לראשונה רוכש ציוד של UNIFI, למה חשוב VLAN למצלמות ומה עושים עם סוויץ מנוהל?

Aviv943 · שליחה #1 02/05/2020 22:30

היי חברים,
אחרי שמאסתי בציוד סיני, החלטתי לרכוש ציוד של UNIFI.
קראתי פה בערך את כל השירשורים שקיימים בנושא, היו הרבה המלצות על ER, בסוף החלטתי ללכת על סט של UNIFI.

ראוטר: USG
אקסספוינט: NanoHD (בית של 80 מטר, אם יהיה צורך באחד נוסף אזמין)
סוויץ: 8-60W
CloudKey

כמה שאלות ברשותכם:
1. יש לי בבית 3 מצלמות. למה חשוב לשים אותן על VLAN?
2. עם הציוד הזה, האם אני יכול לשים מצלמות בתוך הבית מבלי חשש להסתובב בבית עירומים? מהסיבה הזאת המצלמות היום מצלמות רק את המתרחש מחוץ לבית.
3. מה נותן לי סוויץ מנוהל?

yarin153 · שליחה #2 02/05/2020 22:45

אני עם ציוד די דומה בבית (אצלי יש את הPRO ושאר הציוד זהה)
1. חשוב שתגדיר לכל הרשתות שלך VLAN ותייצר הפרדה רשתית ביניהם, ככה לא יהיה ניתן לגשת למצלמות שלך מרשתות אחרות.
2. זה תלוי איזה מצלמות מדובר, האם אלה מצלמות שהגישה אליהן היא מקומית בלבד? אם כן אז אפשר לומר שכן תוכל אבל עדיין לא הייתי לוקח את הסיכון.
אני למשל שמתי מצלמות בחוץ היקפי. ועוד מצלמה אחת בפנים על הדלת בלבד. עדיף לא לפגוע בפרטיות של הבית בכל זאת, השוואתי חסרונות יתורנות ולא ראיתי די יתרונות בלחשוף את הפרטיות שלי.
3. סוויטץ מנוהל מאפשר לך להגדיר VLAN.

moked · שליחה #3 03/05/2020 6:58

זה לא רק מצלמות.זה גם בית חכם. עדיף שמנורות חכמות מסין (IoT) יחוברו ל VLAN נפרד מהלפטופ שלך. כבר הראו במכון ויצמן כמה קל לפרוץ לרשת מנורות פיליפס HUE שלכאורה משתמשות בהצפנה.
זה בדיוק סוג המכשירים שלא עוברים בדיקות אבטחה מקיפות. גם להגביל נפח גלישה לרשת כזו. מקטין את הסיכוי שישעבדו לך את המנורה לטובת מתקפה DDOS של מישהו וגם מבטיח שהממשלה הסינית תדע רק על כל צעד שני שלך בבית.
לגבי להסתובב עירום בבית: זו בעיה. אין הגנה 100% . עדיף מגבת או משהו (מה יקרה ברעידת אדמה לדוגמה ?)
כמובן הכל לפי הגדרת התפקיד , יש סלב שמחוייבים ע"פ חוזה להדליף מידע מתוך החיים הפרטיים. סוג של יח"צ נקרא לזה ואז יש עורך תוכן שצריך גישה מרחוק לכל החומרים.
אתה סלב ?

Popcorn110 · שליחה #4 03/05/2020 10:35

Vlan - יוצר לך הפרדה פיזית ברשת (כאילו העברת כבל אחר ).
ככה שאם מישהו נכנס לך לרשת (פריצה למחשב, מנורה חכמה, מצלמה) אין לך קשר בין הדברים.
כל פירצה מאפשרת לו להכנס רק לvlan שעליו אתה נמצא
כמובן שאתה צריך להגדיר שכל חלק כזה יהיה בvlan משלו.

סוויץ מנוהל - הוא יודע ליצור הפרדה של Vlan , שם אתה קובע איזה פורט מקבל את vlan שהגדרת לו

Aviv943 · שליחה #5 03/05/2020 18:11

אם המצלמות מחוברות בצורה אלחוטית, עדיין ניתן להגדיר להן VLAN משלהן?

moked · שליחה #6 03/05/2020 22:55

בהחלט. unifi מאפשר להגדיר עד 3 רשתות אלחוטיות נפרדות.

Popcorn110 · שליחה #7 04/05/2020 9:30

ומספיק בשביל זה רק סוויץ מנוהל בהתחלה שבו מוגדר ה vlan השונים?
לAP מספיק לשלוח פורט מסויים מהסוויץ או שצריך להגדיר לפורט הזה חיבור ל3 הVLAN?

בסוויץ מנוהל משורשר צריך לשלוח דרך הפורט את כל הVLAN שאני רוצה שהסווית הבא מכיר
גם כאן צריך ככה? או שמספיק שהCONTROLER מכיר את כל הVLAN?

אצרף עוד שתי שאלות לא קשורות
1) הסוויצים שלהם מתאימים גם לעסקים? (בין 100-150 משתמשים?)
2) איך המחירים שלהם?
3) מה זה CLOUDEKEY? הוא מחליף את הCONTROLER?

moked · שליחה #8 05/05/2020 5:12

1) הסוויצים שלהם מתאימים גם לעסקים? כן. גם ה AP . לדוגמא UAP AC pro היא נקודה שתומכת בכ 200 מכשירים אלחוטיים. נבדק במקומות הומי אדם.
2) איך המחירים שלהם: יחסית לענקיות התקשורת המחיר תחרותי מאד.
3) מה זה CLOUDEKEY? הוא מחליף את הCONTROLER? כן. הוא למעשה controller בחומרה.פשוט במקום להתקין תוכנה כזו במחשב האישי.

Popcorn110 · שליחה #9 05/05/2020 16:11

תודה רבה על התשובות...
לגבי הcloudkey - זה חדש.. כי פעם אחרונה ששאלתי אותם אמרו לי שיש רק את התוכנה.

שאלה נוספת,
יש לי בבית ספר כמה AP של unifi (בנקודות של מעט משתמשים)
עכשיו רוצים לפתוח גישה גם לתלמידים.
הבנתי שאני יכול ליצור vlan שונה ב AP רק אם יש לי סוויץ מנוהל של UNIFI
השאלה היא, האם החיבור לAP חייב להגיע ישירות מהסוויץ המנוהל
או שהוא יכול לעבור דרך סוויץ רגיל

אסביר למה אני מתכוון,
יש לי ארון מרכזי שמשם מתפצל כבלים לכל קומה (3 קומות)
בכל קומה יש מספר מחשבים + AP
השאלה היא האם יש אפשרות לחבר סוויץ מנוהל אחד בראשי
ואז שאר AP ידעו לדבר איתו
או שאני חייב 4 סוויצים מנוהלים - אחד ראשי + 3 לכל קומה

תודה רבה
וסליחה לפתוח האשכול ששינתי קצת את הנושא..

yarin153 · שליחה #10 05/05/2020 18:21

לגבי CLOUDKEY זה לא חדש, קיים הרבה זמן. זה בעצם מחשב קטן שמחזיק את התוכנת ניהול עליו (כשאתה קונה אותו אתה מקבל גם גישה דרך הענן שלהם זה מעולה, רק חשוב לשים האבטחה בהתאם).

לגבי הסוויץ' המנוהל, אתה חייב אותו כדי להגדיר VLAN אבל לא חייב אותו כדי לגשת לAPים. בעזרת הCLOUDKEY תוכל לנהל אותם גם בלעדיו.
אבל שוב זה כבר בלי קשר לVLANים.

elad18 · שליחה #11 05/05/2020 22:54

Popcorn110 כתב:תודה רבה על התשובות...
לגבי הcloudkey - זה חדש.. כי פעם אחרונה ששאלתי אותם אמרו לי שיש רק את התוכנה.

שאלה נוספת,
יש לי בבית ספר כמה AP של unifi (בנקודות של מעט משתמשים)
עכשיו רוצים לפתוח גישה גם לתלמידים.
הבנתי שאני יכול ליצור vlan שונה ב AP רק אם יש לי סוויץ מנוהל של UNIFI
השאלה היא, האם החיבור לAP חייב להגיע ישירות מהסוויץ המנוהל
או שהוא יכול לעבור דרך סוויץ רגיל

אסביר למה אני מתכוון,
יש לי ארון מרכזי שמשם מתפצל כבלים לכל קומה (3 קומות)
בכל קומה יש מספר מחשבים + AP
השאלה היא האם יש אפשרות לחבר סוויץ מנוהל אחד בראשי
ואז שאר AP ידעו לדבר איתו
או שאני חייב 4 סוויצים מנוהלים - אחד ראשי + 3 לכל קומה

תודה רבה
וסליחה לפתוח האשכול ששינתי קצת את הנושא..
...

גם בראשי אתה לא חייב סוויץ' מנוהל.
אם הגדרת את הVLAN בראוטר גם סוויץ' לא מנוהל יכול לתמוך בVLANים ולהעביר אותם (לא כולם, צריך לוודא שתומך).
האקסס פוינט עצמו יקבל את כתובת של הרשת הרגילה אבל כשאתה מגדיר בתוכו את הרשתות האלחוטיות אתה יכול לבחור לכל רשת אלחוטית באיזה VLAN להשתמש.
ככה זה לפחות מהניסיון שלי ברשתות עם פיירוול pfsense ואקסס פוינטס של גרנדסטרים.

Popcorn110 · שליחה #12 06/05/2020 6:31

yarin153 כתב:לגבי CLOUDKEY זה לא חדש, קיים הרבה זמן. זה בעצם מחשב קטן שמחזיק את התוכנת ניהול עליו (כשאתה קונה אותו אתה מקבל גם גישה דרך הענן שלהם זה מעולה, רק חשוב לשים האבטחה בהתאם).

לגבי הסוויץ' המנוהל, אתה חייב אותו כדי להגדיר VLAN אבל לא חייב אותו כדי לגשת לAPים. בעזרת הCLOUDKEY תוכל לנהל אותם גם בלעדיו.
אבל שוב זה כבר בלי קשר לVLANים.
...

·
לא הבנתי..
אני רוצה ליצור clan בכל AP
שיהיה גישה אחת לאורחים ואחת רגילה
שמי שמתחבר כאורח לא יוכל לדבר עם ציוד שנמצא ברשת הרגילה (מחשבים משותפים, מדפסות וכו').
או אפילו ליצור שלושה רשתות שונות, שלכל אחד יש קשר רק עם הרשת שלו vlan1 vlan2 vlan2
כדי לעשות את זה אני צריך ליצור 3 vlan שונים, את זה אני צריך לעשות בזווית מנוהל ( controller לא יודע לבנות vlan)
השאלה היא האם ברגע שיצרתי vlan בסוויץ ואחר כך מגיע ל AP דרך סוויץ לא מנוהל.
אני עדיין יוכל להגדיר VLAN ב AP
או שאני חייב להגיע ישירות מהסוויץ המנוהל (או עוד סווייץ מנוהל בדרך)
גישה ל AP יש לי היום מה controller

Popcorn110 · שליחה #13 06/05/2020 6:37

elad18 כתב:
...
...
גם בראשי אתה לא חייב סוויץ' מנוהל.
אם הגדרת את הVLAN בראוטר גם סוויץ' לא מנוהל יכול לתמוך בVLANים ולהעביר אותם (לא כולם, צריך לוודא שתומך).
האקסס פוינט עצמו יקבל את כתובת של הרשת הרגילה אבל כשאתה מגדיר בתוכו את הרשתות האלחוטיות אתה יכול לבחור לכל רשת אלחוטית באיזה VLAN להשתמש.
ככה זה לפחות מהניסיון שלי ברשתות עם פיירוול pfsense ואקסס פוינטס של גרנדסטרים.
...

·לא חייב סוויץ מנוהל שיודע להעביר בפורט אחד מספר vlan שונה?
מה שנקרא trunk?

מה הגדרת בפורט שיוצא לסוויץ הלא מנוהל שיצא דרכו? (איך הגדרת שיצא כמה vlan שונים)
ואיך הסוויץ הרגיל יודע על איזה clan לעבוד?

אני חושב שבגלל שזה unifi אז controller הוא סה שקובע על כל הרשת, אז חשבתי שאולי הוא יודע להעביר הכל גם אם לא מוגדר בסוויץ עצמו..
אבל אין לי איך לבדוק את זה (חוץ מלקנות ואז לגלות שזה לא עובד🙄)

elad18 · שליחה #14 06/05/2020 8:24

@Popcorn110
·

הסוויץ' הלא מנוהל מעביר את כל ה-VLANים (כ-TAGGED) וכמו שרשמתי בתוך האקסס פוינט אתה מגדיר לכל רשת אלחוטית באיזה VLAN להשתמש והוא מושך אותם.
לא יודע איך זה ב-UNIFI ויכול להיות ששם זה שונה.
מהניסיון שלי עם כמה ציודים אחרים זה עובד.

Popcorn110 · שליחה #15 06/05/2020 8:51

@elad18
·זאת אומרת שאם אחרי הסוויץ הלא מנוהל אתה שם סוויץ מנוהל
שיהיה ככה pfsense -> סוויץ פשוט-> סוויץ מנוהל

אתה יכול למשוך את כל הvlan שהגדרת בpfsense ואז לחלק אותם לפרטים מסויימים??
אז למה צריך trunk?
ומה אתה מגדיר בפורט שיוצא לסוויץ הלא מנוהל (אתה צריך להגיד לו למשוך את כל הvlan לא?)

sys_admin · שליחה #16 06/05/2020 9:16

elad18 כתב:@Popcorn110
·

הסוויץ' הלא מנוהל מעביר את כל ה-VLANים (כ-TAGGED) וכמו שרשמתי בתוך האקסס פוינט אתה מגדיר לכל רשת אלחוטית באיזה VLAN להשתמש והוא מושך אותם.
לא יודע איך זה ב-UNIFI ויכול להיות ששם זה שונה.
מהניסיון שלי עם כמה ציודים אחרים זה עובד.
...

·

לא ניתן לסמוך על זה שמתג לא מנוהל, מעביר את השדה של תיוג של VLANs בצורה ודאית או עקבית. וזה מסיבה מאוד פשוטה. שימוש ב VLANs מוסיף לגודל הרגיל של ה FRAME את שדה נוסף של תיוג ה VLAN ובגלל זה מגדיל את ה FRAME שמתג צריך להעביר. ברגע שהגודל של ה FRAME השתנה מגודל רגיל, במתג לא מנוהל לא ניתן לדעת בוודאות מה יעשה בו. אם יחתך מה FRAME זה חלק שלא נכנס למסגרת או שהוא יושלך בכלל או יעבור בצורה תקינה.

כך שמתג לא מנוהל לא מאתים להעביר את התקשורת מתויגת של VLANs .

Popcorn110 · שליחה #17 06/05/2020 9:28

sys_admin כתב:
...
...
·

לא ניתן לסמוך על זה שמתג לא מנוהל, מעביר את השדה של תיוג של VLANs בצורה ודאית או עקבית. וזה מסיבה מאוד פשוטה. שימוש ב VLANs מוסיף לגודל הרגיל של ה FRAME את שדה נוסף של תיוג ה VLAN ובגלל זה מגדיל את ה FRAME שמתג צריך להעביר. ברגע שהגודל של ה FRAME השתנה מגודל רגיל, במתג לא מנוהל לא ניתן לדעת בוודאות מה יעשה בו. אם יחתך מה FRAME זה חלק שלא נכנס למסגרת או שהוא יושלך בכלל או יעבור בצורה תקינה.

כך שמתג לא מנוהל לא מאתים להעביר את התקשורת מתויגת של VLANs .
...

·תודה רבה..
לא ידעתי את זה

בגלל זה צריך לחפש סוויץ שיודע להעביר את זה? (צריך לראות שהסווית תומך ב802.1q?
אבל עדיין לא הצלחתי להבין
בתיאור שכתבתי מקודם
הסוויץ השלישי (מנוהל), איך הוא מקבל את הvlan הקיימים שהגדרת בpfsense?
אני יודע שאפשר להעביר דרך trunk בפורט שמשורשר לסוויץ מנוהל אחר
אבל במצב שיש סוויץ לא מנוהל באמצע, לא הבנתי איך אתה מעביר את הvlan השונים
במקרה שלך אם הבנתי נכון , אתה מעביר את זה AP , אבל זה אמור להיות אותו עקרון
לא?

yarin153 · שליחה #18 06/05/2020 10:01

@Popcorn110
·
אתה מייצר SSID לכל רשת שאתה רוצה
ושם תג של VLAN לכל אחד מהם (אתה צריך סוויץ' מנוהל כדי לייצר את הVLAN)
ואז מפריד בין הרשתות

nir11 · שליחה #19 06/05/2020 11:55

VLAN לא מייצר הפרדה פיזית ברשת, הוא מייצר הפרדה לוגית. חבילות מידע ששיכות לVLAN-ים שונים עוברות באותו סוויץ. רק מדייק את הדברים.
לטעמי כל העניים של סוויץ מנוהל וvlan נפרד עבור המצלמות הוא מיותר לחלוטין עבור שימוש ביתי. זה קונפיגורציה מורכבת למי שאינו איש IT, הערך של זה ברור ומובן, אבל זה over kill.
זה גם ברור שתהיה חייבת להיות גישה ל VLAN הזה מחוצה לו, אחרת לא תוכל להגיע למצלמות. לכן עניים האבטחה כאן לא ברור.
בקצרה: זו התעסקות למשועממים, או למי שאחר כך רוצה לזרוק מילים מפוצצות בסלון ביום שישי כשמתארחים אצלו חברים.

shay3203 · שליחה #20 06/05/2020 13:29

@nir11
·

בגדול אתה דיי צודק לסביבה הביתית זה מיותר כל מוצרי IOT עובדים על אלחוטי וגם הרבה מהמצלמות ולכן בהחלט ניתן לשים אותם פשוט על WIFI guest שזה בגדול כמו port isolation או במילים אחרות private vlan רק בלי הגדרות מורכבות, גם מה שמחובר פיזית לסוויצץ מנוהל ניתן לעשות לו port isolation ככה שהוא מופרד מיתר הפורטים בסוויטץ ולחסוך הגדרות מורכבות של vlan.