Ligar equipamento UniFi ao Cloud Controller através da Sophos Firewall

Os UniFi Access Points e Switches não encontram automaticamente um controlador através de diferentes localizações. Quando um dispositivo está numa rede local, mas o UniFi Controller é operado externamente ou como Cloud Controller, é necessária uma adopção L3 adequada: DNS, regras de firewall de saída e, se necessário, o comando set-inform.

Este guia mostra o procedimento prático quando uma Sophos Firewall está envolvida como gateway ou servidor DNS. Para a decisão fundamental sobre como operar um UniFi Controller, consulte primeiro UniFi Controller - Gestão de Access Points & Switches. Se forem usados UniFi Switches com VLANs da Sophos Firewall, é útil também Configurar VLAN na Sophos Firewall e UniFi Switch.

Clientes com uma subscrição Sophos Firewall podem usar gratuitamente o Avanet Cloud Controller para até cinco dispositivos UniFi.

Pré-requisitos

Antes da adopção, deve estar claro:

• O dispositivo UniFi recebe um endereço IP via DHCP.
• O DNS funciona a partir da VLAN do dispositivo.
• O dispositivo pode aceder ao controlador em saída.
• O FQDN ou IP do controlador é conhecido.
• É possível aceder via SSH ao dispositivo UniFi, caso a adopção via DNS falhe.
• Existem regras de firewall adequadas na Sophos Firewall para a rede do dispositivo.

Para a comunicação de saída com o UniFi Cloud Controller, normalmente são relevantes estas portas:

• TCP Porta 8080: Para tarefas de gestão e adopção (definir o parâmetro do controlador via comando set-inform).
• UDP Porta 3478: Para o protocolo STUN, usado para recolha de dados e determinação do IP público.
• TCP Porta 8443: Para acesso à interface web do controlador e gestão remota. Para adopção pura do dispositivo, esta porta nem sempre é o caminho de dados decisivo, mas é relevante para acesso administrativo ao controlador.

Na Sophos Firewall, esta permissão deve ser o mais restrita possível: a origem é a rede de gestão ou dos dispositivos UniFi, o destino é o Cloud Controller ou o seu FQDN, e os serviços são apenas as portas necessárias. Para verificar regras gerais, consulte Testar regras na Sophos Firewall com Log Viewer e Packet Capture.

Adopção L3 via DNS

Os dispositivos UniFi tentam por padrão resolver o nome unifi e conectar-se a esse controlador. Se este nome DNS apontar para o Cloud Controller, novos dispositivos podem aparecer automaticamente no controlador correto.

Isto só funciona se a Sophos Firewall na rede afetada for usada também como servidor DNS ou se o servidor DNS responsável resolver corretamente o nome unifi. Em ambientes Sophos Firewall, deve-se primeiro verificar quais os servidores DNS distribuídos via DHCP aos dispositivos UniFi.

Numa Sophos Firewall, a configuração pode ser, por exemplo, assim:

Após a entrada DNS, deve-se testar a partir da mesma VLAN:

1. Reiniciar o dispositivo UniFi ou renovar o lease DHCP.
2. Verificar se o nome unifi resolve para o controlador esperado.
3. No UniFi Controller, confirmar se o dispositivo aparece como adoptável.
4. Na Sophos Firewall, no Log Viewer, verificar se o tráfego da rede do dispositivo para o controlador é permitido.

Adopção L3 via CLI

Se a adopção via DNS não funcionar ou se um dispositivo individual deve ser atribuído diretamente a um controlador, o controlador pode ser definido via SSH. Primeiro, o UniFi Switch ou Access Point deve estar ligado na rede e ter recebido um endereço IP.

1. Estabelecer ligação SSH ao dispositivo

A partir do cliente admin, ligar via SSH:

ssh ubnt@<device-ip>

A password padrão de fábrica é frequentemente ubnt. Se o dispositivo já tiver sido adoptado, pode ter uma password diferente. Após adopção bem-sucedida com o controlador, a password do dispositivo é alterada automaticamente.

2. Definir o UniFi Controller

Após login com sucesso, define-se o controlador com set-inform:

set-inform http://<controller-hostname>:8080/inform

Alternativamente, pode usar-se o IP do controlador em vez do hostname, se o modelo de operação assim o exigir. Um FQDN é geralmente mais fácil de manter, pois o endereço de destino pode mudar depois sem necessidade de alterar cada dispositivo.

Depois, o dispositivo normalmente reporta-se ao UniFi Controller em poucos segundos sem reiniciar. No controlador, deve ser adoptado em seguida. Se o dispositivo mostrar Disconnected após a adopção, execute o comando set-inform uma segunda vez. Este é um procedimento comum em dispositivos UniFi, pois o controlador escreve novas credenciais no dispositivo após a adopção.

Verificar na Sophos Firewall

Se um dispositivo UniFi não consegue alcançar o controlador, não deve ser imediatamente reiniciado. Normalmente, um destes pontos está envolvido:

• DHCP distribui servidores DNS incorretos.
• O nome unifi não resolve para o controlador desejado.
• Uma regra de firewall não permite TCP 8080 ou UDP 3478.
• A VLAN do dispositivo não tem acesso à Internet ou caminho permitido para o controlador.
• NAT ou Policy Routing encaminha o tráfego pelo caminho WAN errado.
• O controlador é acessível, mas o dispositivo ainda não foi adoptado no controlador.

Na Sophos Firewall, ajudam o Log Viewer, Policy Test e Packet Capture. É especialmente importante verificar se o tráfego vem da rede de origem correta e se a regra de firewall esperada está ativa. Se VLANs estiverem envolvidas, deve-se também confirmar se o dispositivo UniFi está realmente na VLAN de gestão ou de dispositivos planeada.

Comandos SSH úteis

Ao ligar-se via SSH ao UniFi Switch ou Access Point, estes comandos são úteis para a análise inicial.

Mostrar informações do dispositivo:

info

Redefinir o controlador para o nome padrão unifi:

set-inform http://unifi:8080/inform

Repor o dispositivo para as definições de fábrica:

set-default

set-default remove a configuração atual do dispositivo. Este passo só deve ser feito após verificar IP, DNS, regra de firewall e acessibilidade do controlador.

Reset do dispositivo UniFi

Por vezes, um reset é útil, por exemplo, se um dispositivo ainda estiver associado a um controlador antigo e as credenciais de acesso não forem conhecidas.

• Reinício: Pressionar brevemente o botão Reset no dispositivo e soltar.
• Restaurar definições de fábrica: Manter o botão Reset pressionado por mais de cinco segundos até o LED apagar.

Após um Factory Reset, o dispositivo deve receber novamente um endereço IP e conseguir alcançar o controlador. Por isso, antes do reset, deve-se verificar se DHCP, DNS e regras de firewall estão corretos. Se o dispositivo ficar numa VLAN errada ou não conseguir resolver o controlador, a resolução de problemas começa novamente na configuração da rede e não no controlador.

Resolução de problemas

Dispositivo não aparece no UniFi Controller

Verifique primeiro se o dispositivo recebeu um endereço IP e se consegue resolver o nome do controlador. Depois, use na Sophos Firewall o Log Viewer ou Packet Capture para TCP 8080 e UDP 3478.

Adopção via DNS não funciona

Verifique qual servidor DNS é distribuído via DHCP. Se não for a Sophos Firewall, mas sim um servidor DNS interno, o nome unifi deve estar configurado lá. Em múltiplas VLANs, podem existir configurações DHCP e DNS diferentes.

set-inform funciona, mas adopção fica pendente

Após o primeiro set-inform, adopte o dispositivo no controlador e execute o comando novamente. Verifique também se o controlador continua acessível a partir da rede do dispositivo via TCP 8080.

Dispositivo já foi adoptado por outro controlador

Nesse caso, as credenciais locais geralmente não coincidem mais com ubnt. Se a password do dispositivo não for conhecida, normalmente só resta um Factory Reset. Antes, deve estar claro que o dispositivo voltará a estar corretamente na rede certa.

Lista de verificação operacional

• Os dispositivos UniFi estão numa rede de gestão ou de dispositivos planeada conscientemente.
• DHCP distribui gateway e DNS corretamente.
• O nome DNS unifi aponta para o controlador desejado, se for usada adopção via DNS.
• A Sophos Firewall permite apenas as portas de saída necessárias para o controlador.
• O Log Viewer mostra a regra de firewall esperada.
• Credenciais de acesso ao controlador e passwords dos dispositivos estão documentadas.
• Factory Reset só é realizado após verificação de DNS, portas e regras.

FAQ