Unifi Gateway seadistamine

Network Client, VPN serveri seadistamine.

Tulemüüri reeglite koostamine, kus blokeerimine ära ühendust VLANide vahel. Selleks navigeeru Network & Profiles. Loo uus Port/IP grupp, mis määrad võrgu subneti ehk 192.168.20.0/24

Neljast võrgu pordidest tehtud profiilid, mida kasutame tulemüüri reeglites, et kehtestada võrguliikuse piirangud

Edasi navigeeru Network & Security. Vali "Traffic & Firewall Rules", kus saab hakkata seadistama tulemüüri reeglid kasutades loodud võrguprofiile

vNet10 liikluse blokeerimine. 

• Protokoll = "All", 

• Action = "Drop", 

• Source Type =  "Network",

• Network = "Hariduse-vNet10"

• Network Type = "IPv4 Subnet"

• Destination Type = "Port/IP group"

• Address Group = "vNet20-Profile"

• Port Group = "Any"

• Advanced = "Manual"

• Logging (lülita sisse logimine SIEM teenuse jaoks)

Ülejäänud profiilide blokeerimine ning aktiivsuse logimine

Võrguliikuse Geo vaade.

Võrguliikluse ülevaade

Võrgupordide seadistamine. Port1:

• Native VLAN / Network = "Hariduse-vNet10"

• Tagged VLAN Management = "Block All"

• Advanced = "Auto"

Port2, Port 3 ja Port4 saab seadistada sama moodi

Hariduse UDM vNet isoleerimine

Antud lahendus annab võimalust lisada rohkem turvalisust ning piirab ära lõpp kasutajatel ligipääseda UDM veebiliidesele. Selleks navigeeru Settings > Policy Engine > Create Policy

• Name: Blocking vNet10 -> vNet20

• Source Zone: Network (Hariduse-vNet10)

• Port: (Any)

• Action: Block

• Destination Zone: Internal (Network) (Hariduse-vNet20)

• Port: (Any)

• IP version: (Both)

• Enable Syslog Logging

Näide blokeerimisest vNet10 -> vNet20 ühendused, päringud ja võrgupordid

All pildil on näha ICMP U7Lite pingimine, mis näitab, et "Request timed out", mille tõttu on Unifi Stateful Firewall ära blokeerinud päringut Windows -> U7Lite

Hariduse UDM Veebiliidese ligipääsu piiramine kõikides võrkudes

Kui kasutame Cloud Management siis ei näe mõttet jätta veebiliidese ligipääsu internal võrku, mis võib tuua erinevad turvariske

Selleks et blokeerida antud unifi network veebiliidest navigeeru Settings > Policy Engine > Firewall > Create Policy

• Source Zone: Internal (Network) Kõik vNet10-40

• Action: Block

• Destination Zone: Gateway

• IP: (Gateway IP aadress)

• Enable Syslog

Ubiquiti Unifi U7lite Access pointi paigaldamine Hariduse võrku

Unifi Access pointi paigaldamiseks on vaja PoE teotavat võrguseadet või Unifi PoE Injektor.

• <-> võrgupesa läheb tavaline võrgukaabel, mis tuleb Unifi Gatewaylt. 

• PoE tuleb teine võrgukaabel, mida tuleb ühendada otse U7lite access pointi.

Unifi Cloud Gateway U7Lite seadistamine

Navigeeru unifi veebiliidesele ning tee kindlaks, et U7Lite on ühendunud Cloud Gateway seadmega. Antud Hariduse võrgus on blokeeritud lokaalse veebiliidese ligipääs, seetõttu võib tekkida probleem U7lite ja Unifi Gatewayga ühendumine.

Firewall logide näidis:

Selle parandamiseks tegin uue tulemüüri reegli, kus lubasin antud seadmel ligipääsu veebiliidesele ning Gateway'le IP-aadressile

Firewall Policy:

• Name: Allowing U7Lite to Gateway

• Source Zone: Internal

• Specific: <U7Lite IP>

• Action: Allow

• Destination: Gateway

• Specific: <Gateway IP>

• Enable syslog logging

Wifi Seadistamine U7Lite Access Point

Navigeeru "Settings > Overview > WiFi > Create New"

Name: unifi.wifi.hariduse

Password: <Vali hea ja tugev parool, soovitatav genereerida Keepass'is>

Network: "Native Network"

Broadcasting APs: "All"

Advanced: "Manual"

WiFi Band: 2.4GHz ja 5GHz

Client Device Isolation: Jah

MAC Address Filter:  "Add Client" ning valin "iPhone" ning Filter Type:  "Allow"

Security Protocol: "WPA3"