Anslut en UniFi-enhet till Cloud Controller via Sophos Firewall

UniFi Access Points och Switchar hittar inte automatiskt en controller över platsgränser. Om en enhet finns i ett lokalt nätverk men UniFi Controller körs externt eller som en Cloud Controller krävs en korrekt L3-adoption: DNS, utgående brandväggsregler och vid behov kommandot set-inform.

Denna guide visar den praktiska processen när en Sophos Firewall används som gateway eller DNS-server. För grundläggande beslut om hur en UniFi Controller ska drivas, se först UniFi Controller - Hantering av Access Points & Switchar. Om UniFi Switchar används med Sophos Firewall VLAN hjälper även Konfigurera VLAN på Sophos Firewall och UniFi Switch.

Kunder med Sophos Firewall-abonnemang kan använda Avanet Cloud Controller kostnadsfritt för upp till fem UniFi-enheter.

Förutsättningar

Innan adoption bör följande vara klart:

• UniFi-enheten får en IP-adress via DHCP.
• DNS fungerar från enhetens VLAN.
• Enheten får nå controller utgående.
• Controller-FQDN eller Controller-IP är känd.
• SSH-åtkomst till UniFi-enheten är möjlig om DNS-adoption inte fungerar.
• Passande brandväggsregler för enhetsnätverket finns på Sophos Firewall.

För utgående kommunikation till UniFi Cloud Controller är vanligtvis dessa portar relevanta:

• TCP port 8080: För hantering och adoption (sätta controller-parametern via set-inform-kommandot).
• UDP port 3478: För STUN-protokollet, som används för datainsamling och identifiering av publik IP-adress.
• TCP port 8443: För åtkomst till controller-webbgränssnittet och fjärradministration. För ren enhetsadoption är denna port inte alltid avgörande, men viktig för adminåtkomst.

På Sophos Firewall bör denna öppning vara så begränsad som möjligt: Källan är UniFi management- eller enhetsnätet, destination är Cloud Controller eller dess FQDN, och tjänster är endast de nödvändiga portarna. För generell regelkontroll passar Testa Sophos Firewall-regel med Log Viewer och Packet Capture.

L3-adoption via DNS

UniFi-enheter försöker som standard lösa namnet unifi och ansluta till den controllern. Om detta DNS-namn pekar på Cloud Controller kan nya enheter automatiskt dyka upp hos rätt controller.

Det fungerar bara om Sophos Firewall i det aktuella nätverket också används som DNS-server eller om ansvarig DNS-server korrekt löser namnet unifi. I Sophos Firewall-miljöer bör man därför först kontrollera vilka DNS-servrar som distribueras via DHCP till UniFi-enheterna.

På en Sophos Firewall kan inställningen se ut så här:

Efter DNS-posten bör man testa från samma VLAN:

1. Starta om UniFi-enheten eller förnya DHCP-lease.
2. Kontrollera att namnet unifi pekar på förväntad controller.
3. Kontrollera i UniFi Controller att enheten visas som adoptivbar.
4. Kontrollera i Sophos Firewall Log Viewer att trafik från enhetsnätet till controllern tillåts.

L3-adoption via CLI

Om DNS-adoption inte fungerar eller en enskild enhet ska tilldelas en controller manuellt kan detta göras via SSH. Först måste UniFi Switch eller Access Point vara igång i nätverket och ha fått en IP-adress.

1. Etablera SSH-anslutning till enheten

Från admin-klienten ansluter du via SSH:

ssh ubnt@<device-ip>

Standardlösenordet vid leverans är ofta ubnt. Om enheten redan adopterats kan ett annat lösenord vara satt. Efter lyckad adoption med controllern ändras enhetens lösenord automatiskt.

2. Definiera UniFi Controller

Efter inloggning sätts controllern med set-inform:

set-inform http://<controller-hostname>:8080/inform

Alternativt kan controller-IP användas om driftsmodellen kräver det. Ett FQDN är oftast mer underhållsvänligt eftersom mål-adressen kan ändras senare utan att varje enhet behöver ändras.

Enheten ansluter normalt till UniFi Controller inom några sekunder utan omstart. Den måste sedan adopteras i controllern. Om enheten visar Disconnected efter adoption, kör set-inform igen. Detta är vanligt eftersom controllern skriver nya autentiseringsuppgifter till enheten efter adoption.

Kontroll på Sophos Firewall

Om en UniFi-enhet inte når controllern bör man inte omedelbart återställa enheten. Vanligtvis beror det på något av följande:

• DHCP distribuerar fel DNS-servrar.
• Namnet unifi löses inte till önskad controller.
• En brandväggsregel tillåter inte TCP 8080 eller UDP 3478.
• Enhetens VLAN har ingen internetåtkomst eller tillåten väg till controllern.
• NAT eller Policy Routing skickar trafiken via fel WAN-väg.
• Controllern är nåbar men enheten är inte adopterad i controllern.

På Sophos Firewall hjälper Log Viewer, Policy Test och Packet Capture. Viktigt är att kontrollera att trafiken kommer från rätt källnät och att förväntad brandväggsregel träder i kraft. Om VLAN är inblandade bör man också kontrollera att UniFi-enheten verkligen ligger i planerat management- eller enhets-VLAN.

Användbara SSH-kommandon

När du ansluter till UniFi Switch eller Access Point via SSH är dessa kommandon användbara för första analysen.

Visa enhetsinformation:

info

Återställ controller till standardnamnet unifi:

set-inform http://unifi:8080/inform

Återställ enheten till fabriksinställningar:

set-default

set-default tar bort befintlig enhetskonfiguration. Detta steg bör endast göras efter att IP-adress, DNS, brandväggsregler och controller-åtkomst har kontrollerats.

Återställning av UniFi-enhet

Ibland är en återställning nödvändig, till exempel om enheten är kopplad till en gammal controller och inga inloggningsuppgifter finns kvar.

• Omstart: Tryck kort på Reset-knappen på enheten och släpp.
• Återställ fabriksinställningar: Håll Reset-knappen nedtryckt i mer än fem sekunder tills LED slocknar.

Efter fabriksåterställning måste enheten få en IP-adress igen och nå controllern. Därför bör man före återställning kontrollera att DHCP, DNS och brandväggsregler verkligen är korrekta. Om enheten hamnar i fel VLAN eller inte kan lösa controllern börjar felsökningen om vid nätverkskonfigurationen, inte controllern.

Felsökning

Enheten visas inte i UniFi Controller

Kontrollera först att enheten fått IP-adress och kan lösa controllernamnet. Använd sedan Sophos Firewall Log Viewer eller Packet Capture för TCP 8080 och UDP 3478.

DNS-adoption fungerar inte

Kontrollera vilken DNS-server som distribueras via DHCP. Om det inte är Sophos Firewall utan en intern DNS-server måste namnet unifi finnas där. Vid flera VLAN kan olika DHCP- och DNS-konfigurationer förekomma.

set-inform fungerar men adoption fastnar

Efter första set-inform adopterar du enheten i controllern och kör kommandot igen. Kontrollera också att controllern är nåbar från enhetsnätet via TCP 8080.

Enheten var tidigare adopterad på annan controller

Då stämmer ofta inte lokala inloggningsuppgifter längre med ubnt. Om inget enhetslösenord är känt återstår oftast bara fabriksåterställning. Innan dess bör man säkerställa att enheten efteråt hamnar i rätt nätverk.

Driftschecklista

• UniFi-enheter finns i ett medvetet planerat management- eller enhetsnät.
• DHCP distribuerar korrekt gateway och DNS.
• DNS-namnet unifi pekar på önskad controller vid DNS-adoption.
• Sophos Firewall tillåter endast nödvändiga utgående portar till controllern.
• Log Viewer visar att förväntad brandväggsregel gäller.
• Controller-inloggningar och enhetslösenord är dokumenterade.
• Fabriksåterställning görs först efter kontroll av DNS, portar och regler.

FAQ