Zapora strefowa w UniFi: ruch powrotny, strefa gateway i ruch wewnątrz strefy

Sprawdzono: 25 września 2026 r. Macierz stref jest widokiem planowanych kierunków ruchu. Nie dowodzi, że każde dozwolone połączenie działa ani że wszystkie niepożądane drogi są zablokowane. Przydatna kontrola śledzi konkretne połączenie od źródła do usługi, a następnie sprawdza odpowiedź i faktycznie pasujące reguły.

Minimalne wersje i odpowiednia brama

Ubiquiti wymienia UniFi Gateway lub Cloud Gateway, Network od 9.0 i oprogramowanie bramy od 4.1. ZBF pojawił się w oficjalnym wydaniu 9.0.108. Sama aktualizacja kontrolera nie wystarcza. [1]

Inwentaryzacja powinna oddzielnie zapisywać model bramy, jej oprogramowanie i aplikację Network. Numer wersji bez nazwy produktu jest niejednoznaczny. Przed migracją zapisana konfiguracja oraz sprawdzony sposób uzyskania dostępu administracyjnego ułatwiają przywrócenie działania. Spełnienie wymagania wersji nie potwierdza jeszcze poprawności projektu reguł.

Ruch powrotny potrzebuje skutecznego zezwolenia

Auto Allow Return Traffic tworzy dodatkową regułę; istniejąca pasująca reguła może już zapewniać zezwolenie. Śledzenie stanu nie oznacza omijania wszystkich reguł przez odpowiedzi. [1]

Komputer administracyjny może na przykład rozpocząć połączenie z urządzeniem IoT. Odpowiedź na nie różni się od nowego połączenia rozpoczętego przez urządzenie IoT. Szerokie zezwolenie z IoT do LAN dopuszcza więcej, niż wynikało z pierwotnej potrzeby. Między innymi dlatego test powinien obejmować dozwolone żądanie z odpowiedzią i niezależne rozpoczęcie połączenia w przeciwną stronę, które powinno się nie udać.

Czujnik publikujący dane do brokera MQTT ma inne wymaganie: to on rozpoczyna połączenie. Adres docelowy i używany port usługi należą do planu. Potoczne nazwanie wiadomości „odpowiedzią” nie czyni jej ruchem powrotnym innego połączenia.

Brama jest celem, nie gwarancją zestawu usług

Kierunek do bramy wymaga spisu rzeczywiście uruchomionych tam usług. Klient może korzystać z DNS na bramie, ale oddzielny resolver oznacza inny cel. Podobnie dopuszczenie UDP 123 do bramy nie tworzy usługi NTP. Skonfigurowany serwer czasu musi istnieć i odpowiadać.

Praktyczna lista usług zawiera sieć źródłową, host docelowy, protokół, port docelowy i oczekiwaną funkcję. Osobna kontrola przydziału adresu, rozwiązywania nazw i synchronizacji czasu ułatwia diagnozę. Udany ping nie potwierdza działania tych usług.

Ta sama strefa nie oznacza tej samej sieci

UniFi obsługuje reguły wewnątrz strefy, na przykład Internal do Internal. Oddzielne routowane sieci mogą więc podlegać filtrowaniu mimo wspólnej strefy. [1]

Urządzenia komunikujące się bezpośrednio w jednym VLAN-ie korzystają z innej drogi. Reguła bramy nie zastępuje kontroli w przełączniku lub punkcie dostępowym. Ubiquiti rozróżnia segmentację na bramie, listy ACL przełącznika i izolację klientów w AP. Wybór zależy od drogi ruchu oraz możliwości sprzętu. [2]

Różnicę pokazują cztery przypadki: urządzenia w różnych strefach, różne VLAN-y jednej strefy, urządzenia przewodowe jednego VLAN-u i klienci bezprzewodowi punktu dostępowego. Poprawny wynik jednego testu izolacji nie potwierdza pozostałych trzech.

Kontrola dająca konkretne dowody

1. Zapisanie każdego zamierzonego połączenia z konkretnym źródłem i celem.
2. Sprawdzenie obu kierunków inicjowania oraz reguły dopuszczającej odpowiedzi.
3. Ustalenie rzeczywistej drogi przez bramę, przełącznik lub punkt dostępowy.
4. Test wymaganych usług i wybranych, wyraźnie zabronionych połączeń.
5. Udokumentowanie wersji, istotnej kolejności reguł, wyników i planu przywrócenia.

Planer macierzy stref UniFi pomaga zapisać założenia. Nie odczytuje wdrożonych reguł, nie potwierdza możliwości bramy ani nie dowodzi izolacji. Użyteczny wynik to plan połączony z obserwacjami rzeczywistej sieci.