• Dane dostępowe do kontrolera i hasła urządzeń są udokumentowane.
• Reset do ustawień fabrycznych wykonywany jest dopiero po weryfikacji DNS, portów i reguł.

FAQ