Introduction
Les erreurs de configuration réseau UniFi les plus sournoises ne semblent généralement pas dramatiques le premier jour. Le tableau de bord est vert, le Wi-Fi fonctionne et tout le monde est connecté. Puis, quelques semaines plus tard, un VPN refuse de se connecter, un boîtier de streaming saccade, un nouveau VLAN tombe discrètement en panne sur un point d'accès, ou une liaison 10 Gb semble traîner un boulet derrière elle.
Je passe beaucoup de temps avec des équipements domotiques, des réseaux de petites entreprises et le genre d'installations UniFi murales bien ordonnées pour lesquelles nous concevons des accessoires chez Worm Pop Labs. Mon parti pris est simple : un bon réseau doit être ennuyeux, rapide et facile à comprendre six mois après sa création. UniFi est suffisamment convivial pour que la plupart des gens puissent obtenir une configuration solide rapidement, mais les détails comptent toujours.
Ce guide passe en revue les erreurs que je surveille en priorité : choix de sous-réseaux, erreurs de VLAN UniFi, conseils de sécurité UniFi réellement utiles, pièges de la configuration de l'UniFi Dream Machine, règles de pare-feu UniFi, bizarreries du Wi-Fi IoT et choix de câblage physique qui peuvent limiter les performances en silence.
Vous ne savez pas quel support convient à votre point d'accès ? Utilisez le sélecteur de support AP : choisissez votre modèle UniFi ou Omada et accédez directement au bon support.
Quelles sont les erreurs de configuration réseau UniFi les plus courantes ?
Les erreurs de configuration réseau UniFi les plus courantes sont l'utilisation d'un sous-réseau par défaut, l'abus du blocage géographique, le choix d'un mauvais câblage 10 Gb, le maintien d'un double NAT, la création de VLAN sans règles de pare-feu, l'oubli de nouveaux VLAN dans les profils ou les paramètres IDS/IPS, et le transfert du trafic réseau via un routeur plutôt que via un véritable commutateur.
Les erreurs de configuration réseau UniFi commencent par la planification IP
Si je pouvais changer une chose avant d'adopter le premier point d'accès, ce serait le sous-réseau LAN. Laisser une nouvelle passerelle sur 192.168.1.0/24 ou 192.168.0.0/24 semble inoffensif car cela fonctionne immédiatement. Le problème apparaît plus tard lorsque vous souhaitez un accès distant, un VPN site à site ou un second emplacement.
Ces deux plages sont partout. Les routeurs domestiques, les passerelles des FAI, les routeurs de voyage, les réseaux de bureau et les configurations de laboratoire temporaires les adorent. Si votre maison et votre atelier utilisent la même plage d'adresses, votre ordinateur portable n'a aucun moyen clair de savoir de quel côté du VPN le trafic pour 192.168.1.50 doit être envoyé. C'est pourquoi l'un de mes premiers conseils de sécurité UniFi est en réalité un conseil de planification : faites en sorte que chaque site soit facile à identifier.
Mon modèle préféré est d'utiliser la plage privée 10.x.x.x et d'attribuer un numéro de site à chaque emplacement. Par exemple, un site pourrait utiliser 10.120.x.x, tandis qu'un autre pourrait utiliser 10.130.x.x. Ensuite, chaque VLAN peut se trouver sous ce marqueur de site, comme 10.120.10.0/24 pour les appareils de confiance, 10.120.20.0/24 pour l'IoT et 10.120.30.0/24 pour les caméras. Ce n'est pas magique, mais c'est merveilleusement lisible.
Les adresses LAN privées ne devraient provenir que de trois familles : 10.0.0.0/8, de 172.16.0.0 à 172.31.255.255, ou 192.168.0.0/16. N'inventez rien comme 11.x.x.x ; cet espace appartient à l'internet public et pourrait un jour entrer en conflit avec un service réel.
J'évite également de dépendre de la croissance automatique des sous-réseaux, sauf si chaque appareil est compatible DHCP. Si vous dépassez un /24, passer à un /23 peut être judicieux, mais modifier le réseau sous des appareils statiques est complexe. Déplacez les adresses manuelles vers des réservations DHCP ou mettez-les à jour en premier. Ensuite, renouvelez les baux ou redémarrez les appareils récalcitrants.
Pour les petites installations UniFi, j'aime commencer avec une passerelle propre montée là où les câbles restent visibles. Si vous construisez autour d'une passerelle compacte, notre support mural pour UniFi Cloud Gateway empêche ce premier élément du réseau de devenir une boîte supplémentaire qui traîne derrière une étagère.
Si vous choisissez encore votre matériel, la Cloud Gateway Ultra est une solution adaptée aux maisons et aux petits bureaux avec des points d'accès séparés.
[CA] Ubiquiti UniFi Cloud Gateway Ultra | [US] Ubiquiti UniFi Cloud Gateway Ultra
Les erreurs de configuration réseau UniFi avec les VLAN et les règles de pare-feu
Les VLAN sont utiles, mais ils ne constituent pas un sort de sécurité. Je vois deux problèmes opposés : soit les gens évitent complètement la segmentation, soit ils créent une douzaine de minuscules îlots et passent ensuite leurs week-ends à se demander pourquoi AirPlay, la diffusion, les imprimantes ou les caméras se comportent étrangement.
Pour une maison ou un petit commerce, je pense généralement en zones avant de penser en noms de VLAN. Les appareils de confiance constituent une zone. Les appareils invités et IoT peuvent former une zone non approuvée. Les caméras peuvent mériter leur propre place si elles enregistrent sur un NVR local. Les serveurs ou les machines de laboratoire peuvent nécessiter des limites plus strictes s'ils utilisent des logiciels expérimentaux. C'est le cœur de la segmentation réseau UniFi : regroupez les appareils par confiance et besoins de communication, et non par l'aspect esthétique du diagramme.
L'important est que les règles de pare-feu UniFi correspondent à l'intention. Si votre VLAN IoT peut toujours initier des connexions vers chaque ordinateur portable et NAS de confiance, vous n'avez pas gagné grand-chose. Le pare-feu actuel basé sur les zones est plus simple que l'ancien modèle LAN-in, LAN-out, LAN-local et internet-in : créez une zone non approuvée, ajoutez les bons VLAN, bloquez l'accès vers les réseaux internes et autorisez uniquement les quelques services dont vous avez vraiment besoin.
Si une Apple TV se trouve sur un VLAN IoT, votre téléphone peut avoir besoin du trafic de découverte pour la trouver. Si une imprimante se trouve avec des appareils non approuvés, votre ordinateur peut avoir besoin d'un chemin étroit pour imprimer. Si une caméra doit atteindre un enregistreur, autorisez ce flux spécifique au lieu d'ouvrir toute la maison.
Les VLAN de gestion ont leur propre piège. Les profils de port Ethernet sont excellents car un profil peut être réutilisé sur de nombreux ports de commutateur. Mais si vous définissez un profil de trunk de gestion sur une liste personnalisée de VLAN balisés, les futurs VLAN n'apparaîtront pas par magie dans cette liste. La prochaine fois que vous ajouterez un réseau, votre commutateur ou point d'accès en aval pourrait être incapable de le baliser. Pour les liaisons de gestion, déterminez si "tout autoriser" est approprié. Pour les autres profils, les listes personnalisées peuvent être plus propres, mais vous devez penser à les mettre à jour chaque fois que vous créez un autre VLAN.
La détection et la prévention des intrusions nécessitent également une attention particulière après les modifications de VLAN. Dans UniFi, le comportement "notifier uniquement" est la détection ; "notifier et bloquer" est la prévention. Les passerelles plus petites peuvent avoir des limites, donc si vous ajoutez un VLAN plus tard, vérifiez si l'IDS/IPS est activé pour celui-ci.
L'une des erreurs de VLAN UniFi les plus faciles est d'isoler excessivement les appareils multimédias pour ensuite être surpris lorsque les fonctionnalités pratiques ne fonctionnent plus. Je préfère avoir trois réseaux bien compris avec des règles testées que dix réseaux que personne ne veut maintenir.
Wi-Fi IoT : Compatibilité, 5 GHz et mots de passe privés
Les appareils domotiques peuvent être merveilleusement incohérents. J'ai eu de petits capteurs basés sur ESP32 qui se connectent indéfiniment à côté d'appareils presque identiques qui agissent comme si le point d'accès les avait personnellement offensés. Le paramètre de connectivité IoT améliorée d'UniFi peut être salvateur pour ce genre d'équipement car il favorise des paramètres de compatibilité que de nombreux petits appareils gèrent mieux.
Le compromis est que la connectivité IoT améliorée se concentre sur la bande 2,4 GHz. C'est parfait pour les prises, les capteurs et les thermostats, mais pas pour les équipements à plus haut débit comme les boîtiers de streaming qui fonctionnent généralement mieux sur 5 GHz.
Mon approche pratique consiste à séparer l'IoT lent de l'IoT rapide lorsque nécessaire. Si votre réseau IoT n'a pas de clients 5 GHz, activez la connectivité IoT améliorée. Si vous avez un mélange, créez un second SSID tel que "IoT Enhanced" pour les appareils 2,4 GHz récalcitrants tout en gardant le SSID IoT principal disponible pour les clients plus rapides.
Les clés pré-partagées privées (PPSK) sont un autre outil que j'aime pour les situations ponctuelles. Avec le PPSK, un SSID peut placer les clients sur différents VLAN en fonction du mot de passe qu'ils utilisent, évitant ainsi de créer un nouveau SSID pour un seul appareil isolé. Le piège est le mode de sécurité : le PPSK nécessite WPA2 au lieu de WPA3.
Le placement du point d'accès reste important. Pour les installations murales, notre support mural UniFi AP Slim maintient les points d'accès discrets, et le support de bureau UniFi AP est utile pour une configuration temporaire stable ou sur étagère.
Le blocage géographique ne remplace pas une véritable sécurité
Le blocage par région semble puissant car il est visible et facile à comprendre. Choisissez des pays, bloquez le trafic, sentez-vous plus en sécurité. Je l'utilise avec précaution, si tant est que je l'utilise.
Le premier problème est le risque de rupture de service. Les grands services utilisent des infrastructures partout dans le monde. Une mise à jour logicielle, un nœud de diffusion de contenu, un point de terminaison d'authentification ou un service cloud fournisseur peut se trouver dans un endroit que vous n'aviez pas prévu. Si vous bloquez le trafic entrant et sortant pour une longue liste de pays, des sites web et des mises à jour aléatoires peuvent échouer d'une manière qui ressemble à des problèmes DNS, des bugs d'application ou des problèmes Wi-Fi.
Le deuxième problème est la valeur réelle. Les attaquants peuvent passer par des VPN, des serveurs loués, des machines compromises et des fournisseurs cloud. Le filtrage par pays peut réduire le bruit, mais il ne corrige pas les mots de passe faibles, les services exposés, les appareils non patchés ou les règles de pare-feu UniFi négligées.
Le troisième problème est la performance. Les listes de pays peuvent contenir de nombreuses plages d'adresses, et des listes excessives peuvent ajouter de la latence ou réduire le débit. Je préfère moins de règles qui ont du sens.
Si vous utilisez le blocage géographique, gardez la liste courte et envisagez d'abord le blocage des entrées uniquement. Je préfère voir une petite liste intentionnelle plutôt que cinquante pays bloqués copiés de la configuration de quelqu'un d'autre.
Configuration de l'UniFi Dream Machine : Évitez le double NAT
La configuration de l'UniFi Dream Machine tourne souvent mal lorsqu'un modem/routeur de FAI agit encore comme un routeur. Vous pouvez le repérer en vérifiant l'adresse WAN sur votre passerelle UniFi. Si l'adresse WAN commence par 10., 192.168., ou 172.16 à 172.31, votre routeur UniFi reçoit probablement une adresse privée au lieu d'une adresse publique.
Cela signifie généralement un double NAT. La navigation de base peut fonctionner, mais la redirection de port, certains services de jeu, les applications auto-hébergées et le VPN d'accès distant peuvent devenir complexes. Si votre appareil en amont prend en charge le mode pont (bridge) ou passthrough, utilisez-le pour que la passerelle UniFi reçoive l'adresse IP publique.
Il y a des exceptions. Certains FAI utilisent le NAT de niveau opérateur (CGNAT) parce que les adresses IPv4 sont rares. Le service résidentiel Starlink est un exemple courant où une IPv4 publique peut ne pas être disponible de la manière habituelle. Les plans d'affaires ou les options IP statiques peuvent aider dans certains cas, mais je ne recommande pas de payer un supplément sauf si vous avez réellement besoin d'un accès entrant. Pour de nombreuses maisons, la gestion basée sur le cloud d'UniFi et les services de sortie uniquement suffisent.
Si vous utilisez la Dream Machine tout-en-un classique, elle peut toujours être un hub réseau compact et propre. J'aime monter les équipements UniFi cylindriques au mur, car la tension des câbles et le flux d'air sont plus faciles à gérer. Notre support mural pour UniFi Dream Router a été conçu avec cette même approche de propreté et d'accessibilité.
La Dream Machine originale est toujours utile là où le Wi-Fi intégré et les fonctionnalités de passerelle importent plus que l'extension en rack.
[CA] Ubiquiti UniFi Dream Machine | [US] Ubiquiti UniFi Dream Machine
Câbles, SFP+ et ports de routeur peuvent ralentir les réseaux rapides
La couche physique est l'endroit où les réseaux coûteux deviennent parfois absurdes. Si deux ports SFP+ sont proches l'un de l'autre, j'opte généralement pour un câble DAC en premier. Un câble en cuivre à connexion directe est bon marché, consomme peu, dégage peu de chaleur et est fiable pour les courtes distances. Il évite également le travail de conversion supplémentaire des modules optiques.
La fibre reste excellente lorsqu'elle résout le bon problème. Pour les distances plus longues, la fibre est logique. Pour une caméra extérieure ou une liaison entre deux bâtiments, la fibre peut également fournir une isolation électrique car elle ne transporte pas de tension comme le cuivre. J'aime l'idée de regrouper les câbles cuivre extérieurs vers un commutateur isolé, de protéger ce commutateur avec une protection contre les surtensions, puis d'utiliser la fibre pour revenir au réseau intérieur. Si la foudre ou une grave surtension endommage quelque chose, les dégâts risquent moins de se propager au reste du rack.
Ce que j'évite, c'est d'acheter des modules optiques et des câbles de raccordement en fibre pour une liaison de 30 cm à l'intérieur de la même armoire, sauf pour tester. J'évite également les modules SFP+ vers 10GBASE-T RJ45 pour les petits raccordements lorsqu'un câble DAC ferait l'affaire. Les émetteurs-récepteurs RJ45 10 Gb peuvent chauffer, consommer plus d'énergie et coûter plus cher.
Pour les liaisons commutateur à commutateur ou commutateur à serveur dans un rack, un câble DAC court est généralement le choix le plus serein. Mesurez d'abord pour éviter de vous retrouver avec une courbure serrée ou une boucle géante derrière l'équipement.
[CA] Câble 10Gtek 10G SFP+ DAC | [US] Câble H!Fiber 10G SFP+ DAC
Les câbles de raccordement Ethernet classiques méritent également de l'attention. Pour les liaisons cuivre 10 Gb, j'achète des câbles de raccordement Cat6a reconnus et j'étiquette les deux extrémités.
[CA] Câble de raccordement Ethernet Monoprice SlimRun Cat6A | [US] Câble de raccordement Ethernet Monoprice Cat6A
Un dernier détail de configuration de l'UniFi Dream Machine : ne traitez pas les ports du routeur comme un commutateur d'agrégation. Sur les modèles avec plusieurs ports haute vitesse, ces ports sont conçus autour des tâches de routage et des chemins CPU, et non pour une commutation de couche 2 à ultra-faible latence. Si deux commutateurs sont branchés sur deux ports LAN de routeur, les gros transferts locaux peuvent traverser le routeur inutilement.
Pour le trafic local le plus rapide, connectez votre commutateur principal au routeur, puis connectez les autres commutateurs à ce commutateur ou à un véritable commutateur d'agrégation. Ma règle simple : un câble pour internet, un câble pour la commutation LAN, et les appareils gourmands en bande passante se trouvent sur des commutateurs conçus pour commuter.
Produits associés sur Amazon
- Ubiquiti UniFi U7 Pro WiFi 7 Point d'accès
- Ubiquiti Cloud Gateway Max UCG-MAX
- Câble Ethernet Cable Matters Snagless Cat6
FAQ
Ai-je besoin de VLAN pour un réseau domestique UniFi sécurisé ?
Pas toujours. Les VLAN sont utiles lorsque vous avez des appareils non approuvés, des invités, des caméras, des serveurs ou du matériel de laboratoire. Pour une maison simple avec des téléphones, des ordinateurs portables et un NAS, des mots de passe robustes, des mises à jour et des paramètres de pare-feu sensés peuvent être plus importants. Si vous créez des VLAN, associez-les à des règles de pare-feu UniFi réelles.
Mon réseau IoT doit-il être uniquement en 2,4 GHz ?
Cela dépend des appareils. Les capteurs, les prises, les ampoules et de nombreux appareils basés sur microcontrôleurs préfèrent généralement la compatibilité 2,4 GHz. Les appareils de streaming bénéficient souvent du 5 GHz. Si les deux groupes existent, j'aime utiliser un SSID IoT normal plus un SSID IoT 2,4 GHz amélioré pour les appareils fragiles.
Le blocage géographique est-il l'un des meilleurs conseils de sécurité UniFi ?
Il est bas sur ma liste. Le blocage géographique peut réduire le trafic indésirable, mais il peut aussi casser des services et ajouter une surcharge de règles. Je privilégierais d'abord les mises à jour, une authentification forte, un minimum de services exposés, la prévention des intrusions, des règles de VLAN propres et un plan IP sain.
Pourquoi mon nouveau VLAN ne fonctionne-t-il pas sur un point d'accès ?
Vérifiez le profil de port alimentant ce point d'accès ou le commutateur en aval. Si le profil de trunk utilise une liste de VLAN balisés personnalisée, un nouveau VLAN peut ne pas y être inclus. Ajoutez-le manuellement ou utilisez un profil de type "tout autoriser" là où c'est approprié pour vos liaisons de gestion.
Quelle est la plus grande erreur de câblage dans un petit rack UniFi ?
Pour les liaisons SFP+ 10 Gb courtes, acheter des modules fibre ou des émetteurs-récepteurs RJ45 chauds alors qu'un câble DAC fonctionnerait est un gaspillage courant. Les câbles DAC sont généralement moins chers et plus simples pour l'équipement à proximité. Utilisez la fibre lorsque vous avez besoin de distance ou d'isolation électrique.
Réflexions finales : Construisez un réseau UniFi en lequel vous pourrez avoir confiance
La plupart des erreurs UniFi ne sont pas catastrophiques. Ce sont les petites décisions qui se transforment plus tard en pannes mystérieuses, problèmes VPN, hoquets de streaming ou transferts de fichiers lents. Ma liste de contrôle est simple :
- Choisissez un sous-réseau privé non par défaut avant que le réseau ne se développe.
- Segmentez uniquement là où cela résout un réel problème de confiance.
- Soutenez les VLAN avec des paramètres de pare-feu et IDS/IPS clairs.
- Utilisez les paramètres de compatibilité IoT sans pénaliser les appareils qui ont besoin du 5 GHz.
- Mettez votre passerelle FAI en mode pont ou passthrough lorsque vous avez besoin d'un accès entrant.
- Utilisez le DAC, la fibre et le Cat6a là où chacun a du sens.
- Gardez la commutation à haut débit sur les commutateurs, pas sur les ports de routeur.
Si vous nettoyez une installation UniFi, commencez par les pièces que vous pouvez voir et étiqueter : passerelle, points d'accès, commutateurs et câbles. Ensuite, progressez vers l'adressage, les VLAN et la politique de pare-feu. Et si vous souhaitez que votre équipement domotique soit monté proprement plutôt que posé en équilibre sur une étagère, visitez Worm Pop Labs et jetez un œil à nos supports UniFi conçus pour les laboratoires domestiques réels.
