Introduction
Les erreurs les plus insidieuses dans la configuration d'un réseau UniFi ne semblent généralement pas dramatiques le premier jour. Le tableau de bord est vert, le Wi-Fi fonctionne et tout le monde est en ligne. Puis, quelques semaines plus tard, un VPN refuse de se connecter, un boîtier de streaming met en mémoire tampon, un nouveau VLAN tombe en panne silencieusement sur un point d'accès, ou un lien de 10 Gb se comporte comme s'il avait une petite ancre attachée.
Je passe beaucoup de temps autour des équipements de maison intelligente, des réseaux de petites entreprises et des installations UniFi soignées montées au mur pour lesquelles nous concevons des accessoires chez Worm Pop Labs. Mon parti pris est simple : un bon réseau doit être ennuyeux, rapide et facile à comprendre six mois après sa construction. UniFi est suffisamment convivial pour que la plupart des gens puissent rapidement obtenir une configuration solide, mais les détails comptent toujours.
Ce guide passe en revue les erreurs que je recherche en premier : les choix de sous-réseaux, les erreurs de VLAN UniFi, les conseils de sécurité UniFi qui sont réellement utiles, les pièges de configuration de l'UniFi Dream Machine, les règles de pare-feu UniFi, les bizarreries du Wi-Fi IoT, et les choix de câblage physique qui peuvent limiter silencieusement les performances.
Quelles sont les erreurs les plus courantes lors de la configuration d'un réseau UniFi ?
Les erreurs les plus courantes lors de la configuration d'un réseau UniFi sont l'utilisation d'un sous-réseau par défaut, l'utilisation excessive du blocage par pays, le choix d'un mauvais câblage 10 Gb, le maintien d'un double NAT, la création de VLAN sans règles de pare-feu, l'oubli de nouveaux VLAN dans les profils ou les paramètres IDS/IPS, et le passage du trafic de commutateur par un routeur au lieu d'un véritable commutateur.
Les erreurs de configuration du réseau UniFi commencent par la planification IP
Si je pouvais changer une chose avant d'adopter le premier point d'accès, je changerais le sous-réseau LAN. Laisser une nouvelle passerelle sur 192.168.1.0/24 ou 192.168.0.0/24 semble inoffensif parce que cela fonctionne immédiatement. Le problème apparaît plus tard lorsque vous voulez un accès à distance, un VPN site à site ou un deuxième emplacement.
Ces deux plages sont partout. Les routeurs domestiques, les passerelles FAI, les routeurs de voyage, les réseaux de bureau et les configurations de laboratoire temporaires les adorent. Si votre maison et votre atelier utilisent la même plage d'adresses, votre ordinateur portable n'a pas de moyen clair de savoir quel côté du VPN doit recevoir le trafic pour 192.168.1.50. C'est pourquoi l'un de mes premiers conseils de sécurité UniFi est en fait un conseil de planification : rendre chaque site facile à identifier.
Mon modèle préféré est d'utiliser la plage privée 10.x.x.x et de donner à chaque emplacement un numéro de site. Par exemple, un site pourrait utiliser 10.120.x.x, tandis qu'un autre pourrait utiliser 10.130.x.x. Ensuite, chaque VLAN peut vivre sous ce marqueur de site, tel que 10.120.10.0/24 pour les appareils de confiance, 10.120.20.0/24 pour l'IoT, et 10.120.30.0/24 pour les caméras. Ce n'est pas magique, mais c'est merveilleusement lisible.
Les adresses LAN privées ne doivent provenir que de trois familles : 10.0.0.0/8, 172.16.0.0 à 172.31.255.255, ou 192.168.0.0/16. N'inventez rien comme 11.x.x.x ; cet espace appartient à l'Internet public, et un jour, il pourrait entrer en collision avec un service réel.
J'évite également de compter sur la croissance automatique des sous-réseaux, sauf si tous les appareils sont satisfaits du DHCP. Si vous dépassez un /24, passer à un /23 peut avoir du sens, mais changer le réseau sous-jacent des appareils statiques est compliqué. Déplacez les adresses manuelles vers des réservations DHCP ou mettez-les à jour en premier. Ensuite, renouvelez les baux ou redémarrez les appareils récalcitrants.
Pour les petites installations UniFi, j'aime commencer par une passerelle propre montée là où les câbles restent visibles. Si vous construisez autour d'une passerelle compacte, notre support mural pour passerelle cloud UniFi Ubiquiti empêche cette première pièce du réseau de devenir une autre boîte lâche derrière une étagère.
Si vous choisissez toujours du matériel, la Cloud Gateway Ultra est parfaitement adaptée aux maisons et aux petits bureaux avec des points d'accès séparés.
[CA] Ubiquiti UniFi Cloud Gateway Ultra | [US] Ubiquiti UniFi Cloud Gateway Ultra
Erreurs de configuration du réseau UniFi avec les VLAN et les règles de pare-feu
Les VLAN sont utiles, mais ce ne sont pas une formule magique de sécurité. Je vois deux problèmes opposés : soit les gens évitent complètement la segmentation, soit ils créent une douzaine de petites îles et passent ensuite des week-ends à se demander pourquoi AirPlay, la diffusion, les imprimantes ou les caméras se comportent bizarrement.
Pour une maison ou un petit atelier, je pense généralement en zones avant de penser en noms de VLAN. Les appareils de confiance constituent une zone. Les appareils invités et IoT peuvent être une zone non fiable. Les caméras peuvent mériter leur propre place si elles enregistrent sur un NVR local. Les serveurs ou les machines de laboratoire peuvent mériter des limites plus strictes s'ils exécutent des logiciels expérimentaux. C'est le cœur de la segmentation réseau UniFi : regrouper les appareils par confiance et besoins de communication, et non par l'apparence sophistiquée du diagramme.
L'important est que les règles de pare-feu UniFi correspondent à l'intention. Si votre VLAN IoT peut toujours initier des connexions vers tous les ordinateurs portables et NAS de confiance, vous n'avez pas gagné grand-chose. Le pare-feu basé sur des zones actuel est plus facile que l'ancien modèle LAN-in, LAN-out, LAN-local et internet-in : créez une zone non fiable, ajoutez les bons VLAN, bloquez l'accès vers les réseaux internes et n'autorisez que les quelques services dont vous avez vraiment besoin.
Si un Apple TV se trouve sur un VLAN IoT, votre téléphone peut avoir besoin de trafic de découverte pour le trouver. Si une imprimante se trouve avec des appareils non fiables, votre ordinateur portable peut avoir besoin d'un chemin étroit pour imprimer. Si une caméra doit atteindre un enregistreur, autorisez ce flux spécifique au lieu d'ouvrir toute la maison.
Les VLAN de gestion ont leur propre piège. Les profils de ports Ethernet sont excellents car un profil peut être réutilisé sur de nombreux ports de commutateur. Mais si vous définissez un profil de trunk de gestion sur une liste personnalisée de VLAN tagués, les futurs VLAN n'apparaîtront pas comme par magie dans cette liste. La prochaine fois que vous ajouterez un réseau, votre commutateur ou point d'accès en aval pourrait ne pas être en mesure de le taguer. Pour les liens de gestion, décidez si "tout autoriser" est approprié. Pour les autres profils, les listes personnalisées peuvent être plus claires, mais vous devez vous souvenir de les mettre à jour chaque fois que vous créez un autre VLAN.
La détection et la prévention des intrusions nécessitent également une attention après les changements de VLAN. Dans UniFi, le comportement de notification uniquement est la détection ; la notification et le blocage sont la prévention. Les passerelles plus petites peuvent avoir des limites, donc si vous ajoutez un VLAN plus tard, vérifiez si l'IDS/IPS est activé pour celui-ci.
L'une des erreurs les plus faciles à commettre avec les VLAN UniFi est de sur-isoler les appareils multimédias et d'être ensuite surpris lorsque les fonctionnalités de commodité tombent en panne. Je préfère avoir trois réseaux bien compris avec des règles testées plutôt que dix réseaux que personne ne veut maintenir.
Wi-Fi IoT : Compatibilité, 5 GHz et mots de passe privés
Les appareils de maison intelligente peuvent être merveilleusement incohérents. J'ai eu de petits capteurs basés sur ESP32 qui se connectent pour toujours à côté d'appareils presque identiques qui agissent comme si le point d'accès les avait personnellement offensés. Le réglage de connectivité IoT améliorée d'UniFi peut être une bouée de sauvetage pour ce type d'équipement, car il favorise les paramètres de compatibilité que de nombreux petits appareils gèrent mieux.
L'inconvénient est que la connectivité IoT améliorée est axée sur le 2,4 GHz. C'est parfait pour les prises, les capteurs et les thermostats, mais pas pour les équipements à bande passante plus élevée comme les boîtiers de streaming qui se sentent généralement mieux sur le 5 GHz.
Mon approche pratique est de séparer l'IoT lent de l'IoT rapide lorsque cela est nécessaire. Si votre réseau IoT n'a pas de clients 5 GHz, activez la connectivité IoT améliorée. Si vous avez un mélange, créez un deuxième SSID tel que "IoT Enhanced" pour les appareils 2,4 GHz récalcitrants tout en gardant le SSID IoT principal disponible pour les clients plus rapides.
Les clés pré-partagées privées sont un autre outil que j'aime pour les situations ponctuelles. Avec le PPSK, un seul SSID peut placer les clients sur différents VLAN en fonction du mot de passe qu'ils utilisent, évitant un nouveau SSID pour un appareil solitaire. L'inconvénient est le mode de sécurité : le PPSK nécessite le WPA2 au lieu du WPA3.
Le placement des points d'accès est toujours important. Pour les installations murales, notre support mural UniFi AP Slim maintient les points d'accès discrets en ordre, et le support de bureau UniFi AP est utile pour une installation stable temporaire ou sur étagère.
Le blocage géographique n'est pas un substitut à une véritable sécurité
Le blocage régional semble puissant parce qu'il est visible et facile à comprendre. Choisissez des pays, bloquez le trafic, sentez-vous plus en sécurité. Je l'utilise avec prudence, voire pas du tout.
Le premier problème est la panne. Les grands services utilisent des infrastructures partout dans le monde. Une mise à jour logicielle, un nœud de livraison de contenu, un point d'authentification ou un service cloud de fournisseur peuvent se trouver dans un endroit inattendu. Si vous bloquez le trafic entrant et sortant pour une longue liste de pays, des sites web et des mises à jour aléatoires peuvent échouer d'une manière qui ressemble à des problèmes DNS, des bugs d'applications ou des problèmes Wi-Fi.
Le deuxième problème est la valeur. Les attaquants peuvent passer par des VPN, des serveurs loués, des machines compromises et des fournisseurs de cloud. Le filtrage par pays peut réduire le bruit, mais il ne résout pas les mots de passe faibles, les services exposés, les appareils non patchés ou les règles de pare-feu UniFi bâclées.
Le troisième problème est la performance. Les listes de pays peuvent contenir de nombreuses plages d'adresses, et des listes excessives peuvent ajouter de la latence ou réduire le débit. Je préfère moins de règles qui ont un sens.
Si vous utilisez le géoblocage, soyez bref et envisagez d'abord le blocage entrant uniquement. Je préférerais voir une petite liste intentionnelle plutôt que cinquante pays bloqués copiés d'une autre configuration.
Configuration de l'UniFi Dream Machine : Éviter le Double NAT
La configuration de l'UniFi Dream Machine tourne souvent au vinaigre lorsqu'un modem/routeur FAI agit toujours comme un routeur. Vous pouvez le repérer en vérifiant l'adresse WAN sur votre passerelle UniFi. Si l'adresse WAN commence par 10., 192.168., ou 172.16 à 172.31, votre routeur UniFi reçoit probablement une adresse privée au lieu d'une adresse publique.
Cela signifie généralement un double NAT. La navigation de base peut fonctionner, mais le transfert de port, certains services de jeu, les applications auto-hébergées et le VPN d'accès à distance peuvent devenir gênants. Si votre appareil en amont prend en charge le mode pont ou passthrough, utilisez-le pour que la passerelle UniFi reçoive l'adresse IP publique.
Il y a des exceptions. Certains FAI utilisent le NAT de qualité opérateur car les adresses IPv4 sont rares. Le service résidentiel Starlink est un exemple courant où une IPv4 publique peut ne pas être disponible de la manière habituelle. Les forfaits professionnels ou les options d'adresses IP statiques peuvent aider dans certains cas, mais je ne recommande pas de payer un supplément à moins que vous n'ayez réellement besoin d'un accès entrant. Pour de nombreux foyers, la gestion basée sur le cloud d'UniFi et les services sortants uniquement sont suffisants.
Si vous utilisez la Dream Machine tout-en-un classique, elle peut toujours être un petit hub réseau soigné. J'aime le montage mural des équipements UniFi cylindriques car la tension des câbles et la circulation de l'air sont plus faciles à gérer. Notre support mural pour routeur UniFi Dream a été conçu avec la même mentalité de propreté et d'accessibilité.
L'original Dream Machine est toujours utile lorsque le Wi-Fi intégré et les fonctionnalités de passerelle sont plus importants que l'extension de type rack.
[CA] Ubiquiti UniFi Dream Machine | [US] Ubiquiti UniFi Dream Machine
Les câbles, SFP+ et ports de routeur peuvent étrangler les réseaux rapides
La couche physique est l'endroit où les réseaux coûteux peuvent parfois devenir ridicules. Si deux ports SFP+ sont proches l'un de l'autre, j'opte généralement d'abord pour un câble DAC. Un câble en cuivre à connexion directe est bon marché, consomme peu d'énergie, ne chauffe pas beaucoup et est fiable pour les courtes distances. Il évite également le travail de conversion supplémentaire des modules optiques.
La fibre optique reste excellente lorsqu'elle résout le bon problème. Pour les longues distances, la fibre a du sens. Pour une caméra extérieure ou un chemin de bâtiment à bâtiment, la fibre peut également fournir une isolation électrique car elle ne transporte pas de tension comme le cuivre. J'aime l'idée de regrouper les câbles en cuivre extérieurs dans un commutateur isolé, de protéger ce commutateur avec une protection contre les surtensions, puis d'utiliser la fibre optique pour revenir au réseau intérieur. Si la foudre ou une surtension importante endommage quelque chose, il est moins probable que les dommages se propagent au reste du rack.
Ce que j'évite, c'est d'acheter des modules optiques et des câbles de raccordement fibre pour une liaison d'un pied à l'intérieur du même boîtier, sauf si je fais des tests. J'évite également les modules SFP+ vers 10GBASE-T RJ45 pour les petits raccordements lorsque un câble DAC ferait l'affaire. Les émetteurs-récepteurs RJ45 10 Gb peuvent chauffer, consommer plus d'énergie et coûter plus cher.
Pour les liaisons de commutateur à commutateur ou de commutateur à serveur à l'intérieur d'un rack, un court câble DAC est généralement le choix le plus judicieux. Mesurez d'abord pour ne pas vous retrouver avec un pli serré ou une énorme bobine derrière l'équipement.
[CA] Câble DAC 10G SFP+ 10Gtek | [US] Câble DAC 10G SFP+ H!Fiber
Les câbles de raccordement Ethernet réguliers méritent toujours une attention particulière. Pour les liaisons cuivre 10 Gb, j'achète des câbles de raccordement Cat6a connus et j'étiquette les deux extrémités.
[CA] Câble patch Ethernet Monoprice SlimRun Cat6A | [US] Câble patch Ethernet Monoprice Cat6A
Un dernier détail sur la configuration de l'UniFi Dream Machine : ne traitez pas les ports du routeur comme un commutateur d'agrégation. Sur les modèles avec plusieurs ports haute vitesse, ces ports sont conçus pour les tâches de routage et les chemins CPU, pas pour la commutation de couche 2 à très faible latence. Si deux commutateurs sont connectés à deux ports LAN du routeur, les transferts locaux importants peuvent traverser inutilement le routeur.
Pour le trafic local le plus rapide, connectez votre commutateur principal au routeur, puis connectez les autres commutateurs à ce commutateur ou à un véritable commutateur d'agrégation. Ma règle simple : un câble pour Internet, un câble pour la commutation LAN, et les appareils gourmands en bande passante vivent sur des commutateurs conçus pour la commutation.
Produits connexes sur Amazon
- Point d'accès Ubiquiti UniFi U7 Pro WiFi 7
- Passerelle cloud Ubiquiti Max UCG-MAX
- Câble Ethernet Cat6 sans accroc Cable Matters
FAQ
Ai-je besoin de VLAN pour un réseau UniFi domestique sécurisé ?
Pas toujours. Les VLAN sont utiles lorsque vous avez des appareils non fiables, des invités, des caméras, des serveurs ou des équipements de laboratoire. Pour une maison simple avec des téléphones, des ordinateurs portables et un NAS, des mots de passe forts, des mises à jour et des règles de pare-feu sensées peuvent être plus importants. Si vous créez des VLAN, associez-les à de véritables règles de pare-feu UniFi.
Mon réseau IoT doit-il être uniquement en 2,4 GHz ?
Cela dépend des appareils. Les capteurs, les prises, les ampoules et de nombreux appareils basés sur microcontrôleur préfèrent généralement la compatibilité 2,4 GHz. Les appareils de streaming bénéficient souvent du 5 GHz. Si les deux groupes existent, j'aime utiliser un SSID IoT normal et un SSID IoT 2,4 GHz amélioré pour les appareils fragiles.
Le géoblocage est-il l'un des meilleurs conseils de sécurité UniFi ?
C'est plus bas sur ma liste. Le géoblocage peut réduire le trafic indésirable, mais il peut aussi casser des services et ajouter une surcharge de règles. Je donnerais la priorité aux mises à jour, à l'authentification forte, aux services exposés minimaux, à la prévention des intrusions, aux règles VLAN claires et à un plan IP sain.
Pourquoi mon nouveau VLAN ne fonctionne-t-il pas sur un point d'accès ?
Vérifiez le profil de port alimentant ce point d'accès ou le commutateur en aval. Si le profil de trunk utilise une liste de VLAN tagués personnalisée, un nouveau VLAN peut ne pas être inclus. Ajoutez-le manuellement ou utilisez un profil de type "tout autoriser" là où cela est approprié pour vos liens de gestion.
Quelle est la plus grande erreur de câblage dans un petit rack UniFi ?
Pour les liaisons SFP+ 10 Gb courtes, acheter des modules fibre ou des émetteurs-récepteurs RJ45 chauds alors qu'un câble DAC ferait l'affaire est un gaspillage courant. Les câbles DAC sont généralement moins chers et plus simples pour les équipements proches. Utilisez la fibre lorsque vous avez besoin de distance ou d'isolation électrique.
Réflexions finales : construisez un réseau UniFi auquel vous pourrez faire confiance plus tard
La plupart des erreurs UniFi ne sont pas catastrophiques. Ce sont les petites décisions qui se transforment plus tard en pannes mystérieuses, en problèmes VPN, en coupures de streaming ou en transferts de fichiers lents. Ma liste de contrôle est simple :
- Choisissez un sous-réseau privé non par défaut avant que le réseau ne s'agrandisse.
- Ne segmentez que lorsque cela résout un réel problème de confiance.
- Soutenez les VLAN avec des règles de pare-feu et d'IDS/IPS claires.
- Utilisez les paramètres de compatibilité IoT sans pénaliser les appareils qui ont besoin du 5 GHz.
- Mettez votre passerelle FAI en mode pont ou passthrough lorsque vous avez besoin d'un accès entrant.
- Utilisez le DAC, la fibre et le Cat6a là où chacun a du sens.
- Maintenez la commutation à haut débit sur les commutateurs, et non sur les ports du routeur.
Si vous nettoyez une installation UniFi, commencez par les éléments que vous pouvez voir et étiqueter : passerelle, points d'accès, commutateurs et câbles. Ensuite, travaillez vers l'adressage, les VLAN et la politique de pare-feu. Et si vous voulez que votre équipement de maison intelligente soit monté proprement au lieu d'être en équilibre sur une étagère, visitez Worm Pop Labs et jetez un coup d'œil à nos supports et pieds UniFi conçus pour les laboratoires domestiques réels.
