UniFi Zone Matrix meistern: Visuelle Firewall für Smart Home und Server
Die Verwaltung von Firewall-Regeln über traditionelle LAN IN / LAN OUT-Listen kann ein Albtraum sein, besonders wenn Ihr Netzwerk um IoT-Geräte, Kameras und private Server wächst. Ubiquiti hat diesen Prozess in seinem UniFi-Ökosystem mit der Zone Matrix, einer visuellen Darstellung Ihrer Firewall-Richtlinien, revolutioniert.
Wie im Screenshot oben ersichtlich, bietet die Zone Matrix ein Raster, bei dem die Y-Achse die Quelle (Source) des Datenverkehrs und die X-Achse das Ziel (Destination) darstellt.
Die Richtlinien-Status verstehen
Die Matrix verwendet farbcodierte Blöcke, um das Routing-Verhalten zu definieren:
- Allow All (Grün): Die Quelle kann ungehindert neue Verbindungen zum Ziel initiieren.
- Allow Return (Blau): Die Quelle kann keine neuen Verbindungen zum Ziel aufbauen. Sie kann nur Daten zurücksenden, wenn das Ziel die Verbindung zuerst initiiert hat.
- Block All (Rot): Absolute Isolation. Es kann kein Datenverkehr von der Quelle zum Ziel fließen.
Szenario 1: Absicherung eines Server-Netzwerks
Eine gängige Best Practice für die Sicherheit besteht darin, Ihren internen vertrauenswürdigen Geräten den Zugriff auf einen lokalen Server (wie ein NAS oder Home Assistant) zu gestatten, während gleichzeitig verhindert wird, dass dieser Server aktiv auf Ihre privaten Geräte zugreift, falls er kompromittiert wird.
Wenn man sich die Matrix oben ansieht, lässt sich dies perfekt umsetzen:
- Setzen Sie die Richtlinie von Source: Internal zu Destination: Server Network auf Allow All (Grün). So kann Ihr Laptop auf den Server zugreifen.
- Setzen Sie die Richtlinie von Source: Server Network zu Destination: Internal auf Allow Return (Blau). Diese Konfiguration stellt sicher, dass der Server auf die Anfragen Ihres Laptops antworten kann, aber physisch nicht in der Lage ist, eine neue Verbindung zu Ihrem internen Netzwerk zu initiieren.
Szenario 2: Isolation von CCTV und Smart Home (IoT)
Smart-Home-Geräte und IP-Kameras sind bekanntermaßen anfällig für Hackerangriffe. Sie sollten niemals freien Zugang zu Ihrem vertrauenswürdigen Hauptnetzwerk haben. Mit der Zone Matrix können Sie eine absolute IoT-Isolation schaffen:
- Weisen Sie Ihre Kameras und Smart-Home-Geräte einem dedizierten VLAN zu und verknüpfen Sie dieses mit einer bestimmten Zone (Sie könnten z. B. die Zone DMZ oder Hotspot verwenden).
- Setzen Sie Source: Internal zu Destination: IoT-Zone auf Allow All. So kann Ihr Smartphone im Haupt-WLAN lokale Kamerabilder abrufen oder intelligente Lichter steuern.
- Setzen Sie Source: IoT-Zone zu Destination: Internal auf Allow Return (oder Block All, wenn keine lokale Steuerung erforderlich ist).
- Um zu verhindern, dass Kameras auf das Internet zugreifen, setzen Sie Source: IoT-Zone zu Destination: External auf Block All.
